美国司法部大宗敏感个人数据规则（数据安全计划）

建立数据资产台账，逐类核对是否触及「大宗」门槛：人类组学数据超过 1,000 名美国人（其中人类基因组数据为 100 人）、生物识别标识符超过 1,000 人、精确地理位置数据超过 1,000 台美国设备、个人健康数据与个人金融数据各超过 10,000 人、受涵盖个人标识符超过 100,000 人；组合数据按其中最低门槛计算。门槛按过去 12 个月内、同一美国主体与同一外国/受涵盖人员之间的交易累计计算，且数据是否匿名化、假名化、去标识化或加密均不影响认定。

触发条件

任何在美国设立的实体、在美国境内的个人，以及中国企业的美国子公司/分支——凡收集、保管或可向境外提供美国人敏感个人数据者。

做完之后应留存的证据

• · 敏感个人数据资产台账（按 28 CFR §202.249 的六类 + 政府相关数据分列）
• · 过去 12 个月对同一交易对手的数据量累计计算底稿
• · 组合数据与「受涵盖个人标识符」判定说明（列出配对的 listed identifier）
• · 政府相关位置数据比对记录（对照 §202.1401 政府相关位置数据清单）

首次达标投入估算：10–30 人日（估算，非承诺）

在签约前判定对方是否属于受涵盖人员：受关注国家为中国（含香港、澳门）、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉；受涵盖人员包括在受关注国家设立、主要营业地在受关注国家，或被上述主体直接/间接、单独/合计持股 50% 以上的外国实体，以及司法部长指定并公布在「受涵盖人员清单」上的主体。清单公布于《联邦公报》即视为推定知悉。

触发条件

与中国母公司、中国关联方、中国籍境外员工或中国投资人存在数据可及关系的美国主体——这正是中国 AI 企业美国实体最常踩中的情形。

做完之后应留存的证据

• · 交易对手尽调问卷与股权穿透图（含 50% 合计持股测算）
• · 受涵盖人员清单筛查记录（含筛查日期与命中结果）
• · 外籍员工与承包商的国籍/主要居住地登记表
• · 筛查结论签署页（由合规负责人签字）

首次达标投入估算：5–15 人日（估算，非承诺）

不得明知而与受关注国家或受涵盖人员进行涉及政府相关数据或大宗美国敏感个人数据的数据经纪交易。数据经纪指数据出售、访问权许可或类似商业交易，接收方并非直接从数据主体处收集或处理该数据。法规示例明确包括：向境外母公司出售或许可自动驾驶车队采集的大宗精确地理位置数据；在 App 中嵌入会向受涵盖人员回传数据的追踪像素或 SDK；以及订阅式许可他人访问以大宗敏感数据训练的聊天机器人、且该机器人可被提示复现训练数据。

触发条件

把美国用户数据回流境内做模型训练、做广告变现或做数据出售的中国 AI 企业美国实体，以及在美国运营 App、自动驾驶车队、可穿戴或机器人产品的主体。

做完之后应留存的证据

• · 数据流向图（标注每条对外提供链路的接收方与法律定性）
• · SDK / 追踪像素 / 广告合作方清单与数据字段映射
• · 已终止或改造的数据经纪合同清单与终止证明
• · 模型训练数据来源说明（证明未以禁止交易方式获取或外传）

首次达标投入估算：10–40 人日（估算，非承诺）

向任何非受涵盖人员的外国人进行涉及政府相关数据或大宗敏感数据的数据经纪交易时，必须以合同约定对方不得将同一数据再行经纪给受关注国家或受涵盖人员；一旦知悉或怀疑该条款被违反，须在 14 天内向司法部报告，报告内容包括违约日期、交易与条款描述、涉及主体及相关文件副本。

触发条件

向欧洲、东南亚、中东等第三国合作方提供美国用户数据的美国主体（含中国企业的美国实体）。

时限：知悉或怀疑违约后 14 天内报告

做完之后应留存的证据

• · 含禁止再转让条款的合同范本与已签署版本
• · 合同条款落实台账（按对手方逐一登记）
• · 疑似违约内部升级与调查记录
• · 14 天内提交司法部的违约报告及回执

首次达标投入估算：3–10 人日（估算，非承诺）

任何涉及受关注国家或受涵盖人员访问大宗人类组学数据（基因组、表观基因组、蛋白质组、转录组），或可由此推导出大宗组学数据的人体生物样本的受涵盖数据交易，一律禁止——包括供应商协议、雇佣协议与投资协议，不能通过实施 CISA 安全要求转为「受限交易」。人类基因组数据的大宗门槛低至 100 名美国人。

触发条件

做 AI 制药、生物计算、基因组学分析、医疗影像+组学融合的中国企业美国实体，以及承接美国生物样本处理的团队。

做完之后应留存的证据

• · 组学数据与生物样本清单及来源国标注
• · 境内外研发人员对组学数据系统的访问权限矩阵
• · 组学相关合作、委托测序与学术合作协议复核记录
• · 禁令培训签到表（研发与 BD 团队）

