2026-10-17 23:09:41 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

出海合规区域地图

安世加

2026年9月2日 18:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本文解决什么问题

出海企业最常见的合规误区，是把「认证」和「法规」当成并列的两件事，于是每进一个市场就重建一次体系。这篇文章给出另一种做法：用通用认证搭一个底座，再把各区域的法规义务映射到底座的控制项上——一套体系，N 份对照表。

全文覆盖八个市场的法规现状、罚则强度、落地路径，附一张 SOC 2 Privacy ↔ GDPR 映射表和一份到 2028 年的合规时点日历。

内容核对截至 2026 年 9 月 1 日

依据各国监管机构官方公告、EDPB / AICPA / ISO / PCI SSC 官方文本及主流律所公开分析

开篇：先纠正一个误区

很多出海企业以为「去美国做 SOC 2、去欧洲做 GDPR、去东南亚再做一套」——这是重复建设，也是对这个领域最大的误解。

认证是通用的，法规是分区的。

通用底座：ISO 27001、SOC 2 Type II、PCI DSS v4.0.1——全世界客户都认，跟你在哪个市场无关；

区域法规：GDPR、CCPA、PDPA、LGPD——只在特定司法辖区生效，各有各的要求。

两者的正确关系不是并列，而是底座与映射：用通用底座搭好安全与隐私控制，再把目标市场的法规要求，一条一条「翻译」成底座上的控制项。

先划一条边界，这是全文最重要的一句话：

底座解决的是「证据」问题，不解决「义务」问题。SOC 2 Privacy 验证的是「你有没有做到你自己声明的隐私承诺」，不是「你符不符合 GDPR 第 X 条」。映射表是差距分析工具，不是合规等价证明。

所以永远不要对客户说「我们过了 SOC 2，所以符合 GDPR」。正确的说法是：「我们的 SOC 2 Privacy 控制已映射到 GDPR 义务，这是对照表，这是仍需单独落地的清单。」

下面把全球主要出海市场的法规现状和融合方式一次讲清。看完你会知道：为什么一张体系能打遍全球，以及哪些地方一张体系不够。

一张总表：区域 → 法规 → 怎么并进认证

美国

客户最常问：「有 SOC 2 Type II 报告吗？问卷填一下」

核心法规

CCPA/CPRA ＋其余 19 部已生效的州级综合隐私法；HIPAA、GLBA、FedRAMP

并入方式

SOC 2（含 Privacy 准则）＋ ISO 27001 底座；州际差异单独维护对照表；行业专项单列

欧盟

客户最常问：「DPA 签一下，你们怎么满足 GDPR？」

核心法规

GDPR、NIS 2、EU AI Act、Data Act、DORA、CRA

并入方式

SOC 2 Privacy ↔ GDPR 映射＋ ISO 27701:2025；带数字元素的产品另看 CRA

东南亚

客户最常问：「数据放在哪？泄露了怎么办？」

核心法规

新加坡 PDPA、印尼 UU PDP、泰国 PDPA、马来西亚 PDPA、越南 PDPL

并入方式

同一套 Privacy 映射打底，按国微调泄露时限与 DPA 模板

南亚

客户最常问：「数据本地化？同意管理怎么做？」

核心法规

印度 DPDP Act 2023 ＋ DPDP Rules 2025

并入方式

按 2027-05-14 核心义务倒排；同意架构需产品侧改造

中东

客户最常问：「你们有什么国际认证？」

核心法规

沙特 PDPL、阿联酋联邦 PDPL、DIFC / ADGM 独立法

并入方式

ISO 27001 ＋ SOC 2 先行；沙特出境走 SCC ＋风险评估；阿联酋先判定注册地

拉美

客户最常问：「LGPD 你们怎么处理？」

核心法规

巴西 LGPD、墨西哥 2025 新法、智利 Ley 21.719

并入方式

GDPR 映射体系复用，换合同模板与语言；巴西须用 ANPD 版 SCC

日韩

客户最常问：「有 ISMS-P / P マーク吗？合同条款怎么写？」

核心法规

韩国 PIPA、日本 APPI

并入方式

ISO 27001 底座＋本地法定/事实认证＋合同条款，三者都要

中国（出发地）

——这是你自己的关

核心法规

PIPL、数据出境三路径、网络数据安全管理条例

并入方式

先过出境安全评估 / 标准合同备案 / 个人信息出境认证，再谈目的地

下面逐个市场拆解。

一、美国：SOC 2 是入场券，但「只看加州」已经不够了

市场特点

美国至今没有联邦综合隐私法。ADPPA（2022）、APRA（2024）均未出委员会；2026 年 4 月众议院能源与商务委员会推出的 SECURE Data Act（H.R.8413）是目前最实质的联邦框架提案，但在「州法优先豁免」问题上两党分歧明显，2026 年 6 月听证后仍未通过委员会。

监管高度碎片化，形成了独特的「问卷文化」——大客户不怎么看证书，看的是 SOC 2 Type II 报告＋安全问卷。这就是为什么SOC 2 Type II 是出海美国的「信任货币」。

法规要点

一个必须更新的常识：CCPA 早已不是美国唯一的综合性隐私法。

截至 2026 年 9 月，美国已有 24 个州通过综合性消费者隐私法，其中 20 部已生效（2026 年 1 月 1 日印第安纳、肯塔基、罗德岛加入）；俄克拉荷马与路易斯安那 2027-01-01、阿拉巴马 2027-05-01、佛蒙特 2028-01-01 陆续生效。

