从标准合同、BCR与区域互认，到白名单、黑名单、负面清单、传输影响评估和更强执法，亚太跨境数据传输规则正在同时趋同与分化。

本文先从企业视角提炼制度变动与合规行动框架，再呈现隐私未来论坛（FPF）专题简报主文及表1的中文翻译。附录未收录。

2026年7月，隐私未来论坛（Future of Privacy Forum，FPF）发布专题简报《亚太地区跨境数据传输导航：2023年至2026年发展分析》。报告由 FPF 亚太区副主任 Dominic Paulger 撰写、亚太区董事总经理 Josh Lee Kok Thong 编辑，研究2023年至2026年间亚太地区跨境数据传输规则发生的主要变化。

这份报告是 FPF 2023年版专题简报的续篇。上一版梳理了2021年至2023年的发展，本次更新则聚焦此后三年出现的新法律、修法、实施条例和区域合作机制，并试图回答一个现实问题：在数字贸易持续扩张的同时，亚太各司法管辖区正在用哪些制度确保个人数据出境后仍获得保护？

报告由简明背景、区域主要发展、六项趋势和跨司法管辖区比较表组成，另以附录详述各地变化。本次译文收录报告主文及表1，附录未收录。对于在多个亚太市场经营、使用境外云服务或搭建区域数据基础设施的企业，这份报告提供的不是一项可以直接套用的统一规则，而是一张理解不同传输机制如何并存、交叉和变化的区域地图。

本评论认为，这些变化意味着，企业跨境数据合规的重心正在从寻找某一项可用工具，转向管理由不同制度起点、传输依据、本地程序和持续问责要求构成的制度组合。这是本文基于报告形成的综合判断，并非 FPF 报告直接提出的命题。

跨境数据传输制度一直试图处理同一个基本矛盾：数字贸易、云服务、跨国运营和全球协作需要数据跨境流动，但个人数据跨越边境之后，仍应获得适当保护。FPF 这份报告的价值，在于它没有把亚太地区描述为一套统一制度，而是展示了2023年至2026年间不同司法管辖区如何以不同方式重新安排这一平衡。

报告首先把常见传输机制归纳为五类：充分性或白名单、适当保障措施、数据主体同意、特定情形下的必要性例外，以及新增的黑名单模式。适当保障措施又包括标准合同条款、示范合同条款、有约束力的公司规则和认证机制。不同司法管辖区并不是从中任意选择一种机制，而是按照各自法律设置顺序、条件、例外和审批要求。

这也是理解表1的关键。表中的“是”“否”或“可能适用”只能作为比较入口，不能单独作为合规结论。例如，某一机制即使被标为“是”，仍可能处于暂停实施、等待修法或等待实施条例的状态；被标为“可能适用”，则可能意味着法律没有禁止，但也没有正式条款、官方模板或明确的适用范围。报告中的比较表因此更像一张制度导航图，而不是一张可以直接据以开展传输的许可清单。

1. 保障措施正在成为共同语言，但尚未形成统一规则

报告指出，亚太司法管辖区越来越多地把标准合同条款、示范合同条款、有约束力的公司规则和认证机制作为跨境数据传输制度的基础。澳大利亚、马来西亚、泰国和斯里兰卡均试图提高这些机制的法律确定性。

这种趋同并不意味着一套合同可以当然覆盖整个亚太地区。中国在多数无须安全评估的传输中要求采用标准合同条款；泰国承认东盟示范合同条款和欧盟标准合同条款；马来西亚允许在现有法律条款下依赖合同条款、认证和有约束力的公司规则；澳大利亚则尚未发布官方标准合同条款。名称相似的工具，在不同司法管辖区承担的法律功能、是否强制以及是否需要监管认可，仍然不同。

