跨境数据流动的现状、分析与展望
2021-06-04顾绵雪伍高飞张玉清1曹春杰
王 娜 顾绵雪 伍高飞 张玉清1, 曹春杰
1(西安电子科技大学网络与信息安全学院 西安 710126) 2(中国矿业大学计算机科学与技术学院 江苏徐州 221000) 3(中国科学院大学国家计算机网络入侵防范中心 北京 101408) 4(海南大学计算机与网络空间安全学院 海口 570208)
1 数据跨境大环境
随着互联网、传感器以及数字化终端设备近年来的迅猛发展,世界正在走向万物互联的时代.海量数据的挖掘和运用让数据的价值逐渐凸显,甚至已经成为各个国家争夺和保护的重要战略资源.而信息跨境流动更是成为了当今世界跨境交流过程中的国际新常态.然而,新事物的出现,必将会带来新的机遇和挑战.
自1980年OECD颁布《关于隐私保护和个人跨境数据转移的指南》以来,跨境数据流动逐渐在国际社会占据举足轻重的地位.发展到现在,欧洲法院裁决已经2次废止欧美间个人数据跨境流动协议(《安全港协议》和《隐私盾协议》),分析背后的缘由,可见其双方在部署上的根本性差异.虽然现阶段各个国家都在积极部署相关政策和法律法规,但国际上还无法针对数据跨境制定和使用单一标准的法律规制和管辖模式,这也是数据跨境现如今在社会各界引发强烈反响和讨论的原因所在[1].
2 数据跨境简介
2.1 数据跨境概念
跨境数据流动,也被称为“数据跨境传输”“数据的国际流动”等,数据跨境基本流程如图1所示.其中,跨境国家、数据主体和数据跨境公权中心始终拥有密不可分的关系,从数据主体进行数据搜集、存储、使用、加工、披露、传输、修改以及删除,再到数据跨境时数据跨境公权中心介入,数据主体始终掌握对个人数据的知情权和决定权;并且,跨境国家保护当局享有对该过程中安全技术、法律法规进行审查和对数据跨境的监管等职责.数据跨境公权中心需要成立联合数据跨境机构,建立通用的数据跨境平台,颁布适用的数据跨境国际法,同时,该中心依照国际法,享有对数据跨境过程中数据流通安全和监管等职责.
图1 数据跨境流动流程图
对于数据跨境的概念,国际上也并未给出统一明确定义,综合现如今学术界和社会对数据跨境流动的研究可知,理解主要有2类:
1) 数据在跨越物理国界的传输和操作;
2) 数据虽然没有跨越国界,但是可以被第三国的主体访问和使用[2].
2.2 数据跨境的利弊简述
2.2.1 数据跨境的弊端
众所周知,小到个人身份,大到军事政治、公安司法等,互联网时代下的数据都包含了大量敏感信息,或事关个人隐私,或关联国家安全,因此针对数据保存和使用,禁止数据跨境,可以有效防止数据在流通过程中出现风险和泄露问题,从根源上杜绝威胁社会和国家安定事件的发生.
2.2.2 数据跨境的益处
首先,现如今许多企业贸易规模遍布世界各地,若是强行在国界之间建立“数据传输壁垒”,必然会对企业和国家之间的正常交流和经济往来造成极大影响.其次,数据跨境流动还是信息技术升级创新的必经途径.大数据、物联网等新技术以数据为核心,集算法、算力于一体,如果过于强调数据本地化,将难以让数字经济焕发新生活力.最后,数据跨境流动还是构建全球人类命运共同体的必然要求.2020年新冠肺炎疫情让我们更加认定,只有世界各国加强合作,共享科研数据和信息才能更好地应对全球问题.
综上,数据跨境中的风险固然难以避免,但是,禁止数据跨境会限制甚至扼杀国家或企业发展的潜能,对经济、政治、科技等重要领域的影响都是十分深远的.因此,我们的重心不应放在如何加强数据本地化,而是应该思考如何通过法律规制和现有技术提升为数据跨境流动保驾护航.
3 个人数据跨境现有分类研究总结
数据跨境流动近年来已经成为学术界的研究热点,数据跨境所涉及的安全技术不同,每个国家监管机制不同,对数据跨境的态度以及战略部署就会出现差异,下面从不同国家数据安全技术和监管机制为切入点,对跨境个人数据隐私保护现有研究成果进行总结和分析对比.
