# 美国司法部数据安全计划：中国团队访问美国数据前必须评估的规则

> 这是对中国出海企业影响最直接的美国数据规则之一。只要中国境内的员工、承包商或关联公司能够访问美国人的批量敏感数据，就可能构成被禁止或受限的交易。

来源页面: https://assurelane.ai/frameworks/us-data-security-program/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons（28 CFR Part 202）
- 发布/监管方: 美国司法部国家安全司
- 成果: 法律义务；受限交易须满足 CISA 安全要求并建立数据合规计划
- 适用对象: 与受关注国家或“受覆盖人员”进行涉及美国人批量敏感数据或政府相关数据交易的美国人士（含美国子公司）
- 地区: 美国（针对中国含香港和澳门、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉）
- 典型周期: 数据与访问路径评估约 2–6 周；整改视架构而定
- 有效期: 持续义务；部分交易需年度审计和报告

## 关键时间线

- 2024-02-28: 第 14117 号行政令签署
- 2024-12-27: 司法部发布最终规则
- 2025-04-08: 规则生效
- 2025-10-06: 尽调、审计与报告要求适用

## 规则在管什么

规则把涉及美国人**批量敏感个人数据**或**政府相关数据**的交易分为两类：

- **禁止交易**：数据经纪（向受关注国家或受覆盖人员出售、许可访问数据），以及涉及人类基因组数据的某些交易
- **受限交易**：供应商协议、雇佣协议、非被动投资协议。只有满足 CISA 制定的安全要求（组织、系统和数据层面的控制）并建立合规计划，才可以进行。

敏感个人数据包括：受覆盖个人标识符、精确地理位置、生物识别、人类组学数据、个人健康数据和个人金融数据。

## 谁是“受覆盖人员”

- 受关注国家的政府
- 依受关注国家法律设立、主要营业地在受关注国家、或 50% 以上由上述实体拥有的实体
- 上述实体的员工或承包商
- 主要居住在受关注国家的个人

对中国出海企业而言，**中国母公司、中国境内关联公司、在中国的员工和外包团队**都可能落入这个定义。

## 典型风险场景

| 场景 | 风险 |
| --- | --- |
| 美国子公司的产品数据由中国研发团队运维、排障 | 雇佣或供应商协议可能构成受限交易 |
| 美国用户的位置或健康数据回传中国做分析 | 可能触发门槛并构成受限交易 |
| 向中国关联公司提供美国用户数据用于广告或模型训练 | 可能构成被禁止的数据经纪 |
| 美国健身或医疗 App 的生物识别数据由中国云服务处理 | 敏感数据与访问路径须重点评估 |

## 美国数据安全计划（DSP）怎么准备？

1. **数据盘点**：美国业务涉及哪些敏感数据类别、规模多大
2. **访问路径盘点**：谁能访问这些数据，包括运维、客服、外包和关联公司
3. **交易分类**：哪些属于禁止交易，哪些属于受限交易，是否适用豁免
4. **架构与权限调整**：例如美国数据由美国团队运维，中国团队只接触脱敏或聚合数据
5. **受限交易的安全要求**：按 CISA 要求实施组织、系统与数据层控制
6. **合规计划与记录**：尽调、审计、记录保存和必要时的报告

这一领域涉及美国法律判断，具体结论应由美国律师出具。AssureLane 可以协助完成数据与访问路径盘点，并协调技术控制的落地。

## 常见问题

### 我们的美国子公司雇了中国的工程师远程运维，会受影响吗？

可能会。居住在中国的个人、以及受中国实体控制的公司的员工，都可能被认定为“受覆盖人员”。如果他们能访问达到数量门槛的美国人敏感数据，该雇佣或服务安排可能构成受限交易，需要满足 CISA 安全要求，甚至需要调整架构让其无法访问数据。

### 数量门槛是多少？

按过去 12 个月涉及的美国人或设备数量计：人类基因组数据超过 100 人，生物识别或精确地理位置数据超过 1,000 人或设备，个人健康或个人金融数据超过 10,000 人，受覆盖个人标识符超过 100,000 人。政府相关数据不设门槛。

### 这和 GDPR、CCPA 是一回事吗？

不是。它是国家安全规则，关注的是“谁能接触数据”，而不是个人权利。即使完全符合隐私法，仍可能违反这项规则。

## 参考来源

- [U.S. Department of Justice — Data Security Program](https://www.justice.gov/nsd/data-security)
- [Federal Register — Final Rule (28 CFR Part 202)](https://www.federalregister.gov/documents/2025/01/08/2024-31486/preventing-access-to-us-sensitive-personal-data-and-government-related-data-by-countries-of-concern-or-covered-persons)
- [White & Case — DOJ final rule on bulk sensitive personal data](https://www.whitecase.com/insight-alert/doj-issues-final-rule-prohibiting-and-restricting-transfers-bulk-sensitive-personal)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。