近年來(lái)，國(guó)家間數(shù)據(jù)跨境流動(dòng)愈發(fā)頻繁。在跨境流動(dòng)的數(shù)據(jù)中，往往包含大量的個(gè)人信息數(shù)據(jù)。因?yàn)楦鲊?guó)對(duì)數(shù)據(jù)跨境流動(dòng)的監(jiān)管存在較大差異，個(gè)人信息數(shù)據(jù)跨境流動(dòng)的監(jiān)管也存在較大差異。個(gè)人信息數(shù)據(jù)跨境流動(dòng)時(shí)出現(xiàn)安全隱患，危及國(guó)家主權(quán)、社會(huì)安全產(chǎn)生。應(yīng)當(dāng)合理借鑒域外的應(yīng)對(duì)措施，構(gòu)建我國(guó)在數(shù)據(jù)跨境流動(dòng)中個(gè)人信息數(shù)據(jù)保護(hù)的特別規(guī)則。
一、數(shù)據(jù)跨境流動(dòng)中個(gè)人信息保護(hù)的兩種典型模式
在全球統(tǒng)一的跨境數(shù)據(jù)流動(dòng)規(guī)則缺位的情況下，不同國(guó)家由于其社會(huì)、政治和經(jīng)濟(jì)背景的差異，對(duì)于跨境數(shù)據(jù)流動(dòng)采取不同監(jiān)管模式。數(shù)據(jù)跨境流動(dòng)監(jiān)管模式的差異導(dǎo)致跨境流動(dòng)中的個(gè)人信息數(shù)據(jù)保護(hù)模式存在差異，歐盟和美國(guó)則屬于兩種典型模式。
歐盟延續(xù)以公民權(quán)利為導(dǎo)向的一貫理念，形成以人權(quán)保護(hù)為中心的數(shù)據(jù)跨境流動(dòng)規(guī)則。歐盟制定《通用數(shù)據(jù)保護(hù)條例》（以下簡(jiǎn)稱GDPR）。GDPR第5章賦予歐盟對(duì)各國(guó)的數(shù)據(jù)保護(hù)水平進(jìn)行全面評(píng)估的權(quán)限，達(dá)標(biāo)國(guó)家可獲得數(shù)據(jù)進(jìn)入歐盟的“白名單”。該名單的作用是保護(hù)跨境流動(dòng)的數(shù)據(jù)安全，歐盟各成員國(guó)任何機(jī)構(gòu)不能隨意調(diào)取相關(guān)數(shù)據(jù)，其中也包括個(gè)人信息數(shù)據(jù)。未獲得該名單的國(guó)家，歐盟通過(guò)標(biāo)準(zhǔn)合同條款、具有約束力的企業(yè)規(guī)則等非官方方式，確?？缇沉鲃?dòng)的數(shù)據(jù)安全，但不能完全禁止歐盟各成員國(guó)利用本土法律調(diào)取其中數(shù)據(jù)。
美國(guó)為繼續(xù)拓寬全球領(lǐng)域范圍內(nèi)的數(shù)字市場(chǎng)，形成以市場(chǎng)為主導(dǎo)，追求商業(yè)利益，倡導(dǎo)數(shù)據(jù)流動(dòng)自由化的數(shù)據(jù)跨境流動(dòng)規(guī)則。相較于歐盟GDPR采取“原則禁止＋例外允許”的模式，美國(guó)沒(méi)有像歐盟一樣制定專門(mén)的法規(guī)或法案，更多是通過(guò)美國(guó)與交易相對(duì)國(guó)家之間的雙邊協(xié)議進(jìn)行規(guī)定。美國(guó)采用“數(shù)據(jù)自由流動(dòng)＋擴(kuò)展域外管轄”的模式，將個(gè)人信息數(shù)據(jù)視為商業(yè)活動(dòng)中的消費(fèi)者保護(hù)問(wèn)題，由行業(yè)內(nèi)部制定相應(yīng)規(guī)范。美國(guó)通過(guò)《澄清域外合法使用數(shù)據(jù)法案》（以下簡(jiǎn)稱《云法案》）賦予美國(guó)政府在特定情況下調(diào)取境外數(shù)據(jù)的權(quán)力，這意味著跨境數(shù)據(jù)中的個(gè)人信息數(shù)據(jù)可被美國(guó)政府隨意調(diào)取。
二、數(shù)據(jù)跨境流動(dòng)中個(gè)人信息保護(hù)沖突成因分析