州法并不互相兼容。多数州法脱胎于弗吉尼亚 VCDPA 模板，与 CCPA 在「销售 / 共享」定义、通用退出信号（GPC）支持、敏感数据处理门槛（同意 vs. 退出）、青少年数据上都不一致。以 CCPA 为基准做全美合规仍是主流做法，但必须补一张州际差异表。

CCPA/CPRA 仍是最严的一部，而且还在加码。加州 CPPA 于 2025 年 9 月敲定 ADMT（自动化决策技术）、风险评估、网络安全审计三项新规：风险评估义务自 2026-01-01 起算，ADMT 合规期限 2027-01-01，网络安全审计按营收分批于 2028 / 2029 / 2030 年 4 月 1 日提交。

HIPAA（医疗）、GLBA（金融）、FedRAMP（政府）是行业专项，客户属于这些行业才触发。其中 FedRAMP 变化最大——2026 年 6 月定稿的 CR26 统一规则自 2027-01-01 起强制：术语整体重构（Authorization → Certification，Impact Level → Certification Class A/B/C/D），模板由 Word/Excel 改为 JSON，POA&M 取消改为 Accepted Weaknesses，并引入自动化的 Key Security Indicators。现有 Rev5 认证至少有效到 2028-12-31。做美国政企业务的要重新对齐流程与话术。

HIPAA 安全规则大修在路上：2025 年 1 月发布的 NPRM 终稿已推迟，目前预计 2027 年 7 月定稿，生效后给 240 天过渡期。

怎么并进认证

CCPA 与各州法要求的权利和流程，恰好落在 SOC 2 Privacy 准则的几个控制项里：

隐私政策告知（收集什么、怎么用、给了谁）

→ P1 通知

选择退出（销售 / 共享 / 定向广告）与通用退出信号 GPC

→ P2 选择与同意

数据主体请求（访问 / 删除 / 更正 / 可携）

→ P5 访问、P6 披露与通知

服务提供者 / 承包商的合同约束与下游转达

→ P6 披露与通知（＋合同条款）

处理透明度、记录、风险评估与年度审计

→ P8 监督与执行

结论：做 SOC 2 Type II 时把 Privacy 准则认真做掉，州级隐私法的体系层面就顺带覆盖了大半。但两件事必须单独做：一是州际差异对照表（敏感数据同意门槛、GPC 支持、青少年数据），二是行业专项（HIPAA / GLBA / FedRAMP 不在 SOC 2 范围内，命中再单列评估）——ISO 27001 的安全控制是它们共同的底座。

二、欧盟：GDPR 是天花板，但 2026 年的欧盟已经不止 GDPR

市场特点

GDPR 是全球隐私执法的「天花板」，罚则常被简化为一档，准确说法是双档制：

低档（Art. 83(4)）：1000 万欧元或全球年营业额 2%，取高者——适用于 privacy by design、处理记录、安全措施、DPO、DPIA 等控制者 / 处理者义务；

高档（Art. 83(5)）：2000 万欧元或全球年营业额 4%，取高者——适用于处理原则与合法性基础、同意条件、数据主体权利、国际传输（第五章）、不遵守监管机构命令。

2023 年 5 月 22 日，爱尔兰 DPC 因 Facebook 向美国传输 EU/EEA 个人数据违反 Art. 46(1)，对 Meta 处以 12 亿欧元罚款，同时下达暂停传输令——这是 GDPR 史上最高单笔罚款。（市场上常见的「13 亿」是当时约 13 亿美元折算值的误传。）

欧盟客户的合同里会直接嵌入 GDPR 条款，法务会逐条问「你们怎么满足的」。这就是映射表存在的意义。

核心：SOC 2 Privacy ↔ GDPR 映射表

这是整个体系里最有价值的一张表，建议收藏——但请连同表下的三条注意事项一起用：

P1 通知 · Art. 12 / 13 / 14

收集时以简明易懂的方式告知：处理目的、接收方类别、数据主体权利

P2 选择与同意 · Art. 6(1)(a)、Art. 7、Art. 9(2)(a)、Art. 21

同意的条件与可撤回性、特殊类别数据的明示同意、反对权

P3 采集 · Art. 5(1)(b)、Art. 5(1)(c)、Art. 6

目的限制＋数据最小化，且采集本身须有合法依据

P4 使用、保留与处置 · Art. 5(1)(b)、Art. 5(1)(e)、Art. 17

按声明目的使用、存储期限限制、到期与请求下的删除

P5 访问 · Art. 15、Art. 16、Art. 20、Art. 12(3)

访问权＋更正权＋可携权，原则上一个月内响应

P6 披露与通知 · Art. 19、Art. 28、Art. 44–49；Art. 33、Art. 34

第三方披露、处理者合同、跨境传输机制；Art. 33：知悉后 72 小时内通知监管机构；Art. 34：仅在高风险时通知数据主体，标准是「无不当延迟」。

P7 质量 · Art. 5(1)(d)、Art. 16

数据准确、及时更新

P8 监督与执行 · Art. 5(2)、Art. 24、Art. 30、Art. 32、Art. 37–39、Art. 77

问责制：处理活动记录、技术与组织措施、DPO、投诉处理机制

用这张表的三条注意事项：

① 72 小时只属于 Art. 33。很多材料把 Art. 33 和 34 合并写成「72 小时泄露通知」，这会误导团队。Art. 34 通知数据主体的标准是「无不当延迟」，没有小时数，且仅在「可能对自然人权利自由造成高风险」时才触发，另有三项豁免（数据已加密、已采取措施消除高风险、逐一通知需付出不成比例努力时可改为公告）。

② 别把 P2 简单等同于 Art. 6。Art. 6 的合法性基础共六项，同意只是其中之一。把「选择与同意」整体挂到 Art. 6，会强化「GDPR ＝什么都要同意」这个昂贵的误解。

