4月8日，美國防止中國獲取美國人批量敏感個人數(shù)據(jù)和政府相關(guān)數(shù)據(jù)的聯(lián)邦法規(guī)正式生效（一些盡職調(diào)查、審計、報告義務(wù)2025年10月6日起生效）。為進(jìn)一步澄清相關(guān)問題，便利美國個人和企業(yè)合規(guī)，司法部國家安全司4月11日發(fā)布了“法規(guī)常見問答”、“前90天實施政策”、“合規(guī)指引”三個文件。

關(guān)于這部法規(guī)我一直有個疑問：它到底管不管美國企業(yè)和中企美國子公司之間的交易？換言之，該法規(guī)只針對美國數(shù)據(jù)向中國的“跨境流動”或中國對美國數(shù)據(jù)的“跨境訪問”，還是也規(guī)范美國數(shù)據(jù)的“境內(nèi)轉(zhuǎn)移”？在去年12月“”一文中，我曾提出該問題：

特別值得警惕的是，該規(guī)則的影響可能超出數(shù)據(jù)跨境流動，波及中國企業(yè)的美國子公司在美國開展的交易。美國司法部一方面明確該規(guī)則不監(jiān)管“美國人”之間在美國境內(nèi)進(jìn)行的“純國內(nèi)交易”（如“美國人”對數(shù)據(jù)的收集、維護(hù)、處理或使用），但又加了個限定：該“美國人”沒有被明確且公開指定為“受轄主體”（對受轄主體，司法部禁止或限制美國公司與之進(jìn)行涉美國人批量敏感數(shù)據(jù)和政府相關(guān)數(shù)據(jù)的交易）。 美國司法部至少理論上有可能把一些中國公司的美國子公司列入“受轄主體”清單，限制甚至禁止其在美國從事數(shù)據(jù)收集和處理活動。通過埋進(jìn)去這一條，美國司法部給自己制造了一個未來可以制裁中國在美公司的工具，且裁量權(quán)很大。

在認(rèn)真研讀了國安司發(fā)布的“常見問答”后，我的結(jié)論是：該法規(guī)對上述情況不僅要管，而且可能還是一個管控的重點。

該法規(guī)的核心思路是監(jiān)管“美國人”和“受轄主體”開展涉及“批量美國敏感個人數(shù)據(jù)或美國政府相關(guān)數(shù)據(jù)”的禁止性或限制性交易（數(shù)據(jù)經(jīng)紀(jì)、供應(yīng)商協(xié)議、雇傭協(xié)議、投資協(xié)議等），義務(wù)施加在“美國人”頭上。在多個復(fù)雜的概念中，搞清楚哪些是“受轄主體”是合規(guī)關(guān)鍵點，在這個基礎(chǔ)上再去看數(shù)據(jù)和交易的類型。

為了幫助美國公司判斷哪些是“受轄主體”，國安司將在官網(wǎng)“數(shù)據(jù)安全計劃”頁面發(fā)布一份“受轄主體”清單（Covered Persons List），并會在《聯(lián)邦公報》上公布。清單會定期更新，包括兩部分：

1、國安司根據(jù)第202.211(a)(5)條指定的“受轄主體”清單（指定清單）。

202.211(a)(5)條： 由司法部長認(rèn)定的任何主體，無論其位于何處： （1）由、曾由或可能由關(guān)注國家或受轄主體擁有或控制，或受其管轄或指示； （2）為、曾為或意圖為關(guān)注國家或受轄主體行事，或代表關(guān)注國家或受轄主體行事； （3）故意引發(fā)或指示違反本規(guī)則的行為，或可能故意引發(fā)或指示違反本規(guī)則的行為。

這個清單是詳盡的，里面所有列名主體均是國安司明確指定，類似財政部的SDN清單和商務(wù)部實體清單。美國公司和這些主體做生意，確定受到本法規(guī)的限制，無需自行盡調(diào)。

2、屬于第202.211(a)(1)至(4)條定義所述類別“受轄主體”的清單（定義清單）。

第202.211(a)(1)至(4)條： （1）由關(guān)注國家直接或間接、單獨或合計擁有50%或以上股權(quán)的實體，以及在關(guān)注國家注冊或其主要業(yè)務(wù)地在關(guān)注國家的實體（A）； （2）由A、C或E涵蓋主體直接或間接、單獨或合計擁有50%或以上股權(quán)的實體（B）； （3）作為關(guān)注國家、A、B或E涵蓋主體的員工或合同工的外國主體（C）； （4）主要居住在關(guān)注國家領(lǐng)土管轄范圍內(nèi)的外國主體（D）；