美國(guó)的市場(chǎng)導(dǎo)向模式與歐盟的人權(quán)導(dǎo)向模式在某些方面存在難以調(diào)和的局面。
從數(shù)據(jù)保護(hù)理念與制度設(shè)計(jì)來(lái)看。美國(guó)模式強(qiáng)調(diào)自由市場(chǎng)的靈活性和創(chuàng)新性，注重企業(yè)在數(shù)據(jù)處理中的自主性和數(shù)據(jù)作為經(jīng)濟(jì)資源的利用效率?！对品ò浮反_定了以數(shù)據(jù)控制者的身份為依據(jù)主張數(shù)據(jù)管轄權(quán)的基本原則。凡具有美國(guó)籍的數(shù)據(jù)控制者，其保存的數(shù)據(jù)信息均受美國(guó)法律管轄。歐盟模式則以保護(hù)個(gè)人隱私和數(shù)據(jù)權(quán)利為核心，視數(shù)據(jù)為與個(gè)人自由和尊嚴(yán)密切相關(guān)的基本權(quán)利。GDPR對(duì)歐盟個(gè)人數(shù)據(jù)信息的收集、處理和跨境傳輸作出了嚴(yán)格規(guī)定。針對(duì)數(shù)據(jù)出境，GDPR設(shè)定“同等保護(hù)”規(guī)則，作為個(gè)人數(shù)據(jù)信息跨境流動(dòng)的最低保護(hù)標(biāo)準(zhǔn)。由于歐美雙方在數(shù)據(jù)保護(hù)上的理念分歧和制度上的差異，在涉及個(gè)人數(shù)據(jù)信息流動(dòng)的跨境業(yè)務(wù)往來(lái)中，歐美雙方往往相互掣肘，難以達(dá)成共識(shí)。
從法律沖突與管轄權(quán)問(wèn)題的角度來(lái)看。歐盟的GDPR采取“原則禁止+例外允許”的模式，確保個(gè)人數(shù)據(jù)在跨境流動(dòng)過(guò)程中享有與在歐盟境內(nèi)相同的保護(hù)水平。美國(guó)的《云法案》則賦予美國(guó)政府在特定情況下調(diào)取境外數(shù)據(jù)的權(quán)力，其也是《云法案》與GDPR的嚴(yán)格保護(hù)原則產(chǎn)生直接沖突的根本原因。這種差異會(huì)導(dǎo)致美國(guó)企業(yè)需要在處理數(shù)據(jù)時(shí)同時(shí)滿足歐美兩地的法律要求，增加了合規(guī)成本和法律風(fēng)險(xiǎn)。
鑒于歐盟高標(biāo)準(zhǔn)的數(shù)據(jù)保護(hù)準(zhǔn)則，美國(guó)的數(shù)據(jù)保護(hù)規(guī)則并不符合充分性認(rèn)定的要求。美國(guó)需要依賴標(biāo)準(zhǔn)合同條款或其他替代性措施來(lái)確保數(shù)據(jù)的合法跨境傳輸。出于經(jīng)濟(jì)發(fā)展的需要，歐盟與美國(guó)的數(shù)據(jù)跨境流動(dòng)協(xié)議經(jīng)歷了從“安全港”到“隱私盾”，再到“隱私盾”破裂的演變。Schrems案就是歐美雙方在數(shù)據(jù)治理博弈上的集中體現(xiàn)。歐盟法院因美國(guó)情報(bào)機(jī)構(gòu)超出必要限度采集歐盟公民數(shù)據(jù)，裁定《隱私盾協(xié)議》無(wú)效。面對(duì)美國(guó)的“數(shù)字霸權(quán)”，歐盟進(jìn)行強(qiáng)勢(shì)反擊，最終促成2023年《歐美數(shù)據(jù)隱私框架》的形成。盡管雙方都試圖在差異中找到共同點(diǎn)，但兩者利益的沖突使得這一關(guān)系極不穩(wěn)定。歐盟與美國(guó)仍需不斷地進(jìn)行新的談判和調(diào)整，以尋找可持續(xù)的合作模式。
三、個(gè)人數(shù)據(jù)信息跨境流動(dòng)的應(yīng)對(duì)建議
