文档传输中的法律合规要点

中国《个人信息保护法》（PIPL）第51条要求处理者采取与数据处理活动相匹配的"必要技术措施和其他必要措施"——这与欧盟《通用数据保护条例》（GDPR）第32条"适当技术措施"要求、美国 HIPAA 45 CFR 164.312 加密标准和 PCI DSS 4.0 传输加密要求在技术层面高度趋同。多数文件传输同时触及两至三个合规框架，满足最严格适用框架的控制措施通常也能满足其余框架的要求。

将数据映射至适用法规

在确定传输控制措施之前，先对数据分类。一份文件可触发多个框架：中国用户的医疗账单可同时触发 PIPL 第28条（敏感个人信息）和《数据安全法》（DSL）的数据分类要求；含欧盟数据主体个人信息的合同触发 GDPR；在中国境内存储并向境外传输的数据触发国家网信办（CAC）数据出境安全评估；处理银行卡数据触发 PCI DSS 4.0；美国上市公司财务记录触发 SOX 第404条。分类决定下游的所有内容——加密要求、审计内容、保留期限和通知义务。

各框架期望的加密标准

法规通常不规定具体算法，但支持性指引均指向 NIST 标准。实践对照：PIPL 和 DSL 通过参照国家标准（GB/T 35273等）事实上要求 AES-256 级别的加密；GDPR 第32条要求"适当的技术措施"，ENISA 指引引用 AES-256 系列；HIPAA 参照 NIST SP 800-111 处理静态数据、NIST SP 800-52 Rev. 2 处理传输中数据；PCI DSS 4.0 第4.2条要求传输中强加密，第3.5条要求持卡人数据存储加密；CMMC 第2级要求符合 FIPS 140-2 或140-3 验证模块的密码保护。在传输和静态状态下均设置 AES-256-GCM、传输层使用 TLS 1.3，通常满足所有主要框架。特定监管机关要求的细节是验证——联邦系统须经 FIPS 140-3 验证模块，其他系统须有文件化的密钥管理。

数据处理协议与业务伙伴协议

多数框架要求数据所有方与任何处理数据的第三方之间存在合同承诺：HIPAA 业务伙伴协议（BAA）依据45 CFR 164.504(e)；GDPR 第28条数据处理协议（适用于每一个处理者）；PIPL 第21条的委托处理合同；GLBA 保障规则下的服务商协议；联邦数据的 FISMA 分包商流转条款。传输供应商在处理受监管数据前必须签署适当协议。消费级服务的免费层级（个人版 Dropbox、Google Drive、WeTransfer）通常不会签署 BAA 或类似协议。企业层级会签署，但须仔细阅读协议——部分限制责任、排除特定泄露场景或要求客户证明其"受保护实体"身份。

跨境传输与PIPL第38条

《个人信息保护法》第38条规定，向中国境外提供个人信息须满足下列条件之一：通过国家网信办（CAC）的安全评估；经专业机构认证；与境外接收方签订标准合同（中国版标准合同条款）；或法律行政法规规定的其他条件。国家网信办发布的数据出境指引对超过特定数量阈值的数据出境要求进行安全评估申报。GDPR 第五章针对欧盟境外传输的机制（充分性认定、标准合同条款、有约束力的公司规则）在 Schrems II 案后须辅以补充措施。客户端加密使服务商无法解密，是最直接的补充措施。

保留义务与最长期限

法规对最短和最长保留期均有规定：HIPAA 要求自创建或最后使用之日起保留6年（45 CFR 164.316）；SEC 规则17a-4要求经纪商记录以WORM（只写多读）格式保留3至6年；SOX 要求审计工作底稿及相关财务记录保留7年；GDPR 存储限制原则（第5(1)(e)条）要求不超过必要期限；PIPL 要求按实现处理目的所必需的最短期限。数据留存与数据删除请求之间须取得平衡：传输系统的保留策略应相互配合——自动过期工作副本，但按适用期限保留权威副本和审计日志。

审计要求的实际应用

审计日志在三种情形下会被审查：监管调查、安全事件和诉讼。为这三种情形设计日志：用户身份（经认证的唯一标识符，非共享账户）；时间戳（UTC 加本地时区）；操作（上传、下载、查看、撤销、过期）；对象引用（文件哈希值、传输 ID）；源 IP 和用户代理；成功或失败（含失败原因）；适用的法律依据或目的代码。HexaTransfer 记录每次传输的这些核心要素，以便合规请求到来时记录完备。访问 https://hexatransfer.com，免费使用，无需注册，最大支持10 GB。对于企业合规项目，在此基础上叠加自有审计导出流程。

泄露通知时限与应对准备

不同框架设置不同的通知时限：GDPR 第33条要求自知晓起72小时内通知监管机构；HIPAA 泄露通知规则要求60天内通知受影响个人，较大规模泄露须及时报告 HHS；PIPL 第57条要求发生个人信息泄露事件后立即采取补救措施并通知国家网信办（CAC）；23 NYCRR 500.17要求网络安全事件发生后72小时内通知纽约金融服务局；SEC（2023年）要求重大事件在发现后4个工作日内通过8-K表格披露。提前准备以抢在时限之前响应：事件响应预案、预先起草的通知模板、留存的取证公司、泄露专项外部律师（不同于运营律师）。传输系统的审计日志为泄露评估提供数据来源——"哪些数据可能已暴露"通过哈希索引传输记录来回答。

各行业的专项规定

部分法规针对特定行业，无论数据类型均适用：金融服务行业须遵守 SOX、GLBA、Dodd-Frank，中国须遵守银保监会和《证券法》数据管理要求；医疗健康行业须遵守 HIPAA、HITECH和国家卫生健康委员会相关数据规定；教育行业须遵守 FERPA 和各省教育隐私法规；联邦承包商须遵守 FISMA、FedRAMP、CMMC；关键基础设施须遵守 NERC CIP（电力）、TSA 指令（管道），中国须遵守《关键信息基础设施安全保护条例》。将文件传输映射至适用的行业规定，并将这些要求纳入传输政策。"我们使用标准 TLS"无法回答 NERC 审计人员关于密码模块验证的问题。

文档传输的法律合规归根结底是将控制措施与义务相匹配、将两者记录在案，并在出现问题时及时响应。一次性搭建好合规体系，持续有意识地维护，下一次监管机构问询就将成为例行事务而非危机。