@ 引言
美国司法部早前已发布最终规则，以落实2024年2月28日签署的第14117号总统行政命令——《防止“关注国家”获取美国人的大规模敏感个人数据和与美国政府相关的数据》（Executive Order 14117）。该最终规则将于2025年4月8日正式生效，随着生效日期临近，企业在数据跨境、合规运营及风险管理方面面临的压力与日俱增。
该规则的重要性也在近期资本市场表现中得以体现。此前港股上市公司汇量科技有限公司（Mobvista，股票代码：1860）就出售旗下Mintegral及营销技术服务业务与潜在买方协商，而促使其作出这一决定的关键因素，正是美国发布的EO14117及《最终规则》（Final Rule to Implement Executive Order 14117 of February 28, 2024 (Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern）所带来的合规压力。
如果《最终规则》如期生效，企业在数据交易、合作伙伴选择、系统设计等方面可能需要进行实质性调整；但若该规则在国会审查阶段被撤回或延迟，则暂时可能无需针对《最终规则》采取合规行动。
近期我们也收到大量关于该规则的咨询，问题主要集中在适用范围、敏感个人数据的定义、合规义务及应对策略等方面。为帮助更多企业理解并应对该政策变化，我们在充分脱敏的前提下，整理并分享了若干具有代表性的咨询案例，供大家参考。
@ 本期场景：某中国出海企业计划上线一套OA系统，涉及美国员工提交工单，并由集团内的中国公司或新加坡公司的员工审核。此类跨境数据流动是否受到EO 14117及《最终规则》的限制？
基本逻辑：在判断该场景是否适用 EO 14117 及《最终规则》时，需遵循一个基本的合规分析逻辑。
1.确定双方主体：
首先，需要确认数据传输的双方主体是否符合《最终规则》的规制对象，即数据是否从一个“美国主体”（U.S. Person）传输至“受限主体”（covered person）。
2.确定涉及的数据类型和规模：
在这一步，需要判断，从美国主体到受限主体的数据是“政府相关数据”还是“敏感个人数据”。
如为敏感个人数据，则需要确定数据类型是哪一种，并且对应该类型的数据规模。不同类型的数据类型，有不同的数据规模要求。
如从一个美国主体到受限主体的“敏感个人数据”未达到各个类型的“敏感个人数据”对应的门槛，则暂未落入EO 14117及《最终规则》的管辖范围。
注：数量以过去12个月内累计数据量为判定标准，无论单次交易还是多次交易汇总。
3.确定是否属于豁免的数据交易，其中包括个人通讯、信息或信息化材料、公司集团交易等等各类情形。
如果确定存在适用主体（披露方：美国主体；接收方：受限主体），数据类型和数据规模满足最终规则的类型和规模要求，且不属于豁免的数据交易，则属于《最终规则》中的受限数据交易（covered data transaction）。
4.确定属于哪种数据交易
在这一步，需要判断“受限数据交易”是属于“被禁止的数据交易”（其中包括“”和“数据经纪”）和“受限数据交易”（其中包括供应商协议、投资协议、劳动协议三种），并确定对应的合规义务。
因此，整个判断逻辑是从主体、数据类型、数据规模、豁免情形、“交易”类型的逐步递进分析。
@ 本场景核心问题：
以下我们将该示例场景涉及的核心问题用 FAQ（Frequently Asked Questions）的方式进行阐述：
Q1：该场景下的中国公司和新加坡公司是否属于“受限主体”？
答：根据《最终规则》第202.211条的规定，中国公司因属于根据中国法设立的主体，因此将构成“受限主体”。而新加坡公司是否属于“受限主体”，需要进一步结合该新加坡公司的股权、控制关系等情况，根据《最终规则》第202.211条的条件进行确定。
Q2：该场景中涉及的数据类型（员工的姓名、部门、邮箱、工号、职级、直接上级等信息）是否属于“受限个人标识符”？
答：根据《最终规则》第202.234条的规定，标识符的范围是比较宽泛的，不仅通常理解的标识符，比如设备标识符（如IMEI、MAC Adress）、广告标识符（如Google Advertising ID），还包括姓名、生日、住址、电话、邮箱。
