跨境数据流动规制：核心议题、国际方案及中国因应

文/冯洁菡 周濛

随着数据资源成为全球经济与贸易发展的主要驱动因素，全球性和区域性的国际贸易规则开始将跨境数据流动条款纳入其中。然而各国出于对数据行业发展、隐私保护传统、国家立场和国家安全观念等核心议题的考虑，对个人数据出境实施了不同水平的限制。如何平衡数据流动与数据保护和数据安全之间的关系，如何兼顾发展中国家与发达国家关注的不同利益，将是国际社会必须面对的挑战。

跨境数据流动规制及其核心议题

（一）跨境数据流动及国别规制

大部分国家/地区在限制数据流动时都会使用不同强度的本地化存储规定。基于国家/地区通信与数据行业发展水平以及数据主权战略或数字贸易政策导向的不同，各国对数据跨境流动的限制程度亦有所区别。这种区别主要体现在三个方面。第一，国家干预程度不同。国家不直接干预意味着国家的公权力不直接介入具体的数据跨境活动，而是通过数据本地化立法中的处理原则和权利义务来间接束缚数据主体与数据控制者的行为，这样相关行为方就可以通过私人意志自行决定是否将数据留存于境内。相反，也存在国家公权力直接干涉数据出境的情况。第二，本地化存储的严格程度不同。严格程度最低的规定是只要求境内留存有数据副本即可，中等严格程度的规定要求只能在境内存储和处理数据，但行为方可以在境外访问数据，最彻底的本地化措施要求数据的存储、处理和访问都只能在境内进行。第三，数据本地化的豁免规定不同。数据主体同意属于最基础的数据出境豁免条件，还有一些规定以境外接收方可以提供相同数据保护水平作为允许数据传输的特定情况，国家公权力机关的自由裁量权也可以作为数据出境的豁免条件。达成这些豁免条件的难易程度从侧面体现了数据本地化立法的严格与否。

（二）跨境数据流动规制的核心议题

由于对以上核心议题的关注点存在差异，不同国家和地区各自提出了独特的数据流动规制方案。一方面，美国和欧盟分别基于自身在数字贸易和个人数据保护领域的影响力，主导着目前主流的国际数据流动规则。另一方面，中国和东盟国家作为发展中国家代表，率先在《区域全面经济伙伴关系协定》（RCEP）中主张多元化的数据流动治理与合作，这显示出发展中国家通过合作完善世界主流贸易体系、维护自身经济贸易发展的共同目标与追求，也预示着欧美主导的数据流动规则格局即将被打破。

跨境数据流动两大规制方案的形成与比较

（一）欧美单边主导的规制方案及其特征

欧盟早期签署的自由贸易协定（FTA）较少涉及数据跨境流动的相关规则，随着2015年“数字单一市场”战略的出台，欧盟协商FTA的关注点由传统电子商务规则向新兴数字贸易规则转变。虽然欧盟开始正视数据跨境流动议题，但并未在个人数据保护方面作出让步，最终形成了折衷的解决方案——在个人数据和非个人数据层面建立差异化的数据保护规则。欧盟的数据流动方案出现上述发展趋势主要是由于美国在数字贸易领域中对美式规则的强势输出，欧盟为了化解压力，选择与美式规则求同存异。

自美国主导《跨太平洋伙伴关系协定》（TPP）的谈判并将符合自身市场自由价值的数字贸易条款引入电子商务章节之后，美式数字贸易规制模板基本形成。此后美国签订的FTA基本上沿用了TPP的模板，如2018年达成的《美墨加协议》（USMCA）和2019年达成的美日《数字贸易协定》。通过比较USMCA与TPP的数据流动条款，可以发现美式数据流动方案的两大发展趋势：一是逐步弱化数据流动中的个人数据保护规则，二是逐步禁止国家利用公共政策目标实施数据本地化措施。

（二）中国与东盟促成的多元共治方案及其理念

虽然欧式与美式数据流动规制方案具有不同的关注点，但两者的发展趋势都是逐步提升数据流动水平并推广有利于自身数据战略的规则。然而这些规则对于许多数据产业落后、数据立法框架尚未完善的发展中国家来说，则是难以达到且相对不公平的。在迫切需要改变欧美单边主导格局的情形之下，RCEP的出台为发展中国家引领自身的数据流动规制方案并与发达国家共同参与数据跨境治理与合作提供了良好示范。

在数据流动规制领域，RCEP的多元共治理念体现在三个方面。首先，RCEP是由发展中国家与发达国家共同参与的区域性多边协定。欧盟和美国没有参与RCEP谈判，这表明脱离欧美单边主导的区域贸易一体化协定在当今世界仍然可行，甚至可以成为未来数字贸易的发展趋势。其次，RCEP兼顾了发达国家关注的数字贸易利益以及发展中国家关注的数据安全与数据产业发展利益。RCEP支持高度自由的数据跨境流动，并承诺缔约国可以基于公共政策目标或者国家基本安全利益而采取相应的限制数据流动的本地化措施。最后，RCEP对缔约国自主施加的非歧视性监管措施未作出过多限制。缔约国对于数据流动的监管与限制依然具有较大的控制力，RCEP的多元共治依然是各国在独立自主层面上的合作与治理。