③ 这是启发式对照，不是等价。GDPR 里的合法性基础选择、DPIA（Art. 35）、跨境传输影响评估（TIA）、与监管机构互动，在 SOC 2 的 TSC 里基本没有对应准则，必须单独落地。对外材料请标注「indicative mapping, not equivalence」。

关于「GDPR 证书」：一个需要更新的常识

行业里流传多年的说法是「GDPR 证书根本不存在，卖你证书的都是智商税」。这句话的前半段已经不成立：

· GDPR Art. 42 / 43 的认证机制真实存在且已在运行，EDPB 维护公开注册表，目前收录约 15 项方案；

· Europrivacy（European Data Protection Seal）自 2022 年 10 月起是 EDPB 批准的欧洲数据保护标章。2026 年 4 月 EDPB 进一步批准其更新版标准：适用范围扩展至受 Art. 3(2) 管辖的欧盟境外控制者 / 处理者，并首次批准其作为 Art. 46(2)(f) 项下的跨境传输工具——这对出海企业意义重大，非欧盟数据接收方可借此证明适当保障措施；

· 另有 EuroPriSe European Privacy Seal（2024-10）、BC 5701:2024（2025-02）等已获批准的方案，以及德国、奥地利、荷兰、法国的十余项国家级认证标准。

但「智商税」的判断依然成立，只是判断标准要换。

GDPR Art. 42(4) 明文规定：认证不减轻控制者 / 处理者遵守 GDPR 的责任，也不影响监管机构的职权——即任何认证都不构成「合规推定」。

所以要问的不是「有没有一张纸」，而是：这张证书的标准有没有经过成员国监管机构或 EDPB 批准？颁发机构有没有相应认可资质？拿一张自制标章、宣称「通过即 GDPR 合规」的，仍然是智商税。

对外话术建议

不要说「我们通过 ISO 27701，因此 GDPR 合规」，也不要说「GDPR 没有任何官方认证」。可以说——「我们通过 ISO/IEC 27701 PIMS 认证，作为 GDPR 第 24 条问责义务下的第三方独立验证证据；GDPR 自身的法定认证机制在第 42 条项下，欧盟层面目前经 EDPB 批准的方案是 Europrivacy，且依第 42(4) 条任何认证均不构成合规推定。」

邻居：现在不止三个

ISO/IEC 27701:2025（2025-10-14 发布）：最大变化是不再是 ISO 27001 的扩展，可独立实施与认证——标题里的「Extension」已删除，采用统一高阶结构，条款 4–10 自成体系。范围扩展至生物识别、健康数据、IoT 与 AI 隐私风险，并内含 GDPR、ISO 29100 及 27701:2019 的对照表。配套认证机构标准为新发布的 ISO/IEC 27706:2025。2019 版证书过渡期约 3 年（多家认证机构口径为 2028 年 10 月），但各国认可机构的正式过渡决议时点略有先后，具体截止日请向你的认证机构书面确认，不要在对外材料写死。

NIS 2：指令 (EU) 2022/2555 于 2023-01-16 生效，成员国转化截止 2024-10-17，2024-10-18 起适用。现实是转化严重滞后——按期完成的只有比利时、克罗地亚、意大利、立陶宛 4 国；截至 2026 年年中约 22/27 完成立法，法国、爱尔兰、卢森堡、荷兰、西班牙仍在立法程序中，委员会已对多国启动侵权程序，并于 2026-01-20 提出定向修订。不要假设全欧一致，按目标国逐个确认。

EU AI Act：2024-08-01 生效，但时间表已被 Regulation (EU) 2026/1744 修改（2026-07-27 生效）：Annex III 独立高风险系统义务推迟至 2027-12-02，Annex I 嵌入受监管产品的高风险系统推迟至 2028-08-02。未推迟的是 Art. 50 透明度义务（仍为 2026-08-02，其中水印技术给了 4 个月宽限至 2026-12-02），以及此前已生效的禁止性实践（2025-02-02）与 GPAI 模型义务（2025-08-02）。仍按「2026-08-02 高风险」排期会全盘错位。

Data Act（EU 2023/2854）：2025-09-12 起适用，2027-01-12 起完全禁止云切换（egress）收费。云 / SaaS / IaaS / PaaS 提供商必须支持客户换供应商：最长 2 个月通知期、30 天过渡（复杂情形可延至 7 个月）。这是产品与商务条款问题，不是安全部门能单独解决的。

DORA（EU 2022/2554）：2025-01-17 起适用。覆盖欧盟金融实体及其 ICT 第三方服务商——给欧盟金融客户供货的 SaaS 会被合同「传导」一整套 ICT 风险管理、事件报告、韧性测试与强制合同条款；关键 ICT 服务商还会受欧盟直接监督。

CRA / 网络韧性法案（EU 2024/2847）：2026-09-11 起，已被利用漏洞与严重事件的报告义务已经启动（24 小时预警 / 72 小时更新 / 14 天最终报告），且覆盖存量在售产品；2027-12-11 全面适用（CE 标识、安全设计、SBOM、技术文档）。卖硬件或带数字元素产品的，这是当前最紧迫的一条。

补充：2025-11-19 提出的 Digital Omnibus 中，涉及 GDPR、ePrivacy、NIS2、Data Act 的更广泛修订分支仍在议会与理事会谈判中，尚未成法——不要当成已生效来规划。

跨大西洋传输：DPF 仍有效，但别当零风险

EU-US Data Privacy Framework 充分性决定（2023-07-10）目前仍然有效，企业可继续依赖 DPF 自我认证传输。欧盟普通法院于 2025-09-03 在 Latombe 案（T-553/23）驳回全部诉请，维持 DPF 有效。

