作者：王红燕 沈杨雨岚 汪媛雅 刘珂诗 章雨璐 何炜玟
《中国人工智能企业出海百问百答》第七部分
六十八、哪些国家/地区被欧盟认定为“充分性认定”白名单国家？数据传输至这些国家有何便利？
根据欧盟《通用数据保护条例》（General Data Protection Regulation，以下简称“GDPR”）第五章关于向第三国或国际组织传输个人数据的规定，欧盟原则上禁止将欧盟境内主体的个人数据自由转移至第三国，除非该传输满足GDPR所设立的合法机制。其中，充分性认定（Adequacy Decision）被置于数据跨境流动工具阶梯的首位。
一、“充分性认定”的定义
根据GDPR第45条第1款之规定[1]，如果欧盟委员会（European Commission）认定某一第三国、该国境内的特定领地、一个或多个特定行业，或某个国际组织能够确保“充分的保护水平”，则数据控制者或处理者可直接向该法域传输个人数据。该项决定由欧委会经由严谨的综合评估程序做出[2]，评估维度涵盖该法域的法治状况、人权与基本自由的尊重程度、数据保护专门立法与救济机制、独立监管机构的有效履职能力，以及该国在公共安全、国防和刑法领域的国家安全访问权是否受到必要性与比例性原则的约束。获得该认定的国家或地区，即通常实务中所称的欧盟跨境传输“白名单”。
二、现行“白名单”的法域及范围
截至当前，经欧盟委员会正式核准且维持有效的充分性认定法域共有十余个。在数据合规实务中，尤须对各法域的适用边界进行精准甄别，具体可分为两类：
（1）全面充分性法域（无特定行业或主体限制）
此类法域的认定效力及于其全域范围，主要包括安道尔、阿根廷、法罗群岛、根西岛、马恩岛、以色列、泽西岛、新西兰、瑞士、乌拉圭及日本。此外，英国亦在此列，但需注意对英数据传输受欧盟分别针对GDPR及《执法指令》所作出的两项独立决定规制。
（2）附条件或受限的充分性法域（依附于特定立法或合规机制）
此类认定的效力不具备普适性，而是设定了严格的适用前提：
加拿大：认定效力仅及于受加拿大《个人信息保护和电子文件法》（PIPEDA）管辖的商业组织（Commercial Organisations），依法不涵盖非商业性质的数据处理活动及该国公共部门。
美国：目前并不享有国家层面的全面充分性地位。依据2023年7月生效的《欧盟－美国数据隐私框架充分性决定》（EU-U.S. DPF）[3]，该合规路径仅限适用于已通过自行认证（Self-certification）加入该框架，并接受美国商务部、联邦贸易委员会（FTC）等机构实质监管的美国商业实体。向非认证实体传输数据，仍不得直接援引该机制。
三、数据传输至“白名单”法域的核心法律便利
对于涉及跨国业务布局、海外供应链协同或跨国集团内数据整合的企业而言，向获得充分性认定的法域传输数据享有排他性的合规红利与操作便利：
第一，可以免除特定法律工具与前置审批程序。依据GDPR第45条第1款，向白名单国家传输个人数据“无需获得任何专门授权”。企业无需与境外接收方磋商签署欧盟标准合同条款（Standard Contractual Clauses, SCCs），无需耗费数年申请并等待主管监管机构批准有约束力的公司规则（Binding Corporate Rules, BCRs），亦无需向欧盟成员国数据保护监管机构（DPA）办理前置备案或实质性审批。在法律拟制层面，该等传输被视为等同于欧盟成员国境内的自由流动。
第二，可以豁免“传输影响评估”（TIA）及附加安全措施要求。自欧洲法院就Schrems II案[4]作出判决以来，依据GDPR第46条依赖SCCs等工具进行传输的企业，必须对输入国公权力调取数据的法律制度进行严苛的传输影响评估（Transfer Impact Assessment, TIA），并在必要时部署补充性技术措施（如端到端加密、去标识化）。而针对白名单国家，由于欧盟委员会在发布决定前已对该国国家安全访问权及司法救济路径完成了主权层面的系统审查与背书，企业直接免去了自行开展TIA的沉重法理举证责任与技术合规成本。