3.1 个人数据简介
个人数据是指与已识别或可识别的人有关的任何数据,如公民的姓名、电话号码、身份证号等信息.现如今科技的进步还将个人数据的范围逐渐扩大到由软件、通信、随身设备所产生的与数据主体相关的数据.
相较于起步早的欧盟(BCR)和美国(加入亚太经合组织,CBPR),我国针对个人数据跨境流动的法律规制体系尚处于不成熟的阶段,因此,学术界在此领域的研究更多集中于欧盟与美国的规制分析.
3.2 数据跨境安全技术层面
3.2.1 国外数据跨境安全技术现状
美国在数据跨境安全的战略重点始终是基础设施的建设,为此,美国政府先后部署7项保护安全基础设施的计划,其中包括:信息共享计划、研究与开发计划、完善法律法规战略计划、确定伙伴关系计划、组建工作机构计划、保障政府网络安全计划和网络安全教育计划.此外,针对数据安全技术,美国国家标准与技术局(NIST)和国家安全局(NSA)通过合作开发了大量防火墙等安全产品,并搭建联邦计算机入侵检测网络和开源数据库系统Accumub,致力于庞大的云计算大数据安全技术设施建设.同时,美国国防部高级研究技术局(DARPA)于2017年启动SHARE项目,试图创建新的数据共享技术用于全球数据的收集和存储.此外,美国在数据跨境战略计划中使用多尺度异常检测技术,旨在实现对跨境数据的异常检测[3].
欧盟在数据跨境安全技术上,以其“欧盟空间信息基础设施”建设为基础,采用通用的网络服务技术和松耦合应用集成技术实现跨境数据传输[4].2011年8月,欧盟宣布启动EUDAT项目,旨在建设一个横跨欧洲的协作式科学管理技术设施[5].同年12月,欧盟启动“开放数据战略”并开发数据门户网站Europa.eu,实现科研人员和数据管理人员的跨境数据交换与存储.此后,欧盟先后启动DASISH和DwB项目,前者通过数据清洗技术提高数据质量,并利用安全存储技术实现数据的安全存储和监管,建立了一个安全共享的跨境数据获取框架[6];后者通过整合欧洲各国统计结构的数据和欧盟的数据集,利用用户认证技术和安全访问控制技术,建立通用的用户跨境认证程序和数据跨境获取条件,开发适用于欧盟成员统一的元数据服务系统[3].
英国目前拥有全球领先的高性能电脑芯片ARM架构技术,建立了多个世界一流的高性能计算研究中心,为英国数据跨境开放战略提供了软件和硬件支持[7].同时,英国政府积极开展国际合作,与美国著名的数据处理公司Cloudera进行Hadoop系统开放和应用,为数据跨境开放战略提供技术支撑.2012年5月,英国政府成立世界上首个开放式数据研究所ODI,此外,英国政府在2013年投资1.89亿英镑用以支持大数据安全技术的发展,并成立数据战略委员会,从而推动了数据的开放[3].
俄罗斯强调的是数据本地化原则,同时也学习欧盟数据跨境安全技术,来实现跨境数据传输[3];印度采取数据副本管理技术(CDM)且关键个人数据只允许国内数据中心处理,在一定程度上允许数据跨境[6];日本主要参照欧盟安全技术方案,对境外的个人敏感数据进行安全加密,同时利用身份认证程序进行跨境数据的安全存储[8].
近年来,国家标准化组织(ISO)针对跨境数据流通,定义了一个隐私参考体系结构框架,针对数据跨境实体,利用匿名和身份认证技术,实现跨境数据的隐私保护.同时,针对跨境数据分散存储问题,利用分布式存储技术,拓展云存储能力,从而挖掘海量数据信息.此外,利用机器学习模型,建立了完善的隐私风险评估体系[9].
3.2.2 我国数据跨境安全技术现状
我国则利用传输安全和SSL/VPN技术、数字加密和数据恢复技术、身份认证和强制访问控制技术、数字水印等溯源技术,为数据跨境提供安全保障[10].同时,我国采取数据防泄露(DLP)技术、云平台数据安全等专用技术对数据进行安全存储.目前,国内很多地区开始以访问控制和核心数据保护为基础,从入侵检测、权限管控等角度进行全面管理,有效防止隐私信息的泄露[11].此外,我国还利用支付标记技术,使得敏感信息无需留存,降低欺诈交易的发生概率.目前,国内正在探索使用人工智能技术和区块链技术解决数据跨境中可能存在的数据样本学习和数据溯源问题[12-13].
