美国总统拜登颁布《防止受关注国家获取美国人大量敏感个人数据和美国政府数据的行政令》

美国的总体政策思路是对受关注国家获取美国人大量敏感个人数据和美国政府数据、对美国国家安全带来不可接受风险的活动进行管控限制，同时继续支持开放、全球化、可互操作、可靠和安全的跨境数据流动，维系美国与其他国家消费者、经济、科学和贸易的纽带，支持充满活力的全球经济，促进投资与开放。行政令并未授权引入通用性数据本地化要求，允许在商业活动和服务销售过程中进行金融数据和其他数据交易。

一是制定对国家安全构成不可接受风险的数据交易的禁止性或限制性规定。行政令指示美国司法部制定保护敏感个人数据和政府数据不被受关注国家获取和利用的禁止性或限制性规则，包含以下元素：（1）明确禁止性或限制性交易类别和相应安全要求；（2）确定受关注国家范围；（3）构建许可程序；（4）引入特定数据交易记录和报告要求；（5）明确受管控数据交易类型的性质和数据量门槛；（6）明确针对受监管实体的阈值和尽职调查要求等；此外，为平衡发展与安全，行政令强调司法部不得针对存储敏感个人数据或政府数据的计算设施提出通用性数据本地化要求。拟议规则制定并公布的期限要求为行政令发布之日起180日内。

二是通过许可证审查、安全标准与规则制定、拨款和订约限制等跨部门综合措施强化敏感个人数据保护。行政令要求：（1）美国电信服务部门外国参与评估委员会在审查海底电缆许可证时考虑对美国人敏感个人数据的威胁，评估第三方数据安全风险，并进一步采取措施解决持续性数据安全风险；（2）指示美国司法部制定新规，加强针对敏感政府相关数据的保护，包括敏感政府网站的地理位置信息和军事人员信息等；（3）指示美国司法部和美国国土安全部合作制定高安全标准，防止相关国家通过如投资、供应商和雇佣关系等商业手段获取美国人的数据；（4）指示美国卫生与公共服务部、美国国防部和美国退伍军人事务部考虑采取措施，利用其现有的拨款和订约权限，确保联邦拨款、合同和奖励不会被利用于受关注国家（包括位于美国的公司）访问美国人的敏感健康数据等。

三是研究并提交敏感个人数据传输风险检测、评估和缓释的措施。行政令指示美国司法部部长、国土安全部部长和国家情报局局长协商后向总统国家安全事务助理提交建议的适当措施，以检测、评估和减轻因事先传输敏感个人数据所产生的国家安全风险，提交期限为司法部拟议规则生效之日起120日内。

四是评估并反馈行政令管控措施的有效性及其对经济的影响。行政令指示美国司法部部长与国务卿、财政部部长、商务部部长和国土安全部部长协商，在司法部拟议规则生效之日起1年内，向总统报告行政令对解决国家安全风险方面的有效性，以及对美国产业国际竞争力造成的影响。行政令强调司法部部长在编写报告过程中应广泛征求公众对行政令造成的经济影响的意见。

五是评估下一步是否要对人类基因组以外人类组学数据交易进行管控。行政令要求总统国家安全事务助理、总统助理兼国内政策委员会主任、科学和技术政策办公室主任等针对美国未来对人类基因组以外人类组学数据交易进行监管的风险和收益进行评估，并向总统提交报告，明确在多大程度上支持对此类交易的监管。行政令强调要将人类基因组以外人类组学数据对美国国家安全带来的风险及监管的经济和技术成本纳入考量。

行政令所管控的数据交易方包括受关注国家和受管制对象。具有受关注国家背景或联系的实体或个人都可能落入到受管制对象的范围内，而不仅限于受关注国家境内实体或个人。

美国目前考虑确定六个受关注国家：中国（包括香港和澳门）、俄罗斯、伊朗、朝鲜、古巴和委内瑞拉。

受管制对象包括由受关注国家管辖、指导、所有或控制的某些实体和个人，向这些对象提供数据将使该数据处于受关注国家的掌控之下。行政令定义四类受管制对象：（1）由受关注国家拥有、控制或受其管辖或指示的实体；（2）作为此类实体的雇员或承包商的外国人；（3）作为受关注国家的雇员或承包商的外国人；（4）主要居住在受关注国家领土管辖范围内的外国人。