但三个结构性风险在累积：

· 上诉进行中：Latombe 已于 2025 年 10 月向欧洲法院（CJEU）提起上诉，截至 2026 年中仍在待审。CJEU 历史上对跨大西洋安排更为严苛（Safe Harbour 2015、Privacy Shield 2020 均被推翻）。

· PCLOB 失去法定人数：2025 年 1 月 5 名委员中 3 名被免职，无法开展年度监督审查，直接削弱了法院所倚重的救济机制。

· FTC 独立性被动摇：美国最高法院 2026-06-29 在 Trump v. Slaughter 案中判决总统可无因免除 FTC 委员，而 FTC 独立性是 DPF 充分性的基石之一，noyb 已宣布据此发起「Schrems III」。此外 FISA 702 授权于 2026 年 4 月失效，目前靠逐月延期维持。

实务建议：继续用 DPF，但把依赖理由书面记录，并把「SCC ＋传输影响评估（TIA）」作为备选方案预先准备好——真到了推翻那一天，改方案的窗口期通常只有几个月。

三、东南亚：PDPA 家族，同源不同规

市场特点

东南亚各国的隐私法都以 GDPR 为蓝本，框架相似、细节各异。但「执法温和、罚则轻」的旧印象需要更新：新加坡的罚则比例全球领先，越南 2026 年新法首次把罚款挂到营业额。这一区域的特点是「同源不同规」。

各国现状

新加坡 · PDPA 2012（2020 年修正）

关键时点

提高罚则的条款 2022-10-01 生效

泄露通知

完成评估后 3 个日历日内报 PDPC；重大伤害时另行通知个人（无固定天数）

罚则要点

分档而非取高者：新加坡境内年营业额超 S$1000 万者，上限为该营业额的 10%；其他情形上限 S$100 万。基数是新加坡境内营业额，不是全球。

印尼 · UU PDP（Law No. 27 of 2022）

关键时点

2022-10-17 颁布，两年过渡期已于 2024-10-17 届满，此后全面适用

泄露通知

72 小时内书面通知数据主体及监管机构

罚则要点

行政罚款上限年营业额 2%，另有刑事条款。但设立监管机构（Lembaga PDP）的总统条例至今未签署，罚款程序配套缺位；目前由通信与数字部（Komdigi）数字空间监管总司依旧法工具代行——义务可执行，旗舰罚款开不出来

泰国 · PDPA B.E. 2562

关键时点

2019 年通过，主体条款经两次延期后 2022-06-01 全面生效

泄露通知

不得延误、可行情况下 72 小时内报 PDPC；高风险另通知主体

罚则要点

行政罚款最高 THB 500 万；迟延泄露通知最高 THB 300 万；惩罚性赔偿最高实际损害 2 倍

马来西亚 · PDPA 2010 ＋ 2024 修正案

关键时点

分三阶段生效：2025-01-01 / 2025-04-01 / 2025-06-01（强制泄露通知、强制 DPO、可携权）

泄露通知

72 小时内报专员；通知专员后 7 日内通知受影响主体

罚则要点

最高罚金由 RM30 万提高至 RM100 万，监禁至 3 年。2025 年另发布跨境传输指引

越南 · 《个人数据保护法》Law No. 91/2025/QH15

已取代 Decree 13/2023

关键时点

2025-06-26 通过，2026-01-01 生效；配套 Decree 356/2025

泄露通知

72 小时内报主管机关

罚则要点

非法买卖数据最高为违法所得 10 倍；违规跨境传输最高为上一财年营业额 5%；其他最高 VND 30 亿

怎么并进认证

和欧盟同一套打法：Privacy 准则映射打底，各国差异集中在三处——

· DPA 合同条款：新加坡、马来西亚客户习惯把本地法条款直接嵌进数据处理协议，模板要按国准备；

· 泄露通知时限：别用一套 72 小时打天下。新加坡是「完成评估后 3 天」，而且 3 天从评估完成起算，不是从发现起算（PDPC 指引给的评估基准是尽量 30 日内完成）；马来西亚是「72 小时报专员＋ 7 天通知个人」两段式；印尼、泰国、越南是 72 小时。事件响应流程里要写清楚每个市场的口径；

· 跨境传输：越南新法把违规跨境传输单列为营业额 5% 的高额档，且对价转移可能被认定为被禁止的「买卖」，需要单独设计合同与流程。

一句话：东南亚不再是「GDPR 的轻量版」。整体框架仍可复用，但新加坡与越南的罚则强度已经不轻，值得单独评估。

四、南亚：印度 DPDP，按 2027 年 5 月倒排

这是过去两年 APAC 增量最大的一块合规负担，而且时间表已经完全确定，可以精确到日。

· DPDP Act, 2023 于 2023-08-11 御准，但一直等到实施细则出台才实际启动；

· DPDP Rules, 2025（通知文号 G.S.R. 846(E)，落款 2025-11-13）于 2025-11-14 刊宪，采分三阶段生效，12 / 18 个月均自刊宪日起算；

· 罚则：每类违规最高 INR 250 crore（约 2800 万美元）。数据保护委员会（DPB）已设立并任命主席与成员。

2025-11-14 · Rules 1, 2, 17–21

定义；数据保护委员会（DPB）的设立、任命与运作程序；上诉行政架构；《信息权利法 2005》相应修订

2026-11-14 · Rule 4

同意管理人（Consent Manager）向 DPB 登记的条件与义务

2027-05-14 · Rules 3, 5–16, 22, 23

全部核心实体义务：告知、同意与合法用途、合理安全保障、数据泄露通知、留存与删除、儿童个人数据与家长同意验证、重要数据受托人（SDF）附加义务、数据主体权利行使机制、跨境传输限制

