当地时间2024年4月24日，美国总统拜登签署了包含增加对乌克兰、以色列军事援助、加强对俄罗斯、伊朗制裁、强制剥离某短视频平台和限制特定个人数据出境等法案在内的《21世纪通过力量实现和平法案》（21st Century Peace through Strength Act，H.R.8038）。[1]此前，美国国会众议院和参议院相继分别以360票支持/58票反对和79票支持/18票反对的表决结果，投票通过了该法案。[2]经过美国总统拜登签署后，该法案已经生效。法案的主要内容是批准总价值953亿美元的美国对乌克兰和以色列等国家或地区的新增军事援助计划，并捆绑加入了加强对俄罗斯和伊朗的制裁、强制中国母公司剥离某短视频平台和禁止数据经纪人（data broker）向外国对手（foreign adversary）或其控制实体出售美国个人的个人可识别敏感数据（personally identifiable sensitive data）的相关法案内容，以捆绑法案（package）的方式快速通过国会两院表决。

一、法案重点内容总览

法案中关于强制中国母公司剥离某短视频平台的相关内容基本与美国众议院在今年3月众议院通过的《保护美国人免受外国对手控制应用程序侵害法案》（Protecting Americans from Foreign Adversary Controlled Applications Act，H.R.7521）相同，要求中国母公司在法案正式生效后的规定时间期限内出售旗下国际短视频平台业务，否则该国际短视频平台将不得与任何美国实体开展任何业务，包括获得维护服务和更新等。[3]新通过的H.R.8038法案仅修改了原《保护美国人免受外国对手控制应用程序侵害法案》中规定的剥离业务的期限，将原先180天的规定限期延长到了270天，并授权美国总统可以将期限最多再延长90天。[4]

上述内容固然引人注目，但是建议中国企业还应重点关注H.R.8038法案的其他主要内容。其中之一是法案中关于加强美国对俄罗斯和伊朗制裁的规定。具体制裁措施包括：没收俄罗斯在美资产用于乌克兰重建，增加受制裁的俄罗斯个人和实体，增加针对伊朗石油工业的制裁（包括制裁接收和加工伊朗石油的港口和炼油厂），加强针对伊朗导弹和无人机的制裁和出口管制措施。特别需要注意的是，法案专门针对中国金融机构新加了对协助伊朗进行石油和无人机领域重大交易的制裁规定。

H.R.8038法案还规定了禁止数据经纪人向包括中国在内的外国对手或外国对手控制的实体出售（包括授权、转移等）任何美国人的个人可识别敏感数据的规定。其内容与众议院在今年3月通过后提交参议院审议的《保护美国人数据免受外国对手侵害法案》（Protecting Americans’ Data from Foreign Adversaries Act of 2024，H.R.7520）完全相同。[5]

除此之外，H.R.8038法案还捆绑了加强对芬太尼类药物贩运的制裁和加强对巴勒斯坦相关组织和人员的制裁等措施。截至本文撰写时，笔者关注到中文媒体的报道比较关注法案中关于剥离短视频平台的部分内容，而没有对该法案捆绑的其他内容进行广泛报道。鉴于此，本文将侧重于对该法案的其他重点内容进行梳理，针对中国企业可能关心的重点问题和法律风险进行解读，着重介绍该法案加强对俄罗斯和伊朗的制裁和限制数据出境等内容，为企业提供相关的合规和应对建议。

二、法案重点内容解读

1. 加强对俄制裁

首先，H.R.8038法案针对在国会众议院提出的《为乌克兰人重建经济繁荣和机会法案》（Rebuilding Economic Prosperity and Opportunity for Ukrainians Act or the REPO for Ukrainians Act, H.R.4175）[6]的主要内容进行了补充，并将之捆绑作为H.R.8038法案B部分交付参议院进行投票。H.R.8038法案该部分主要针对俄罗斯国家、个人和实体增加制裁，并明确将没收已被冻结的俄罗斯主权资产，用于乌克兰的重建。

