GDPR 与亚美尼亚数据保护条例：关键差异与合规策略

亚美尼亚数据保护法与GDPR在两点上存在显著差异：数据传输至国外以及处罚。从亚美尼亚向亚美尼亚数据保护局53个成员国名单之外的国家传输数据需要事先获得该机构的许可，许可将在30天内做出决定。行政罚款金额为5万至50万亚美尼亚德拉姆（按亚美尼亚中央银行2026年10月19日的汇率，即1美元兑361.36亚美尼亚德拉姆计算，约合138至1,384美元），而GDPR规定的罚款上限为2000万欧元或全球年营业额的4%。亚美尼亚的个人数据保护法是《个人数据保护法》（2015 年 5 月 18 日 HO-49-N 号），最近一次修订是 HO-447-N 号，自 2026 年 1 月 4 日起生效；还有 HO-191-N 号，自 2026 年 5 月 14 日公布后三个月生效，即大约在 2026 年 8 月中旬。

亚美尼亚法律对相同的角色使用了不同的术语。亚美尼亚法律中的“数据处理者”（մշակող）是指决定数据处理原因和方式的一方，这与GDPR中“数据控制者”的角色相对应。代表数据处理者处理数据的一方是“授权人”（լիազորված անձ），即GDPR中的“数据处理者”。根据GDPR条款起草的合同应明确对应这些条款。

GDPR与亚美尼亚法律并列比较

将人力资源或客户数据发送到国外

该法第27条针对所有从亚美尼亚境外传输数据的情况，回答了两个不同的问题。第一个问题是，组织是否可以传输数据：第27条第1款允许在获得数据主体同意或为处理目的而必须传输数据的情况下进行传输。第二个问题是，数据传输目的地是否需要获得许可，这取决于目的地国家/地区的具体规定。

无需许可证的国家

根据第27条第2款，如果接收国确保提供充分的保护，则无需获得许可。如果转让是根据国际条约进行的，或者接收国列入机构正式公布的名单，则接收国即确保提供充分的保护。第27条第5款要求机构至少每年审查一次该名单。

根据2026年6月18日第ԱՏՊԳ-001/26号决定，欧盟委员会批准了一份新的确保充分保护的国家名单。该名单包含53个条目，其中美国条目仅涵盖组织，而非整个国家。该决定自正式公布之日起生效。此前，欧盟委员会于2024年7月8日通过第ԱՏՊՊ-001/24号决定批准了一份包含53个条目的名单；2026年的决定没有废除该名单的条款，并且2026年的名单是根据《欧盟基本权利宪章》第27条第5款最新批准的名单。每次新的数据传输之前，请务必在欧盟委员会网站上核对目的地国家/地区的最新名单。

需要获得该机构许可的国家

向缺乏充分保护的国家转移财产，必须经机构许可，且必须依据机构已批准其保障措施充分的合同（第27条第3款）。第27条第4款规定的步骤：

1. 与境外接收方签订合同，合同中应包含数据保护措施。
2. 在传输之前，请以书面形式向该机构提出申请，说明传输国家、接收方、数据类别、目的和合同。
3. 该机构必须在30天内批准或拒绝转账申请。在此期间，该机构可以要求提供更多信息。
4. 如果发现保障措施不足，则必须说明需要做出哪些改变。

法律并未规定30天后的沉默即视为同意，因此在做出决定之前，请勿启动数据传输。签署的合同不能取代许可。法律条文并未明确规定，仅凭数据主体的同意是否足以使向非指定国家/地区传输数据合法，因此对于任何非指定国家/地区，都应事先获得许可。

将人力资源数据上传至母公司，将客户数据上传至国外平台

将工资单和人事文件发送给国外母公司，或将客户记录发送到托管在国外的客户关系管理系统 (CRM) 或支持工具，是亚美尼亚最常见的对外数据传输方式。答案取决于具体情况，而以下问题将决定答案：

