我國跨境數(shù)據(jù)流動制度亟待完善

劉耀華

跨境數(shù)據(jù)流動政策是數(shù)據(jù)治理國際化中的重要議題，事關國家數(shù)據(jù)安全和數(shù)字經(jīng)濟發(fā)展。

美國知名智庫布魯金斯學會的研究顯示，在2009年到2018年的10年間，跨境數(shù)據(jù)流動對全球GDP增長的貢獻度高達10.1%，預計2025年數(shù)據(jù)跨境流動對全球經(jīng)濟增長的價值貢獻有望突破11萬億美元。美國、歐盟和其他國家（地區(qū)）根據(jù)自身安全和經(jīng)濟發(fā)展等訴求，建立了不同的跨境數(shù)據(jù)流動政策。我國正處于數(shù)字經(jīng)濟快速發(fā)展的戰(zhàn)略機遇期，亟須完善跨境數(shù)據(jù)流動相關制度，明確我國對內(nèi)對外基本主張。

推本溯源，什么是跨境數(shù)據(jù)流動？

筆者認為，目前，聯(lián)合國跨國公司中心對跨境數(shù)據(jù)流動的定義最為權威：跨越國界對存儲在計算機中的機器可讀數(shù)據(jù)進行處理、存儲和檢索。這一定義包含兩種形式上的跨境數(shù)據(jù)流動：一種是數(shù)據(jù)跨越國界（流出和流入）傳輸和處理;另一種是數(shù)據(jù)即使沒有跨越國界，但被第三國主體訪問。全球僅有少數(shù)國家將后者作為跨境數(shù)據(jù)流動進行管理，大多數(shù)國家將物理上確實跨越了國界的數(shù)據(jù)流動作為監(jiān)管重點，這也是本文的主要關注方向。

跨境數(shù)據(jù)流動根據(jù)主導主體不同，其主要形式可以分為政府主導的及企業(yè)主導的跨境數(shù)據(jù)流動。

政府主導的跨境數(shù)據(jù)流動一般通過雙邊或多邊的合作機制實現(xiàn)。出于對各國國家主權的相互尊重，一國政府獲取存儲在其他國家的數(shù)據(jù)，應由政府之間通過合作、磋商等手段實現(xiàn)。然而，有些國家為提升跨境調(diào)取數(shù)據(jù)的效率，打破了傳統(tǒng)的合作機制，采取直接要求企業(yè)提供境外數(shù)據(jù)、通過立法實施長臂管轄等強制性方式獲取所需數(shù)據(jù)。比如，2013年美國政府為進行反毒品調(diào)查要求微軟提供存儲于愛爾蘭數(shù)據(jù)中心的客戶數(shù)據(jù);2018年美國通過《澄清境外數(shù)據(jù)的合法使用法案》（CLOUD 法案），為美國執(zhí)法機構訪問在美國境內(nèi)運營的企業(yè)存儲在海外的用戶數(shù)據(jù)提供明確授權，明確要求服務提供者提供在境外存儲的數(shù)據(jù)。

企業(yè)主導的跨境數(shù)據(jù)流動主要源自跨境貿(mào)易活動。隨著經(jīng)濟全球化、社會信息化深入發(fā)展，企業(yè)通過建立電子商務、社交網(wǎng)絡、數(shù)字媒體等跨境互聯(lián)網(wǎng)平臺實現(xiàn)跨境服務，跨境數(shù)據(jù)流動現(xiàn)象更加突出。而隨著工業(yè)互聯(lián)網(wǎng)、云計算等新興技術的發(fā)展，數(shù)據(jù)的流動呈量級式的增長，涉及領域也越來越廣。

知己不殆，各國政府的管理方式和戰(zhàn)略意圖

國際上對跨境數(shù)據(jù)流動監(jiān)管并未形成統(tǒng)一框架，各國以維護本國利益為出發(fā)點，并在國家安全、隱私保護、產(chǎn)業(yè)能力等多元因素的復雜影響下構建跨境數(shù)據(jù)流動監(jiān)管制度。

