2026 波黑萨拉热窝服务器租用合规实测：个人数据保护法 12/25 落地后的选型避雷全攻略

去年十月之前，一家出海团队在萨拉热窝设立 BPO 交付中心，把员工 HR 数据、客户工单、通话录音都放在本地一台租赁的物理机上，跨境只做单向同步到中国内地总部做报表。2025 年第四季度，欧洲合作方丢过来一份数据处理附件，要求说明控制者身份、子处理者清单、跨境传输依据、泄露通知时限，并且要求提供当地语言的隐私文本。团队这才意识到，波黑那份编号为 Official Gazette of BiH No. 12/25 的《个人数据保护法》，已经从 2025-10-04 起正式适用了。

这类场景在西巴尔干这两年并不少见。波黑（波斯尼亚和黑塞哥维那）的名字很少出现在中国出海团队的合规清单里，但它既紧邻欧盟、又有一套刚刚完成 GDPR 对齐的国家层面立法，新旧规则的切换点刚好落在 2025 年秋天。下面这篇，只围绕一件事展开：在萨拉热窝租服务器，到底哪些义务已经变了，以及采购合同、运维制度、数据流图要怎么改。

12/25 号法律适用后新增的五类义务：从 2006 年旧法到 GDPR 对齐

先把时间轴摆清楚。波黑国家层面的《个人数据保护法》以 Official Gazette of BiH No. 12/25 的形式公布：2025-01-30 通过，2025-02-28 公布于官方公报，公布之后再经过 210 天的适用延迟，实际适用日期落在 2025-10-04，取代了 2006 年的旧法（OG BiH 49/06、76/11）。这个"公布—延迟—适用"的三段式，本身就是新法给市场留的准备窗口，但很多团队是在最后一个月才被欧洲客户提醒的。

从旧法到 12/25，变化不是修修补补，而是换了一套坐标系。旧法体系下常见的做法是"登记、申报、备案"，新法则把重心移到了内部治理证据链上：你要能自己说清楚处理了哪些数据、依据什么、谁能看、传去了哪里、出事多久之内上报。具体落到采购和技术侧，新增压力集中在五类。

第一类是处理活动的记录义务。租用一台物理服务器不等于你天然知道上面跑了什么。多租户的后台管理面板、客服系统、薪酬系统、录音归档，往往散落在不同的子目录里，运维自己也讲不清全貌。第二类是责任角色。数据保护负责人这类内部角色是否需要设置、由谁兼任、是否能对外作为联系人，都要写进制度而不是口头分工。

第三类是泄露通知义务，这条在下一节单独拆。第四类是跨境规则。新法对"跨境传输"采取的是充分性认定或保障措施的机制， adequacy 由部长会议决定，不再是"技术上能传就传"。第五类是罚则量级。行政罚款上限为 4,000 万 BAM 或全球营业额的 4%（第 96–115 条），并且保留了独立的司法救济途径，刑事部分指向波黑及各实体的刑法典。

还有一点常被忽略：立法架构上这是国家层面的统一权限，由一家独立机构在全国范围内管辖，法院在行使司法职能时除外。也就是说，你不需要分别应付几个地区性监管机构，但也没有"换个州就宽松点"的空间。

controller 与 processor 的分界线：机房、云和你三方怎么切责任

12/25 的适用范围写得很明确：在波黑设立、居住或运营的 controller 与 processor 都在其中；面向波黑境内个人进行定向服务或行为监控的境外主体同样被覆盖；执法目的的处理走单独的第三部分。这一句"面向波黑境内个人定向或监控"，意味着哪怕你的机器在法兰克福，只要产品是给波斯尼亚语用户做的、用了当地语言的落地页、投放了本地渠道，就有可能被拉进管辖。

落到角色划分上，最容易被问的问题是：我租了机房的机器，那机房算什么？典型的判断路径是这样的——你决定"为什么处理、处理什么、给谁看"，你是 controller；服务提供方只按你的指令提供计算、存储、网络，它对这批数据没有自己的处理目的，它就是 processor。判断的分水岭不在硬件归谁，而在"处理的目的是谁定的"。