法案该部分规定，美国总统必须在法案该部分颁布后90天内，命令任何存放俄罗斯主权资产并且知道或应该知道此类资产的金融机构在发现此类资产的10天内向美国财政部报告，并提供相关信息。[7]美国政府将建立“乌克兰支援基金”（the Ukraine Support Fund），美国国务院和美国国际开发署负责使用该基金，用于乌克兰的重建。[8]美国总统有权没收并转移任何符合条件的俄罗斯资产，并将其纳入乌克兰支援基金。[9]美国政府将代持上述资产，美国总统有权对其进行处置和清算，并将所获款项纳入乌克兰支援基金。[10]

其次，H.R.8038法案加入了C部分，要求美国行政部门与盟友协同对俄罗斯进行制裁。具体要求包括，美国总统应在法案该部分颁布的90天内国会提交报告，标示目前欧盟和英国的相关对俄制裁下的所有外国个人或实体，指出其中符合《2016年全球马格尼茨基人权问责法案》（Global Magnitsky Human Rights Accountability Act of 2016）、美国总统第14024号、14068号和14071号行政令的外国个人或实体，并针对上述外国个人或实体中尚未被美国实施制裁的个人或实体实施制裁。[11]

2. 加强对伊朗制裁

H.R.8038法案捆绑了大量针对伊朗的制裁法案，包括中国企业最为相关的法案F部分《禁止伊朗石油靠港法案》（Stop Harboring Iranian Petroleum Act or the SHIP Act，H.R.3774）和O部分《2023年伊朗-中国能源制裁法案》（Iran-China Energy Sanctions Act of 2023，H.R.5923），限制伊朗发展武器等工业的G部分《打击伊朗导弹出口泛滥法案》（Fight and Combat Rampant Iranian Missile Exports Act or the Fight CRIME Act，H.R.3152）和J部分《禁止技术为恐怖服务法案》（No Technology for Terror Act，H.R.6603），和制裁伊朗高级政府官员的H部分《玛莎·阿米尼人权与安全责任法案》（Mahsa Amini Human rights and Security Accountability Act or the MAHSA Act，H.R.589）和N部分《追究伊朗领导人责任法案》（Holding Iranian Leaders Accountable Act，H.R.6245）。

（i）H.R.8038法案F部分（《禁止伊朗石油靠港法案》）规定，美国总统将在法案颁布的180天内对以下外国个人或实体实施制裁：

（a）持有或控制外国港口并故意（knowingly）允许以下船只靠岸：

• 因运载伊朗原油或石油制品被列SDN清单的船只；或

• 其船东或运营主体故意使用该船只进行运输、装载或交易源自伊朗的凝析油、精炼或未精炼的石油产品、或其他石化制品的重大交易；

（b）持有或运营船只并故意使用该船只进行任何涉及源自伊朗的任何石油产品的重大交易的船对船过驳；

（c）持有或运营精炼厂并故意使用其工厂从事加工、精炼或以其他方式交易源自伊朗的任何石油产品的重大交易；

（d）（a），（b），和（c）中个人的特定家庭成员（配偶、成年子女、父母和兄弟姐妹）；

（e）被（a），（b），和（c）中个人或实体持有或控制，并故意参与（a），（b），和（c）中所述活动。[12]

制裁措施包括不允许上述船只停靠美国的港口、冻结上述个人或实体由美国控制的财产、拒绝相关个人入境、取消签证等。[13]该部分特别要求美国能源信息署向国会提交报告，提供自2018年以来伊朗每年对中国的石油出口和销售收入、原油出口量和平均价格的估算，并提交参与出口和销售伊朗石油的公司、船只和港口等信息。[14]该部分还要求在法案颁布的120天内，美国国务院应协同相关行政部门，向国会提交书面政策计划，并且提供针对所谓的中国在逃避美国对伊朗原产石油产品实施的制裁方面所扮演的角色，以及对于加强相关制裁执法和扩大制裁中国参与伊朗原产石油产品的生产、运输、储存、精炼、销售环节措施的评估简报。[15]

