個人數(shù)據(jù)跨境傳輸中域外立法管轄權(quán)的適用研究

李芷馨

（北京師范大學 法學院，北京 100875）

一、問題的提出

于2018 年落下帷幕的“微軟訴美國跨境數(shù)據(jù)索取案”（Microsoft Corp.v.United States）①國外相關(guān)報道文字中也常用“微軟愛爾蘭案”（Microsoft Ireland case）來指代此案。首次將域外管轄引入了個人數(shù)據(jù)跨境傳輸領(lǐng)域，該案背景如下。在一起發(fā)生在美國的毒品走私案中，美國聯(lián)邦調(diào)查局（FBI）意欲獲取由微軟公司存儲的關(guān)鍵電子證據(jù)（該案中為電子郵件），而后者認為該電子證據(jù)存儲于愛爾蘭境內(nèi)的數(shù)據(jù)庫，美國政府無權(quán)使用數(shù)據(jù)調(diào)用指令要求其披露用戶數(shù)據(jù)。雙方因此產(chǎn)生嚴重分歧，微軟公司作為原告正式起訴。一審法院認為，依據(jù)美國的存儲通信法案（the Stored Communication Act，以下簡稱SCA），數(shù)據(jù)位于何國境內(nèi)并不重要，關(guān)鍵在于該數(shù)據(jù)由何國企業(yè)控制，故微軟公司必須披露其控制的涉訴數(shù)據(jù)，而不受國境的限制。②《存儲通信法案》（Stored Communication Act, SCA）是美國執(zhí)法機構(gòu)強制個人或企業(yè)披露私人電子通信數(shù)據(jù)所依據(jù)的重要法律，其核心在于嚴格限定境外獲取美國境內(nèi)數(shù)據(jù)的行為及對象，但并未對美國索取境外數(shù)據(jù)的行為及對象給出明確標準。See 18 U.S.C.§2702-2703, §2711（4）。與此截然不同的是，當案件進入二審程序后，曼哈頓巡回法院推翻了上述論斷，認為美國政府要求提供的電子郵件屬于用戶的隱私而非SCA 所謂的“記錄”，并且涉案數(shù)據(jù)存儲在愛爾蘭境內(nèi)，故該案具有涉外性，涉訴數(shù)據(jù)必受一國主權(quán)管轄，美國政府只可通過涉外司法協(xié)助的方式取得。同時，上訴法院認為，根據(jù)美國的立法慣例，國會立法的效力僅僅及于美國境內(nèi)，除非在立法中存在著明顯相反的表述。一審法院審判的法律依據(jù)SCA并無相反表述，因此其不具有適用于境外的效力，與之相關(guān)的數(shù)據(jù)調(diào)用指令因本案涉外的性質(zhì)而無效。①梁坤：《美國〈澄清合法使用境外數(shù)據(jù)法〉背景闡釋》，《國家檢察官學院學報》2018年第5期，第157頁。

作為回應(yīng)，美國司法部向美國最高法院提出上訴，而在美國最高法院審理期間，美國國會通過了澄清境外合法使用數(shù)據(jù)法（以下簡稱CLOUD 法案），該法案修訂了SCA。美國最高法院依據(jù)新的“數(shù)據(jù)控制者標準”，撤銷了曼哈頓巡回法院的判決。不久后，歐盟也推出了針對個人數(shù)據(jù)跨境傳輸領(lǐng)域相關(guān)問題的立法，即《通用數(shù)據(jù)保護條例》（以下簡稱為GDPR 法案）。自此，通過創(chuàng)設(shè)國內(nèi)法依據(jù)，在個人數(shù)據(jù)跨境傳輸領(lǐng)域拓展域外立法管轄權(quán)，以維護國家安全為由，搶占數(shù)據(jù)信息市場的國家實踐開始頻繁出現(xiàn)。

誠然，常設(shè)國際法院在“荷花號案”中認為，立法管轄權(quán)的行使規(guī)則是“法無禁止則許可”。②See “Lotus”（France v.Turkey）, 1927 PCIJ Series A10, Judgment of 7 September 1927, p.18-19.這意味著國際法給予了主權(quán)國家廣泛的自由裁量權(quán)，且并不禁止其將自身國內(nèi)法適用到領(lǐng)域之外（territorial），除非這種適用本身被國際法禁止性規(guī)定排除。實際上，這里的但書規(guī)則的效果是十分有限的，在國際法中，對主權(quán)國家域外立法的禁止性規(guī)定非常罕見，③例如WTO上訴機構(gòu)在DS 58: US - Shrimp案中認為，盡管美國對蝦和蝦產(chǎn)品的進口禁令是與保護可耗盡的自然資源有關(guān)，但由于該瀕危物種法對外國作出的具體政策決定產(chǎn)生了實際上的強制作用，因此該禁令構(gòu)成對WTO 成員方“任意和不合理”的歧視，故不滿足GATT第20條一般例外條款序言中的構(gòu)成要件。更多是通過聯(lián)合國大會決議中的“建議”“譴責”的方式體現(xiàn)，但這些行動并非國際法院規(guī)約第38條中的國際法淵源，故并不具有強制力。大國往往以“荷花號案”及之后經(jīng)過反復(fù)的國家實踐和不斷形成的法律確信來佐證這一習慣國際法的形成，意欲為其濫用域外立法管轄權(quán)的行為尋找正當性基礎(chǔ)。但顯然這些國家只考慮到了自己的利益，而忽視了對他國領(lǐng)域內(nèi)事務(wù)形成干涉的實質(zhì)效果，這種做法是否符合國際法基本原則，成為需要探索的問題之一。