但这条线在实操里经常被磨花。典型的灰区有三个。其一，服务商为了反滥用、计费、安全风控而采集的流量日志，如果它把这些日志用于自己的目的，它就在这部分处理上转成 controller，应当在合同里写清楚边界而不是默认。其二，安装了服务商提供的镜像或面板产生的遥测数据，往往被客户遗忘，却实实在在构成了另一条数据流向。其三，远程运维通道——如果工程师能通过带外管理口读取磁盘内容、能导出整包日志，那么"我们只是托管"这句话在监管机构耳朵里分量很轻，必须靠合同条款和访问控制把它落到纸上。

给客户做架构评审时我通常建议画一张两列的表：左列写数据流，右列写"谁决定这条流的目的"。凡是右列出现两个主体的，都是需要在合同里专门处理的节点。这张表做出来之后，DPA 该签给谁、要不要签子处理者条款，一眼就清楚了。

处理者合同（DPA）里必须写死的条款清单：目的、期限、子处理者、审计配合

一份在波黑场景能被欧洲合作方法务接受的 DPA，通常要扛住四个方向的追问：数据处理的目的与期限、安全与技术措施、次级处理者的引入机制、以及对数据主体权利和安全事件的配合。下面这几项，是我建议逐条写死而不是写"双方另行协商"的。

处理目的与期限：不要写成"为用户提供服务所需"，要写成具体动作清单——存放、备份、索引、加密传输、日志聚合，以及终止后多长时间删除或返还。"另行协商"四个字在监管沟通里等于没有。删除期限尤其要落到备份介质上，因为备份的轮转周期往往比在线数据长。

子处理者：写明是否允许引入次级处理者，允许的话是"概括授权加清单公示"还是"逐事先书面同意"，变更需要提前多少自然日通知，以及你有没有异议权、异议不成立时能否解约。很多中小服务商的模板在这里是空白的，这正是最需要补的一栏。

协助义务：数据主体请求（第 14–25 条涵盖的这些权利）来了之后，处理者必须在多长时间内提供检索结果；为了配合删除，跨备份、跨快照的清理谁来做、做到什么粒度；监管机构问询时，谁负责起草答复的技术附件。把这些写成服务等级的小时数，比写"及时配合"有用得多。

安全事件配合：这一条要直接绑到 72 小时时钟上。约定处理者在发现疑似的那一刻（注意，是发现，不是确认）多久之内通知 controller，提供哪些字段，由谁对外提交。很多跨境场景的翻车点就在这里——机房在毫秒级别上先知道了，而你在第 60 小时才被告知。

审计与凭证：写明你能拿到的审计材料形式（第三方审计报告、问卷回执、渗透测试摘要），以及在什么条件下可以做现场检查或受托第三方检查。对物理机租用场景，还应明确带外管理、IPMI 一类的带外接入口由谁持有凭据、凭据如何轮转。

跨境传输的三条路径与文档准备：充分性决定、保障措施、监管机构角色

12/25 对个人数据处理场景的跨境传输，采取的是"充分性认定或保障措施"机制，adequacy 由部长会议（Council of Ministers）决定，同时监管机构对数据出境拥有监督权限。这个结构意味着，跨境不是技术动作，而是需要先取得法律依据的动作。

运维视角下的三条路径大致是这样区分的。第一条，目的地被部长会议的充分性决定覆盖，这时传输有现成依据，成本最低，但前提是你得确认该决定是否存在、是否仍然有效、是否涵盖你这个处理者所处的行业——这一步必须查官方公报原文，不能凭记忆。第二条，走保障措施，也就是以合同形式的标准条款安排配合加密、访问控制、审计等补充手段；这条路径落地慢，但适用范围广。第三条，走个案授权或特定情形，通常需要和监管机构沟通，时间不确定性最高。