2. 白名单、黑名单和负面清单正在同一区域并存

报告归纳的第二项变化，是亚太地区同时出现方向不同的制度逻辑。澳大利亚和马来西亚强化了以充分性或实质相似保护水平为基础的白名单式路径；印度采取原则上允许传输、但中央政府可以限制特定地域或特定类型个人数据的黑名单模式；中国则在部分自由贸易试验区探索负面清单，并通过大湾区标准合同便利特定区域内的数据流动。

这些机制不能仅按“宽松”或“严格”排序。白名单模式关注目的地是否满足保护标准；黑名单模式以原则允许为起点，但保留针对特定目的地或数据类型的限制；负面清单则需要结合具体区域、数据类别和适用程序理解。它们对企业的数据分类、目的地管理和决策证据提出的是不同问题。

3. 放宽一般数据传输与强化特定数据限制可以同时发生

报告特别提醒，亚太地区并不是单向走向自由化：部分司法管辖区正在放宽一般数据传输要求，另一些限制则继续出现。以中国为例，2024年的相关规定对履行合同、人力资源管理和小规模数据传输设置了重要豁免；与此同时，中国仍对触发相应条件的传输维持安全评估、标准合同和认证等机制。印度保留政府限制特定传输的权力，越南则对核心数据和重要数据设置了更严格要求。

因此，“某国正在便利数据跨境流动”并不等于“所有数据均适用同一宽松路径”。真正决定合规路径的，通常是目的地、数据类别、传输规模、处理目的、主体身份和是否触发审批或通知要求的组合。

4. 传输影响评估正在成为跨境传输合规的核心能力之一

报告指出，马来西亚、斯里兰卡、泰国和越南均已提出传输影响评估或同等尽职调查要求。这类评估不仅关注接收方司法管辖区纸面上的法律保护，也关注保障措施在实践中是否可以执行。

报告将这一趋势概括为对问责和组织责任的进一步强调。从企业实施角度，本评论建议进一步评估接收方及接收地法律环境、可能的政府或第三方访问、合同与技术保障措施的实际有效性，以及是否存在重新评估的触发条件。上述项目是可供复用的评估主干；具体司法管辖区是否要求逐项审查、是否要求提交评估以及适用何种法律标准，仍应依据当地法律和官方文件判断。

5. 区域互操作性正在发展，但还没有消除本地差异

东盟示范合同条款、东盟与其他区域合同条款的比较工作、亚太经合组织和全球跨境隐私规则，以及仍在谈判的《数字经济框架协议》，都说明区域互操作性正在获得更多重视。报告由此提出“分层互操作性”的可能图景：企业可以利用区域框架补充国家制度，降低制度碎片化造成的成本。

但区域框架并不当然替代本地法律。企业即使采用认证或区域性合同工具，仍需确认相关司法管辖区是否承认该工具、承认到什么程度、是否还要满足通知、批准、评估或数据本地化要求。

6. 执法强化正在推动跨境传输从静态证明走向持续可验证

报告最后指出，亚太监管机构正在获得更强的执法工具。越南新的个人数据保护制度规定按收入计算、最高可达5%的罚款；文莱和马来西亚的制度也设置了数额可观的经济处罚。报告据此判断，跨境传输要求正在从倡导性标准转向刚性执法。

本评论据此认为，企业不能只在合同归档时证明合规，还需要能够持续证明实际传输活动与所选择的法律路径一致。数据流发生变化、供应商更换、处理目的扩大或实施条例更新，都可能使原有结论失效。

以下均为本评论提出的实施建议，不是 FPF 报告逐项规定的强制要求。

1. 建立三维台账，并补足角色与后续传输链

企业应先识别实际发生的数据传输，而不是从合同模板开始。台账至少应能够回答：哪些数据从哪里传到哪里、属于一般个人数据还是受到更严格控制的数据、传输是持续性的还是一次性的，以及涉及哪些集团实体或外部供应商。

本评论建议进一步记录完整的角色与后续传输链：谁是控制者、共同控制者、处理者或再处理者；接收方是否会继续向分包商传输；数据实际存储地与远程运维或访问地点是否一致；远程访问在相关司法管辖区是否被视为跨境传输。这些内容不是报告列出的统一法律要求，但会直接影响合同、传输影响评估和本地程序能否覆盖真实数据流。

