数据要素五论：信息、权属、价值、安全、交易

我国的个人数据本地化政策在经济实力和综合国力的保障下顺利实施。2017年施行的《网络安全法》为我国数据本地化奠定了法律基础，其规定“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估”。

俄罗斯对外经济依存度较低，且政府态度强硬，完全本地化数据政策得以推行。俄罗斯于2021年3月8日通过了《个人数据立法》修正案，提出了严格的数据本地化储存要求，规定必须使用俄罗斯的服务器来处理俄罗斯公民的个人数据，处理这些数据的服务器运营商必须及时将存储数据的服务器位置向俄联邦电信、数字技术和大众传媒监督局备案。

印度的本地化政策受到美国阻拦，仅实现了支付系统数据本地化储存。印度《2018年个人数据保护法案（草案）》

（The 2018 Personal Data Protection Bill）拟限制数据跨境流动，规定一般和敏感个人数据必须在境内留存副本，关键个人数据不得出境。但该法案遭到脸书、万事达卡、维萨、美国运通、贝宝、亚马逊、微软等美国支付和科技巨头强烈反对，称其为“新德里地方保护主义”。迫于压力，该草案在2019年进行了修订，规定敏感、关键个人数据在符合一定条件时可以向境外传输，但存储应继续留在境内，关键个人数据只能在印度处理。尽管如此，对于金融领域的关键数据，印度央行已于2017年禁止跨行、行内支付系统产生的数据出境，且支付系统运营商和商业银行必须对技术服务提供商进行管理，确保所有数据本地化储存和处理。

巴西出于国家安全考虑，也希望推行本地化政策，但其在云计算、大数据等技术方面发展相对滞后，技术条件不满足数据境内储存的要求。巴西《中央银行条例》（Brazilian Central Bank Regulation）规定，金融机构应尽量使用境内数据库，如果使用外部服务器，必须满足相应的数据保护条件，在巴西央行与外部服务器所在国监管机构签订协议后方可传输。

全球数据跨境流动的博弈在维持总体格局的基础上，也出现了新的变化——数据跨境流动呈现出割裂和融合两种背离的方向。一是欧盟与美国跨境流动通道面临割裂。2020年7月，欧盟法院就个人数据跨境转移案件Schrems Ⅱ作出判决，宣布《欧盟-美国隐私盾协议》在跨境数据传输方面无效，美欧“隐私盾”协议破裂，美国从欧盟自由获取数据的通道被切断。2020年10月，爱尔兰数据监管机构出台规定，禁止脸书将欧盟用户的数据传输至美国。二是欧盟与亚太的数据流动自由趋于融合。2020年6月，英国宣布了脱欧后的未来科技贸易战略。此前欧盟与日本通过充分性认定实现自由流动，英国脱欧后，该条款已经不再适用于英国，英国希望与日本等亚太国家签订更深度融合的数据自由流动协议。

当前，世界多国通过国内立法或国际协定等方式加速推进数据跨境流动规则制定。2019年9月，日本与美国签署的贸易协定规定，“确保各领域数据无障碍跨境传输”以及“禁止对金融业在内的机构提出数据本地化要求”，希望制定促进数据自由流动的规则。特别是在新冠肺炎疫情的背景下，各国在数据跨境流动领域频繁发力。2020年3月，基于美国《云法案》，澳大利亚联邦政府修订了《电信（拦截和接入）法案》，允许协议国在出于执法目的的前提下，互相跨境访问通信数据。

（二）数据跨境流动风险

全球海量数据在网络空间中不断流转，带来了经贸交易、技术交流、资源分享等跨国合作，数据的挖掘和利用释放了数据价值、提升了经济效率、增进了社会福祉。但与此同时，这些数据不可避免地涵盖了个人敏感信息、企业运营数据和国家信息数据。随着敏感数据的规模越来越庞大，数据种类越来越丰富，数据跨境流动越来越频繁，安全风险日益加剧。此外，数据跨境流动在专业技术、知识产权、政策法规等方面都还存在一些问题，如何有效防范数据跨境流动带来的风险，成为进一步推进数据治理、护航数字经济亟待解决的问题。