（ii）H.R.8038法案O部分（《2023年伊朗-中国能源制裁法案》）则主要针对中国金融机构参与涉伊朗能源交易。O部分规定修改《2012财政年度国防授权法案》第1245(d)条，并针对中国金融机构极大地扩展了“重大金融交易”的范围，包含以下任何交易：

（a）由中国金融机构进行的涉及从伊朗购买石油或石油产品的交易（不限交易规模、数量、频率或性质）；和

（b）由外国金融机构进行的涉及购买伊朗无人机（UAVs）、无人机零部件或相关系统的交易（不限交易的规模、数量、频率或性质）。[16]

上述规定下，中国的金融机构将不被允许与任何伊朗金融机构进行任何涉及从伊朗购买石油和无人机的金融交易，否则可能面临与美国金融系统断绝往来的制裁。[17]

（iii）H.R.8038法案G部分（《打击伊朗导弹出口泛滥法案》）规定对故意为伊朗提供涉及导弹或无人机的相关物项的个人和实体实施制裁。[18]J部分（《禁止技术为恐怖服务法案》）规定禁止将以下外国产品出口至伊朗，也不得组装或用于制造或研发任何出口至伊朗的受美国《出口管理条例》管辖的零部件和设备：

（a）使用受《出口管理条例》管辖的美国原产技术或软件直接生产的外国产品；或

（b）从使用或大部分使用受《出口管理条例》管辖的美国原产技术或软件直接生产的工厂所生产的外国产品。[19]

（iv）H.R.8038法案H部分（《玛莎·阿米尼人权与安全责任法案》）规定美国总统需对伊朗高级政府官员实施制裁，因为后者严重侵犯人权。[20]N部分（《追究伊朗领导人责任法案》）规定了对向伊朗高级政府官员提供金融服务的非伊朗金融机构实施限制的措施。对于美国金融机构，N部分授权美国财政部要求该金融机构停止向相关人员提供服务。[21]对于非美国金融机构，美国财政部将在其职权范围内积极寻求该金融机构停止向相关人员提供服务。[22]

综合H.R.8038法案对伊朗制裁的规定，美国将针对伊朗的石油、导弹和无人机领域施加更加严厉的制裁，这些制裁措施很多直接涉及中国的企业尤其是针对石油行业、贸易行业和相关的金融机构。中国企业应该对H.R.8038法案的这部分内容保持关注，美国行政部门将根据规定在法案颁布的一段时间内进行具体措施的制定。

3. 限制美国人个人可识别敏感数据的跨境流动

如上文所述，H.R.8038法案将原《保护美国人数据免受外国对手侵害法案》的全部内容作为H.R.8038法案的E部分捆绑交付参议院进行投票。H.R.8038法案的这一部分禁止数据经纪人向外国对手或外国对手控制的实体出售任何美国个人的个人可识别敏感数据，违反者将受到美国联邦贸易委员会（Federal Trade Commission）的处罚。其相关具体规定如下：

（i）数据经纪人指并不直接从美国个人处采集数据，但为收取有价对价，将美国个人的数据出售给另一非“服务提供者”（service provider）实体的实体。[23]法案该部分进一步将服务提供者定义为代表非外国对手或外国对手控制的个人或实体，或采集或接收数据的美国政府机构。[24]并且，法案该部分还规定了数据经纪人的例外情形，包括该实体按照个人要求传输的该个人的通信、传播涉及公共利益的新闻、或出版发行书籍报刊、电影电视、广播和网络视听节目等表达性信息，但不包括传播不雅信息的实体。[25]

（ii）出售包括许可、出租、交易、转让、发布、披露、提供访问权限或以其他方式提供。[26]