美國依托其強大的互聯(lián)網(wǎng)產(chǎn)業(yè)倡導數(shù)據(jù)自由流動。在美國國內(nèi)，互聯(lián)網(wǎng)企業(yè)先發(fā)優(yōu)勢帶來的天然數(shù)據(jù)本地化存儲能夠使美國政府對本國數(shù)據(jù)實現(xiàn)有效管控。在全球范圍，2018年，亞馬遜、微軟、谷歌、IBM等4家美國企業(yè)占全球公共云服務市場份額近70%，掌握對全球數(shù)據(jù)的巨大控制權，這是其提倡數(shù)據(jù)自由流動的根本原因。

對外，美國政府極力宣揚APEC的“跨境隱私保護規(guī)則”（CBPR）體制，通過拉攏各方加入低水平保護的跨境數(shù)據(jù)流動秩序，確保各國不會用“國內(nèi)高水平保護”為理由限制數(shù)據(jù)流動，最終實現(xiàn)數(shù)據(jù)向美國聚攏。對內(nèi)，以國家安全為由對特定數(shù)據(jù)提出限制出境或嚴格審查要求，如包括電信業(yè)務和信息業(yè)務（相當于我國基礎和增值）、數(shù)據(jù)中心、衛(wèi)星或衛(wèi)星系統(tǒng)、工業(yè)控制系統(tǒng)數(shù)據(jù)等在內(nèi)的關鍵基礎設施數(shù)據(jù)，新興和關鍵技術數(shù)據(jù)，包括非公通信數(shù)據(jù)、地理位置數(shù)據(jù)、生物識別數(shù)據(jù)以及基因序列數(shù)據(jù)等在內(nèi)的敏感個人數(shù)據(jù)均被納入管控中。

歐盟強調(diào)在保護個人數(shù)據(jù)的前提下允許跨境數(shù)據(jù)流動。歐盟一直將個人數(shù)據(jù)作為基本權利進行保護，從1995年的數(shù)據(jù)保護指令到2018年出臺的《通用數(shù)據(jù)保護條例》（GDPR），個人數(shù)據(jù)保護力度不斷提升。歐盟公民個人數(shù)據(jù)原則上應存儲在歐盟境內(nèi)，僅在滿足特定條件下才能進行跨境數(shù)據(jù)流動。

其中最重要的是“白名單制度”，即一個國家或地區(qū)的個人數(shù)據(jù)保護水平經(jīng)歐盟評估達到GDPR同等保護水平，歐盟公民個人數(shù)據(jù)才可以被轉移到該國家或地區(qū)。當前進入白名單的只有安道爾、阿根廷、加拿大（限于商業(yè)組織）、法羅群島、根西島、以色列、馬恩島、日本、澤西島、新西蘭、瑞士、烏拉圭和美國（僅限于隱私盾協(xié)議）13個國家和地區(qū)。

另外，如果企業(yè)采取有約束力的公司規(guī)則、標準合同條款、已批準的行為準則等充分性保障措施，歐盟公民的個人數(shù)據(jù)也可以跨境流動到這些企業(yè)。歐盟擁有5億多消費者，市場規(guī)模龐大，很多國家為使企業(yè)在歐盟順利運營，一直與歐盟進行跨境數(shù)據(jù)流動的談判，歐盟在全球形成了以GDPR為中心的“跨境數(shù)據(jù)流動圈”。

印度和俄羅斯等發(fā)展中國家為實現(xiàn)產(chǎn)業(yè)發(fā)展和國家安全實行數(shù)據(jù)本地化。印度和印尼等發(fā)展中國家在G20峰會表示，跨境數(shù)據(jù)流動嚴重阻礙發(fā)展中國家從數(shù)據(jù)貿(mào)易中獲利，希望保留對跨境數(shù)據(jù)流動進行限制的政策空間，可以通過數(shù)據(jù)本地化存儲促進本國數(shù)字產(chǎn)業(yè)發(fā)展。

