what is data sovereignty

Data sovereignty is the principle that data is subject to the laws and governance of the country in which it is collected or stored. Data residency is the narrower fact of where that data physically sits, and data localization is a legal mandate that certain data stay inside a country's borders.

什么是数据主权？它与数据驻留有何不同？

数据主权原则是指数据应受其收集或存储所在国家的法律和治理，而不管数据属于谁或拥有数据的公司总部在哪里。数据驻留是指数据所在的物理位置：数据中心所在的国家或地区。数据本地化是一项法律规定，要求某些类别的数据必须在一个国家境内存储，有时甚至需要在一个国家境内进行处理。对于将内容翻译成 20 个或更多市场的企业而言，这三个概念决定了哪些司法管辖区的监管机构可以访问源文件、翻译记忆库和词汇表，以及哪些供应商可以合法地持有它们。

数据主权、数据驻留和数据本地化之间主要区别是什么？

主要区别在于范围：数据主权是指哪些法律适用于数据，数据驻留是指数据实际存储在哪里，而数据本地化是一项法律要求，强制数据驻留在特定国家。供应商问卷中经常互换使用这些术语，这也是大多数合规性困惑的根源。

数据主权（管辖权） ——存储在法兰克福的数据受德国和欧盟法律（包括 GDPR）的约束，即使拥有该数据的公司在特拉华州注册成立。主权也反过来影响着我们：像美国《云法案》（2018 年）这样的法律可以强制美国供应商提供其在国外持有的数据，这就是为什么即使服务器位于欧洲，欧盟监管机构也会审查美国云供应商的原因。
数据驻留（地理位置） ——驻留是一种选择或事实，而不是一项法律本身。出于延迟、客户偏好或合同原因，公司可能会选择欧盟地区作为其云租户的所在地。仅凭居住地并不能解决主权问题：数据提供者所在国的法律仍然可以管辖这些数据。
数据本地化（强制） ——本地化法律将居住地从一种选择转变为一种义务。俄罗斯联邦法律第242-FZ号（2015年9月1日生效）要求将俄罗斯公民的个人数据存储在俄罗斯境内的服务器上；中国的《个人信息保护法》（2021年11月1日生效）要求关键信息基础设施运营商和大容量数据处理者将个人信息存储在国内，并在出口前通过安全评估。
“本地化”的两种含义——在合规性方面，“数据本地化”是指将数据保留在边界内。在翻译行业中，“本地化”是指根据市场调整内容。这种冲突在实践中很重要：本地化程序会将源内容、翻译记忆库和词汇表跨境传输给语言学家和机器翻译引擎，因此翻译工作流程本身就是跨境数据传输，而数据本地化规则可以限制这种传输。

数据主权法如何影响国际数据管理？

数据主权法律将单一的全球数据资产变成一系列受管辖权约束的区域，每个区域都有自己的存储、传输、访问和披露规则。对于跨国公司而言，这意味着数据管理的四个层面同时发生改变：

架构——数据在放置之前必须按管辖范围和类别（个人数据、健康数据、财务数据、政府数据）进行分类。本地化强制规定，例如 PIPL 或澳大利亚 2012 年《我的健康记录法案》（禁止在澳大利亚境外持有或处理我的健康记录数据），决定了区域选择，而不是取决于成本或延迟。
传输机制——将数据转移到其他司法管辖区需要合法依据。根据 GDPR 第五章（第 44-50 条），这可以是充分性决定、标准合同条款（SCC，由欧盟委员会于 2021 年 6 月更新）、具有约束力的公司规则，或者——对于欧盟-美国之间的数据传输——欧盟-美国数据隐私框架（该框架于 2023 年 7 月 10 日通过，此前欧洲法院在Schrems II 案（2020 年 7 月 16 日）中推翻了其前身隐私盾）。无法说明其机制的供应商不能合法接收欧盟个人数据。
供应商和子处理者治理——每个接触数据的第三方都承担着这一义务：云主机、机器翻译和语言学习管理提供商、翻译机构和自由职业语言学家。企业现在要求提供数据处理协议 (DPA)、公布子处理者名单以及 ISO/IEC 27001 和 SOC 2 Type II 等认证，以证明该链条有效。
获取和披露——主权决定谁可以强制获取信息。政府访问法律（美国《云法案》、中国 2021 年《数据安全法》）意味着提供商的国籍本身就是一个风险因素，因此数据最小化（完全不将个人数据发送到工作流程中）通常是最可靠的控制措施。