（iii）美国个人指在美国境内的居住的个人，即包括美国公民、绿卡持有者和其他居住者。[27]

（iv）外国对手包括中国、俄罗斯、朝鲜和伊朗。[28]外国对手控制的实体指：

（a）在外国对手国家常住、总部位于该国、主要营业地在该国或根据该国法律成立；

（b）被（a）项所述的个人或实体的累计直接或间接拥有至少20%权益（stake）；和

（c）受（a）项和（b）项所述个人或实体控制或指示的个人或实体。个人可识别敏感信息指能识别、关联或能合理关联相关个人或其设备的敏感信息。[29]

（v）个人可识别敏感数据指单独或与其他数据结合可识别、联系到或可合理联系到个人或可识别、联系到或可合理联系到该个人的设备的任何敏感数据。[30]

（vi）敏感数据的定义涵盖范围非常广，包括政府发出的身份证件、医疗健康数据、金融数据、生物识别数据、遗传基因数据、精准地理位置信息、私人通信、账号和密码、私人的日程、通讯录、文字或影像记录等信息、私密行为和影像信息、视频描述信息、未满17岁未成年人信息、个人的种族、肤色、族裔或信仰、网上行为记录、军队成员信息、和其他信息识别上述信息的信息。[31]

（vii）法案该部分对“精准地理位置信息”进行了更具体的定义，包括个人设备或技术生成的信息、和显示个人或设备在过去或现在的物理位置，并且根据该物理位置可以识别或联系到1个或多个人，具有足够的精确度，可以识别个人或设备的街道级别位置信息，或者在小至1850英尺的范围内确定个人或设备的位置。

H.R.8038法案E部分将在法案签署生效后60天后施行。[32]

综合上述规定，法案禁止数据经纪人进行出售或转移的信息范围非常广，直接导致的结果是中国企业，包括在中国常驻的企业均可能不得从数据经纪人处获得任何美国境内个人的几乎是任何的信息。这对于向美国个体消费者提供个性化商品或服务的中国企业影响较大，比如近年来发展迅猛的跨境直销电商等。这类企业将无法通过数据经纪人获取消费者数据，可能需要企业自行收集用户数据，或从直接收集消费者信息的美国个人或实体处获取信息，进而提高运营成本。同时，由于数据量的减少，相关企业可能无法达到之前的运营效果。对于依靠分析用户上网习惯开展业务的中国企业也可能会有影响，使其更难做到市场营销的精准投放。对于有意进军美国市场的中国自动驾驶科技企业，该部分对于精确地理位置信息的传输限制将限制其针对美国市场的技术研发和销售。最后，对于需要海量数据进行训练的人工智能企业，也将无法得到美国的相关数据，从而可能进一步加大与美国人工智能企业的技术代差。

三、合规和应对建议

1. 及时跟进美国政府后续的法规制定

H.R.8038法案捆绑了大量关于出口管制、制裁和数据合规方面的内容，其中很多都需要中国企业的持续关注。可以预见，该法案出台后的短期内，美国将可能发布大量更新的出口管制政策和制裁名单。同时，该法案也是美国首次在联邦层面对个人隐私数据的出境正式做出限制。针对这样的变化，中国企业需要建立相应的出口管制、制裁和数据保护法律法规的动态追踪机制，以确保及时了解美国等国家专门针对中国企业在相关领域设置的限制，避免国际贸易中新增的风险。

2. 及时筛查自身业务

同时，有需要的企业应根据上述法律法规的变化筛查自身的涉俄罗斯和伊朗的业务，尤其是针对中国金融机构的特殊限制。通过上文解读，美国目前基本禁止了中国金融机构所有的涉及向伊朗购买石油或无人机交易的业务。有需要的金融机构应做出相应调整，首先从筛查自身交易开始，去除受制裁的风险。与伊朗有石油方面往来的中国企业（包括航运和石化行业）也应该有所察觉，避免自身受到冻结资产和其他制裁措施的影响。

