(上海社會科學院)
數(shù)據(jù)在當今世界的諸多領域地位日益凸顯,數(shù)據(jù)跨境流動帶來的風險不斷增強,因此建立健全相應的法律、應對政策和機制被迫切地提到議程上來。本文介紹分析了國際上對于數(shù)據(jù)跨境流動的主要做法和經(jīng)驗,并據(jù)此結(jié)合中國國情和上海自貿(mào)區(qū)的經(jīng)驗,提出我國跨境數(shù)據(jù)流動治理的具體實踐路徑和政策建議。
當今全球正進入數(shù)據(jù)經(jīng)濟時代,數(shù)據(jù)是推動新一輪技術(shù)創(chuàng)新、制度創(chuàng)新和管理創(chuàng)新的關(guān)鍵生產(chǎn)要素,是資本、物資、技術(shù)、人員等其他生產(chǎn)要素高效組合的紐帶與核心。數(shù)據(jù)的開放、流動和共享將顛覆傳統(tǒng)工業(yè)時代的商業(yè)形態(tài)和產(chǎn)業(yè)邊界,一個以數(shù)據(jù)資源的開發(fā)利用為核心動力的數(shù)據(jù)經(jīng)濟時代全面來臨。數(shù)據(jù)經(jīng)濟時代,數(shù)據(jù)資源需要在更多的維度和更廣的領域?qū)崿F(xiàn)流動與融合才能產(chǎn)生更高的價值。
當前,數(shù)據(jù)資源的全球流動推動著信息技術(shù)和網(wǎng)絡服務的創(chuàng)新發(fā)展,進而提升各國的經(jīng)濟效率和社會福祉。2008年以來,數(shù)據(jù)流動對全球經(jīng)濟增長的貢獻已經(jīng)超過傳統(tǒng)的跨國貿(mào)易和投資,不僅支撐了包括商品、服務、資本、人才等幾乎所有類型的全球化活動,也在發(fā)揮著越來越獨立的作用,數(shù)據(jù)全球化成為推動全球經(jīng)濟發(fā)展的重要力量①麥肯錫全球研究院(MGI)2016年2月發(fā)布《數(shù)據(jù)全球化:新時代的全球性流動》(Digital Globalization: The New Era of Global Flows)報告。。
同時,跨境數(shù)據(jù)流動能夠有效降低全球貿(mào)易平均成本,提高利用互聯(lián)網(wǎng)的中小型公司的國際貿(mào)易能力和存活率;跨境數(shù)據(jù)流動也極大地增加了跨國服務和貿(mào)易的便利化,使得跨國公司都是根據(jù)業(yè)務領域而不是地理位置來運營它們的業(yè)務。
國家和企業(yè)的跨境數(shù)據(jù)流動有助于信息、知識的傳播與共享,可以實現(xiàn)國家和企業(yè)創(chuàng)新能力的提升。
1.2.1 數(shù)據(jù)隱私泄露
由于各國數(shù)據(jù)安全和隱私保護水平與標準并不一致,用戶數(shù)據(jù)從保護水平較高的國家(地區(qū))向保護水平較低的國家(地區(qū))流動時,可能會因接收方保護技術(shù)管理能力或者意識法律政策方面的不足,產(chǎn)生導致數(shù)據(jù)泄露的風險。
1.2.2 外國政府情報監(jiān)控
跨境數(shù)據(jù)流動不可避免地涉及到國家情報安全的領域,即外國政府可能通過數(shù)據(jù)跨境流動獲得本國重要和敏感數(shù)據(jù),這也是各國針對企業(yè)跨境數(shù)據(jù)流動展開重點監(jiān)管的主要原因。
1.2.3 本國政府執(zhí)法困難
