政策动态：欧盟云主权方案出炉限制美企、荷兰首禁美资收购云服务商与美国联邦数据隐私法案推进

本周全球数据主权和数据隐私政策领域发生密集变化：欧盟”技术主权一揽子计划”出台拟限制美国云服务商处理政府敏感数据、荷兰首次禁止美资企业收购本地云服务商、美国参议院推进联邦级《消费者数据隐私与安全法案》。

主要新闻

欧盟”技术主权一揽子计划”：限制美国云服务商处理政府敏感数据

欧盟委员会于5月27日正式提出”技术主权一揽子计划”（Tech Sovereignty Package），其中包含限制成员政府使用美国云平台处理敏感数据的规则讨论。根据CNBC获取的消息，欧委会正讨论对金融、司法和健康等政府敏感数据提出主权云基础设施要求。该包还包括《云与AI发展法案》（CADA）和《芯片法案2.0》，旨在培育欧洲本土云和AI解决方案。一揽子计划需获得全部27个成员国批准后方可生效。在跨大西洋关系紧张的背景下，欧洲对美国云服务商（AWS、Azure、Google Cloud控制欧洲过半云市场）的数据主权担忧持续升温。

Source: EU Mulls Restricting Use of U.S. Cloud for Sensitive Government Data - CNBC

荷兰首次禁止美资企业收购本地云服务商

荷兰政府以国家安全为由全面禁止IBM分拆公司Kyndryl收购荷兰云服务商Solvinity（约1亿欧元交易）。Solvinity是荷兰数字身份系统DigiD、政府通信门户MijnOverheid和企业-政府数字网关Digipoort的基础设施托管商。荷兰投资审查局认为该收购对”公共利益”构成风险，直接建议全面禁止而非附加条件。这是荷兰首次禁止美资收购，核心担忧是美国CLOUD Act允许美国执法机构强制美国公司交出存储在任何地点的数据。

Source: Netherlands Blocks US Firm from Buying DigiD Cloud Host - The Next Web

美国《消费者数据隐私与安全法案2026》推进联邦统一隐私框架

美国参议院于2026年3月25日提出的S.4211《消费者数据隐私与安全法案》正在推进。该法案旨在建立统一的联邦隐私框架，全面优先于各州隐私法。核心要求包括：隐私政策公开、全面的数据安全计划（行政、技术和物理保障）、服务提供商合同约束、FTC执法并增派至少440名执法专员。法案还要求商务部就跨境数据传输协议进行评估，并建立三年一次的联邦数据隐私法审查机制。这对长期依赖各州分散立法的美国科技企业意味着合规框架的根本性统一。

Source: Text of S. 4211: Consumer Data Privacy and Security Act of 2026 - GovTrack

欧盟发布《网络安全法案2》提案加强ICT供应链安全

欧盟委员会发布《网络安全法案2》（Cybersecurity Act 2）提案，取代2019年版本。新法案扩展ENISA（欧盟网络安全局）授权、改革欧洲网络安全认证框架（ECCF）、并建立ICT供应链安全框架。法案与《云与AI发展法案》互补，旨在解决当前仅有一个认证方案（EUCS）投入运营的困境，并建立针对高安全需求领域（云服务、5G基础设施）的强制认证机制。同时引入”可信ICT供应链框架”，对移动、固定和卫星通信网络的高风险供应商实施限制。

Source: Proposal for Cybersecurity Act 2 - European Commission

全球数据控制权博弈加剧：美国贸易报告将30+国数据主权列为贸易壁垒

美国2026年《国家贸易评估报告》（NTE）将超过30个国家的数据主权和云采购限制措施列为贸易壁垒，包括加拿大主权云计划、法国SecNumCloud（要求61%欧盟所有权且不受非欧盟法律管辖）、韩国CSAP认证（要求数据本地化和韩国本地运营人员）等。报告对这些措施不加区分——将加拿大对CLOUD Act的正当回应与中国的全面禁止外国云服务商等量齐观。值得注意的是，报告完全未提及CLOUD Act本身是这些措施的重要驱动因素。

Source: Global Battle for Data Control: 2026 U.S. Report on Trade Barriers - Michael Geist

分析

本周的政策动态揭示了全球数据治理的”三重博弈”。第一层是欧盟与美国之间的直接监管冲突。欧盟技术主权一揽子计划不是孤立事件——它是法国、荷兰、德国等国一系列数据本地化措施的升级版。CLOUD Act授予美国执法机构的域外数据获取权是欧洲各国从”警戒”转向”行动”的根本驱动力。欧盟正在构建的制度化主权云要求将迫使AWS、Azure和Google Cloud要么建立真正独立的欧洲子公司（技术上和法人上隔绝美国影响），要么在欧盟公共部门市场萎缩。

第二层是数据主权作为贸易工具的博弈。美国NTE报告将30多个国家列入观察名单，实质上是将数据主权问题升级为贸易争端。但报告有意忽略CLOUD Act的催化作用是战略盲点——只要美国保留域外数据调取权，各国出于安全本能采取的防御性数据本地化措施就不会停止。

第三层是美国国内数据隐私立法与国际趋势的张力。S.4211标志着美国终于走向联邦统一隐私框架，其优先于各州法律的条款将大幅简化企业的合规负担。但在CLOUD Act和数据主权问题上，该法案保持沉默——这意味着即使美国建立了国内隐私保护标准，其数字服务在海外的信任赤字仍将持续。

结论

全球数据治理正在从”隐私合规”阶段进入”基础设施主权”阶段。欧盟技术主权一揽子计划、荷兰的收购禁令和美国的贸易报告反击共同构成了一幅日益碎片化的全球数字治理图景。对于跨国企业而言，数据本地化已从可选项变为必选项——需要在各地建立独立的云基础设施、数据治理框架和安全合规体系。企业应密切关注欧盟CADA、EUCS认证和美国S.4211的立法进展，提前规划多云分区部署和主权合规能力。