3. 及时注意美国协同盟友进行制裁的风险

如上所述，美国即将针对俄罗斯采取更加严厉的制裁措施，并且将在近期内与欧洲等国进行协同。可以预见，美国将可能很快公布新一批的制裁名单，尤其会包含已经被欧盟或英国制裁，但尚未被美国制裁的外国个人或实体。中国企业应密切关注美国发布的制裁信息，相关企业应提前做好准备，比如提前进行交易中连接点（如物项、交易相对方、最终用户和最终用途、运输安排和银行结算等）的排查，彻查交易中的美国因素和被制裁风险，以在新制裁发布之时及时反应。

4. 及时调整业务模式，做好制裁风险应对预案

企业应建立相适应的贸易合规体系，并及时针对变化的出口管制和制裁规定进行系统性调整，并可考虑调整业务模式，以符合最新的各国法律规定的方式开展业务。企业应寻求专业协助，以求在第一时间获知法律变化，从而做到从容应对。

总而言之，在目前国际贸易环境多变的大背景下，中国企业应从外部法律法规和自身业务两个角度进行风险筛查。从自身所处的行业等实际情况出发，根据交易细节，结合美国和欧盟各国法规的实际变化，不断审查交易风险，力求在波谲云诡的国际环境中平稳前进，避开国际贸易法律法规快速变化背景下的“乱流影响”。

[注] 

[1] 参见https://www.reuters.com/world/us/after-battle-with-republicans-biden-sign-ukraine-aid-package-2024-04-24/；关于H.R.8038法案原文，参见https://www.congress.gov/bill/118th-congress/house-bill/8038/text。

[2] 参见https://www.guancha.cn/internation/2024_04_24_732624.shtml； 

[3] 参见H.R.7521，the Protecting Americans from Foreign Adversary Controlled Applications Act（https://www.congress.gov/bill/118th-congress/house-bill/7521/text）。

[4] H.R.8038法案D部分第2条（Division D Section 2）。

[5] 参见H.R.7520，the Protecting Americans’ Data from Foreign Adversaries Act of 2024（https://www.congress.gov/bill/118th-congress/house-bill/7520/text）。

[6] 参见https://www.congress.gov/bill/118th-congress/house-bill/4175/text。

[7] H.R.8038法案B部分第104(a)(1)条。

[8] H.R.8038法案B部分第104(d), (f)条。

[9] H.R.8038法案B部分第104(b)(1)条。

[10] H.R.8038法案B部分第104(b)(2), (3)条。

[11] H.R.8038法案C部分第1(a)(b)条。

[12] H.R.8038法案F部分第3(b)条。

[13] H.R.8038法案F部分第3(c)条。

[14] H.R.8038法案F部分第4(a)条。

[15] H.R.8038法案F部分第5(a)条。

[16] H.R.8038法案O部分第2条。

[17] 22 U.S.C. 8513a(d)(1)。

[18] H.R.8038法案G部分第5(a)条。

[19] H.R.8038法案J部分第2(a), (b)条。

[20] H.R.8038法案H部分第2条。

[21] H.R.8038法案N部分第4(a)(1)条。

[22] H.R.8038法案N部分第4(a)(2)条。

[23] H.R.8038法案E部分第2(c)(3)(A)条。

[24] H.R.8038法案E部分第2(c)(8)条。

[25] H.R.8038法案E部分第2(c)(3)(B)条。

[26] H.R.8038法案E部分第2(a)条。

[27] H.R.8038法案E部分第2(c)(9)条。

[28] H.R.8038法案E部分第2(c)(4)条，引注10 U.S.C. 4872(d)(2)。

[29] H.R.8038法案E部分第2(c)(2)条。

[30] H.R.8038法案E部分第2(c)(5)条。

[31] H.R.8038法案E部分第2(c)(7)条。

[32] H.R.8038法案E部分第2(d)条。