在该场景下，姓名、邮箱等进行结合，进一步会构成《最终规则》第202.212条规定的“受限个人标识符”（covered personal identifers）。
Q3：数据数量是否已达到规模门槛？
答：根据 《最终规则》第202.205条，对于“敏感个人数据”，需要满足一定的数据规模要求的数量。对于“受限个人标识符”，需要在过去12个月内传输数据涉及10万名及以上的美国个人（U.S. persons）的“受限个人标识符”。如果该场景下的美国公司，在初期仅向中国公司传输比如1000个员工的“受限个人标识符”，则此时暂未达到《最终规则》中规定的数额门槛，但需要持续关注是否涉及传输其他类型的“敏感个人数据”和“受限个人标识符”是否有达到门槛（可能不仅需要考虑涉及的员工的个人标识符的传输，还需要考虑例如用户、供应商等的个人标识符的传输）。
Q4：该场景是否可以适用“公司集团交易”的豁免条款？
答：《最终规则》第202.506 条规定，若数据交易发生在美国公司与其在“关注国家”中的子公司或附属机构之间，且数据用途为行政或辅助性业务运营，可豁免部分合规义务。常见的中企出海场景中，美国公司可能是中国公司的子公司，而非母公司。因此，该场景较难构成“美国公司与其子公司或附属机构之间的数据交易”，因此无法适用《最终规则》第202.506 条的豁免条款。
Q5：是否可能适用“个人通讯”或“信息或信息化材料”的豁免？
答：个人通讯在《最终规则》定义为 “涉及任何邮政、电报、电话或其他个人通信且不涉及任何有价物品转移的数据交易”。
就“信息或信息化材料”，仅限于表达性材料，包括出版物、电影、海报、唱片、照片、缩微胶片、缩微平片、磁带、光盘、CD ROM、艺术作品和新闻电讯。它不包括技术性、功能性或其他非表达性的数据。我们理解，此处的“表达性材料”，更接近于版权法中的作品。
一般来说工单数据为结构化、功能性信息，具有明确的商业目的，不具备表达性或通信性质。较难适用以适用这两类豁免情形。
考虑《最终规则》中部分术语解释空间较大，执法机关具有裁量权，因此如果个别公司尝试利用”个人通讯“或”信息或信息化材料”以规避EO 14117及《最终规则》的适用，不排除未来执法机关追溯处罚。【本文由王捷律师团队原创，转载请联系。】
美国司法部早前已发布最终规则，以落实2024年2月28日签署的第14117号总统行政命令——《防止“关注国家”获取美国人的大规模敏感个人数据和与美国政府相关的数据》（Executive Order 14117）。该最终规则将于2025年4月8日正式生效，随着生效日期临近，企业在数据跨境、合规运营及风险管理方面面临的压力与日俱增。
该规则的重要性也在近期资本市场表现中得以体现。此前港股上市公司汇量科技有限公司（Mobvista，股票代码：1860）就出售旗下Mintegral及营销技术服务业务与潜在买方协商，而促使其作出这一决定的关键因素，正是美国发布的EO14117及《最终规则》（Final Rule to Implement Executive Order 14117 of February 28, 2024 (Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern）所带来的合规压力。
如果《最终规则》如期生效，企业在数据交易、合作伙伴选择、系统设计等方面可能需要进行实质性调整；但若该规则在国会审查阶段被撤回或延迟，则暂时可能无需针对《最终规则》采取合规行动。
近期我们也收到大量关于该规则的咨询，问题主要集中在适用范围、敏感个人数据的定义、合规义务及应对策略等方面。为帮助更多企业理解并应对该政策变化，我们在充分脱敏的前提下，整理并分享了若干具有代表性的咨询案例，供大家参考。
@ 本期场景：某中国出海企业计划上线一套OA系统，涉及美国员工提交工单，并由集团内的中国公司或新加坡公司的员工审核。此类跨境数据流动是否受到EO 14117及《最终规则》的限制？
基本逻辑：在判断该场景是否适用 EO 14117 及《最终规则》时，需遵循一个基本的合规分析逻辑。
1.确定双方主体：
首先，需要确认数据传输的双方主体是否符合《最终规则》的规制对象，即数据是否从一个“美国主体”（U.S. Person）传输至“受限主体”（covered person）。
2.确定涉及的数据类型和规模：
在这一步，需要判断，从美国主体到受限主体的数据是“政府相关数据”还是“敏感个人数据”。
