示意草图——EO 14117管制范围
一、背景
2024年12月27日, 美国司法部正式发布了第14117号行政令(“EO 14117”)即《关于防止关注国家获取美国公民大量敏感个人数据和美国政府相关数据的行政命令》的最终实施规则(Provisions Pertaining to Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons, 以下简称“最终规则”)。该行政令由拜登政府于2024年2月28日签署, 要求美国司法部颁布条例, 以禁止或限制美国主体进行会导致“受关注国家”和“受限制实体”访问大量美国人敏感个人数据和美国政府相关数据的交易。经过十个月的起草和多轮公众意见征集与调整, 最终规则得以形成, 为EO 14117确立了具体的遵守义务。
二、重点提示
EO 14117旨在禁止或限制美国主体进行会导致受关注国家和受限制实体访问大量美国人敏感个人数据和美国政府相关数据的交易。为了全面理解这一规则, 关键在于明确几个核心概念的定义和范围。
1. “美国主体”
美国主体包含美国公民、国民或合法永居、被美国接受为难民或者提供庇护的个人、仅根据美国法或在美国司法辖区下组建的实体(含其外国分支机构), 或任何位于美国境内的人士。
2. “受关注国家”和“受限制实体”
最终规则确定的受关注国家(Countries of concern)与NPRM中列出的保持一致, 仍然包括中国(包括中国香港和澳门)、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉六个国家。
在此基础之上, 最终规则对受限制主体(Covered person)的定义进行了调整, 但并未实质性改变NPRM中提出的范围:
1、单独或整体上由一个或多个受关注国家或由符合第(2)的主体直接或间接持有50%或以上股份, 根据受关注国家的法律组织或特许而设立, 或主要营业地位于受关注国家的实体;
2、单独或整体上由第(1)类所述实体或第(3)、第(4)或第(5)类所述主体直接或间接持股50%或以上实体;
3、受关注国家或第(1)、第(2)或第(5)类所述实体的雇员或合同工的非美国人;
4、主要居住在受关注国家领土管辖范围内的非美国人;
5、被美国司法部长指定为: 由受关注国家拥有或控制, 或由受关注国家管辖或指示(Direct), 或代表或声称代表受关注国家或被限制主体行事, 或故意引发或指示违反规则的任何主体。对此, 最终规则将包含一份由司法部指定的“受限制主体名单”(Covered Persons List)作为补充, 并计划定期发布和更新该限制名单。
例如, 以中国为例, “受限制的主体”就会包括中国政府持股50%以上的实体(要注意这里的持股包括直接持股、间接持股, 也包括单独持股, 以及与其他对手国家共同持股), 注册在中国的实体, 或主营业务地为中国的实体; 由上述列举的实体直接或间接持股50%以上的实体。上述50%的比例要求实质上只是一个名义上的标准, 因为如果存在持股小于50%但存在实质控制的情形, 美国司法部也可以将其列为受限制的主体。此外最终规则也可能适用于外国主体, 比如上述两类中国实体的员工或合同工, 以及主要居住在中国的外国主体。
3. “大量”美国人“敏感个人数据”和美国“政府相关数据”
受管制的数据类型包括美国人敏感个人数据(sensitive personal data)以及美国政府相关数据(United States Government-related data)。
最终规则确定的美国人敏感个人数据包括以下六类:
在此基础之上, 最终规定明确将以下数据排除在敏感个人数据的定义之外:
敏感个人数据相关的交易需要达到一定数据规模才会触发监管。具体而言, 用以判断敏感个人数据规模的数据量为过去12个月的任一时间内, 无论单次还是累计, 满足或超过以下阈值的敏感个人数据总量:
