Vol.149 | 阿联酋KYC平台细则华州首份隐私报告越南数据平台新规泰国PDPA修法听证泰国DSAR程序细则 - 那一片数据星辰

欢迎收听《AI星辰电台》。今天我们来拆解2026年8月中旬五条全球数据治理的重要动向——阿联酋内阁发布2026年第55号决议，为全国统一的"了解你的客户"（KYC）数字平台颁布实施细则；华盛顿州总检察长发布该州首份《数据隐私报告2026》，提出八项立法建议；越南政府出台数据平台交易新规，规定组织与个人参与数据平台交易的条件；泰国国会就《个人数据保护法修正案（草案）》完成公众听证，核心是把"同意中心"改为GDPR式多合法基础；泰国PDPC发布数据主体访问权与副本权实施细则公告，把DSAR程序细化到天数和收费表。

这一期的共同主线是：国家数据平台从"建"走向"管"——阿联酋的KYC平台和越南的数据平台都在补齐运营规则；合法性基础正在重构——泰国从同意中心转向多基础，阿联酋在同意之外增设司法例外；数据边境线在加高——阿联酋禁止KYC数据出境，越南要求外国企业本地存在，华州要把数据经纪人拉进注册制。

一、阿联酋内阁第55号决议：KYC数字平台实施细则

制度背景

阿联酋2024年第30号联邦法令设立"了解你的客户"（KYC）数字平台——全国统一的客户身份数据库：数据提供方汇入数据，金融机构等"用户"凭授权调取KYC报告，以一次采集替代重复尽调。2026年内阁第55号决议颁布实施细则，依据还包括2025年第6号法令（中央银行）与第10号法令（反洗钱/反恐融资），经财政部长提议、内阁批准。官方公报发布次日生效。

核心进展

项目内容文件Cabinet Resolution No. (55) of 2026（内阁第55号决议）适用范围凡收集、留存、分析、分类、使用、交换、保护或管理KYC数据，或出具KYC报告的主体KYC数据范围自然人：阿英双文全名、Emirates ID、旅行证件、居留/入境签证、境内外住址、职业与雇主、联系方式、主要收入来源、PEP认定理由；法人：商业登记、营业执照、章程、高管、受益所有人、资本与资金来源、税务登记号；另含央行与反洗钱法规要求的数据报告出具须经客户同意（提交目的+同意证明），按央行董事会决议的对价付费；支持平台电子链接获取司法例外对欠款人，用户可凭紧急事项法官令免同意调取报告；公司须核验令状效力与用户身份并留存电子副本客户权利查阅本人报告（付费）；数据不准确/不完整/过时可申请更正，批准后免费重发更新报告数据提供方三类：政府实体、政府关联实体（含政府持股企业）、私营部门（自由区机构、持牌金融机构、保险公司等）数据提供机制安全电子接口；可审计交易日志保存**≥5年**；提供方身份与资质核验用户硬义务仅限申请用途使用；不得将KYC报告或数据转移至境外或与境外实体共享；留存副本≥5年；目的达成后安全销毁；告知客户获取目的；违规立即通知平台、主管机关与客户系统安全全程加密、访问权限控制、访问日志与异常告警、隐私治理政策、定期安全审计、业务连续性与事件处理

企业合规观察

KYC模式换轨：阿联酋金融尽调从"每家机构各自采集"转向"平台共享、一次采集"。在阿金融机构应尽早评估与平台的电子接口对接，重点关注同意验证与付费环节的系统改造。
源头责任回流：数据提供方对数据有效性、来源、准确性与时效负源头责任，更正请求会回流到提供方处理——作为提供方的机构需建立数据更正响应机制。
出境禁令是硬约束：KYC报告及数据不得向境外转移或与境外实体共享，跨境金融集团的内部流转须本地化设计，违反通知义务（立即上报）意味着事件响应预案要前置。

二、华盛顿州总检察长《数据隐私报告2026》：首份综合性立法路线图

制度背景

华盛顿州总检察长Nick Brown发布该州首份《数据隐私报告》，整合2025年数据泄露统计、全州数据隐私调查与执法观察，系统评估现行专项立法的覆盖缺口，并给出政策、执法与教育三路八项建议。华州现有立法按领域切割：消费者健康数据、学生数据、数据泄露、生物识别、车牌自动识别系统等。

核心进展

项目内容文件Washington State Attorney General's Data Privacy Report 2026（首份）四大问题过度收集与二次利用；弱同意要求+欺骗性设计；敏感数据收集与销售；数据经纪人低可见度2025年泄露数据209起数据泄露，影响**800万+**居民（超华州人口一半）；80%以上泄露社保号全州调查26个县700+回应：**83%**几乎无法控制数据流向；**95%**不接受无知情同意的数据共享；62%退出定向广告困难；65%删除数据困难八项建议①有意义的知情同意；②数据最小化+限制二次利用；③生物识别与精确定位强化保护；④数据经纪人注册+删除权/退出权；⑤清晰可执行的执法机制；⑥州政府机构隐私能力建设；⑦免费公众教育资源；⑧小企业数据安全合规合作核心结论华州缺乏跨行业、跨机构的综合性隐私框架——同类信息在不同场景受保护程度不一