3.3 数据跨境监管政策层面
3.3.1 欧盟现状
欧盟的个人数据保护机制最初建立在1995年颁布的《关于个人信息处理保护及个人信息自由传输的指令》(以下简称95指令)基础上[14],而2016年4月颁布的《通用数据保护条例》——GDPR,对数据保护提出了更高要求(增加惩罚机制),旨在保障欧洲同盟国之间的数据流动行为可以顺利进行.此外,欧盟国家在个人数据保护领域还可具体参考和兼容国家本土保护法.
1) 欧盟数据出境规定
针对数据出境情况,欧盟的数据控制者可以通过以下3种方式实施数据跨境活动:
① 数据传输至“充分性认定”地区;
② 充分保障措施;
③ 例外场景(包括用户同意或者执行合同需要等,不作主要介绍).
其中,“充分性认定”机制是指通过“充分性认定”确定的少数允许数据自由跨境的国家的白名单.如果在欧盟之外的国家或第三方的数据保护水平达到了欧盟认证的“充分保护”水平,即可以在不采取进一步保护措施的前提下自由传输数据.
“充分保障措施机制”的设立是为了让不满足“充分性认定”条件的国家和第三方也能在一定情况下进行数据跨境流动活动:
① 数据控制者或处理者可提供“适当保障”;
② 以国家拥有可强制执行的并且可以为数据主体的权益提供保障的法律体系和补救措施为前提,在无法满足“充分保护机制”的情况下,欧盟为企业提供了其他的数据跨境转移机制.
2) 国外数据入境规定
若国家属于出境规定中提到的“白名单”,则在GDPR规定的范围内,数据可以实现自由流动,若不属于,欧盟也没有强制要求数据本地化,理论上企业可以选择多种渠道实现跨境流动[15].
3.3.2 美国现状
美国对个人数据的保护分散于多部法律中,如《金融消费者保护法》《电子通信隐私法》等[15],而且保护途径以企业的自我监管居多.
在对待个人数据方面,美国显然更加看重数据自由流动及其带来的经济效益,因此美国在原则上鼓励对个人数据进行商业使用,在特定条件下才加以规制.在对外政策上,美国对市场的开放度和对数据的限制政策的关注度也明显高于其他国家.
3.3.3 中国现状
中国虽然互联网起步较晚,但随着数字时代发展,我国的个人信息保护体系也在逐渐完善.通过分析总结,可知我国对个人数据保护的具体措施及其特点有以下几点[16]:
1) 采取个人数据本地化存储措施来保护个人数据中的隐私权;
2) 通过个人数据跨境前应征得主体同意的方法来保护个人隐私权;
3) 通过实现个人数据跨境流动的安全评估制度来进行个人隐私权保护.
3.4 小 结
因为欧盟和美国政策各有所长,也有其明显的弊端[3],我们既可以采用融合式个人数据跨境流动规制模式,汲取欧盟和美国双模式的有益经验,在现有基础上为个人数据跨境自由流动开放更大的空间[16],也可以建立分级分类跨境数据流动管理体系,支持企业在保障安全的前提下充分挖掘数据价值[7].
4 主要国家数据跨境研究对比分析
随着全球国家之间的交流越来越频繁,数据市场已经不仅仅局限于个人数据的流通[17],表1为各主要国家对数据跨境流动的总体布局战略以及法律监管制度的特点和区别作了对比分析:
1) 欧盟(成员国).统一标准的设定虽然保障了个人数据权利,但是,程序的冗杂和标准过高等特点极大地阻碍了数据的跨境自由流动.
2) 美国.以组织机构为基准,以问责制原则为核心的规制路径会导致规制功能下降,惩罚力度小,威慑力有限.
3)俄罗斯.以地理区域为基准、以数据本地化为基本原则,但高度集中有时往往更易受损,甚至成为国内政府监视公民行为的借口.
4) 澳大利亚.规制路径是在保护数据主体隐私权的基础上,调配经济利益的产物,但由于过于兼顾多方面,部分功能会因此而减损,限度也难以掌控.
