本文來自微信公眾號： Internet Law Review ，作者：丹尼爾·薩瑟蘭，編譯：《互聯(lián)網(wǎng)法律評論》

2025年1月，美國上一屆拜登政府在執(zhí)政的最后幾周建立了一套復雜的新監(jiān)管架構《防止受關注國家或受保護人員訪問美國敏感個人數(shù)據(jù)和政府相關數(shù)據(jù)》（以下簡稱“敏感數(shù)據(jù)規(guī)則”），該規(guī)則旨在限制外國（尤其是中國）獲取美國人的敏感數(shù)據(jù)。特朗普上臺后美國政府幾乎對所有聯(lián)邦法規(guī)都進行了審查和廢除，然而，4月11日，特朗普的司法部卻宣布拜登的這項規(guī)則為“關鍵國家安全項目”。

特朗普對前任總統(tǒng)的罕見尊重從何而來？這預示著未來的政策方向如何？

本文將從美國政府十年來為應對全球化數(shù)字數(shù)據(jù)、產(chǎn)品和服務供應鏈所帶來的網(wǎng)絡安全風險努力中，梳理出這一“敏感數(shù)據(jù)規(guī)則”背后的政策邏輯。中國企業(yè)應從這些政策連續(xù)性和趨勢解讀中，制定相應的戰(zhàn)略、計劃和工具，以應對美國這些政策發(fā)展及其可能的擴展。

卡巴斯基實驗室

美國政府為應對信息技術領域的地緣政治風險而采取的首個具體行動涉及卡巴斯基實驗室。這家網(wǎng)絡安全公司的核心產(chǎn)品是反病毒軟件。與其他反病毒軟件一樣，卡巴斯基產(chǎn)品會掃描計算機，識別并阻止病毒和惡意軟件。到2010年代，卡巴斯基殺毒軟件在美國被廣泛使用，包括一些政府電腦。盡管母公司注冊于英國，但其所有者、分析師和部分服務器均位于俄羅斯。因此，卡巴斯基實驗室的運營受俄羅斯信息技術、執(zhí)法和情報法律的約束。

美國政府領導人對此日益擔憂。因此，2017年，美國國土安全部代理部長伊萊恩?杜克援引《聯(lián)邦信息安全現(xiàn)代化法案》（FISMA），向其他聯(lián)邦機構發(fā)布了一項具有約束力的行動指令（BOD），表明她計劃命令這些機構移除卡巴斯基殺毒軟件產(chǎn)品和服務。BOD給予這些機構90天的時間來規(guī)劃移除卡巴斯基產(chǎn)品的計劃。

杜克的命令杜克的命令標志著BOD的權力第一次被用來對一家特定的公司及其產(chǎn)品采取行動。此外，美國國土安全部和司法部的法律團隊得出結(jié)論，在最終決定是否移除卡巴斯基產(chǎn)品時，他們不會使用任何機密信息，因為它會引發(fā)了一系列棘手的法律問題。

因此，美國國土安全部的律師向卡巴斯基的律師提供了他們向代理部長提交的完全相同的證據(jù)：一份包含數(shù)百頁非機密信息的文件，并發(fā)布了最終決定——聯(lián)邦機構必須從其所有系統(tǒng)中刪除卡巴斯基產(chǎn)品并更換。

中國制造的電信設備：拆除并更換

在卡巴斯基事件中，美國也開始電信服務提供商正在使用中國公司華為和中興生產(chǎn)的產(chǎn)品問題。2018年，美國國會利用其對政府采購的控制權，迫使電信運營商放棄華為和中興通訊的產(chǎn)品。在2019財年的《國防授權法案》（NDAA）中，國會禁止所有聯(lián)邦機構采購任何使用華為或中興通訊電信設備或服務的設備、系統(tǒng)或服務。該法案還禁止聯(lián)邦機構與任何使用華為或中興通訊設備或服務服務的實體簽訂合同。實際上，這禁止所有政府承包商使用來自被禁實體的電信設備或服務——最終目的是迫使私營電信實體停止使用華為和中興通訊的設備。

2019年11月，美國聯(lián)邦通信委員會（FCC）通過了一項命令，將華為和中興通訊列為對通信網(wǎng)絡或通信供應鏈構成國家安全風險的公司。FCC禁止電信公司使用“普遍服務基金”（一項聯(lián)邦補貼計劃）購買華為和/或中興通訊的設備。

2020年，國會通過了《安全可信通信網(wǎng)絡法案》，將FCC禁止使用普遍服務基金購買華為或中興通訊設備的禁令納入法律。除了特別關注華為和中興通訊以建立可推廣的流程之外，該法案還要求FCC制定并維護一份其他通信設備和服務的清單，這些設備和服務被認為對美國國家安全或美國公民的安全和保障構成不可接受的風險。

