论跨境数据流动执法的正当性和工具性之间的冲突

胡海东

摘要：随着全球化进入跨境数据流动驱动的新阶段，如何规制跨境数据流动和促进本国数字经济发展，已经成为各国关注的焦点。由于数据技术和数字经济发展的迅速性，导致立法内容可能不符合现实需要，各国的解决方法是突破立法内容或取向，运用跨境数据流动执法的名义来满足经济政治需求。无论是发达实体的欧盟，还是发展中国家的印度都积极运用执法的工具性来实现特别之目的。新阶段，中国应当完善自身立法和执法行为来促进数字经济发展和保护国家安全、利益。

关键词：跨境数据 执法 工具性

2016年，麦肯锡全球研究院发布《数字全球化：全球流动的新时代》，该报告指出“自2008年以来，传统贸易、投资在世界GDP中占比呈现下降趋势”。但全球化并没有因此陷入停滞，而是进入了以跨境数据流动驱动增长的新阶段。根据WTO的《世界贸易报告》，在过去十年中，服务贸易一直是全球贸易中最具活力的组成部分，平均每年以5.4%的速度增长，而如果采取新的数字技术，发展中经济体的服务贸易将会发展更快。

由于跨境数据流动的重要性，各国都十分重视该领域的立法与执法工作。且相比于传统的商品贸易和金融流动以头部国家稳定占据大部分份额的情况，跨境数据流动的全球增长结构一直在发生变化，头部国家以外的国家的数据全球化贡献占比从2005年的13%增加到2014年的23%，大部分发展中国家有机会真正参与到新阶段的全球化。所以，不只是发达实体积极制定跨境数据流动的国内法规和国际协议，一些发展中国家也在完善自身的立法和执法情况来促进本国相关产业发展和维护国家安全等。

一、跨境数据流动执法正当性与工具性

（一）正当性的来源

从各国的立法内容来看，跨境数据流动的立法取向存在“三性选择”问题，即良好的数据安全性、数据自由流动性和数据主权性不能同时兼顾，只能选择其中两项作为跨境数据流动规制的核心内容。如果选择数据安全性和数据主权性，就会制定较为严格的数据保护法规，进而限制了数据的自由流动性。各国的政策目标不同，必然存在差异，如同等条件下没有数据本地化要求的国家将更容易吸引外来数字企业的投资。所以，除非以强制性的国际协议来协调各国的立法差异，各国在差异性的政策目标上就只能顾此失彼。实际上，兼顾数据安全性和自由流动性是较为理想化的取向，需要全球建立统一而有力的保护机制。

（二）正当性与工具性的冲突

但由于数字技术发展迅速和现实经济政治需要，各国在具体执法中往往会违反立法内容进而突破或者违反这种执法正当性，如美欧《隐私盾协议》就是美欧双方对于自身立法取向的妥协。笔者认为这种突破立法取向或者内容的执法是发挥了跨境数据流动执法的工具性，是各国为了更大的现实利益所做的妥协。这种工具性意味着各国在实践中利用跨境数据流动执法的名义来达到立法内容无法实现的目的。笔者将通过的各国实践事例来探讨执法正当性与工具性之间的冲突，并探索中国应对的路径方向。

二、欧盟的数据立法与美欧数据协议之间的冲突

（一）GDPR和欧盟以往数据立法的价值取向

欧盟的数据立法体系完整且历史悠久，在欧盟及其前身进行数据立法之前，欧洲各国就展开过相关的立法活动，如瑞典于1973年制定最早的数据法，随后芬兰、爱尔兰、德国等国纷纷跟进。为了促进欧洲一体化进程，欧盟开始了统一立法，最后形成由《81公约》《95指令》和GDPR三个标志性法律文件构成的，关于个人数据跨境流动规制的立法体系。这些法规的特点是严格保护数据安全及不断扩大公民数据权的范围。欧盟对于个人数据保护的严格要求的原因主要有两点：

欧洲发生过公民数据不受保护而造成的历史悲剧，二战时期纳粹掌握大量犹太人的个人信息进而有效率地进行种族屠杀的血泪教训，让欧盟立法者认为“个人数据无论由政府还是企业所掌握都是难免会出错的”。所以欧盟要求数据收集活动需要合法性基础，且需要明确的目的性和数据内容的最小性等。

欧洲的数字产业较为薄弱，全球前30的互联网企业，欧盟只占一家。欧盟立法者希望通过限制跨境数据自由流动和允许欧盟内部的自由流动来有效扶植本区域的数字企业。根据GDPR的規定，欧盟成员国不得以保护自然人的个人数据处理为由，限制或禁止个人数据在欧盟内部的自由流动。在非个人数据方面，一项欧盟新规于2019年5月28日起实施，旨在消除非个人数据在欧盟内部流动的障碍。这些规定通过创造一个更大的市场来支持建立一个有竞争力的数据经济，鼓励更多的数据在整个欧盟流动。