第三，极大降低企业交易架构设计与运营维系成本。在涉外并购、多中心研发合作、SaaS云端协同等场景下，白名单机制使得数据流能够即时触发，无需在商业合同中嵌入冗长晦涩的数据传输附录与审计承诺，规避了因合规谈判导致的交易延宕，从根本上降低了跨国运营的制度性交易成本。
综上，尽管充分性认定赋予了企业最高级别的跨境传输便利，但其实质并非“一劳永逸”的合规豁免。在实操中，企业不仅须密切关注欧委会至少每四年开展的动态审查机制[5]，以防范“白名单”被撤销或中止的政策突变风险；还必须穿透核验特定法域（如美、加）接收方的实质合规资质，避免陷入“法域获批即实体当然合规”的误区。此外，该认定机制仅解决了“数据出境”维度的合法路径，企业在数据处理全周期内，仍须严格恪守告知同意、数据最小化等GDPR基础合规义务，方能构筑真正稳固的合规闭环。
六十九、数据出境前，必须进行“数据传输影响评估”（TIA）吗？评估内容是什么？
并非所有数据出境活动都必须做数据传输影响评估。我国现行法未采用欧盟式“TIA”这一法定名称，而是根据数据性质和出境路径设置个人信息保护影响评估、数据出境风险自评估等制度，核心是在传输前识别数据安全和对个人权益的影响。
出境数据不含个人信息或重要数据的，通常无需申报安全评估、订立标准合同或通过认证。[6]若向境外提供个人信息，《个人信息保护法》第五十五条即要求事前开展个人信息保护影响评估并记录；《促进和规范数据跨境流动规定》亦明确，合同履行、跨境人力资源管理或小规模出境等豁免，不等于免除该义务。[7]因此，应区分“是否评估”与“是否申报、备案”：达到重要数据、关键信息基础设施运营者或数量门槛的，还须先作风险自评估并申报国家数据出境安全评估；采用标准合同路径的，应在出境前完成个人信息保护影响评估。[8]
评估至少覆盖四组事项：第一，传输目的、范围、频率、保存期限以及数据种类、规模、敏感程度是否具有合法性、正当性和必要性；第二，境外接收方的处理目的、安全能力、再转移安排、删除返还机制和个人权利响应渠道；第三，传输中及境外处理阶段发生泄露、篡改、丢失、滥用或政府调取的可能性、影响及救济；第四，接收地法律政策、执法实践是否影响合同履行，并审查加密、去标识化、本地化密钥、访问控制、审计、事件通报等措施是否与风险相适应。[9]个人信息保护影响评估报告和处理情况记录至少保存三年；接收方、目的、范围或当地法律实质变化时，应重新评估。[10]
若人工智能企业从欧盟向无充分性决定的第三国传输个人数据，并依赖标准合同条款（“SCC”）等《通用数据保护条例》（“GDPR”）第46条工具，Schrems II判决要求个案审查第三国法律并提供补充措施，实务上称为TIA。[11]企业应梳理数据流及后续转移，核查目的地公共机关访问权限、监督、司法救济和执法情况，判断能否达到“实质等同”保护；不足时增加技术、合同或组织措施并持续复核。[12]若补充措施仍不能弥补风险，应暂停或终止传输，不能仅以签署SCC替代评估。[13]
七十、 东南亚国家（如印尼、越南）对“重要数据”本地化存储的要求具体是怎样的？
目前，东南亚各国对数据分类、监管对象和存储要求存在较大差异：越南已建立针对“重要数据”“核心数据”的专门监管框架，并对相关数据跨境传输和处理设置严格程序；印度尼西亚原则上允许私营电子系统运营者将数据存储于境外，但公共部门及金融等特定行业要求较严格；泰国、菲律宾的相关要求主要集中于政府数据；新加坡、马来西亚则总体不存在针对一般商业数据的普遍性本地化要求。
越南：重要数据、核心数据受到专门监管
越南《数据法》（Law No. 60/2024/QH15）按照数据重要性将数据分为核心数据、重要数据和其他数据。[14]2025年7月1日起生效的第20/2025/QĐ-TTg号决定进一步公布重要数据和核心数据目录。[15]
在存储方面，《数据法》第14条允许国家机关以外的数据所有者、数据主管者按照法律规定决定数据存储方式。[16]《数据法》第23条将越南境内数据转移至境外存储系统、向境外主体提供以及使用境外平台处理等纳入核心数据、重要数据跨境传输和处理范围。[17]根据第165/2025/NĐ-CP号法令，核心数据跨境传输和处理原则上需要提交影响评估材料，由主管机关进行评估，取得合格的评估结果后，数据主管方可决定将核心数据传输至境外或进行跨境处理；重要数据则应在跨境传输或处理前进行影响评估，并至少提前15日向主管机关提交相关材料。[18]此外，自2026年7月1日起生效的新《网络安全法》（Law No. 116/2025/QH15）及配套规则，还可能对特定网络空间服务提供者的数据存储产生额外要求。[19]
