政策动态：美国联邦隐私立法SECURE Data Act与众议院推进数据保护框架

数据隐私和云计算监管领域迎来重大政策进展。美国众议院提出全面的联邦隐私法案SECURE Data Act，旨在建立全国统一的数据隐私标准；法国实施2026-272号法令保护政府云敏感数据；美国国会提出针对国防AI采购的多云技术要求。这些政策变化将对云服务提供商和企业的数据处理方式产生深远影响。

主要新闻

众议院提出SECURE Data Act 2026

美国众议院能源与商业委员会于4月22日宣布提出”确保和建立消费者统一权利与数据执法法案”（SECURE Data Act）。该法案将取代美国各州零散的消费者隐私法，建立单一的联邦法律。法案适用于处理超过20万美国消费者数据且年收入至少2500万美元的企业，或处理至少10万消费者数据且25%以上年收入来自数据销售的企业。法案赋予消费者访问、更正和删除个人数据的权利，并要求控制器在处理敏感数据前获得选择加入同意。

Source: Comprehensive Federal Privacy Legislation Introduced

GUARD Financial Data Act同步提出

与SECURE Data Act同时提出的还有”金融数据使用、访问和负责任披露指南法案”（GUARD Financial Data Act）。两项法案共同提出了五大主题：数据最小化、数据访问权、数据删除权、敏感数据保护和国家统一标准。法案将结束目前各州法律的混乱局面，同时保留联邦贸易委员会、州总检察长和保险监管机构的执法角色。值得注意的是，法案不包含私人诉权。

Source: SECURE Data Act and GUARD Financial Data Act

法国实施2026-272号云数据主权法令

法国总理于4月14日签署、4月17日生效的2026-272号法令开始实施，保护国家行政机关、运营商和公共利益团体交由私人云服务提供商处理的特别敏感数据。该法令实施《数字空间安全与监管法案》第31条，包括数据本地化要求。这是欧洲云主权监管趋势的最新发展，反映了各国政府对云计算数据主权的持续关注。

Source: Decree No. 2026-272 on Cloud Data Protection

国防AI采购要求优先多云技术

美国国会提出的法案要求国防部长在与云提供商、基础模型提供商和数据基础设施提供商签订合同时，除非不可行或对国家安全构成实质性威胁，否则应优先采用多云技术。法案还要求更新国防联邦采购条例补充(DFARS)，确保政府提供的数据未经明确授权不得用于训练或改进商业产品，并规定违反条款将面临罚款和合同终止等处罚。

Source: HR 3434 - Defense AI Procurement

分析

SECURE Data Act的提出标志着美国联邦隐私立法进程的重要突破。此前多次尝试建立联邦隐私框架的努力都因两党分歧而失败，但这次法案遵循了华盛顿州和弗吉尼亚州模式的共识框架，并且巧妙地解决了之前争论激烈的优先适用(preemption)问题——法案禁止各州制定与SECURE Data Act相关的法律，但允许州监管机构执行该法案。

对于云服务提供商和企业而言，这项法案的影响将是深远的。超过20万消费者的处理门槛意味着绝大多数科技公司和互联网服务提供者都将受到约束。数据最小化要求将迫使企业重新审视其数据收集和存储实践，特别是那些依赖大规模数据收集进行AI训练的公司。数据访问和删除权将对云架构设计提出新的技术要求，特别是在多租户环境中的数据隔离和删除能力。

法国的云数据主权法令反映了全球范围内的数据本地化趋势。这对于跨国云服务提供商意味着需要在不同司法管辖区维持独立的数据基础设施，增加了运营复杂性。这种趋势预计将在欧洲其他国家继续蔓延，特别是在关键基础设施和政府服务领域。

国防部的多云技术要求则代表了另一个重要方向。在Anthropic与五角大楼就AI模型使用条款发生争议后，国防部正在积极寻求避免AI供应商锁定的策略。多云优先的方法不仅适用于传统云计算，也扩展到AI基础模型和数据基础设施，这表明政府正在将多云策略视为国家安全和供应链韧性的关键要素。

结论

2026年的数据隐私和云计算监管环境正在发生结构性变化。美国联邦隐私立法的推进、欧洲云主权法规的实施以及国防采购政策的更新，都指向一个共同趋势：数据治理正在从自愿性框架转向强制性法规。对于云服务提供商和企业而言，提前适应这些变化、建立合规的数据处理架构，将成为在新时代保持竞争力的必要条件。随着众议院小组委员会即将举行立法听证，SECURE Data Act的后续进展值得持续关注。