近年來，國家間數(shù)據(jù)跨境流動愈發(fā)頻繁。在跨境流動的數(shù)據(jù)中，往往包含大量的個人信息數(shù)據(jù)。因為各國對數(shù)據(jù)跨境流動的監(jiān)管存在較大差異，個人信息數(shù)據(jù)跨境流動的監(jiān)管也存在較大差異。個人信息數(shù)據(jù)跨境流動時出現(xiàn)安全隱患，危及國家主權(quán)、社會安全產(chǎn)生。應(yīng)當合理借鑒域外的應(yīng)對措施，構(gòu)建我國在數(shù)據(jù)跨境流動中個人信息數(shù)據(jù)保護的特別規(guī)則。
一、數(shù)據(jù)跨境流動中個人信息保護的兩種典型模式
在全球統(tǒng)一的跨境數(shù)據(jù)流動規(guī)則缺位的情況下，不同國家由于其社會、政治和經(jīng)濟背景的差異，對于跨境數(shù)據(jù)流動采取不同監(jiān)管模式。數(shù)據(jù)跨境流動監(jiān)管模式的差異導(dǎo)致跨境流動中的個人信息數(shù)據(jù)保護模式存在差異，歐盟和美國則屬于兩種典型模式。
歐盟延續(xù)以公民權(quán)利為導(dǎo)向的一貫理念，形成以人權(quán)保護為中心的數(shù)據(jù)跨境流動規(guī)則。歐盟制定《通用數(shù)據(jù)保護條例》（以下簡稱GDPR）。GDPR第5章賦予歐盟對各國的數(shù)據(jù)保護水平進行全面評估的權(quán)限，達標國家可獲得數(shù)據(jù)進入歐盟的“白名單”。該名單的作用是保護跨境流動的數(shù)據(jù)安全，歐盟各成員國任何機構(gòu)不能隨意調(diào)取相關(guān)數(shù)據(jù)，其中也包括個人信息數(shù)據(jù)。未獲得該名單的國家，歐盟通過標準合同條款、具有約束力的企業(yè)規(guī)則等非官方方式，確保跨境流動的數(shù)據(jù)安全，但不能完全禁止歐盟各成員國利用本土法律調(diào)取其中數(shù)據(jù)。
美國為繼續(xù)拓寬全球領(lǐng)域范圍內(nèi)的數(shù)字市場，形成以市場為主導(dǎo)，追求商業(yè)利益，倡導(dǎo)數(shù)據(jù)流動自由化的數(shù)據(jù)跨境流動規(guī)則。相較于歐盟GDPR采取“原則禁止＋例外允許”的模式，美國沒有像歐盟一樣制定專門的法規(guī)或法案，更多是通過美國與交易相對國家之間的雙邊協(xié)議進行規(guī)定。美國采用“數(shù)據(jù)自由流動＋擴展域外管轄”的模式，將個人信息數(shù)據(jù)視為商業(yè)活動中的消費者保護問題，由行業(yè)內(nèi)部制定相應(yīng)規(guī)范。美國通過《澄清域外合法使用數(shù)據(jù)法案》（以下簡稱《云法案》）賦予美國政府在特定情況下調(diào)取境外數(shù)據(jù)的權(quán)力，這意味著跨境數(shù)據(jù)中的個人信息數(shù)據(jù)可被美國政府隨意調(diào)取。
二、數(shù)據(jù)跨境流動中個人信息保護沖突成因分析
美國的市場導(dǎo)向模式與歐盟的人權(quán)導(dǎo)向模式在某些方面存在難以調(diào)和的局面。
從數(shù)據(jù)保護理念與制度設(shè)計來看。美國模式強調(diào)自由市場的靈活性和創(chuàng)新性，注重企業(yè)在數(shù)據(jù)處理中的自主性和數(shù)據(jù)作為經(jīng)濟資源的利用效率。《云法案》確定了以數(shù)據(jù)控制者的身份為依據(jù)主張數(shù)據(jù)管轄權(quán)的基本原則。凡具有美國籍的數(shù)據(jù)控制者，其保存的數(shù)據(jù)信息均受美國法律管轄。歐盟模式則以保護個人隱私和數(shù)據(jù)權(quán)利為核心，視數(shù)據(jù)為與個人自由和尊嚴密切相關(guān)的基本權(quán)利。GDPR對歐盟個人數(shù)據(jù)信息的收集、處理和跨境傳輸作出了嚴格規(guī)定。針對數(shù)據(jù)出境，GDPR設(shè)定“同等保護”規(guī)則，作為個人數(shù)據(jù)信息跨境流動的最低保護標準。由于歐美雙方在數(shù)據(jù)保護上的理念分歧和制度上的差異，在涉及個人數(shù)據(jù)信息流動的跨境業(yè)務(wù)往來中，歐美雙方往往相互掣肘，難以達成共識。
