一周数据要闻｜《国务院关于对外投资的规定》多项规定涉及数据跨境流动；特朗普签署《促进先进人工智能创新与安全》行政令

以下为近期国内外数据与网络安全合规前沿资讯概要，如需获取详细内容与要点解读，请联系我们：puyuhan@zhonglun.com

点评：2026年6月1日，国务院发布《国务院关于对外投资的规定》（第837号令），规定投资者在对外投资活动中，不得出口、使用国家禁止出口的货物、技术、服务及相关数据，或者未经许可出口、使用国家限制出口的货物、技术、服务及相关数据；对外投资涉及跨境数据流动等，依照有关规定执行；中国境内主体参与对外投资相关仲裁诉讼，需要向境外提供证据或者相关材料的，应当遵守数据安全、个人信息保护等有关规定。依法须经主管机关准许的，应当履行相关法律程序。该规定自2026年7月1日起施行。

点评：国家市场监管总局于2026年2月24日公布的《商业秘密保护规定》于6月1日起正式施行。该规定将与技术或经营活动有关的客户信息、数据、算法、计算机程序、代码等数字资产纳入商业秘密保护范围内，并细化了远程办公、跨境协作等场景下的保密要求，明确权限分级、数据脱敏、操作日志留痕、禁止或限制计算机使用等管理措施为合理保密措施。

点评：国务院工业和信息化部在北京、上海、海南、深圳等四地试点取消互联网数据中心等增值电信业务的外资股比限制。自2025年2月首批增值电信业务经营试点批复发放以来，已有166家外资企业获得批复，相关企业可依法开展互联网数据中心、互联网接入服务、信息服务等增值电信业务。

点评：国家数据局政策和规划司陆续发布第三批25个数据流通安全治理典型案例，涉及交通运输、气象服务、工业制造、金融服务、商贸物流、医疗保障、绿色低碳、社会治理等多领域场景。

点评：2026年5月30日，国家密码管理局发布《电子认证服务使用密码管理办法》（国家密码管理局令第6号）。该办法要求采用商用密码技术提供电子认证服务的机构应当依法取得国家密码管理局颁发的《电子认证服务使用密码许可证》，明确了许可证的申请条件、审批程序、有效期管理、运行维护义务、年度合规性评估要求以及相应的法律责任。

点评：北京互联网法院审结一起适用《反不正当竞争法》第十三条第三款（数据专款）的数据不正当竞争案。被告王某在原告经营的职场社交平台批量注册会员账号，编写爬虫程序抓取用户姓名、职位、工作经历等数据，搭建网站对外销售查询权限。法院认定，涉案数据系原告合法收集、经实质性投入形成的具有商业价值的数据集合，属于“合法持有的数据”；被告的行为对平台主营业务构成实质性替代，破坏数据市场竞争秩序，构成不正当竞争，判赔经济损失20万元及合理开支3万余元。本案系现行反不正当竞争法实施后北京互联网法院首起适用数据专款的案件，法院明确了数据专款的四项适用要件及“合法持有的数据”认定标准。

点评：Meta反对欧盟委员会将其旗下的服务Marketplace和Messenger认定为《数字市场法》（通称Digital Markets Act，简称“DMA”）下的守门人。2026年6月3日，欧盟普通法院撤销了欧盟委员会将Meta Marketplace指定为DMA守门人的决定，同时维持了Messenger的守门人认定。欧盟普通法院认为欧盟委员会未能充分论证Marketplace属于核心平台服务的原因。根据DMA第2条规定，守门人规则的适用范围为向欧盟境内用户提供服务的核心平台服务提供者，核心平台服务商需每年至少具备10000名活跃商业用户（business user），欧盟委员会通常根据Marketplace用户发布的商品列表数量来评定用户是否为商业用户。2023年12月，Marketplace采取措施，限制每个用户每月最多可发布20个商品，这一限制使得用户难以被认定为商业用户，进而影响了核心平台服务的认定。相较之下，Messenger未采取措施影响商业用户的认定，且构成一项独立于Facebook的核心平台服务。

点评：2026年6月2日，美国总统特朗普签署《促进先进人工智能创新与安全》（Promoting Advanced Artificial Intelligence Innovation and Security）行政令，替换拜登2023年10月落地的旧版AI强制监管行政令。行政令要求建立自愿审查框架，允许模型开发者在模型发布前30日向政府提供访问权限，以进行先进模型审查与安全评估。该行政令明确禁止其被解释为对任何强制性许可或预审要求进行授权。行政令强调通过政企合作维护“美国优先”的网络安全战略，拒绝以过度监管阻碍创新。

点评：2026年6月4日，美国众议院发布《伟大的美国人工智能法案》（Great American AI Act，简称“GAAIA”）两党讨论草案。该法案主要针对年收入超5亿美元的大型前沿开发者，要求其发布前沿AI框架、报告关键安全事件、接受第三方审计并提供举报人保护。该法案将在三年内优先于各州AI立法，并对AI冒充政府官员和AI辅助欺诈设定民事处罚，最高可达每日100万美元。

点评：美国州层面数据隐私立法正在推进。2026年5月29日，路易斯安那州州长签署《数据隐私法》（Louisiana Data Privacy Act），将于2027年1月1日生效，要求企业遵循数据最小化和目的限制原则，处理敏感及儿童数据须事先取得同意。6月4日，马萨诸塞州众议院全票通过《消费者数据隐私法》（Massachusetts Consumer Data Privacy Act），赋予消费者访问、更正、删除、可携带及退出定向广告等权利，要求处理敏感数据须获明确同意。

点评：2026年6月4日，挪威数据保护局宣布对电子产品零售商Elkjøp处以2000万挪威克朗（约214万美元）罚款，因其客户俱乐部业务违反GDPR多项条款。该案涉及北欧地区超600万会员，调查发现，Elkjøp未向会员提供充分信息以确保知情同意，处理个人数据的目的表述过于笼统，未能区分不同处理活动；此外，Elkjøp未在法定期限内响应用户权利请求，且将个人数据用于其它处理目的。