1、收集或保存超过1,000名美国人的人类组学数据, 或者超过100名美国人的人类基因组数据;
2、收集或保存超过1,000名美国人的生物识别标识符;
3、收集或保存超过1,000个美国设备的精确地理定位数据;
4、收集或保存超过10,000名美国人的个人健康数据;
5、收集或保存超过10,000名美国人的个人财务数据;
6、收集或保存超过100,000名美国人的特定个人标识符; 或者
7、组合数据, 即包含(1)至(7)中多个类别的数据集合, 或者包含与 (1)至(5)中类别相关联的任何列出的标识符, 其中任何单一数据类型达到该类别中美国人或美国设备的最低人数或设备数的阈值的累积数量。
需要注意的是, 在计算敏感个人数据的规模时是否达到“大量”时, 无需考虑此类数据是否经过匿名化、假名化、去标识化或者加密, 也不考虑数据的存在形式。
另一类美国政府相关数据则包括:
1、任何位于《政府相关位置数据列表》(最终规则第202.1401节)中所列区域的精确地理位置数据, 这些区域被司法部长认定为存在被关注国家利用的高风险, 可能会泄露关于联邦政府控制地点的信息, 包括这些地点的设施、活动或人口, 从而对国家安全构成威胁。
2、任何交易方在市场上推广的, 声称与美国政府现任或前任雇员、承包商或高级官员(包括军事和情报部门人员)相关联或可追溯的敏感个人数据。
与涉及美国人个人敏感数据的数据交易达到一定规模才触发规制不同, 涉及美国政府相关数据的数据交易, 无论此类数据量有多大, 都将受到美国司法部监管。
4. 禁止/限制/豁免交易
禁止: 由上述美国主体进行的会导致受关注国家和受限制实体访问大量美国人敏感个人数据交易将触发EO 14117的监管。在被监管的数据交易中, 有两类数据交易类型将被禁止, 分别是:
1、数据经纪交易(Data-brokerage transactions), 即数据接收方不直接从个人处收集数据, 而是从数据提供方处购买数据、获得访问数据的许可的类似商业交易(不包含供应商协议、劳动协议或投资协议); 以及
2、涉及传输大量的人类基因组数据, 或者涉及传输可产生前述数据的生物学样本的交易, 且这类交易是在“明知地(knowingly)”情况下进行的。
限制: 同时, 另有三类数据交易类型将受到限制, 包括:
1、涉及提供商品和服务的供应商协议(包括云服务协议);
2、劳动协议; 以及
3、投资协议。
这三类受限制的数据交易在满足规定的安全要求的前提下才可进行, 适用的安全要求由国土安全部网络和基础设施保护局(CISA)另行制定。CISA的具体安全要求包括一系列网络安全措施, 例如基本的组织网络安全政策和实践、物理及逻辑访问控制、数据脱敏和最小化处理、数据加密以及隐私增强技术的应用等。
豁免: 此外, 最终规则还规定了以下几类不受限制的数据交易的豁免情形:
1、不涉及交易金额的个人通信的数据交易;
2、涉及表达性材料信息的进出口;
3、旅行(包括有关个人行李、生活费用和旅行安排的数据);
4、政府官方的交易;
5、金融服务、支付处理和监管合规相关的数据交易;
6、美国跨国公司内部业务运营产生的数据交易;
7、美国联邦法律或国际协议所要求或授权的交易;
8、美国外国投资委员会(CFIUS)明确豁免的投资协议;
9、提供电信服务通常涉及的数据交易;
10、涉及药品、生物制品、器械或组合产品的审批或授权的数据交易(其中所涉及的“监管审批数据”已经根据美国食品药品监督管理局(FDA)的规定进行了去标识化或匿名处理, 并且仅限于用于评估其安全性和有效性所必需的信息);
11、涉及其他临床研究和上市后监测数据、符合FDA相关要求的交易。
三、合规建议
随着最终规则的发布及其后续生效, EO 14117下的规定将产生具体的遵守义务, 针对美国敏感个人数据和政府相关数据的交易将受到严格的监管, 这对我国企业在美国开展业务活动构成了新的合规挑战, 特别是涉及数据处理和数据流转的业务。中资企业与美国企业之间的合作可能会直接受到该规则的约束。因此, 建议中资企业在开展相关业务之前, 采取以下措施, 以确保合规性并降低潜在风险:
