圣誕假期后首日，中國(guó)六代戰(zhàn)機(jī)亮相當(dāng)天，美國(guó)司法部發(fā)布了“應(yīng)對(duì)外國(guó)對(duì)手獲取美國(guó)公民敏感個(gè)人數(shù)據(jù)”的最終規(guī)則。

通過(guò)該規(guī)則，美國(guó)政府針對(duì)美國(guó)個(gè)人敏感數(shù)據(jù)向中國(guó)（包括香港和澳門）、古巴、伊朗、朝鮮、俄羅斯和委內(nèi)瑞拉的跨境傳輸，設(shè)立了一個(gè)數(shù)據(jù)出境國(guó)家安全審查制度。

這也標(biāo)志著拜登政府今年2月發(fā)起的限制美國(guó)個(gè)人數(shù)據(jù)向中國(guó)跨境流動(dòng)的聯(lián)邦法規(guī)，在本屆政府即將謝幕之際最終落地。

2024年2月28日，拜登政府依據(jù)《國(guó)際緊急經(jīng)濟(jì)權(quán)力法》（IEEPA）發(fā)布了一項(xiàng)保護(hù)美國(guó)人個(gè)人敏感數(shù)據(jù)免遭“關(guān)注國(guó)家”利用的行政命令。美國(guó)司法部同時(shí)發(fā)布了執(zhí)行該行政命令的擬議規(guī)則制定的預(yù)通知，概述了實(shí)施該命令的想法，并公開征求意見。

10月21日，美國(guó)司法部在擬議規(guī)則制定的預(yù)通知基礎(chǔ)上，公布了“應(yīng)對(duì)美國(guó)敏感數(shù)據(jù)面臨的國(guó)家安全風(fēng)險(xiǎn)擬議規(guī)則”，并再次公開征求意見。

本次最終規(guī)則在擬議規(guī)則基礎(chǔ)上進(jìn)一步修改完善后形成了最終版本，將在刊登于《聯(lián)邦公報(bào)》之日起90天后生效，其中部分規(guī)定（對(duì)受限交易的盡職調(diào)查與審計(jì)的積極義務(wù)、年度報(bào)告和對(duì)被禁止交易的報(bào)告）于刊登之日起270天后生效。

與中國(guó)在數(shù)據(jù)領(lǐng)域逐漸脫鉤，自特朗普1.0時(shí)起就已成為美國(guó)政府的既定方針。特朗普政府推動(dòng)國(guó)會(huì)出臺(tái)《外國(guó)投資風(fēng)險(xiǎn)審查現(xiàn)代化法案》，將外國(guó)投資委員會(huì)審查中國(guó)對(duì)美投資并購(gòu)的重點(diǎn)也從國(guó)防、反恐轉(zhuǎn)移到科技領(lǐng)域，聚焦數(shù)據(jù)安全。此后，眾多涉及數(shù)據(jù)安全或敏感個(gè)人信息的中資并購(gòu)被其否決或要求采取緩解措施，例如螞蟻金服收購(gòu)速匯金、昆侖萬(wàn)維收購(gòu)Grindr等。特朗普任內(nèi)還啟動(dòng)了針對(duì)中國(guó)信息通信技術(shù)與服務(wù)的國(guó)家安全審查，其核心目標(biāo)之一也是防止中國(guó)經(jīng)由和美國(guó)的信通技術(shù)與服務(wù)交易獲取涉及美國(guó)人敏感個(gè)人數(shù)據(jù)。

但美國(guó)司法部發(fā)布的這個(gè)聯(lián)邦法規(guī)，在美國(guó)歷史上第一個(gè)建立起了一個(gè)全面的數(shù)據(jù)跨境流動(dòng)審查制度，也使美國(guó)成為繼中國(guó)之后第二個(gè)由政府從國(guó)家安全角度介入和審批數(shù)據(jù)出境的國(guó)家。自此，美國(guó)一直奉為圭臬的“數(shù)據(jù)跨境自由流動(dòng)”主張加了個(gè)明確的限定：僅適用于不是“外國(guó)對(duì)手”的國(guó)家。如果美國(guó)數(shù)據(jù)出境到“外國(guó)對(duì)手”國(guó)家，則不再適用“數(shù)據(jù)跨境自由流動(dòng)”的一般原則，需要司法部的許可。

特別值得警惕的是，該規(guī)則的影響可能超出數(shù)據(jù)跨境流動(dòng)，波及中國(guó)企業(yè)的美國(guó)子公司在美國(guó)開展的交易。美國(guó)司法部一方面明確該規(guī)則不監(jiān)管“美國(guó)人”之間在美國(guó)境內(nèi)進(jìn)行的“純國(guó)內(nèi)交易”（如“美國(guó)人”對(duì)數(shù)據(jù)的收集、維護(hù)、處理或使用），但又加了個(gè)限定：該“美國(guó)人”沒有被明確且公開指定為“涵蓋主體”（對(duì)涵蓋主體，司法部禁止或限制美國(guó)公司與之進(jìn)行涉美國(guó)人批量敏感數(shù)據(jù)的交易）。

最終規(guī)則對(duì)“涵蓋主體”適用類似財(cái)政部外國(guó)資產(chǎn)控制辦公室的50%規(guī)則向下穿透。這也就意味著，美國(guó)司法部至少理論上有可能把一些中國(guó)公司的美國(guó)子公司列入“涵蓋主體”清單，限制甚至禁止其在美國(guó)從事數(shù)據(jù)收集和處理活動(dòng)，這對(duì)大部分在美國(guó)有業(yè)務(wù)的中國(guó)公司來(lái)說(shuō)都將是致命打擊。通過(guò)埋進(jìn)去這一條，美國(guó)司法部給自己制造了一個(gè)未來(lái)可以制裁中國(guó)在美公司的工具，而且裁量權(quán)很大。