印度立法要求一般個人數(shù)據(jù)和敏感個人數(shù)據(jù)在印度境內(nèi)存儲副本后才可以跨境流動，關鍵個人數(shù)據(jù)、物聯(lián)網(wǎng)數(shù)據(jù)、支付數(shù)據(jù)等要求只能本地化存儲，不允許跨境流動。印尼正在修訂電子系統(tǒng)運營與交易規(guī)則，擬要求公共電子系統(tǒng)運營者擁有的戰(zhàn)略性數(shù)據(jù)（政府、能源、交通、金融、醫(yī)療、IT和通信、國防等）在境內(nèi)進行存儲。俄羅斯在“棱鏡門”事件后出于對國家安全的擔憂，在2014年通過兩個立法修正案要求所有國內(nèi)外公司必須在俄境內(nèi)的服務器上存儲和處理俄公民的個人數(shù)據(jù)，但是并沒有禁止個人數(shù)據(jù)跨境傳輸，其跨境數(shù)據(jù)流動政策核心是對所有個人數(shù)據(jù)施行本地化留存。比如，2019年，俄聯(lián)邦通訊、信息技術和傳媒監(jiān)督局要求臉書、推特和抖音海外版將用戶數(shù)據(jù)存儲在俄羅斯國內(nèi)。

發(fā)軔之始，我國跨境數(shù)據(jù)流動制度還有待完善

在《網(wǎng)絡安全法》出臺前，我國金融、醫(yī)療、氣象等行業(yè)主管部門已經(jīng)在法規(guī)、部門規(guī)章層面制定了數(shù)據(jù)出境管理相關規(guī)則，禁止或限制行業(yè)內(nèi)重要數(shù)據(jù)出境。隨后，以《網(wǎng)絡安全法》為重要節(jié)點，我國在跨境數(shù)據(jù)流動方面從國家、行業(yè)、企業(yè)層面開展了一系列頂層設計及管理實踐工作。

《網(wǎng)絡安全法》第三十七條明確了我國數(shù)據(jù)出境基本管理制度。一是明確了管理范圍，即在境內(nèi)運營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)，因業(yè)務需要，確需向境外提供的數(shù)據(jù)出境活動。二是明確了關鍵信息基礎設施運營者為落實數(shù)據(jù)出境管理要求的責任主體。三是針對關鍵信息基礎設施存儲的個人信息和重要數(shù)據(jù)提出數(shù)據(jù)本地化要求。四是明確采取安全評估管理制度，以降低數(shù)據(jù)出境安全風險。

在此基礎上，我國在構建跨境數(shù)據(jù)流動管理制度方面仍存在兩方面主要問題。

一方面，對內(nèi)有待完善《網(wǎng)絡安全法》中確立的管理要求，明確重點行業(yè)領域的具體要求。各國個人信息的跨境管理規(guī)定在個人信息保護立法中，通過明確個人信息保護的基本原則確立對于跨境流動的要求。我國《個人信息保護法》未出臺，在個人信息的跨境流動要求上沒有統(tǒng)一和明晰的規(guī)定。當前，我國《網(wǎng)絡安全法》第三十七條雖然確立了關鍵信息基礎設施個人信息和重要數(shù)據(jù)的本地化管理，但缺乏下位法支撐，《關鍵信息基礎設施安全保護條例》、個人和重要數(shù)據(jù)出境安全評估管理辦法等在內(nèi)的配套規(guī)定遲遲沒有出臺，數(shù)據(jù)出境安全評估制度無法落地實施。

另一方面，對外尚未能夠在全球跨境數(shù)據(jù)流動規(guī)則建立中掌握主動權，發(fā)揮關鍵作用。各國跨境數(shù)據(jù)流動規(guī)則呈現(xiàn)多極化、差異化和復雜化態(tài)勢，企業(yè)在經(jīng)營業(yè)務過程中需針對不同地區(qū)采取差異化數(shù)據(jù)跨境措施，增加了合規(guī)成本。為了減小跨境數(shù)據(jù)流動的政策障礙，歐美一直在國際規(guī)則制定中輸出各自理念，試圖統(tǒng)一多方規(guī)則，構建以各自利益為核心的“跨境數(shù)據(jù)流動圈”。與歐美相比，我國未抓住規(guī)則制定的主動權和話語權，未利用有利的國家關系形成以我國為主的“跨境數(shù)據(jù)流動圈”，歐美數(shù)據(jù)流動圈不斷擴張，將會對我國未來開展數(shù)字貿(mào)易、推動數(shù)據(jù)企業(yè)“走出去”造成更大阻礙。