对同时覆盖多个亚太市场的企业，建议在统一数据流清单之上增加司法管辖区模块。这样既可以复用共同事实，又能记录各地不同的充分性、合同、认证、同意、必要性、备案和审批要求。

2. 先区分处理合法性，再按四个层次识别传输要求

企业首先需要区分两个相关但并不相同的问题：是否可以处理、披露相关个人数据，以及是否可以将这些数据传往境外。表1中中国、印度和越南均出现“同意不是跨境传输机制，但仍可能需要同意”的情形。这意味着，“同意”一栏为“否”并不当然表示企业无须取得个人同意，而可能只是说明同意不能单独构成数据出境依据。其确切法律作用仍须结合当地法律判断。

本评论建议按以下四个层次识别制度组合：

安全评估、政府批准、备案和影响评估在不同司法管辖区可能分别属于准入机制或并行义务，不能一概视为合同之外的附加手续。

在选定机制之后，还应完成四层有效性检查：当地法律是否承认该工具；是否必须使用官方文本、满足特定条款或取得监管认证；是否还需评估、备案、通知或批准；实际数据流是否与合同和评估描述一致。本评论建议企业为每次或每类传输形成简短的路径选择记录，说明判断依据、并行义务和所依据的法规版本。这样可以避免团队只看到“已经签合同”，却没有回答合同在当地是否足以支持传输。

3. 建立可复用的传输影响评估主干，并保留本地附录

面对多个司法管辖区分别提出的评估要求，完全独立制作多套评估会增加重复劳动，也容易产生事实不一致。本评论建议建立共同评估主干，统一记录数据、目的、参与方、目的地环境、可能的政府或第三方访问、合同措施、技术措施和剩余风险，再根据当地法律增加专门问题。这是一套评论提出的通用实施框架，并不意味着报告涉及的所有司法管辖区均要求逐项审查上述内容。

复用不等于统一结论。同一项云服务在不同数据类别、不同目的地或不同监管制度下，可能需要不同的补充措施或审批程序。共同主干解决的是事实复用，本地附录解决的是法律差异。

4. 将一般数据与受特别控制的数据分开设计流程

印度的黑名单模式、中国的安全评估和负面清单路径、越南对重要数据和核心数据的要求，都表明数据分类会直接改变传输路径。本评论建议在业务发起传输之前设置分类门槛：一旦涉及受严格控制的数据、较大规模传输或特定目的地，自动转入更高级别的法律和安全审查。

这项分类不应只存在于政策文件中。产品字段、数据目录、供应商接入流程和数据导出权限应尽可能共享同一分类结果，否则法律团队认定的数据类别可能与实际系统中的数据范围不一致。

5. 采用“区域基础文本＋本地补充模块”的合同架构

报告显示，东盟示范合同条款、欧盟标准合同条款、国家标准合同和有约束力的公司规则在亚太地区的认可程度不同。本评论建议跨国企业维护一套区域性基础合同文本，同时为中国、泰国、马来西亚等有明确本地要求的市场设置补充模块。

合同模块至少应与数据清单、传输目的、安全措施、分包处理、数据主体权利协助、政府访问请求和终止后的数据处置保持一致。若某地要求采用官方文本或取得认证，则不应以企业自拟条款替代。

6. 把监管变化纳入持续监测，而不是一次性项目

报告覆盖的三年中，多地出现新法律、修法、实施条例、条例草案、暂停实施和等待修法等不同状态。印度尼西亚实施条例尚未落地，斯里兰卡制度仍在等待修法，澳大利亚部分工具尚未正式发布，这些情况都说明跨境传输结论具有明显的时间属性。

本评论建议为重要传输设置复核触发条件，例如目的地、数据类别、供应商、处理目的或传输规模发生变化，相关法律或实施条例更新，以及监管机构发布新的认可、限制或执法信息。没有触发机制的年度例行检查，可能无法及时覆盖真正改变风险的事件。