企业合规观察

综合性立法政策预告：这份报告是华州2026-2027立法季的路线图。建议里"同意+最小化"双支柱框架若进入法条，将重写消费者产品的数据收集设计，产品与法务团队应提前对照八项建议做差距分析。
数据经纪人行业将被正册化：注册义务+删除权/退出权一旦立法，数据流通的牌照格局直接改变——数据经纪与广告科技公司应把华州注册制纳入合规储备。
执法资源在加码：建议明确指向"清晰、实用、可问责的执法机制"，结合800万居民泄露数据的社会面压力，华州后续执法强度预期上升。

三、越南数据平台交易新规：数据要素市场的第一块规则拼图

制度背景

越南《数据法》（Luật Dữ liệu）将数据平台（sàn dữ liệu）定义为提供数据资源、数据产品与服务交易的环境。政府最新议定规定组织、个人参与数据平台交易的条件，落实主体、标的、技术与账户四层规则，2026年9月25日生效。

核心进展

项目内容文件政府议定（2026-08-13 公布，2026-09-25 生效；正文未载议定编号）参与者条件越南法人：合法设立运营、不在分立/合并/解散/破产程序中；外国法人：须在越有商业存在（分支/代表处）；个人：完全民事行为能力标的要求来源合法且可凭文件证明；平台运营商核验；禁止交易国家秘密、个人数据、限制访问数据；最低技术线：机器可读格式、API附接口文档与权限说明、全链路安全、卖方披露质量/准确性/更新程度与限制账户体系与电子身份系统深度集成：越南公民与机构用VNeID二级账户注册；外国主体无电子身份的用ĐK01表格申请，法律文件须领事认证/合法化支付要求须在平台公布名单的支付机构开立支付账户；所有交易经注册账户与支付账户完成国家数据闸门源自国家/专业数据库的数据上平台交易须经主管机关批准（开放数据除外），不得泄露国家秘密与个人数据

企业合规观察

本地商业存在是入场券：无分支机构或代表处的纯线上数据服务进不了平台——出海越南的数据产品公司应优先评估设立本地实体的必要性。
数据来源合规留痕：平台核验是强制环节，收集、创建或受让使用权的证明文件从现在起就要系统化留存。
VNeID集成进路线图：账户注册、支付、交易全程绑定身份体系，越南数据经济正在长在VNeID之上，产品规划应把身份对接作为前置条件而非后期适配。

四、泰国PDPA修正案草案：从"同意中心"到GDPR式多合法基础

制度背景

泰国国会มาตรา 77公众参与平台就众议员Preeti Charoensilp及同僚提出的《个人数据保护法修正案（草案）》公开征求意见，2026年7月16日至8月15日（已截止）。草案针对PDPA 2019实施中的三个结构性问题提出修改。

核心进展

项目内容文件ร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ ..) พ.ศ. ....（草案编号空缺为原文如此）提案人众议员 Preeti Charoensilp（นายปรีติ เจริญศิลป์）及同僚修改一扩大国家机关豁免（改第4(2)条）：纳入反贪腐、反洗钱、法医学、网络安全等职能修改二新增"国家机关"定义（第6条）：中央/地区/地方行政、国企、公营组织、国会、法院、宪法独立机构、检察机关、公立高校、国家独立机构修改三重写第24条合法性基础：7项GDPR式基础——公共利益/行使公权、历史档案与科研统计、生命健康、合同必要、正当利益（附平衡测试）、法定义务、同意立法理由现行豁免不覆盖反贪腐职能；"国家机关"无定义导致解释不确定；"同意导向"不符合GDPR多基础模式，制约政务数据互联听证数据84人参与：77.38%赞成 / 22.62%反对相关方PDPC办公室、国家反贪腐委员会（NACC）、各部委、法院与独立机构行政单位等

企业合规观察

合法性基础评估成为日常义务：同意从唯一出口变成七项之一，正当利益与合同必要给出更多合规出口，但每个处理场景都要做基础匹配与平衡测试——合规工作量整体上升，不是下降。
正当利益的平衡测试要制度化：泰国版正当利益条款自带"不得凌驾于数据主体基本权利"的平衡测试，企业需要留痕的利益评估文档模板。
政务数据通道打开：反贪腐、反洗钱职能豁免扩围后，向主管机关提供数据的场景边界更清晰，金融机构与监管的数据交互将获得更明确的法律通道。草案仍处国会早期，进程值得跟踪。

