跨境数据流动规制的范围

摘要：WTO电子商务谈判的提案及相应的国内法立法实践体现了各国跨境数据流动的立场。美国与欧盟提案均为原则加例外的规则设计思路，强调数据的跨境自由流动，将“合法公共政策目标”或隐私权保护列为例外。中国提案则强调跨境数据的安全流动。应对跨境流动数据分级分类管理，以数据主权的范围与边界为限度，对影响国家利益、公共利益的数据，采取严保护，通过设立安全例外条款等手段对该类重要数据进行重点规制，对可能侵害个人隐私的数据加以高标准保护，实现充分而安全的数据流动。对于非重要数据，应以促进该类数据的自由流动为主，为数字经济的发展提供助力，努力达成以促进数据自由流动为原则，数据本地化为例外的谈判共识。

关键词：WTO电子商务谈判;跨境数据流动;数据主权;数字经济

中图分类号：D913;G203

DOI：10.13784/j.cnki.22-1299/d.2022.01.006

一、引言

在数字经济时代，数据成为与土地、劳动力、资本、技术并行的生产要素之一，而个人信息是数据的重要组成部分。[1]个人信息的利用已成为国际合作与冲突的焦点。[2]个人信息的泄露或者非法处理，会造成侵犯个人隐私、个人信息权益等侵害私权利问题，情节严重的会对公共利益造成侵害，甚至可能危害公共安全、国家安全。法律保护个人信息的安全流动成为数字经济的重要问题之一。①

跨境数据流动中的数据主要是指基于网络载体而生成的个人信息。因为网络本身所具有的开放属性，数据不仅在国内有自由流动的可能，在跨境情景下也有自由流动的可能。数据跨境流动不仅是现实存在的，也是必然的，通过技术手段阻断数据跨境流动仅仅是国家或社会的“片面理想”，但网络的开放性不代表数据流动的无序性和无监管性。[3]数据同样存在着数据主权问题，即国家主权在网络信息领域的延伸。本文通过WTO主要成员的提案以及该等国家或地区的国内法或域内法实践，包括美国、欧盟以及中国的提案及其国内法或域内法实践，明确其数据主权立场。在寻求美国、欧盟以及中国的数据主权共识的基础上，对跨境数据流动规制的范围加以厘清，继而探讨合理的规制路径，实现数据充分而安全的跨境流动。

二、数据主权的范围与边界

数据主权基于国家主权并与网络主权相联系。根据2021年世界互联网大会发布《网络主权：理论与实践》（3.0版）中对网络主权的定义，网络主权是国家主权在网络空间的自然延伸，即一国对其领土范围内的网络设施、网络主体、网络行为及相关网络数据和信息等享有最高权和对外独立权。②由此可知，数据主权是指一个国家对其管辖范围内的个人和组织产生的数据拥有的最高权力。[4]数据主权主要包括对数据的管理权和控制权两个部分，体现为一国对其境内产生的数据有权占有、管理、控制、利用和保护，并且有权决定参与跨境数据流动的方式，如果他国对本国的数据权益产生威胁或侵害了本国的数据权益，本国可以采取必要的措施加以保护，如设置负面清单，禁止相关数据的流动。[5]

数据与信息相关联，数据是信息的表现形式。[6]申农（Claude Shannon）认为，信息是人们认识事物时产生的“两次不确定之差”。维纳（Norbert Wiener）认为，信息是我们对外界进行调节并在我们的调节为外界所了解时与外界交换来的东西。[7]信息是客观世界作用于人的主观意识的产物，不等于客观事物本身，其可以使消息中所描述事件的不确定性减少。③而数据则是指数字、字母与符号的集合。由此得出结论，数据并不是物，因此不存在“数据所有权”这一说法。但数据存在控制权，比如收集、利用和流动等。总而言之，数据主权所涵盖的范围少于网络主权，数据主权所强调的是对数据的控制权，而非对物的所有权，數据主权并不包括实在物，因此与网络主权存在差别。数据主权虽然是对数据享有的最高权和对外独立权，但因为数据本身并不是一个实在物，因此，数据主权并不必然排他。换言之，数据本地化是数据主权的体现，但因为数据层面不存在所有权，故而反对数据本地化并不必然侵害数据主权。关于数据主权探讨的应该是数据控制所涉及的边界。

