政策动态：美国数据隐私法规加码与FISA 702重新授权博弈
政策动态：美国数据隐私法规加码与FISA 702重新授权博弈
本周美国数据隐私和政策领域传来多项重要更新，FISA 702法案面临重新授权的关键时刻，DOJ数据安全计划持续推进，州级隐私法规加速实施，企业需要重新审视跨境数据传输策略。
主要新闻
FISA 702重新授权进入关键阶段
美国国会正在就FISA Section 702的重新授权进行辩论。该法案于2024年重新授权，将于2026年4月到期。众议院议长迈克·约翰逊正在推动短期延长，而改革派议员则支持SAFE Act，要求加强隐私保护。FISA 702不再是政府关注的问题，已成为企业治理和董事会层面的议题，对云客户、跨国企业和负责跨境数据战略的法律顾问具有直接影响。
DOJ数据安全计划执法加速
美国司法部根据第14117号行政令实施的数据安全计划（DSP）已进入全面执法阶段。该计划禁止和限制涉及”相关国家”的某些数据交易，包括中国（包括香港和澳门）、古巴、伊朗、朝鲜、俄罗斯和委内瑞拉。违规将面临高达377,700美元的民事和/或刑事处罚。企业需要在2025年7月8日前完成合规。
Source: DOJ Issues Final Rule on Data Security Program to Block Sensitive
州级隐私法规持续扩张
截至2026年，约有19-20个美国州已实施全面的消费者隐私法。2026年1月1日，印第安纳州、肯塔基州和罗德岛州的新隐私法生效，加利福尼亚州、康涅狄格州、俄勒冈州和犹他州进行了重要修正，阿肯色州出台了将于2026年7月生效的新隐私法。监管机构对未成年人数据、自动化决策和数据经纪人透明度的关注显著增加。
Source: U.S. Data Privacy Laws and Regulations in 2026
FTC更新Safeguards Rule强化数据安全要求
FTC最终确定了对格拉姆-利奇-布利利法（GLBA）下的Safeguards Rule的修订，新要求将于最终规则发布一年后生效。修订扩大了”金融机构”的定义，包括”finders”（促成金融交易的中介），新增具体安全要求包括数据静态和传输加密、客户信息访问控制、数据清单和分类、安全开发实践、认证、信息处置、变更管理、测试和事件响应。
Source: FTC Expands Data Security Requirements and Scope of Safeguards Rule
分析
FISA 702重新授权的政治博弈反映出外国情报监视法已从技术政策转变为主流企业治理问题。即使数据存储在海外，只要服务提供商受美国管辖，外国情报监视的风险仍然存在。这一现实要求企业重新评估数据存储策略，仅靠数据本地化已不足以防范法律风险。
DOJ数据安全计划与CLOUD Act的交叉执法形成了复杂的合规环境。企业在与”相关国家”进行数据交易时需要仔细区分”禁止”和”限制”类别，并满足相应的安全要求。云计算服务和供应商协议受到特别审查，因为云服务交易在限制性交易中占很大比例。
州级隐私法规的快速扩张造成了复杂的合规挑战。随着近20个州拥有全面的隐私法，多州运营的企业需要建立持续治理机制而非一次性的合规项目。监管趋势显示，隐私法越来越像数据治理授权，要求组织展示数据保留、安全、访问和删除的合规实践。
结论
美国数据隐私格局正在经历深刻的结构性变化。联邦层面，FISA 702的重新授权和SAFE Act的改革提议将决定外国情报监视的执法范围；DOJ数据安全计划的执法将影响涉及”相关国家”的跨境数据交易。州级层面，近20个州已建立隐私法规体系，企业面临多州合规的持续压力。对于跨国企业而言，数据位置不再是唯一的风险考量，美国法律的长臂管辖和跨境执法要求更全面的合规战略。2026年将是企业数据隐私合规的关键年份。