data-localization

实施数据本地化要求

概述

数据本地化法律要求将一国居民的个人数据存储、处理，或同时在该国境内完成。这些要求独立于并且额外适用于 GDPR 下的传输机制要求。全球运营的组织必须按司法管辖区梳理数据本地化义务，设计符合本地存储规定的基础设施架构，并在允许跨境传输但须满足特定条件的情况下实施豁免程序。

各国具体要求

俄罗斯 — 第 242-FZ 号联邦法律（对第 152-FZ 号联邦法律的修订）

生效日期：2015 年 9 月 1 日

主要要求：

• 第 152-FZ 号联邦法律第 18 条第 5 款（经第 242-FZ 号法律修订）：收集个人数据时（包括通过互联网收集），数据运营者必须确保俄罗斯联邦公民个人数据的记录、系统化、积累、存储、修改、提取和检索均使用位于俄罗斯联邦境内的数据库。
• 该法律适用于任何收集俄罗斯公民个人数据的组织，无论组织位于何处。
• 完成初始本地化后允许跨境传输——主数据库必须设在俄罗斯境内，但副本可根据第 152-FZ 号联邦法律的跨境传输规则传往国外。

执法：

• 联邦通信监督局（Roskomnadzor）是执法机构。
• 不合规可能导致网站在俄罗斯境内被屏蔽、处以罚款（根据 2023 年修正案，屡次违规最高罚款 1,800 万俄罗斯卢布），以及对某些违规行为追究刑事责任。
• LinkedIn 于 2016 年因不符合第 242-FZ 号法律而在俄罗斯遭到屏蔽。

Athena Global Logistics 的实施方案：

• 俄罗斯员工的主要 HR 数据库托管在莫斯科的服务器上（OVHcloud 俄罗斯数据中心，地址：Bolshaya Nikitskaya 22）。
• 俄罗斯始发货运的客户数据首先存储在莫斯科，然后复制到法兰克福分析平台。
• 从莫斯科到法兰克福的跨境传输遵循俄罗斯跨境传输规则（根据 Roskomnadzor 第 274 号命令所列的充分保护国家名单，或取得数据主体同意）。

中国——《个人信息保护法》第 40 条及网信办措施

《个人信息保护法》（PIPL）——自 2021 年 11 月 1 日起生效

主要要求：

• 第 40 条：关键信息基础设施运营者（CIIO）以及处理个人信息达到国家互联网信息办公室（CAC）规定数量门槛的个人信息处理者，必须在中国境内存储在中国境内收集和产生的个人信息。跨境传输须接受由 CAC 管理的安全评估。
• 《数据出境安全评估办法》（自 2022 年 9 月 1 日起生效）：
  • 以下情形必须进行安全评估：(a) CIIO；(b) 处理超过 100 万名个人信息主体个人信息的处理者；(c) 自上一年度 1 月 1 日起，累计向境外提供超过 10 万名个人的个人信息，或超过 1 万名个人的敏感个人信息的处理者。
  • 由省级 CAC 进行评估，并由国家 CAC 审核。
  • 评估有效期为 2 年；到期前或发生重大变更时必须重新评估。
• 《个人信息出境标准合同办法》（自 2023 年 6 月 1 日起生效）：不属于必须进行安全评估范围的个人信息处理者，可使用 CAC 发布的跨境传输标准合同，并在合同签署后 10 个工作日内向省级 CAC 备案。
• 《中华人民共和国数据安全法》（DSL）第 31 条：CIIO 收集和产生的重要数据必须在境内存储。

Athena Global Logistics 的实施情况：

• 中国业务处理约 15,000 名个人的个人信息（低于必须进行安全评估的 100 万人门槛）。
• 本地化：在阿里云上海区域服务器上存储中国客户和员工数据。
• 跨境传输：Athena 使用已向上海 CAC 备案的标准合同，将物流数据传输至法兰克福总部。
• 根据《个人信息保护法》第 55 条，在跨境传输前完成个人信息保护影响评估（PIIA）。

印度——《2023 年数字个人数据保护法》（DPDP Act）

生效情况：各项条款自 2024 年起分阶段生效。

主要要求：

• 第 16(1) 条：中央政府可通过通知，限制重要数据受托人向印度境外的任何国家或地区传输个人数据。
• 第 16(2) 条：中央政府可规定向特定国家进行跨境传输的条件。
• 黑名单模式：印度采用“黑名单”模式——除政府通知明确限制的国家外，均允许向其他国家传输数据。截至 2026 年 3 月，尚未发布任何黑名单通知。
• 重要数据受托人（SDF）：中央政府根据数据量、敏感性、对数据主体的风险及其他因素进行认定。SDF 须承担更严格的义务，包括必须任命 DPO 并进行数据保护审计。
• 印度储备银行的数据本地化要求：印度储备银行规定，支付系统数据必须仅存储在印度境内（印度储备银行通函 DPSS.CO.OD.No.2785，2018 年 4 月）。该要求适用于支付系统运营者处理的所有支付数据。

Athena Global Logistics 的实施情况：

• 印度业务数据存储在 AWS 孟买区域（ap-south-1）。
• 允许跨境传输（截至 2026 年 3 月尚无黑名单通知），但会持续监测未来的限制措施。
• 印度储备银行的支付数据本地化要求：印度支付交易数据通过本地支付网关处理，并以印度境内作为主要存储位置。

