欧盟《数据治理法案》2025：海外安防监控设备的数据本地化新规
近期趋势
自2020年欧盟提出《数据治理法案》（Data Governance Act, DGA）以来，数据本地化要求逐步从文本走向执行。近期趋势显示，欧盟委员会在2024-2025年围绕“非个人数据”的跨境流动发布了多份指南，其中对安防监控设备——包括摄像头、门禁系统、传感器等——所采集的音视频、轨迹、行为模式等数据，提出了更明确的存储与处理边界。相关草案强调：此类数据若与公共安全、关键基础设施或执法场景相关，则必须优先在欧盟境内或符合条件的“第三国”（如欧洲经济区成员国）完成本地化处理。尽管法案尚未完全定型，但行业已出现合规预警：部分欧盟成员国正尝试将安防数据纳入“高敏感类别”，要求实时视频流不得外传至非认证区域。
行业背景
安防监控设备是欧盟智慧城市、交通枢纽、零售网点的基础设施。当前行业背景包括：
- 数据类别复杂：监控设备生成的数据包含个人数据（人脸、车牌）和非个人数据（环境温度、设备运行日志），但DGA将两者交叉场景视为“混合数据”，适用更高本地化门槛。
- 已有法规叠加：GDPR的跨境传输机制（如SCCs、BCR）主要用于个人数据，而DGA弥补了非个人数据的跨境规则，形成双重约束。例如，安防厂商需同时满足GDPR的知情同意与DGA的本地存储义务。
- 设备联网化挑战：云存储、边缘计算、AI分析等架构在欧盟部署时，若分析节点设在境外，即使原始数据暂存本地，也可能被认定为“处理行为”触发新规。
用户关注点
欧盟境内使用海外安防监控设备的用户（如企业、物业、政府机构）主要关心以下方面：
- 数据存储地点：新规可能要求视频录像、事件日志必须在欧盟境内物理存储，禁止长期回传至原产国。
- 第三方云服务依赖：许多设备依赖海外品牌自有的云平台（如中国厂商的海外云平台），若平台数据中心不在欧盟，用户需评估是否需切换至本地部署或使用欧盟云服务商。
- 合规成本与性能：本地化可能带来更高的服务器租赁费用、网络延迟风险，以及需要重新设计数据流架构。
- 系统升级与维护：设备固件远程更新、AI模型训练数据若涉及外传，可能被新规禁止或需单独申请豁免。
可能影响
基于当前草案及行业讨论，新规的潜在影响可归纳如下：
| 影响维度 | 具体表现 |
|---|---|
| 产品设计与功能 | 海外安防设备需增加“欧盟模式”，关闭或限制数据出境能力；边缘存储容量要求提高。 |
| 服务协议与责任 | 用户与服务商之间的数据保护条款需明确数据驻地、跨境传输触发条件、违约赔偿机制。 |
| 市场竞争格局 | 已在欧盟拥有数据中心的本土或国际厂商（如Axis、Bosch）可能获得短期优势；依赖境外弹性云的品牌面临合规审查风险。 |
| 中小企业负担 | 小型用户难以自建本地服务器，可能转向虚拟私有云或托管方案，成本上升10%-30%（行业估算范围）。 |
注意：上述影响是基于一般性行业经验的判断，具体程度取决于最终法案的阈值定义（如“时限性数据”例外条款）及成员国实施口径。
后续观察
未来6至12个月内，以下节点值得跟踪：
- 立法时间表：欧盟委员会预计在2025年下半年发布《数据治理法案》修订后文本，明确安防监控数据“本地化”的生效日期与过渡期。
- 认证机制落地：是否建立“欧盟安防数据处理者”白名单，以及跨境存储的等效性评估标准。
- 行业指南出台：ENISA（欧盟网络安全局）可能发布针对监控设备的数据安全部署指引，细化技术合规措施。
- 判例与执法：首批因安防数据违规出境而被处罚的案例，将形成实际威慑力并推动行业调整。
整体而言，新规旨在强化欧盟对关键非个人数据的控制权，海外安防设备供应商与用户需同步调整数据架构、合同条款及运维模式，以应对可能的多层次合规压力。