美国隐私立法新动态：SECURE Data Act与数据主权的全球博弈

本周美国众议院提出两项重要的数据隐私立法提案——SECURE Data Act和GUARD Financial Data Act，旨在建立统一的联邦数据隐私标准。同时，欧盟委员会通过战略采购推进云主权，数据主权问题成为全球贸易谈判的焦点。

主要新闻

美国众议院于2026年4月22日提出两项数据隐私法案：

两项法案将创建全国性标准，同时预先抢占20多个州的隐私法律。适用于年处理超过20万消费者数据且年收入超过2500万美元的实体。值得注意的是，两项法案都不允许人们对数据隐私违规行为提起私人诉讼。

Source: SECURE Data Act: Analysis of the new federal privacy bill

欧盟委员会于2026年4月17日宣布了云主权战略采购的进展。委员会开发了云主权框架，将数字主权转化为客观、可衡量的采购标准。框架从战略、法律、运营和环境等八个方面衡量主权，引入了主权有效性保证级别(SEAL)，从SEAL-0(完全不具有主权)到SEAL-4(要求完整欧盟供应链)不等。

供应商需要达到SEAL-2级别才能符合条件，大多数获奖供应商达到了SEAL-3级别。

Source: Commission advances cloud sovereignty through strategic procurement

美国贸易代表办公室发布的2026年贸易壁垒报告将数据主权作为贸易问题对待。报告将加拿大的主权云倡议与土耳其对中国云提供商的全面禁止以及中国的外国云提供商禁令归为一类。报告未对正当的安全关切和保护主义做出区分。

Source: The Global Battle for Data Control

加拿大组织和个人面临美国政府根据2018年CLOUD Act获取其个人信息的权力问题。加拿大隐私监管机构建议进行隐私影响评估(PIA)，以确定数据在哪里处理、存储和谁有权访问。

律师事务所BLG建议组织：明确告知用户其个人信息可能在其他司法管辖区处理，并且可能受到外国法院、执法和国家安全机构的访问。

Source: Data sovereignty in Canada and the CLOUD Act

CSO Online的分析指出，SECURE Data Act和GUARD Financial Data Act虽然可能不会通过，但暴露了企业已经面临的问题：数据最小化、自动画像、数据经纪商问责以及敏感数据 increasingly complex 的规则。

SECURE法案要求正式的控制器-处理器合同涵盖保密性、删除、保留限制、分包商义务等保障措施。这将隐私合规直接推向采购和第三方风险管理。

Source: New US House privacy bills raise hard questions about enterprise data collection

本周的政策动态揭示了几个重要趋势：

联邦隐私法的走向：虽然之前的国会未能推进数据隐私立法，但共和党人正在首先确保在委员会获得足够的投票，然后寻求民主党支持。两项法案都预先抢占州法律，这可能面临来自已有强大隐私保护的州的阻力。

监管主权的冲突：欧盟委员会正在通过战略采购推进云主权，而美国则将任何限制跨境数据流动的措施视为贸易壁垒。这种根本性的冲突将持续影响全球云市场。

CLOUD Act的持续影响：美国法律的域外效力继续对加拿大等盟友构成挑战。加拿大组织需要在隐私影响评估中映射数据流，并确定可能受外国法律约束的服务提供商。

企业合规压力：这些法案要求的实际合规——数据最小化、合同保障、删除权——已经在推动企业重新审视其数据实践，无论法案是否通过。

对于技术和政策决策者来说，关键要点包括：