（三）RCEP方案与欧美方案的比较

跨境数据流动规制的RCEP方案与欧式方案在个人数据保护与国家安全两大核心议题中具有不同的侧重点。欧盟将个人数据保护议题置于数据流动与传输的全部过程之中，并且明确了缔约方有义务采取保障措施来维持高水平的数据保护。而RCEP将个人数据保护与数据流动规定在不同的条款之中，这种分开规定的做法意味着RCEP主要的关注点是缔约方国内电子商务平台对个人数据的保护，而非数据跨境传输中的个人数据保护。在对待数据流动的态度上，尽管未对数据流动作出过多限制，但RCEP将缔约国的基本安全利益置于数据自由流动之上，可以说RCEP更为关注安全的数据流动。

美式方案具有市场自由和数字贸易至上的典型特征，不管是个人数据保护还是国家安全都要屈从于数据流动所带来的经济利益。正因为如此，RCEP方案与美式方案最大的差异体现在数据传输例外条款的规定上。RCEP对计算设施本地化与数据跨境流动的规制一视同仁，没有像TPP或USMCA一样对两者的例外情况进行区分。RCEP增加的国家安全例外条款属于美国较为反对的立场，美国一般认为这种条款会严重影响数据的自由流动。

太宗、仁宗都表明自己对这些仕二朝的臣子的态度。太宗谓范质“欠世宗一死，所以立万世为臣者之训。 ”〔14〕（卷一四，P1673）冯道的曾孙冯舜卿上道官诰二十通，乞录用，上（仁宗）谓辅臣曰：“道相四朝，而偷生苟禄，无可旌之节，所上官诰其给还之。 ”〔15〕（卷一七一，P4108）

总体而言，RCEP的数据流动规制方案扩充了电子商务领域中的传统议题，明确支持跨境数据流动，但认为数据跨境流动需要受到国家安全利益立场的限制。就RCEP体现的多元共治理念而言，其弱化了标准过高的隐私保护议题，并给缔约方留有更多自由裁量权对数字贸易和数据流动采取限制性措施。RCEP方案是对欧美方案进行了折衷，为发展中国家抗衡强势的单边规则提供了有力后盾。

多元共治方案对全球跨境数据流动规制格局的突破

在RCEP签署之前，主要有经济合作与发展组织（OECD）和亚太经济合作组织（APEC）两大组织对数据跨境流动作出了软法性质的规定。同时，世界贸易组织（WTO）框架内的电子商务谈判也在进行之中，有望在未来几年内达成数字贸易领域中首个具有实质约束力的全球性数据流动规则。RCEP作为欧美单边主导方案之外首个体现发展中国家与发达国家多元共治的方案，其签署将深刻影响目前的跨境数据流动规制格局以及WTO电子商务谈判的未来走向。

（一）多元共治方案对OECD及APEC跨境数据流动规制体系的突破

由于OECD的《隐私保护与个人数据跨境流动指南》（以下简称《指南》）和APEC的《跨境隐私规则体系》（CBPR）都主张合理的数据流动以促进商业和经济发展，因此数据保护水平较低但数据行业发展较快和数字贸易水平较高的一些发达国家长期主导着这两个体系。

RCEP内部成员国对数据流动的监管更为严格，而TPP和USMCA借鉴的CBPR机制属于国家监管较为宽松的低水平数据保护体系。这意味着未来的亚太数据圈会存在两套不兼容的数据传输机制，加入CBPR的RCEP成员国对数据流动机制的选择可能会让其陷入两难。对于还未加入CBPR的RCEP成员来说，未来是否选择加入CBPR也会受到RCEP内部数据流动政策以及由此带来的经贸收益的影响。

RCEP签署之后，美国割裂亚太国家的联系并构建美国主导的数据流动体系的企图可能会被注重区域一体化的RCEP打消。至少在亚太地区，由发展中国家引领的多元共治方案可以对美国的数字贸易战略部署造成阻碍，并能够积极引导亚太国家形成新型数据流动规制格局。

（二）多元共治方案对WTO电子商务谈判的影响

目前来看，WTO中的数据跨境流动议题暂时被以美国为首的发达成员所主导，许多发展中经济体关注的数据安全立场很难占据优势。对于RCEP中的一些发展中成员更是如此，柬埔寨、印度尼西亚、菲律宾和越南甚至没有签署《关于电子商务的联合声明》，因而更难以利用WTO的电子商务谈判表明各自立场。