数据跨境流动的风险存在于数据生产、采集、传输、存储、处理和共享等环节，安全威胁成因复杂交织。数据跨境流动的风险主要表现在以下几个方面。

1. 跨境数据难以梳理分类，不当应用引发风险隐患

国际数据公司（IDC）发布的《数字化世界：从边缘到核心》白皮书和《IDC：2025年中国将拥有全球最大的数据圈》白皮书预测，2018—2025年中国数据圈的年平均增长速度是30%，比全球平均水平高3%。2018年，我国共产生约7.6ZB数据，预计到2025年我国数据量将增至48.6ZB，占全球的27.8%，成为最大的数据圈，远超美国的30.6ZB。这些数据来自各类平台、设备，对信息和上下文分析至关重要。随着经贸、技术等多领域的国际合作，各类数据也日益频繁地在全球跨境流动并得以累积。通过分析这些数据，可产生深度影响企业、个人的数据，甚至得出关乎经济运行、社会治理、公共服务、国防安全等的关键信息。例如，根据跨国电商订单等数据可推测用户群体的消费情况和对应行业的宏观经济运行情况。

在数据跨境流动过程中，如何对已有的和源源不断产生的海量数据进行全面梳理和有效管理，这是个不小的挑战。一方面，数据在产生、存储后，开放利用的情况随着数据采集、挖掘、分析等技术的不断发展而动态变化，加上数据体量大、增速快，当下未必就能准确地完成分级分类评估；另一方面，跨境流动中已被开发利用的各类数据，呈现出形态各异、应用领域广泛、价值定义不明的状态，新技术、新业态引发的数据风险未知大于已知，加剧了数据跨境流动的安全隐患。

1. 各国高度重视数据跨境流动规制的角力

数据跨境流动规制的角力会影响不同国家对全球数据强弱不均的支配力，进一步影响商业先机的把握、公共事务的话语权和国际竞争力，世界各国对此都高度重视、纷纷布局、持续跟进。

欧盟设立高标准的数据保护条例，并在全球范围内大力推广欧盟标准，延伸其成员国关于数据跨境流动的权利范畴，以维护欧洲利益。欧盟通过《通用数据保护条例》设立了全球几乎最严格的隐私保护制度，同时向全球推广《个人数据自动化处理中的个人保护公约》（“第108号公约”），旨在推动欧盟以外的国家向欧盟数据保护标准靠拢，以扩大其数据跨境流动框架的影响力。同时，为驱动以数据为要素的科技创新，进一步提升竞争力，欧盟也在尽力消除内部的数据流动障碍。例如，《欧洲数据经济中的私营部门数据共享指南》和《欧盟非个人数据自由流动框架条例》竭力减弱欧盟成员国在欧洲的数据本地化趋势，推动数据共享，助力数字经济发展。

美国利用在信息通信技术、产业等方面的先天优势，主张全球数据自由流动，意图通过遍布世界各地的美属企业分支机构，得到更多经济利益，占领数据领域的制高点。2018年11月，澳大利亚等加入了亚太经合组织倡议构建的跨境隐私规则体系（CBPR）。至此，APEC的21个经济体中共有8个加入CBPR体系，进一步促进了CBPR体系内各经济体间数据的跨境流动。以美国为主导的多边数据跨境流动自律机制和隐私保护计划有了新进展。2018年3月，美国总统特朗普签署了《澄清域外合法使用数据法案》（CLOUD），从法律层面对跨境调取海外公民的信息和通信数据等方面的内容进行了规定。根据数据的重要性和影响程度不同，美国对一些重要行业、重点领域或安全敏感的数据，实施禁止或限制出境的管理。例如，美国法律规定，对于安全类数据，存储的物理服务器必须分布在美国境内，只有美国公民可以访问，不能存于任何连接公共云的数据库；对于其他数据，要求通过政府的安全风险评估后才能外包。

从发达国家的经验可以看出，数据跨境流动规制，应聚焦于恰到好处的数据本地化策略和健全的数据跨境流动制度，即尽量减少数据安全风险，更好地保护数据资料、数据资源和数据资产；同时，持续推动数据自由流动，有效地释放数据潜力，护航国内以数据为核心的数字产业。