7. 为执法准备一套可验证的证据链

在执法工具增强的环境下，本评论建议企业将跨境传输台账、路径选择记录、传输影响评估、合同或认证材料、通知和批准文件、技术措施证明以及定期复核记录关联起来。证据链的目的不是增加文件数量，而是让企业能够从一次实际传输反向说明：传输了什么、为什么可以传输、采取了哪些保障措施、谁批准了决定，以及结论是否仍然有效。

亚太地区正在出现两种同时发生的变化：一方面，标准合同条款、有约束力的公司规则、认证和区域框架正在形成更多共同语言；另一方面，黑名单、负面清单、数据本地化、特定数据限制和政府审批仍在制造本地差异。

因此，企业最需要建立的并不是一份“亚太通用合同”，而是一套可以复用事实、区分制度、记录判断并持续更新的跨境数据治理架构。区域趋同可以降低部分合规成本，但只有把本地差异嵌入日常数据治理流程，趋同带来的便利才不会被新的执法风险抵消。

2026年7月

作者

Dominic Paulger，亚太区副主任

编辑

Josh Lee Kok Thong，亚太区董事总经理

隐私未来论坛（Future of Privacy Forum，FPF）是一家非营利组织，致力于推动隐私领域的领导力与学术研究，并倡导支持新兴技术的、以原则为基础的数据实践。有关 FPF 的更多信息，请访问 fpf.org。

FPF 公开发布的所有材料均可在适当注明出处的前提下自由分享和改编。更多信息请访问 creativecommons.org。

本专题简报考察了2023年至2026年间亚太地区跨境数据传输（cross-border data transfers，CBDT）格局的快速演变。它是对隐私未来论坛（FPF）2023年发布的一份专题简报的更新；该简报涵盖了2021年至2023年的情况。

本简报发现，尽管亚太地区数据保护法面临的核心挑战仍然是在数字贸易与个人数据保护之间取得平衡，但规范这种平衡的框架已经发生变化。本简报归纳了2023年至2026年间该地区变化呈现出的六项主要趋势：

本专题简报的附录还详细介绍了以下司法管辖区的最新情况：澳大利亚、中国、南亚（孟加拉国、印度、斯里兰卡）以及东南亚（文莱达鲁萨兰国、柬埔寨、印度尼西亚、马来西亚、泰国和越南）。

2023年9月，隐私未来论坛（FPF）亚太办公室发布了题为《亚太地区跨境数据传输导航》的专题简报，概述了2021年至2023年间该地区跨境数据传输监管方面的主要发展。

本专题简报是对2023年版报告的更新，分析了此后三年间亚太地区跨境数据传输方面最重要的发展。它沿用原简报的结构，提供简明背景、最新的区域趋势分析、跨境数据传输框架比较表，以及按司法管辖区详述发展情况的附录。简明背景和区域趋势分析中提及的法案、法律、条款及其他文件的全部具体信息，均可在附录所载的各国家报告中查阅。如需全面了解本简报讨论的基础性传输机制，建议读者参阅2023年版专题简报原文。

背景

跨境数据传输是全球数字经济的命脉，推动着国际贸易、创新与沟通。然而，跨境数据传输也给隐私和安全带来风险。为降低这些风险，数据保护法对向其他司法管辖区传输个人数据规定了条件，目的在于确保数据跨越边境之后仍能获得充分保护。

正如我们在2023年版专题简报中详细说明的那样，这些条件通常分为以下几类：

a. 具有法律约束力的协议，例如强制性的标准合同条款（SCC），或者非强制性的示范合同条款（MCC）；

b. 内部政策，例如有约束力的公司规则（BCR）；或者

c. 认证机制，例如亚太经合组织（APEC）及全球跨境隐私规则（CBPR）和处理者隐私认可（PRP）机制。

鉴于2023年以来亚太地区的发展，本专题简报在上述清单中增加了第五类条件。包括印度在内的某些亚太司法管辖区采取了“黑名单”路径：原则上允许传输个人数据，但向某些司法管辖区传输或者涉及某些类型信息的传输除外。