具體到個人數(shù)據(jù)跨境傳輸領(lǐng)域，上述案件中的爭議點在于，SCA 法案是否能夠收集存儲在境外的電子數(shù)據(jù)，即能否依據(jù)SCA法案中的長臂條款，對“存儲在境外，但被境內(nèi)實體實際控制”的數(shù)據(jù)行使管轄權(quán)。該案很好地展現(xiàn)了當前數(shù)據(jù)出境與域外取證間的尖銳矛盾，并隨之引發(fā)了在域外立法管轄中的相關(guān)問題與思考。④See Privacy-Stored Communications Act-Second Circuit Holds the Government Cannot Compel An Internet Service Provider to Produce Information Stored Overseas.Microsoft Corp.v.United States, 829 F.3d 197（2d Cir.2016）,130 Harv.L.Rev.769（2016）.域外立法管轄權(quán)延伸至個人數(shù)據(jù)跨境傳輸領(lǐng)域的做法，及時回應(yīng)了當前司法實踐中對數(shù)據(jù)獲取的現(xiàn)實需求。但對于堅持“數(shù)據(jù)主權(quán)”原則的國家來說，這種適用恰恰污染了個人數(shù)據(jù)跨境傳輸這片“凈土”，既與傳統(tǒng)“屬地管轄”做法不符，又違背了國際禮讓原則，其體現(xiàn)出來的正當性與非正當性之爭，以及如何探索符合各方利益的域外立法管轄制度，恰是本文探討的重點。

二、個人數(shù)據(jù)跨境傳輸中域外立法管轄權(quán)的適用路徑

主權(quán)國家如何確定域外立法管轄權(quán)，是牽涉國際法律規(guī)范、外交禮儀等因素的復(fù)雜問題，故絕大多數(shù)國家會對其形成和適用持克制態(tài)度。①江國青：《演變中的國際法問題》，法律出版社，2002，第55頁。但在個人數(shù)據(jù)跨境傳輸領(lǐng)域，由于資源稀缺，不乏在霸權(quán)主義和單邊思想指導(dǎo)下反其道而行之的國家，其將國內(nèi)法中跨法域管轄的實踐延伸至跨國事務(wù)中，對域外立法管轄制度進行隨意的“長臂化”改造，單方面將國內(nèi)法的適用范圍強行擴展到全球之中。

（一）美國的適用路徑：全球化擴張屬人管轄模式

美國的數(shù)據(jù)保障體系奉行的仍是“霸權(quán)”和“強權(quán)”的美式政治傳統(tǒng)，即對外宣稱應(yīng)該在全球?qū)崿F(xiàn)數(shù)據(jù)和信息的自由流動與利用，但只準他國的數(shù)據(jù)和信息流入美國，不準美國的數(shù)據(jù)和信息流入他國。通過參與APEC“跨境隱私規(guī)則體系”（CBPR）的方式，美國不斷深化和鞏固自己作為全球最大數(shù)據(jù)流入國的地位。結(jié)合CLOUD 法案中確立的“數(shù)據(jù)控制者標準”來看，美國已經(jīng)完成了自己對全球數(shù)據(jù)市場管轄的進一步擴張，傳統(tǒng)的屬地管轄原則失去了作用，可以說，只要是美國想要參與的數(shù)據(jù)市場，該數(shù)據(jù)的管轄權(quán)就會落入美國法院的口袋。

在CLOUD 法案中，美國提出了兩大數(shù)據(jù)管轄原則。其一，即便數(shù)據(jù)的儲存地不在美國本土，但只要數(shù)據(jù)的所有權(quán)被美國控制，其就擁有絕對的管轄權(quán)。其二，基于對等原則，如果外國政府想要獲取位于本國境內(nèi)，但由美國政府實際控制的數(shù)據(jù)，那么當美國政府存在同樣的需求時，外國政府也必須同意。同時，美國還有權(quán)單方面關(guān)閉數(shù)據(jù)獲取通道。除此之外，CLOUD 法案的最大特征就是明確了通過數(shù)據(jù)控制者標準主張數(shù)據(jù)管轄權(quán)的原則，即只要數(shù)據(jù)的控制者（無論是企業(yè)、組織或個人）具有“美國籍”的身份，其依照SCA 規(guī)定義務(wù)所保存的任何信息的管轄權(quán)，都屬于美國，而不問該信息儲存主體的所在地。由此可知，美國從主張“美國籍”數(shù)據(jù)服務(wù)商的屬人管轄，進化到對“美國籍”數(shù)據(jù)服務(wù)商所持數(shù)據(jù)的所有權(quán)管轄，并最終實現(xiàn)“美國籍”數(shù)據(jù)服務(wù)商所在國的數(shù)據(jù)主權(quán)管轄。這無疑是濫用數(shù)據(jù)技術(shù)優(yōu)勢和域外立法管轄權(quán)，間接搶占他國數(shù)據(jù)信息市場的行為，是對他國獨立主權(quán)的嚴重干預(yù)。但歸根結(jié)底，這是一種管轄權(quán)在數(shù)據(jù)領(lǐng)域的不當延伸行為。

但是，針對美國本土的數(shù)據(jù)，美國又主張適用屬地原則。即只要數(shù)據(jù)服務(wù)提供商注冊地在美國，或者數(shù)據(jù)服務(wù)提供商的數(shù)據(jù)儲存在美國本土，美國就具有當然的數(shù)據(jù)管轄權(quán)。為了不讓外國政府獲取美國本土的數(shù)據(jù)和信息，美國政府嚴格限制本土數(shù)據(jù)服務(wù)提供商的對外數(shù)據(jù)提供行為，以確保屬地管轄原則的適用。另一方面，美國政府還會嚴格監(jiān)控外國數(shù)據(jù)服務(wù)提供商的美國“登陸”行為，對在美發(fā)展的數(shù)據(jù)行業(yè)巨頭紛紛采取打壓和限制策略。例如，華為公司就被美國貼上了負面標簽，認為其是我國施行霸權(quán)主義的工具，有礙美國數(shù)據(jù)市場管轄的單一性，必須依據(jù)屬地管轄原則予以嚴厲驅(qū)逐。