印度尼西亚：一般私营数据不存在普遍本地化要求
印度尼西亚《电子系统及交易实施条例》（GR 71/2019）区分公共和私营电子系统运营者。公共电子系统运营者原则上应在印度尼西亚境内管理、处理和存储电子系统及电子数据；私营电子系统运营者则可在境内或境外存储、处理数据，但境外存储、处理时应确保主管机关能够有效实施监管和执法。[20、21]因此，印度尼西亚不存在针对一般私营企业“重要数据”的统一物理本地化要求，但金融等特定行业存在更严格的监管。例如，OJK第11/POJK.03/2022号条例对商业银行的信息技术运营、数据中心及灾备等事项作出专门规定。[22]
其他东南亚国家：以政府数据或跨境保护机制为主
泰国目前不存在针对所有商业企业“重要数据”的统一强制本地化要求，相关数据驻留要求主要集中于政府数据及特定监管领域。DGA政府云及数据分类相关文件针对高敏感度政府数据提出相应要求，但部分文件仍属于草案或政策性框架。[23]
菲律宾2026年第119号行政命令建立了政府数据分类和数据驻留框架，部分高敏感等级政府数据原则上应存储于菲律宾境内。[24]该规则主要针对政府数据，不当然适用私人企业商业数据。
新加坡不存在一般性商业数据本地化要求，个人数据跨境传输主要适用《个人数据保护法》第26条的境外传输保护要求。[25]
马来西亚目前也不存在一般性商业数据本地化制度，[26]主要关注个人数据跨境传输及特定行业监管。2026年7月政府提出加强主权云建设，但目前属于政策方向，并非一般性商业数据本地化义务。[27]
七十一、第三国云服务器上的数据如何证明未进入受限国家？
仅凭云控制台显示“新加坡区”或“法兰克福区”，通常不足以证明数据从未进入某一受限国家。合规判断看的是整条处理链：主副本、缓存、备份和灾备落在哪里，日志、遥测是否跨区复制，以及云厂商、分处理者和运维人员能否从受限国家远程访问。[28]换句话说，要证明的不是机房地址，而是数据在写入、访问、复制和删除各阶段均未越界的可审计事实。
欧盟并无统一的“禁止国家名单”。但EDPB已明确，向第三国服务商开放远程查看，即使只是在屏幕上排障，或者将数据交由欧洲经济区外云商存储，满足条件时都属于跨境传输。[29]英国也把境外远程访问视为受限传输，但区分“传输”与单纯路由中转：数据仅经某国网络通过、没有向当地组织开放，通常不因此成为受限传输。[30]
美国规则更强调“谁能访问”。2025年实施的数据安全计划将中国等六国列为受关注国家，并将逻辑访问、云端读取，以及受这些国家控制的供应商或人员纳入审查；所以服务器虽在第三国，若账户权限或运维链仍落到受关注国家，风险并未消失。[31]中国规则主要围绕个人信息、重要数据是否“向境外提供”以及数量门槛安排合规路径，并未设置普遍适用的目的国黑名单；境外收集的数据入境处理后再出境，还应核对2024年规定的特定豁免。[32]
企业可从三层留证。合同层面，锁定存储区，逐项约束备份、灾备、缓存、日志、遥测、分处理者和技术支持地点，禁止未经书面批准的迁移或受限国家访问，并约定审计权、事件通知和删除证明。[33]技术层面，关闭跨区复制，使用客户自管密钥、出口访问控制、基于地域、设备和身份的管理员限制，避免“选了区域、却把密钥和运维放在别处”。证据层面，持续保存数据流图、区域配置快照、IAM和密钥使用日志、网络出口日志、支持工单、备份恢复记录及独立审计报告，并定期固化时间戳和哈希。[34]
美国受限交易甚至要求记录数据类型和数量、交易方、用途和传输方式，并将相关记录至少保存十年。[35]参照这一思路，企业最终应形成“合同承诺—技术阻断—日志验证—独立审计”的闭环。若云厂商只承诺“主要存储于某区”，却无法解释备份、远程运维和分包链路，结论只能写成“现有证据未显示进入”，不宜绝对承诺“从未进入”。
七十二、 涉及“重要数据”或“国家核心数据”的AI企业（如地理测绘AI），在数据出境上面临哪些红线？
