数据要素五论：信息、权属、价值、安全、交易

三是数据流动要有国际规则。数据跨境自由流动涉及各国不同的监管制度，需要各国加强交流与合作，增进共识和信任，共同推动制定切实可行的国际规则，让数据流动更好地促进技术进步，服务数字经济发展。

（一）数据跨境流动现状

叶开儒. 数据跨境流动规制中的“长臂管辖”：对欧盟GDPR的原旨主义考察[J]. 法学评论，2020，38（1）：106-117.

随着信息和技术革命的推进，数字经济已经成为全球经济发展的新要求和新趋势，跨境电商、数字贸易等数字经济在全球范围内加速发展，经济贸易全球化推动了数据在不同国家之间的交互、流动。数据跨境流动对发展数字经济、维护国家安全、构建数字红利收入分配体系至关重要。全球各国对数据跨境流动的规制反映了其国际博弈的战略：美欧等发达经济体希望促进数据自由流动；而发展中国家则采取“本地化”防御方式来抵御数据领域的长臂管辖。 注

王远志. 我国银行金融数据跨境流动的法律规制[J]. 金融监管研究，2020，1：51-65；李伟. 我国金融数据跨境流动规则建设的思考与建议[J]. 中国银行业，2020，1：41-44；许多奇. 个人数据跨境流动规制的国际格局及中国应对[J]. 法学论坛，2018，33（3）：130-137.

20世纪80年代，数据跨境流动的概念被正式提出，引起了全球关注。数据充分流动、自由竞价、实现市场化配置可以最大化实现数据的价值和效用。但在随后的发展过程中，数据跨境流动越来越多地受到国家战略、地缘政治、经济运行、技术水平、国家安全、隐私保护等一系列复杂因素的影响，各相关方难以达成共识并形成全球统一的治理规则。发达国家数字经济发展水平较高，认为应该促进数据充分自由流动，使数据的经济效用最大化；但发展中国家在数据跨境流动规则上处于防御地位，认为数据无限制的自由流动会对国家主权和安全造成负面影响。2019年以来，脸书、亚马逊等科技巨头滥用数据、境外暗网售卖个人数据等恶性事件引发了新一轮数据跨境流动的“逆全球化”。截至2019年末，限制数据出境的法规已经超过200项，较10年前翻了一倍，数据跨境流动治理规则成为数字经济下各国博弈的焦点。 W

1. 国内数据跨境流动现状

在数字经济发展的今天，数据只有实现在更大范围内的流动共享，才能更好地发挥对经济增长、社会发展、全球化进程的支撑推动作用。随着经济全球化的加快，数据的跨境流动需求日益增强，必须在法规制度、责任体系、安全风险防范等方面做好保障。我国在数据治理方面虽然起步较晚，但随着数字经济大国地位的确立，数据跨境流动治理也被提升至国家战略的高度。2020年10月29日，中国共产党第十九届中央委员会第五次全体会议通过了《中共中央关于制定国民经济和社会发展第十四个五年规划和二○三五年远景目标的建议》，明确提出“建立数据资源产权、交易流通、跨境传输和安全保护等基础制度和标准规范”，有关情况如表4-1所示。

表4-1 我国数据跨境流动的相关政策法规及标准情况

（续表）

（续表）

在《网络安全法》出台之前，我国未对数据跨境流动作出系统性规范。《网络安全法》第三十七条原则上禁止我国境内关键基础设施运营者向境外提供在中国境内收集和产生的个人信息或重要数据，可见我国目前对于关键领域数据保护采取了倾向数据本地化存储的态度。但我国并非完全禁止数据跨境流动，《网络安全法》第三十七条对向境外提供个人信息和重要数据的活动设置了安全评估的前提性要求，把安全评估办法的制定权力赋予国家网信部门，其可会同国务院有关部门对安全评估制定具体的操作制度。