跨境數(shù)據(jù)流動使得本國政府依法獲取企業(yè)數(shù)據(jù)難度增加,增加了數(shù)據(jù)執(zhí)法的不確定性。盡管各國有包括司法互助協(xié)定(MLATs)、司法互助協(xié)議(MLAAs)等機制,但在實際操作中面臨諸多障礙,將數(shù)據(jù)納入在本國司法管轄范圍內(nèi)仍然是各國政府的核心訴求。
1.2.4 本國產(chǎn)業(yè)發(fā)展失控
跨境數(shù)據(jù)流動的模式會導致數(shù)據(jù)資源向少數(shù)具備產(chǎn)業(yè)和管理優(yōu)勢的國家集中,這可以節(jié)約企業(yè)的成本,但對用戶所在國而言就會面臨本國產(chǎn)業(yè)發(fā)展困難的問題。許多國家出臺數(shù)據(jù)本地化政策一方面出于保護本國用戶數(shù)據(jù)隱私的需要,另一方面也希望借此保護本地數(shù)據(jù)產(chǎn)業(yè)的發(fā)展和利益。
一是數(shù)據(jù)安全風險泛化增加我國跨境數(shù)據(jù)流動風險的復雜。因為在數(shù)據(jù)的產(chǎn)生、存儲、流通的各個環(huán)節(jié)都會涉及到技術(shù)、管理、意識等各個方面,每個環(huán)節(jié)或者交匯都會涉及到數(shù)據(jù)安全的問題,數(shù)據(jù)安全風險的泛化使得跨境數(shù)據(jù)流動風險更加復雜多樣。
二是國內(nèi)數(shù)據(jù)保護水平不足影響我國跨境數(shù)據(jù)流動的實踐。就當前我國的現(xiàn)實而言,在個人數(shù)據(jù)和重要數(shù)據(jù)保護的體系制度設計和法律法規(guī)建設上,存在相當?shù)臏笮院筒煌晟频那闆r,這使得企業(yè)在跨境數(shù)據(jù)流動的具體策略和執(zhí)行上面臨較大的不確定性和模糊性。
三是既有地緣政治格局阻礙我國跨境數(shù)據(jù)流動的國際合作。當前美國和歐盟在進行跨境數(shù)據(jù)流動的國際合作時,相當程度上基于已有的政治互信、經(jīng)貿(mào)往來和地緣政治需求來構(gòu)建自己的“朋友圈”。這使得我國在進行跨境數(shù)據(jù)管理時也不得不受限于已有的國際格局和地緣政治。
最后,現(xiàn)有跨境數(shù)據(jù)流動管理政策中過于嚴格的限制,可能會加重企業(yè)跨境數(shù)據(jù)的成本,面臨國外企業(yè)的強烈反對。
當前,數(shù)據(jù)資源是經(jīng)濟體發(fā)展的“血液”,我國跨境數(shù)據(jù)流動已經(jīng)關(guān)系我國經(jīng)濟發(fā)展全局、國家戰(zhàn)略安全和整體布局,關(guān)系我國企業(yè)全球化競爭發(fā)展的未來格局,是我國當前網(wǎng)絡立法和監(jiān)管的決策難點,也是西方主要國家攻擊我國網(wǎng)信政策的主要問題領域。
總體而言,美國著眼于經(jīng)濟發(fā)展、國家安全和執(zhí)法便利三個出發(fā)點。對于個人數(shù)據(jù)流動的低門檻和限制,促進數(shù)據(jù)流動的自由化,以便能夠發(fā)揮自身在產(chǎn)業(yè)上的優(yōu)勢,引導數(shù)據(jù)向美國流動;與此同時,對于涉及國家安全的重要數(shù)據(jù),美國則是通過清單管理的方式,對與技術(shù)數(shù)據(jù)相關(guān)或者敏感數(shù)據(jù)相關(guān)的技術(shù)、產(chǎn)品進行了嚴格出口限制和投資管制。
