美国 DOJ「数据安全计划」(DSP) 进入全面执法：EO 14117 重塑中资企业赴美数据合规——禁止交易、受限交易与每笔 36.8 万美元罚则全解析
美国司法部（DOJ）国家安全司（NSD）依据第 14117 号行政命令（Executive Order 14117）制定的「数据安全计划」（Data Security Program，DSP）已于 2025 年 4 月 8 日生效，90 天宽限期及尽职调查、审计、报告等全部肯定性义务亦自 2025 年 10 月 6 日起全面适用。该规则（28 CFR Part 202）将中国（含香港、澳门）明确列为首要「受关注国家」，本质上是一套针对「批量敏感个人数据」的「数据出口管制」。对在美经营或向美出口的中资企业而言，这套制度的执法已进入实战阶段，且远比传统的州隐私法更具国家安全色彩。
监管背景：从行政命令到「数据安全计划」
美国政府认为，受关注国家可绕开复杂的网络入侵，直接通过商业渠道在公开市场购买、或借由其管辖下的企业获取美国人的敏感数据，用于间谍、经济间谍、监控与反情报、训练 AI 及军事能力等活动。EO 14117 据此宣布国家紧急状态，授权 DOJ 制定规则加以阻断。NSD 已配套发布《合规指南》、逾 100 条《常见问题（FAQs）》及临时《执法政策》，并将陆续公布「受涵盖人员清单」（Covered Persons List）。值得中资企业警惕的是，监管层正释放将中国作为执法重点的信号，FTC 亦表示将协助 NSD 调查与执法。
谁受约束：受关注国家与「受涵盖人员」
DSP 列明的受关注国家共六个：中国（含香港、澳门）、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉。「受涵盖人员」（Covered Person）的范围极广，包括：由受关注国家或其人员直接或间接、单独或合计持股达 50% 及以上的外国实体；依受关注国家法律设立或主要营业地位于该国的实体；受关注国家或上述实体的雇员、承包商；主要居住在受关注国家境内的个人；以及由司法部长认定为受其控制或代其行事的任何人。这意味着，即便交易对手是注册在第三国的公司，只要其股权或控制权可追溯至中国主体，仍可能被认定为受涵盖人员。
管什么数据：六类「批量敏感个人数据」与政府相关数据
DSP 监管两类数据。其一为批量敏感个人数据，含六个子类，各有独立的「批量」数量门槛：人类基因组（'omic）数据、生物识别标识符、精确地理位置数据、个人健康数据、个人财务数据，以及受涵盖的个人标识符。其二为政府相关数据，包括军事基地、国防或情报设施等高风险区域的精确地理位置数据，以及任何被标榜为可关联到美国政府（含军方与情报界）现任或前任雇员、官员的敏感个人数据——无论数量多少。
两类交易：「禁止交易」与「受限交易」
禁止交易（Prohibited Transactions）主要指与受涵盖人员之间涉及上述数据的「数据经纪」（data brokerage）交易，以及任何使受涵盖人员可获取批量人类基因组数据（或可从中提取该数据的人体生物样本）的交易；除非获得豁免或许可，美国主体不得「明知」从事此类交易。受限交易（Restricted Transactions）则指与受关注国家或受涵盖人员之间的雇佣协议、供应商协议、投资协议类数据交易——只有在满足四项条件后方可进行：遵守CISA 网络安全要求、建立并实施数据合规计划、开展审计、以及履行记录保存义务。此外，从事数据经纪的美国主体还须以合同要求外国对手方不得向受关注国家或受涵盖人员转售、转让相关数据。
处罚机制：民事、刑事与「知道标准」
违规后果严厉。民事罚则为每笔违规交易最高368,136 美元，或该交易价值的两倍，以较高者为准；刑事层面，对故意违反者最高可判20 年监禁并处100 万美元罚金。需要强调的是，DSP 适用「知道标准」（knowledge standard），即责任取决于企业是否「知道或理应知道」交易涉及受涵盖人员或受关注国家，而非严格责任——这使得「不知情」并非天然抗辩，企业的尽职调查与「了解你的数据（know your data）」能力将直接决定其风险敞口。
对中资企业的合规启示
结合 DSP 的执法现状，建议在美经营及对美数据往来的中资企业立即着手以下合规动作：
数据与数据流盘点（Data Mapping）：识别企业持有或经手的敏感个人数据与政府相关数据是否触及六类「批量」门槛，建立可验证的数据流向台账，重点排查通过网站埋点、SDK、广告追踪等方式收集的数据。
供应商与对手方筛查：对供应商、投资方、合作方进行股权穿透与「受涵盖人员清单」筛查，警惕股权或控制权可追溯至中国主体的第三国实体；持续监控其对受涵盖数据的访问权限。
合同条款改造：在数据经纪类合同中加入禁止向受关注国家/受涵盖人员转售、转让数据的条款，并要求对手方年度合规承诺；但须注意，仅靠合同条款不足以证明合规，仍须配套尽调与监控。
建立书面数据合规计划与审计机制：针对受限交易，落实 CISA 安全要求、年度风险评估、合规官（CCO）年度认证及独立审计，并确保董事会与高管层的监督到位。
许可与自愿披露：对确有必要但可能触线的交易，评估申请一般许可或特定许可、或寻求咨询意见的可行性；发现违规时，主动披露与配合调查可作为「善意努力」的有利证据。
趋势展望
DSP 标志着美国对跨境数据流动的监管从「隐私保护」逻辑全面转向「国家安全」逻辑，并与 CFIUS、出口管制、实体清单等工具形成合围之势。随着「受涵盖人员清单」的扩充与 FTC、NSD 的执法协同深化，中资企业面临的不再是单一的州隐私合规，而是叠加了国家安全审查的「数据出口」红线。对中资出海企业而言，唯有尽早将 DSP 纳入整体数据治理与跨境合规框架，建立「了解你的数据」的常态化能力，方能在执法全面铺开的当下守住底线、争取主动。