對(duì)比擬議規(guī)則，最終規(guī)則的實(shí)質(zhì)內(nèi)容幾乎沒有什么變化，以下結(jié)合起來(lái)對(duì)關(guān)鍵內(nèi)容做一梳理：

一、哪些類型的數(shù)據(jù)適用本規(guī)則？

還是六類“美國(guó)人的批量敏感數(shù)據(jù)”和“美國(guó)政府相關(guān)數(shù)據(jù)”。最終規(guī)則排除了公開數(shù)據(jù)、表達(dá)性信息及普通個(gè)人通信，并明確“美國(guó)政府相關(guān)數(shù)據(jù)”如屬于公開數(shù)據(jù)，也可以不受本規(guī)則管轄。

（一）“美國(guó)人的批量敏感數(shù)據(jù)”

1、涵蓋的個(gè)人識(shí)別符：

公眾就該部分提交的評(píng)論全部被司法部拒絕，維持了擬議規(guī)則的原狀。涵蓋的個(gè)人識(shí)別符分為兩種情形：

（1）任意“列舉的識(shí)別符”（listed identifiers）與另一列舉識(shí)別符的組合；

（2）任意列舉識(shí)別符與交易當(dāng)事方基于交易而披露的其他數(shù)據(jù)組合后，使該列舉識(shí)別符可以鏈接或可被鏈接到其他列舉識(shí)別符或敏感個(gè)人數(shù)據(jù)。

存在兩項(xiàng)例外：（1）只是和其他人口統(tǒng)計(jì)或聯(lián)系方式相鏈接的人口統(tǒng)計(jì)或聯(lián)系數(shù)據(jù)；（2）只是和為提供電信、網(wǎng)絡(luò)或類似服務(wù)所必需的網(wǎng)絡(luò)識(shí)別符、賬號(hào)驗(yàn)證數(shù)據(jù)或通話詳單數(shù)據(jù)相鏈接的情形。

有評(píng)論者提議排除“已做匿名化、去識(shí)別化、假名化、聚合處理或被各隱私法視為公共可用的數(shù)據(jù)”，但被司法部拒絕。司法部認(rèn)為，即使是匿名化數(shù)據(jù)，如果它們規(guī)模龐大并且被聚合起來(lái)，中國(guó)仍能據(jù)此識(shí)別具體個(gè)人，并可能用來(lái)?yè)p害美國(guó)國(guó)家安全，這正是美國(guó)要防范的風(fēng)險(xiǎn)。

2、列舉的識(shí)別符

“列舉識(shí)別符”（listed identifier）是指以下數(shù)據(jù)字段（data fields）中的任一項(xiàng)：

（1）完整或截?cái)嗟恼R(shí)別號(hào)碼或賬號(hào)號(hào)碼（例如社會(huì)安全號(hào)碼、駕照或州身份證號(hào)、護(hù)照號(hào)或外國(guó)人登記號(hào)）；

（2）與金融機(jī)構(gòu)或金融服務(wù)公司關(guān)聯(lián)的完整金融賬號(hào)或個(gè)人識(shí)別碼；

（3）基于設(shè)備或硬件的識(shí)別符（如國(guó)際移動(dòng)設(shè)備識(shí)別碼 IMEI、媒體訪問控制地址 MAC、用戶識(shí)別模塊 SIM 卡號(hào)碼）；

（4）人口統(tǒng)計(jì)或聯(lián)系數(shù)據(jù)（例如姓名、出生日期、出生地、郵政編碼、居住街道或郵寄地址、電話號(hào)碼、電子郵箱地址或類似的公共賬號(hào)標(biāo)識(shí)符）；

（5）廣告識(shí)別符（例如谷歌廣告 ID、蘋果廣告標(biāo)識(shí)符，或其他移動(dòng)廣告 ID）；

（6）賬號(hào)驗(yàn)證數(shù)據(jù)（例如賬號(hào)用戶名、賬號(hào)密碼或答案安全問題）；

（7）基于網(wǎng)絡(luò)的識(shí)別符（如 IP 地址或 Cookie 數(shù)據(jù)）；

（8）通話詳單數(shù)據(jù)（如客戶專有網(wǎng)絡(luò)信息 CPNI）。

3、精確的地理位置數(shù)據(jù)：

相比擬議規(guī)則沒有任何修改?！熬_地理位置數(shù)據(jù)” 被定義為能夠以 1000 米以內(nèi)的精度確定個(gè)人或設(shè)備的物理位置的數(shù)據(jù)，包括歷史數(shù)據(jù)和實(shí)時(shí)數(shù)據(jù)，例如GPS 坐標(biāo)和IP地址。

3、生物識(shí)別標(biāo)識(shí)符：

相比擬議規(guī)則沒有任何修改。定義為：用于識(shí)別或驗(yàn)證個(gè)人身份的一種可測(cè)量的生理特征或行為方式，包括面部圖像、聲紋及其模式、視網(wǎng)膜與虹膜掃描、手掌紋和指紋、步態(tài)以及鍵盤輸入模式等，這些特征被錄入生物識(shí)別系統(tǒng)，并由該系統(tǒng)生成模板（templates）。

4、人類基因組數(shù)據(jù)：

從公眾反饋看，針對(duì)該類數(shù)據(jù)的不同意見很多，不少評(píng)論擔(dān)心以后人類基因數(shù)據(jù)會(huì)因?yàn)樵撘?guī)則被社會(huì)渲染為“特殊且危險(xiǎn)”的數(shù)據(jù)，從而損害公眾對(duì)科學(xué)家群體的信任，并對(duì)后續(xù)研究招募造成不利影響。