各司法管辖区往往按照一定层级安排这些机制，将充分性和保障措施置于同意及其他例外之上。亚太地区各司法管辖区采用和实施这些机制的具体组合差异显著，反映出不同的政策优先事项。

自2023年以来，亚太地区的法律和监管格局继续快速演变。组织面临的核心挑战——在数字贸易的巨大经济利益与保护个人数据的迫切需要之间取得平衡——依然存在；不过，规范这种平衡的框架已经发生显著变化。

该地区出现了多部新的数据保护法。

若干司法管辖区修订了其数据保护法。

数据保护法的实施仍在继续，但某些司法管辖区实施条例的状态仍不确定。

2024年3月，泰国个人数据保护委员会（PDPC）实施了两项关于跨境数据传输的重要条例，使该国《个人数据保护法》的关键条款得以实际运作。这些期待已久的条例明确了充分性、有约束力的公司规则和标准合同条款的使用方式，为企业提供了急需的确定性。值得注意的是，它们还承认东盟示范合同条款和欧盟标准合同条款是有效的传输工具。

2025年11月，印度电子和信息技术部（MEITY）发布了《数字个人数据保护法》的实施条例，即《2025年数字个人数据保护规则》（DPDP Rules）。2025年1月公布并公开征求意见的早期规则草案似乎对跨境数据传输引入了新的限制，而最终版本则重申了《数字个人数据保护法》的“黑名单”路径，并明确：凡依据该法处理的个人数据均可传输至印度境外，仅受中央政府通过一般命令或特别命令规定的要求约束。

斯里兰卡《2022年第9号个人数据保护法》（PDPA）的实施仍因等待修法而处于暂停状态。不过，该国数据保护局（DPA）发布了一份详细的指令草案，概述了遵守该法跨境数据传输要求的一系列机制，以此表明其拟采取的路径。值得注意的是，2025年提出的修正案拟修改跨境数据传输制度，并提出一种更灵活的路径。

另一方面，印度尼西亚尚未颁布落实《个人数据保护法》（PDPL）所必需的实施条例。经过两年的宽限期后，该法于2024年10月开始具有可执行性。虽然实施条例草案已经公布并公开征求意见，但尚未颁布。这使印度尼西亚既缺少负责执行《个人数据保护法》的专门正式数据保护机构，也使在印度尼西亚处理个人数据的组织对于关键义务的范围面临显著不确定性，例如，什么才构成跨境数据传输的“充分且具有约束力的保障措施”。

中国寻求放宽跨境数据传输监管，并便利与香港、澳门特别行政区之间的数据传输。

东盟促进区域互操作性的努力仍在继续。

在2023年版专题简报所识别趋势的基础上，本次对亚太地区跨境传输最新发展的审视表明，该地区正变得更加复杂。目前已有更多司法管辖区实施了综合性数据保护法，但各地处理跨境传输的路径仍存在显著差异，反映出各国政府在经济一体化、国家安全和数据隐私之间寻求平衡的努力。

尽管其基本原则往往借鉴全球基准，但法律、政治和经济环境的多样性催生了不同的——有时甚至相互竞争的——模式。可以识别出以下几项显著趋势：

1. 亚太各司法管辖区日益趋向采用以保障措施为基础的机制

该地区各司法管辖区日益将以保障措施为基础的机制作为跨境数据传输制度的基础。这些机制是指数据输出方可以采取、用于保护所传输数据的具体机制或措施，包括：

2023年至2026年间，澳大利亚、马来西亚、泰国和斯里兰卡均寻求就此类机制的使用提供更高程度的法律确定性。这些机制为组织提供了用于降低风险并与全球最佳实践保持一致的合同工具和组织工具。这一趋势凸显出一种转变：各地正从以僵化的一体适用型禁令和“同意作为例外”模式为跨境数据传输制度支点，转向灵活的合规工具，使企业能够在明确的法律边界内开展传输。