（二）歐盟的適用路徑：區(qū)域內(nèi)效果管轄模式

與美國類似，歐盟也在2018年跟進了數(shù)據(jù)信息的保護立法，推出了GDPR法案，其最大特征為在數(shù)據(jù)跨境傳輸規(guī)范中添加了個人數(shù)據(jù)信息保護的標準。GDPR 法案一方面為出境數(shù)據(jù)設(shè)定了最低保護標準，另一方面實現(xiàn)了歐盟數(shù)據(jù)保護的域外擴張。根據(jù)歐盟的數(shù)據(jù)保護立法設(shè)想，GDPR 法案的適用范圍不是無邊界的，一旦跨出法案的適用范圍，就會產(chǎn)生不受拘束、無限制使用的數(shù)據(jù)風險。因此，在歐盟的數(shù)據(jù)保護立法模式中，數(shù)據(jù)傳輸和流動行為原則上是被禁止的，只有當出現(xiàn)法案第五章規(guī)定的特別情形時，才允許數(shù)據(jù)信息的個別跨境傳輸。易言之，“原則上禁止+例外中許可”構(gòu)成了歐盟數(shù)據(jù)保護立法的基本架構(gòu)。

在GDPR 法案中，無論是正在處理的數(shù)據(jù)，還是待傳輸后再處理的數(shù)據(jù)，也不論傳輸?shù)闹黧w是國家、組織還是個人，只要不能夠滿足第五章的例外規(guī)定，就禁止任何形式的數(shù)據(jù)跨境傳輸，為使自然人的基本權(quán)利不受減損提供了一種最低的和永久性的保護標準。換言之，在實踐中即使通過了歐盟的數(shù)據(jù)安全評估，出境后的數(shù)據(jù)仍然不能低于GDPR 法案設(shè)定的最低保護標準。如此一來，出境數(shù)據(jù)仍然受到歐盟的管轄，因為數(shù)據(jù)進口國仍然受制于GDPR 法案。這種基于個人基本權(quán)利的最低保護標準，實現(xiàn)了歐盟數(shù)據(jù)保護管轄權(quán)的變相擴張。此外，即使實際情況中滿足了第五章的例外許可規(guī)定，出口數(shù)據(jù)仍需滿足歐盟設(shè)置的合法性審查框架。①一般規(guī)定見GDPR 法案第5條至第8條，特別規(guī)定見GDPR 法案第13條第1款第f項、第14條第1款第f項、第15條第1款第c項和第2款、第28條第3款第a項、第30條第1款第d項和第e項及第2款第c項。該審查共分為兩個階段，在第一階段中，主要是以傳輸行為本身為對象，依據(jù)GDPR 法案的所有規(guī)定進行合法性審查；在第二階段中，則規(guī)定了“充分性認定”的實質(zhì)審查標準，需要抽離傳輸行為本身，對數(shù)據(jù)出境目的國的數(shù)據(jù)處理規(guī)定進行特別審查，以此避免數(shù)據(jù)出口到不受GDPR 法案控制的法域或地區(qū)，從源頭上杜絕數(shù)據(jù)濫用風險的出現(xiàn)。②一方面需要審查數(shù)據(jù)出境目的國的數(shù)據(jù)使用和保護水平，看其是否達到了GDPR 法案要求的同等水平；另一方面需要審查數(shù)據(jù)出境目的國的法律適用和法律救濟，看其是否達到了“有效的數(shù)據(jù)保護監(jiān)管”的標準。

（三）我國的適用路徑：探索兼顧安全與自由的管轄模式

相較于美國和歐盟的“進攻型”數(shù)據(jù)保護立法，我國在數(shù)據(jù)信息保護領(lǐng)域向來以尊重國家主權(quán)為原則，強調(diào)遵循傳統(tǒng)的地理國家界線，遵循合作而非對抗的數(shù)據(jù)信息執(zhí)法策略。③洪延青：《“法律戰(zhàn)”旋渦中的執(zhí)法跨境調(diào)取數(shù)據(jù)：以美國、歐盟和中國為例》，《環(huán)球法律評論》2021 年第1 期，第48頁。但是，為了有效應(yīng)對國家域外立法管轄權(quán)的無限擴張，從近幾年的立法實踐來看，我國也在發(fā)生細微的轉(zhuǎn)變，一種探索式的管轄模式正在生成。

通過考察我國當前已有的數(shù)據(jù)保護立法體系可以發(fā)現(xiàn)，無論是跨境數(shù)據(jù)的獲取，還是防御他國的跨境數(shù)據(jù)獲取行為，我國堅持的基本立場都是國家主權(quán)不容侵犯，必須基于平等和互惠原則進行跨境數(shù)據(jù)的傳輸活動。這一立場貫穿我國的所有數(shù)據(jù)跨境傳輸立法，從《中華人民共和國數(shù)據(jù)安全法》（以下簡稱《數(shù)據(jù)安全法》），到《國際刑事司法協(xié)助法》，再到《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》），可以說立法精神一脈相承，維護國家主權(quán)的基本內(nèi)核從未改變。與此同時，屬地管轄和數(shù)據(jù)本地化成為數(shù)據(jù)保護立法的兩大基本原則，只要是發(fā)生在我國境內(nèi)的一切與網(wǎng)絡(luò)相關(guān)的活動，包括但不限于建設(shè)、維護、使用等，都受到我國法律的管轄。此外，任何在我國境內(nèi)提供網(wǎng)絡(luò)運營的服務(wù)商，都有義務(wù)配合國家機關(guān)的刑事偵查活動，并在必要的時候提供法定協(xié)助。就數(shù)據(jù)本地化原則而言，任何在我國境內(nèi)提供網(wǎng)絡(luò)運營的服務(wù)商，都必須將數(shù)據(jù)儲存在本地的數(shù)據(jù)儲存中心，未經(jīng)主管政府部門的批準，任何個人不得擅自向境外傳輸數(shù)據(jù)與信息。事實上，早在《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）確立這兩大原則之前，我國已經(jīng)在金融和保險領(lǐng)域進行了率先試點。例如，央行在2011 年就提出，任何銀行從業(yè)機構(gòu)，在沒有取得政府批準的情況下，不得私自向境外的組織或個人，提供我國公民的個人金融信息。任何在我國境內(nèi)收集的個人金融信息，后續(xù)的一切活動與行為，都有且只能在我國境內(nèi)進行。①中國人民銀行《關(guān)于銀行業(yè)金融機構(gòu)做好個人金融信息保護工作的通知》第六條。隨后，這一做法也開始拓展到保險領(lǐng)域，即我國境內(nèi)的保險公司，在運營過程中收集的任何數(shù)據(jù)信息，都應(yīng)當儲存在我國境內(nèi)。②《保險公司開業(yè)驗收指引》第三條第九款。直至《網(wǎng)絡(luò)安全法》對兩大原則加以吸收，并不斷向其他領(lǐng)域發(fā)展壯大，網(wǎng)絡(luò)預(yù)約汽車收集的數(shù)據(jù)信息、出版行業(yè)收集的數(shù)據(jù)信息、電信行業(yè)收集的數(shù)據(jù)信息等，都要求遵循屬地管轄和數(shù)據(jù)本地化原則。③交通運輸部、工信部等七部委2016年聯(lián)合發(fā)布的《網(wǎng)絡(luò)預(yù)約出租汽車經(jīng)營服務(wù)管理暫行辦法》第二十七條。