• 接收方的服务器在哪里？其子处理商又在哪里？平台的托管国家/地区可能与服务提供商的总部所在国家/地区不同。
• 该国是否在机构目前的名单上？对于美国接收方而言，该接收方是否属于美国入境范围之内的组织？
• 如果该国未列入名单，该机构是否已批准合同并授予许可？
• 根据第27(1)条规定，数据传输的依据是什么：是员工或客户的同意，还是处理目的的必要性？请记录下来。
• 境外接收方是否代表您处理数据？如果是，则该接收方是您的授权人员，需要获得下述书面指示。

来自欧盟的数据流入亚美尼亚

第27条规定了离开亚美尼亚的数据。从欧盟发送到亚美尼亚的数据在欧盟方面受GDPR第五章的约束。由于欧盟委员会尚未对亚美尼亚做出充分性决定，欧盟出口商通常依据GDPR第46条第2款(c)项下的标准合同条款进行评估。该评估由出口商及其欧盟法律顾问负责；亚美尼亚接收方只需签署这些条款并确保能够履行即可。我们为回答客户安全问卷的亚美尼亚供应商准备的核对清单涵盖了欧盟客户通常会提出的问题。

法律依据和同意

第8条规定，数据主体的同意是处理数据的默认依据，除非法律或其他法律另有明确规定，并允许处理来自公开来源的数据。第9条第4款列举了视为已获得同意的情况，包括数据用于与该人签订合同的情况。该条款并未包含类似GDPR第6条第1款(f)项规定的普遍合法利益依据，因此，在欧盟依赖合法利益进行数据处理的企业应为相同的处理行为寻找不同的亚美尼亚法律依据。

同意可以书面形式、电子形式（需附电子签名）或口头形式表示，但口头表示必须有行为证据可靠地表明其同意（第9条第7款）。组织负有举证责任（第9条第8款），同意可以撤回（第9条第3款），对于16岁以下的儿童，由其法定监护人表示同意（第9条第9款）。实际上，口头同意难以证明，因此应以书面形式记录同意，以便日后出示。我们的《亚美尼亚合法依据和同意要求指南》更详细地介绍了例外情况。

对于员工而言，公司雇佣指南将个人数据处理的书面同意视为内部劳动规则的一部分，与雇佣合同并列。如需进行人力资源文件审核，请参阅我们的雇佣合规服务。

使用服务提供商：书面说明

当亚美尼亚组织委托第三方处理其数据时，根据《通用数据保护条例》（GDPR）第14条第2款，该组织必须向授权人员发出书面指示，指示内容须符合法律规定。根据第14条第3款，如果该指示不符合法律规定，授权人员必须以书面形式告知该组织并拒绝进行数据处理。对于外国集团而言，这意味着在将欧盟GDPR第28条协议用于亚美尼亚实体之前，无论亚美尼亚公司是聘请服务提供商还是自身作为服务提供商，都应先将其与GDPR第14条进行核对。

数据泄露

该法第21条第4款规定，如果个人数据从电子系统泄露，组织必须立即发布公告，同时向警方和监管机构报告泄露事件。该条款未规定具体时长，仅以“立即”作为标准。相比之下，《通用数据保护条例》（GDPR）要求在72小时内通知监管机构，除非泄露事件不太可能危及个人安全。

因此，同时持有欧盟和亚美尼亚个人数据的企业需要制定包含两条路径的事件应对计划：首先是亚美尼亚方面的公告和报告，其次是72小时内发布的GDPR通知。请提前拟定公告模板。

根据下文所述的《网络安全法》（HO-442-N），关键行业的运营商适用不同的事件规则。该法是否适用于普通IT或外包供应商，取决于其所属行业以及尚未生效的附属法规，因此需具体情况具体分析。

通知机构

亚美尼亚对处理个人数据的组织没有普遍的登记义务。根据第23条规定，组织可以在开始处理个人数据前通知国家数据保护局；如果国家数据保护局要求，组织必须通知；组织在处理生物识别数据或特殊类别数据前也必须通知。国家数据保护局会在收到通知后30天内将其录入登记册，对已通知信息的任何变更必须在10个工作日内报告。

