数据主权：新的地缘政治战场

对数据的控制已与国家安全、经济竞争力和民主韧性密不可分。以下将介绍这一问题的起源、当前的重要性，以及各组织可以采取的应对措施。

什么是数据主权，它从何而来？

数据主权是指数据受其被收集、存储或控制所在国家的法律和司法管辖。其核心涉及两个问题：哪个国家的法律管辖这些数据？哪些机构可以依法强制获取数据访问权？

自云计算使服务器的物理位置与数据控制权脱钩以来，这一问题便持续积累。当一个加拿大市政机构将记录存储在美国公司拥有的平台上时，根据2018年颁布的《澄清境外数据合法使用法》（CLOUD法案），美国政府有可能获取这些记录。CLOUD法案的适用范围并不局限于总部位于美国的公司，它可以延伸至任何受美国司法管辖的服务提供商，包括在美国设有运营机构、办事处或与美国客户签有合同的外国企业。实际上，大多数主要的云服务和软件供应商都在这一范围之内，这意味着存储在这些平台上的加拿大数据面临真实的风险，无论服务器位于何处。

多年来，这一问题被视为小众法律领域的担忧。改变这一局面的是地缘政治环境。美中贸易紧张局势、对美国科技合作伙伴可靠性的质疑，以及一系列高知名度数据泄露事件，促使各国政府开始像对待实体基础设施一样对待数字基础设施：要么在国内掌控，要么放弃掌控。

欧洲率先采取了最为果断的行动。欧盟自2018年开始执行的《通用数据保护条例》（GDPR）奠定了框架基础。此后，欧盟又相继出台了《数据法》、《数字运营韧性法》（DORA）及一系列附加法规。到2026年，欧盟正式通过了《欧洲数字主权宣言》，并承诺向国内云计算和半导体产能投入数百亿资金。欧洲的定位已明确具有地缘政治色彩：欧洲认为自己夹在市场驱动的美国数字生态系统与国家主导的中国数字生态系统之间，并得出结论——对任何一方的依赖都是战略隐患。

加拿大正走上相同的轨道。总理马克·卡尼于2025年11月将数据主权列为明确的政策优先事项。预计2026年将出台新的联邦私营部门隐私法规。魁北克省的《第25号法》已在省级层面实施与GDPR相当的要求，罚款最高可达2500万加元或全球营业额的4%。这一趋势在全球范围内明显加速，巴西、新加坡及其他司法管辖区也在构建类似框架。

为何现在尤为重要？

数据驻留与数据主权之间的差距是核心实际问题。一个组织可以将工具配置为在加拿大数据中心存储数据，但如果软件供应商受美国司法管辖，该组织仍可能完全暴露于外国法律程序之下。2025年6月，微软法国公司在法国参议院委员会面前承认，无法保证存储在法国的数据能够免受美国司法请求的影响。这一承认使欧洲政策制定者对这一问题有了清醒认识，并随即在加拿大引发了相同的讨论。

对于公用事业、市政机构和电信运营商等关键基础设施的运营者而言，风险尤为突出。现场资产数据、电网拓扑结构、工单历史记录和库存记录，在新兴监管框架下越来越多地被列为敏感国家基础设施。外国政府通过云服务提供商的法律义务获取这些数据，并非理论上的风险，而是根植于大多数组织当前供应商关系中的结构性风险。

除国家安全外，采购层面也面临即时影响。加拿大联邦和省级招标文件越来越多地要求提供书面的数据主权说明。无法书面回答主权相关问题的组织，在政府采购阶段正遭到淘汰。合规负担是真实存在的，并正从政府向其技术供应商传导。

数据主权意味着数据受控制它的司法管辖区的法律约束，而不仅仅取决于其物理存储位置。
CLOUD法案可覆盖任何受美国司法管辖的服务提供商，包括在美国有运营或合同的外国企业。大多数主要云服务商均在此范围之内。
在地缘政治压力和关键基础设施风险的驱动下，欧洲和加拿大都在2026年加速推进数据主权框架。
魁北克《第25号法》已在省级层面执行主权级别的要求，联邦立法预计随后跟进。
数据驻留与数据主权的区分是最重要的核心概念：数据存储在哪里，以及由谁的法律管辖，是两个截然不同的问题。
有效控制涵盖七个层次：司法管辖架构、审计追踪、供应商合同、隐私影响评估、加密与密钥管理、运营访问限制，以及董事会层面的治理。
数据主权漏洞最常通过备份和支持访问等旁路发生，而非主存储配置。
将主权视为竞争优势而非合规负担的组织，正在政府采购中获得真正的竞争优势，尤其体现在公共部门销售方面。

数据主权：新的地缘政治战场