1、核查交易中涉及的数据类型, 是否属于美国敏感个人数据或美国政府相关数据;
2、分析交易场景是否属于或可能属于被禁止或限制的“交易”; 若属于/可能属于, 是否存在豁免情形;
3、若交易经过上述排查属于/可能属于EO 14117最终规则所限制/禁止的交易且不存在豁免情形, 在业务可行的前提下, 企业可考虑在美国境内处理或在其他非关注国家处理数据;
4、加强企业合规内部审查机制, 特别是在跨境数据传输与处理的环节(包括中国境内母公司与美国境内子公司之间的数据传输)。例如设立专门的合规部门, 定期对数据流动、合作伙伴关系和投资协议进行审查, 确保合规性与合规文档的完善, 并及时与美国司法部、网络和基础设施保护局(CISA)等相关监管机构保持沟通, 获取最新的监管动向和指导意见。
注释
[1] 根据15 U.S.C. 1681a(d), “消费者报告”一词指的是任何由消费者报告机构提供的书面、口头或其他形式的信息交流, 这些信息涉及消费者的信用价值、信用地位、信用能力、性格、一般声誉、个人特征或生活方式, 这些信息被使用或预期被使用或收集的全部或部分目的是为了作为决定消费者资格的因素之一, 用于(1)主要用于个人、家庭或家庭目的的信贷或保险, 或(2)就业目的, 或(3)15 U.S.C. 1681b节授权的其他目的。该术语不包括(A)仅包含消费者与提供报告人之间交易或经历信息的任何报告; (B)由信用卡发行人或类似设备直接或间接授权或批准的具体信贷扩展; 或(C)在第三方请求某人直接或间接向消费者提供具体信贷扩展时, 该人传达其对此类请求的决定的任何报告, 如果第三方告知消费者提供请求被提交给的人的姓名和地址, 并且该人根据15 U.S.C. 1681m节的要求向消费者提供披露。https://www.justice.gov/nsd/media/1382521/dl
一、背景
2024年12月27日, 美国司法部正式发布了第14117号行政令(“EO 14117”)即《关于防止关注国家获取美国公民大量敏感个人数据和美国政府相关数据的行政命令》的最终实施规则(Provisions Pertaining to Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons, 以下简称“最终规则”)。该行政令由拜登政府于2024年2月28日签署, 要求美国司法部颁布条例, 以禁止或限制美国主体进行会导致“受关注国家”和“受限制实体”访问大量美国人敏感个人数据和美国政府相关数据的交易。经过十个月的起草和多轮公众意见征集与调整, 最终规则得以形成, 为EO 14117确立了具体的遵守义务。
二、重点提示
EO 14117旨在禁止或限制美国主体进行会导致受关注国家和受限制实体访问大量美国人敏感个人数据和美国政府相关数据的交易。为了全面理解这一规则, 关键在于明确几个核心概念的定义和范围。
1. “美国主体”
美国主体包含美国公民、国民或合法永居、被美国接受为难民或者提供庇护的个人、仅根据美国法或在美国司法辖区下组建的实体(含其外国分支机构), 或任何位于美国境内的人士。
2. “受关注国家”和“受限制实体”
最终规则确定的受关注国家(Countries of concern)与NPRM中列出的保持一致, 仍然包括中国(包括中国香港和澳门)、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉六个国家。
在此基础之上, 最终规则对受限制主体(Covered person)的定义进行了调整, 但并未实质性改变NPRM中提出的范围:
1、单独或整体上由一个或多个受关注国家或由符合第(2)的主体直接或间接持有50%或以上股份, 根据受关注国家的法律组织或特许而设立, 或主要营业地位于受关注国家的实体;
