公司与商业

2026年巴基斯坦企业数据保护：《防止电子犯罪法》、行业规则与尚未出台的《个人数据保护法案》

一家在卡拉奇持有客户记录、员工档案或支付数据的公司，既无需向某个统一的数据保护监管机构登记，也无需发布法定隐私声明；在受监管行业之外，也不承担报告数据泄露的一般法定义务。但这并不意味着没有风险。未经授权访问、复制和滥用数据是《2016年防止电子犯罪法》（Prevention of Electronic Crimes Act, 2016）规定的犯罪，银行和支付公司须遵守国家银行的详细规则，而外国合作方也越来越多地在合同中写入欧洲式的义务。

任何在巴基斯坦寻找最佳数据保护律师的人，都应从这一空白入手：由于没有单一法律设定标准，合规意味着要从刑法、行业监管和合同中归纳出各项义务，而法律意见的质量取决于这张义务地图的完整程度。本指南面向企业。如果您是遭受网络骚扰或勒索的个人，我们关于依据PECA投诉网络骚扰的指南介绍了受害人的救济途径。

2026年巴基斯坦有数据保护法吗？

尚未出台。巴基斯坦信息技术与电信部自2018年起一直在起草个人数据立法。联邦内阁于2022年2月批准了一份《个人数据保护法案》（Personal Data Protection Bill），2023年又推出一份新的草案；据报道，截至2026年8月，该法案仍处于草案阶段。该法案尚未获议会通过，因此其任何条款均不具约束力。

这些草案仍值得了解，因为它们显示了法律的发展方向，而且跨国交易对手已经在询问相关情况。2023年草案提议：

• 设立国家个人数据保护委员会作为监管机构；
• 发生可能危及个人权利的数据泄露时，在可行情况下于72小时内通知该委员会及受影响的个人；
• 仅允许向具有同等保护水平的司法管辖区或在经批准的保障措施下进行跨境传输；以及
• 要求“关键个人数据”只能在巴基斯坦境内的服务器上处理。

上述内容应视为提案。围绕这些提案构建合规体系的企业是在审慎地做准备；而向客户宣称“符合巴基斯坦数据保护法”的企业，则是在作出一项没有法律依据的声明。此外，一份主要针对政府所持数据的《2026年国家数据治理政策》（National Data Governance Policy 2026）草案已于2026年年中完成公众咨询。向政府供货的企业还应注意2022年的《云优先政策》（Cloud First Policy），该政策将公共部门数据分为公开、公共、受限、敏感或机密以及秘密等级别，较高级别的数据仅限存储于政府云或私有云。

与企业相关的PECA罪名

PECA是一部刑事法律，但其中若干罪名与日常数据风险直接对应。企业可能是受害方（例如离职员工复制客户数据库），也可能是责任来源（例如员工滥用其在工作中经手的身份信息）。

条文	罪名	典型商业场景
第3条	未经授权访问信息系统或数据	前员工使用从未被注销的登录凭证登录系统
第4条	未经授权复制或传输数据	辞职前将客户名单或价格文件通过电子邮件发送至个人账户
第5条	干扰信息系统或数据	删除记录、勒索软件、破坏系统
第6条至第8条	针对关键基础设施实施的上述行为	攻击被指定为关键基础设施的系统；刑罚更重
第13条和第14条	电子伪造和电子欺诈	伪造发票、篡改付款指令
第16条	未经授权使用身份信息	未经授权使用客户的计算机化国民身份证（CNIC）数据或登录凭证
第17条	未经授权发放SIM卡	零售商和特许经营商未经适当核验即发放SIM卡

刑罚随严重程度递增：第3条规定的一般未经授权访问最高可处三个月监禁，第5条规定的干扰行为最高可处两年监禁，第16条规定的滥用身份信息最高可处三年监禁，均可并处或不并处罚金。第2条将“身份信息”宽泛地定义为能够认证或识别个人或信息系统、并能借此访问数据的信息。

根据第43条，大多数PECA罪名属于不可径行逮捕（non-cognizable）、可保释且可和解的罪行。实践中，这意味着程序通常以书面投诉启动，而非自动立案为刑事案件；被告人通常有权获得保释；且与被告人协商和解在法律上是可行的。相关罪行由根据第44条指定的法院审理。