泄露通知（自 2027-05-14 起）：须立即通知每一名受影响个人，并在 72 小时内向 DPB 提交详细报告。

并入方式：2027 年 5 月看着还远，但同意管理架构与儿童数据判定通常需要产品侧改造，按 18 个月倒排比按合规部门的年度计划排期更现实。安全保障与泄露通知可直接复用 ISO 27001 ＋ SOC 2 的既有控制，真正的增量在同意管理与年龄核验。

菲律宾（Data Privacy Act 2012，NPC 监管，72 小时通知，行政罚款可按年度总收入比例计、上限 PHP 500 万/次）多年来无实质修法，多项修正案仍在国会搁置，暂可按稳定状态处理。

五、中东：认证先行仍然成立，但要先分清「哪个阿联酋」

沙特：法已落地，执法已启动

· PDPL 由皇家法令 M/19（2021-09-16）颁布、M/148（2023-03）修订，2023-09-14 生效；一年执法宽限期已于 2024-09-14 结束，此后可强制执法；

· 监管机构仍是 SDAIA——市场上流传的「生效两年后移交」至今未发生；金融业（SAMA）、通信业（CST）在各自领域并行监管；

· 《实施条例》与《个人数据出境条例》已于 2023-09-14 生效，出境条例于 2024 年 8/9 月被新版取代；SDAIA 另于 2025 年 2 月发布《个人数据出境风险评估指引》；

· 关键缺口：充分性国家清单至今未发布。因此几乎所有出境都要落到沙特 SCC / BCR / 认证＋风险评估（TRA）上。注意 TRA 与 PDPL 的 DPIA 是两套独立流程，不能互相替代；

· 罚则：故意披露或发布敏感个人数据，最高 2 年监禁及/或 SAR 300 万（刑事）；其他违规警告或最高 SAR 500 万（行政），再犯可加倍但不超过法定上限 2 倍；

· 执法已经动起来：SDAIA 专门委员会在最近一年内作出数十项处罚决定，集中在非法收集、安全措施不足、未经同意的营销通讯。2025 年被普遍视为沙特执法的转折点。

关于 NDMO：NDMO 是 SDAIA 下属机构，发布《National Data Management and Personal Data Protection Standards》（15 个数据管理域、77 项控制、191 项合规规范）。适用范围是关键——主要约束政府机构 / 公共部门，以及「处理政府数据的商业伙伴」。纯 B2C/B2B 外资企业若不触碰政府数据，通常不直接受 NDMO 约束，合规主线仍是 PDPL ＋ SDAIA；但一旦投标沙特政企项目，NDMO 标准（含数据本地化倾向）就是硬门槛。

阿联酋：联邦法已生效，但细则四年未出

Federal Decree-Law No. 45 of 2021 于 2021-09-20 颁布、2022-01-02 生效，但第 51 条规定企业须在《执行条例》(Executive Regulations) 发布后 6 个月内完成合规。截至 2026 年 9 月，《执行条例》仍未发布（原定 2022 年 3 月前，已逾期四年多）。

直接后果：6 个月合规期尚未起算；违规行为清单与罚则未由内阁决议明确；负责监管的 UAE Data Office 尚未全面运作，联邦层面几乎无实质执法。市场上「阿联酋 PDPL 已全面生效」的说法并不准确。

真正的合规压力在自贸区——联邦 PDPL 明确排除金融自贸区，两地各有独立法律与独立监管机构，成熟度与执法力度都高于联邦：

· DIFC：DIFC Data Protection Law No. 5 of 2020，2025 年 7 月修订——数据主体可直接向 DIFC 法院起诉（无需先经 Commissioner）；属地范围明确扩展至任何处理 DIFC 内主体数据的控制者 / 处理者，不论注册地；新增对第三国政府调取请求的核验义务；

· ADGM：Data Protection Regulations 2021，2025 年 9 月新增 Substantial Public Interest Conditions Rules 2025，在保险承保理赔、保护弱势群体与儿童两类场景下允许无同意处理敏感数据。

落地阿联酋的第一件事是确认注册地：Mainland / DIFC / ADGM 三套规则的跨境传输机制、注册义务与罚则都不同，不能用一句「阿联酋 PDPL」覆盖。

怎么并进认证

· 客户问「你们有什么认证」时，ISO 27001 ＋ SOC 2 就能给出有力回答——中东仍是典型的「认证先行、法规跟进」市场；

· 沙特：出境安排要尽早落地（SCC ＋ TRA），因为充分性清单短期内不会有；

· 阿联酋：先做注册地判定，DIFC / ADGM 业务按其独立法律立即合规，联邦细则出台后再启动 6 个月冲刺。

观点：等法规细则成熟时，你的体系已经跑了一年，从容。

六、拉美：GDPR 映射可复用，但巴西的合同宽限期已经结束

巴西 LGPD

· 主体条款 2020-09-18 生效，行政处罚条款自 2021-08-01 起才可适用；

· 罚则需要精确表述：单次罚款最高为该主体（含集团、联合体）在巴西境内上一财年营业额（已扣除税费）的 2%，且每次违规总额不超过 R$5000 万。基数是巴西境内营收，不是全球营收——这是最常见的误读。另有每日罚款、数据公示、封锁 / 删除数据、部分或全部暂停数据库运营等非金钱处罚；

当前拉美最直接的执法风险：ANPD 第 19/2024 号决议（2024-08-23 公布）确立国际传输规则并发布巴西版标准合同条款（ANPD SCC），过渡期已于 2025-08-23 届满。此后从巴西向境外传输个人数据，必须已落实 ANPD SCC 或其他经批准机制（充分性认定、BCR、特定例外），否则传输行为本身即不合法。存量合同没做 SCC 改造的，现在就是敞口。