我国在加强数据跨境流动法律建设的同时，也在推动试点以探索合理的跨境流动方式。国务院于2019年8月6日印发的《中国（上海）自由贸易试验区临港新片区总体方案》指出，要试点开展数据跨境流动的安全评估，建立数据保护能力认证、数据跨境流动和交易风险评估等数据安全管理机制。2020年6月1日，中共中央、国务院印发《海南自由贸易港建设总体方案》，这标志着海南自由贸易港的建设进入全面实施阶段。该方案指出，要建立健全数据出境安全管理制度体系、健全数据流动风险管控措施。

1. 国外数据跨境流动现状

从当前全球发展格局来看，发达国家与发展中国家对数据的规制出现了较为明显的分歧。一是在立法思路方面，分为自由流动与本地化两类思路。发达国家以促进跨境自由流动为主，从而抢占更多的数据资源；本地化则成为更多发展中国家的防御性选择。二是在立法原则方面，分为属人、属地和保护三种原则。发达国家的数据保护法律以“属人原则”和“保护原则”为主，实现数据领域的“长臂管辖”，例如美国以“保护原则”为主，以保护本国利益为由大肆调取他国数据；欧盟、新加坡和日本则通过“属人原则”确保境内数据主体在境外获得高标准的数据保护水平；发展中国家在话语权方面处于相对弱势的地位， 一般采取“属地原则”，法律效力仅限于在境内产生的数据。

（1）美国：以所谓促进自由流动、境外执法权等方式实施数据领域的“霸权主义”。一是以促进数据自由流动形成引流效应。美国凭借其经济和军事实力，长久以来维持在全球的霸权地位，在近期的贸易谈判中，“数据跨境自由流动”被纳入协议条款，以破除其他国家的数据出境壁垒。美国集聚了大量国际性金融机构、科技企业总部，数据开放、自由流动的主张实际上是为其大肆获取其他国家和地区的数据提供法律基础和政治基础，希望借此打破数据国界。此外，规模经济效应会促进数据的集聚，有足够的驱动力让数据从竞争力较弱的国家流向竞争力较强的美国。美国可以从数据集聚中获取最大化的数据价值，进而巩固其霸主地位。美国虽然对数据出境门槛要求较低，但也并非完全不设限制，门槛主要集中在高度涉密的“重要数据”领域。美国前总统奥巴马于2010年签署了13556号行政令，形成受控非秘信息（Controlled Unclassified Information，CUI）列表，如果美国政府认为某信息会对国家安全产生不利影响，就将该条信息标记为“禁止向外国传播”。二是以多边合作构建“数据流动圈”。美国倡议建设无障碍数据流动圈，实际上是利用强权为其获取境外数据提供通道。美国为突破欧盟数据保护的防线，于2000年与欧盟签订《安全港协议》（Safe Harbor），包括谷歌、脸书、微软等5000多家美国公司在欧洲运营受到该协议的保护，它们将欧洲用户数据传输至美国储存及处理。2013年发生了斯诺登事件，《安全港协议》在2015年被判无效，但在随后艰难的谈判下，美欧于2016年达成《欧盟-美国隐私盾协议》（EU-US Privacy Shield）协议，美国企业自愿承诺遵守欧盟数据保护法规后，即可接收欧盟的个人数据，但协议也规定美国政府和执法机构在介入和访问欧盟数据时，需要按照规定采取安全保障措施。2018年，美国、墨西哥、加拿大签署《美墨加三国协定》（United States-Mexico-Canada Agreement），规定“任何缔约方不得将金融机构或跨境金融服务提供者所采集的金融数据本地化储存，作为在境内开展业务的前提条件”。此外，美国于2005年签署《亚太经合组织隐私框架》（APEC Privacy Framework），框架规定获得认证的企业可以自由进行跨境数据流动，但这一框架实施效果较差，仅有二十多家美国和日本企业获得认证。三是以域外效力立法的方式实施“长臂管辖”。美国以反腐败、反洗钱、反恐怖主义、维护国家安全为由跨境执法，借此掌控全球的跨境资金流动数据，严重威胁个人隐私保护和全球数据流动秩序。2001年出台的《美国爱国者法案》（USA PATRIOT Act）授权美国执法机关在全球范围内获取数据，且被要求提供数据的一方不能对外透露被索取数据的任何内容。“9·11”事件后，美国国会依据《国际紧急经济权力法案》（International Emergency Economic Powers Act），授权财政部随时可以从SWIFT调取“与恐怖活动相关”的金融交易和资金流动数据。