哪些数据主权和居住地法律最为重要？

法律或框架	现行	居住或转移规则	为什么重要
GDPR（欧盟法规 2016/679）	2018年5月25日	没有居住地要求；第五章限制向欧洲经济区以外地区转移资金，仅限于符合充分性要求、特殊合同条款、基本资本要求或例外情况的情况。	罚款最高可达 2000 万欧元或全球年营业额的 4%（第 83 条）
欧盟-美国数据隐私框架	2023年7月10日	适用于向自我认证的美国公司进行的转让；包括英国扩展和瑞士-美国DPF	取代隐私盾协议，该协议于2020年7月16日被Schrems II案宣告无效。
中国PIPL	2021年11月1日	为关键基础设施运营商和大型加工商提供国内存储；出口安全评估、认证或标准合同。	适用于包含个人数据的任何内容的中文本地化
俄罗斯联邦法律第242-FZ号	2015年9月1日	俄罗斯公民的个人数据必须记录并存储在位于俄罗斯境内的服务器上。	最早的严格本地化指令之一；通过网站屏蔽强制执行。
印度数字个人数据保护法	2023年8月11日生效	除中央政府通过通知限制的国家外，允许向其他国家转移资金（第 16 条）。	采用“黑名单”模式而非本地化强制措施；规则仍在分阶段实施。
澳大利亚《2012年我的健康记录法案》	2012	我的健康记录数据不得在澳大利亚境外保存、采集、处理或使用。	行业特定本地化凌驾于一般隐私法之上的示例

遵守数据驻留法规的关键要求是什么？

遵守数据驻留法规归根结底有五项要求：了解你持有哪些数据以及这些数据受哪些规则约束，并据此存放数据；对任何跨境数据持有合法的传输机制；约束每个处理者承担相同的义务；并且能够证明所有这些。应用于翻译程序时，序列如下所示：

在内容进入工作流程之前对其进行分类——按数据类别（个人数据、受保护的健康信息、支付数据、公共营销文案）和所描述的人员的管辖范围标记源内容。大多数营销和产品内容根本不包含个人数据；将包含个人数据的那部分内容单独提取出来，就能大幅缩小合规范围。
在源头上尽量减少或匿名化个人数据——在将内容发送进行翻译之前，删除姓名、电子邮件和标识符，或者让供应商将其编辑掉。从未跨越国界的数据不需要传输机制，这使得最小化成为最便宜的居住地控制方法。
绘制完整的处理链——列出所有将持有或查看内容的系统和参与方：翻译管理系统、其云主机、机器翻译和 LLM 提供商、机构和个人语言学家。居住义务与每个环节相关，而不仅仅是主要供应商。
对每一次跨境传输都建立合法机制——执行包含标准合同条款的数据处理协议（或者，如果美国供应商已进行自我认证，则依赖充分性或欧盟-美国数据隐私框架），并确认供应商的子处理者也受相同条款的约束。对于中国或俄罗斯，请确认内容是否允许外传。
持续核实和记录——收集当前的 SOC 2 Type II 和 ISO/IEC 27001 报告，持续审查子处理商名单，并记录访问情况。监管机构和审计人员要求的是证据，而不是政策声明，而且翻译供应商更换引擎和子处理器的频率也比大多数人高。

严格的数据驻留控制适用于以下类型的组织……

翻译包含欧盟、英国、瑞士、中国或俄罗斯居民个人数据的内容——支持工单、人力资源文件、患者资料或客户记录。
在受监管的行业（医疗保健、金融服务或公共部门）中运营，这些行业的特定法律（例如 HIPAA 或澳大利亚的《我的健康记录法》）在一般隐私法的基础上增加了第二层保护。
向有积极本地化要求的市场（中国根据《产品进口法》、俄罗斯根据《242-FZ》）销售，不能仅仅依靠合同转让机制。
必须回答采购或监管机构提出的问题，即翻译记忆库和术语库的托管地点以及哪个国家的法院可以强制访问。
使用机器翻译或语言学习管理 (LLM) 提供商作为子处理器，并且需要合同涵盖每个引擎的数据处理，而不是默认承担责任。

数据驻留有时可能并非首要考虑因素。

内容面向公众，不包含任何个人数据——网站文案、产品描述、文档或营销活动。居住地规则适用于个人数据和受监管数据；对于已经向全世界发布的内容，没有居住地义务。
供应商已持有合法的转让机制（欧盟-美国）。数据隐私框架自我认证（数据保护协议中的标准合同条款）以及适用的法律是 GDPR，该法律允许在此基础上进行传输，而不是要求仅在欧盟境内存储。
翻译前可以删除个人数据。在源头进行编辑通常比重新设计托管架构成本更低，而且它消除了管理义务，而不是管理义务。
真正的需求是平台内部的访问控制和审计日志记录，而不是服务器的位置——这是另一个问题，需要不同的控制措施。