数据保护官、影响评估和行业规则

现行法律并未规定必须任命数据保护官或进行数据保护影响评估。两套行业规则规定了类似的义务：

• 金融行业。 中央银行理事会 2013 年 7 月 9 日第 173-N 号决议要求银行、受监管市场运营商、中央存管机构、信用局、杠杆和外汇提供商、众筹运营商、保险公司以及支付和结算机构指定一名负责人、部门或外包提供商负责信息安全，以分析和评估信息安全风险，并保存和分析电子日志。
• 关键领域。 《网络安全法》（HO-442-N，2025年12月4日通过，2025年12月25日公布）要求运营信息系统或关键基础设施的重要行业实体必须聘请网络安全专家，除非网络安全业务完全外包。这14个重要行业包括金融服务、医疗卫生、通信、信息技术和数据库管理。微型和小型企业除外，除非它们运营关键基础设施。该法的各项规定仅在相关附属法案通过后方可生效，并给予18个月的时间制定内部规则、风险评估和预防计划，且相关日志必须至少保存三年。

一份编号为 e-draft 10533 的法律草案已发布供讨论，该草案拟引入数据保护影响评估和数据保护官制度，并重组监管机构。该提案目前仍在讨论中，不具有任何约束力。我们的IT、医疗保健和金融服务数据保护页面涵盖了相关行业视角。

处罚

《行政违法法典》第189.17条规定了数据保护违规行为的罚款，共分为八个等级。每项罚款均以1,000亚美尼亚德拉姆的法定基数为倍数，该条规定的罚款金额从5万亚美尼亚德拉姆到50万亚美尼亚德拉姆不等（按公司内部汇率1美元兑361.36亚美尼亚德拉姆计算，约合138美元至1,384美元，该汇率为亚美尼亚中央银行2026年10月19日公布的汇率）。根据第八条规定，如果组织在主管机构规定的期限内或在责任认定决定作出之前纠正违规行为，并提供纠正措施的证据，则可免除责任。

《刑法》第204条规定，某些非法处理个人数据的行为构成刑事犯罪。具体事件是否符合该犯罪的构成要件，取决于案件事实。

GDPR 的两个级别，最高可达 10 万欧元或全球年营业额的 2%，以及最高可达 20 万欧元或 4%，适用于欧盟境内的处理，无论亚美尼亚关联公司在当地面临何种风险。

企业在两种制度下的合规计划

1. 绘制每个数据流图，包括每个接收者和子处理者存储数据的位置。
2. 对于从亚美尼亚流出的每一批货物，都要对照国际合作署当前的充足性清单检查目的地；对于清单上没有的国家，在货物转移之前，应申请获得批准合同的许可。
3. 对于从欧盟流入亚美尼亚的每一笔货物，都要确认欧盟出口商的转让工具，通常是标准合同条款。
4. 用亚美尼亚式的理由取代对合法利益的任何依赖：可证明形式的同意、合同或法定理由。
5. 向处理亚美尼亚数据的每位授权人员发布第 14 条书面指示，并使其与 GDPR 第 28 条条款保持一致。
6. 在处理生物识别数据或特殊类别数据之前，请通知相关机构。
7. 首先根据亚美尼亚方面的公告和向警方及相关机构提交的报告，制定违规应对计划，同时按照 GDPR 规定提前 72 小时发出通知。
8. 如果您在金融或重要行业运营，则需遵守中央银行或网络安全法关于安保人员、风险评估和日志记录的义务。

对于计划在亚美尼亚设立公司的外国公司，我们提供的《外国公司个人数据保护法关键要求指南》和公司注册服务涵盖了公司注册的各个步骤。有关合规支持的详细说明，请访问我们的数据保护合规页面。

常见问题

上次更新时间：11年2026月XNUMX日