但實踐證明，我國在參與全球自由貿(mào)易的同時，往往會被卷入各種涉外訴訟之中，原告方往往以國內(nèi)立法為依據(jù)，在司法過程中要求我國（作為被告）提供數(shù)據(jù)證據(jù)。例如，在2021 年結(jié)案的Cadence Design Systems Inc v.Syntronic AB, et al案中，原告在證據(jù)開示階段，根據(jù)美國《聯(lián)邦法院民事訴訟規(guī)則》，要求被告方從我國境內(nèi)將24臺員工電腦提交給美國法院進行檢查。如果被告方拒絕提供，很有可能需要承擔敗訴的風險。這就需要立法者為了我國公民個人的信息保護和國家的數(shù)據(jù)信息安全，適當擴展域外立法管轄權(quán)。作為國內(nèi)第一部綜合性互聯(lián)網(wǎng)安全保障法，《網(wǎng)絡(luò)安全法》周密構(gòu)建了網(wǎng)絡(luò)空間參與者的行為規(guī)范，為其行為提供了明確的準則和依據(jù)，規(guī)定凡是在我國境內(nèi)的數(shù)據(jù)服務(wù)提供商，都必須建立數(shù)據(jù)本地化儲存中心，將商業(yè)運營過程中獲得的數(shù)據(jù)統(tǒng)一儲存在我國境內(nèi)，并且任何數(shù)據(jù)出境之前，都必須進行嚴格的數(shù)據(jù)安全評估，實現(xiàn)了對數(shù)據(jù)的全過程監(jiān)控?？梢钥闯觯@是一種基于屬地管轄原則的數(shù)據(jù)信息保護模式，也是一種具有中國特色的數(shù)據(jù)跨境流動屬地管理模式。這一立法模式也在2021 年頒布的《個人信息保護法》中得到了延續(xù)。在司法部公布的《國際民商事司法協(xié)助常見問題解答》的調(diào)查取證部分，第八條也明確說明，④中華人民共和國司法部：《國際民商事司法協(xié)助常見問題解答》。中國境內(nèi)當事人可以處于自愿，直接向外國司法機關(guān)或司法人員提交位于境內(nèi)的證據(jù)材料，但前提是相關(guān)材料的出境要符合《中華人民共和國民事訴訟法》（以下簡稱《民事訴訟法》）、《數(shù)據(jù)安全法》、《個人信息保護法》的相關(guān)規(guī)定。

三、個人數(shù)據(jù)跨境傳輸中域外立法管轄權(quán)適用所存在的主要問題

當前我國主動獲取涉外數(shù)據(jù)案件管轄權(quán)的立法，以及防御他國濫用域外立法管轄權(quán)進行不合理管轄的阻斷性立法，均處于起步階段。數(shù)據(jù)案件的虛擬性、交互性與多節(jié)點性特征，使得案件與管轄地間難以建立起我國涉外案件管轄中所要求的連接點，進而使得我國的管轄權(quán)制度難以適用于涉外數(shù)據(jù)案件。

（一）現(xiàn)有管轄制度與個人數(shù)據(jù)跨境傳輸案件不兼容

各國涉外民事訴訟立法所采取的不同模式，有學者將其總結(jié)為單軌制和雙軌制。①在雙軌制立法模式下，涉外民事訴訟和國內(nèi)民事訴訟被規(guī)定在不同的法律文本中；在單軌制立法模式下，立法機關(guān)就涉外民事訴訟和國內(nèi)民事訴訟進行統(tǒng)一立法，對二者不加以明確的區(qū)分。劉懿彤：《我國涉外民事訴訟管轄權(quán)制度存在的問題及完善》，《法治研究》2015年第3期，第136頁?？v觀我國現(xiàn)有的涉外民事訴訟管轄立法，總體呈現(xiàn)“總—分”的分布態(tài)勢，即主體規(guī)定可見于《民事訴訟法》，只有少部分民事訴訟的內(nèi)容規(guī)定在其他單行法律中。②例如《中華人民共和國審計法》第十四條、《中華人民共和國環(huán)境保護稅法》第二十二條。但民訴法規(guī)定的內(nèi)容也十分有限，只有合同等其他權(quán)益糾紛，以及專屬管轄的規(guī)定。其他諸多類型的案件，都沒有納入民訴法的調(diào)整范圍。對于這些尚未明文確定的案件，只能參照民訴法的相關(guān)規(guī)定確定案件的管轄。正是由于國內(nèi)立法的不完善，在與個人數(shù)據(jù)跨境傳輸案件相關(guān)的管轄制度方面，主要存在以下幾個方面的問題。