1. 跨境数据攻击升级，加剧数据风险

随着数据价值攀升，以数据为目标的跨境攻击越来越频繁。一是攻击者从独立的黑客扩展到具有特定诉求的专业团体。例如，全球最大的SIM卡制造商金雅拓曾遭英美联合攻击，SIM卡密钥被盗取，进而解密、监控移动通信用户的语音等通信数据。二是攻击对象从个人设备逐渐升级为各类泛在网络设备、终端和软硬件，甚至包括关键信息基础设施。例如，移动设备的GPS、麦克风、摄像头，移动通信的SIM卡、蜂窝基站、热点、蓝牙、Wi-Fi，以及广泛分布的物联网设备等。2018年4月，黑客组织“JHT”利用思科智能客户端漏洞大肆攻击包括俄罗斯和伊朗在内的多个国家的网络基础设施，波及多个互联网数据中心及组织机构，交换机配置信息被清空，导致网络业务瘫痪。三是攻击方式随着技术发展不断演变升级，越来越多样，越来越隐蔽，越来越智能。例如，剑桥分析公司通过对脸书用户数据的智能分析，获取用户包括种族、性格、信仰在内的各类隐私信息，非法牟利。还有对人工智能算法实施逆向攻击，非法获取算法内训练数据和运行时采集的数据等。经由攻击获取的数据，流入数据地下交易市场，向境外海量转移，进一步加剧了数据安全风险。

（三）数据跨境流动监管

《中华人民共和国网络安全法》第三十七条规定，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。安全评估采取的是“一般自评估+特别情况行业主管部门组织评估+网信办兜底”的模式。因此，在数据跨境流动监管方面，国家监管部门、行业主管部门等需协同进行管理。数据跨境流动监管可参考以下文件。

（1）法律：《中华人民共和国网络安全法》；

（2）行政法规：《个人信息和重要数据出境安全评估办法（征求意见稿）》；

（3）国家标准：《信息安全技术 数据出境安全评估指南（征求意见稿）》。

同时，数据跨境流动作为数据保护的重要一环，面临着日益严峻的风险和安全挑战，亟须科学完备的数据安全保障体系。

1. 完善法规制度环境

要深入贯彻落实《网络安全法》，加快开展《数据安全法》《数据出境安全评估办法》等专项法律法规和政策的修订，明确国家各部委监管职权范围。建立健全行业数据分级分类制度，加强能源、电力、制造、通信、金融、交通等重点行业数据出境使用规范和安全保障。加强多部委统筹，建立部际数据跨境流动管理工作机制，联合制定相应监管政策和措施，保证跨境数据流动的合法性、正当性、必要性。推动制定数据跨境流动的国际管理规则，探索构建数据港、数据海关等功能区域，通过经济、法律、技术、管理、国际规则等多种手段，建立健全数据跨境取证、域外管辖等的国际协调机制。

1. 构建安全责任体系

制定完善行业数据出境分级分类的指导目录、等级保护条例和管理细则，与现有的网络安全和数据安全管理体系做好衔接。明确监管部门、行业主管部门和企业等的责任和义务，构建涵盖数据生产者、使用者等主体的权责分明的安全责任体系。授权监管机构建立数据跨境流动安全评估和审批认证制度，确立测试标准，明确认证流程，细化审核程序。统筹不同行业主管部门联合开展针对数据跨境流动的安全检查和风险评估，督促指导各责任主体落实数据安全防护和出境管理相关要求，建立健全突发事件应急处置机制。

1. 强化数据安全保障

布局完善产学研用投协同的数据安全科技创新生态，加强数据安全新技术、产品和服务的应用和推广。对数字基础设施进行安全加固，推进国产化部署，防范系统、网络后门以及非法数据通道。推动数据加密、隔离、防泄露、溯源、销毁等技术研发，提升数据跨境流动全环节风险监测和安全防护水平，以实现数据系统攻不进、数据传输切不断、数据资产窃不走、数据滥用行为赖不掉的目标。鼓励制定具有行业针对性的数据安全防护和出境管理解决方案，组织开展重点领域试点示范，探索行业最佳产品和服务实践，推动技术创新、应用推广和产业化。

（四）数据流动与数据主权

张茉楠. 加快提升国家整体数据安全治理能力[J]. 社会治理，2020，2：81-85.