但司法部認(rèn)為，美國(guó)情報(bào)部門已明確指出，中國(guó)能接觸美國(guó)大規(guī)模人類基因組數(shù)據(jù)會(huì)帶來(lái)嚴(yán)重的國(guó)家安全風(fēng)險(xiǎn)，這些安全風(fēng)險(xiǎn)的重要性遠(yuǎn)勝于上述對(duì)公共信任或科研招募的潛在、間接影響，因此仍有必要將人類基因組數(shù)據(jù)列管。

司法部采納了一些反饋意見，對(duì)該定義作出一些修訂：

（1）將“人類蛋白組數(shù)據(jù)（human proteomic data）”明確定義為不包含常規(guī)臨床測(cè)量數(shù)據(jù)；

（2）對(duì)“人類表觀基因組數(shù)據(jù)（human epigenomic data）”和“人類轉(zhuǎn)錄組數(shù)據(jù)（human transcriptomic data）”也作了類似補(bǔ)充，并明確其須源自對(duì)系統(tǒng)層面（systems-level）的分析。

（3）保持?jǐn)M議規(guī)則對(duì)人類基因組數(shù)據(jù)的 100 名美國(guó)個(gè)人閾值不變，但對(duì)表觀基因組、蛋白組和轉(zhuǎn)錄組數(shù)據(jù)的閾值提升為1000 名美國(guó)個(gè)人。

5、個(gè)人金融數(shù)據(jù)：

和擬議規(guī)則沒有明顯變化。有評(píng)論希望澄清“個(gè)人金融歷史”是不是限于和金融機(jī)構(gòu)發(fā)生的交易記錄，購(gòu)買和支付記錄算不算。對(duì)此，司法部明確：“個(gè)人金融數(shù)據(jù)”包括支付記錄，并不局限于金融機(jī)構(gòu)掌握的支付與購(gòu)買歷史。

6、個(gè)人健康數(shù)據(jù)：

司法部在本規(guī)則中對(duì)“個(gè)人健康數(shù)據(jù)”的定義作了更清晰的解釋，尤其是幫助不熟悉《健康保險(xiǎn)攜帶與責(zé)任法》及其術(shù)語(yǔ)的行業(yè)主體理解：個(gè)人健康數(shù)據(jù)需要是“指示、揭示或描述”某個(gè)人過(guò)去、現(xiàn)在或未來(lái)的身體或心理健康狀態(tài)、醫(yī)療服務(wù)過(guò)程或相關(guān)醫(yī)療付款。

有評(píng)論表示，《健康保險(xiǎn)攜帶與責(zé)任法》關(guān)于去標(biāo)識(shí)化的標(biāo)準(zhǔn)已不適應(yīng)當(dāng)下“數(shù)據(jù)豐富、計(jì)算能力強(qiáng)”的環(huán)境，建議對(duì)傳統(tǒng)意義上已符合《健康保險(xiǎn)攜帶與責(zé)任法》去標(biāo)識(shí)化的數(shù)據(jù)（例如醫(yī)療記錄、藥房記錄及生殖健康記錄）也納入本規(guī)則，司法部采納了這個(gè)建議。

關(guān)于美國(guó)個(gè)人敏感數(shù)據(jù)的“批量”閾值

不是只要屬于上述數(shù)據(jù)才會(huì)落入新規(guī)管轄。在2月份的擬議規(guī)則預(yù)通知中，司法部就確立了一個(gè)基于“閾值”的風(fēng)險(xiǎn)分析框架，為各類敏感個(gè)人數(shù)據(jù)設(shè)置了不同的數(shù)量門檻，涵蓋的數(shù)據(jù)交易發(fā)生前的12個(gè)月內(nèi)的任何時(shí)間點(diǎn)，同一涵蓋人員在所有交易中涉及的數(shù)據(jù)累計(jì)達(dá)到一定數(shù)量才能算。在預(yù)通知中，司法部為每個(gè)類別的數(shù)據(jù)的批量閾值設(shè)定了潛在的上限和下限，分別對(duì)應(yīng)高風(fēng)險(xiǎn)和低風(fēng)險(xiǎn)，依靠數(shù)量級(jí)差異來(lái)初步判斷風(fēng)險(xiǎn)。

在10月份發(fā)布擬議規(guī)則的時(shí)候，司法部抱怨說(shuō)，收到的評(píng)論對(duì)“批量”閾值的觀點(diǎn)五花八門，但沒有一個(gè)提供了可操作的數(shù)據(jù)點(diǎn)、用例或證據(jù)來(lái)支持替代的分析框架，或支持采用這個(gè)特定閾值而不是哪一個(gè)。司法部甚至還連同商務(wù)部分別去一對(duì)一請(qǐng)教了對(duì)這個(gè)問題發(fā)表了評(píng)論意見的人，但一無(wú)所獲，也就是大家都不知道應(yīng)該怎么來(lái)定這個(gè)閾值。最后，司法部采取的辦法是折中，除人類基因組數(shù)據(jù)因?yàn)楦叨让舾幸约澳軒?lái)的超出反情報(bào)風(fēng)險(xiǎn)的重大額外國(guó)家安全風(fēng)險(xiǎn)，所以保持低閾值外，其他敏感個(gè)人數(shù)據(jù)類別的批量閾值大約是預(yù)通知中確定的初步范圍的中間數(shù)量級(jí)（例如，生物識(shí)別標(biāo)識(shí)符的批量閾值是1000 名美國(guó)人，對(duì)應(yīng)預(yù)通知里100到10000的中間數(shù)）。這樣，幾類數(shù)據(jù)的批量閾值分別是：