5) 日本.日本数据跨境受欧美规则和理念的较大影响.政策推进起步晚但效率高,政策方向沿“国内—双多边—全球”由内及外的路线推进,对全球规则形成具有自身独特优势[8].
6) 印度.将个人数据纳入数据本地化的规制范畴,在区分类型的基础上,对数据分级分类管控,多种监管机制并行,并设有豁免规则[6],但由于强势推进数据本地化,会增加运营成本,容易阻碍印度数字贸易的发展.
7) 韩国.个人数据跨境流动采用“数据主体明确同意”原则.韩国以《个人信息保护法案》为基本通则,通过紧追时代变化的更新与修订,实现从跨境数据流动治理架构到治理形态的不断迭代[18].
8)中国.相比于欧盟和美国等其他世界主要国家,中国的数据跨境管理体系还不够成熟,在未来完善的过程中还需要注意很多方面的短板.
表1 主要国家政策特点对比图
5 数据跨境全球总体态势和挑战
纵观全球数据跨境局势,主要呈现三大趋势[5]:
1) “数据本地化”使得跨境数据流动与数字服务贸易呈现“有限性特征”;
2) 对涉及国家安全利益的数据采取“灵活化”对策;
3) 数据主权争夺加剧.
国际上不同的国家,数据领域情况不同,对数据侧重点和处理要求均不一样,在引入现有法案时都需要有自己的思考,以便法案更大化地适应国家现状,而不是照搬照抄,一成不变;此外,近年来的数据跨境实践证明,现行的法案也面临许多问题和挑战[19]:
1) 隐私泄露隐患.
由于差异性的存在,当数据在保护水平比较低的国家或地区进行流动时,有很大可能导致因技术管理支持不到位或者法律规制体系完善不足而出现的数据泄露情况的发生.
2) 外国政府情报监控.
跨境数据流动情况下,国家情报安全领域已经无法得到万全的保障,外国政府很有可能通过数据跨境这一手段获取本国重要领域的敏感数据,这也是为何近年来各国针对企业数据跨境流动积极部署并不断加大监管力度的重要缘由.
3) 本国产业发展滞后.
跨境数据流动的合法化极有可能导致资源不断向掌握技术和管理优势的国家集中,这虽然可以节约企业的成本,但缺乏数据资源不利于用户所在国的产业发展.数据本地化原则的出台,除了是出于保护隐私的需要,另一方面也是为了保障本国数字产业的发展和利益.
因此,在无法统一数据跨境处理标准的情况下,我们只有紧跟时代变化,不断完善我国建立的的数据跨境流动管理体系,做到同时保障安全和发展需要,才能更好助力我国的数字经济稳步向前.
6 对我国的启示和建议
6.1 中国数据跨境基础设施和管理体系的不足
6.1.1 数据跨境安全技术薄弱
我国的数据跨境安全技术仍处于研究和摸索阶段,与国外的现有能力和水平还存在一定的差距.首先,在跨境数据平台构建方面,缺乏一个安全通用的数据跨境流通平台.在跨境数据平台防攻击方面,在数据跨境情况下扩大的防护边界和更加隐蔽的攻击方式仍然无法做到全面覆盖,以至于一旦出现新的攻击方式或者漏洞问题,平台的鲁棒性难以得到保障.其次,针对跨境数据本身,数据的安全共享、非结构化数据库的安全防护以及数据泄露溯源技术仍需迫切解决.同时,敏感数据所对应的密文计算技术、数字泄露追踪技术的发展无法满足数据跨境中实际的应用需求.最后,数据跨境应用场景下的个人信息隐私保护需要构建以安全技术为保障的架构体系.目前使用的匿名化技术、身份认证技术等普遍存在运算效率过低、身份泄露等问题,无法满足数据跨境环境下的隐私保护需求.
6.1.2 与现行国际规则不兼容
“数据本地化”政策不仅与世贸组织声明中“谋求禁止数据本地化”的主张和立场难以契合,还会导致目前我国难以参与到发达国家主导的双边/多边合作框架(如GDPR、APEC的CBPR)以及新一轮贸易协定(如CPTPP,USMCA等)中.
6.1.3 监管制度不够灵活
我国在个人信息数据出境安全评估方面将所有审批工作交由监管部门负责.虽然这有利于避免数据跨境流动过程出现安全问题,提升监管水平,但是,全面审批在一定程度上会增加相关部门的监管压力和运营成本.
