2025年1月8日，美国司法部正式发布《防止受关注国家或涵盖主体获取美国敏感个人数据和政府相关数据的规定》（Provisions Pertaining to Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons，下称“最终规则”），以落实美国前总统拜登于2024年2月28日签发的第14117号行政令（“EO 14117”）。最终规则将于2025年4月8日正式生效，限制或禁止美国敏感个人数据和政府数据流向中国（包括香港和澳门）、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉六个受关注国家及其相关涵盖主体。

一、中国企业的合规风险

虽然EO 14117及其最终规则的直接适用对象是美国主体（U.S. Person），其需要履行相关合规义务。但由于许多中国企业可能是这些美国主体的交易对手方、子公司或供应商，因此其相关业务场景和数据交易仍可能受到监管。

以下情形的企业将面临较高监管和合规风险：

1. 总部在国外的跨国公司，可能需要受到监管的对象包括其在中国的子公司、子公司的外国雇员或合作承包商。特别是这些受监管的对象在美国的总部或子公司之间有涉及个人信息的传输行为，如美国总部或子公司能够访问到相关数据；

2. 在美国公司担任董事、高管或员工，并长居国内的中国籍人士；

3. 中国企业为美国客户提供IT服务、数据处理、业务流程外包（BPO）等服务；

4. 外资企业在华分支机构或研发中心，如果能够访问美国数据；

5. 数据高度依赖型行业企业，例如生物科技、医疗健康、跨境电商、社交娱乐、地图测绘、金融投资、人工智能等领域。这些涉及收集美国人身份验证信息、生物识别信息、精准地理位置信息，或从美国批量购买数据，并传往中国处理或需要中国IT支持的企业，可能因数据交易被迫调整或停止相关业务。

二、最终规则要点回顾

（一）美国主体：

任何美国公民、国民、合法永久居民；被合法接纳为美国难民或被授予庇护身份的个人；依据美国法律设立的法律实体；以及任何位于美国境内的个人（不论国籍）。

根据该定义中国公司的美国子公司也属于美国主体，除非该子公司被美国司法部指定为涵盖主体。

（二）涵盖主体：

美国限制或禁止敏感信息流向的实体参考“50%规则”向下穿透，故以下实体亦被自动视为涵盖主体：

1. 由受关注国家直接、间接或合计持有50%或以上股权的实体，以及在受关注国家注册或其主要营业地在受关注国家的实体。这意味着中国在美国的子公司可以被美国司法部认定为涵盖主体而进行监管；

2. 由涵盖主体直接、间接或合计持有 50% 或更多股权的外国实体；

3. 受关注国家或涵盖主体的外国雇员或承包商；

4. 主要居住在受关注国的外国个人；

5.美国司法部长指定的其他主体。

（三）敏感个人数据：

1. 某些列举的个人识别符（listed identifiers）：例如社会安全号码、驾驶执照或其他证件号码；

2. 精确的地理位置数据：例如全球定位系统坐标，IP地址，能够在1公里以内定位到个人的地理位置的数据；

3. 生物特征识别符：例如面部图像、声纹和图案以及视网膜扫描，人类基因组数据，表观基因组、蛋白质组学或转录组学；

4. 人类基因组数据和其他三类“组学”数据（表观遗传组学、蛋白质组学或转录组学）；

5. 个人健康数据的识别符：例如身高、体重、生命体征、症状、测试结果、诊断、数字牙科记录和心理诊断；

6. 个人财务数据：例如与个人信用卡、借记卡、银行账户，以及财务负债相关的信息，包括付款记录。

（四）不属于敏感个人数据的：

1. 与个人无关的公开或非公开数据（例如商业秘密和专有信息）；

2. 从合法政府记录或广泛分布的媒体中公开可获得的数据；

3. 个人通信和信息材料。

此外，最终规则还规定了政府敏感数据（没有规定阈值限制）；设置敏感个人数据限制的触发阈值；明确禁止、限制和豁免的数据交易类型；引入一般许可证和特殊许可证机制；合规义务等。可以参考我们之前的文章《美国最新发布的最终规则，限制数据流向中国》

三、已有机构加强限制

在最终规则即将生效之际，美国已开始收紧数据访问权限。美国国立卫生研究院（NIH）主任办公室（OD）近日发布《实施更新：增强NIH受控访问数据的安全措施》，称自2025年4月4日起，禁止位于中国（包括香港和澳门）等受关注国家的机构访问其受控访问数据存储库和相关数据。具体包括“人类基因型-表型数据库”平台dbGaP、用于大规模基因数据分析的云平台AnVIL等关键数据平台。这些平台拥有全球最核心的人类基因组、表型信息和疾病研究数据，是全球的研究人员长期以来高度依赖的数据库。

1.https://www.mofcom.gov.cn/zwgk/zcfb/art/2025/art_e4f474d3aeba4672913db1042d845d78.html

来源：走出去法律智库，作者：寇璇涉外律师团队