?人類基因組數(shù)據(jù)：超過(guò) 100 名美國(guó)人。

?生物識(shí)別標(biāo)識(shí)符和精確地理位置數(shù)據(jù)：超過(guò) 1000 名美國(guó)人。

?個(gè)人健康數(shù)據(jù)和個(gè)人財(cái)務(wù)數(shù)據(jù)：超過(guò) 10000 名美國(guó)人。

?涵蓋的個(gè)人標(biāo)識(shí)符：超過(guò) 100000 名美國(guó)人。

本次最終規(guī)則里，司法部說(shuō)，沒有評(píng)論反對(duì)上面基于“閾值”的風(fēng)險(xiǎn)分析框架，也沒有人提出其他的替代方法，大部分評(píng)論都只是表達(dá)對(duì)閾值的政策傾向。因此，最終規(guī)則基本維持了上述閾值，只對(duì)人類基因組數(shù)據(jù)中的三類數(shù)據(jù)（表觀基因組、蛋白組和轉(zhuǎn)錄組數(shù)據(jù)）閾值從100名美國(guó)人提升到1000名。同時(shí)，司法部也強(qiáng)調(diào)，打算持續(xù)關(guān)注技術(shù)和威脅演變，如果有必要的話可以修改本規(guī)則調(diào)整閾值。

可以看到，最終規(guī)則上述基于“閾值”的風(fēng)險(xiǎn)分析框架和中國(guó)的“重要數(shù)據(jù)”相關(guān)規(guī)定很像。在美國(guó)公眾和專家提交的評(píng)論中，果然也有人指出來(lái)了，說(shuō)司法部這是在抄中國(guó)的作業(yè)，咱們美國(guó)不能學(xué)中國(guó)那一套。但司法部說(shuō)，咱們和中國(guó)不一樣，美國(guó)秉持跨境數(shù)據(jù)自由流動(dòng)的基本立場(chǎng)，只有當(dāng)特定商業(yè)交易場(chǎng)景涉及“國(guó)家安全風(fēng)險(xiǎn)”才加以禁限。而中國(guó)的模式是一般情況下默認(rèn)限制數(shù)據(jù)出境，本質(zhì)上和本規(guī)則“只限制特定敏感數(shù)據(jù)交易”不同；即使都采用了某個(gè)數(shù)值門檻，也不能把兩者同日而語(yǔ)。

（二）政府相關(guān)數(shù)據(jù)

相比NPRM沒有變化，兩類政府相關(guān)數(shù)據(jù)（對(duì)這類數(shù)據(jù)沒有閾值限制，不管多少都算）：

1、關(guān)于政府活動(dòng)地點(diǎn)的數(shù)據(jù)，司法部和其他政府部門協(xié)商，制定了一個(gè)《政府相關(guān)位置數(shù)據(jù)列表》的格式，并且表上列出了一些地理區(qū)域內(nèi)的“精確地理位置數(shù)據(jù)”，統(tǒng)一將其劃入“政府相關(guān)數(shù)據(jù)”。主要包括一些政府部門、軍事基地、大使館等。

2、關(guān)于美國(guó)政府人員的數(shù)據(jù)，即與美國(guó)政府（包括軍隊(duì)和情報(bào)機(jī)構(gòu)）的現(xiàn)任或近期前任雇員或承包商，或前任高級(jí)官員相關(guān)聯(lián)或可關(guān)聯(lián)的數(shù)據(jù)?！敖谇叭喂蛦T或承包商” 是指在涵蓋的數(shù)據(jù)交易之前的 2 年內(nèi)，有償或無(wú)償為美國(guó)政府工作或向美國(guó)政府提供服務(wù)的雇員或承包商。

二、受管轄的人員或?qū)嶓w

（一）關(guān)注國(guó)家

相比NPRM沒有變化，還是中國(guó)（包括香港和澳門）、古巴、伊朗、朝鮮、俄羅斯和委內(nèi)瑞拉。

（二）涵蓋主體（美國(guó)主體涉上述數(shù)據(jù)的交易的中國(guó)合作方）：

具體來(lái)說(shuō)，以下情況屬于“涵蓋主體”：

• 由關(guān)注國(guó)家直接或間接、單獨(dú)或合計(jì)擁有50%或以上股權(quán)的實(shí)體，以及在關(guān)注國(guó)家注冊(cè)或其主要業(yè)務(wù)地在關(guān)注國(guó)家的實(shí)體（A）；

• 由A、C或E涵蓋主體直接或間接、單獨(dú)或合計(jì)擁有50%或以上股權(quán)的實(shí)體（B）；

• 作為關(guān)注國(guó)家、A、B或E涵蓋主體的員工或合同工的外國(guó)主體（C）；

• 主要居住在關(guān)注國(guó)家領(lǐng)土管轄范圍內(nèi)的外國(guó)主體（D）；

• 美國(guó)司法部部長(zhǎng)指定為：1）現(xiàn)在、曾經(jīng)或可能被關(guān)注國(guó)家擁有或控制，或受關(guān)注國(guó)家管轄或指示的主體；2）現(xiàn)在、曾經(jīng)或可能代表或聲稱代表受關(guān)注國(guó)家或相關(guān)人員行事的主體；3）“故意”（知道或應(yīng)知）導(dǎo)致或“引起”（決定、批準(zhǔn)）違反相關(guān)規(guī)定行為的主體（E）

在擬議規(guī)則中，司法部曾提到若某實(shí)體由關(guān)注國(guó)家或已被認(rèn)定的涵蓋主體直接或間接持股 50% 以上，或其注冊(cè)地、主要營(yíng)業(yè)地在關(guān)注國(guó)家，或其對(duì)該實(shí)體有控制力的母公司或利益持有人為關(guān)注國(guó)家，即可被自動(dòng)視為“涵蓋主體”。

最終規(guī)則中，司法部對(duì)上面做了一些文字上的技術(shù)性修訂，使之更符合美國(guó)財(cái)政部外國(guó)資產(chǎn)管理辦公室（OFAC）的“50%規(guī)則”表述：明確“直接或間接”以及“單獨(dú)或合計(jì)達(dá) 50%”的持股方式，引入“多個(gè)受關(guān)注國(guó)家或多個(gè)涵蓋的人員或?qū)嶓w”合計(jì)持股情形。這些修訂不改變?cè)疽鈭D和范圍，只是幫助企業(yè)和機(jī)構(gòu)在實(shí)際執(zhí)行時(shí)與過(guò)去熟悉的OFAC規(guī)則接軌。