数据本身具有流动的特性，数据的价值体现在其流动性上。[8]因此，数据主权相对于其他主权形式有所不同，排他性相对较弱，一国不能对于某一数据行使所有权，这是数据特性的体现。但一国仍可对在其管辖范围内产生的数据行使数据主权，即对数据进行管理和控制。数据主权的形成源自于一国基于保护其国家安全、境内自然人的个人信息所产生的相对于他国更具优势的竞争性权力。在跨境数据流动中，一国对在本国境内产生的个人信息进行管理、占有、控制应该有比他国更具优势的数据权力。具体而言，一国基于维护本国的国家安全以及保护个人信息权益的正当性理由行使对数据的主权，数据主权边界便是由国家安全与个人信息保护的范围所决定的。

在跨境数据流动中，国家安全以及个人信息保护可以通过各国国内立法得到相应的明确。此外，各国在跨境数据流动领域的数据主权立场也集中体现在WTO电子商务谈判的提案中。由于各国对数据主权的理解不同，对国家安全的理解更是呈现泛化的趋势，[9]寻求各国主权立场的共性以及设置各国普遍认同的国家安全例外条款就成为了必要。因此，在这个意义上，数据主权的边界是相对明确的，跨境数据流动规制的边界便是数据主权的边界。在数据主权相对明确的前提下，跨境数据流动规制的范围由数据主权的范围进行确定。跨境数据流动规制范围的厘清关键是考察各国涉及国家安全的个人信息以及个人信息保护的差异性以及共性。

三、美国、欧盟以及中国的数据主权立场

通过对美国、欧盟以及中国在WTO电子商务谈判中的提案及其立法实践的梳理，可以发现各国个人信息保护价值取向的差异。欧盟将个人数据权利视为一项基本人权，美国将个人数据权利视为公民自由，中国则将个人数据权利视为一项基本权益。[10]可见，欧盟和美国在促进数据自由流动与保护个人信息方面存在一定程度共性。

●美国的数据主权立场

美国在WTO电子商务谈判提案中要求不应将企业或个人使用一国的计算机设施，或者所使用的计算机设施位于该国境内作为在该国开展业务的前提，禁止数据本地化。美国提案主张打破贸易数字壁垒的同时，提出“合法公共政策目标”的例外情况，即原则上应该允许企业或个人出于商业目的跨境传输个人信息，但成员可以基于合法的公共政策目标，采取限制或禁止个人信息跨境流动的措施，相应的措施应该符合必要性和正当性原则，且不应构成对贸易的变相限制。④美国在提案中所表现的数据主权立场，不仅与其发达的数据产业密切相关，也与美国个人信息的价值取向密切相关。

在美国，隐私权被定义为“独处的权利”（“right to be alone”）。[11]它是受美国宪法保护的公民自由。美国宪法第四修正案（The Fourth Amendment）保护个人信息不受政府无理搜查和扣押。由于跨境数据流动中的数据泄露大多数是由数据企业、媒体或个人造成的，而不是由政府造成的，因此该修正案对跨境个人数据流动的影响是有限的。[12]

美国国内法认为，数据主体的个人信息可以用于互联网服务交易。[13]在州一级，例如，《加利福尼亚州消费者隐私法》（CCPA）明确规定，“立法机构的意图是通过给消费者一个有效的方式来控制他们的私人信息，以促进加州的隐私权保护。”满足法律的要求，企业可以为消费者收集和出售他们的个人数据提供经济奖励。在联邦一级，主要的隐私执法机构是联邦贸易委员会，其管辖权仅限于监管从事“欺骗性”或“不公平”信息活动的组织侵犯隐私的行为。⑤通过对美国WTO电子商务谈判及其国内立法实践的梳理，可以看出，美国对于个人数据以鼓励数据自由流动为主。美国国内立法实践与其在WTO电子商务谈判的立场是一致的，两者均将个人信息视为可以交易的商品。