從法律沖突與管轄權(quán)問題的角度來看。歐盟的GDPR采取“原則禁止+例外允許”的模式，確保個人數(shù)據(jù)在跨境流動過程中享有與在歐盟境內(nèi)相同的保護水平。美國的《云法案》則賦予美國政府在特定情況下調(diào)取境外數(shù)據(jù)的權(quán)力，其也是《云法案》與GDPR的嚴格保護原則產(chǎn)生直接沖突的根本原因。這種差異會導(dǎo)致美國企業(yè)需要在處理數(shù)據(jù)時同時滿足歐美兩地的法律要求，增加了合規(guī)成本和法律風險。
鑒于歐盟高標準的數(shù)據(jù)保護準則，美國的數(shù)據(jù)保護規(guī)則并不符合充分性認定的要求。美國需要依賴標準合同條款或其他替代性措施來確保數(shù)據(jù)的合法跨境傳輸。出于經(jīng)濟發(fā)展的需要，歐盟與美國的數(shù)據(jù)跨境流動協(xié)議經(jīng)歷了從“安全港”到“隱私盾”，再到“隱私盾”破裂的演變。Schrems案就是歐美雙方在數(shù)據(jù)治理博弈上的集中體現(xiàn)。歐盟法院因美國情報機構(gòu)超出必要限度采集歐盟公民數(shù)據(jù)，裁定《隱私盾協(xié)議》無效。面對美國的“數(shù)字霸權(quán)”，歐盟進行強勢反擊，最終促成2023年《歐美數(shù)據(jù)隱私框架》的形成。盡管雙方都試圖在差異中找到共同點，但兩者利益的沖突使得這一關(guān)系極不穩(wěn)定。歐盟與美國仍需不斷地進行新的談判和調(diào)整，以尋找可持續(xù)的合作模式。
三、個人數(shù)據(jù)信息跨境流動的應(yīng)對建議
我國通過網(wǎng)絡(luò)安全法確立數(shù)據(jù)出境的安全評估制度，2021年又出臺數(shù)據(jù)安全法和個人信息保護法，這些法規(guī)已然規(guī)定了我國個人信息數(shù)據(jù)跨境流動的一些應(yīng)對措施。如個人信息保護法規(guī)定跨境流動的個人信息數(shù)據(jù)需要經(jīng)過我國的安全審查?！稊?shù)據(jù)出境安全評估辦法》《個人信息出境標準合同辦法》以及《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》等新出臺的有關(guān)規(guī)定，進一步明確了個人信息數(shù)據(jù)的審查標準。新修訂的民事訴訟法增設(shè)“侵權(quán)行為地”與“其他適當聯(lián)系地”作為管轄依據(jù)，擴大了我國法院對涉外案件的管轄權(quán)限。這些措施整體應(yīng)對我國個人信息數(shù)據(jù)跨境流動的域外保護仍顯不足，如2024年美國政府起訴我國TikTok案件。我國還需要從國際交易規(guī)則方面，借鑒域外經(jīng)驗總結(jié)出行之有效的應(yīng)對措施。
一是加入國際合作與多邊協(xié)議。盡管美國和歐盟都在各自的法律框架內(nèi)積極推動數(shù)據(jù)跨境流動，但兩者的治理模式存在顯著差異。正因此，歐美之間多是通過雙邊協(xié)議來實現(xiàn)數(shù)據(jù)的跨境流動，緩和因個人數(shù)據(jù)跨境而產(chǎn)生的規(guī)則沖突。我國目前簽署了區(qū)域全面經(jīng)濟伙伴關(guān)系協(xié)定（RCEP），并申請加入全面與進步跨太平洋伙伴關(guān)系協(xié)定（CPTPP）及數(shù)字經(jīng)濟伙伴關(guān)系協(xié)定（DEPA），以期在國際數(shù)據(jù)保護標準的制定和實施中發(fā)揮更大作用，減少法律沖突。數(shù)據(jù)自由流動不應(yīng)放棄對數(shù)據(jù)流向和使用的監(jiān)管及控制。恰恰相反，這意味著對數(shù)據(jù)的管理和保護需求也在增長。TikTok案與Schrems案如出一轍。兩者均是因為在未經(jīng)充分授權(quán)的前提下，將本國公民的個人數(shù)據(jù)大量傳輸至他國，進而對數(shù)據(jù)主權(quán)和個人隱私構(gòu)成潛在威脅。我國可借鑒《歐美數(shù)據(jù)隱私框架》，通過加入多邊協(xié)議來實現(xiàn)數(shù)據(jù)跨境流動，以緩和個人數(shù)據(jù)信息跨境流動所引發(fā)的法律與政策沖突。