2. 亚太地区采用白名单机制的范围正在扩大，同时某些亚太司法管辖区采取了“黑名单”路径

亚太地区许多司法管辖区正在采用白名单式框架。根据此类框架，若其他司法管辖区被认为能够提供与本国数据保护法所提供保护“实质相似”的保护，即允许向其传输数据。

澳大利亚最近实施了一种类似于欧盟充分性决定的机制；马来西亚修订后的《个人数据保护法》则允许向经控制者评估为具有实质相似保护水平的司法管辖区传输数据。

相比之下，印度《数字个人数据保护法》和《数字个人数据保护规则》确立了一种相当宽松的“黑名单”模式：除非受到明确限制，否则允许向所有国家传输数据。

中国的自由贸易试验区和粤港澳大湾区对定制化白名单和负面清单模式进行了探索，体现出对受监管自由化的关注。这些路径旨在便利与战略伙伴之间的可信数据流动，同时维持国家层面的监督。

3. 亚太地区重新出现跨境数据传输限制

尽管以保障措施和充分性为基础的模式不断兴起，若干司法管辖区仍继续对跨境数据传输施加或重新引入限制，尤其是涉及敏感数据或具有战略重要性的数据时。印度新数据保护法的实施规则对数据传输引入了新层次的自由裁量控制和新的数据本地化要求；越南新的《数据法》则对“核心”数据和“重要”数据规定了严格要求。这些义务反映了安全驱动型政策重点，往往与对境外访问、金融稳定或国家主权的关切相关。由此形成了双轨并行的环境：一般数据的传输更加自由，而被认定为关键数据的数据则受到严格控制。

4. 亚太地区日益趋向要求开展传输影响评估

若干制度目前对组织评估境外传输风险赋予了更大责任。马来西亚、斯里兰卡、泰国和越南均已发布关于采用传输影响评估或同等尽职调查程序的要求。这些评估要求组织既审查接收方司法管辖区提供的法律保护，也审查保障措施在实践中的可执行性。这一转变反映出对问责和组织责任的日益重视。

5. 区域框架和互操作性倡议正在亚太地区获得更多支持

随着各经济体寻求减少合规碎片化并促进区域集团内部的可信数据流动，区域合作正在获得更多支持。东盟与欧盟及伊比利亚美洲网络共同发布的指南，以及正在谈判、并设有跨境数据传输专门条款的《数字经济框架协议》，均体现了这一势头。同样，中国的大湾区标准合同形成了一个区域化的“数据气泡”，而亚太经合组织跨境隐私规则和全球跨境隐私规则倡议则继续扩展互认框架。这些努力表明，未来可能形成分层互操作性：企业可以依托区域框架来补充国家制度。

6. 亚太地区的执法正在加强，违法成本不断上升

最后，监管机构正在配备更强有力的执法工具。越南新的《个人数据保护法》对违法行为规定了按收入计算、最高可达5%的罚款；文莱和马来西亚经修订的框架也规定了数额可观的经济处罚。这一趋势表明，监管正从倡导性标准转向刚性执法，迫使组织将跨境数据传输合规作为更广泛数据治理战略的一部分予以优先处理。

综合来看，这些趋势呈现出一种双重动态：一方面，各地趋向采用国际性保障措施和问责标准；另一方面，各地在数据本地化和主权驱动型措施方面出现分化。对于跨国组织而言，这意味着需要应对彼此重叠的制度拼图，同时承担不断上升的合规成本，并就数据基础设施作出战略决策。与此同时，区域框架有望通过提供实现互操作性和可预测性的路径，带来渐进式缓解。因此，在亚太地区经营的企业必须在遵守当地规则与实现区域协调之间取得平衡，同时为跨境数据治理既全球化又碎片化的未来做好准备。

表1A

表1B（续）

表1C（续）