第一，現(xiàn)有涉外管轄制度適用范圍狹窄。有關(guān)國際民事訴訟管轄權(quán)方面的規(guī)定集中于我國的兩部法律和三部最高院司法解釋之中。③兩部法律為《中華人民共和國民事訴訟法》《中華人民共和國海事訴訟特別程序法》，三部司法解釋為《最高人民法院關(guān)于適用〈中華人民共和國民事訴訟法〉若干問題的意見》《最高人民法院關(guān)于涉外民商事案件訴訟管轄若干問題的規(guī)定》《最高人民法院關(guān)于適用〈中華人民共和國海事訴訟特別程序法〉若干問題的解釋》。除專屬管轄之外，涉外案件需要與管轄法院建立起連接點，即某些具有“最密切聯(lián)系”特征的點，如合同簽訂地等。按照傳統(tǒng)的管轄權(quán)原則，只要能夠識別案件的連接點，就能夠迅速定位其管轄權(quán)所在地。但是，互聯(lián)網(wǎng)信息技術(shù)的高速發(fā)展，使得傳統(tǒng)的管轄權(quán)原則陷入了巨大的困境，主要表現(xiàn)為數(shù)據(jù)案件管轄權(quán)與國家主權(quán)之間的沖突。即傳統(tǒng)的管轄權(quán)識別，以具有地域限制的國家主權(quán)為前提。但是，互聯(lián)網(wǎng)空間并沒有明顯的地理疆域限制和國家主權(quán)特征，以至于互聯(lián)網(wǎng)公司可以選擇不同的數(shù)據(jù)儲存地和服務(wù)提供地。④夏燕、沈天月：《美國CLOUD法案的實踐及其啟示》，《中國社會科學院研究生院學報》2019年第5期，第105頁。這就使得在確定涉外數(shù)據(jù)傳輸案件管轄權(quán)的過程中，很難確定具體的連接點，無法取得明確的案件單一管轄權(quán)歸屬。⑤王天恩：《信息及其基本特性的當代開顯》，《中國社會科學》2022年第1期，第101頁。正因如此，涉外數(shù)據(jù)案件時常會引起消極或積極的管轄權(quán)沖突，并且在形成不同的判決之后，難以獲得有效執(zhí)行，這已經(jīng)成為當前最為常見的國際法現(xiàn)象。

第二，個人數(shù)據(jù)保護立法缺乏統(tǒng)籌，法律內(nèi)容缺乏體系性。當前，我國已經(jīng)出臺實施了《個人信息保護法》，該法對個人數(shù)據(jù)保護做了相對集中統(tǒng)一的規(guī)定。但是，《個人信息保護法》并沒有涵蓋所有的個人數(shù)據(jù)保護的相關(guān)內(nèi)容，仍然有大量的內(nèi)容分散在各類法律法規(guī)中。根據(jù)學者的不完全統(tǒng)計，在我國當前的法律法規(guī)以及司法解釋中，涉及個人數(shù)據(jù)保護的至少有200多部。⑥《代表委員呼吁個人信息保護單獨立法》，《時代金融》2013年第10期，第49頁。這些法律、法規(guī)等的規(guī)定都非常原則、抽象。另外，雖然立法的數(shù)量很多，但是關(guān)于數(shù)據(jù)跨境流動的規(guī)定很少。數(shù)據(jù)跨境流動領(lǐng)域的法律規(guī)范供給嚴重缺乏。

第三，現(xiàn)行立法忽視了企業(yè)的監(jiān)管責任，數(shù)據(jù)類型的劃分也缺乏科學性?，F(xiàn)行立法只是規(guī)定政府對數(shù)據(jù)的跨境流動進行監(jiān)管，忽視了企業(yè)在其中的監(jiān)管責任，既給政府增加了巨大的負擔，也不利于發(fā)揮企業(yè)監(jiān)管的優(yōu)勢。數(shù)據(jù)的形式多種多樣，不同的數(shù)據(jù)具有不同的屬性，需要采取不同的保護方式。但是，現(xiàn)行立法忽視了不同種類數(shù)據(jù)的差異，采取了單一的立法模式。

綜上所述，我國在跨境數(shù)據(jù)流動方面的立法起步較晚，立法技術(shù)不夠成熟，導(dǎo)致現(xiàn)行法律中關(guān)于數(shù)據(jù)跨境流動方面的法律規(guī)定過于簡單、原則、抽象，法律的體系性也不夠強，跨境企業(yè)難以從法律規(guī)定中得到明確的指引。

（二）個人數(shù)據(jù)跨境傳輸專門性阻斷立法缺失

為了應(yīng)對他國以行使域外立法管轄權(quán)為由，屢次實施制裁行為所產(chǎn)生的壓力，我國于2021年6月頒布了《中華人民共和國反外國制裁法》（以下簡稱《反外國制裁法》），該法的出臺無疑給處于搖擺中的跨國企業(yè)提供了光明的未來。①劉華東：《為我國依法反制裁提供有力法治保障——就全國人大常委會通過反外國制裁法訪中國政法大學教授霍政欣》，《光明日報》2021年6月12日，第2版。《反外國制裁法》由16 個條文構(gòu)成，由于其并非在國際組織章程或國際條約授權(quán)下制定，其性質(zhì)為單邊制裁，②《中華人民共和國反外國制裁法》第四條規(guī)定，國務(wù)院有關(guān)部門可以決定將直接或者間接參與制定、決定、實施本法第三條規(guī)定的歧視性限制措施的個人、組織列入反制清單。并且依據(jù)該法第四條的規(guī)定，其制裁對象為精準的小范圍群體，故其采用的模式為聰明制裁。③霍政欣：《〈反外國制裁法〉的國際法意涵》，《比較法研究》2021年第10期，第145—146頁。作為我國首部“反制性”立法文件，《反外國制裁法》邁出了反擊濫用域外立法管轄權(quán)的第一步，表現(xiàn)出立法機關(guān)構(gòu)筑起針對他國“超過度管轄”防御系統(tǒng)的立場?？v然《反外國制裁法》的實施已成為里程碑式事件，但在實踐中由于國內(nèi)對于制裁性立法的經(jīng)驗與實踐不足，該法的許多條款，可操作性有所欠缺，僅僅具有宣誓的作用。

