合规及跨境数据传输联合白皮书

全球数据跨境流动趋势分析

• 各国政府加强数据跨境合规监管，中国、印度和欧盟等不断完善自身数据保护体系。
• 美国出台系列规定应对数据跨境流动风险，2024年2月28日签署第14117号总统行政令，禁止或限制与“受关注国家”进行涉及美国人大量敏感个人数据或美国政府相关数据的特定交易。
• 美国司法部于2024年12月27日发布最终实施规则，2025年1月8日发布，2025年4月8日生效。
• 美国司法部国家安全司于2025年4月11日发布《数据安全计划》及配套指南和常见问题解答，推进最终规则实施。

美国敏感个人数据行政命令要点解读

• 行政命令要点：
  • 敏感个人数据类型：特定个人标识符、地理位置及相关传感器数据、生物识别标识符、人类基因数据、个人健康数据、个人财务数据。
  • 数据交易规模阈值：各类敏感个人数据的交易在一定期间内超过规定阈值数量。
  • 数据交易参与方：“受关注国家”和“受管制对象”。
  • 数据交易类型：禁止交易（数据经纪交易、人类基因数据交易）、受限制交易（供应商协议、雇佣协议、投资协议）。
  • 免责情况：跨国美国公司内部附属业务操作等。
• 美国数据跨境监管趋势：
  • 白宫继续推进数据安全政策，数据安全成为华盛顿优先事项。
  • 美国外国投资委员会对外国公司访问某些美国数据的入境交易进行严格审查。

美国数据跨境新政对企业的影响

• 中国赴美出海企业：业务范围及模式受限，管理策略调整困难，产品及服务出海受阻。
• 在华跨国企业：跨国经营受阻，IT治理体系或需重构。
• 业务依赖海外数据的特定行业企业：
  • 生物医药行业：临床试验、药物警戒等主营业务受打击。
  • 智能网联汽车行业：数据跨境处理活动受限，运营及管理策略受不利影响。
  • 人工智能行业：数据购买及大模型训练受阻，全球化商业应用不确定性攀升。

美国数据跨境新政下企业的应对策略

• 排查数据跨境场景，初判受美国新政管辖范围：
  • 梳理数据跨境场景，建立数据清单与全景映射图。
  • 判断是否涉及敏感个人数据，确定数据量级是否达到受规制阈值。
  • 分析业务中的各类交易场景是否可落入豁免情形。
• 开展影响评估，推动数据合规化布局：
  • 从整体和数据跨境场景两个维度开展影响评估。
  • 建立应对策略与计划，如数据本地化、数据脱敏等。
• 持续追踪立法动态，建立应对策略与计划：
  • 重新探索管理及组织等数据安全相关体系，重构业务计划。
  • 搭建长效数据合规机制，优化数据合规管理制度体系。
  • 重新探索数据安全组织架构，调整信息系统与管理架构策略。

附录

• 亚马逊云科技敏感数据保护方案：
  • 云原生的企业数据资产管理平台，持续监测敏感数据的分布与动态变化。
  • 支持中国及海外地区的灵活部署与使用，提供200多种覆盖50多个国家和地区的敏感数据类型。
  • 支持数据脱敏、全流程数据传输与监控能力。
• 普华永道隐私保护合规解决方案--Privacy Ready：
  • 线上协作的个保法合规评估门户，实现自动化风险隐私合规管理。
  • 提供五大业务功能模块：场景化隐私管理评估、企业总体隐私管理评估、资产清单、个人信息主体同意管理、个人信息主体权利响应管理。
• 普华永道下一代安全运营服务 MSS (Managed Security Service)：
  • 提供全面的安全运营服务，包括安全人才管理、运营合规、运营投资、工作效率、技术复杂性、技术成本等问题的解决方案。
  • 采用高度灵活的可扩展模块化交付模式，满足企业不同阶段的特定需求。
• 普华永道云评估和迁移服务：
  • 提供完整的上云服务，包括云战略和规划、上云的安全评估、上云的路线图设计、云上的合规治理、云上的架构设计和风险控制等。
  • 提供一站式云迁移服务，帮助企业完成从前期规划到运维管理的完整服务。
• 普华永道数据安全和跨境合规解决方案：
  • 协助客户完善内部数据合规管理体系，预防并降低数据安全风险发生的可能性。
  • 配合普华永道隐私保护合规解决方案 Privacy Ready，提供多部门线上协作的合规评估门户。
• 普华永道 DevSecOps As A Service：
  • 将安全实践深度融入 DevOps 流程，实现软件开发生命周期（SDLC）的全流程安全防护。
  • 通过平台支持、流程优化和专家赋能，帮助企业构建安全、高效、合规的软件交付体系。