个人数据与域外国家安全审查初探之三：从美国《确保ICT技术与服务供应链安全》 看
编者按：
本系列前两篇文章主要关注美、欧在改革或设计外国投资审查制度时，如何看待个人数据的。随着阅读和研究的进行，笔者决定将本系列更名为——个人数据与域外国家安全审查。至于原因，相信本篇文章能给各位看官一个答案。
虽然系列文章更名了，但核心要旨不变：一是理解域外对个人数据流变的立场；二是服务我国企业走出去；三是给国内相关监管制度设计提供借鉴。此前该系列中已经发表的公号文章：
本篇文章主要关注2019年5月15日美国总统特朗普签署的《确保信息通信技术与服务供应链安全》行政令（Executive Order on Securing the Information and Communications Technology and Services Supply Chain）（以下简称第13873号行政令）。
该行政令核心要旨就一条：
禁止任何受美国管辖的“人”（包括个人或实体，an individual or entity）以及任何受美国管辖的“财产”（property）；
获取、进口、转让、安装、买卖或使用信息通信技术或服务（any acquisition, importation, transfer, installation, dealing in, or use of any information and communications technology or service，以下统称交易，transaction）；
如果该交易涉及了附着任何外国或其国民任何利益的任何财物（包括外国或其国民通过提供技术或服务的合同而产生的利益）（involves any property in which any foreign country or a national thereof has any interest (including through an interest in a contract for the provision of the technology or service)）；且
该交易是在本行政令发布之日后发起、尚未签署或完成（where the transaction was initiated, is pending, or will be completed after the date of this order）；且
美国商务部长经与财政部长、国务卿、国防部长、司法部长、国土安全部长、美国贸易代表，国家情报总监，总务处处长、联邦通信委员会主席、其他执行部门和机构的负责人协商后认定：
该交易涉及由外国对手拥有、控制或受其管辖或指导的人（包括个人或实体）所设计、开发、制造或供应的信息通信技术或服务；（the transaction involves information and communications technology or services designed, developed, manufactured, or supplied, by persons owned by, controlled by, or subject to the jurisdiction or direction of a foreign adversary）；且
交易可能：
在美国对信息通信技术或服务的设计、完整性、制造、生产、分配、安装、运营或维护构成破坏或颠覆的不当风险（poses an undue risk of sabotage to or subversion of the design, integrity, manufacturing, production, distribution, installation, operation, or maintenance of information and communications technology or services in the United States）；或
对美国关键基础设施或美国数字经济的安全性或复原能力造成灾难性影响的不当风险（poses an undue risk of catastrophic effects on the security or resiliency of United States critical infrastructure or the digital economy of the United States）；或
对美国的国家安全或美国人的安全和保障构成不可接受的风险（otherwise poses an unacceptable risk to the national security of the United States or the security and safety of United States persons.）。
当然，原则上禁止之后，该行政令也开了一个口子：允许美国商务部部长经与其他合适机构的负责人协商后，自主设计或与交易相关方共同谈判，以提出减轻上述导致该交易被禁止的关注事项的措施。这些措施可以作为批准根据本行政令禁止的一项交易或一类交易的先决条件。但注意，商务部部长采取上述行动完全处于其自由裁量，而不是法定义务。（The Secretary, in consultation with the heads of other agencies as appropriate, may at the Secretary’s discretion design or negotiate measures to mitigate concerns identified under section 1(a) of this order. Such measures may serve as a precondition to the approval of a transaction or of a class of transactions that would otherwise be prohibited pursuant to this order.）
