政策动态：中国数据安全风险评估新规生效与印尼网络安全立法提速
政策动态：中国数据安全风险评估新规生效与印尼网络安全立法提速
过去一周亚太地区数据治理政策密集落地：由中国网信办、工信部和公安部联合制定的数据安全风险评估相关措施于8月20日正式生效，监管部门随即明确企业合规操作要求；网信办同期就”大规模个人信息处理者”新规草案公开征求意见，拟要求数据中心必须设在中国境内且由中方人员控制；印度尼西亚加速起草《网络安全与网络韧性法》并推进个人数据保护法实施细则；韩国修订后的《个人信息保护法》施行令于8月20日生效，重构数据可携带权框架。
主要新闻
中国数据安全风险评估新规8月20日生效，三部门联合明确报告要求
据MLex报道，中国网信办、工业和信息化部和公安部联合制定的数据安全风险评估措施已于8月20日正式生效，互联网和公安部门于8月21日进一步明确了企业应如何开展和报告数据安全风险评估，标志着北京开始将更广泛的数据安全制度投入实操阶段。企业须按要求开展数据安全风险自评估并报送评估结果，覆盖数据处理活动的风险识别、监测预警与应急响应。政策背景是AI赋能威胁的快速演化——深度伪造、合成语音和社会工程攻击的规模与复杂度持续上升，监管层正同步发展基于AI的威胁检测、反诈骗基础设施以及产业界与当局之间的威胁情报共享机制。对于在华运营的跨国企业和云服务商而言，数据安全风险评估已从”最佳实践”转变为具有明确报送义务的法定动作。
Source: China details data-security risk reviews as new rules take effect
中国拟出台大规模个人信息处理者新规：数据中心须境内且由中方控制
China Briefing分析称，网信办已发布新草案，要求达到规模门槛的个人信息处理者向CAC注册并设立独立的个人信息保护监督委员会。草案整合了此前分别针对监督委员会和大型平台义务的两份征求意见稿，形成统一制度：处理超过1000万人个人信息（或满足其他两项标准）的企业须经省级网信部门申请认定，CAC将在15日内完成审核；被认定企业须在30个工作日内报送保护负责人信息及所存储个人信息的数据中心详情。最具实质影响的是数据中心条款——数据中心必须设立在中国境内，且其法定代表人或实际控制人必须为中国公民；若委托第三方运营还须提交合同备查。认定企业另须在六个月内成立监督委员会（奇数成员、至少七人、以外部成员为主），每年提交履职报告。草案征求意见至9月。
Source: China Large-Scale PI Processors: New Draft Rules Explained
印尼加速《网络安全与网络韧性法》立法并推进个保法实施细则
MLex报道，印尼政府正同步推进两条立法线：起草《网络安全与网络韧性法》，并制定《个人数据保护法》的实施细则。通信与数字事务部副部长Nezar Patria在8月21日的声明中表示，政府正寻求产业界和学术界的输入，确保监管框架”实用、自适应且基于风险”。政策核心是推动”设计即安全”（security by design）原则——网络安全保护必须从一开始就内嵌到技术系统和数字平台之中，而非事后修补。副部长特别指出，AI赋能的深度伪造、合成语音和社会工程攻击正在推高欺诈的规模与复杂度，因此政府同时在开发基于AI的威胁检测能力、反诈骗基础设施，并强化产业界与当局间的威胁情报共享。
Source: Indonesia advances cybersecurity bill, data protection implementing rules
韩国个保法施行令修订生效，数据可携带权框架重构
Digital Policy Alert信息显示，韩国个人信息保护委员会今年2月19日通过的《个人信息保护法》施行令修订案已于8月20日正式生效。本次修订重构了此前的数据可携带权框架，将原先统一的类别拆分为不同类型，为不同场景下的个人数据转移建立差异化规则。数据可携带权是GDPR式权利组合中最依赖基础设施配套的一项——用户以机器可读格式转移数据的权利需要服务提供者之间建立标准化传输接口。韩国拆分类别的做法表明其监管层在实践中发现”一刀切”的可携带义务难以落地，转而按数据类型和传输对象分档管理，这为其他亚太司法辖区细化同类规则提供了参照样本。
分析
中国的两条新规需要合并解读。风险评估规则生效意味着数据安全制度的执行链条已经闭合：《数据安全法》确立原则、重要数据目录完成识别之后，风险评估与报送义务让监管部门获得了持续性的合规数据流入，监管方式正从事后处罚转向过程管理。而大规模个人信息处理者草案的结构性影响更为深远：1000万人门槛将大量中型平台纳入监管射程；数据中心”境内设立+中国公民实际控制”的双重要求比以往任何数据本地化规则都更进一步——它不仅约束数据的存放位置，还约束基础设施运营主体的国籍属性。对于使用第三方托管数据中心的跨国企业，这可能迫使更换供应商；对云服务商的在华合资架构而言，实际控制人条款将直接影响股权安排。叠加此前针对小型处理者的简化规则，分层监管体系已然成型，义务与企业规模和数据风险挂钩将成为常态。
印尼的立法路径反映了东南亚国家的典型选择：一方面要承接全球供应链转移带来的数字经济红利，另一方面必须回应AI时代欺诈泛滥的社会压力。”设计即安全”入法的意义在于把合规责任前移到产品设计阶段，这与欧盟GDPR的”隐私设计”原则一脉相承，但更聚焦网络安全韧性而非单纯隐私。值得注意的是印尼同时押注”以AI治AI”——用AI驱动的威胁检测对抗AI赋能的欺诈，这意味着本土AI安全产业可能获得政策性需求拉动。对在印尼布局数据中心的云厂商而言，立法进程中的行业咨询期是影响最终条款的关键窗口。
韩国的可携带权重构则展示了成熟隐私制度进入精细化调整阶段的特征。可携带权自GDPR实施以来一直面临”权利宣示强、实际行使弱”的困境，症结在于缺乏标准化的传输接口和数据格式。韩国按场景分档管理的思路务实但也带来新的复杂性——企业需要针对不同传输对象维护不同的接口能力。随着亚太各辖区（中国PIPL、印尼PDP法、韩国PIPA）相继进入实施细则密集期，跨国企业面对的不再是单部法律的合规问题，而是数十套实施细则的组合矩阵，区域合规架构设计的优先级正在超越单国合规。
结论
本周亚太政策动态的共同指向是：数据治理正从立法阶段转入执行与细化阶段。建议企业立即开展三项工作：在华运营主体应对照风险评估报送要求核查自身数据分类分级现状，并评估大规模个人信息处理者草案对数据中心安排的潜在冲击，在9月征求意见截止前通过行业协会反馈意见；面向印尼市场的技术团队应将security by design要求纳入产品开发生命周期文档；区域合规团队则应建立亚太实施细则跟踪机制，重点关注可携带权接口标准对各辖区间互认的影响。当监管从原则走向细则，合规能力的颗粒度将成为数字业务跨境运营的真实成本项。