首先，該法的性質(zhì)和立法宗旨并不明確，以至于后續(xù)的不少條款規(guī)范性不足，大部分條款難以在實踐中進行具體操作，僅僅具有授權(quán)的作用。具體到數(shù)據(jù)跨境傳輸領(lǐng)域，該法規(guī)定國務(wù)院有關(guān)部門，可以直接或者間接決定將已經(jīng)或者可能采取歧視性限制措施的個人或組織列入反制清單。例如，在Tik Tok 封禁案中，我國就應(yīng)該對美、印等國的封禁行為進行識別和界定，具體判斷封禁國以可能泄露國家秘密為由的封禁措施是否構(gòu)成了不正當?shù)钠缫曅韵拗?。而這往往涉及對數(shù)據(jù)性質(zhì)的分級、分類認定，需要從數(shù)據(jù)法的角度對其進行細化規(guī)定。④廖詩評：《〈阻斷外國法律與措施不當域外適用辦法〉的屬事適用范圍》，《國際法研究》2021年第2期，第57頁。其次，該法中規(guī)定的制裁程序也存在問題。根據(jù)國家責任條款草案第52條的規(guī)定，采取反措施的形式，對他國實施制裁需要事先通報，被制裁的國家收到通報之后有權(quán)進行談判。但是，《反外國制裁法》并沒有做出相關(guān)規(guī)定。再次，受到制裁的對象應(yīng)當享有獲得救濟的權(quán)利，但是《反外國制裁法》卻剝奪了受制裁對象取得救濟的權(quán)利。⑤《中華人民共和國反外國制裁法》第七條規(guī)定，國務(wù)院有關(guān)部門依據(jù)本法第四條至第六條規(guī)定作出的決定為最終決定。在國家安全領(lǐng)域排除救濟的法律規(guī)定并不少見，但從國際通行的做法來看，對別的國家采取制裁措施應(yīng)當符合正當程序的要求。

除去《反外國制裁法》這一新晉法律外，筆者在“北大法寶”官網(wǎng)上以“制裁”為關(guān)鍵詞檢索法律法規(guī)，共檢索出現(xiàn)行有效的法律文件共26部，包括5部司法解釋、20部部門規(guī)章及1部行業(yè)規(guī)定，經(jīng)過整理與分析，形成以下表1。

表1 中國國內(nèi)法中與“制裁”相關(guān)的法律文件

可以看到，我國在“制裁與反制”問題上的既有立法性文件對域外侵犯我國案件管轄權(quán)的反擊仍處于初步階段。由于五部司法解釋與本文主題無關(guān)，故在所不問，除此之外，大量文件是為了履行應(yīng)當承擔的國際法義務(wù)，而執(zhí)行聯(lián)合國安理會的相關(guān)制裁決議。與金融、豁免以及刑事相關(guān)的部門規(guī)章，較多涉及程序性事項，對實質(zhì)性問題的回應(yīng)僅是淺淺帶過或從宏觀的角度回應(yīng)，這顯然難以形成我國應(yīng)對實踐中存在的大量對我國不合理制裁的“防御系統(tǒng)”，也難以使我國作出有力反擊。由此可見，當前我國的阻斷性立法具有客觀上的滯后性特征。在網(wǎng)絡(luò)與數(shù)據(jù)已經(jīng)成為國際交往潮流的時代，主要任務(wù)就是細化法規(guī)范中的反制措施，并在具體的法律適用和解釋中，充分把握反制措施的核心要義與精神，最大限度地保護我國公民的個人數(shù)據(jù)信息和國家的數(shù)據(jù)安全。

四、個人數(shù)據(jù)跨境傳輸中域外立法管轄權(quán)適用的未來路徑

雖然個人數(shù)據(jù)跨境傳輸仍然存在著諸多問題，但在厘清背后的原因后，還是應(yīng)當進一步探索規(guī)范個人數(shù)據(jù)跨境傳輸?shù)恼斅窂?，以及我國的具體應(yīng)對策略。具體而言，無論是個人數(shù)據(jù)的“取”還是“防”，我國之于跨境調(diào)取個人數(shù)據(jù)的基本立場，都是國家主權(quán)不容侵犯，平等互惠合作才是解決個人信息跨境傳輸管轄爭議的必由之路。

（一）完善專項數(shù)據(jù)立法，保障國家數(shù)據(jù)主權(quán)

1.使用保護管轄權(quán)激活個人數(shù)據(jù)跨境傳輸域外效力條款

根據(jù)保護管轄權(quán)的原理，主權(quán)國家可以將那些會對本國安全利益產(chǎn)生影響的行為，作為國內(nèi)法域外適用的合理連接點，創(chuàng)設(shè)國內(nèi)法域外適用條款。雖然關(guān)于保護管轄權(quán)的傳統(tǒng)理解只局限于刑事犯罪領(lǐng)域，而一般不在其他領(lǐng)域予以適用，但是依據(jù)“荷花號案”所確立的習慣國際法規(guī)則，既然國際法沒有明確禁止保護管轄權(quán)的擴展適用，那么對其適用范圍予以適當擴張也未嘗不可。我國的《反外國制裁法》就充分吸收了這一理念，規(guī)定行政法規(guī)、部門規(guī)章以及地方政府規(guī)章，都可以就危害我國國家安全的行為設(shè)置反制措施。但是，主權(quán)、安全和發(fā)展利益，都是意含不明確的不確定法律概念，其具體內(nèi)涵是什么，尚需下位法規(guī)范的進一步細化?？梢詫⑵湟曌饕环N概括性授權(quán)，并在日后的立法工作中予以重點關(guān)注。

如何激活現(xiàn)行法規(guī)范中的域外效力條款，為其設(shè)置相應(yīng)的實施路徑至關(guān)重要，實施路徑主要存在著公法和私法兩個方向。①廖詩評：《中國法中的域外效力條款及其完善：基本理念與思路》，《中國法律評論》2022年第1期，第60頁。通常來講，當出現(xiàn)私主體侵害私主體權(quán)益的時候，被侵害私主體可以通過民事訴訟的方式予以救濟，這在英美法系國家中稱作“私人執(zhí)法”。但是，隨著國際交往活動的日益復(fù)雜多樣，私人行為的性質(zhì)已經(jīng)不再簡單可辨，其不僅侵害私主體利益，往往還伴隨著對國家利益和社會公共利益的侵犯，這個時候就需要引入公法責任機制，即通過行政行為或者刑事訴訟擴張國內(nèi)法的域外適用效力。例如，當存在外國人在境外危害我國國家安全的行為時，根據(jù)我國現(xiàn)行法的規(guī)定，可以采取公法手段對其予以制裁，即針對犯罪提起刑事訴訟程序，尚未犯罪則作出制裁的行政決定。但是，這里存在的一個問題是“如何執(zhí)行相應(yīng)判決和決定”，特別是當被告人或者被執(zhí)行人在我國境內(nèi)無可執(zhí)行財產(chǎn)時。此時，可行的路徑無疑是引入“私人執(zhí)法”模式，綜合運用公私法提供的手段，提升執(zhí)行的效果。特別是可以考慮引入民事訴訟制度中的檢察公益訴訟制度，適當擴大檢察公益訴訟的受案范圍，將損害國家發(fā)展和安全利益的案件也納入其中，以便在判決生效后，通過民訴法和相關(guān)國際條約規(guī)定的司法執(zhí)法協(xié)助條款，及時推動責任的落實。