我國(guó)通過(guò)網(wǎng)絡(luò)安全法確立數(shù)據(jù)出境的安全評(píng)估制度，2021年又出臺(tái)數(shù)據(jù)安全法和個(gè)人信息保護(hù)法，這些法規(guī)已然規(guī)定了我國(guó)個(gè)人信息數(shù)據(jù)跨境流動(dòng)的一些應(yīng)對(duì)措施。如個(gè)人信息保護(hù)法規(guī)定跨境流動(dòng)的個(gè)人信息數(shù)據(jù)需要經(jīng)過(guò)我國(guó)的安全審查?！稊?shù)據(jù)出境安全評(píng)估辦法》《個(gè)人信息出境標(biāo)準(zhǔn)合同辦法》以及《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》等新出臺(tái)的有關(guān)規(guī)定，進(jìn)一步明確了個(gè)人信息數(shù)據(jù)的審查標(biāo)準(zhǔn)。新修訂的民事訴訟法增設(shè)“侵權(quán)行為地”與“其他適當(dāng)聯(lián)系地”作為管轄依據(jù)，擴(kuò)大了我國(guó)法院對(duì)涉外案件的管轄權(quán)限。這些措施整體應(yīng)對(duì)我國(guó)個(gè)人信息數(shù)據(jù)跨境流動(dòng)的域外保護(hù)仍顯不足，如2024年美國(guó)政府起訴我國(guó)TikTok案件。我國(guó)還需要從國(guó)際交易規(guī)則方面，借鑒域外經(jīng)驗(yàn)總結(jié)出行之有效的應(yīng)對(duì)措施。
一是加入國(guó)際合作與多邊協(xié)議。盡管美國(guó)和歐盟都在各自的法律框架內(nèi)積極推動(dòng)數(shù)據(jù)跨境流動(dòng)，但兩者的治理模式存在顯著差異。正因此，歐美之間多是通過(guò)雙邊協(xié)議來(lái)實(shí)現(xiàn)數(shù)據(jù)的跨境流動(dòng)，緩和因個(gè)人數(shù)據(jù)跨境而產(chǎn)生的規(guī)則沖突。我國(guó)目前簽署了區(qū)域全面經(jīng)濟(jì)伙伴關(guān)系協(xié)定（RCEP），并申請(qǐng)加入全面與進(jìn)步跨太平洋伙伴關(guān)系協(xié)定（CPTPP）及數(shù)字經(jīng)濟(jì)伙伴關(guān)系協(xié)定（DEPA），以期在國(guó)際數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)的制定和實(shí)施中發(fā)揮更大作用，減少法律沖突。數(shù)據(jù)自由流動(dòng)不應(yīng)放棄對(duì)數(shù)據(jù)流向和使用的監(jiān)管及控制。恰恰相反，這意味著對(duì)數(shù)據(jù)的管理和保護(hù)需求也在增長(zhǎng)。TikTok案與Schrems案如出一轍。兩者均是因?yàn)樵谖唇?jīng)充分授權(quán)的前提下，將本國(guó)公民的個(gè)人數(shù)據(jù)大量傳輸至他國(guó)，進(jìn)而對(duì)數(shù)據(jù)主權(quán)和個(gè)人隱私構(gòu)成潛在威脅。我國(guó)可借鑒《歐美數(shù)據(jù)隱私框架》，通過(guò)加入多邊協(xié)議來(lái)實(shí)現(xiàn)數(shù)據(jù)跨境流動(dòng)，以緩和個(gè)人數(shù)據(jù)信息跨境流動(dòng)所引發(fā)的法律與政策沖突。
二是恪守本國(guó)管轄原則。我國(guó)在與不同國(guó)家和區(qū)域開(kāi)展數(shù)據(jù)跨境活動(dòng)時(shí)，應(yīng)靈活制定最有利于本國(guó)的數(shù)據(jù)跨境流動(dòng)規(guī)則。涉及個(gè)人信息數(shù)據(jù)出入境時(shí)，可引入“同等保護(hù)”規(guī)則，即評(píng)估數(shù)據(jù)接收方的保護(hù)水平是否與發(fā)送方相當(dāng)，并據(jù)此采取相應(yīng)措施。如，針對(duì)歐盟和美國(guó)等數(shù)據(jù)保護(hù)水平較高的國(guó)家，我國(guó)需評(píng)估其保護(hù)狀況并制定相應(yīng)保護(hù)水平的標(biāo)準(zhǔn)和指南，以實(shí)現(xiàn)同等保護(hù)。