服务提供者的义务：数据保存、保密与有限责任

PECA中“服务提供者”的定义比电信公司宽泛。它涵盖任何提供发送、接收、存储或处理电子通信能力的人，以及为此类服务或其用户处理或存储数据的任何人。应用程序运营商、托管公司及部分平台企业都可能属于这一范围。

• 第32条要求服务提供者将特定的流量数据保存至少一年，或巴基斯坦电信管理局通知的其他期限，并在法院令状要求时提供。
• 第41条规定，服务提供者或获授权官员未经同意或合法授权，意图造成或明知可能造成损害、不法损失或不法得利而披露他人个人信息的，构成犯罪，最高可处三年监禁。被告人须证明其出于善意方可以此抗辩。
• 第38条限制服务提供者的责任：服务提供者不负有监控内容的一般义务，仅在其具有具体的实际知情且故意参与时，才对第三方内容承担责任。某些通知须保密十四天，除非法院延长该期限。
• 第35条允许获授权的调查官员检查系统、复制数据，并要求提供技术协助和解密，但须遵循相称原则、保护数据完整性并记录所采取的措施。扣押硬件应作为最后手段。

因此，企业收到调查人员的数据调取要求时，应先核实其法律依据（令状或法定命令）、范围以及官员的权限，然后再提供任何资料，并对所提供的内容做好记录。

2025年修订：国家网络犯罪调查局与社交媒体监管机构

2025年1月通过的《2025年防止电子犯罪（修正）法》（Prevention of Electronic Crimes (Amendment) Act, 2025）（Act II of 2025）作出了三项企业应当关注的变更。

• 国家网络犯罪调查局（NCCIA）：第29条现规定设立国家网络犯罪调查局，作为PECA下的调查机构。联邦调查局（FIA）的网络犯罪部门已不复存在，其案件移交国家网络犯罪调查局，因此有关数据窃取或系统入侵的投诉现应向该局提出。
• 虚假信息罪：新增的第26A条规定，散布明知或有理由相信为虚假、且可能引起恐惧、恐慌或动乱的信息的，最高可处三年监禁、罚金或两者并处。开展激进社交媒体营销的品牌，以及就数据泄露公开作出回应的企业，应谨慎对待未经核实的陈述。
• 社交媒体保护与监管局（Social Media Protection and Regulatory Authority）：第2A条及其后各条设立了该监管局，有权指令删除或屏蔽违法或冒犯性的网络内容，并对不合规的平台采取行动；同时设立社交媒体投诉委员会和社交媒体保护法庭，对其裁决可在六十天内向巴基斯坦最高法院上诉。

实际执行进展缓慢。政府于2026年3月组建了该监管局，但2026年7月的一份报道称，该局仍无预算、办公场所或工作人员，其规则尚未定稿，法庭也尚未设立。在此之前，内容纠纷仍主要通过巴基斯坦电信管理局和法院处理。

行业规则：银行、支付公司、电信与保险

目前在巴基斯坦，受监管行业承担着最为具体的数据义务。

• 银行及开发性金融机构（DFI）：《1962年银行公司条例》（Banking Companies Ordinance, 1962）第33A条禁止银行披露其客户事务的相关信息，但法律、惯例或习惯要求披露的除外。国家银行BPRD 2018年第08号通函要求按“需知”原则访问余额和客户数据，在员工岗位变动时及时取消访问权限，定期审查访问权限，并记录查看账户信息的人员；该通函同时警告，违规行为将使银行及相关负责人员面临处罚。
• 外包：经BPRD 2019年第06号通函修订的国家银行《外包安排风险管理框架》（Framework for Risk Management in Outsourcing Arrangements），涉及个人身份信息的定义、客户信息的披露、境外外包及集团内部外包等问题。
• 云服务：BPRD 2023年第01号通函为银行、小额信贷银行、开发性金融机构、电子货币机构以及支付系统运营商和提供商发布了《云服务提供商外包框架》（Framework on Outsourcing to Cloud Service Providers）。将重要业务负载托管于境外云服务，须事先获得国家银行批准。
• 电信与营销：巴基斯坦电信管理局的《2009年防范垃圾、未经请求、欺诈及令人反感通信条例》（Protection from Spam, Unsolicited, Fraudulent and Obnoxious Communication Regulations, 2009）要求实施垃圾信息管控，并支持“谢绝来电”登记制度，这对短信营销和呼叫中心营销均有影响。
• 保险：巴基斯坦证券交易委员会2020年发布的保险业网络安全指引，要求保险公司建立检测、预防和应对网络攻击的框架，包括任命首席信息安全官等措施。