這個清單是開放式的，在上面的公司不是因為司法部指定了他們是“受轄主體”，而純粹是因為符合第202.211(a)(1)-(4)條定義的標(biāo)準(zhǔn)而自動成為這類主體。因為符合該標(biāo)準(zhǔn)的主體太多，很難想象憑國安司那11個人能窮盡地識別出來。即便美國公司和中國公司交易時，即便對方不在”受轄主體“清單上，美國公司也要自己根據(jù)第202.211(a)(1)至(4)條的標(biāo)準(zhǔn)盡職調(diào)查，判斷對方是否屬于“受轄主體”，并在此基礎(chǔ)上做好合規(guī)。

根據(jù)“常見問答”51，如果母公司總部位于中國等“關(guān)注國家”，該母公司的美國分支機(jī)構(gòu)應(yīng)當(dāng)視為母公司的一部分，不視為獨立實體，也不因設(shè)在美國而被認(rèn)定為“美國人”。這相當(dāng)于為本法規(guī)定義的“美國人”設(shè)了一個例外，由于中企的美國子公司是在美國境內(nèi)根據(jù)美國法律注冊成立，本應(yīng)屬于“美國人”，但這里司法部明確說不是。

“常見問答”5表示：數(shù)據(jù)安全計劃不涉及美國主體之間純粹的國內(nèi)數(shù)據(jù)交易，例如美國主體在美國境內(nèi)的數(shù)據(jù)收集、維護(hù)、處理或使用（這符合預(yù)期，因為IEEPA理論上只監(jiān)管美國人和外國人的跨境商貿(mào)活動），但該最后又加了這么一句：“除非這些美國主體被指定為受轄主體”。

也就是說，中國公司的美國子公司是可能被司法部指定為“受轄主體”的。假設(shè)中國公司甲根據(jù)美國法律、在美國境內(nèi)設(shè)立主體乙，運營一個網(wǎng)站或App，并存在收集、存儲、使用美國用戶個人數(shù)據(jù)的情況，該美國公司乙也會成為“受轄主體”，被禁止或限制跟美國公司從事相關(guān)涉及數(shù)據(jù)的交易?？紤]到受轄數(shù)據(jù)類型的模糊和寬泛，這很有可能。同理，一家中國云服務(wù)商的美國子公司為美國客戶存儲受轄數(shù)據(jù)或提供技術(shù)支持，也能落入這一情形。

如果中國母公司對美國子公司控股≥ 50%，則會自動落入“受轄主體”范圍，不管在不在“受轄主體”清單上，都受本法規(guī)的限制。如果中國母公司只持有美國子公司少數(shù)股權(quán)（<50%），但存在實質(zhì)控制（如通過協(xié)議安排、董事會控制權(quán)、或其他方式實質(zhì)控制子公司的決策），司法部可以把該子公司指定為“受轄主體”，列上“指定清單”。

根據(jù)“常見問答”，對“受轄主體”只有黑名單，沒有白名單，他們可以申請行政復(fù)議，尋求從“受轄主體”清單上除名，國安司后續(xù)將發(fā)布更多關(guān)于申請除名程序的信息。

如果中企的美國子公司大量被列入“受轄主體”清單，將顯著影響其在美國當(dāng)?shù)厣婕芭棵绹嗣舾袛?shù)據(jù)和政府相關(guān)數(shù)據(jù)的的交易。

首先，以下交易絕對禁止：

1、所有數(shù)據(jù)經(jīng)紀(jì)交易：如美國子公司將自行收集的美國用戶數(shù)據(jù)（如位置、消費行為、瀏覽記錄等）打包成數(shù)據(jù)集，出售或提供給美國其他企業(yè)（如營銷平臺、風(fēng)控公司、保險公司、廣告商）。

2、能讓該美國子公司或中國獲取大量美國人類組學(xué)數(shù)據(jù)，或可從中得出大量人類‘組學(xué)’數(shù)據(jù)的人類生物樣本的交易；

3、涉及上述禁止交易的“規(guī)避”“共謀”“指示”行為。

其次，涉及供應(yīng)商協(xié)議、雇傭協(xié)議或投資協(xié)議的數(shù)據(jù)交易不絕對禁止，但需要遵守國土安全部網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）的安全要求（已經(jīng)發(fā)布）及其他相關(guān)要求。

例如，美企將用戶數(shù)據(jù)處理或云基礎(chǔ)設(shè)施維護(hù)外包給中企的美國子公司；委托中企美國子公司開發(fā)系統(tǒng)、平臺或嵌入SDK，雇傭中企美國子公司的工程師、數(shù)據(jù)分析師，以及中企的美國子公司投資美國初創(chuàng)公司并獲得董事會席位、數(shù)據(jù)接口權(quán)限等，只要存在美國人批量敏感數(shù)據(jù)或政府相關(guān)數(shù)據(jù)因此被中企美國子公司訪問的風(fēng)險，都屬于受限制的交易。

