Kobre & Kim's International Private Client Team
2025 08 14
美国司法部新出台的数据传输规则加剧了涉华业务的风险
美国司法部 (DOJ) 新出台的《数据安全计划》严格限制本土企业向“受关注国家/地区”的关联实体传输敏感的个人数据及政府相关数据。鉴于可能面临严厉处罚与声誉损害风险，涉华企业应主动规划数据流向、防范执法风险并提前开展舆情管理。
美国司法部 (DOJ) 已经开始依据其《数据安全计划》强制实施全新的数据传输规则。尽管这些规定被框定为国家安全保障措施，但它们同时也给与中国或俄罗斯、伊朗、委内瑞拉等“受关注国家/地区”存在关联的美国本土企业带来了重大跨境经营与声誉风险。
上述新规限制或禁止美国企业及个人向受关注国家/地区的境外关联实体传输大批量的敏感个人信息或任何数量的美国政府特定相关数据。所涉数据包括生物特征信息、健康记录、财务数据、位置信息等。传输限制规定同样适用于看似常规的数据传输，例如美国子公司与其境外母公司或关联公司之间的数据转移。
对于开展跨境运营的企业而言，这些规则可能带来严重后果。美国司法部已明确表示将同时通过民事与刑事手段确保新规的顺利实施。单次违规的民事处罚金额最高可达 377,700 美元；若按交易价值计算，处罚金额可能更高。情节严重的，相关企业可能面临刑事指控——单次违规最高处以 100 万美元的罚款，有关责任人还可能面临监禁。即便是在案件审结之前，单是调查程序本身就足以损害企业声誉、引发负面媒体报道、加剧投资者的担忧并破坏商业合作关系。
涉华企业应考虑采取以下关键措施来减轻风险：
#1 主动规划跨境数据流向。为减少隐患，企业须明确数据的跨境流通方式及流向，并重点关注与人力资源、财务、运营或合规相关的信息。即便是涉及薪资发放、客户服务等事务的获准数据传输，也可能需要附加文件或防火墙机制来管理舆情，防止未来发生数据被错误解读的情况。
开展跨境业务的企业还必须协调不同国家/地区之间相互重叠或相互冲突的数据制度。例如，中国国家安全与数据保护法律所规定的义务可能与美国的相关限制规定发生抵触。与此同时，欧盟《通用数据保护条例》(GDPR) 也为欧洲公民相关数据的处理企业设立了另一道复杂关卡。若能在专业人士的法律指导下制定明晰且有据可查的数据跨境流动路线图，企业就能够富有前瞻性地应对这些相互矛盾的法规条例，规避执法盲区。
#2 防范政府审查与舆情风险。与“受关注国家/地区”存在直接或间接关联的企业可能面临更严格的监管审查。随着大批量数据传输现被纳入美国国家安全管控范围，即便是合规企业也可能会受到“显微镜式”的严厉审查。就算只是被质疑存在违规，也可能催生负面媒体报道，引发投资者担忧，并遭受商业伙伴的施压。如果企业能够尽早与跨境法律顾问开展协同合作，则有助于企业内部做好防范准备，避免事态升级。
#3 预判执法行动的声誉影响。美国司法部的警告表明，故意违规可能面临民事或刑事处罚。然而，声誉损害往往在法律后果显现之前就已悄然发生，尤其是当执法行动涉及敏感数据或地缘政治紧张局势时。如果企业与“受关注国家/地区”存在关联，即便是常规操作也可能引发严格审查。通过尽早与法律及战略传播团队展开合作，企业可以形成正面叙事，避免出现长期声誉损害。
***
美国司法部新颁布的数据安全计划标志着“信息安全即外交政策”的这一转变，而企业愈发陷入两难境地。在全球开展业务的美国本土企业不仅需要评估法律风险，更应在跨境数据活动涉及更为严重的违规嫌疑时防范声誉风险。