有評(píng)論指出：49% 的所有權(quán)與 50% 其實(shí)相差不多，是否意味著 49% 也應(yīng)被納入涵蓋的人員或?qū)嶓w的范圍？司法部回應(yīng)說(shuō)，目前仍堅(jiān)持以“50%或以上”作為客觀明晰的指標(biāo)（brightline rule）；少數(shù)股權(quán)雖然可能帶來(lái)控制權(quán)或?qū)嵸|(zhì)影響，但如果存在“控制”或可被外國(guó)法律強(qiáng)制，則可以通過(guò)“指定程序”將其列為涵蓋的人員或?qū)嶓w，而不是自動(dòng)認(rèn)定。

總的來(lái)說(shuō)，最終規(guī)則維持了“所有權(quán) ≥ 50%”和“主要營(yíng)業(yè)地或受在關(guān)注國(guó)家法律設(shè)立”等客觀標(biāo)準(zhǔn)，以便企業(yè)自主識(shí)別和合規(guī)。對(duì)少數(shù)股權(quán)（<50%）但存在實(shí)質(zhì)控制的情況，司法部可以通過(guò)“指定程序”將其認(rèn)定為涵蓋的人員或?qū)嶓w。

根據(jù)最終規(guī)則，司法部需要維護(hù)一個(gè)公開的“涵蓋人員清單”（“Covered Persons List”），有評(píng)論希望該清單更加全面、實(shí)時(shí)更新，并包含別名、技術(shù)識(shí)別碼等，以便自動(dòng)化合規(guī)。但司法部回應(yīng)稱：該清單和OFAC的制裁清單一樣，不是“窮盡列舉”，只是把經(jīng)司法部正式“指定”為“涵蓋人員”的主體納入。美國(guó)公司如果在和合作伙伴做生意時(shí)發(fā)現(xiàn)對(duì)方可能符合 “涵蓋人員”標(biāo)準(zhǔn)，仍需自行基于風(fēng)險(xiǎn)情況篩查。

三、受管轄的交易

和擬議規(guī)則相比沒有變化，還是分成了“被禁止的交易”和“受限制的交易”。

（一）禁止的交易

• 數(shù)據(jù)經(jīng)紀(jì)交易：數(shù)據(jù)接收方不直接從個(gè)人處收集數(shù)據(jù)，而是從數(shù)據(jù)提供方（即數(shù)據(jù)經(jīng)紀(jì)人）處購(gòu)買、被許可訪問數(shù)據(jù)。從事數(shù)據(jù)經(jīng)紀(jì)業(yè)務(wù)的美國(guó)人要跟相關(guān)交易的外國(guó)主體簽署合同，確保對(duì)方不得將數(shù)據(jù)轉(zhuǎn)售或以其他方式讓中國(guó)或中國(guó)公司進(jìn)行獲取和交易這些數(shù)據(jù)。

• 在“明知地（knowingly）”情況下從事的相關(guān)交易，導(dǎo)致中國(guó)等外國(guó)對(duì)手及其公司能訪問以下類型的數(shù)據(jù)：（1）批量美國(guó)敏感個(gè)人數(shù)據(jù)，且該數(shù)據(jù)包含“人類基因組數(shù)據(jù)；（2）能推導(dǎo)出“人類基因組數(shù)據(jù)”的人類生物樣本。前提是此類數(shù)據(jù)在前 12 個(gè)月內(nèi)達(dá)到或超過(guò)相應(yīng)的閾值。

（二）受限制的交易

和擬議規(guī)則相比沒有變化，三類受限制的交易是：供應(yīng)商協(xié)議、雇傭協(xié)議和被動(dòng)投資協(xié)議。這類交易需要按照國(guó)土安全部網(wǎng)絡(luò)和基礎(chǔ)設(shè)施保護(hù)局（CISA）已經(jīng)發(fā)布的網(wǎng)絡(luò)安全要求采取保護(hù)措施，才能放行。具體的安全要求包括網(wǎng)絡(luò)安全措施，如基本的組織網(wǎng)絡(luò)安全政策和實(shí)踐、物理和邏輯訪問控制、數(shù)據(jù)掩碼和最小化、加密和使用隱私增強(qiáng)技術(shù)。

有一些評(píng)論質(zhì)疑說(shuō)，這些交易不會(huì)威脅美國(guó)的國(guó)家安全，根本不用限制。司法部舉了今年3月谷歌軟件工程師丁林偉（Leon Ding）在谷歌就職期間拷貝數(shù)百份內(nèi)部文件并發(fā)送給中國(guó)科技企業(yè)的例子，證明中國(guó)這樣的“外國(guó)對(duì)手”會(huì)利用商業(yè)投資、雇傭關(guān)系或供應(yīng)商角色獲取美國(guó)關(guān)鍵技術(shù)和數(shù)據(jù)信息。如果不管的話，美國(guó)的國(guó)家安全會(huì)受到威脅。司法部還說(shuō)，別說(shuō)限制了，都考慮過(guò)全面禁止這些交易，但國(guó)土安全部已經(jīng)發(fā)了網(wǎng)絡(luò)安全要求，遵守這些要求可以有效降低風(fēng)險(xiǎn)，所以我們不把它們?nèi)拷埂?/p>

