跨境数据
1 / 2
EO 14117 生效一周年：举报激励与私人诉讼补位执法
EO 14117 实施细则生效一周年，DOJ 国家安全司尚未公开重大执法，但两条路径已在收紧：FinCEN 2026年4月1日发布举报人激励拟议规则，把违反数据安全计划列入 TCR 举报表、最高分成30%制裁金；私人原告与州检察长在集体诉讼中援引 EO 14117。
Lenovo、Temu、Google 涉华数据传输诉讼解读
2026年2月起，Lenovo、Temu（PDD）、Google 相继在美国卷入涉华数据传输诉讼。私人原告与州检察机关借助州隐私法、消费者保护法与 ECPA，将 EO 14117 的国家安全议题转化为可主张高额赔偿的民事与州级责任，形成对跨境数据合规的多维围剿。
EO 14117 被集体诉讼引用，AdTech 生态面临新威胁
2025年9月2日，Porcuna v. Xandr 与 Baker v. Index Exchange 两起集体诉讼把 EO 14117 与 ECPA 结合：若拦截行为违反 EO 14117 大宗数据规则，即构成 ECPA 第2511(2)(d)条的犯罪或侵权目的，使 AdTech 无法再援引一方例外抗辩。
CJEU 为假名化数据传输划下新红线
2025年9月4日，CJEU 在 EDPS 诉 SRB 案中裁定：数据是否“可识别”须从控制者视角、在收集时点判断；假名化不能免除控制者的透明度义务。本文梳理判决三大结论、假名化的相对性，以及对企业数据共享实践的影响，EDPB 已就此召集专门利益相关者会议。
欧盟法院确认 EU-US DPF 充分性决定有效
2025年9月3日，欧盟普通法院在 Latombe 诉委员会案中驳回对 EU-US 数据隐私框架的挑战，确认其充分性决定有效。这是继安全港、隐私盾相继失效后，欧美跨境传输机制首次通过司法审查。本文梳理 DPRC 独立性、批量收集与实质等同三大裁决要点，以及企业仍需保留 SCC 备用方案的原因。
EO 14117 自测：你的企业是否落入监管范围？
判断企业是否落入美国 EO 14117 监管，看三件事：是否涉及美国人的受保护敏感数据、是否达到批量门槛、是否通过受涵盖交易流向中国等关注国家。行政令2025年4月8日生效、审计要求10月6日生效，违规面临刑事责任与千万级罚款。本文给出自测清单。
TikTok 因数据跨境被爱尔兰 DPC 罚 5.3 亿欧元
2025年5月2日，爱尔兰 DPC 依 GDPR 对 TikTok 处以5.3亿欧元罚款，认定其在未提供充分保障的前提下将 EEA 用户数据传输至中国，违反第46(1)条，且隐私政策不透明违反第13(1)(f)条。这是继2023年3.45亿欧元后又一重大处罚，TikTok 须在六个月内整改。
隐私快讯 | 14117生效之后企业如何应对？美国国家安全局发布合规建议
本篇文章将着重参考美国国家安全局发布的合规指南的主要内容，为出海企业遵守数据安全计划提供合规建议。
隐私快讯｜14117生效之后企业如何应对？美国国家安全局发布FAQs
为了帮助公众遵守根据14117命令实施的数据安全计划，NSD发布了合规指南、一个包含100多个常见问题的FAQs清单，以及为期90天的实施执行政策。本篇文章将着重参考FAQs的主要内容。
隐私快讯｜14117正式生效，中国出海企业该如何善用90天的“宽限期”？
为了帮助公众遵守DSP，NSD发布了合规指南、一个包含100多个常见问题的FAQs清单，以及为期90天的实施执行政策。本期文章将着重该90天实施执行宽限期。
隐私快讯｜美国EO14117的最终规定要生效了，您的企业做好准备了吗？
美国司法部在2025年1月8日正式发布关于实施拜登政府第14117号行政令的最终规则（以下简称“最终规定”）即将于今日（2025年4月8日）正式生效。
