政策动态：CLOUD Act影响深化与美国数据隐私立法新进展

本周政策领域多项重要进展。美国国家安全战略将云安全和供应链安全提升到优先位置，FISA 702重新授权引发广泛关注。同时CLOUD Act对数据主权的影响持续深化，在美企业需重新评估数据架构。Online Privacy Act of 2026提案引入新的联邦隐私框架。

主要新闻

美国3月6日发布的国家网络安全战略将云安全和供应链安全提升到优先位置，超越了数据安全态势管理。该战略有六大支柱，包括塑造对手行为和保护关键基础设施。对于联邦IT承包商，这一转变对采购决策和合规要求有直接影响。

Source: New cyber strategy shifts attention to cloud and supply chain security

FISA 702将于2026年4月到期，国会正在推动快速续期。同时，改革派议员推动SAFE Act。分析指出数据位置不再是全部——即使数据存储在海外，如果提供商受美国管辖，仍然存在法律风险。FISA 702和CLOUD Act共同构成了企业必须应对的现实。

Source: Beyond The Server Location: Why The New Fight Over FISA 702 And The Cloud Act Matters

众议员Zoe Lofgren提出了Online Privacy Act of 2026 (H.R. 8014)，旨在创建全面的权利型联邦隐私框架。该法案将对大多数商业数据处理者施加数据最小化和治理职责，并建立具有执法权的新数字隐私机构。

Source: Online Privacy Act of 2026 to Provide Personal Information Rights

DOJ发布了根据第14117号行政令的数据安全项目最终规则，限制某些涉及敏感个人数据和政府相关数据向「关切国家」的交易。该项目于2025年4月8日生效，对涉及向「关切国家」提供云服务的交易施加严格安全要求。

Source: DOJ Issues Final Rule on Data Security Program

加拿大组织面临数据主权新挑战。分析指出存储在加拿大并不能阻止根据CLOUD Act的访问——谁控制数据比数据存储在哪里更重要。企业结构和运营控制是关键因素。

Source: Data sovereignty in Canada and the CLOUD Act

本周的政策发展反映了跨境数据治理的复杂化趋势。CLOUD Act和FISA 702的交叉影响使企业面临新的合规挑战。重要的是，数据位置不再等同于数据安全——法律管辖和运营控制是更重要的因素。

Online Privacy Act of 2026如果通过，将标志着美国从分散的、针对特定行业的模式转向全面的权利型制度，更接近欧盟GDPR。但鉴于该法案目前只有一名共同发起人，其前景不确定。

对于跨国企业，建议：1）审查数据架构以评估法律风险；2）实施数据最小化和加密策略；3）监控立法发展并准备合规方案。

数据隐私和网络安全监管正在加速整合。企业需要从数据位置思维转向数据控制思维。建议企业主动评估数据主权风险，并在数据治理框架中纳入法律管辖因素。