文档准备这块，我习惯让客户准备一个"出境包"，包含五样东西：一份数据流向图（标明源节点、目的节点、传输触发条件）、每类数据的字段级清单、目的接收方的身份与所在地、对应的传输依据（充分性决定编号或保障措施文本）、以及加密与密钥管理的说明。这个包平时用不上，但合作方法务或监管机构一旦开口，你能在半天之内交出去和在一周之后交出去，给对方的印象完全不同。

还有一个高频漏洞：备份链路没算进跨境。生产库留在萨拉热窝，异地备份每天同步到维也纳或新加坡，团队却只在数据流图上画了主链路。按 12/25 的口径，备份一样是传输，一样需要依据。同理适用于监控日志、错误上报、CDN 回源、客服工单系统的第三方 SaaS。

72 小时通知落到排班表上：时钟起点、证据保全、通知包内容

按第 35、36、86、87 条的结构，意识到一个泄露之后应在 72 小时内通知监管机构；若对个人权利自由构成高风险，须不迟延地通知数据主体。这条法律规定很简短，但把它翻译成运维能执行的动作，中间隔着好几个决策点。

第一个决策点是"意识到"从哪算起。建议内部采用一个比法律更保守的定义：任何一个具备响应职责的人在任一渠道（告警、客服转派、厂商邮件、匿名报告）获得足以判断"可能发生泄露"的信息，即视为起算。理由是疫情期间那批案例反复证明，把起算点后置到"根因确认之后"是最常见的超时原因。制度里同时要写一句：团队成员无需确认事件性质，就有义务在限定的分钟数之内升级。

第二个决策点是证据保全的顺序。收到告警后的前 30 分钟，动作应该是固定的：隔离受影响实例但保留内存与磁盘镜像、冻结相关日志到独立存储、对管理通道做凭据轮换、记录时间线。不要第一时间就去打补丁或重装系统——那会把用来判断影响范围的证据一起抹掉。这里对服务器选型有个很实际的要求：服务商必须支持快照、支持把日志外发到独立的存储桶、并且允许你在不重启的情况下抓取系统状态。

第三个决策点是通知包内容。我建议做成一个固定模板放在值班手册里：发现时间与发现方式、泄露的性质与数据类别、涉及的数据主体数量量级、可能的后果、已采取和将采取的措施、联系人。监管机构通知优先——硬件"疑似但未定论"也要先报，后续可以补充澄清；对数据主体的通知在高风险成立时不迟延发出，这个判断要在值班表上写明由谁拍板（通常是当地合规负责人，而不是远在中国的 CTO 半夜决策）。

排班层面还有两个实操问题。一是时区，萨拉热窝是 CET/CEST，和中国内地差 6–7 小时，72 小时窗口很容易被一个跨洋夜班吞掉；二是语言，向监管机构提交的材料需要当地语言版本，翻译的时间必须计入预算，而不是事后醒悟。日志留存周期要反过来配合这条义务——如果回溯需求是"能否还原一次三周前发生的入侵"，那么留存 7 天的 Web 访问日志就是不合理的。

生物识别条款 57a/57b：萨拉热窝办公室的考勤机与门禁怎么处理

这一条是我在中资企业场景里最常踩到的雷。12/25 对生物识别数据有专门条款：57a 规定以安全识别为目的处理需要明示同意；57b 针对员工考勤与出入控制，要求提供替代方式并且取得明示同意。

把这两句翻译成办公场景的动作很具体。装了人脸识别考勤机的前台，必须同时提供一条不使用生物特征的替代路径（工卡、工号+PIN、纸质签到都行），并且这个替代路径要在 Day 1 就存在、要真的能用、不能有排队两小时的隐性惩罚。门禁如果刷脸，同理要有旁路方案。更关键的是"明示同意"——员工的同意必须是明确作出的，而用工关系中的权力不对称，会让"默认选了刷脸"这种设计站不住脚。

技术上还有三个连带动作。生物特征模板存哪：如果考勤机供应商的云端在第三国，那么这本身就是一条跨境传输，需要依据。原始图像和特征模板要不要分开存：建议分开，且模板加密存储、访问控制细化到人。谁能在后台看到：后台账号的权限、导出功能、日志审计，以及数据留存期与离职后的删除，都要在制度里有明确答案。