关注多元共治的RCEP有望缓解发展中成员在谈判中的窘境。RCEP的电子商务章节很好地展示了电子商务谈判可以兼顾发达国家和发展中国家数字贸易共同利益的前景。RCEP的数据流动规则考虑到了许多发展中国家的意愿，即紧密保护本国的数字领域不受外界影响，同时可以对数字贸易和数据流动采取限制性措施。对于迫切需要保护本国数字产业发展和网络安全的发展中国家来说，这种意愿的实现极为重要。WTO的各类框架与规则一直在兼顾发达成员与发展中成员的利益，电子商务谈判同样需要此类规则以使更多发展中成员的立场和利益得以体现。

与此同时，RCEP中的多元共治方案也表明全球数据流动规则的构建无需受制于欧美等发达国家。WTO电子商务谈判中欧美等国的立场占据优势地位，经济和政治实力成为构建全球数据跨境流动体系的决定性因素。但RCEP的签署表明，数字经济和数字贸易的发展不仅要考虑经济和政治实力，还要考虑各国共同的安全和发展需求以及平等、对等的合作。只有不同立场国家的充分参与以及公平话语权的有效实现，才能推动共赢共享的全球数据流动模式的形成，才能实现全球数字经济利益最大化。

中国推动多元共治方案的阻力与因应策略

（一）中国推动RCEP多元共治方案的阻力

第一，日本意图实施地缘政治与权力制衡战略。日本加入RCEP的真正目的可能并不是追求整个亚太地区围绕数据流动议题的真实合作，其本意是借助RCEP平台强化日本、印度、澳大利亚三边的经济区域发展合作并对抗我国的“一带一路”倡议。

第二，澳大利亚对高度自由的数据流动规则的推动。从澳大利亚的活动趋势来看，其数据流动立场与美国和日本属于同一阵营。与此同时，澳大利亚与我国在贸易领域频繁出现摩擦与冲突，在政治领域的分歧也可能会阻碍双方在RCEP中的合作。

第三，新加坡中立化立场的复杂性。作为东盟的成员，新加坡需要考虑东盟作为中立方如何避免日澳等成员与中国的贸易摩擦激化；而作为《全面与进步跨太平洋伙伴关系协定》（CPTPP）的成员，它还要密切关注中美在国际贸易领域中的激烈博弈，其能否坚持推动RCEP的多元共治发展仍有待观察。

（二）中国的因应策略

1.与RCEP成员的内部合作

我国尤其需要推动与东盟国家之间的共治共享。我国可以根据东盟的具体框架和条款，在数据跨境流动领域出台针对东盟的认证手段和保障措施，使双方在确保数据保护水平和数据安全利益的基础上，形成畅通无阻的数据流动机制，为RCEP其他成员之间的合作树立模范。

针对RCEP中的发达成员，我们应灵活采用不同的合作模式。一方面，对于同属于东亚地区的日韩两国，我国需要突出东亚数字贸易与数据流动圈在亚太地区的带头示范作用；另一方面，对于澳大利亚、新西兰和新加坡，我国可以通过向CPTPP电子商务规则的靠拢，逐步打开与三国深入合作的局面，并依靠未来的FTA升级谈判以及RCEP的内部合作来落实符合各方利益的数据传输协议。

2.持续关注欧美国际动态

美国在数据流动与数据保护立法层面的消极态度并没有阻止其构建新的数据流动格局。美国一系列的外部活动体现了其维护数据流动规制领域领导地位以及自身经济与国家利益的新型战略部署。与此同时，美国对我国在全球数据流动规制中的行动开始有所防备，因此我国更需要密切关注美国意图拉拢的数字贸易合作伙伴，防止美国借助新型数据治理体系阻碍发展中国家推动多元共治的数据流动规制方案。

欧盟目前的目标依然在于增强自身数据规则与标准的影响力，因而会继续利用自身的数字制度工具和数字市场的监管权来构建更强而有力的全球规则和标准。由于欧盟缺乏完善的数据立法框架和相关技术标准，我国更需要关注欧盟针对各类数字技术的立法动态，防止欧盟利用自身标准与规则的全球影响力，单边主导涉及各类数字技术的数据流动规制方案。

3.完善数据立法框架，提升国际话语权

发达国家对我国数据保护环境的不信任主要源自数据立法框架的不完善。为了解决立法缺失的问题，我国已经在积极制定《个人信息保护法》和《数据安全法》，这为我国与其他国家进行数据流动规制合作并在国际谈判中提出关注基本安全利益的数据流动立场奠定了良好的法律基础。

我们还应当继续在双边和区域性平台中推广符合我国数字贸易策略的数据流动立场，并争取更多的规则制定话语权。以RCEP和待加入的CPTPP为依托，我国将能够更好地在WTO电子商务谈判中站稳脚跟，逐步推动发达国家与发展中国家多元共治的新格局。