（二）欧盟立法取向与美欧协议的冲突

欧盟的立法取向与实际执法之间最大的冲突体现在美欧数据传输协议之上。根据欧盟数据立法的充分性规定，只有当数据转移目的国达到欧盟所认可的充分保护水平条件，才可以进行数据转移，而美国并不符合要求。美国企业在欧盟开展与跨境个人数据传输交易有关的活动受到严重限制。美国政府需要为本国企业开辟一条高效的传输数据路径，欧盟执法者也了解美欧之间巨大的经济利益。在现实需求的驱动下，经过漫长的谈判，2000年欧盟委员会和美国商务部达成了《安全港协议》。该协议暂时缓和美欧的立法取向矛盾。但双方关于数据立法的价值取向巨大差异仍然存在。2013年，“棱镜门”事件引发了美欧之间的不信任。2015年，欧盟法院最终裁决《安全港协议》无效。由于巨大的经济利益，2016年，欧盟委员会和美国商务部达成新的《隐私盾协议》。2020年7月，欧盟法院再次宣布美欧数据传输体系无效。美欧数据传输的两立两废，突显欧盟内部关于数据执法的正当性与工具性之争。

欧盟法院作为司法机构坚持立法取向，欧盟委员会作为行政部门考虑到现实差异不得不选择突破立法取向进行执法，两者不可避免地爆发了冲突。根本原因在于，跨境数据流动立法内容无差别针对各个政治实体，如充分性认定标准只考虑各实体的数据保护情况而不会考虑其他特殊因素。但实践中，跨境数据流动的国际性要求行政者在执法过程中必须考虑个体的实体差异，现实利益因素不可避免地推动行政者在国际协议中进行差别对待。欧盟的正当性与工具性之争，问题在于立法取向与现实需要不一致，又缺乏统一有力的国际协议来保护数据安全性。在欧盟的跨境数据执法实践中，执法正当性被暂时坚持，但现实的经济需求和过往案例意味着工具性与正当性之争还会继续。

三、执法工具性在印度的具体运用

印度作为第二大的发展中国家，是最大和增长最快的数字消费市场之一，研究该国的跨境数据流动实践执法，尤其是其针对中国企业的执法，对于中国的相关实践具有重要意义。

2020年6月30日，因为中印边境冲突，印度信息技术部根据《信息技术法》第69A条的规定，援引了《信息技术规则》的有关规定，并考虑到威胁的紧急性，决定禁用59款中国手机应用。禁止原因是它们从事的数据收集传输活动对于印度国家安全产生威胁。印度政府怀疑这些手机应用以未经授权的方式将数据存储到印度以外的服务器。

印度数据立法主要为符合欧盟充分性要求和本国数字经济发展服务。2010年欧盟白皮书认为印度不满足充分性要求。为推动数字服务出口和增强数据流动谈判筹码，印度积极改善自身的立法情况，在《国家电子商务政策草案》中明确提出数据主权性和数据安全性。

在这次封禁执法活动中，印度政府并没有违反其立法取向而是存在程序不合法的情况。印度政府并没有履行公告中引用的《信息技术法》中的事先通告、听证会等程序性的要求，也没有法律文件来规定封禁的程序、权利救济等。印度政府为了回应国内的反华情绪和民族主义呼声，运用了跨境数据流动监管的名义来限制中国企业的活动。

四、中国在实践中的应对

从长期的跨境数據流动执法和各国执法实例来看，我国应当完善数据立法，并以此为基础积极参与国际协议的制定，进而有效保护我国海外企业和维护国家利益。

（一）完善数据立法

中国在跨境数据流动规制领域起步较晚，没有独立规制跨境数据流动的法规。《网络安全法》的公布是中国第一次对跨境数据流动进行规范，但其适用范围及其严苛程度受到质疑，需要进一步完善有关立法。

无论是欧盟与其他国家达成的充分性白名单，还是美国推动的双边数据流动协议，都是在一定法律框架下进行的，中国要参与国际协议制定也需要完善的法律制度提供保障。然而，中国相关立法的缺失，导致中国在RCEP等多边经贸协议中关于数据流动谈判处于尴尬境地。

中国可以考虑建立健全的国内监管原则，例如简化程序、成立独立的监管机构、明确制裁和正当程序。考虑中国发达的数字经济情况，可以从引入隐私保护或针对数字经济的在线消费者保护法律开始。

（二）积极参与国际协议制定

在完善立法的前提下，我国应利用数字经济的优势争做国际规则的制定者。在与特定实体谈判时，可利用我国自身优势和对方的执法工具性，形成有效的双边数据传输协议，如与欧盟达成数据协议。在区域协议方面，中国可以借鉴美国推动数据协议的经验，可考虑借助RCEP、一带一路等区域经贸合作寻求建立符合中国利益的跨境数据流动标准。在全球协议方面，中国可以努力推动建设统一而有力的数据安全保护机制，来尽可能消除各国立法的差异。

总之，在多层次的国际规则建立过程中，为了维护国家安全和经济利益，中国应当树立与中国数字经济相匹配的数字大国形象。在跨境数据流动国际合作中，中国应当积极提出新方案。

[基金项目]浙江省大学生科技创新基金项目“新苗杯”《跨境数据流动规则的立法趋势与中国的选择》编号：2020R403004

参考文献：

[1]惠志斌，张衡.面向数据经济的跨境数据流动管理研究[J]..社会科学2016年第8期，.16.

[2]黄宁，李杨.“三难选择”下跨境数据流动规制的演进与成因[J]..清华大学学报（哲学社会科学版），.2017.年第5期，.179-180.