信用信息另受《2015年征信机构法》（Credit Bureaus Act, 2015）保护，电子资金转账则受《2007年支付系统与电子资金转账法》（Payment Systems and Electronic Fund Transfers Act, 2007）规范。金融科技或电子商务企业在设计数据架构之前，应先梳理上述哪些框架适用于自身。

《宪法》第14条与法院对隐私权的保护

《宪法》第14(1)条规定：“人的尊严，以及在法律限制范围内的住宅隐私，不可侵犯。”巴基斯坦最高法院对隐私的理解已超出物理意义上的住宅。在Mohtarma Benazir Bhutto v. President of Pakistan, PLD 1998 SC 388一案中，最高法院认定在没有合法程序的情况下进行电话窃听违宪；此后的判决亦多次涉及隐私问题，包括以PLD 2021 SC 1报道的Justice Qazi Faez Isa案。

企业应注意两点。第一，基本权利主要针对国家行使；第14条能在多大程度上对私营公司产生直接请求权，在巴基斯坦法律中尚无定论，因此客户针对企业的救济通常通过合同、PECA、行业监管机构或违反保密义务的民事诉讼实现。第二，在判断雇主对员工的监控或公司对客户数据的披露是否合理时，宪法标准仍会影响法院的判断。因此，监控政策应采用书面形式、符合相称原则并事先告知员工，同时应与劳动合同中的保密条款相配合，相关内容见我们关于信德省劳动法的指南。

在巴基斯坦应对数据泄露

由于没有一般性的通知法律，应对措施取决于行业规则、合同和证据。可行的步骤如下：

1. 控制并保全。注销登录凭证，隔离受影响的系统，并在任何数据被清除之前制作取证镜像。日后的PECA刑事追诉或民事索赔都依赖于日志记录和证据保管链。
2. 核查监管义务。受国家银行监管的机构必须根据其适用的框架和通函评估报告义务；其他受监管企业应核查其许可证条件。
3. 核查合同。与外国客户签订的供货、外包和数据处理协议，往往要求在规定的若干小时内发出通知。即使巴基斯坦法律未规定任何期限，错过该期限也可能构成违约。
4. 向国家网络犯罪调查局投诉：如数据泄露涉及第3条至第5条、第13条、第14条或第16条规定的犯罪，应提交书面事件经过、已保全的证据以及任何嫌疑人的身份信息。
5. 考虑民事救济。如前员工或竞争者持有被复制的数据，可在提出刑事投诉的同时申请禁止其使用该数据的禁令；请参阅我们关于临时禁令的指南。
6. 审慎沟通。告知受影响的客户已知的情况及其应采取的措施，不作猜测，并记录每一项决定。

跨境数据传输与务实的合规方案

目前，巴基斯坦对将个人数据传输至境外并无一般性的法定限制。限制来自行业规则（例如，重要业务负载托管于境外云服务须经国家银行批准）、适用于公共部门工作的政府数据政策以及合同。如法案草案中针对关键个人数据的本地化规则获得通过，这一状况将会改变，因此投资新基础设施的企业应保留境内托管的选项。

在立法出台之前，对大多数企业而言，合理的合规方案十分简明：

• 梳理您持有哪些个人数据、存储在何处以及谁可以访问；
• 实行“需知”访问原则，并在岗位变动当天取消相应访问权限；
• 在劳动合同和供应商合同中加入保密条款和数据返还条款；
• 发布准确的隐私声明，不夸大合规程度；
• 制定书面的事件响应计划并进行演练；以及
• 对于外资企业，使集团数据政策与巴基斯坦行业规则相协调，我们在外资企业设立路线图中对此有所介绍。

常见问题

本文仅为关于巴基斯坦法律及诉讼程序的一般性信息,不构成针对具体案件的法律意见。如您正面临相关问题,欢迎与我们联系,我们将根据您的具体情况提供意见。