2019年5月，特朗普總統(tǒng)簽署了第13873號行政命令，禁止“任何獲取、進口、轉(zhuǎn)讓、安裝、交易或使用”任何信息和通信技術或服務，只要商務部長認定該交易對美國信息和通信服務或美國國家安全構成威脅。最初，媒體報道稱該行政命令針對華為和中興通訊，但實際上從未用于對付這兩家公司。盡管如此，第13873號行政命令至今仍然有效，當拜登總統(tǒng)發(fā)布有關敏感數(shù)據(jù)的命令時，他援引了特朗普在第13873號行政命令中宣布的國家緊急狀態(tài)。

法院服從國會和總統(tǒng)

卡巴斯基在被美國國土安全部BOD禁止后提起訴訟。該公司辯稱，《國防授權法》中的條款是一項違憲的“褫奪公權法案”。但法院裁定，卡巴斯基禁令并非懲罰，而是一項采購決策，旨在決定哪種軟件能夠更好地保障政府信息技術的安全。在審查了政府關于俄羅斯行為者構成威脅的非機密信息后，美國哥倫比亞特區(qū)巡回上訴法院認為，鑒于“卡巴斯基產(chǎn)品可能危及聯(lián)邦系統(tǒng)的可能性并非微乎其微，且此類入侵可能造成巨大損害”，《國防授權法案》禁令代表了一種“合理且平衡的回應”，帶有一種應對安全風險的相當傳統(tǒng)的特征——消除風險。

華為被封禁后也提起了訴訟，理由同樣是褫奪公權法案理論，以及基于第五修正案正當程序條款和三權分立的訴訟。美國聯(lián)邦地區(qū)法官在此案中的裁決主要基于哥倫比亞特區(qū)上訴法院在卡巴斯基案中的裁決；法官認為，華為案的焦點在于信息安全問題，而非國會單挑特定公司進行懲罰的問題，這項禁令完全符合政府保護聯(lián)邦機構和承包商網(wǎng)絡免受中國政府網(wǎng)絡攻擊和間諜活動威脅的目標。

在控制外國實體在美國提供服務或產(chǎn)品的能力方面，法院對國會和行政部門表現(xiàn)出的尊重并不僅限于聯(lián)邦機構使用的產(chǎn)品和服務：2022年，美國哥倫比亞特區(qū)巡回上訴法院維持了FCC撤銷中國控制的實體在美國提供任何電信服務的授權的決定。法院毫不懷疑FCC在授予或撤銷在美國運營的授權時，有權考慮國家安全、執(zhí)法和外交政策問題。

TikTok：曲折前行，仍無歸宿

2020年8月，特朗普總統(tǒng)發(fā)布了兩項旨在從美國人手機中移除TikTok的命令：一項命令基于《國際緊急經(jīng)濟權力法》（IEEPA）；另一項命令基于由美國外國投資委員會（CFIUS）管理的《國防生產(chǎn)法》。

2021年，在特朗普針對TikTok的IEEPA命令尚未生效之前，拜登總統(tǒng)就廢除了這些命令，并下令對相關應用程序進行全面審查。然而，拜登總統(tǒng)保留了特朗普總統(tǒng)根據(jù)美國CFIUS規(guī)則發(fā)出的第二項命令，要求TikTok的中國母公司剝離該應用程序。圍繞強制出售的替代方案，談判持續(xù)了三年。

直到2024年夏天，美國國會通過了一項法令，要求其中國母公司TikTok出售。TikTok在華盛頓特區(qū)上訴法院對該法律提出質(zhì)疑，并提出了與卡巴斯基相同的褫奪公權法案論點。就像卡巴斯基和華為案的裁決一樣，曾參與卡巴斯基案件審理的道格拉斯?金斯伯格法官代表全體一致意見的小組起草了裁決，駁回了褫奪公權法案及其他論點。該案隨后上訴至最高法院，TikTok并未提出褫奪公權法案的主張，只是辯稱該法令侵犯了其第一修正案賦予的權利。最高法院一致駁回了TikTok的質(zhì)疑。

然而，最高法院的判決并不意味著TikTok的終結(jié)。2025年1月20日，在宣誓就職后不久，特朗普總統(tǒng)命令司法部不要執(zhí)行該法規(guī)，4月，他延長了這一保護期，5月又表示將考慮進一步延長保護期。

目前，TikTok仍在應用商店中，是美國數(shù)字生態(tài)系統(tǒng)的一部分。TikTok的遭遇表明，盡管得到兩黨和法院的支持，但美國可能很難禁止那些廣泛個人使用的特定產(chǎn)品。TikTok在這方面是否獨一無二還有待觀察。