取证之外还有个软成本：总部 HR 系统如果默认集成了生物识别模块，落地时往往被当作"标准配置"直接推给当地，结果落地第一周就埋下不合规定项。建议在设备采购清单评审环节就加一道检查，别等机房上架之后再改。

萨拉热窝本地节点、周边欧盟枢纽、中国香港或内地节点的三方取舍

把节点位置定下来，通常是在合规、时延、成本之间做三角题。波黑位于西巴尔干，亚得里亚海岸线极短，境内多山，国际流量通常经萨格勒布、贝尔格莱德、维也纳、米兰等周边枢纽转接——这个地理前提决定了"本地节点"的优势主要在境内最后一跳和政策邻近，而不是国际出口的丰富度。

这张表怎么用，说说我的判读方法。第一行（管辖）是硬约束，第二行（时延）是体验约束，最后一行（成本）才是优化目标。顺序不能颠倒——先满足管辖，再调体验，最后抠钱。如果业务是单一面向波黑境内用户且涉及敏感度较高的个人信息，我一般倾向于把主库留在本地、把只读报表层外迁；如果业务是 BPO 交付欧盟客户，那么迁到欧盟枢纽反而能减少一份跨境依据文件。

还有一条判断标准经常被漏掉：哪种方案能让你的 72 小时通知链条最短。所有机器都在一家服务商手上时，事件信息与整改动作的传递只需一跳；跨三个区域三家供应商，光是"谁先发现、谁报告谁"就要半天，而这半天是从 72 小时里扣的。

多山地形、冬季供电与跨境陆缆：该向服务商提的十一个问题

波黑境内多山，跨境连接对周边枢纽的依赖度高，这类地理约束不会写在 SLA 宣传页上，但会写进你某次故障复盘里。与其事后追一个数，不如签约前把问题问到位。以下清单是我做选型评审时常用的，答案本身不重要，重要的是对方答不上来的那几条。

关于基础设施：机房所在建筑的供电架构是什么（是否有双路市电、柴发续航多久、UPS 覆盖到什么层级）；机房是否有 ISO 体系认证或第三方审计报告可以提供摘要；同一建筑内是否有其他租户的高密度机柜，是否出现过功率墙或限电。关于网络：上游有几家运营商，出境主要走哪几个方向，是否提供多上游自动切换；跨境段落是否有明确的冗余路由；能否提供 Looking Glass 或流量监测口径供自检。

关于运维：备件库在哪里，故障件的更换周期怎么算；是否支持远程挂载 ISO、线上 console、带外管理；是否提供快照与异地备份接口，能否把日志持续外发到你自己的对象存储；工单系统的语言支持范围与平均响应机制；以及最关键的一条——发生疑似安全事件时，你们的内部上报流程要求你们在多久之内通知客户（这条答案直接决定你的 72 小时是否够用）。

把这十一条问完之后，你基本能判断这家服务商属于"有治理能力的供应商"还是"只有机位"。前者会在第一轮就主动给出审计材料清单，后者往往要催三次才回一句"我们有 24 小时值守"。

波斯尼亚语/克罗地亚语/塞尔维亚语：隐私政策与工单语言的本地化落差

语言这块，很多团队低估了它作为合规风险的性质。一份只有中文和英文的隐私政策，如果读它的对象是被通知的数据主体或监管机构出资文件，那么"看不懂"本身就是问题。波黑的官方语言体系包含波斯尼亚语、克罗地亚语、塞尔维亚语，实际文档落地时，还需要处理拉丁字母与西里尔字母的取舍，以及不同用户群体的阅读习惯。

我的实践建议是三层。第一层，面向用户的隐私政策与 Cookie/追踪说明，必须有当地语言版本，并且由母语者校对——机翻法律文本的语义漂移在监管沟通里是会被反复引用的。第二层，同意文本要在 UI 层级本地化，尤其是明示同意场景（生物识别、特殊类别数据），不能用英文长段的免责句子直接堆出来。第三层，工单与事故沟通，确认服务商的工单语言支持范围，同时约定出具报告时的语言版本。