有評(píng)論者提出，“明知”的尺度太不好把握了，特別是給云服務(wù)商的合規(guī)負(fù)擔(dān)太重，會(huì)影響美國(guó)的人工智能產(chǎn)業(yè)發(fā)展，應(yīng)該把“明知”改成“實(shí)際知悉”，免除“數(shù)據(jù)經(jīng)紀(jì)人”和云服務(wù)商”的主動(dòng)盡調(diào)義務(wù)。對(duì)此，司法部沒有同意，強(qiáng)調(diào)如果云服務(wù)商只對(duì)客戶提供通用技術(shù)，并且確實(shí)不知情且沒法合理推定是知情的，不用承擔(dān)嚴(yán)格責(zé)任。本規(guī)則也不是要求云服務(wù)商對(duì)每一筆客戶數(shù)據(jù)使用都承擔(dān)責(zé)任，而只是讓云服務(wù)商在和中國(guó)客戶達(dá)成協(xié)議，并且可能導(dǎo)致對(duì)方能獲取大規(guī)模美國(guó)敏感個(gè)人數(shù)據(jù)時(shí)，必須得遵守最終規(guī)則的限制性要求。

為了解決潛在的規(guī)避問題，最終規(guī)則禁止美國(guó)人故意指導(dǎo)規(guī)避法規(guī)的交易，以及違反法規(guī)的共謀，但明確，如果美國(guó)人員只是提供第三方平臺(tái)或基礎(chǔ)設(shè)施，沒有直接參與被禁止或受限制的交易，不用承擔(dān)民事或刑事責(zé)任。

（三）豁免的交易

1. 不涉及價(jià)值交換的個(gè)人通信；涉及言論或出版物的進(jìn)出口信息材料；個(gè)人旅行信息（行李、生活費(fèi)、旅行安排）；

2. 美國(guó)政府官方活動(dòng)；

3. 只是提供金融服務(wù)（如銀行業(yè)、資本市場(chǎng)或金融保險(xiǎn)活動(dòng)；其他監(jiān)管機(jī)構(gòu)監(jiān)管范圍內(nèi)的金融活動(dòng)；提供或處理涉及個(gè)人財(cái)務(wù)數(shù)據(jù)或涵蓋個(gè)人身份標(biāo)識(shí)轉(zhuǎn)移的支付，用于購(gòu)買和銷售商品和服務(wù)；以及法律和監(jiān)管合規(guī)）；

4. 美國(guó)跨國(guó)公司內(nèi)部業(yè)務(wù)運(yùn)營(yíng)產(chǎn)生的數(shù)據(jù)交易（如用于人力資源管理、工資支付、稅費(fèi)支付、外部審計(jì)、差旅、合規(guī)、風(fēng)險(xiǎn)管理等目的的交易）；

5. 美國(guó)聯(lián)邦法律或國(guó)際協(xié)議所要求或授權(quán)的交易（如旅客名單信息、國(guó)際刑警組織發(fā)出的搜查令等）；

6. 和美國(guó)外國(guó)投資委員會(huì)（CFIUS）達(dá)成緩解措施協(xié)議后的投資協(xié)議，并且CFIUS明確要求將他們豁免；

7. 通常屬于提供電信服務(wù)所必需和從屬的所有語(yǔ)音和數(shù)據(jù)通信服務(wù)（包括國(guó)際呼叫、移動(dòng)語(yǔ)音和數(shù)據(jù)漫游）；

8. 涉及藥品、生物制品、器械或組合產(chǎn)品的審批或授權(quán)的數(shù)據(jù)交易，且該等“監(jiān)管審批數(shù)據(jù)”已按美國(guó)藥監(jiān)局規(guī)定去標(biāo)識(shí)或化名處理，僅限于評(píng)估安全性與有效性所必需的信息；

9. 其他臨床研究和上市后監(jiān)測(cè)數(shù)據(jù)。如果這些交易符合美國(guó)藥監(jiān)局的相關(guān)要求，也可豁免。

四、合規(guī)機(jī)制

（一）許可程序

最終規(guī)則授權(quán)司法部在特定條件下簽發(fā)一般許可證（general licenses），允許原本被禁止或受限制的交易繼續(xù)進(jìn)行。滿足條件的交易無(wú)需另外申請(qǐng)授權(quán)，例如，在特定領(lǐng)域或行業(yè)場(chǎng)景下可授權(quán)有序結(jié)束（wind-down）的數(shù)據(jù)交易。

最終規(guī)則也授權(quán)司法部簽發(fā)特定許可證（specific licenses），供各方在提交交易細(xì)節(jié)后進(jìn)行申請(qǐng)。

最終規(guī)則明確了簽發(fā)一般許可證和特定許可證的要求與程序，包括如何申請(qǐng)?zhí)囟ㄔS可證或在新的信息基礎(chǔ)上申請(qǐng)復(fù)議。司法部計(jì)劃另行發(fā)布申請(qǐng)?zhí)囟ㄔS可證的操作說(shuō)明。

（二）指導(dǎo)和咨詢意見

允許司法部發(fā)布面向公眾的常見問答和普適性指導(dǎo)，以解答常見問題和針對(duì)常見場(chǎng)景提供說(shuō)明，同時(shí)也允許為特定交易簽發(fā)咨詢意見（advisory opinion），說(shuō)明法規(guī)對(duì)特定實(shí)際交易（而非假設(shè)情形）的適用范圍或解釋。

允許受監(jiān)管對(duì)象就其“實(shí)際且具體”的交易向司法部提交咨詢意見請(qǐng)求，但對(duì)于“假設(shè)場(chǎng)景”則不予受理。

（三）內(nèi)部合規(guī)項(xiàng)目

最終規(guī)則沒有在整個(gè)美國(guó)經(jīng)濟(jì)或所有數(shù)據(jù)交易層面統(tǒng)一規(guī)定盡職調(diào)查、記錄保存、報(bào)告或其他合規(guī)要求，而是借鑒了美國(guó)財(cái)政部外國(guó)資產(chǎn)管制辦公室的經(jīng)濟(jì)制裁項(xiàng)目，要求美國(guó)企業(yè)和個(gè)人基于自身風(fēng)控需求，設(shè)立并實(shí)施合規(guī)項(xiàng)目。