這種情況下，滿足CISA的安全要求就會成為關(guān)鍵的合規(guī)路徑，有點類似CFIUS國家安全協(xié)議的緩解措施。CISA最終發(fā)布的安全要求分為兩大塊：

第一部分是“組織和系統(tǒng)層面”的要求，主要是讓企業(yè)建立好基本的安全管理機(jī)制，比如清點資產(chǎn)、控制誰能訪問系統(tǒng)、修補(bǔ)漏洞、記錄日志等。這部分只適用于那些涉及“受限交易”和“敏感數(shù)據(jù)”的特定系統(tǒng)，標(biāo)準(zhǔn)參考了一些已有的網(wǎng)絡(luò)安全框架（如NIST和CISA出的指導(dǎo)）。

第二部分是“數(shù)據(jù)層面”的要求，核心目的是防止中國等關(guān)注國家或企業(yè)能接觸到未經(jīng)處理的美國人敏感數(shù)據(jù)。它給出了幾種技術(shù)方案，比如脫敏、加密、限制訪問等，還特別強(qiáng)調(diào)：哪怕你用了安全措施，只要對方能“看見”數(shù)據(jù)，那也算是“訪問”，不能忽視。企業(yè)要根據(jù)數(shù)據(jù)敏感程度和交易類型，靈活組合使用這些手段，做到真正“有效阻止訪問”。

盡管有了“常見問答”等指南，關(guān)于該法規(guī)的一些重要問題還是沒有答案，比如怎么判斷哪些屬于豁免監(jiān)管的“美國子公司和中國母公司之間的”行政性或輔助性業(yè)務(wù)活動“。但總的來說，法規(guī)的思路沒有變化，邏輯是國家安全而非個人信息保護(hù)，這體現(xiàn)在很多方面，例如對“批量美國敏感個人數(shù)據(jù)”的定義沒有排除已經(jīng)匿名化、去標(biāo)識化、假名化的數(shù)據(jù)或聚合數(shù)據(jù)，明確拒絕個人“知情-同意”作為豁免監(jiān)管的情況等。換言之，這是一部“涉及數(shù)據(jù)的國家安全法”，而不是一部個人數(shù)據(jù)保護(hù)法，以數(shù)據(jù)合規(guī)的思路去理解和遵守這部法律，可能會犯錯。

司法部將在法規(guī)正式生效后的前90天（2025年4月8日至7月8日）采取寬限執(zhí)法政策：只要企業(yè)或個人在此期間真誠努力合規(guī)，一般不啟動處罰，而是鼓勵大家抓緊時間完善內(nèi)部制度、調(diào)整供應(yīng)鏈、審查數(shù)據(jù)流向，并與美國政府溝通。但這一政策不適用于故意或嚴(yán)重違規(guī)者，對于缺乏合規(guī)誠意的行為，司法部仍保留執(zhí)法權(quán)。此外，如果當(dāng)事人主動配合調(diào)查，也可能在后續(xù)執(zhí)法中獲得積極考量。

盡管如此，法規(guī)已經(jīng)開始對中美商貿(mào)活動及科研合作產(chǎn)生直接影響。

涉及人類基因組數(shù)據(jù)等敏感生物數(shù)據(jù)的禁止類交易最先被切斷。4月5日，美國國家癌癥研究所（NCI）的 SEER（癌癥監(jiān)測、流行病學(xué)和最終結(jié)果）數(shù)據(jù)庫據(jù)禁止中國科研人員訪問。4月4日，美國國立衛(wèi)生研究院（NIH）禁止中國機(jī)構(gòu)訪問其“受控訪問數(shù)據(jù)存儲庫”（由NIH支持的、用于存儲和共享人類基因組等敏感研究數(shù)據(jù)的存儲平臺）。

4月8日（法規(guī)生效當(dāng)天），微軟在中國的外包商微創(chuàng)軟件終止了其微軟項目組，上海、無錫等地約2000名工程師被裁。外界普遍分析這是因該法規(guī)禁止微軟再允許中國境內(nèi)外包團(tuán)隊訪問涉及美國用戶的敏感數(shù)據(jù)，售后技術(shù)支持等需處理用戶賬戶、設(shè)備信息等數(shù)據(jù)的工作在中國進(jìn)行也已不再合規(guī)，只能結(jié)束與中國外包公司的合作。

隨著法規(guī)的逐步全面落地，相關(guān)影響還會繼續(xù)顯現(xiàn)。

文章僅做學(xué)術(shù)探討和研究交流使用，相關(guān)判斷不代表任何公司或機(jī)構(gòu)立場，也不構(gòu)成任何商業(yè)建議。