舉措 法律/政策/協(xié)議 具體內(nèi)容通過貿(mào)易談判/監(jiān)管合作,主導個人數(shù)據(jù)跨境規(guī)則的制定通過雙邊的監(jiān)管合作,保持個人數(shù)據(jù)相關(guān)貿(mào)易正?;鍐喂芾?,限制與敏感技術(shù)數(shù)據(jù)相關(guān)的技術(shù)出口和外國投資長臂管轄,以應對新形勢下跨境調(diào)取數(shù)據(jù)的執(zhí)法需要TPP/TTIP美國-墨西哥-加拿大協(xié)定”韓-美自由貿(mào)易協(xié)定亞太經(jīng)合組織(CBPR)美歐隱私盾(安全港)協(xié)議《2019財年約翰·麥凱恩國防授權(quán)法》《外國投資風險審查現(xiàn)代化法》《出口管制改革法》《澄清境外數(shù)據(jù)的合法使用法案》(CLOUD法案)TPP:在確保保護個人信息等合法公共政策目標得到保障的前提下,確保全球信息和數(shù)據(jù)自由流動,以驅(qū)動互聯(lián)網(wǎng)和數(shù)字經(jīng)濟。締約國也同意,不將設立數(shù)據(jù)中心作為允許TPP締約方企業(yè)進入市場的前提條件,也不要求轉(zhuǎn)讓或獲取軟件源代碼。美國公司必須向商務部“自我證明”遵守了協(xié)議中的隱私條款;個人數(shù)據(jù)被濫用的歐盟公民可以向監(jiān)察專員提起申訴,歐盟官方可以向美國商務部發(fā)起投訴。2018年11月BIS公布的擬制定的針對關(guān)鍵技術(shù)和相關(guān)產(chǎn)品的出口管理體系框架,包含生物技術(shù)、人工智能和機器學習等14項核心前沿技術(shù);《外國投資風險審查現(xiàn)代化法》擴大了“涵蓋交易”的范圍,包括:(1)涉及所謂“關(guān)鍵技術(shù)”“關(guān)鍵基礎設施”的公司的非控制性、非被動性投資,包括生產(chǎn)、測試、設計、制造、或開發(fā)關(guān)鍵技術(shù)、或擁有、運營、制造、供應、或維護關(guān)鍵基礎設施。(2)外國人對保存或收集美國公民敏感個人數(shù)據(jù)的公司進行非控制性、非被動性投資。獲取存儲在境外的數(shù)據(jù)適用控制者原則,“適格外國政府認定”為與其他國家簽訂雙邊條約設定具體路徑。
歐盟一直主張通過高水平的數(shù)據(jù)保護,來推動數(shù)據(jù)治理對于人權(quán)保護的主張和制定法律規(guī)則的影響力,并通過這種方式構(gòu)建朋友圈。
舉措 法律/政策/協(xié)議 具體內(nèi)容消除歐盟境內(nèi)數(shù)據(jù)自由流動障礙,實現(xiàn)歐盟數(shù)字化單一市場的目標 ?!稊?shù)字化單一市場戰(zhàn)略》 消除成員國之間數(shù)據(jù)自由流動壁壘,推動歐盟數(shù)字經(jīng)濟發(fā)展?!兑话銛?shù)據(jù)保護條例》 GDPR直接適用,消除數(shù)據(jù)保護規(guī)則的差異性?!斗莻€人數(shù)據(jù)在歐盟境內(nèi)自由流動框架條例》 消除不合比例的數(shù)據(jù)本地化要求。實施充分性認定,確定個人數(shù)據(jù)跨境自由流動白名單國家和地區(qū)GDPR白名單國家(13個):安道爾、阿根廷、加拿大(商業(yè)組織)、法羅群島、根西島、以色列、馬恩島、澤西島、新西蘭、瑞士、烏拉圭和美國(僅限于隱私盾框架)、日本(私營部門)提供充分的保護。韓國正在談判之中。