具體合規(guī)項(xiàng)目可能視企業(yè)規(guī)模、產(chǎn)品和服務(wù)類型、客戶與交易對(duì)手所在區(qū)域等多個(gè)因素而有所差異。如果發(fā)生違規(guī)行為，司法部在執(zhí)法時(shí)會(huì)考慮合規(guī)項(xiàng)目的合理充分性。

只有當(dāng)美國(guó)人員從事“受限制交易”時(shí)，才需履行強(qiáng)制合規(guī)要求（affirmative compliance obligations），具體包括：

• 建立全面的合規(guī)計(jì)劃：例如風(fēng)險(xiǎn)評(píng)估流程、數(shù)據(jù)流動(dòng)核查、識(shí)別數(shù)據(jù)類型及規(guī)模、識(shí)別交易雙方及供應(yīng)商、確認(rèn)數(shù)據(jù)用途及傳輸方式等。

• 制定并實(shí)施書面化的數(shù)據(jù)安全及合規(guī)政策，由負(fù)責(zé)人或員工每年進(jìn)行認(rèn)證。

• 年度審計(jì)：由內(nèi)外部獨(dú)立審計(jì)員對(duì)合規(guī)情況進(jìn)行年度審計(jì)，并保留審計(jì)報(bào)告，以驗(yàn)證其是否滿足國(guó)土安全部網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）制定的安全要求。

• 記錄保存：需將記錄保存至少10年，包括數(shù)據(jù)傳輸方式、交易日期、協(xié)議、許可證、咨詢意見以及與交易相關(guān)的任何資料，并對(duì)其準(zhǔn)確性進(jìn)行年度認(rèn)證。

（四）報(bào)告義務(wù)

為確保合規(guī)與國(guó)家安全設(shè)置了若干報(bào)告義務(wù)，包括：

1. 年度報(bào)告：對(duì)于從事“云計(jì)算服務(wù)”相關(guān)的受限制交易，并由中國(guó)等外國(guó)對(duì)手國(guó)家及其公司直接或間接持股25%或以上的美國(guó)主體，應(yīng)提交年度報(bào)告。

2. 被拒交易報(bào)告：任何美國(guó)主體如果拒絕了他人提出的“涉及數(shù)據(jù)經(jīng)紀(jì)業(yè)務(wù)、原本被禁止交易”的合作意向，需要報(bào)告。

3. 疑似違規(guī)報(bào)告：若美國(guó)主體與外國(guó)主體在數(shù)據(jù)經(jīng)紀(jì)業(yè)務(wù)中合作，卻知悉或懷疑對(duì)方違反了不得向中國(guó)等外國(guó)對(duì)手國(guó)家及其公司轉(zhuǎn)售或提供數(shù)據(jù)的限制，需要報(bào)告。

4. 豁免情況報(bào)告：當(dāng)美國(guó)主體援引豁免條款，為在中國(guó)等外國(guó)對(duì)手國(guó)家獲得或維持藥品、生物制品、器械或組合產(chǎn)品的上市許可而進(jìn)行必要數(shù)據(jù)交易時(shí)，需要報(bào)告。

最終規(guī)則允許公司使用現(xiàn)有審計(jì)、報(bào)告或其他合規(guī)實(shí)踐，只要符合要求，無(wú)需額外建立單獨(dú)系統(tǒng)或報(bào)表，也允許使用內(nèi)部或外部獨(dú)立審計(jì)，前提是滿足獨(dú)立性和其他規(guī)定。

對(duì)受限制交易的審計(jì)僅需針對(duì)“受限制交易”進(jìn)行，并僅需審查相關(guān)政策、人員和系統(tǒng)（而非所有數(shù)據(jù)交易）。

五、執(zhí)行

最終規(guī)則采取基于IEEPA的執(zhí)行機(jī)制，賦予司法部廣泛的調(diào)查權(quán)力，包括調(diào)查、召開聽證會(huì)、檢查證據(jù)、詢問證人，并發(fā)出相關(guān)的傳票來(lái)獲取證人或文件。如果發(fā)生違規(guī)行為，可能會(huì)面臨民事和刑事處罰。

民事處罰受《聯(lián)邦民事處罰通貨膨脹調(diào)整法》的約束，最高可達(dá)368,136美元或交易金額的兩倍，取金額較高者為準(zhǔn)。NPRM還規(guī)定了司法部處理違規(guī)行為和發(fā)布民事處罰的程序，允許相關(guān)各方在處罰發(fā)布前有機(jī)會(huì)進(jìn)行回應(yīng)。故意違規(guī)的后果更嚴(yán)重，可能導(dǎo)致高達(dá)100萬(wàn)美元的刑事罰款，甚至最高20年的監(jiān)禁。

六、其他一些重要澄清（通過(guò)問答形式發(fā)布）

1. 該最終規(guī)則何時(shí)生效？

• 將在刊登于《聯(lián)邦公報(bào)》后90天生效。對(duì)于“受限制交易”（法規(guī)第J分部分）中的盡職調(diào)查與審計(jì)要求，以及在 §§ 202.1103 和 202.1104 中的部分報(bào)告義務(wù)，則將在刊登后270天分階段生效。司法部計(jì)劃繼續(xù)與各方溝通，以決定是否需要簽發(fā)任何過(guò)渡或一般性許可證。

• 一旦生效，本法規(guī)的禁止和限制適用于在相關(guān)生效日期發(fā)起、進(jìn)行或完成的所有“涵蓋數(shù)據(jù)交易”。除非豁免或得到授權(quán)，自生效日起，美國(guó)人員在明知情況下進(jìn)行被禁止或受限制的數(shù)據(jù)交易，即須遵守本法規(guī)，即便在生效前已簽署合同或已獲許可證/許可。

