规则在管什么
规则把涉及美国人批量敏感个人数据或政府相关数据的交易分为两类：
- 禁止交易：数据经纪（向受关注国家或受覆盖人员出售、许可访问数据），以及涉及人类基因组数据的某些交易
- 受限交易：供应商协议、雇佣协议、非被动投资协议。只有满足 CISA 制定的安全要求（组织、系统和数据层面的控制）并建立合规计划，才可以进行。
敏感个人数据包括：受覆盖个人标识符、精确地理位置、生物识别、人类组学数据、个人健康数据和个人金融数据。
谁是“受覆盖人员”
- 受关注国家的政府
- 依受关注国家法律设立、主要营业地在受关注国家、或 50% 以上由上述实体拥有的实体
- 上述实体的员工或承包商
- 主要居住在受关注国家的个人
对中国出海企业而言，中国母公司、中国境内关联公司、在中国的员工和外包团队都可能落入这个定义。
典型风险场景
| 场景 | 风险 |
|---|---|
| 美国子公司的产品数据由中国研发团队运维、排障 | 雇佣或供应商协议可能构成受限交易 |
| 美国用户的位置或健康数据回传中国做分析 | 可能触发门槛并构成受限交易 |
| 向中国关联公司提供美国用户数据用于广告或模型训练 | 可能构成被禁止的数据经纪 |
| 美国健身或医疗 App 的生物识别数据由中国云服务处理 | 敏感数据与访问路径须重点评估 |
美国数据安全计划（DSP）怎么准备？
- 数据盘点：美国业务涉及哪些敏感数据类别、规模多大
- 访问路径盘点：谁能访问这些数据，包括运维、客服、外包和关联公司
- 交易分类：哪些属于禁止交易，哪些属于受限交易，是否适用豁免
- 架构与权限调整：例如美国数据由美国团队运维，中国团队只接触脱敏或聚合数据
- 受限交易的安全要求：按 CISA 要求实施组织、系统与数据层控制
- 合规计划与记录：尽调、审计、记录保存和必要时的报告
这一领域涉及美国法律判断，具体结论应由美国律师出具。AssureLane 可以协助完成数据与访问路径盘点，并协调技术控制的落地。