重要数据和国家核心数据是数据合规和网络安全领域高敏度、强保护的关键客体。
就核心数据而言，《数据安全法》明确，国家核心数据是关系国家安全、国民经济命脉、重要民生、重大公共利益等数据，须实行更加严格的管理制度。进而，《网络数据安全管理条例》亦明确该项数据处理的特殊性，须按照国家有关规定执行。然而，鉴于现行法律法规在核心数据出境场景上的立法空白，核心数据缺乏可安全出境的合规通道，国家核心数据落入出境禁区。
就重要数据而言，根据《网络数据安全管理条例》，重要数据是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。
对重要数据的规制呈现出多主体、分层次的体系化特征：国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护；各地区、各部门按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护；而企业作为直接的数据处理者，则应在日常数据管理中落实重要数据识别申报、负责人和管理机构任免、定期风险评估开展、处理情况记录留存等合规义务。特别提示的是，作为AI企业，还须额外关注关键技术研发和人工智能伦理等重点命题，加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险。
针对数据出境场景，企业作为数据处理实体，则应该遵循以下红线：
识别与申报重要数据。依据《网络数据安全管理条例》，数据处理者负有依据具体目录、官方告知等识别、申报重要数据的主动性义务。重要数据的鉴别是触发出境安全义务的锚点，数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，则不需要将其作为重要数据申报数据出境安全评估。
数据出境安全评估。依据《网络数据安全管理条例》，网络数据处理者在中华人民共和国境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。《数据出境安全评估办法》具体而言，重要数据处理者须依次完成数据出境风险自评估、与境外接收方明确约定数据安全保护责任义务、准备相关评估报告和申报文件等申报义务。
遵循数据出境限定。依据《网络数据安全管理条例》，通过数据出境安全评估后，网络数据处理者向境外提供个人信息和重要数据的，不得超出评估时明确的数据出境目的、方式、范围和种类、规模等。
鉴于全国统一、通用的重要数据目录尚未公开发布，而《重要数据识别目录 地理信息》、《重要数据识别目录 民航》等重要数据目录分批次、逐行业发布，企业应在评估前积极建设和维护数据分类分级制度，积极进行行业/地方清单目录的动态比对，保证全量数据资产盘点；评估时建立出境场景台账，对于可能构成重要数据的数据字段，应主动向主管部门问询并留档；评估后同步落地配套义务，将评估结论拆解为字段级、规模级控制阈值并固化到现有数据合规管理系统中。
编辑|王佳佳
[1]Regulation (EU) 2016/679 (GDPR), Article 45(1).
[2]GDPR Article 45(2).
[3]Commission Implementing Decision of 10 July 2023 pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council on the adequate level of protection of personal data under the EU-US Data Privacy Framework.
[4]Court of Justice of the European Union, Judgment of 16 July 2020, Data Protection Commissioner v Facebook Ireland Limited and Maximillian Schrems, C-311/18 (Schrems II).
[5]GDPR Article 45(3) and Article 45(4).
