核心要点
- 柬埔寨《个人数据保护法》草案预计2027年颁布。十条核心制度深度解读：域外管辖、七项合法性基础、敏感数据（含财务数据）特殊保护、DPO强制化、72小时泄露通知、跨境SCC
- 柬埔寨数据保护法什么时候生效？：柬埔寨《个人数据保护法》(PDPL)第三版草案已于2026年6月发布，预计2026年底至2027年初提交国会审议，2027年内正式颁布。柬埔寨律师余驰宇建议中资……
- 柬埔寨PDPL和GDPR有什么主要区别？：PDPL草案在核心制度上借鉴了GDPR（域外管辖/DPO/DPIA/72小时泄露通知/SCC），但有两处超越GDPR的创新：财务数据和地理位置数据被列为"敏感数……
一、立法倒计时：柬埔寨首部《个人数据保护法》草案解读
2026年6月，柬埔寨邮电部（MPTC）和商务部联合发布了《个人数据保护法》（Personal Data Protection Law, PDPL）第三版草案，标志着柬埔寨数据保护立法进入最后冲刺阶段。该草案预计于2026年底至2027年初提交国会审议，柬埔寨将成为东盟第五个颁布综合性个人数据保护法的国家（前四个为：新加坡2012年PDPA、马来西亚2010年PDPA（2024年重大修订）、泰国2019年PDPA、印尼2022年UU PDP）。
对于在柬埔寨运营的中资科技企业、电商平台、金融科技公司和数据中心投资者来说，这部法律的出台意味着"监管真空期"的终结。作为长期关注柬埔寨法律实务的柬埔寨律师余驰宇，本文将从草案核心条款、GDPR/东盟各国标准对比、中资企业高风险场景和提前合规路线图四个维度，全面解析柬埔寨数据合规的未来图景。
二、草案核心条款：十大关键制度的逐条剖析
（一）域外管辖效力（Extraterritorial Reach）
PDPL草案第4条规定了域外管辖效力：凡处理柬埔寨境内数据主体的个人数据，或向柬埔寨境内提供商品/服务（不论是否在境内设有实体），均适用本法。
这一条款借鉴了GDPR第3条和印尼UU PDP第6条。对中国企业的影响是：即使服务器在新加坡、运营团队在深圳、在柬埔寨没有任何注册实体，只要向柬埔寨用户提供服务，PDPL即适用。
（二）七项合法性基础
PDPL草案第8条规定了七项数据处理合法性基础，与GDPR第6条高度一致：
- 数据主体同意（Consent）：须为自由给予、具体、知情、明确（Freely Given, Specific, Informed, and Unambiguous）。草案特别强调"沉默和不作为不构成同意"——否定了默示同意的效力。
- 合同履行必要性（Contractual Necessity）
- 法律义务遵守（Legal Obligation）
- 数据主体或他人重大利益保护（Vital Interests）
- 公共利益或官方职能执行（Public Interest/Official Authority）
- 正当利益（Legitimate Interests）——需与数据主体权益进行平衡测试
- 科学研究、统计或存档目的（Research/Statistics/Archiving）
值得注意的是，PDPL草案明确将"正当利益"列为独立的合法性基础——这与GDPR和马来西亚PDPA一致，但不同于泰国PDPA（PDPA尚未明确将正当利益单独列为基础）。这对企业来说是一个灵活的合规工具——例如，在监控异常流量和防止欺诈等场景下，可以不依赖"同意"而援引"正当利益"。
（三）敏感数据的特殊保护
PDPL草案第11条定义了敏感个人数据（Sensitive Personal Data），与GDPR第9条类似：
- 种族或民族出身
- 政治意见
- 宗教信仰
- 工会成员资格
- 基因数据、生物特征数据
- 健康数据
- 性生活或性取向数据
- 新增：财务数据（Financial Data）和地理位置数据（Geolocation Data）——这是PDPL草案超越GDPR范围的创新
处理敏感数据须满足至少一项"例外条件"（明确同意、劳动法义务、重大利益保护、非营利组织合法活动、已公开数据、法律主张等）。柬埔寨银行和金融科技企业须特别注意"财务数据"被列为敏感数据的特殊要求。
（四）数据主体八项权利
PDPL草案第15-22条赋予数据主体八项权利，与GDPR第15-22条高度一致：