还有个成本容易被忽略：把英文版的运维文档翻译成当地语言的过程，本身就是一次核对机会。核对过程中往往会发现那些从来没人执行过的所谓"流程"——这也是为什么合规落地不建议完全外包给模板生成器。

被抽查时拿得出什么：台账清单与 4,000 万 BAM 上限之外的真实成本

4,000 万 BAM 或全球营业额 4% 的上限具备足够的威慑力，但对中小出海团队来说，真正痛的不是罚款，而是"说不清"。整改成本绝大部分落在文档与流程上，硬件通常不用换。

一份能拿得出手的台账，我建议包含九样东西：处理活动清单（按业务系统拆分，含数据类别与主体类型）、角色认定说明（你是 controller 还是 processor，或在不同场景中的双重身份）、法律基础说明（为什么可以处理这批数据）、跨境传输依据文件（充分性决定或保障措施文本，含备份链路）、已签署的 DPA 与子处理者清单、安全措施说明（加密、访问控制、备份、凭据管理）、留存与删除时间表、泄露登记台账（含未达通知门槛的内部记录，以及为什么判定为未达门槛的理由）、数据主体请求处理记录。第九样最容易被漏：内部登记账要包含"我们判断不需要通知"的那些事件，因为判断本身需要被审计。

预算排布上，把钱花在三个地方收益最高：一是把数据流图和 DPA 补齐，这是所有后续动作的地基；二是把监控、日志留存、取证与值班制度做成可执行的清单，而不是漂亮的 PPT；三是把跨境链路上所有隐性的流向（备份、监控、错误上报、第三方 SaaS）全部登记到位。相比之下，为了"看起来更安全"去做硬件升级，投入产出比很低。

还要注意一个时间变量：2026-06-23 已有一份修订提案仍在程序之中，尚未形成生效法律。这提醒我们，写进制度的内容要考虑到可能被修订的部分，凡涉及具体条款引用，务必注明"以官方最新公报及监管机构公告为准"。

五个高频雷区：误判管辖、漏算备份链路、把 GDPR 等同适用、生物识别缺替代、合同签给错的主体

雷区一：以为服务器在欧盟就不受 12/25 约束。为什么错——12/25 明确覆盖面向波黑境内个人进行定向服务或行为监控的境外主体。怎么判断——看你是否使用当地语言落地页、是否有本地定价与本地支付方式、是否投放本地渠道、是否处理当地公民的数据。怎么避——只要命中两条以上，就按双轨合规来准备。

雷区二：只登记生产链路，不登记备份与监控链路。为什么错——跨境机制对传输的定义看的是"数据是否被传送到境外"，与是不是主用业务无关。怎么判断——列出所有 outbound 连接，包括异地备份、集中日志、APM、错误上报、CDN 回源、客服工单 SaaS。怎么避——把这张清单作为每年至少两次的固定复核项。

雷区三：把"对齐 GDPR"理解成"GDPR 直接适用"。为什么错——12/25 转化了 GDPR 用于一般处理、转化 Directive (EU) 2016/680 用于主管机关为刑事目的的处理，但波黑本身不是 GDPR 辖区，对齐不等于替代，管辖机构、程序、语义解释都可能不同。怎么判断——凡是涉及欧盟机构或跨境机制的措辞，一律回原文核对。怎么避——制度文档里保留"依据波黑本国法条 + 转化为参照"的表述，别直接写"依据 GDPR"。

雷区四：考勤门禁只有刷脸一条路。为什么错——57b 要求同时提供替代方式并取得明示同意。怎么判断——问当地员工：如果今天我说不刷脸，你还能不能正常打卡？答案是否就说明方案不合格。怎么避——上线首日就并行提供工卡或 PIN 路径，同意书单独签署且可撤回。