[6]参见《促进和规范数据跨境流动规定》第3条。
[7]参见《中华人民共和国个人信息保护法》第55-56条；《促进和规范数据跨境流动规定》第5条、第10条。
[8] 参见《促进和规范数据跨境流动规定》第7-8条；《数据出境安全评估办法》第5条；《个人信息出境标准合同办法》第5条。
[9]参见《个人信息出境标准合同办法》第5条；《数据出境安全评估办法》第5条：《数据出境安全评估申报指南（第二版）》与《个人信息出境标准合同备案指南（第二版）》，2024年3月22日，https://www.cac.gov.cn/2024-03/22/c_1712783131692707.htm。
[10]《中华人民共和国个人信息保护法》第56条；《个人信息出境标准合同办法》第8条。
[11]Court of Justice of the European Union, Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems, Case C-311/18, Judgment of 16 July 2020, paras. 126-147, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62018CJ0311。
[12] European Data Protection Board, Recommendations 01/2020 on Measures that Supplement Transfer Tools to Ensure Compliance with the EU Level of Protection of Personal Data, Version 2.0, 18 June 2021, steps 1-6, https://www.edpb.europa.eu/system/files/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf。
[13]European Commission Implementing Decision (EU) 2021/914, Annex, Clauses 14 and 16, https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj；European Data Protection Board, Recommendations 01/2020, paras. 47-55。
[14] 越南《数据法》（Law No. 60/2024/QH15）第13条、第4条，https://thuvienphapluat.vn/van-ban/EN/Cong-nghe-thong-tin/Law-60-2024-QH15-Data/639658/tieng-anh.aspx
[15] 越南第20/2025/QĐ-TTg号决定（Decision No. 20/2025/QĐ-TTg），https://thuvienphapluat.vn/van-ban/Cong-nghe-thong-tin/Quyet-dinh-20-2025-QD-TTg-danh-muc-du-lieu-quan-trong-du-lieu-cot-loi-663548.aspx
[16]越南《数据法》（Law No. 60/2024/QH15）第14条，https://thuvienphapluat.vn/van-ban/EN/Cong-nghe-thong-tin/Law-60-2024-QH15-Data/639658/tieng-anh.aspx
[17]越南《数据法》（Law No. 60/2024/QH15）第23条，https://thuvienphapluat.vn/van-ban/EN/Cong-nghe-thong-tin/Law-60-2024-QH15-Data/639658/tieng-anh.aspx
[18]越南第165/2025/NĐ-CP号法令（Decree No. 165/2025/NĐ-CP）第12条，https://thuvienphapluat.vn/van-ban/EN/Cong-nghe-thong-tin/Decree-165-2025-ND-CP-elaborating-on-the-Law-on-Data/664591/tieng-anh.aspx
[19]越南《网络安全法》（Law No. 116/2025/QH15）第44条， https://thuvienphapluat.vn/van-ban/EN/Cong-nghe-thong-tin/Law-116-2025-QH15-Cybersecurity/688491/tieng-anh.aspx
[20]印度尼西亚《电子系统及交易实施条例》（Government Regulation No. 71 of 2019，GR 71/2019）第20条，https://peraturan.bpk.go.id/Details/122030/pp-no-71-tahun-2019
[21]印度尼西亚《电子系统及交易实施条例》（Government Regulation No. 71 of 2019，GR 71/2019）第21条，https://peraturan.bpk.go.id/Details/122030/pp-no-71-tahun-2019
[22]印度尼西亚金融服务管理局第11/POJK.03/2022号条例（POJK No. 11/POJK.03/2022），Peraturan OJK No. 11/POJK.03/2022 Tahun 2022 tentang Penyelenggaraan Teknologi Informasi Oleh Bank Umum - JDIH BPK