2.完善國內(nèi)阻斷立法

想要針對他國濫用立法管轄權(quán)的行為予以精準反擊，最有效的方式當然還是制定并完善我國的阻斷法，推動我國國內(nèi)法的域外適用。但是，阻斷立法仍然需要注意以下三個問題。第一，阻卻立法會增加企業(yè)的合規(guī)成本，因而有必要進行充分的立法前評估，衡量阻斷立法的成本與收益，設(shè)置足夠的法律遵從激勵，避免成為“觀賞法”。第二，域外許多國家都制定了阻卻法，但大多效果不彰，主要原因是美國政府不承認外國阻卻立法的效力，以至于為了符合美國標準，跨國公司紛紛選擇違反內(nèi)國的阻斷法。因此，有必要制定具體可執(zhí)行的阻斷法，并加強法律的執(zhí)行，科以違法人嚴重的違法后果。②M.J.Hodaa.The Aérospatiale Dilemma,“Why U.S.Courts Ignore Blocking Statutes and What Foreign States Can Do about It,”California Law Review, 2018, 106（3）: 231-251.第三，有必要做好阻卻立法的域外銜接，通過采納國際通行的監(jiān)管標準，讓企業(yè)的合法權(quán)益得到充分保障，不至于出現(xiàn)“左右為難”的情況，即遵守一國阻卻立法就意味著違反另一國的監(jiān)管要求。

3.數(shù)據(jù)分類化管理

20 世紀初，諸如微軟等大型互聯(lián)網(wǎng)公司主要出現(xiàn)在歐美國家。但是，隨著我國市場經(jīng)濟的建立，高速騰飛的經(jīng)濟助推了我國互聯(lián)網(wǎng)企業(yè)的誕生。以BAT為開端，近年來又誕生了諸如“字節(jié)跳動”等的新興互聯(lián)網(wǎng)巨頭?？梢哉f，我國的互聯(lián)網(wǎng)行業(yè)正在以前所未有的姿態(tài)瘋狂生長。與互聯(lián)網(wǎng)企業(yè)相伴而生的，自然是大量數(shù)據(jù)和信息的生產(chǎn)、儲存與利用。以我國龐大的網(wǎng)民數(shù)量為基礎(chǔ)，國內(nèi)每個互聯(lián)網(wǎng)行業(yè)巨頭至少都掌握了數(shù)以億計的用戶個人數(shù)據(jù)和平臺交易信息。毫不夸張地講，用戶生產(chǎn)的數(shù)據(jù)就是互聯(lián)網(wǎng)企業(yè)得以正常運轉(zhuǎn)的石油，離開了數(shù)據(jù)，互聯(lián)網(wǎng)平臺無非就是一個無人問津的空殼。因此，才會出現(xiàn)平臺之間的搶人大戰(zhàn)，想盡辦法增加平臺用戶的黏性，培養(yǎng)用戶的平臺使用依賴。這背后的根本目的就是獲取用戶每天生產(chǎn)的諸多數(shù)據(jù)。

互聯(lián)網(wǎng)企業(yè)擁有如此龐大的數(shù)據(jù)占用量，作為監(jiān)管者的政府除了擔心企業(yè)惡意收集和使用平臺用戶的個人數(shù)據(jù)信息之外，還需要擔心域外國家之于我國互聯(lián)網(wǎng)企業(yè)的數(shù)據(jù)索取要求。我國的互聯(lián)網(wǎng)企業(yè)都是跨國運營的巨頭企業(yè)，難免受到業(yè)務(wù)所在國的“屬地管轄權(quán)”要求，被迫提供平臺用戶的個人數(shù)據(jù)信息。①洪延青：《國家安全視野中的數(shù)據(jù)分類分級保護》，《中國法律評論》2021年第5期，第75頁。因此，為了避免互聯(lián)網(wǎng)企業(yè)中的重要數(shù)據(jù)被外國政府強制索取，我國有必要加強專項數(shù)據(jù)規(guī)則的制定，從數(shù)據(jù)的特征入手，對數(shù)據(jù)進行分級分類管理，既保證數(shù)據(jù)的充分流動，又堅定維護我國公民的個人信息安全和國家數(shù)據(jù)安全，切實維護國家的數(shù)據(jù)主權(quán)，并做好國家安全、企業(yè)經(jīng)營和個人隱私三方的平衡工作，實現(xiàn)數(shù)據(jù)的安全有序利用，充分釋放數(shù)據(jù)的潛能。

（二）積極參與國際合作，擴大國內(nèi)法域外適用范圍

1.在司法實踐中擴大聯(lián)系原則的適用范圍

應(yīng)當在司法實踐中擴大聯(lián)系原則的適用范圍，其必要性理由大致有三點。其一，隨著我國成為世界第二大經(jīng)濟體，越來越多的聲音出現(xiàn)，要求擴大司法實踐中的聯(lián)系原則適用范圍，因為這是經(jīng)濟進一步發(fā)展的必然要求。通過觀察美國的域外立法管轄權(quán)發(fā)展歷程，可以發(fā)現(xiàn)，制度的寬與緊，大致與其經(jīng)濟發(fā)展軌跡相吻合。其二，隨著全球化進程的日益加深，我國公民正在以前所未有的姿態(tài)參與境外貿(mào)易交往，這也意味著我國公民與境外人員發(fā)生的法律糾紛將會逐漸增多。擴大聯(lián)系原則的適用范圍，實際上可以為不熟悉域外國家法律的我國公民提供更加周全的利益保護途徑。②廖詩評：《中國法中的域外效力條款及其完善：基本理念與思路》，《中國法律評論》2022年第1期，第58頁。其三，與我國公民參與境外貿(mào)易一樣，當前存在著越來越多的外商來華投資行為。③國家外匯管理局國際收支分析小組：《2022年中國國際收支報告》。以聯(lián)系原則為基礎(chǔ)，擴大我國法院的管轄權(quán)范圍，有利于更好地保護外資利益，營造良好的國際化、法治化營商環(huán)境。

