欧盟云与AI法案推进主权分级框架，美国DOJ启动数据安全跨境执法新时代

本周全球数字监管格局出现多项重要进展：欧盟Cloud and AI Development Act（CADA）的立法进程持续推进，其四级云主权框架正在引发跨国科技公司的高度关注；美国司法部（DOJ）明确将数据安全提升为国家安全执法优先事项；欧盟数字综合法案提出对Data Act的重大修订，涉及云服务切换和数据跨境共享规则。

主要新闻

欧盟CADA四级别主权框架：美国CLOUD Act成为最高级别合规障碍

欧盟委员会于6月3日提交的Cloud and AI Development Act（CADA）持续在全球引发讨论。该法案的核心是建立四级云主权保证体系：Level 1要求数据在欧盟境内处理和存储；Level 2要求提供商证明不受第三国控制和软件供应链透明度；Level 3要求提供商由欧盟拥有和控制，并满足人员国籍等额外标准（但委员会可豁免认可第三国提供商）；Level 4要求提供商拥有完全的软件供应链透明度和不受第三国干涉。欧盟技术主权执行副主席Henna Virkkunen明确表示，由于美国CLOUD Act允许美国执法机构要求美国公司披露数据（无论数据存储在哪里），美国公司几乎不可能达到Level 3和Level 4的要求。CADA目前仍处于立法提案阶段，预计Q4 2027达成政治协议。

Source: EUR-Lex - Proposal for a Cloud and AI Development Act

DOJ数据安全计划：跨境数据传输进入制裁与出口管制级别执法

美国司法部（DOJ）发布信息，明确将数据安全提升为国家安全核心执法优先事项。新的执法机制针对向”关注国家”（包括中国、俄罗斯等）传输美国人的批量敏感个人数据、政府关联信息、基因组数据、位置数据等。该机制不局限于直接数据销售，还包括外包、云服务、分析、远程支持、雇佣访问和供应商管理系统中的数据传输。法律团队需要认识到，传统的隐私合规框架可能不足以应对——这是制裁和出口控制级别的风险环境，政府正在密切关注谁能以何种条件和技术保障访问数据。

Source: DOJ’s Data Security Program Signals a New Enforcement Era for Cross-Border Transfers

欧盟数字综合方案修订Data Act：云切换、商业秘密保护与公共紧急数据获取

欧盟委员会通过Digital Omnibus立法方案，提出对Data Act（《数据法案》）的重大修订。核心变化包括：固定期限合同的提前终止罚则获得明确的法定依据；中小型云服务提供商在2025年9月12日前签订的合同享有云切换义务的过渡保护；数据持有者基于商业秘密拒绝数据访问请求的门槛从”特殊情况”显著降低，增加对第三国关联实体商业秘密泄露风险的拒绝理由；公共紧急数据获取机制替代原有的”双重路径”（紧急+特殊需求），精简为仅限真正的公共紧急情况。BEREC（欧洲电子通信监管机构）将被赋予云切换条款的正式协调执法角色。

Source: Greenberg Traurig Alert: EU Digital Omnibus Package Proposes Amendments to Data Act

菲律宾签署行政令：建立政府数据分类与本地化存储框架

菲律宾总统Ferdinand Marcos Jr.签署第119号行政令（EO 119），建立了现代化的政府数据分类和存储框架。该命令更新了源于1964年的旧数据分类体系，将政府数据分为Top Secret、Secret、Confidential、Restricted和Open Access五个等级。Top Secret和Secret数据必须在菲律宾领土（包括大使馆和领事馆）内存储；Confidential数据默认需在国内存储，但经联合监督委员会批准和适当保障措施后可海外存储；Restricted和Open Access数据可在加密云平台上存储。值得注意的是，法律专家指出EO 119并未解决美国CLOUD Act的域外效力问题——受美国管辖的云服务商即使服务器在菲律宾，仍可能被美国政府要求披露数据。

Source: President Marcos Signs EO 119, Unlocking Digital Infrastructure Growth

分析

本周政策动态的核心叙事是”数字主权从口号走向定义”。CADA的四级主权框架是迄今为止全球最系统的云主权定义——它不再停留在”数据应留在一个国家”的简单层面，而是深入到公司治理结构、供应链透明度和法律管辖豁免。Level 3和Level 4实质上要求在欧盟内部建立一个独立于第三国法律管辖的云计算生态。考虑到美国CLOUD Act的广泛管辖区外效力，这可能迫使跨国云服务商在企业架构层面做出深刻调整——例如将欧盟业务拆分为独立法律实体、引入欧盟公民管理层、以及重新设计供应链。

US DOJ的数据安全计划是本周另一起被低估的重要发展。该计划将数据传输合规从隐私领域拉入国家安全/出口管制领域，这意味着违规的后果从罚款升级为刑事制裁。对于多国运营的企业而言，需要在传统隐私合规框架之上叠加数据来源国限制、供应商审查和技术保障措施的三重考量。

欧盟Data Act修订中关于商业秘密保护的门槛降低值得关注。数据持有者现在更容易以”可能造成严重经济损失”为由拒绝数据访问请求，新增的”第三国泄露风险”理由直接回应了地缘政治紧张局势。特别是对于跨境运营的物联网设备制造商和数据平台，这将在数据共享谈判中提供更强的法律杠杆。

结论

全球数字监管正在经历结构性变革：欧盟以CADA定义数字主权，美国以DOJ机制强化数据安全执法，亚太国家以菲律宾为代表推进数据本地化框架。2026年下半年，企业应关注欧盟CADA的立法进展、DOJ数据安全规则的实施细节以及Data Act修订的最终文本。对于跨国企业，建立数据流动的地缘政治风险评估机制，将成为比技术合规更紧迫的优先事项。