注意：ANPD SCC 是巴西自己那一版，不能拿欧盟 SCC 顶替。

ANPD 已由过渡机构转为具自主权的监管机构，执法明显升温，近期集中在大型科技平台与 AI 训练数据处置。

墨西哥：2025 年整体重构

市场上仍常引用「墨西哥 LFPDPPP（2010 年生效）」，但这部法律已被取代：

· 2025-03-20 在联邦官方公报（DOF）公布一揽子法令，2025-03-21 生效；

· 新法名称仍是 LFPDPPP，但是2025 年全新制定的法律，已废止并取代 2010 年版本；同批还包括 LGTAIP 与 LGPDPPSO；

· INAI 已被撤销（连同各州对应机构一并解散），职能移交反腐败与善治部下设的去中心化机构 Transparencia para el Pueblo——监管独立性显著削弱；

· 适用范围扩展至数据处理者本身，不再仅规制控制者；强化数据主体权利与对自动化决策 / AI 的关注；

· 配套细则、技术标准与投诉程序仍未完整出台，实施细节存在不确定性。

智利：三个月后生效

Ley 21.719 于 2024-12-13 公布，2026-12-01 生效——距今只剩约三个月，是拉美近期最值得优先纳入的新增合规项。

· 首次设立独立的 Agencia de Protección de Datos Personales（自治、去中心化公法机构，三人理事会）；

· 罚款 5,000–20,000 UTM（约 38.7 万–155 万美元）；非小微企业重复违规可达年收入的 2–4%；另可暂停处理活动最长 30 天；

· 跨境传输走充分性认定、合同保障或认证；无机制时可依明示同意、金融交易、国际条约义务或「适当保障」。

怎么并进认证

GDPR 映射体系可直接复用——合法依据、DSR 流程、DPIA 模板全部通用，需要替换的是合同模板与语言版本（葡语 / 西语）。这仍是所有市场里融合成本最低的一个，但有两个例外必须单独处理：巴西的 ANPD SCC 和智利 2026-12-01 的倒排。

补充：阿根廷现行仍是 2000 年的 Ley 25.326（新法草案已提交国会但未通过），不过阿根廷持有欧盟充分性认定，做区域数据枢纽时有实用价值；哥伦比亚（Ley 1581/2012，SIC 监管）的强制数据库注册 RNBD 是外资最常漏掉的义务。

七、日韩：APAC 认证驱动最强的两个市场

一个流传很广、但方向相反的判断：常有人说日韩「认证文化较弱，客户更看重合同条款」，据此得出「日韩市场，合同比证书有用」。

事实恰好相反。韩国把信息安全管理体系认证写进了法律强制，日本的第三方隐私认证渗透率全球领先。按前一种判断做市场进入策略，会直接踩空。

韩国：ISMS / ISMS-P 是法定强制

· 依《信息通信网法》第 47 条第 2 项，ISMS / ISMS-P 认证属法定强制（ISMS-P ＝ ISMS ＋个人信息保护，二者可择一满足义务）。触发条件包括：上年度营业额 ≥ 1500 亿韩元、信息通信服务部门营业额 ≥ 100 亿韩元、或日均用户数 ≥ 100 万人，另含 ISP 与 IDC 事业者。义务对象须在成为义务对象的次年 8 月 31 日前取得认证，未取得可被课处罚款。韩国是全球少数把信息安全管理体系认证写进法律强制的司法辖区之一；

· PIPA 罚则刚刚再次加重。2023 年修法（2023-09-15 生效）已将罚款基数由「相关营业额」改为「全体营业额」的 3%，适用范围从线上服务商扩大到所有个人信息处理者，并将举证责任倒置——企业须自行证明哪部分营业额与违法行为无关才能扣除；

· 2026 年修正案（2026-02-12 国会通过，2026-03-10 公布为法律第 21445 号，主体自 2026-09-11 施行；部分与认证义务化相关的条文延至 2027-07-01）新增第 64 条之二第 2 项的加重档：一般上限仍为全体营业额的 3%，但满足下列任一情形可提高至 10%——① 因故意或重大过失在 3 年内重复实施同一违法行为；② 因故意或重大过失致受害规模达 1000 万人以上；③ 不遵从 PIPC 的更正措施命令因而发生泄露等事故。同时引入代表人 / 经营者的个人监督责任（CEO 问责），扩大「泄露等」定义至伪造、变造、毁损，并要求 CPO 指定须经董事会决议并向监管机关报备；

· 其他配套：惩罚性赔偿最高为实际损害的 5 倍（2015 年已由 3 倍提高至 5 倍），另有 KRW 300 万以下的法定赔偿（无需举证具体损害额）；刑事责任最重档为 5 年监禁或 KRW 5000 万罚金；PIPC 执法极为活跃。

关于「举报奖励」：韩国长期有个人信息侵害申报渠道，但常态化的现金举报奖金制度尚非现行法定标配。PIPC 已于 2026 年 7 月提出建立「泄露举报奖金」制度，配套修法 2026 年 5 月通过国会政务委员会，同时拟对隐瞒不报者加重过征金 30% 以上——目前应按「立法推进中」理解。

日本：认证渗透率全球领先

· P マーク（PrivacyMark，JIS Q 15001）取得企业约 1.8 万家。这是日本独有且规模巨大的隐私认证体系——在 B2B 采购、政府与自治体投标、人才派遣 / BPO / 呼叫中心行业中，P マーク事实上是准入门槛；