●欧盟的数据主权立场

在WTO电子商务谈判中，欧盟认为，应该反对通过数据本地化的方式阻碍数据的跨境自由流动，成员应致力于确保数据的跨境自由流动，以促进数字经济的发展。具体要求：禁止强制数据处理者使用成员领土内指定的计算机设施或网络设备处理数据;禁止出于存储或处理的目的，要求数据处理者进行数据本地化;禁止限制数据处理者在其他成员境内存储或处理数据;禁止强制数据处理者使用成员境内的计算机设施或者网络设备进行跨境数据流动或数据本地化。④上述数据主权立场与美国的数据主权立场具有共通之处。

欧盟提案进一步提到，保护个人数据和隐私是一项基本权利。成员国可以以其认为适当的方式保护个人数据和隐私，包括个人数据保护法的域外适用。欧盟对保护个人数据和隐私不作任何承诺，尊重每个成员国的保护方式。④在欧盟境内实践中，《欧盟基本人权宪章》认为个人数据保护权是一项基本人权。该主张得到欧盟成员国宪法以及欧盟法院相关判例的承认。[9]《一般数据保护条例》（GDPR）正是基于该主张对个人信息实施严保护。但总体而言，欧盟模式相比于美国模式更为开放。在欧盟提案中，欧盟并未和美国一样对“合法公共政策目标”作大规模的保留，也没有设置国家安全例外条款，体现了欧盟对外国投资更具包容的态度。

●中国的数据主权立场

中国在跨境数据流动问题上持较为谨慎的态度，寻求通过成员国的本国实践探索来解决跨境数据流动问题。中国在提案中认为，跨境数据流动应该以安全为前提，由于跨境数据流动问题具有复杂性和敏感性，难以通过一次谈判解决该问题，且该问题关涉每一成员的核心利益，因此，成员应该做更多的探索性工作，进行更深入的讨论。相比于美国以及欧盟的提案，中国对跨境数据流动的提案是原则性、宣示性的，没有具体规定。中国提案关注重点依然是一些传统和常规问题，如跨境货物贸易、与互联网相关的支付和物流服务等。⑥

在中国，个人信息被认为是一项人格权，兼具人格与财产价值。与欧盟不同，中国并不认为个人信息保护权是一项基本人权，而且保护个人信息与保护隐私并不相同。⑦《民法典》第111条和第1034至1037条是涉及个人信息的条款，侧重于个人信息的合理利用，即收集处理个人信息应合法、正当和必要。关于隐私的条款侧重于不侵犯隐私，而非合理利用。因此，在中国隐私权和个人信息是有区别的。

与美国和欧盟不同，中国对跨境数据流动的态度倾向于支持数据本地化，认为维护国家利益和保护数据安全非常重要。这与美国提出的数据本地化构成数字贸易壁垒的提议形成鲜明对比。应该指出的是，美国奉行双重标准。美国的实践表明，当美国认为自己的国家利益受到威胁时，它主张的是数据本地化，而不是美国在电子商务谈判中倡导的数据自由流动。⑧而从中国国内法的实践角度看，中国对个人信息的态度是秉持合理利用原则，即并不反对个人信息的自由流动，且中国的个人信息与隐私权存在差异。相比于隐私权的保护，中国的立法态度是消极被动的，即任何组织和个人不得侵害隐私权，对个人信息的立法态度则是偏向于积极主动的，即个人信息处理者满足一定的条件可以对个人信息收集利用，比如满足知情同意的条件。由此可知，中国对个人信息的态度还是以鼓励流动为主。综上所述，国际舞台上以支持数据跨境自由流动为主流，对于威胁国家安全的数据流动，美国、欧盟以及中国则保持不作承诺的立场。况且，数字经济时代跨境数据流动的开放性越高，越有利于世界经济的发展。因而，促进跨境数据的自由流动是各国的必然选择，数据本地化是跨境数据流动的例外情况。这应该成为跨境数据流动的基本共识。

四、跨境数据流动规制的范围及具体措施

对跨境数据流动进行规制不等于数字贸易壁垒，为了国家安全、隐私保护考虑而进行数据的本地化也不等于数字贸易壁垒。对跨境数据流动施加一定条件，是为了实现更高效、更安全的数据流动，更好地保护各国的国家安全以及个人数据安全。[14]但如果施加不合理的条件，或者不是基于国家安全或者个人信息保护而施加的条件，则可能构成数字贸易壁垒。因此，对比分析各国对于跨境数据流动中涉及个人数据所造成的国家安全以及个人数据的价值的异同点，寻求共性化的跨境数据流动规制的范围，有利于实现更高效安全的數据跨境流动，促进各国真正意义上的数字经济发展。