2、单独或整体上由第(1)类所述实体或第(3)、第(4)或第(5)类所述主体直接或间接持股50%或以上实体;
3、受关注国家或第(1)、第(2)或第(5)类所述实体的雇员或合同工的非美国人;
4、主要居住在受关注国家领土管辖范围内的非美国人;
5、被美国司法部长指定为: 由受关注国家拥有或控制, 或由受关注国家管辖或指示(Direct), 或代表或声称代表受关注国家或被限制主体行事, 或故意引发或指示违反规则的任何主体。对此, 最终规则将包含一份由司法部指定的“受限制主体名单”(Covered Persons List)作为补充, 并计划定期发布和更新该限制名单。
例如, 以中国为例, “受限制的主体”就会包括中国政府持股50%以上的实体(要注意这里的持股包括直接持股、间接持股, 也包括单独持股, 以及与其他对手国家共同持股), 注册在中国的实体, 或主营业务地为中国的实体; 由上述列举的实体直接或间接持股50%以上的实体。上述50%的比例要求实质上只是一个名义上的标准, 因为如果存在持股小于50%但存在实质控制的情形, 美国司法部也可以将其列为受限制的主体。此外最终规则也可能适用于外国主体, 比如上述两类中国实体的员工或合同工, 以及主要居住在中国的外国主体。
3. “大量”美国人“敏感个人数据”和美国“政府相关数据”
受管制的数据类型包括美国人敏感个人数据(sensitive personal data)以及美国政府相关数据(United States Government-related data)。
最终规则确定的美国人敏感个人数据包括以下六类:
在此基础之上, 最终规定明确将以下数据排除在敏感个人数据的定义之外:
敏感个人数据相关的交易需要达到一定数据规模才会触发监管。具体而言, 用以判断敏感个人数据规模的数据量为过去12个月的任一时间内, 无论单次还是累计, 满足或超过以下阈值的敏感个人数据总量:
1、收集或保存超过1,000名美国人的人类组学数据, 或者超过100名美国人的人类基因组数据;
2、收集或保存超过1,000名美国人的生物识别标识符;
3、收集或保存超过1,000个美国设备的精确地理定位数据;
4、收集或保存超过10,000名美国人的个人健康数据;
5、收集或保存超过10,000名美国人的个人财务数据;
6、收集或保存超过100,000名美国人的特定个人标识符; 或者
7、组合数据, 即包含(1)至(7)中多个类别的数据集合, 或者包含与 (1)至(5)中类别相关联的任何列出的标识符, 其中任何单一数据类型达到该类别中美国人或美国设备的最低人数或设备数的阈值的累积数量。
需要注意的是, 在计算敏感个人数据的规模时是否达到“大量”时, 无需考虑此类数据是否经过匿名化、假名化、去标识化或者加密, 也不考虑数据的存在形式。
另一类美国政府相关数据则包括:
1、任何位于《政府相关位置数据列表》(最终规则第202.1401节)中所列区域的精确地理位置数据, 这些区域被司法部长认定为存在被关注国家利用的高风险, 可能会泄露关于联邦政府控制地点的信息, 包括这些地点的设施、活动或人口, 从而对国家安全构成威胁。
2、任何交易方在市场上推广的, 声称与美国政府现任或前任雇员、承包商或高级官员(包括军事和情报部门人员)相关联或可追溯的敏感个人数据。
与涉及美国人个人敏感数据的数据交易达到一定规模才触发规制不同, 涉及美国政府相关数据的数据交易, 无论此类数据量有多大, 都将受到美国司法部监管。
4. 禁止/限制/豁免交易
禁止: 由上述美国主体进行的会导致受关注国家和受限制实体访问大量美国人敏感个人数据交易将触发EO 14117的监管。在被监管的数据交易中, 有两类数据交易类型将被禁止, 分别是:
1、数据经纪交易(Data-brokerage transactions), 即数据接收方不直接从个人处收集数据, 而是从数据提供方处购买数据、获得访问数据的许可的类似商业交易(不包含供应商协议、劳动协议或投资协议); 以及