[23]泰国数字政府发展机构（DGA）《Cloud Data Classification Guideline》，https://standard-uat.opendata-dga.cloud/wp-content/uploads/2025/01/Draft_PRD_Cloud-Data-Classification-v.01.pdf
[24]菲律宾第119号行政命令（Executive Order No. 119, 2026）第7条，https://www.bing.com/ck/a?!&&p=5d923f3bfa40fc95e5f510172ac3bd9fd4999f1bf96fa5f50b0b60ac47d5aef8JmltdHM9MTc4OTYwMzIwMA&ptn=3&ver=2&hsh=4&fclid=10fbbf3b-86bc-6099-2a3a-abb187f661bc&psq=%e8%8f%b2%e5%be%8b%e5%ae%be%e7%ac%ac119%e5%8f%b7%e8%a1%8c%e6%94%bf%e5%91%bd%e4%bb%a4%ef%bc%88Executive+Order+No.+119%2c+2026%ef%bc%89&u=a1aHR0cHM6Ly9sYXdwaGlsLm5ldC9leGVjdXRpdmUvZXhlY29yZC9lbzIwMjYvcGRmL2VvXzExOV8yMDI2LnBkZg
[25]新加坡《个人数据保护法》（Personal Data Protection Act 2012）第26条，Personal Data Protection Act 2012 - Singapore Statutes Online
[26]马来西亚《个人数据保护法》（Personal Data Protection Act 2010），https://www.pdp.gov.my/ppdpv1/en/akta/pdp-act-2010-en/
[27]Bernama, “Malaysia Needs Sovereign Cloud To Safeguard Critical Security And Personal Data -- PM Anwar”, 2 July 2026，https://www.bernama.com/tv/news.php?id=2575679
[28]参见欧洲数据保护委员会（EDPB）：Guidelines 05/2021 on the Interplay between the Application of Article 3 and the Provisions on International Transfers as per Chapter V of the GDPR, Version 2.0，2023年2月14日，第9、16-17段。该指引将授权账户、开放访问权限以及境外远程运维纳入“使数据可获得”的分析；同一法人内部访问虽未必构成第五章意义上的传输，仍须依GDPR第32条控制安全风险。
[29]EDPB，Guidelines 05/2021，Version 2.0，第16段：境外人员即使仅为支持、排障或管理而在屏幕上查看数据，以及将数据存储于欧洲经济区外云服务商，满足其所列三项条件时均可构成国际传输。
[30]英国信息专员办公室（ICO）：International transfers: a quick reference guide，分别见“Is personal information in transit a restricted transfer?”及“Is allowing an organisation outside the UK access to personal information a restricted transfer?”。该指引明确，单纯电子路由经过第三国不等同于向该国传输，但向英国境外组织开放远程访问通常属于受限传输。
[31]参见28 C.F.R. §§ 202.201、202.208、202.210—202.211、202.601。“access”包括通过云平台获得读取、复制、解密或编辑能力，“covered person”可包括在受关注国家设立、总部位于该国或由其控制的实体及相关人员。受关注国家为中国（含香港、澳门）、古巴、伊朗、朝鲜、俄罗斯和委内瑞拉。
[32]参见《中华人民共和国个人信息保护法》第38、40、55-56条；国家互联网信息办公室《促进和规范数据跨境流动规定》（2024年3月22日公布施行）第2-4、7-11条。第4条规定，境外收集产生的个人信息传入境内处理后再向境外提供，若处理过程中未引入境内个人信息或者重要数据，可免予申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证；行业监管、国家秘密及出口管制等特别规则仍需另行核对。
[33]合同控制可参照GDPR第28条第3款、第32条，以及欧盟委员会实施决定（EU）2021/914所附标准合同条款第8.6、8.8、8.9条及附件III：处理者、分处理者、安全措施、审计以及数据返还或删除应与实际技术链路一致。是否必须采用该套条款，仍取决于具体法域和传输场景。
[34]参见GDPR第5条第2款、第24、30、32条的问责、记录及安全义务；另见28 C.F.R. § 202.1001(b)(1)，其要求建立可审计的数据合规计划，记录数据类型和数量、交易各方及其所有权或控制关系、最终用途与传输方式。SOC或ISO认证只能作为旁证，不能替代针对本次数据流的配置和日志。
[35]28 C.F.R. §§ 202.1001-202.1002、202.1101。受限交易须实施尽职调查和数据合规计划，并接受年度独立审计；与受规制交易有关的完整、准确记录通常须至少保存十年。十年并非其他法域的一般法定期限，企业应结合当地保存限制和争议时效另定期限。
本文版权归「科技法全球合规观察」所有，如需转载，请联系下方秘书号洽谈授权。
如果您有相关法律咨询需求，
欢迎添加团队秘书号：