2. 一旦生效，誰(shuí)需遵守該規(guī)則？

• 所有本規(guī)則定義的“美國(guó)人”在本規(guī)則生效后都必須遵守。

• 非美國(guó)人員也需遵守法規(guī)中的部分禁止，如：不得導(dǎo)致或共謀導(dǎo)致美國(guó)人員違反法規(guī)，不得從事規(guī)避法規(guī)之目的的交易等。

• 司法部計(jì)劃在法規(guī)生效前發(fā)布關(guān)于合規(guī)、執(zhí)法及其他方面的進(jìn)一步指導(dǎo)。

3. 由司法部哪個(gè)部門負(fù)責(zé)執(zhí)行這些職權(quán)？

• 該項(xiàng)目在司法部國(guó)家安全司（National Security Division）內(nèi)，由其外資審查處（Foreign Investment Review Section, FIRS）負(fù)責(zé)日常執(zhí)行，并在必要時(shí)與司法部其他部門、國(guó)土安全部及其他機(jī)構(gòu)協(xié)同。

4.最終規(guī)則是否會(huì)禁止來(lái)自外國(guó)對(duì)手的應(yīng)用程序或社交媒體平臺(tái)？

• 不會(huì)。本法規(guī)并未禁止任何特定應(yīng)用程序或社交媒體平臺(tái)，也不針對(duì)任何單一應(yīng)用或技術(shù)。該法規(guī)僅針對(duì)最嚴(yán)重的數(shù)據(jù)安全風(fēng)險(xiǎn)（而非所有國(guó)家安全風(fēng)險(xiǎn)，如應(yīng)用安全或虛假信息）且只針對(duì)一定范圍內(nèi)的數(shù)據(jù)（敏感個(gè)人數(shù)據(jù)，而非所有數(shù)據(jù)），并且僅適用于一小部分已明確指定的關(guān)注國(guó)家。此外，本法規(guī)只處理向涵蓋主體或關(guān)注國(guó)家提供此類數(shù)據(jù)的國(guó)家安全風(fēng)險(xiǎn)，不涉及社交媒體在國(guó)內(nèi)隱私方面可能帶來(lái)的更廣泛挑戰(zhàn)。根據(jù) 50 U.S.C. § 1702(b)(3)，該法規(guī)排除對(duì)表達(dá)性信息（如視頻、藝術(shù)作品、出版物）所涉交易的監(jiān)管。

5.最終規(guī)則是否會(huì)監(jiān)管在美國(guó)境內(nèi)進(jìn)行的純國(guó)內(nèi)數(shù)據(jù)收集、處理或使用？

• 不會(huì)。該法規(guī)并不監(jiān)管美國(guó)人員在美國(guó)境內(nèi)之間進(jìn)行的純國(guó)內(nèi)交易（如美國(guó)人員對(duì)數(shù)據(jù)的收集、維護(hù)、處理或使用），除非該美國(guó)人員已被明確且公開指定為涵蓋主體。

6.最終規(guī)則是否賦予司法部新的監(jiān)控權(quán)限或追蹤美國(guó)人數(shù)據(jù)的能力？

• 不會(huì)。最終法規(guī)與美國(guó)政府在執(zhí)法及國(guó)家安全領(lǐng)域依法開展情報(bào)收集的權(quán)限無(wú)關(guān)。該規(guī)則本身并未、也不會(huì)要求美國(guó)企業(yè)監(jiān)控其員工、客戶或其他私人實(shí)體。從個(gè)人通信到表達(dá)性信息，以及與表達(dá)性材料通常相關(guān)的元數(shù)據(jù)（或?yàn)閭鬏敾騻鞑ケ磉_(dá)性材料而合理必要的元數(shù)據(jù)），都被排除在該規(guī)則的適用范圍之外。此外，法規(guī)不監(jiān)管美國(guó)人員在美國(guó)境內(nèi)之間進(jìn)行的純國(guó)內(nèi)交易（例如美國(guó)人員對(duì)數(shù)據(jù)的收集、維護(hù)、處理或使用），除非其中一方被明確指定為“涵蓋主體”。

1. 最終規(guī)則是否會(huì)阻礙醫(yī)藥、健康或科學(xué)研究，或阻止新藥的研發(fā)與市場(chǎng)推廣？

• 不會(huì)。最終規(guī)則僅禁止或限制在滿足特定條件時(shí)涉及商業(yè)交易（包括支付或其他對(duì)價(jià)交換）的某些類別數(shù)據(jù)交易，并不會(huì)禁止或限制在關(guān)注國(guó)家開展的美國(guó)科研活動(dòng)，也不會(huì)限制美國(guó)研究機(jī)構(gòu)與這些國(guó)家或涵蓋主體之間在不涉及商業(yè)交易（不包含支付或其他對(duì)價(jià)）的科研合作。此外，本規(guī)則還包含專門的豁免條款，以確保關(guān)鍵的醫(yī)療健康研究活動(dòng)不被影響，其中包括：對(duì)聯(lián)邦資助研究的豁免、根據(jù)國(guó)際協(xié)議（包括某些與流行病及全球衛(wèi)生監(jiān)測(cè)相關(guān)的協(xié)議）進(jìn)行數(shù)據(jù)共享的豁免，為藥品、器械、生物制品的監(jiān)管審批提交數(shù)據(jù)的豁免，以及某些臨床研究數(shù)據(jù)和上市后監(jiān)測(cè)數(shù)據(jù)的豁免。

本文僅供業(yè)內(nèi)人士學(xué)習(xí)研究使用，不構(gòu)成投資建議，轉(zhuǎn)載請(qǐng)注明出處。最終規(guī)則的全文、司法部公告、Fact Sheet等文件的中英文版本，參見知識(shí)星球。