当前，国家间数据资源争夺与保护不断升级，“长臂管辖”原则、法律“域外效力”等扩张数据管辖权的制度一再出现，全球数据跨境流动近二十年相对稳定的国际规则制度被不断推倒重建，进入了新的动荡变革时期。2019年10月，美英签署“史上首份”双边数据互通协议，这将对我国乃至全球数据治理体系及数字主权产生广泛而深远的影响。 注

1. 美英签署^“史上首份^”数据互通协议

2019年10月3日，美国司法部长比尔·巴尔（Bill Barr）与英国内政大臣普丽蒂·帕特尔（Prit Patel）签署了一项新协议。该协议将消除法律障碍，允许两国执法机构直接获取对方的科技公司（如脸书、谷歌、推特等）的用户、通信数据，以便更迅速地调查恐怖主义及其他严重的犯罪行为。新协议是根据美国2018年通过的《云法案》迈出的第一步。尽管协议尚未包含禁止科技企业加密数据的权力，如端对端加密，即仅有通信的两方能够看到数据的加密功能，但根据协议条款，在获得适当的法院授权之下，执法部门可通过“长臂管辖”直接向对方国家的科技公司请求存取电子数据，执行时间缩短至几周或几天，不必再通过可能耗时数年的政府流程。而此前两国只能通过政府层面的“共同法律援助”（MLA）机制为本国执法部门申请数据，这往往需要花费半年至两年时间。这份双边协议如同样本，美国将可广泛同各国签署。当前，通过限制重要技术数据出口和特定数据领域的外国投资，遏制战略竞争对手发展，确保自身在科技领域的全球领导地位，美国形成了一套较为完整的制度。自特朗普政府大力推行“美国优先”的贸易保护主义政策以来，美国积极使用这类管制措施作为遏制战略竞争对手的重要手段，甚至将数据跨境政策与贸易投资政策深度捆绑。美国的出口管制并不限于硬件的出口，还包括具体的技术数据，即受管制的技术数据“传输”到位于美国境外的服务器保存或处理，需要取得商务部工业和安全局（BIS）的出口许可。在外国投资审查方面，其改革后的《外国投资风险审查现代化法案》扩大了“涵盖交易”的范围，将涉及所谓“关键技术”“关键基础设施”的公司以及外国人对保存或收集美国公民敏感个人数据的公司进行的非控制性、非被动性投资都纳入其审查范围。而加强行政和司法“长臂管辖”也成为美国的重要政策选项。

1. 赋予美国数据^“长臂管辖权^”的《云法案》

对数据资源的渴求反映在主要国家扩张性的数据主权战略中，在立法层面体现为管辖权的扩张。2013年，“斯诺登事件”推动美国将数据跨境流动纳入政治议题，与国家安全、网络安全、隐私保护等政策紧密挂钩，加剧了各国政府在网络空间的战略博弈与数据资源争夺。一方面，美国在国际上大力推行数据跨境自由流动政策，主张数据本地化是一种贸易壁垒和不正当竞争行为。通过制定相关法律法规为合法调取并存储他国境内数据提供制度保障。另一方面，美国通过“长臂管辖”扩大国内法域外适用的范围，以满足新形势下跨境调取数据的需要。《云法案》正是加强美国政府获取海外存储数据权力的体现。该法案对1986年出台的《存储通信法案》（SCA）进行了重要修正，使联邦执法部门能够强制位于美国的电子通信或远程计算服务提供商披露其拥有、保管或控制的要求数据，无论数据存储在美国或外国。赋予了美国政府调取存储于他国境内数据的合法权力，为获取他国数据扫清了制度性障碍，建立了一个可以绕过数据所在国监管机构的数据调取机制，将美国执法机构的执法效力实质性地扩展至数据所在国，这也在很大程度上改变了全球数据主权的游戏规则。该法案有几大显著特点：一是美国政府可以依据数据的重要性和影响程度的不同，对一些重要行业、重点领域或安全敏感的数据实施禁止或限制出境的管理；二是该法案采取的是“数据控制者”标准，打破了“服务器标准”，允许调取不在美国境内的电信服务或远程计算机服务的提供者控制、监管的数据。为此，《云法案》精妙地设计了一套打破各国数据本地化政策屏障的框架。