- 知情权/透明权（Right to Information/Transparency）
- 访问权（Right of Access）
- 更正权（Right to Rectification）
- 删除权/被遗忘权（Right to Erasure）
- 限制处理权（Right to Restrict Processing）
- 数据便携权（Right to Data Portability）
- 反对权（Right to Object）——包括反对直接营销的权利
- 不受自动化决策约束的权利（Right Not to Be Subject to Automated Decision-Making）
（五）数据保护官（DPO）强制化
PDPL草案第30条规定了数据保护官（Data Protection Officer, DPO）的强制任命义务——与GDPR和马来西亚2024年PDPA修订版一致，但触发门槛低于GDPR：
- 核心业务涉及大规模监控数据主体（如社交媒体平台、电商平台）
- 大规模处理敏感数据（如金融机构、医疗机构）
- 公共机构（不论处理规模和类型）
DPO须在柬埔寨境内有联系地址（不一定是居民，但须有本地联系地址——可通过律师事务所提供DPO委任地址），并须向新设立的数据保护监管机构（暂定名为"柬埔寨数据保护委员会"CDPC）报备。
（六）数据泄露通知义务
PDPL草案第33-34条规定了数据泄露通知制度——参考了GDPR的72小时标准：
- 控制者→监管机构（CDPC）：自发现之日起72小时内报告
- 控制者→数据主体：如泄露可能对数据主体权利和自由带来高风险，须"无不当延迟"（Without Undue Delay）通知受影响的数据主体
- 数据处理者→控制者：在知悉数据泄露后"立即"（Immediately）通知
柬埔寨律师余驰宇提醒中资企业：数据泄露通知义务具有"时间刚性"——逾期报告本身就是独立违规行为，即使泄露事件本身未造成实际损害，逾期报告也可导致行政处罚。
（七）跨境数据传输机制
PDPL草案第40-43条规定了跨境数据传输的四重保障机制——与GDPR第44-49条的结构类似：
第一层（充分性认定/Adequacy Decision）：CDPC将发布"白名单"国家/地区，对白名单国家的数据传输不需要额外保障措施。中国目前尚未被列入任何东盟国家的数据保护白名单。
第二层（标准合同条款/SCC）：柬埔寨版SCC将由CDPC制定和发布。草案预留了CDPC认可东盟跨境数据流动标准合同条款（ASEAN MCCs on Cross-Border Data Flows）的空间——这是东盟2021年通过的软法文件。
第三层（约束性公司规则/BCR）：适用于跨国集团内部的数据传输——中资企业集团可制定BCR并报CDPC认可。
第四层（特定情形克减/Derogations）：数据主体明示同意、合同必要性、重大利益保护等。但草案明确：同意不可用作"例行大规模跨境数据传输"的长期基础——CDPC将严格审查以"同意"为由的持续性跨境传输。
（八）数据保护影响评估（DPIA）
PDPL草案第36条规定，在以下情形下须在处理前完成DPIA：
- 使用新技术（如AI/机器学习）进行大规模数据处理
- 大规模处理敏感数据
- 系统性的大规模监控公开区域
- CDPC发布清单中列明的其他高风险处理活动
（九）行政处罚和民事赔偿
PDPL草案第55-62条规定了三层处罚体系：
行政处罚（由CDPC作出）：
- 一般违规：警告、限期整改
- 中度违规：行政罚款（草案尚未明确具体金额上限，预计为1-10亿瑞尔级别）
- 严重违规：罚金+暂停/禁止数据处理活动
民事赔偿（由法院判决）：
- 数据主体可就"实际损害"（Actual Damage）和"精神损害"（Moral Damage）索赔
- 草案引入了"集体诉讼"（Class Action）机制——NGOs可代表受影响的数据主体提起集体诉讼
刑事责任（草案中争议条款）：
- 对故意大规模非法处理数据的行为（如非法买卖个人数据），可追究刑事责任
（十）监管机构——CDPC
PDPL草案将设立"柬埔寨数据保护委员会"（Cambodia Data Protection Commission, CDPC），设在邮电部（MPTC）之下，具有以下权力：
- 受理数据主体投诉
- 主动或依投诉开展调查
