最高法院判决动摇EU-US数据隐私框架、EU云与AI发展法案重塑主权云格局、美国CLOUD Act引发数据主权争议

数字政策领域迎来连锁反应：美国最高法院在Trump v. Slaughter案中裁定FTC委员可被总统随意免职，威胁EU-US数据隐私框架（DPF）的法律基础；EU的云与AI发展法案（CADA）提出四级云主权框架，最高级别对美国云服务商形成实质性壁垒；美国CLOUD Act的域外效力继续引发全球数据主权博弈。

主要新闻

最高法院Trump v. Slaughter判决：FTC独立性被推翻，DPF面临风险

美国最高法院于6月29日裁定FTC委员的法定”因由”免职保护违宪，总统可随意解除FTC委员职务。这一判决直接触动了EU-US数据隐私框架（DPF）的法律基础——EU委员会2023年的充分性决定明确依赖FTC作为”独立监督机构”的角色。隐私活动家Max Schrems已宣布将提起司法审查，EU法院此前两次推翻了DPF的前身协议。律师事务所致同（Skadden）建议企业审查DPF的备用机制，如标准合同条款（SCC）。

Source: Supreme Court Decision Raises New Questions for EU-US Data Transfers

EU云与AI发展法案（CADA）四级主权框架解析

EU委员会于6月3日发布的《云与AI发展法案》核心是四级云主权保障级别。Level 1要求数据处理和存储在EU基础设施内；Level 2要求独立于第三国并透明化软件供应链；Level 3要求EU拥有和控制；Level 4要求完全透明且不受第三国干扰。EU技术主管Henna Virkkunen明确表示，由于美国CLOUD Act的存在，美国公司很难达到最高级别。该法案还要求公共采购考虑”联盟附加值”作为非价格标准，并设立数据中心加速区以在5-7年内将EU数据中心容量提升三倍。

Source: The EU Cloud and AI Development Act in Depth

美国CLOUD Act与数据主权的技术应对

美国CLOUD Act允许执法机构要求美国云服务商提供存储在全球任何位置的数据。这意味着即使数据存储在EU数据中心，微软、AWS、Google Cloud等美国企业仍需遵守美国法律。实用对策包括BYOK（Bring Your Own Key）和HYOK（Hold Your Own Key）架构。HYOK是唯一确保CSP无法满足数据披露请求的技术方案——加密密钥完全由客户控制，CSP只能提供密文。这一技术架构正在成为受监管行业的数据主权标准实践。

Source: The US CLOUD Act: What it means for Your Cloud Data

菲律宾签署EO 119建立政府数据分类与驻留框架

菲律宾总统马科斯签署第119号行政令，更新政府数据分类体系，建立基于风险的数据驻留框架。绝密和机密数据须存储在菲律宾境内；保密数据原则上停留境内但可经批准跨境；受限和公开数据可在加密和安全措施保障下使用云平台。该命令还设立数据分类联合监督委员会（JOC-DC），并为机构提供三年的过渡期。

Source: President Marcos Signs EO 119, Unlocking Digital Infrastructure Growth

分析

最高法院的Trump v. Slaughter判决与EU-US数据隐私框架的交叉影响，是数字贸易领域最值得关注的地缘政治发展之一。FTC独立性的丧失为EU法院再次推翻DPF提供了新的法律弹药——此前EU法院两次推翻前身协议的核心理由正是美国缺乏独立的隐私监督机制。如果DPF被推翻，将直接影响数千家依赖该框架进行跨大西洋数据传输的企业，SCC作为备用方案可能面临类似的LEGIT挑战。

EU的CADA法案与美国CLOUD Act之间的张力代表了数字主权的核心矛盾。CADA的Level 3和4要求云服务商不受第三国法律管辖，这与CLOUD Act的美国管辖权直接冲突。这意味着AWS、Azure和Google Cloud在EU公共部门市场面临的结构性劣势正在从商业问题上升为主权法律问题。对于EU本土云服务商（如OVHcloud、Ionos）而言，这是历史性的市场机遇。

HYOK架构的普及化是一个值得注意的技术趋势。在CLOUD Act的域外效力无法通过法律手段规避的情况下，技术手段成为唯一可行的数据主权保障措施。HYOK将加密密钥完全置于客户控制之下，从根本上改变了数据访问的权力结构。这一做法可能成为跨国企业在中国、俄罗斯等数据驻留要求严格国家的标准实践。

结论

数据主权正在从政策口号转变为具体可执行的法律和技术框架。EU的CADA四级分级体系、美国的CLOUD Act域外效力、以及最高法院的FTC独立性判决，共同构成了影响全球云服务市场的三大法律变量。对于跨国企业而言，建立基于HYOK的数据主权架构、准备DPF被推翻后的备用数据传输机制、以及评估EU CADA对各地区业务的影响，应成为数据合规工作的优先事项。