如为敏感个人数据，则需要确定数据类型是哪一种，并且对应该类型的数据规模。不同类型的数据类型，有不同的数据规模要求。
如从一个美国主体到受限主体的“敏感个人数据”未达到各个类型的“敏感个人数据”对应的门槛，则暂未落入EO 14117及《最终规则》的管辖范围。
注：数量以过去12个月内累计数据量为判定标准，无论单次交易还是多次交易汇总。
3.确定是否属于豁免的数据交易，其中包括个人通讯、信息或信息化材料、公司集团交易等等各类情形。
如果确定存在适用主体（披露方：美国主体；接收方：受限主体），数据类型和数据规模满足最终规则的类型和规模要求，且不属于豁免的数据交易，则属于《最终规则》中的受限数据交易（covered data transaction）。
4.确定属于哪种数据交易
在这一步，需要判断“受限数据交易”是属于“被禁止的数据交易”（其中包括“”和“数据经纪”）和“受限数据交易”（其中包括供应商协议、投资协议、劳动协议三种），并确定对应的合规义务。
因此，整个判断逻辑是从主体、数据类型、数据规模、豁免情形、“交易”类型的逐步递进分析。
@ 本场景核心问题：
以下我们将该示例场景涉及的核心问题用 FAQ（Frequently Asked Questions）的方式进行阐述：
Q1：该场景下的中国公司和新加坡公司是否属于“受限主体”？
答：根据《最终规则》第202.211条的规定，中国公司因属于根据中国法设立的主体，因此将构成“受限主体”。而新加坡公司是否属于“受限主体”，需要进一步结合该新加坡公司的股权、控制关系等情况，根据《最终规则》第202.211条的条件进行确定。
Q2：该场景中涉及的数据类型（员工的姓名、部门、邮箱、工号、职级、直接上级等信息）是否属于“受限个人标识符”？
答：根据《最终规则》第202.234条的规定，标识符的范围是比较宽泛的，不仅通常理解的标识符，比如设备标识符（如IMEI、MAC Adress）、广告标识符（如Google Advertising ID），还包括姓名、生日、住址、电话、邮箱。
在该场景下，姓名、邮箱等进行结合，进一步会构成《最终规则》第202.212条规定的“受限个人标识符”（covered personal identifers）。
Q3：数据数量是否已达到规模门槛？
答：根据 《最终规则》第202.205条，对于“敏感个人数据”，需要满足一定的数据规模要求的数量。对于“受限个人标识符”，需要在过去12个月内传输数据涉及10万名及以上的美国个人（U.S. persons）的“受限个人标识符”。如果该场景下的美国公司，在初期仅向中国公司传输比如1000个员工的“受限个人标识符”，则此时暂未达到《最终规则》中规定的数额门槛，但需要持续关注是否涉及传输其他类型的“敏感个人数据”和“受限个人标识符”是否有达到门槛（可能不仅需要考虑涉及的员工的个人标识符的传输，还需要考虑例如用户、供应商等的个人标识符的传输）。
Q4：该场景是否可以适用“公司集团交易”的豁免条款？
答：《最终规则》第202.506 条规定，若数据交易发生在美国公司与其在“关注国家”中的子公司或附属机构之间，且数据用途为行政或辅助性业务运营，可豁免部分合规义务。常见的中企出海场景中，美国公司可能是中国公司的子公司，而非母公司。因此，该场景较难构成“美国公司与其子公司或附属机构之间的数据交易”，因此无法适用《最终规则》第202.506 条的豁免条款。
Q5：是否可能适用“个人通讯”或“信息或信息化材料”的豁免？
答：个人通讯在《最终规则》定义为 “涉及任何邮政、电报、电话或其他个人通信且不涉及任何有价物品转移的数据交易”。
就“信息或信息化材料”，仅限于表达性材料，包括出版物、电影、海报、唱片、照片、缩微胶片、缩微平片、磁带、光盘、CD ROM、艺术作品和新闻电讯。它不包括技术性、功能性或其他非表达性的数据。我们理解，此处的“表达性材料”，更接近于版权法中的作品。
一般来说工单数据为结构化、功能性信息，具有明确的商业目的，不具备表达性或通信性质。较难适用以适用这两类豁免情形。
考虑《最终规则》中部分术语解释空间较大，执法机关具有裁量权，因此如果个别公司尝试利用”个人通讯“或”信息或信息化材料”以规避EO 14117及《最终规则》的适用，不排除未来执法机关追溯处罚。【本文由王捷律师团队原创，转载请联系。】