可復制的框架

在這些爭議中，美國行政部門形成了一套框架，以更系統(tǒng)地應對全球化信息和通信技術及服務帶來的地緣政治風險。

2021年1月，在特朗普政府任期的最后幾天，美國商務部采納了一項規(guī)則，規(guī)定了執(zhí)行特朗普2019年第13873號行政命令的程序，根據(jù)該命令，商務部長可以將信息和通信技術產(chǎn)品認定為對美國國家安全或美國公民的安全和福祉構成不可接受的風險。拜登政府首次動用了這一規(guī)則，商務部作出決定，實質(zhì)上禁止卡巴斯基在美國運營。同樣，F(xiàn)CC也利用《安全和可信通信網(wǎng)絡法》所設立的程序，將卡巴斯基的反病毒軟件列入對美國國家安全構成威脅的產(chǎn)品清單。

此外，特朗普總統(tǒng)在第13873號行政命令中宣布的緊急狀態(tài)，成為了拜登政府商務部有關聯(lián)網(wǎng)汽車的規(guī)定以及拜登政府司法部有關敏感數(shù)據(jù)的規(guī)定的依據(jù)。值得注意的是，后者既不針對特定公司，也不針對特定產(chǎn)品，而是對數(shù)據(jù)類別進行規(guī)范。

另一個將系統(tǒng)性處理這些問題的部門是聯(lián)邦采購安全委員會（FASC）。該委員會由2018年的《聯(lián)邦采購供應鏈安全法案》設立，以應對卡巴斯基爭議。FASC是一個由管理與預算辦公室主持的跨部門機構，旨在通過制定適用于所有聯(lián)邦機構的合同規(guī)則來應對特定公司或產(chǎn)品帶來的地緣政治數(shù)據(jù)安全威脅。FASC可以調(diào)查有關特定產(chǎn)品和/或公司對聯(lián)邦基礎設施構成信息安全風險的指控，如果委員會成員達成一致，可以發(fā)布命令要求聯(lián)邦機構從信息系統(tǒng)中移除這些產(chǎn)品。迄今為止，F(xiàn)ASC主要致力于建立其流程，這是一項細致的工作，旨在確保充分理解各種產(chǎn)品和服務的技術細節(jié)，并且在采取采購行動之前，相關公司有機會陳述自己的情況。預計在未來幾個月內(nèi)，F(xiàn)ASC將宣布一些具體行動。

盡管如此，特別有爭議的公司仍可能被單獨挑出來。然而，或許是受到TikTok事件的影響，國會可能越來越有興趣在系統(tǒng)性框架內(nèi)處理地緣政治安全威脅。

在禁止中國制造路由器的呼聲中，快速的一次性措施和更系統(tǒng)性的方法之間的緊張關系正在上演。4月28日，美國眾議院通過了《路由器法案》，指示商務部長研究路由器和調(diào)制解調(diào)器帶來的國家安全風險，這大概是行使第13873號行政命令和商務部禁止卡巴斯基產(chǎn)品規(guī)則下的權力的前奏。5月14日，國會議員致信商務部長，明確敦促他使用行政命令下的權力，禁止TP-Link網(wǎng)絡設備在美國未來銷售。

未來會怎樣？

對于各行各業(yè)的公司來說，有幾個重要的教訓值得借鑒。

首先，歷屆政府在這些方面都具有連續(xù)性。與幾乎所有其他政策領域不同，特朗普政府、拜登政府和特朗普政府在這些問題上都具有明顯的連續(xù)性。因此，限制措施，尤其是針對與中資擁有、運營或關聯(lián)公司合作的限制措施，很可能會繼續(xù)擴大。

其次，美國國會和行政部門可能會聯(lián)手推動未來的發(fā)展，兩個部門將依次采取相互促進的舉措。

第三，法院不太可能介入或改變現(xiàn)狀。在本文討論的三個焦點案件——卡巴斯基、華為和TikTok——中，法院均拒絕推翻限制或徹底禁令。

第四，全球化科技產(chǎn)品和服務的地緣政治風險將凸顯。關稅戰(zhàn)可能會產(chǎn)生間接的副作用，使人們更加關注供應鏈問題。因此，隨著政府機構和企業(yè)越來越了解美國國內(nèi)生態(tài)系統(tǒng)中的參與者和情況，美國可能會出臺更多針對特定公司、產(chǎn)品或服務的政策和行動。

因此，公司必須制定政策、實踐和工具確定風險，并在切實可行的情況下降低風險。美國司法部新的敏感數(shù)據(jù)規(guī)則具有指導意義：有些交易被徹底禁止，例如數(shù)據(jù)經(jīng)紀，但許多交易在遵守網(wǎng)絡安全和基礎設施安全局（CSA）定義的一系列可重復、可審計的風險緩解要求的前提下，是被允許的。

無論如何，美國顯然已進入科技和數(shù)據(jù)治理的新時代，地緣政治風險在其中扮演著重要角色。了解近期法院裁決的歷史以及新聯(lián)邦法規(guī)背后的背景，可以指導本公司制定合理的治理結(jié)構、訴訟策略和公司政策。