专栏名称: 网空闲话plus

原《网空闲话》。主推网络空间安全情报分享，安全意识教育普及，安全文化建设培育。将陆续推出网安快讯、网安锐评、网安政策、谍影扫描、APT掠影、密码技术、OT安全等专集。

美国敏感个人数据出境新规则：限制向敌对国家传输敏感数据

网空闲话plus · 公众号 · · 2024-10-22 07:05

正文

The Record网站10月22日消息，拜登政府于当地时间10月21日（周一）宣布了新的拟议规则，旨在规范向伊朗、俄罗斯等敌对国家传输敏感数据，并明确了敏感个人和联邦信息的共享方式。该规则是在2月发布的行政命令基础上提出的，目的是防止美国的关键数据被外国对手用于网络攻击或监视美国人。新规则禁止在数据传输量超过特定阈值时向俄罗斯、伊朗、朝鲜、委内瑞拉和古巴传输数据，包括12个月内超过100名美国人的基因组数据，超过1,000名美国人的地理位置和生物识别数据，超过10,000名美国人的健康和财务数据，以及超过100,000名美国人的个人识别数据。此外，现役军人或联邦人员的个人数据也被禁止传输。数据经纪商被明确为主要监管目标，禁止与这六个国家进行数据交易。违反规则的公司将面临民事处罚和刑事起诉。该规则强调了保护国家安全的重要性，并指出相关国家已购买敏感数据用于网络攻击、虚假宣传等恶意活动。

拟议规则概况

周一宣布的最新拟议规则，将用于规范向俄罗斯、伊朗、朝鲜等敌对国家传输某些数据，并对敏感个人和联邦信息的共享方式（如果可以共享）制定了具体要求。

该拟议法规是在今年2月美国政府发布行政命令后出台的，该命令旨在阻止外国对手利用容易获得的美国金融、生物特征、精确地理定位、健康、基因组和其他数据发动网络攻击或监视美国人。

根据政府发布的详细情况说明书和高级政府官员的评论，根据拟议规则，当数据传输量超过特定的预设阈值时，将被禁止向俄罗斯、伊朗、朝鲜、委内瑞拉和古巴六个国家（中国、俄罗斯、伊朗、朝鲜、委内瑞拉和古巴）的公司和个人传输数据。

具体而言，美国公司将被禁止在12个月内向目标国家传输超过100名美国人的基因组数据。超过1,000名美国人的地理位置数据和生物识别数据、超过10,000名美国人的健康和财务数据以及超过100,000名美国人的个人识别数据也将被禁止传输。个人识别信息包括与设备ID相关联的姓名、社会安全号码和驾驶执照号码。

即使是一名现役军人或联邦人员的数据也将被禁止转移，数据经纪销售也将被禁止，如果卖家有理由相信他们兜售的信息会流向这六个国家中的任何一个国家。

规则出台的背景

美国政府关注到某些敌对国家持续努力获取、利用并武器化美国公民的敏感个人数据，这些行为对美国的国家安全构成威胁。这些国家可能通过商业交易和关系购买或访问美国人的敏感数据，如生物特征、基因组、财务、地理定位和健康数据等，进而用于网络攻击、敲诈、间谍活动和其他恶意行为。尽管有法律限制非法获取数据，但现行法律仍允许这些国家通过商业途径获取敏感数据，且国家安全机构仅在个案基础上处理这些风险。因此，拜登总统于2024年2月28日发布行政命令，旨在防止敌对国家获取美国公民的大量敏感个人数据和政府相关数据。

关注的国家

拟议规则将中国（包括香港和澳门）、古巴、伊朗、朝鲜、俄罗斯和委内瑞拉等六个国家列为关注国家，因为它们长期或严重地从事对美国国家安全或美国公民的安全和保障产生不利影响的行为，并且存在利用大量敏感个人数据或政府相关数据的重大风险。

规则适用的对象

规则通常适用于美国公民的数据交易，这些交易存在不可接受的风险，即敌对国家或相关人士可以访问敏感个人数据。这包括外国实体，这些实体可能由关注国家拥有50%或以上、受关注国家的法律组织，或其主要营业地点在关注国家；外国员工或承包商；以及主要居住在关注国家的外国个人。

敏感个人信息的界定

规则将监管涉及六类可能被敌对国家利用以危害美国国家安全的敏感个人数据的交易，这些数据如果与可识别的美国个人或特定可识别的美国人群相关联。这六类数据包括：特定的个人标识符、精确的地理定位数据、生物特征标识符、人类基因组数据、个人健康数据和个人财务数据。

禁止和限制

规则提出禁止或限制某些类别的数据交易，这些交易可能使敌对国家或相关人士获得美国人的政府相关数据或大量敏感个人数据。规则将确定某些类别的禁止、限制和豁免交易；确定关注国家和适用禁令和限制的相关人士；建立许可和咨询意见的流程；定义术语和触发规则的大量阈值；处理记录保存、审计报告和其他合规要求；建立包括民事处罚在内的执法机制。

拟议规则的豁免

规则提出对某些类别的数据交易进行豁免，包括个人通信、官方美国政府活动、金融服务、公司集团交易、联邦法律或国际协议要求的交易、某些投资协议、电信服务、药物、生物制品和医疗器械授权所需的监管批准数据，以及其他FDA监管的临床研究和后市场监控数据。这些豁免基于公众反馈和部门参与，以确保规则的有效性和适应性。

一位未具备我美国政府官员在新闻发布会上强调，新拟议规则旨在禁止数据经纪商与特定六个国家（中国、古巴、伊朗、朝鲜、俄罗斯和委内瑞拉）进行数据交易，以保护国家安全。这些国家通过购买数据用于网络攻击、虚假宣传、监视等恶意活动。除了投资、雇用分包商和数据处理，限制还涉及遵守CISA的新监管制度，基于NIST的网络安全和隐私框架。个人通信、电信服务和金融服务等数据类别将被豁免。违反规则的公司将面临民事和刑事处罚。随着大数据和AI技术的发展，这些风险变得更加严重，相关国家利用这些技术增强了对敏感数据的理解和操纵能力。

附：拟议规则的中文机译版

美国敏感个人数据出境新规则：限制向敌对国家传输敏感数据

正文

请到「今天看啥」查看全文