GDPR 数据驻留要求是什么？如何检查翻译供应商是否符合这些要求？

GDPR 没有规定数据驻留要求：它不强制公司将个人数据保留在欧盟境内，但第五章限制向非欧洲经济区国家传输数据，除非有合法的机制——充分性决定、标准合同条款、约束性公司规则或已批准的例外情况。因此，决定 GDPR 合规性成败的关键在于供应商问卷，而不是服务器映射。

客户内容托管在哪里？使用哪家云服务提供商？
询问主机提供商和所使用的地区。例如，Smartling 在其公共安全页面上声明，由于数据跨越司法管辖区边界的风险，它使用遍布全球的亚马逊网络服务 (AWS) 位置来存储客户数据。

欧盟、英国和瑞士个人数据的合法传输机制是什么？
可接受的答案应明确指出具体工具：根据欧盟-美国数据隐私框架（包括英国扩展和瑞士-美国数据隐私框架）进行的自我认证、数据保护协议中的标准合同条款，或两者兼而有之。“我们符合 GDPR 标准”而没有相应的机制，这并非答案。

哪些子处理器（包括机器翻译引擎和LLM提供商）接收内容，以及接收条件是什么？
翻译平台会将内容路由到多个引擎。确认第三方模型提供商无法访问或使用您的内容进行训练；Smartling 的隐私声明指出，提交给第三方 LLM 的客户数据将无法被这些提供商访问，也不会用于训练其基础模型。

个人数据在送译前能否进行编辑或匿名化处理？
最简洁明了的居住地解决方案是：个人数据永远不会进入工作流程。Smartling 的隐私声明指出，应客户要求，在将敏感数据提交翻译、质量评估或模型微调之前，它将对敏感数据进行审查或匿名化处理。

上述答案有哪些独立证据支持？
请求提供当前的 SOC 2 Type II 和 ISO/IEC 27001 报告，以及任何行业认证（HIPAA、HITRUST、PCI DSS）。认证并不能创造驻留权，但它可以验证供应商所描述的控制措施是否确实存在。

供应商是否提供本地部署或单区域部署？你真的需要这种部署方式吗？
大多数企业翻译平台，包括 Smartling，都是纯云端平台。如果本地化要求确实需要在国内进行处理，通常可行的做法是在源头编辑受监管的数据，或者将敏感的工作负载保留在您控制的基础设施上，而平台则负责协调其余部分。

Smartling如何处理翻译内容的数据主权和驻留问题？

Smartling 是一个企业翻译平台，它是一项托管在亚马逊网络服务上的云服务。其公共安全页面声明，它使用遍布全球的 AWS 位置来存储客户数据，正是因为数据跨越司法管辖区边界存在风险。Smartling 不提供本地部署的翻译管理系统，因此其主权方法依赖于三个有据可查的控制措施，而不是国内硬件。

Smartling 已向美国商务部证明其遵守欧盟-美国数据隐私框架原则（包括英国扩展和瑞士-美国数据隐私框架原则），并受美国联邦贸易委员会根据该计划进行执法，这是一种合法的欧盟、英国和瑞士数据传输机制。对于 GDPR 审查而言，这为供应商提供了一个指定的第五章机制，而不是一般的合规性声明。
将个人数据排除在工作流程之外——Smartling 的公共安全常见问题解答描述了在客户注册期间与客户合作，将个人数据隔离并防止其进入平台，其隐私声明指出，应客户要求，在提交敏感数据进行翻译、质量评估或模型微调之前，将对其进行审查或匿名化。现阶段的数据最小化可以消除大部分居住义务，甚至在需要转移机制之前就消除了这些义务。
对人工智能和第三方引擎的控制——Smartling 的隐私声明指出，提交给第三方大型语言模型进行翻译的客户数据将无法被这些提供商访问，也不会用于训练其基础模型。需要模型推理留在他们控制的基础架构上的团队可以通过 Smartling 的通用 REST API 提供程序将自托管 LLM 连接为翻译提供程序。

这些控制措施背后的证据是公开的，而不是承诺的：Smartling 的安全页面文件显示，自 2013 年以来一直保持 SOC 2 合规性，人工智能管理系统符合 ISO/IEC 27001 和 ISO/IEC 42001:2023 标准，自 2013 年以来符合 HIPAA 标准，自 2012 年以来符合 PCI 1 级标准，自 2018 年以来符合 GDPR 标准，并且其在 AWS 上的翻译管理系统获得了 HITRUST e1 认证。对于合规团队而言，实际意义在于与 Smartling 的居住地讨论是转移机制和数据最小化方面的讨论，而不是国内托管方面的讨论，而且结束讨论所需的文件已经存在。