土耳其 — 第 6698 号《个人数据保护法》（KVKK）

主要要求：

• 第 9 条：只有在数据主体明确同意，或满足第 5(2) 条或第 6(3) 条规定的任一条件，且满足以下条件时，才可将个人数据传输至国外：(a) 目的地国家提供充分保护（依据 KVKK 委员会名单）；或 (b) 土耳其和目的地国家的数据控制者提供充分保护的书面承诺，并获得 KVKK 委员会许可。
• 数据本地化：KVKK 未明确要求数据本地化，但《境外数据传输委员会条例》（2024 年修订版）引入了基于通知的制度，要求数据控制者在向不在充分保护名单中的国家传输数据前向委员会提出申请。
• 实际做法：由于跨境传输的委员会审批流程复杂，许多组织会将土耳其数据保留在土耳其境内。

越南 — 第 13/2023/ND-CP 号《个人数据保护法令》

生效日期：2023 年 7 月 1 日

主要要求：

• 第 25(4) 条：向境外传输个人数据的数据控制者和处理者必须编制并保存传输影响评估档案。
• 第 26 条：传输影响评估档案必须在处理开始后 60 天内提交至公安部。
• 无严格的数据本地化要求：越南对大多数个人数据不强制要求本地化，但《网络安全法》（2018 年）第 26(3) 条要求，为电信网络或互联网提供服务的公司在数据涉及国家安全、社会秩序或网络安全时，须将某些数据存储在越南境内。

印度尼西亚 — 第 71/2019 号政府条例（GR 71）

主要要求：

• 第 20 条：公共电子系统运营者必须在印度尼西亚境内设置其电子系统并存储数据，以满足监督、执法、数据访问保护和国家安全的需要。
• 第 21 条：私营电子系统运营者可将其系统和数据设在印度尼西亚境外，但必须提供监督和执法所需的访问权限。
• 实际影响：政府和公共部门数据必须存储在印度尼西亚境内；私营部门数据可存储在境外，但须提供访问权限。

本地化架构设计

模式 1：本地主要存储并进行复制

┌───────────────────┐     Replication     ┌──────────────────┐
│ Local Data Centre  │ ─────────────────→  │ Central EU DC    │
│ (Country Required) │    (encrypted,      │ (Frankfurt)      │
│ Primary database   │     compliant       │ Analytics,       │
│ All CRUD operations│     transfer)       │ Reporting        │
└───────────────────┘                      └──────────────────┘

适用场景：俄罗斯（242-FZ）、中国（针对 CIIO 的 PIPL 第 40 条） 实现方式：所有创建、读取、更新和删除操作均在本地数据库中进行。将加密数据复制到欧盟中央系统，用于分析和集团报告，并遵守当地跨境传输规定。

模式 2：本地处理并集中分析

┌───────────────────┐     Aggregated/     ┌──────────────────┐
│ Local Instance     │     Anonymised     │ Central EU DC    │
│ Full processing    │ ─────────────────→ │ Only aggregated  │
│ in-country         │                    │ or anonymised    │
└───────────────────┘                     │ data received    │
                                          └──────────────────┘

适用场景：严格要求本地化且无需跨境传输审批（中国的 CAC 申报前） 实现方式：所有个人数据处理均在本地进行；仅将汇总或匿名化数据（非个人数据）传输到中央系统。

模式 3：采用数据驻留控制的混合云

┌───────────────────┐
│ Cloud Provider     │
│ Local Region       │ ← Data residency policy enforced
│ (e.g., AWS Mumbai) │   via cloud service configuration
│ Personal data      │
│ stored here only   │
└───────────────────┘
     │
     │ (API access from EU for administration; no data egress)
     │
┌───────────────────┐
│ Central EU DC      │
│ Application logic  │
│ No local PD stored │
└───────────────────┘

适用场景：印度（DPDP Act）、印度尼西亚（GR 71 私营部门） 实现方式：由云服务提供商的本地区域存储个人数据；应用逻辑可以集中运行，但个人数据不会离开本地区域。

本地化合规清单

管辖区	存储要求	传输条件	备案/审批	执法机构
俄罗斯	主数据库位于俄罗斯	本地化后允许；须遵守 152-FZ 传输规则	本地化无需备案	Roskomnadzor
中国（CIIO/阈值）	境内存储	CAC 安全评估或标准合同	向 CAC 提交安全评估备案；标准合同须在 10 天内备案	CAC
印度	暂无本地化要求	除黑名单国家外均允许	无需备案（请关注未来要求）	印度数据保护委员会
印度（RBI）	支付数据存储在印度	不允许传输支付数据	RBI 合规报告	印度储备银行
土耳其	无明确本地化要求	须经委员会批准，或传输至充分保护国家名单中的国家	向委员会申请将非充分保护国家列入名单	KVKK 委员会
越南	特定数据存储在越南	须进行影响评估	60 天内向公安部提交材料	公安部
印度尼西亚（公共部门）	存储在印度尼西亚	仅有有限例外	无特定备案要求	通信部
印度尼西亚（私营部门）	可存储在境外	须确保监管部门可访问	无特定备案要求	通信部