· ISO/IEC 27001 证书数量约 6,600 张，全球第三（仅次于中国与印度），日本在 2000–2010 年代长期居全球第一；

· APPI 也在加码。2020 年修正已于 2022-04-01 全面施行：法人罚金上限 1 亿日元；泄露报告触发情形为敏感信息泄露、可能造成财产损害、故意（不正目的）泄露、或涉及 1000 人以上；

· 2026 年改正法于 2026-07-17 公布（令和 8 年法律第 56 号），部分规定 2027-01-17 施行，主体部分为公布后两年内由政令指定。核心变化：首次引入课征金（課徴金）制度——按违法所得剥夺，限于不适正利用、不正取得、违法第三方提供、统计特例违反四类，且原则限于 1000 人以上的大规模案件；新增儿童个人信息（不满 16 岁原则须法定代理人同意）与特定生体个人信息（人脸识别等生物特征数据，禁止以 opt-out 方式向第三方提供）的专门规制；同时在不致实质损害权利利益的情形下放宽了逐一通知义务。

怎么并进认证

· ISO 27001 仍是底座，但在日韩它不是加分项，而是起点；

· 韩国：先判断是否落入 ISMS / ISMS-P 强制门槛（营业额与用户数）。已有 ISO 27001 的可复用大量控制，但 ISMS-P 是独立审核体系，需单独排期与预算；同时按 2026-09-11 的新罚则重新评估风险敞口；

· 日本：面向日本企业客户与公共采购，P マーク的实际权重常高于 SOC 2；ISO 27001 是最低共识。2026 年改正法的课征金制度落地后，泄露与不当利用的成本会显著上升；

· 合同条款（DPA、数据处理范围、本地化承诺）依然重要，但它是认证之外的另一条腿，不是替代品。

一句话：日韩市场，本地认证＋合同，两样都要——而且本地认证往往是先决条件。

八、出发地：中国出海企业的前置约束

对中国出海企业，还有一道别人没有的关：出发地合规。这一块 2024 年以来变化很大，很多企业的认知还停留在旧规则上。

现行三路径与分层门槛

依《促进和规范数据跨境流动规定》（2024-03-22 公布施行）：

CIIO（关键信息基础设施运营者）向境外提供个人信息或重要数据

→ 申报安全评估（无数量门槛）

非 CIIO 向境外提供重要数据

→ 申报安全评估

非 CIIO，当年累计出境个人信息 ≥ 100 万人（不含敏感）或敏感个人信息 ≥ 1 万人

→ 申报安全评估

非 CIIO，当年累计出境个人信息 10 万–100 万人（不含敏感）或敏感个人信息 < 1 万人

→ 标准合同备案或个人信息出境认证（二选一）

非 CIIO，当年累计出境个人信息 < 10 万人（不含敏感）

→ 豁免

自贸试验区负面清单外的数据出境

→ 豁免

其他豁免情形（第 3–5 条）

· 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集产生、不含个人信息或重要数据的数据；

· 境外收集并传输至境内处理后再出境，且处理过程中未引入境内个人信息或重要数据的；

· 订立、履行个人作为一方当事人的合同所必需（跨境购物、寄递、汇款、支付、开户、机票酒店预订、签证、考试服务等）；

· 按依法制定的劳动规章制度和集体合同实施跨境人力资源管理所必需；

· 紧急情况下为保护自然人生命健康和财产安全所必需。

近两年的三个关键变化

①《个人信息出境认证办法》正式落地——网信办与市场监管总局 2025-10-17 公布，2026-01-01 施行。认证路径终于有了正式规则：适用于同时满足非 CIIO ＋出境个人信息 10 万–100 万人（或敏感个人信息不满 1 万人）；认证机构须向国家网信部门备案，认证证书有效期 3 年；认证前须完成告知、取得单独同意、开展个人信息保护影响评估；并明确规定不得采取数量拆分等手段规避安全评估。（法规全名是「个人信息出境认证办法」，市场上常误写为「个人信息保护认证办法」。）

② 安全评估结果有效期已由 2 年延长至 3 年——自评估结果出具之日起算；需继续出境且无实质变化的，可在有效期届满前 60 个工作日内申请延长，经批准可再延长 3 年。

③《网络数据安全管理条例》（2024-09-30 公布，2025-01-01 施行）新增了几条容易被漏掉的义务：境外处理者须向机构所在地设区的市级网信部门报送在华专门机构或代表的信息；重要数据实际出境不得超出原评估批准的目的、方式、范围、种类、规模（超出即需重新申报）；处理 1000 万人以上个人信息的处理者须设立数据安全负责人和管理机构；隐私政策须以清单等形式明确收集目的、方式、种类及接收方——多数出海企业沿用的境外隐私政策模板不满足这一条；注册用户 5000 万以上或月活 1000 万以上的大型平台还须发布年度个人信息保护社会责任报告。

一条很实用的口径：关于重要数据，《促进和规范数据跨境流动规定》明确——未被相关部门、地区告知或公开发布为重要数据的，处理者不需要作为重要数据申报评估（「不告知即不推定」）。这大幅降低了此前最大的不确定性。

另外，自贸区负面清单机制已在推广：目前已有 9 个自贸区发布数据出境负面清单，覆盖汽车、零售、民航、农业等 22 个行业领域；数据出境「预沟通 / 预评估」试点地区也在扩大。落地前先查目标自贸区有没有清单，可能直接豁免。

它和出海认证的关系：ISO 27001 / SOC 2 的安控与 Privacy 实践，同样是你做中国出境合规的证据基础，但出境申报 / 备案 / 认证本身要单独走流程。先过出发地的关，再去谈目的地。