●重要数据跨境流动规制

重要数据包括个人敏感数据以及对国家安全利益产生影响的个人数据。数据的规模数量会对国家安全利益产生影响。一般而言，数据的规模越大，其重要程度可能越高。在《个人数据出境安全评估》（国家标准）中，将100万作为一个安全评估的标准。一般而言，数据的规模越大，其重要程度可能越高。重要数据属于应该数据本地化的数据。该类数据对个人可能造成人格、财产损害或者受到歧视性对待等后果以及对国家安全可能构成威胁。这与欧盟重视个人信息隐私的立法态度相一致。

同时，建立负面清单，将涉及国家安全的重要数据列为禁止跨境流动的范围，如国家领导人的个人数据、军事部门工作人员的个人数据、国家重要领域部门工作人员的个人数据等。换言之，涉及到国家公权力及政治决策、公共生活的关键部门的工作人员，其个人数据的流动可能对国家安全构成威胁，[4]这类数据应该列入负面清单，属于禁止跨境流动的个人数据。

个人生物识别信息如基因信息、血液、人脸、指纹等，其保护程度应该比非敏感信息的保护程度高，应适用更加严格的跨境数据流动规制。比如，外资企业收集个人敏感信息时，对其审查的严格程度高于非敏感信息的程度，其审查内容主要包括是否涉及国家安全、公共利益、个人利益等方面，特别在个人信息利益方面需要重点保护，这一立法取向与WTO各主要成员的数据主权立场相契合。个体性的敏感数据可能不会造成国家安全问题，但对来自数以百万计的群体性个人遗传和生物数据的跨境流动如果不受到规制，将会威胁国家安全。[15]中国作为WTO的成员国之一，其国家利益诉求与国内立法对WTO规则及其他国家立法会带来一定程度的影响。因此，中国国内立法应该明确界定国家重点监管的数据，采取包括跨境审批、跨境申报、鼓励自由流动等方式，以促进国际数字贸易自由化，同时又能维护国家利益，实现两者之间的平衡。

●非重要数据跨境流动规制

非重要数据主要指的是非敏感的个人信息。对于非敏感的个人信息，其保护的力度可以较为宽松。非敏感的个人信息应以组织、个人合法合理收集处理为导向，尊重市场需要，促进信息技术企业发展，以实现数据的自由流动为目标，平衡企业发展利益与个人信息权益两者之间的关系。[16]对于完全不会侵害到个人隐私或者公共利益、国家利益的个人信息，国家可以以鼓励引导企业合法合理利用为主，鼓励数据的自由流动。在跨境数据流动规制方面，非敏感个人信息应秉持弱保护原则，即适当放宽对非敏感个人信息流动的监管，以促进数据流动，提升经济效益。

个人信息跨境数据流动要实现高效流动，又不侵害各国的数据主权利益，应对个人信息进行分级分类管理，区分重要数据与非重要数据，并且区分重要数据不同的重要级别，施以不同程度的跨境流动监管，实现合理有序的数据跨境流动。[17]数据跨境流动与数据本地化措施应同时存在，即促进数据跨境自由流动是原则，数据本地化措施是例外。对于各国的数据主权立场而言，基本共识应该是以个人信息能够自由流动为前提，同时各国可采取适度、必要的措施保护本国的数据利益，并制定和完善合理的数据跨境流动规则。[18]