6.1.4 数据保护意识还未完全形成
在数据跨境治理体系还不完善的情况下,组织违规收集、使用数据的情况已经频繁发生.而数据跨境流动,意味着传输过程中会牵涉到不同国家的不同权利主体,在传输环节的监管方面也存在许多差异,因此,数据保护理念滞后所产生的监管框架漏洞将面临较大的安全风险.
6.1.5 管理国际上跨境数据的统一规制缺失
相较于欧盟和美国均根据自身发展意愿侧重于不同的数据战略,推进数据监管和治理顶层设计,作为世界主要国家和数据大国,中国尚还没有一套清晰的规制和国际战略,法律法规也较为分散,不成体系,这可能使得“数据孤岛”情况加剧,导致大国加深“数据垄断”,削弱数字治理的国际规则主导权.
6.2 国外跨境数据流动的启示
目前美欧正借助本国数据跨境战略强化规则主导权,企图未来掌控和决定世界贸易发展的前进道路,中国应该做的就是借助自身发展优势,从技术、制度出发,探索适合中国的跨境数据管理模式和治理体系,强化规则主导权.
6.2.1 研发数据跨境安全技术,加强基础设施建设
首先,我国应该开展数据跨境安全技术体系研究,与国际上进行合作实验,形成具有国际通用的数据跨境安全平台,明确数据跨境安全技术防护手段,加强基础设施建设;其次,鼓励高校、科研机构和企业组建产学研跨境数据安全技术联盟,成立联合实验室,助推跨境数据安全技术的研究进程;最后,对于新型跨境数据安全技术的最新前沿成果,积极开展落地应用工作,加速成果转化与落地应用,从而完善和增强数据跨境安全保障能力,加强数据的要素作用,推动数据驱动创新[20].
6.2.2 推进分级分类分区域监管制度
在如今数据大环境下,我们需要兼顾全球贸易发展态势和本国隐私保护,因此,提出以下建议:
1) 尝试对涉及国家安全的敏感数据及关键基础设施建立配套的分级管理制度、跨境数据流动合同监管制度以及安全风险评估制度;
2) 成立专门的数据保护监管机构,负责跨境数据流动系统化制度的构建以及审查、监督企业;
3) 对行业内的重要数据或者大型互联网公司率先开展数据出境管理实践.
6.2.3 构建完善的跨境数据流动管辖与信任体系
我国可以在从其他国家汲取经验的同时,制定出台属于我国的数据管理框架,完善数据在收集到出境整个过程中各个环节的政策环境.此外,欧盟模式下的“白名单制度”也可以作为我国完善数据跨境制度的参考方向和借鉴方法,将部分国家或地区纳入信任体系,以支持国家之间的数据自由流动.
6.2.4 将跨境数据流动嵌入国际贸易投资协定
考虑到当前世界各国立场差异明显,我国应该以自贸谈判为切入点,深度嵌入双多边贸易协定.积极与重要国际贸易伙伴国协商交流,争取达成认证协定,以促进数据合法有序流动和国际贸易环境下的数字互联互通,构建数字空间命运共同体.
6.2.5 推动建立跨境数据流动的全球治理框架
跨境数据流动是支撑未来全球数字贸易发展的基础,在整个数字贸易领域内影响深远且范围广.因此,建设跨境流动的规则体系也必须具有国际视野,不能只局限于本国视角.就目前来看,我们仍然需要采取互操作性机制,加快探索建立国际执法协作机制以及面向未来的全球数字贸易规则及数字治理框架.
7 小 结
数据跨境是一个事关未来全球经济贸易战略布局的重要领域,科技的快速更新要求更加便捷的跨境交流,极致的“数据本地化”相当于“闭关锁国”,不利于国家的经济发展.因此,虽然现阶段多数国家都采取了重要数据本地化的原则,但是,随着数字经济时代的来临,作为发展经济、科技、国际贸易等领域的必要手段,数据跨境行为会越来越普遍和频繁.在各自国家力量、政治战略和外交理念的框架下,我们应该如何确立管辖原则,才能兼顾发展和安全、平衡跨境数据自由流动与合法政策目标的矛盾,加强国家数据管控权[21],这是整个国际都需要思考的问题,也是我们今后需要重点关注和研究的方向.