雷区五：DPA 签给了错误主体。为什么错——签约方要是实际的控制者/处理者主体，很多团队签的是 BVI 或中国香港的壳公司，而实际运营和数据流向在波黑当地实体，导致文件与事实不匹配。怎么判断——把数据流图上的每个节点对应到法人实体，看合同签署方是否一致。怎么避——重新审视集团架构下的签约主体，必要时补签集团内协议。

出海团队常问的七个具体问题：从小公司是否豁免到选型该问什么

问一：只有十几名员工的小公司，也要按 12/25 做全套文档吗？适用范围并不以人数为唯一门槛，设立、居住或运营在波黑的控制者与处理者都在其中。但义务的颗粒度应随风险缩放：处理量小、不涉及特殊类别数据、不做跨境的团队，可以把精力集中在处理活动清单、安全措施说明、留存删除时间表、以及泄露登记台账这四样上，先把"说得出"做到位。随着业务扩展再补做 DPIA 类的评估动作。判断的标准不是公司人数，而是数据的敏感度和跨境复杂度——这一点在多家代理机构公开说明中被反复强调，具体尺度以官方最新公报与监管机构公告为准。

问二：数据放在萨拉热窝本地，是不是就不需要跨境文件了？把数据留在波黑境内，确实省掉了一大部分跨境工作，但不等于万事大吉。仍然要说清楚：备份有没有同步到境外、在用哪些第三国 SaaS、远程运维通道是否有境外工程师可读、监控与日志是否外发到境外机房。任何一条成立，就要有对应的传输依据。另外，即使全部留在境内，如果境外主体（例如中国内地母公司）能够远程访问并且这批数据最终服务于境外目的，也可能构成一次传输——这类"远程访问算不算传输"的判断需要结合具体情形，建议咨询熟悉当地法的执业律师。

问三：12/25 和 GDPR 到底什么关系？12/25 是把欧盟 GDPR（Regulation (EU) 2016/679）转化进本国法，用于一般处理场景；同时转化 Directive (EU) 2016/680，用于主管机关为刑事目的的处理。这是"转化"而非"直接适用"：波黑本身不是 GDPR 辖区，因此欧盟监管机构发布的决定、欧盟层面的一站式机制等并不自动延伸到波黑。实务含义是：你可以借鉴 GDPR 的合规方法论和数据建模，但在具体处理依据、跨境依据、电子文书往来上，要回到波黑本国法条和本地监管机构的要求。

问四：谁是监管机构？它有多大权限？是波斯尼亚和黑塞哥维那（BiH）个人数据保护局（Agency for the Protection of Personal Data in BiH），作为独立行政机构运作，总部设在萨拉热窝，局长由部长会议任命，任期四年并可连任，经费来自波黑机构预算。立法架构上属国家层面统一权限，由这一家机构在全国范围管辖，法院在行使司法职能时除外。它对数据出境拥有监督权限，行政罚款上限依据第 96–115 条。被检查时能快速提交完整台账，通常是把事情按住的有效方式。

问五：72 小时的起算时间到底怎么定？法律的表述是"意识到之后"，但"意识到"不是"确认根因"。建议内部采取更保守的定义：任何承担响应职责的人员在任一渠道获得足以判断"可能发生泄露"的信息，即开始计时。这样定义会牺牲一些自由度，但换来的是防线前置。配套动作包括：说服管理层接受"疑似即报"、约定处理者的首次通知时限、建立可由非管理层触发的升级入口、以及把证据保全放在修补前面。主权监管机构通常接受先粗后细的补充报告，但很少接受"我们当时还不确定"作为迟延的正当理由。

问六：生物识别有哪些红线？57a 针对以安全识别为目的的处理，要求明示同意；57b 针对员工考勤与出入控制，要求提供替代方式且取得明示同意。翻译成动作就是三件事：必须有不依赖生物特征的替代路径且真实可用、同意必须明确作出而非默认勾选、模板与原始数据应当分开加密存储并限制后台可见性。同时别忘了供应商的云端位置——如果特征模板被同步到第三国，这本身就是一条需要依据的跨境链路。雇佣关系中的权力不对称也会削弱"同意"的自愿性，尽量保留撤回通道。