●合理设计安全例外条款

跨境数据流动规则的总体设计思路应该是“原则加例外”模式。为了发展本国的数字产业而限制数据跨境流动可能会产生贸易保护主义问题，这是数据本地化措施被诟病的原因之一。但数据本地化措施有其存在的合理性，即当为保护国家安全以及个人隐私时，数据本地化措施具有正当性。⑨美国在WTO电子商务谈判提案中提出的成员基于“合法公共政策目标”可采取适当的限制措施，以及欧盟提出的不对个人隐私保护作出承诺，均可以视为数据本地化主张的具体体现。对比美国和欧盟的提案可以发现，虽然两种提案存在差别，但是美国提案中的“合法公共政策目标”含义包括隐私保护，因而，可以将美欧提案等同看待。两种提案的思路均为原则上主张开放自由的跨境数据流动，例外为基于合法公共政策目标各成员可以采取措施限制跨境数据流动，但所采取的措施须不超过达到目标的必要限度。[18]因此，将数据本地化措施列为例外情形在一定程度上是符合各国共识的。只有在数据本地化措施超过必要限度，产生贸易保护主义问题时，数据本地化措施才是阻碍自由贸易的壁垒。合理设置安全例外条款，有利于弥合和缓解各国在跨境数据自由流动与数据本地化立场之间的分歧与对立。

根据既有WTO裁判实践对国家安全内涵的梳理，跨境数据流动威胁国家安全应该达到与“战争”损害同等或近似的程度，比如数据的大规模泄露，特别是敏感个人信息的大规模泄露。[19]因此，将重要数据中部分属于足以威胁国家安全的数据列入禁止流动的范围，而对于需要达到一定数量级别才能威胁国家安全的重要数据，可以根据具体场景施加不同程度的监管力度。在跨境数据流动中，一次性或者连续性的大规模数据流动可能威胁国家安全，国家可以基于国家安全例外对此类跨境流动施以严格管控。此外，涉及军事部门工作人员以及政府公权力部门的决策人员个人信息的泄露也可能威胁国家安全，因此，这类个人信息作为影响国家安全、公共秩序的“重要数据”应该作为国家安全例外，列为禁止跨境流动的范围。对于可能侵犯个人隐私的数据则在跨境数据流动中加以高标准保护。当个人隐私可能面临被侵害的高风险时，国家可以采取适当措施保护个人隐私，但原则上不应将该类数据列为禁止跨境流动的范围。

五、结语

中国经济已进入高质量发展阶段。对跨境数据流动确定合理的规制范围有利于实现数字经济的高质量发展。数据因其天然的开放性，必然造成国与国、地区与地区之间产生数据主权博弈的问题。数据主权可以具化为保护国家安全与个人信息。由于各国对国家安全与个人信息保护的考虑差别较大，导致各国数据跨境流动的规制措施存在差异，[17]但同时各国在认同保护个人信息权益、隐私权，认同对威胁国家安全的数据流动进行数据本地化方面具有共识。基于数据主权立场的共性，通过对不同重要程度的数据分级分类管理，设立合理必要的安全例外，可以更好服务于数字经济发展。然而，不可否认的是，跨境数据流动规制制度的建立是一个长期、动态的调整过程，除了国家安全、个人信息保护等问题外，还牵涉到各国产业利益的博弈。各国为了争取更多的數据利益，可能导致WTO电子商务谈判在曲折中前行。

基金项目

国家社会科学基金重大项目《国际法与国内法视野下的跨境电子商务建设研究》（17ZDA141）、2018 年教育部人文社会科学青年基金项目《逆全球化浪潮下国际知识产权强保护机制转向及我国的应对研究》（18YJC820022）成果之一。

注释

①在网络世界，个人数据与个人信息有很大的重合，个人数据一般就是个人信息，而个人信息一般就是个人数据。“个人信息”与“个人数据”两个概念在此不作严格区分。

②2021年世界互联网大会乌镇峰会网络空间国际规则分论坛发布《网络主权：理论与实践》（3.0版），参见世界互联网大会官网

https：//www.wicwuzhen.cn/web21/information/Release/202109/t20210928_23157000.shtml？bsh_bid=5640081945.

③根据《情报与文献工作词汇基本术语》（GB4894-85）的定义，信息是物质存在的一种方式、形态或运动状态，也是事物的一种普遍属性，一般指数据、消息中所包含的意义。“消息”是指用适当的语言或代码从一个信息源向一个或多个目的地传送的情况。

④参见Joint Statement on Ele

ctronic Commerce-Communi

cation from the United States-

WTO Agreement on Digital Trade， Restricted， INF/ECOM/23， 26 April 2019.

⑤参见Federal Trade Commi

ssion Act， 15 U.S.C. §§ 41–58 （2018）.

⑥参见Joint Statement on Ele

ctronic Commerce， Communi

cation from China， INF/ECOM/19， 24 April 2019.