2、涉及传输大量的人类基因组数据, 或者涉及传输可产生前述数据的生物学样本的交易, 且这类交易是在“明知地(knowingly)”情况下进行的。
限制: 同时, 另有三类数据交易类型将受到限制, 包括:
1、涉及提供商品和服务的供应商协议(包括云服务协议);
2、劳动协议; 以及
3、投资协议。
这三类受限制的数据交易在满足规定的安全要求的前提下才可进行, 适用的安全要求由国土安全部网络和基础设施保护局(CISA)另行制定。CISA的具体安全要求包括一系列网络安全措施, 例如基本的组织网络安全政策和实践、物理及逻辑访问控制、数据脱敏和最小化处理、数据加密以及隐私增强技术的应用等。
豁免: 此外, 最终规则还规定了以下几类不受限制的数据交易的豁免情形:
1、不涉及交易金额的个人通信的数据交易;
2、涉及表达性材料信息的进出口;
3、旅行(包括有关个人行李、生活费用和旅行安排的数据);
4、政府官方的交易;
5、金融服务、支付处理和监管合规相关的数据交易;
6、美国跨国公司内部业务运营产生的数据交易;
7、美国联邦法律或国际协议所要求或授权的交易;
8、美国外国投资委员会(CFIUS)明确豁免的投资协议;
9、提供电信服务通常涉及的数据交易;
10、涉及药品、生物制品、器械或组合产品的审批或授权的数据交易(其中所涉及的“监管审批数据”已经根据美国食品药品监督管理局(FDA)的规定进行了去标识化或匿名处理, 并且仅限于用于评估其安全性和有效性所必需的信息);
11、涉及其他临床研究和上市后监测数据、符合FDA相关要求的交易。
三、合规建议
随着最终规则的发布及其后续生效, EO 14117下的规定将产生具体的遵守义务, 针对美国敏感个人数据和政府相关数据的交易将受到严格的监管, 这对我国企业在美国开展业务活动构成了新的合规挑战, 特别是涉及数据处理和数据流转的业务。中资企业与美国企业之间的合作可能会直接受到该规则的约束。因此, 建议中资企业在开展相关业务之前, 采取以下措施, 以确保合规性并降低潜在风险:
1、核查交易中涉及的数据类型, 是否属于美国敏感个人数据或美国政府相关数据;
2、分析交易场景是否属于或可能属于被禁止或限制的“交易”; 若属于/可能属于, 是否存在豁免情形;
3、若交易经过上述排查属于/可能属于EO 14117最终规则所限制/禁止的交易且不存在豁免情形, 在业务可行的前提下, 企业可考虑在美国境内处理或在其他非关注国家处理数据;
4、加强企业合规内部审查机制, 特别是在跨境数据传输与处理的环节(包括中国境内母公司与美国境内子公司之间的数据传输)。例如设立专门的合规部门, 定期对数据流动、合作伙伴关系和投资协议进行审查, 确保合规性与合规文档的完善, 并及时与美国司法部、网络和基础设施保护局(CISA)等相关监管机构保持沟通, 获取最新的监管动向和指导意见。
注释
[1] 根据15 U.S.C. 1681a(d), “消费者报告”一词指的是任何由消费者报告机构提供的书面、口头或其他形式的信息交流, 这些信息涉及消费者的信用价值、信用地位、信用能力、性格、一般声誉、个人特征或生活方式, 这些信息被使用或预期被使用或收集的全部或部分目的是为了作为决定消费者资格的因素之一, 用于(1)主要用于个人、家庭或家庭目的的信贷或保险, 或(2)就业目的, 或(3)15 U.S.C. 1681b节授权的其他目的。该术语不包括(A)仅包含消费者与提供报告人之间交易或经历信息的任何报告; (B)由信用卡发行人或类似设备直接或间接授权或批准的具体信贷扩展; 或(C)在第三方请求某人直接或间接向消费者提供具体信贷扩展时, 该人传达其对此类请求的决定的任何报告, 如果第三方告知消费者提供请求被提交给的人的姓名和地址, 并且该人根据15 U.S.C. 1681m节的要求向消费者提供披露。https://www.justice.gov/nsd/media/1382521/dl