從可行性角度來說。首先，聯(lián)系原則可以成為屬地原則的補充。按照經(jīng)典的民事訴訟管轄權(quán)理論，一般將被告住所地的法院，視為具有案件管轄權(quán)的法院。但是，如果非居民被告表示自己愿意遵守法院地的規(guī)則，就可以得出其服從法院地司法權(quán)威的推論。此時，再以聯(lián)系原則確定非居民被告的管轄標準，并不會與屬地原則相沖突。④張絲路：《長臂管轄效果辨正及對我國的啟示》，《甘肅社會科學》2017年第5期，第184頁。其次，我國的現(xiàn)有立法并不排斥聯(lián)系原則的適用。例如，《民事訴訟法》已經(jīng)在被告所在地之外，確立了合同履行地等連接點，從而擴大了我國法院的管轄權(quán)范圍。最后，聯(lián)系原則不會過分擴大法院的管轄權(quán)范圍，因為“不方便管轄原則”可以有效阻擋與我國公民利益保護無涉的案件進入法院，這在我國民事訴訟法的司法解釋中就有體現(xiàn)。

2.加入?yún)^(qū)域性數(shù)據(jù)跨境傳輸規(guī)則體系

推動形成全球統(tǒng)一的數(shù)據(jù)保護規(guī)則，無疑是數(shù)據(jù)治理的理想圖景。然而，囿于主權(quán)國家之間的利益角逐，目前尚未形成這樣一個統(tǒng)一的數(shù)據(jù)治理規(guī)則。但是，值得欣喜的是，為了促進本地區(qū)個人數(shù)據(jù)信息的自由流動和利用，實現(xiàn)區(qū)域經(jīng)濟的高速發(fā)展，各個區(qū)域性國際組織正在不斷推動這一工作向前發(fā)展。例如，亞太經(jīng)合組織（APEC）就在2012年推出了CBPR。①弓永欽：《歐盟數(shù)據(jù)隱私新規(guī)則對我國“涉歐”數(shù)字企業(yè)的影響及應(yīng)對》，《國際經(jīng)濟合作》2019 年第2 期，第78頁。這一規(guī)則體系的最大特征就是，法律規(guī)制與行業(yè)自治并行不悖。具有家族親緣性特征的CBPR 和“有約束力的公司規(guī)則”（BCR），自然也走上了合作與對接之路。雖然目前還未進入歐盟認可的行列，但作為區(qū)域性隱私保護規(guī)則的一個標桿，CBPR 遲早會獲得歐盟的認可。屆時，所有加入CBPR 的國家，就能夠順利獲得歐盟的認可和保護。因為根據(jù)GDPR 法案的規(guī)定，只要一個國家選擇加入某個隱私規(guī)則體系，就可以視作其具有了充分的、與該規(guī)則體系相當?shù)碾[私保護水平。具體到我國而言，如果想要參與全球統(tǒng)一數(shù)據(jù)保護規(guī)則體系的建構(gòu)，較為現(xiàn)實的辦法就是申請加入CBPR，著手全面提升我國的數(shù)據(jù)保護水平。

結(jié)語

互聯(lián)網(wǎng)時代的到來，使得各主權(quán)國家看到了數(shù)據(jù)這一稀缺資源的價值所在。同時，隨著跨境數(shù)據(jù)傳輸逐漸成為國際社會交往不可或缺的環(huán)節(jié)之一，如何最大化以及最便捷地獲取數(shù)據(jù)，已經(jīng)成為各國維護非傳統(tǒng)安全領(lǐng)域中主權(quán)利益的重要工作。因此，許多數(shù)據(jù)大國做出了新的嘗試，以制定國內(nèi)法拓展域外立法管轄權(quán)，CLOUD法案和GDPR法案即為最亮眼的實踐范式。雖然二者的目的均為擴張域外管轄權(quán)，以及時攫取全球數(shù)據(jù)資源，但是二者的立法價值卻迥然不同。其中，美國以效率至上，追求便利與經(jīng)濟；歐盟則以人權(quán)至上，追求對基本權(quán)利的保護。需要注意的是，這些價值追求并非其濫用域外立法管轄權(quán)的合法依據(jù)。面對他國日漸完備的立法和無端數(shù)據(jù)制裁，我國也應(yīng)當反思自身存在的問題，汲取他國法律制度的優(yōu)勢，積極構(gòu)建制裁防御體系，同時完善自身的域外管轄體制。

通過分析我國的個人數(shù)據(jù)跨境傳輸法治現(xiàn)狀可知，在面對他國無端數(shù)據(jù)制裁和無理數(shù)據(jù)管轄時，我國仍處于被動應(yīng)對之勢。若想在短時間內(nèi)應(yīng)對他國在數(shù)據(jù)跨境傳輸領(lǐng)域中的威脅并構(gòu)建起自身的有效管轄制度，最佳的途徑應(yīng)該是學習借鑒歐盟與美國的規(guī)制方法，同時分步推進國內(nèi)的規(guī)制實踐，根據(jù)實踐效果確立最合適的個人數(shù)據(jù)跨境傳輸規(guī)制模式。一方面，我國應(yīng)當完善自身立法，建立起能夠適應(yīng)個人數(shù)據(jù)跨境傳輸特征的涉外管轄制度，同時加快阻卻立法在數(shù)據(jù)領(lǐng)域的細化。另一方面，我國應(yīng)當積極參與國際合作，適當擴張國內(nèi)法的域外適用范圍，充分發(fā)揮我國法院的管轄能動性。