二是恪守本國管轄原則。我國在與不同國家和區(qū)域開展數(shù)據(jù)跨境活動時，應(yīng)靈活制定最有利于本國的數(shù)據(jù)跨境流動規(guī)則。涉及個人信息數(shù)據(jù)出入境時，可引入“同等保護”規(guī)則，即評估數(shù)據(jù)接收方的保護水平是否與發(fā)送方相當，并據(jù)此采取相應(yīng)措施。如，針對歐盟和美國等數(shù)據(jù)保護水平較高的國家，我國需評估其保護狀況并制定相應(yīng)保護水平的標準和指南，以實現(xiàn)同等保護。對于保護水平高但未達一定標準的國家，可在附加保護措施和合規(guī)要求下允許數(shù)據(jù)跨境流動。對于保護水平低的國家，則嚴格限制其數(shù)據(jù)跨境流動，只有在滿足特定條件和采取嚴格保護措施的前提下，才可允許數(shù)據(jù)跨境傳輸。通過評估，確保個人信息數(shù)據(jù)在跨境流動中受到嚴格保護，避免因保護水平差異引發(fā)潛在風險。此外，對于他國數(shù)據(jù)的入境可參考GDPR中“充分性保護”制度。針對符合我國數(shù)據(jù)跨境審核標準的國家，可視為滿足“充分性”這一條件，放寬或免除其數(shù)據(jù)入境的安全評估要求。
三是強化國內(nèi)阻斷立法。當他國以其法律體系對我國個人或企業(yè)實施制裁或管控時，阻斷立法是維護國家主權(quán)和數(shù)據(jù)安全有效的回擊手段。我國個人信息保護法第四十一條和反外國制裁法已具備阻斷立法的效果，但尚未形成阻斷立法完整體系。《數(shù)據(jù)出境安全評估辦法》中的相關(guān)制度已通過網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、個人信息保護法上升為法定制度，對數(shù)據(jù)跨境流動管理起關(guān)鍵作用。廢除該項制度不切實際，但對于該制度如何具體落實，存在較大的可操作空間。我國可結(jié)合具體國情，借鑒歐盟“黑白名單”模式，明確列出適用阻斷立法的主體、適用范圍以及適用的條件。通過研判各國數(shù)據(jù)管理法規(guī)，將那些已與我國簽訂雙邊或多邊合作協(xié)議的國家納入“白名單”范疇。結(jié)合上文“同等保護”規(guī)則的相關(guān)規(guī)范，簡化數(shù)據(jù)跨境流動的審核程序，提升效率并減少不必要的阻礙。此外，還需設(shè)立專門的監(jiān)督、執(zhí)行機構(gòu)，負責阻斷立法的實施和監(jiān)督。綜合考量個人信息數(shù)據(jù)跨境流動案件的實際情況。在其涉及國家安全與公共利益時，即便他國法律具有管轄權(quán)，也仍需遵守阻斷立法，由我國相應(yīng)的專門機關(guān)進行審查。
數(shù)據(jù)的跨境流動能夠為國家、社會的發(fā)展帶來諸多利益，但并不代表這需要以犧牲個人隱私權(quán)和數(shù)據(jù)安全為代價，數(shù)據(jù)的跨境流動必須建立在確保國家安全和保護個人隱私的基礎(chǔ)之上。我國作為數(shù)據(jù)資源大國在面對個人數(shù)據(jù)信息跨境流動問題上，應(yīng)制定符合本土實際情況的規(guī)則，確立具有中國特色的個人數(shù)據(jù)信息跨境保護的特別規(guī)范。
作者：林 洋 西華大學(xué)法學(xué)與社會學(xué)學(xué)院法學(xué)講師，法學(xué)博士；蔣徐鑫 西華大學(xué)法學(xué)與社會學(xué)學(xué)院法律碩士
京公網(wǎng)安備 11010102003980號