首次达标投入估算：5–15 人日（估算，非承诺）

与受关注国家或受涵盖人员签订涉及大宗敏感数据访问的供应商协议、雇佣协议或投资协议属「受限交易」，只有在完整实施《CISA 受限交易安全要求（EO 14117 实施版，2025 年 1 月）》并满足本部分其他要求时才被允许。法规示例明确：自行设计「自认为等效」的替代控制而不实施该安全要求，该交易即转为禁止交易。

触发条件

在中国设有研发团队、外包团队或数据标注团队并让其接触美国用户数据的美国实体；接受中国投资人非被动投资且投资带来数据访问可能的美国公司。

做完之后应留存的证据

• · CISA 安全要求实施说明书（逐条对照控制项）
• · 身份与访问管理配置、数据最小化与加密/去标识化实施证据
• · 受限交易清单（供应商/雇佣/投资三类分列）
• · 由负责合规的高管年度签署的安全要求实施政策

首次达标投入估算：20–60 人日（估算，非承诺）

从事任何受限交易的美国主体最迟须于 2025-10-06 建立并实施数据合规计划，最低内容包括：基于风险的数据流核验程序（须以可审计方式记录数据类型与数量、交易各方身份含实体股权与个人国籍/主要居住地、数据最终用途与传输方式）；针对供应商的身份核验程序；描述数据合规计划的书面政策；描述安全要求实施情况的书面政策。后两项均须由负责合规的高管、管理人员或员工每年签署认证。

触发条件

任何已在从事受限交易的美国主体，包括中国 AI 企业的美国子公司。

时限：最迟 2025-10-06 建立并实施

开始适用：2025-10-06

做完之后应留存的证据

• · 数据合规计划书面政策（含年度高管认证签署页）
• · 安全要求实施书面政策（含年度高管认证签署页）
• · 数据流核验日志（可审计格式）
• · 供应商身份核验记录

首次达标投入估算：15–40 人日（估算，非承诺）

自 2025-10-06 起从事受限交易的美国主体，须在每个从事受限交易的日历年度进行一次审计，覆盖前 12 个月。审计人须具备资格与独立性，且不得是受涵盖人员或受关注国家。审计范围包括受限交易本身、数据合规计划及其实施、§202.1101 要求的记录、以及安全要求的落实情况。审计人须在审计完成后 60 天内出具书面报告，报告须描述任何安全要求失效或存在缺陷的情形并提出改进建议；报告至少保存 10 年。

触发条件

所有在相关日历年度内从事过受限交易的美国主体。

时限：每个从事受限交易的日历年度一次；审计人须在审计完成后 60 天内出具报告

开始适用：2025-10-06

做完之后应留存的证据

• · 审计人独立性与资质声明
• · 年度审计报告（含方法论、访谈人员、受检系统与设施）
• · 审计发现整改计划与关闭证据
• · 审计报告 10 年留存的归档记录

首次达标投入估算：10–25 人日（估算，非承诺）

从事本部分所涉任何交易的美国主体，须就每笔交易保存完整准确的记录，并自交易之日起至少 10 年内可供检查。受限交易另需以可审计方式保存：合规计划政策与安全要求政策（均年度认证）、年度审计结果、数据流尽调文档（数据类型与数量、各方身份含直接与间接股权或个人国籍/主要居住地、最终用途说明）、传输方式说明、交易起止日期、相关协议副本、许可证或咨询意见副本及其文件编号，以及由负责合规人员出具的尽调记录完整性与准确性年度认证。

触发条件

任何落入本部分适用范围的美国主体。

时限：自交易之日起至少 10 年

做完之后应留存的证据

• · 交易记录归档索引（含 10 年保存期标注）
• · 尽调文档包（数据类型与数量、各方身份、最终用途、传输方式）
• · 协议、许可证与咨询意见副本及文件编号登记
• · 尽调记录完整性与准确性的年度认证签署页

首次达标投入估算：5–15 人日（估算，非承诺）

两类报告义务：一是年度报告——自 2025-10-06 起从事涉及云计算服务的受限交易，且其 25% 以上股权被受关注国家或受涵盖人员（直接或间接、通过任何合同、安排、谅解或关系）持有的美国主体，须就截至上一年 12 月 31 日的相关交易，在次年 3 月 1 日前提交年度报告；二是拒绝交易报告——自 2025-10-06 起，凡收到并明确拒绝（含以软件或自动化工具自动拒绝）涉及数据经纪的禁止交易要约的美国主体，须在拒绝之日起 14 天内报告。两类报告均须由高管、董事、履行同等职务者或负责合规的员工签署并认证真实、准确、完整。

触发条件

有中资背景、且股权中中国投资人合计达 25% 以上的美国云服务或 AI 平台主体；以及任何在美国承接数据交易询价的主体。

时限：年度报告：次年 3 月 1 日前；拒绝交易报告：拒绝之日起 14 天内

开始适用：2025-10-06

做完之后应留存的证据

• · 股权结构穿透计算表（证明是否达到 25% 门槛）
• · 年度报告底稿与提交回执（含交易日期、数据类型与数量、传输方式、各方名称与所在地）
• · 拒绝交易台账与 14 天内提交的报告副本
• · 报告签署人授权文件与真实性认证签署页

首次达标投入估算：5–15 人日（估算，非承诺）