2018年，《澄清域外合法使用数据法案》授权执法机构调取境外存储信息，规定美国电子通信服务提供商和远程计算机服务提供商储存在境外的数据可以被美国“合法”地调取。

（2）欧盟、新加坡、日本：以充分性认定、建立信任机制等方式维护数据立法话语权。欧盟、新加坡等数字经济发展已经较为成熟的国家和地区，同样希望维持较高的数据自由流动水平，充分利用数据资源。与美国极具侵略性的数据政策不同，欧盟、新加坡采取平衡的监管思路，在所在区域维持高标准隐私保护的前提下促进数据跨境流动，未达标国家和地区或企业禁止数据自由流动。这种监管思路最主要的目的是维护其在数据领域的立法话语权，部分与其贸易或金融依存度较高的国家和地区，会在此影响下修订数据保护法律，通过达到同等的数据保护标准来获得信任。日本则希望通过提高本国的数据保护水平，建立信任机制，从而融入美欧等的自由流动圈。

欧盟建立以“充分性认定”为核心的数据跨境流动机制。欧盟出台的《通用数据保护条例》于2018年正式生效，规定获得“充分性认定”的国家和地区可以在不经过数据主体授权的情况下接收欧盟个人数据。欧盟委员会每四年依据数据保护立法、监管机构运作、国际承诺和公约签订三个维度对国家和地区进行“充分性认定”评估。截至2021年4月，仅有加拿大、新西兰、瑞士等12个国家和地区获得了认定。欧盟希望在实现内部采用一致标准后，吸引更多发展中国家接受和加入。

新加坡建立以“相似保护”为基础的信任机制。新加坡的主张是将自身建设成为亚太地区的数据中心。2012年出台的《个人数据保护法》（Personal Data Protection Act）规定，新加坡企业传输个人数据至第三国时，应满足以下条件：境外接收者受法律义务约束，法律义务应为所传输的个人数据提供与《个人数据保护法》相称的保护标准，法律义务可以通过签订合同、制定公司规程、接收国数据保护立法等途径实现。新加坡国会于2020年底通过了《个人数据保护法修正案》，修改了2012年通过的《个人数据保护法》。修正后的新加坡《个人数据保护法》新增了个人数据携带权和数据传输义务相关内容，这让新加坡成为效仿欧盟进行数据可携带权立法的代表性国家。

日本希望构建“基于信任”的数据自由流通机制。日本于2003年制定了《个人信息保护法》（Act on the Protection of Per-sonal Information，APPI），并于2015年和2020年进行了两次较大幅度的修订，2020年修订案于2022年生效。日本希望通过提升本国的数据保护水平与其他国家接轨，以此获取自由接收数据的权利。2019年达沃斯经济论坛上，日本政府提出“基于信任的数据自由流通”（Data Free Flow With Trust，DFFT）机制，希望主导新的国际规则，在不牺牲个人隐私安全的前提下，允许医疗、工业、交通和其他非个人数据的自由流动。2019年9月，日本与美国签署贸易协定，确立了各领域数据无障碍跨境传输的总体思路，并要求禁止对金融业机构提出数据本地化要求，希望继续保持两国在数字领域的制定国际规则的引领地位。

（3）中国、俄罗斯、印度、巴西：通过限制重要数据出境、数据本地化储存来优先保护国家安全。发展中国家由于缺乏强有力的数据引流能力，如果放开管制，反而可能导致数据大规模向发达经济体输出，进一步削弱自身的竞争力，国家安全也会受到威胁。因此，大部分发展中国家采取严格限制数据流动的本地化政策，但是本地化政策的实施也面临重重阻碍。