问七：选型阶段最该问服务商什么问题？我一般把优先级排成三段。第一段是能不能配合——能否提供 DPA、能否列出子处理者、能否约定高层次的事件通知时限、能否出具审计材料摘要。第二段是能不能取证——是否支持快照、日志外发到独立存储、带外管理的凭据轮转。第三段才是硬件配置与价格。值得注意的是，欧洲区域公开起步价约 ¥1299 起这类口径仅供参考，具体到波黑本地资源，公开渠道报价差异较大，一律写"需询价、以官方实时报价为准"更稳妥；时延同理，需实测。

一万网络在波黑方向的节点与合规配合方式

西巴尔干这类"小而复杂"的市场，客户最需要的往往不是一台机器，而是一条能把管辖区片全讲清楚的路径。一万网络深耕 IDC 19 年（成立于 2007 年），在华南、华东、华北及中国香港、海外多地整合自营节点与 BGP 多线资源，提供服务器租用、机柜托管与带宽接入的一体化交付；具体机型、带宽与报价以官网实时信息或咨询确认为准。

在涉及波黑这类刚完成立法切换的目的地时，我们通常把工作拆成两段走。第一段是架构侧的输出：帮你把业务拆成前台交互层、本地数据层、总部汇总层，明确哪一层必须留在当地、哪一层可以外迁到维也纳或米兰这类周边枢纽、哪一层适合放到中国香港或内地做异地副本，并据此给出对应的租赁方案与带宽形态。第二段是文档侧的配合：提供可签署的数据处理协议文本、列出次级处理者清单、说明加密与访问控制措施、约定安全事件的首报时限，让客户那份给欧洲合作方的附件能顺利交上去。

有两类误区我们会在方案评审时主动提醒：一是以为把机器放境外就绕开了 12/25，实际上面向波黑境内用户定向一样适用；二是把所有层次压缩到一个节点图省事，结果总部报表、灾备副本、日常运维全挤在同一条跨境链路上。合理的做法是分层处理并给每一层配对应的传输依据，机器选型服从这个分层，而不是反过来。

数据来源

波黑《个人数据保护法》（Law on Protection of Personal Data），Official Gazette of BiH No. 12/25：2025-01-30 通过，2025-02-28 公布于官方公报，公布后再经 210 天适用延迟，2025-10-04 起实际适用，取代 OG BiH 49/06、76/11 旧法；罚则见第 96–115 条，泄露通知见第 35、36、86、87 条，数据主体权利见第 14–25 条，特殊类别数据、犯罪记录数据与儿童同意见第 10–12 条，生物识别见第 57a、57b 条。

波黑波斯尼亚和黑塞哥维那（BiH）个人数据保护局（Agency for the Protection of Personal Data in BiH）公开说明：机构性质、总部设于萨拉热窝、局长由部长会议任命（任期四年、可连任）、经费来自波黑机构预算、监察权限范围。

FENA 通讯社 2026-01-28 数据保护日（Data Protection Day）发布会报道：监管机构对该法实施情况与后续工作的公开表述。

法规条文公开英译本（波黑统计局 / IDDEEA 网站托管版本）：用于核对适用范围、跨境传输机制、第 96–115 条罚则与具体条号表述。

欧盟 GDPR（Regulation (EU) 2016/679）与 Directive (EU) 2016/680 官方文本：用于说明 12/25 的转化来源及其与直接适用的区别。

LexLint 波黑法规库（2026-09 更新）：用于交叉核对法规状态、2026-06-23 修订提案尚在程序之中等信息；凡涉及条款变动，以波黑官方公报最新内容与监管机构公告为准。

说明：文中涉及的时延、本地带宽与硬件报价均标注为"需实测"或"以官方实时报价为准"，未引用任何未经核实的数值；尚未定稿的修法内容已标明"尚在程序中"。