隐私快讯｜noyb 投诉六家中国公司的数据跨境违规
1 月 16 日，noyb 对 TikTok、AliExpress、SHEIN、Temu、WeChat 和小米提出 GDPR 投诉，指控其非法数据传输至中国。
隐私快讯｜美国联邦立法《禁止受关注国家获取敏感数据规定》生效进入倒计时
2025 年 1 月 8 日，美国联邦公报将正式刊登执行拜登总统 2024 年 2 月 28 日签署的第 14117 号行政命令（EO 14117）。
隐私快讯｜中美“数据脱钩”终成定局，美国司法部发布数据跨境传输最终规定
美国时间2024年12月27日，美国司法部发布禁止敏感个人数据向部分国家跨境传输的最终规则（以下称“最终规则”）。
重磅：美国敏感个人信息法规新进展
美国司法部发布了一份拟议规则制定通知，以实施拜登总统的行政命令《防止有关国家获取美国人的大量敏感个人数据及美国政府相关数据》。
隐私快讯｜巴西数据保护机构发布《数据跨境传输条例》和标准合同条款（SCCs）
巴西国家数据保护局（ANPD）发布 CD/ANPD 第 19 号决议。决议批准了《数据跨境传输条例》和标准合同条款（SCCs），以规范将个人数据传输至巴西境外的行为。
隐私快讯｜Uber 因违规向美国跨境传输司机数据被罚款2.9亿欧元
荷兰数据保护局向 Uber 处以 2.9 亿欧元的罚款，因其违反规定将欧盟地区司机个人数据传输到美国。
案例判罚 ｜阿里因违规跨境转移个人信息被罚19.78亿韩元
韩国个人信息保护委员会因阿里违反韩国《个人信息保护法》跨境转移用户个人信息，决定对其处以19.78亿韩元的罚款（折合约143万美元），并责令其整改。
隐私快讯 | 拜登签署行政命令，限制美国的个人数据流通到多国
拜登总统已签署行政命令，以限制将美国人的个人数据大规模销售给如俄罗斯，朝鲜，古巴，委内瑞拉，中国和伊朗等“受关注国家”。
CNIL 发布 TIA 实用指南草案：数据跨境六步评估
法国数据保护机构 CNIL 于 2024 年 1 月 8 日发布数据转移影响评估（TIA）实用指南草案并征求公众意见。指南依 EDPB 建议给出六步流程，指导企业在依赖 SCC 等 GDPR 第 46 条工具向欧洲经济区外转移个人数据时评估目的地保护水平并采取补充措施。
沙特 PDPL 及境外数据传输规定于2023年9月生效
沙特阿拉伯《个人数据保护法》（PDPL）执行条例与《境外个人数据传输规定》最终版于2023年9月7日发布、9月14日生效。本文梳理 PDPL 的适用范围、同意与数据主体权利、72小时泄露通知，以及跨境转移的 Schrems II 式评估、SCC/BCR 与数据本地化要求。
noyb 就非法跨境转移数据对 Fitbit 提起 GDPR 申诉
2023年8月31日，隐私组织 noyb 向奥地利、荷兰、意大利数据保护机构申诉 Fitbit，指其强迫欧洲用户同意将健康数据转移至美国等第三国、撤回同意的唯一方式是删账户。本文解析 GDPR 第44、49条与 SCC、同意并用为何被质疑，罚款或高达112.8亿欧元。
欧盟-美国数据隐私框架 DPF 7 月 10 日生效
2023 年 7 月 10 日，欧盟委员会通过 EU-US DPF 充分性决定，参与框架的美国企业可无额外措施接收欧盟个人数据。本文梳理从安全港、隐私盾到 DPF 的第三次尝试、企业加入清单的认证流程与八项原则，以及未列入清单时仍可用 SCC/BCR 的选项。
瑞典就 Google Analytics 传美数据开出罚单
2023 年 7 月，瑞典隐私保护局 IMY 认定四家企业用 Google Analytics 将个人数据传至美国违反 GDPR，对 Tele2、CDON 分别罚 1200 万、30 万瑞典克朗，并令其余企业停用。本文说明为何 SCC 之外还需额外保障措施，以及网站运营商可采取的降险措施。