- 进入营业场所进行现场检查（On-Site Inspection）
- 发出警告、整改令和行政罚款
- 向法院申请临时禁令
- 暂扣或吊销数据收集/处理许可
CDPC预计在法案通过后6-12个月内正式开始运作。
三、柬埔寨与东盟各国数据保护标准横向对比
维度 柬埔寨PDPL（草案） 马来西亚PDPA 泰国PDPA 印尼UU PDP
------ ------ ------ ------ ------
生效/预计生效 2027年 2010年(2024年修订) 2022年 2024年
域外管辖 有 无(期待修订) 有 有
正当利益基础 有 有 争议 有
DPO强制化 有 有(2024年修订) 有 有
泄露通知时限 72小时 无明确时限 72小时 3×24小时
跨境SCC 将发布 无(仅白名单+同意) 有 将发布
行政罚款上限 待定 100万令吉+3年监禁 500万泰铢+1年监禁 年营收2%+6年监禁
集体诉讼 有 无 有 无
从横向对比可以看出，柬埔寨PDPL草案在立法理念和技术标准上并不低于GDPR和东盟先进标准——实际上，它的许多制度设计直接借鉴了GDPR的成熟实践。这对中资企业来说既是挑战（合规标准高、过渡期短），也是机遇（制度明确后，"监管真空期"的风险可以量化和管控）。
四、中资企业在柬埔寨的五大高风险数据处理场景
柬埔寨律师余驰宇根据实务经验，总结了中资企业在柬埔寨最常见的五大高风险数据场景：
场景一：员工数据跨境回传中国
中资企业在柬埔寨的子公司/工厂采集的柬籍员工数据（身份证号、生物特征考勤、工资信息、医疗记录）向中国母公司的人力资源系统传输，是违法风险最高的场景。
PDPL草案要求：跨境传输须有SCC/BCR/白名单之一。中国目前不在任何东盟国家的数据保护白名单中。
合规建议：在柬埔寨本地设立HR数据服务器或使用本地云（如柬埔寨本地数据中心），减少不必要的跨境传输。必要的跨境传输须签署集团BCR或双边SCC，并完成DPIA。
场景二：APP和电商平台过度收集用户数据
柬埔寨移动互联网渗透率超过130%（一人多卡），电商增速超过40%。中国背景的电商平台和社交APP在柬埔寨收集用户数据时，常常"默认勾选非必要权限"——这在PDPL草案下将被视为"未获有效同意"。
场景三：CCTV监控与人脸识别
中资工厂、酒店和赌场广泛使用CCTV监控系统。PDPL草案将"系统性大规模监控公开区域"列为须完成DPIA的高风险处理活动。带有人脸识别功能的CCTV系统更面临"生物特征数据=敏感数据"的双重合规要求。
场景四：第三方数据共享
中资企业与柬埔寨本地供应商、物流商、支付服务商共享客户数据时，须签订数据处理协议（DPA）。PDPL草案规定，数据控制者须对数据处理者的违规行为承担"监督过失"责任。
场景五：数字广告和用户画像
中资数字营销和广告科技企业在柬埔寨进行用户行为追踪、精准广告投放时，须取得用户对Cookie追踪和用户画像的明确同意。PDPL草案第25条关于"自动化决策"的规定，赋予了用户拒绝被精准投放广告的权利。
五、提前合规路线图：在PDPL生效前的行动
柬埔寨律师余驰宇建议中资企业在PDPL颁布前（2026年下半年至2027年上半年）启动以下合规准备工作：
第一阶段（2026年Q3-Q4）：现状摸底
- 完成企业数据处理活动的全面盘点（数据映射/Data Mapping）
- 识别跨境数据传输场景和流向
- 评估现有的同意获取机制是否满足PDPL草案标准
- 识别高风险处理活动（须DPIA的场景）
第二阶段（2027年Q1-Q2）：制度建设
- 制定/修订隐私政策和数据保护政策（中/英/柬三语版本）
- 签署跨境数据传输SCC或制定集团BCR
- 指定DPO（如适用）并向CDPC报备
- 制定数据泄露应急响应预案（PDP Breach Response Plan）
第三阶段（PDPL正式生效后）：持续合规
- 定期开展员工数据保护培训
- 每年进行数据保护合规审计
- 更新DPIA（如有重大变化）
- 关注CDPC发布的实施条例和指引
2026-2027年是柬埔寨数据保护从"无法可依"到"有法必依"的转折期。在柬埔寨的中资企业切勿持"法律还没通过，不急"的心态——数据合规体系的建设通常需要6-12个月，等到法律正式生效再启动就来不及了。柬埔寨律师余驰宇建议：现在就是启动数据合规准备的最佳时机。