⑦《民法总则》第110条规定，自然人享有生命权、身体权、健康权、姓名权、肖像权、名誉权、荣誉权、隐私权、婚姻自主权等权利。第111条规定，自然人的个人信息受法律保护。任何组织和个人不得非法收集、使用、加工、传输个人信息，不得非法买卖、提供或者公开个人信息。《民法典》第1032条第2款规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

⑧参见Addressing the Threat Posed by “TIKTOK”， and Taking Additional Steps to Address the National Emergency with Respect to the Information and Communications Technology and Services Supply Chain， 85 FR 48637， 08/11/2020.

⑨参见Francesca Casalini & Javier L. Gonzalez. Trade and Cross-Border Data Flow， OECD Trade Policy Paper No. 220， 23 January 2019， OECD Publishing， Paris， http：//dx.doi.org/10.1787/b2023a47- en（last visited 29 November 2019）.

⑩参见WTO： Russia - Meas

ures Concerning Traffic in Transit， WT/DS512， https：//www.wto.org/english/tratop_e/dispu_e/cases_e/ds512_e.htm.

参考文献

[1]刘颖，谷佳琪.个人信息去身份化及其制度构建[J].学术研究，2020，（12）.

[2]丁婧文."TikTok"事件的法律分析——兼谈数据利用国际经贸规则的完善[J].法治社会，2020，（5）.

[3]孔庆江，于华溢.数据立法域外适用现象及中国因应策略[J].法学杂志，2020，（8）.

[4]沈国麟.大数据时代的数据主权和国家数据战略[J].南京社会科学，2014，（6）.

[5]齐爱民，盘佳.数据权、数据主权的确立与大数据保护的基本原则[J].苏州大学学报（哲学社会科学版），2015，（1）.

[6]周斯佳.个人数据权与个人信息权关系的厘清[J].华东政法大学学报，2020，（2）.

[7]劉文静.互联网时代的规则：谁能逍遥法外？[EB/OL].http：//news.cctv.com/2016/08/01/ARTIh7w6

GeccyQgWOSHU2wt916080

1.shtml，2021-06-03.

[8]吴沈括.数据跨境流动与数据主权研究[J].新疆师范大学学报（哲学社会科学版），2016，（5）.

[9]Ji Ma. International Investment and National Security Review[J]. Vanderbilt Journal of Transnational Law，Forthcoming Oct. 2019.

[10]Jie Huang：Applicable Law to Transnational Personal Data： Trends and Dynamics[J].German Law Journal，2020.

[11]Samuel D. Warren & Louis D. Brandeis. The Right to Privacy[J]. 4 HARV. L. REV. 1890，（193）.

[12]Dan Swinhoe. The Biggest Data Breach Fines， Penalties and Settlements So Far[EB/OL].https：//www.csoonline.com/article/3410278/the-biggest-data-breach-fines-penalties-and-settlements-so-far.html.Jan. 31， 2020.

[13]Sally Chapman. Consumer Data Privacy in a Networked World， homeland security digital library：on the homefront blog [EB/OL]. https：//www.hsdl.org/c/consumer-data-privacy-in-anetworked-world/.Feb. 23， 2012.

[14]Anupam Chander & Uyên P. Lê. Data Nationalism[J]. Emory Law Journal，Vol. 64，2015.

[15]张金平.跨境数据转移的国际规制及中国法律的应对——兼评我国《网络安全法》上的跨境数据转移限制规则[J].政治与法律，2016，（12）.

[16]叶开儒.数据跨境流动规制中的“长臂管辖”——对欧盟GDPR的原旨主义考察[J].法学评论，2020，（1）.

[17]石静霞.数字经济背景下的WTO电子商务诸边谈判：最新发展及焦点问题[J].东方法学，2020，（2）.

[18]王融.数据跨境流动政策认知与建议——從美欧政策比较与反思视角[J].信息安全与通信保密，2018，（3）.

[19]何明鑫.TikTok禁令的合法性问题探析——以国家安全为视角[J].上海法学研究集刊，2020，（22）.

作者简介

何明鑫，暨南大学法学院硕士研究生，研究方向：国际经济法、电子商务法、个人信息保护法。