目前行政令管控的数据类型为敏感个人数据和美国政府数据。

一是敏感个人数据。行政令将“敏感个人数据”定义为“在符合适用法律（包括《国际紧急经济权力法》第203（b）（1）和（b）（3）条）范围内，涵盖的个人标识符、地理位置及相关传感器数据、生物识别标识符、个人健康数据、人类组学数据、个人财务数据，或者任何这些数据的组合。且这些数据若与任何可识别的美国个人或离散的、可识别的美国个人群体相关联或可链接，则该数据可能会被受关注国家利用并损害美国国家安全”。司法部计划在拟议规则中进一步细化敏感个人数据类别的范围，重点监管：（1）明确列出的受保护个人身份识别数据类别和组合（并非所有个人身份识别信息）；（2）精确的位置信息数据；（3）生物识别信息；（4）人类基因组数据；（5）个人健康数据；（6）个人财务数据。敏感个人数据将不包括作为公共记录的数据，例如法院或其他政府记录这类合法并且普遍对公众可用的数据，以及个人通信数据。

二是政府数据。行政令将“政府数据”定义为，如果司法部部长认为这些数据具有被受关于国家利用以损害美国国家安全的高风险，并且同时具有下列情形之一的，则被认定为政府数据：（1）交易方被认定为与司法部部长根据行政令第2条颁布的条例中规定的联邦政府现任或最近的前雇员或承包商或前高级官员（包括军方）有联系或可联系的类别；（2）与司法部部长根据行政令第2条颁布的条例中规定的可用于识别联邦政府（包括军方）现任或最近的前雇员或承包商或前高级官员的数据类别相关联；（3）与联邦政府（包括军方）控制的敏感地点有联系或可联系，这些地点的地理区域将公开指定。

目前行政令仅对人类组学数据中的人类基因组数据进行管控，但下一步有计划对是否要管控人类基因组以外人类组学数据进行评估。

行政令将“人类组学数据”定义为，由人类生成的表征或量化人类生物分子的数据，例如人类基因组数据、表观基因组数据、蛋白质组学数据、转录组学数据、微生物组学数据或代谢组学数据，这些数据由司法部部长根据行政令第2条颁布的条例进一步定义，这些数据可参考行政令第6条所述的报告。

司法部拟议规则禁止美国人与受关注国家或受管制实体之间的两类数据交易：（1）数据经纪交易；（2）基因组数据交易，涉及大量人类基因组数据或从中得出此类数据的生物样本的传输。

司法部拟议规则将进一步考虑确定三类限制性数据交易：（1）涉及提供商品和服务的供应商协议（包括云服务协议）；（2）雇佣协议；（3）投资协议。美国国土安全部的网络安全和基础设施局（CISA）将为限制性数据交易制定安全要求。

只有当数据交易超过规定的阈值（即美国人人数的阈值或美国设备数量的阈值）时，涉及上述六类美国人的敏感个人数据的交易才会被管控。但此阈值规则并不适用于美国政府数据的交易。

行政令与司法部拟议规则将考虑对数据交易进行多项豁免，以下交易将被排除在管控范围之外：（1）已受监管的金融交易；（2）普通辅助业务运营，例如工资或人力资源；（3）美国政府及其承包商、雇员和受资助者的活动，例如联邦政府资助的健康和研究活动，资助机构将自行监管这些活动；（4）联邦法律或国际协议要求或授权的交易，例如交换乘客名单或国际刑警组织的请求。

司法部拟议规则还准备豁免特定投资活动（活动相关权利或影响力不会带来不可接受的国家安全风险），从而允许受关注国家或受管制对象能够访问敏感个人数据。

根据行政令指示，司法部拟议规则考虑为相关部门建立流程，用于签发一般许可证、特定许可证以及咨询意见：（1）一般许可证将使商务部能够灵活地豁免或更改原本受管制的特定类别的交易的条件，或允许特定交易在缓冲期或清理期内进行；（2）特定许可证将使公司和个人有机会申请针对管控规则的豁免，以便参与特定的数据交易，商务部将在与国务院、国土安全部的协商同意下做出特定许可决定；（3）公司和个人也可就管控规则对特定交易的适用性请求咨询意见。