雙管齊下，內(nèi)外結合完善我國整體管理體系

在當前國際局勢下，構建跨境數(shù)據(jù)流動管理制度應當服務于我國建設網(wǎng)絡強國、制造強國的戰(zhàn)略目標和整體經(jīng)濟發(fā)展的戰(zhàn)略需要，對內(nèi)堅持“數(shù)據(jù)本地化”的底線要求，防止數(shù)據(jù)不必要輸出，加快構建以數(shù)據(jù)本地化和數(shù)據(jù)出境安全評估為核心抓手的跨境數(shù)據(jù)流動管理制度。對外以合作共贏為目標，爭取貿(mào)易伙伴和規(guī)則支持者，促進數(shù)據(jù)合法、有序流動，構建以我國為主的“跨境數(shù)據(jù)流動圈”。

圍繞這一戰(zhàn)略方向，筆者提出以下具體建議：

（一）以“限制輸出、鼓勵輸入”為目標完善我國跨境數(shù)據(jù)流動管理制度

我國應完善跨境數(shù)據(jù)流動制度，明確我國監(jiān)管政策整體方向，清晰界定制度落實中的關鍵要素。一是貫徹落實《網(wǎng)絡安全法》，完善數(shù)據(jù)出境管理。總體上堅持數(shù)據(jù)本地化原則，在開展安全評估前提下推動數(shù)據(jù)自由流動，盡快出臺《關鍵信息基礎設施安全保護條例》，發(fā)布個人信息和重要數(shù)據(jù)出境安全評估具體管理辦法等配套規(guī)定，盡快建立電信和互聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)等重要行業(yè)的跨境數(shù)據(jù)流動安全評估制度。二是制定出臺《個人信息保護法》，完善我國個人信息保護制度。通過明確我國個人信息保護的具體思路和要求，為我國個人信息的跨境流動明晰方向，同時提升我國個人信息保護水平，在與其他國家的跨境數(shù)據(jù)流動規(guī)則談判中占據(jù)主動地位。

（二）在部分地區(qū)開展先行先試

選擇粵港澳大灣區(qū)作為試點，在嚴格遵守法律法規(guī)要求的基礎上最大釋放數(shù)據(jù)價值。建議優(yōu)先選擇金融、商貿(mào)、衛(wèi)生數(shù)據(jù)，搭建滿足監(jiān)管與業(yè)務需求的數(shù)據(jù)安全流通平臺，綜合應用區(qū)塊鏈等先進技術，實現(xiàn)數(shù)據(jù)安全存儲、數(shù)據(jù)安全流通等功能，為粵港澳大灣區(qū)數(shù)據(jù)跨境流動及安全監(jiān)管提供切實可行的技術解決方案。

（三）積極參與全球跨境數(shù)據(jù)流動規(guī)則制定，聯(lián)合可信國家構建以中國為主的“跨境數(shù)據(jù)流動圈”

我國應加強國際交流合作，通過多邊和雙邊機制積極主導、參與跨境數(shù)據(jù)流動的國際規(guī)則塑造。一是依托國際電信聯(lián)盟、亞太電信組織、G20、“一帶一路”等機制，加強國際數(shù)據(jù)治理政策儲備和治理規(guī)則研究，提出中國方案，推進構建以我國為主導的“跨境數(shù)據(jù)流動圈”。二是建立跨境數(shù)據(jù)流動規(guī)則的雙邊對話機制，積極同歐盟、日本等達成類似美歐“隱私盾”的雙邊協(xié)議，為我國企業(yè)“走出去”提供機會。