第一类是“数据核心区”。该区域涉及美国国内的数据，是美国人的数据，属于关键领域，严格处在美国法的管辖之下，并受到隐私权的保护，其他任何国家都不能单方面获取核心区数据。

第二类是“数据合作区”。法案提出美国与“适格外国政府”基于“礼让”（Comity）进行数据信息交换，允许这些国家的执法机关获得美国公司的境外数据，以换取美国获得该国公司境外数据的权力。同时，当美国政府在这些国家获取信息时，信息提供者可以向美国法院提出撤销或修改动议，以违反该国家的相关法律为由拒绝提供相关信息或数据。

第三类是“数据自由区”。该区域涉及“非适格外国政府”的信息和数据，只要与美国产生“最低限度关系”就完全处于美国的司法管辖之下。美国政府可以随心所欲地获取相关信息，该国对这些信息的法律保护无法成为信息提供者拒绝提供信息的司法抗辩理由。由此可见，《云法案》抛开了传统的双边或多边司法协助条约，单方面赋予美国政府对全球绝大多数互联网数据的“长臂管辖权”，该做法不仅损害了数据所在国对其境内数据的管辖权，加剧了当前国家间与数据有关的司法主权冲突，也对强调“隐私保护”乃至“数字主权”的国家构成了极大挑战。事实上，其他国家要调取存储在美国的数据，必须通过美国“适格外国政府”的审查，需满足美国所设定的所谓人权、法治和数据自由流动标准。从法案设置的一系列条件来看，我国很难被美国认定为“适格政府”，这将对我国数据主权造成较大冲击。

1. 推动建立以美国为核心的全球数据霸权

美国以“数字自由主义”为名，行“数字保护主义”或“数字霸权主义”之实。随着中美在高科技领域的竞争趋势加剧，地缘政治因素对数据跨境流动政策的影响将进一步加大，关涉“国家安全”的重要敏感数据也将成为跨境流动的限制重心。特别是特朗普上台后，美国在前沿和基础技术领域对我国实施管控，限制大量技术数据和敏感个人数据的跨境转移，并以长臂管辖及强大的情报和执法能力作为支撑。与此同时，美国在此领域的强势主张势必影响其战略盟友对我国的技术转移和数据跨境流动策略，强化了以国家安全为主要考量的数据跨境流动政策的价值取向，这将进一步破坏既有的商业和贸易规则，阻碍数字贸易的全球化发展。

为进一步扩展在全球的数据霸权，当前美国正加紧与其领导的多国情报联盟即“五眼联盟”（Five Eyes Alliance）构筑“数据同盟体系”，强化以“国家安全”为主要考量的数据跨境流动政策的价值取向。2019年7月30日，“五眼联盟”在一份声明中表示，科技公司应该在其加密产品和服务中纳入新机制，允许政府拥有适当的合法权限，以可读和可用的格式获取数据。事实上，这已不是“五眼联盟”第一次要求科技公司开设加密“后门”。英国情报法早已允许政府强制本国公司破解加密信息；澳大利亚政府2017年的一份备忘录呼吁采取法律行动，防止不可破解的加密行为；2018年，“五眼联盟”联合发布备忘录，督促政府要求科技公司设立加密“后门”，而对于不合作的企业，则可以采取强制措施进行数据访问。此外，美欧日正试图联手制定跨国数据流通规则，构建基于“共同理念”的“数据流通圈”。2019年，G20大阪峰会期间，日本商议与美国商务部、美国贸易代表办公室和欧洲委员会等机构从2019年开始启动制度设计，具体议题包括：允许个人和产业数据的相互转移；严格限制向个人信息保护体制不完善的国家转移数据；