2019年11月26日，美国商务部发布公告称根据第13873号行政令拟发布配套实施条例，用以规范美国商务部长识别、评估和处理特定信息通信技术与服务交易的程序。“配套实施条例草案”并没有太多超出行政令本身的内容，除了明确商务部将采取个案判断的形式，开展对某种交易是否为行政令所指的交易的认定（The Secretary herein adopts a case-by-case, fact-specific approach to determine those transactions that meet the requirements set forth in the Executive order and are therefore prohibited or must be mitigated）。目前，“配套实施条例草案”已经完成了意见征集工作，最终版本的“配套实施条例”尚未出台。相关情况见【美国商务部就信息通信技术与服务供应链安全草案征求意见】
好，明确了美国第13873号行政令的主要规定后，套用一个假想的例子，看看会出现什么样的场景。
在《中华人民共和国政府和美利坚合众国政府经济贸易协议》的很多条款都对等规定了美国方面的义务，特别是在“第四章金融服务”，还进一步规定美国确认给予中国企业非歧视待遇。例如：
一、中国在美国电子支付服务提供者，包括寻求以外商独资实体身份开展经营的提供者，提交筹建银行卡清算机构的任何相关申请后5个工作日内应予以受理，并可在这5个工作日内，一次性提出修改或补充信息的要求。在此情况下，中国在申请人对此要求作出回应后5个工作日内应受理申请。中国在受理后90个工作日内应就该申请做出决定，包括对不利决定给予解释。
二、中国在美国服务提供者报告其已完成筹备工作后不迟于1个月内，应受理此服务提供者的牌照申请，包括万事达、维萨或美国运通的任何牌照申请，并应就该申请做出决定，包括对不利决定给予解释。
三、美国确认给予中国电子支付服务提供者（包括银联）非歧视待遇。
好，让我们假设现在有一家中国电子支付服务提供者打算在美国开展业务。同时还假设行业性的牌照已经不构成障碍，仅仅看第13873号行政令对该中国电子支付服务提供者造成的影响，特别是数据方面的。
首先，这家中国电子支付服务提供者，既然打算在美国境内运营，就必然受到美国法的管辖。符合上文第1点的规定。
其次，这家中国电子支付服务提供者无论如何都需要自己建造自己的ICT系统，因此需要采购、安装ICT产品或服务。符合上文第2点的规定。
再次，如果这家中国电子支付服务提供者选取了来自中国的ICT产品提供商（这是大概率事件），哪怕是选择和美国ICT分销商签约，但只要采购涉及了来自于中国的ICT产品，符合上文第3点的规定。
中国和俄罗斯明显是美国法律、政策、高官口中的外国敌手“foreign adversary”。因此只要这家中国电子支付服务提供者选取的ICT产品与中国沾边——即设计、开发、制造或供应，就符合上文第5（a）的规定。
在美国华盛顿政治圈眼中，中国企业都是中国政府的国家工具（state instruments）。因此中国企业设计、开发、制造或供应的ICT产品，必然会产生上文第5（b）中所罗列的风险。下面一项一项展开：
在美国对信息通信技术或服务的设计、完整性、制造、生产、分配、安装、运营或维护构成破坏或颠覆的不当风险。对此，美国商务部大概率会说：你看，由于你是电子支付服务提供者，你的ICT系统肯定要和美国金融机构、企业或商户对接连通，采用了中国设备，肯定会对美国的ICT技术或服务产生重大风险。
对美国关键基础设施或美国数字经济的安全性或复原能力造成灾难性影响的不当风险。对此，美国商务部大概率会说：金融系统肯定是美国的关键基础设施，之前中国企业想收购美国汇款公司速汇金(MoneyGram)，我们都没有批准，原因就是害怕中国潜入美国的金融体系中去。你如果采用了中国的ICT设备，肯定会对美国关键基础设施或数字经济安全性造成重大风险。
对美国的国家安全或美国人的安全和保障构成不可接受的风险。对此，美国商务部大概率会说：CFIUS最新的实施条例明确将“可用于分析或确定个人财务压力或困境的数据”当成美国国家安全或美国人安全的重要内容。【详见：个人数据在美欧外国投资审查中的角色初初探（二）：CFIUS实施条例详解】你如果采用了中国的ICT设备，那我们的数据不就都被你们传回中国了吗？或者中国政府就能通过中国ICT设备中的后门，直接获取这些数据了，因此这样的风险是不可接受的。
上述沙盘推演，我们能清晰直观地看到，中国电子支付服务提供者如果打算在美国运营，由于第13873号行政令，将大概率无法采用中国设计、开发、制造、供应的ICT产品或服务，而只能采购美西方企业的产品或服务。
事情还没有完，即便这家中国电子支付服务提供者对上述要求“照单全收”，但是只要其允许其所在中国的母公司远程接入在其在美国建设的ICT系统，这就构成了信息技术服务。对这个信息技术服务，上面的沙盘推演依旧成立。因此，美国第13873号行政令事实上还切断了中美之间的数据跨境流动。
在此，公号君非常想问美国政府：
美国第13873号行政令是不是美国版本的“国产化替代”？
中美经贸协定中所谓的“非歧视待遇”要怎么落实？
以及中国能不能对万事达、维萨或美国运通提出同样的要求？
（本篇完）
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已近300人。关于DPO社群和沙龙更多的情况如下：
DPO社群成果
线下沙龙实录见：
评估GDPR效果和影响:
线上沙龙见：
DPO社群成员观点