五、泰国PDPC数据访问权公告：DSAR从原则到操作手册

制度背景

泰国个人数据保护委员会（PDPC）依据PDPA 2019第16(4)条与第30条第5款，制定数据主体访问权与副本权实施细则公告，经皇家公报2026年7月16日刊载（第143卷第175期特刊），公告签署于7月6日，刊载60日后生效（约2026年9月14日）。

核心进展

项目内容文件ประกาศ PDPC เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคล ฯลฯ พ.ศ. ๒๕๖๙控制者备查义务备有直接收集与间接收集（含未获同意来源）数据的信息供查询，并覆盖第23条告知与第39条记录内容申请渠道本人直接到场所或邮寄（法定）；可增设电子渠道；可委托受托人申请要件书面/电子形式+姓名+索取方式；身份证/护照核验；受托人须授权书（贴足印花税）受理时限审查**≤15天**；材料不全补正期**≥10天**（逾期视为放弃，可重新申请）处理时限≤30天；量大或必要原因可再延长30天（须说明理由）拒绝与部分提供可依法律/法院命令拒绝；涉他人个人数据、国家秘密、商业秘密、版权时不得一刀切拒绝——应删除/截断涉他人信息后提供可提供部分；明显无实质或过度负担可拒费用电子渠道通常免费；纸质复印不超实际成本，附表设上限（A4每页≤1泰铢等）；低收入者可减免记录保存请求与处理/拒绝记录至少2年

企业合规观察

DSAR流程全面翻新：15/30/30时限管理、身份核验材料清单、按附表的收费政策、两年记录保存——泰国控制者应在9月生效前完成权利请求流程改造。
"部分提供"是法定义务：请求涉及他人数据时，删除/截断后提供剩余部分是强制动作，拒绝理由必须书面记录——这不是可选做法，是法定义务。
与修法草案呼应：上游改合法性基础、下游细化权利行使，泰国数据保护体系在同步现代化。在泰企业应把DSAR流程改造与合法性基础评估放在同一个合规项目里推进。

主编深度洞察

今天这五条新闻放在一起看，最值得注意的不是任何单一规则，而是三个结构性的变化。

第一个变化：国家数据平台进入"运营规则时代"。阿联酋的KYC平台和越南的数据平台，都在从建设阶段走向规则阶段——主体条件、数据条件、账户体系、收费机制一次配齐。平台化的本质是国家把分散在各部门、各机构的数据基础设施收拢成统一入口：阿联酋把尽调数据收进KYC平台，越南把数据交易收进数据平台。对出海企业来说，这意味着平台不再是"以后的事"，而是眼前的接口、账户和本地存在义务——阿联酋要求对接电子接口，越南要求商业存在和VNeID账户，规则落地的速度比预期快。

第二个变化：合法性基础正在整体换挡。泰国把同意从唯一王座改成七项基础之一，阿联酋在同意旁边开了司法例外的门（紧急事项法官令），华州在建议书里要求"有意义的同意"并批评欺骗性设计。同一个趋势的三个切面：同意正在从唯一出口变成组合开关。对企业来说，这既是松绑也是加压——正当利益、合同必要给了更多出口，但每个处理场景都要做基础匹配和平衡测试，决策树比"拿同意"复杂得多。合规团队的核心能力，正在从"获取同意"转向"匹配基础"。

第三个变化：数据边境线在加高。阿联酋禁止KYC数据出境，越南要求外国法人本地商业存在，华州要让数据经纪人注册在册。数据本地化不再是某几个国家的专利，而是一张正在铺开的合规地图。跨国业务的架构设计里，"数据落在哪、谁能拿"正在从合规审查的末尾题变成第一题——阿联酋的出境禁令、越南的本地存在门槛、华州的经纪人注册，是同一堵墙的三个立面。

给企业一句话：2026年8月中旬的这五条新闻，主题都是"规则落地"——平台有了运营细则，报告有了立法清单，市场有了交易条件，法律有了操作手册。规则不再是方向，而是工期。

资源领取

欢迎关注我们的公众号"那一片数据星辰"。

#阿联酋 #KYC数字平台 #数据出境禁令 #华盛顿州 #数据隐私报告 #数据经纪人注册 #越南 #数据平台 #VNeID #数据要素市场 #泰国 #PDPA修正案 #合法基础 #DSAR #数据访问权 #AI星辰电台

一、阿联酋内阁第55号决议：KYC数字平台实施细则

制度背景

核心进展

企业合规观察

二、华盛顿州总检察长《数据隐私报告2026》：首份综合性立法路线图

制度背景

核心进展

企业合规观察

三、越南数据平台交易新规：数据要素市场的第一块规则拼图

制度背景

核心进展

企业合规观察

四、泰国PDPA修正案草案：从"同意中心"到GDPR式多合法基础

制度背景

核心进展

企业合规观察

五、泰国PDPC数据访问权公告：DSAR从原则到操作手册

制度背景

核心进展

企业合规观察

主编深度洞察

延伸阅读

资源领取