融合方法论：一张「区域准入清单」

进入任何一个新市场，照着五步检查。2026–2028 年是密集生效期，所以「时点倒排」独立成一步：

① 底座到位

ISO 27001:2022（2013 版证书已于 2025-10-31 全部失效，供应商出示旧版应视为无效）＋ SOC 2 Type II（含 Privacy 准则）是否有效运行；涉卡支付另加 PCI DSS v4.0.1（v4.x 全部要求已于 2025-03-31 强制，v4.0 已于 2024-12-31 退役）

对应产出：体系证书 / 鉴证报告

② 映射完成

目标区域法规的关键义务是否已映射到 Privacy 准则 / Annex A 控制项，并明确标注「启发式对照，非等价」

对应产出：法规-控制项对照表

③ 合同就绪

DPA 是否覆盖：告知、DSR 时限、泄露报告（按国分别写时限）、跨境传输机制（欧盟 SCC / 巴西 ANPD SCC / 沙特 SCC 是三套不同文件）

对应产出：区域版合同模板

④ 时点倒排

已知生效日是否已进入项目计划（见文末时点表）：韩国 PIPA 加重档 2026-09-11、智利 2026-12-01、FedRAMP CR26 2027-01-01、印度 DPDP 核心义务 2027-05-14、EU AI Act 高风险 2027-12-02

对应产出：合规日历

⑤ 专项触发

HIPAA / GLBA / FedRAMP / DORA / CRA / EU AI Act / ISO 42001 是否命中

对应产出：专项评估结论

前两步是体系功夫，后三步是商务与项目管理功夫。大多数出海企业死在②③之间：体系做了，但客户法务一问「你们怎么满足 GDPR」，答不上来——因为没做过映射，只有一份英文审计报告。

顺带一提 ISO/IEC 42001:2023（AI 管理体系，2023-12-18 发布）——全球首个可认证的 AIMS 标准，结构与 27001 同源，可整合审核。适用于开发、提供或使用 AI 的组织（注意「使用者」也在范围内）。它与 EU AI Act 的治理、风险管理、透明度、记录保存义务高度呼应，是当前出海 SaaS 差异化程度最高的一张证书。

但不要说「通过 42001 即符合 AI Act」：42001 不是 AI Act 的协调标准（harmonised standard），不产生合规推定；AI Act 的协调标准正由 CEN-CENELEC JTC 21 另行制定。

常见踩坑：十二条

01 以为「GDPR 证书完全不存在」——半对。Art. 42 认证机制真实存在（Europrivacy 已获 EDPB 批准，2026 年 4 月起还可作跨境传输工具），但 Art. 42(4) 明确任何认证都不构成合规推定。判断标准是「标准有没有经监管机构 / EDPB 批准」，不是「有没有一张纸」。

02 为每个市场重建体系——重复建设。正确姿势是底座＋映射：一套体系，N 份对照表。

03 只做认证，不做法规映射——证书是给市场看的，映射是给法务看的。只做前者，商务谈判照样卡壳。

04 反过来，把映射表当成等价证明——SOC 2 Privacy 验证的是「你有没有做到你自己承诺的」，不是「你符不符合 GDPR」。对外材料务必标注 indicative mapping, not equivalence。

05 美国只盯加州——已有 20 部州级综合隐私法生效，敏感数据同意门槛、通用退出信号（GPC）、青少年数据各州不一致。

06 一套 72 小时打天下——GDPR Art. 33 的 72 小时是通知监管机构；Art. 34 通知数据主体是「无不当延迟」且仅限高风险；新加坡是「完成评估后 3 天」；马来西亚是「72 小时＋ 7 天」两段式。事件响应流程要按市场分别写。

07 忽视跨境传输机制的差异——这是所有隐私法的共同底层，但工具各不相同：欧盟 SCC、巴西 ANPD SCC（宽限期已于 2025-08-23 结束）、沙特 SCC ＋ TRA、中国的出境申报 / 备案 / 认证、越南把违规跨境传输单列为营业额 5% 的高额档。

08 以为 SOC 2 覆盖一切——行业专项（医疗 / 金融 / 政府）不在 SOC 2 范围内；带数字元素的产品还要看 CRA；给欧盟金融客户供货还要看 DORA。

09 低估日韩——韩国 ISMS-P 是法定强制，日本 P マーク是事实门槛。用「日韩不看认证」的判断做市场进入策略会直接踩空。

10 忘了出发地——中国出海企业先过数据出境安全评估 / 标准合同备案 / 个人信息出境认证，再谈目的地认证。

11 说「我们 SOC 2 certified」——SOC 2 是持牌 CPA 依 AICPA 鉴证准则出具的报告（attestation），产出是审计师意见，不是「通过 / 不通过」的证书，也不存在「SOC 2 认证机构」。正确说法是 SOC 2 Type II report / attestation。报告含控制细节与例外事项，通常受 NDA 约束；官网能挂的是 SOC 3。

12 用过时的版本号——PCI DSS v4.0 已于 2024-12-31 退役，现行唯一版本是 v4.0.1；ISO 27001:2013 证书已于 2025-10-31 全部失效；ISO 27701:2019 过渡期约至 2028 年 10 月。对外材料里的版本号是专业度的直接体现。

附：未来两年的关键时点

2026-09-11

韩国 PIPA 修正案主体施行：新增加重档罚款（最高全体营业额 10%）、CEO 问责、CPO 董事会决议

影响：所有面向韩国的业务

2026-09-11

欧盟 CRA 漏洞与严重事件报告义务启动（24h / 72h / 14d），含存量在售产品

影响：带数字元素的产品

2026-11-14

印度 DPDP 同意管理人（Consent Manager）登记规则生效

影响：面向印度的 C 端业务

2026-12-01