對(duì)于保護(hù)水平高但未達(dá)一定標(biāo)準(zhǔn)的國(guó)家，可在附加保護(hù)措施和合規(guī)要求下允許數(shù)據(jù)跨境流動(dòng)。對(duì)于保護(hù)水平低的國(guó)家，則嚴(yán)格限制其數(shù)據(jù)跨境流動(dòng)，只有在滿足特定條件和采取嚴(yán)格保護(hù)措施的前提下，才可允許數(shù)據(jù)跨境傳輸。通過(guò)評(píng)估，確保個(gè)人信息數(shù)據(jù)在跨境流動(dòng)中受到嚴(yán)格保護(hù)，避免因保護(hù)水平差異引發(fā)潛在風(fēng)險(xiǎn)。此外，對(duì)于他國(guó)數(shù)據(jù)的入境可參考GDPR中“充分性保護(hù)”制度。針對(duì)符合我國(guó)數(shù)據(jù)跨境審核標(biāo)準(zhǔn)的國(guó)家，可視為滿足“充分性”這一條件，放寬或免除其數(shù)據(jù)入境的安全評(píng)估要求。
三是強(qiáng)化國(guó)內(nèi)阻斷立法。當(dāng)他國(guó)以其法律體系對(duì)我國(guó)個(gè)人或企業(yè)實(shí)施制裁或管控時(shí)，阻斷立法是維護(hù)國(guó)家主權(quán)和數(shù)據(jù)安全有效的回?fù)羰侄巍Ｎ覈?guó)個(gè)人信息保護(hù)法第四十一條和反外國(guó)制裁法已具備阻斷立法的效果，但尚未形成阻斷立法完整體系?！稊?shù)據(jù)出境安全評(píng)估辦法》中的相關(guān)制度已通過(guò)網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、個(gè)人信息保護(hù)法上升為法定制度，對(duì)數(shù)據(jù)跨境流動(dòng)管理起關(guān)鍵作用。廢除該項(xiàng)制度不切實(shí)際，但對(duì)于該制度如何具體落實(shí)，存在較大的可操作空間。我國(guó)可結(jié)合具體國(guó)情，借鑒歐盟“黑白名單”模式，明確列出適用阻斷立法的主體、適用范圍以及適用的條件。通過(guò)研判各國(guó)數(shù)據(jù)管理法規(guī)，將那些已與我國(guó)簽訂雙邊或多邊合作協(xié)議的國(guó)家納入“白名單”范疇。結(jié)合上文“同等保護(hù)”規(guī)則的相關(guān)規(guī)范，簡(jiǎn)化數(shù)據(jù)跨境流動(dòng)的審核程序，提升效率并減少不必要的阻礙。此外，還需設(shè)立專門(mén)的監(jiān)督、執(zhí)行機(jī)構(gòu)，負(fù)責(zé)阻斷立法的實(shí)施和監(jiān)督。綜合考量個(gè)人信息數(shù)據(jù)跨境流動(dòng)案件的實(shí)際情況。在其涉及國(guó)家安全與公共利益時(shí)，即便他國(guó)法律具有管轄權(quán)，也仍需遵守阻斷立法，由我國(guó)相應(yīng)的專門(mén)機(jī)關(guān)進(jìn)行審查。
數(shù)據(jù)的跨境流動(dòng)能夠?yàn)閲?guó)家、社會(huì)的發(fā)展帶來(lái)諸多利益，但并不代表這需要以犧牲個(gè)人隱私權(quán)和數(shù)據(jù)安全為代價(jià)，數(shù)據(jù)的跨境流動(dòng)必須建立在確保國(guó)家安全和保護(hù)個(gè)人隱私的基礎(chǔ)之上。我國(guó)作為數(shù)據(jù)資源大國(guó)在面對(duì)個(gè)人數(shù)據(jù)信息跨境流動(dòng)問(wèn)題上，應(yīng)制定符合本土實(shí)際情況的規(guī)則，確立具有中國(guó)特色的個(gè)人數(shù)據(jù)信息跨境保護(hù)的特別規(guī)范。
作者：林 洋 西華大學(xué)法學(xué)與社會(huì)學(xué)學(xué)院法學(xué)講師，法學(xué)博士；蔣徐鑫 西華大學(xué)法學(xué)與社會(huì)學(xué)學(xué)院法律碩士
京公網(wǎng)安備 11010102003980號(hào)