舉措 法律/政策/協(xié)議 具體內(nèi)容遵守適當保障措施的條件下,提供多樣化的個人數(shù)據(jù)跨境流動方式。積極采取行動解決電子證據(jù)跨境獲取問題GDPR《涉刑事電子證據(jù)生成和存留命令條例(建議稿)》無需成員國監(jiān)管機構(gòu)予以特別批準的適當保障措施:(a)公共當局或機構(gòu)間的具有法律約束力和執(zhí)行力的文件;(b)約束性公司規(guī)則(BCRs);(c)標準數(shù)據(jù)保護條款(歐盟委員會批準/成員國監(jiān)管機構(gòu)批準歐盟委員會承認);(d)批準的行為準則;(e)批準的認證機制。相應監(jiān)管機構(gòu)批準的失當保障措施:(a)合同條款;(b)公關(guān)機關(guān)的行政安排中加入了包含可執(zhí)行和有效的數(shù)據(jù)主體權(quán)利的條款。歐盟成員國的執(zhí)法或司法當局可直接向在歐盟境內(nèi)的服務提供商請求提交電子證據(jù),無論數(shù)據(jù)存儲地位于歐盟境內(nèi)還是境外。
數(shù)據(jù)跨境流動政策與國際政治格局密切相關(guān),數(shù)據(jù)主權(quán)成為大國的戰(zhàn)略主張。在現(xiàn)有由西方主導的國際體系下,美歐也主導著數(shù)據(jù)跨境流動“朋友圈”的建立,而圈內(nèi)國家往往是長期的政治盟友、經(jīng)貿(mào)伙伴以及被其認定為具有相同價值目標的國家。美國通過長臂管轄擴張其跨境數(shù)據(jù)執(zhí)法權(quán),通過對承載數(shù)據(jù)載體的技術(shù)和產(chǎn)業(yè)的市場準入和出口管制來維持自身比較優(yōu)勢。
與之相對,中國、俄羅斯通過數(shù)據(jù)本地化實現(xiàn)數(shù)據(jù)執(zhí)法便捷性,并以數(shù)據(jù)本地化要求設置市場準入壁壘,保護本國產(chǎn)業(yè)特別是基礎設施的發(fā)展。體現(xiàn)了各國在各自國家力量、政治戰(zhàn)略和外交理念的框架下,紛紛確立管轄原則,出臺法律政策,維護國家利益。
政策內(nèi)容上,對可能威脅國家安全的關(guān)鍵技術(shù)數(shù)據(jù)和敏感個人數(shù)據(jù)流動的限制措施成為各國政策的主要重點,數(shù)據(jù)保護出現(xiàn)了向數(shù)據(jù)保護主義乃至數(shù)據(jù)產(chǎn)業(yè)保護主義發(fā)展的趨勢,美國《外國投資審查現(xiàn)代化法》中對涉及關(guān)鍵技術(shù)或關(guān)鍵基礎設施、敏感個人數(shù)據(jù)的投資交易的審查以及各國數(shù)據(jù)本地化的要求,都體現(xiàn)了這一點。
以新加坡、香港、都柏林為代表,非政治大國的城市成為全球數(shù)據(jù)流動版圖上的重要數(shù)據(jù)節(jié)點,支撐他們的主要政策則有著相當?shù)墓餐?。一是完善的?shù)據(jù)保護法律、數(shù)據(jù)跨境流動管理和監(jiān)管機制。二是良好的人才儲備、健全的基礎設施、專業(yè)性的機構(gòu)設置和稅收優(yōu)惠等。三是積極參與全球性數(shù)據(jù)跨境流動的合作機制。
3.3.1 建設擴張海外數(shù)據(jù)中心,提供企業(yè)跨境數(shù)據(jù)合規(guī)服務
①阿里云:2018年,阿里云可以提供計算服務的節(jié)點將包括華北3個、華東2個、華南、香港、新加坡、美國東部、美國西部、日本、歐洲、中東和澳大利亞等14個,基本覆蓋了全球主要互聯(lián)網(wǎng)市場。
②亞馬遜:AWS的公有云賦予了用戶對其自身數(shù)據(jù)的所有權(quán)和控制權(quán),包括在不同國家/地區(qū)數(shù)據(jù)中心/服務器間進行數(shù)據(jù)遷移,為用戶提供經(jīng)歐盟認可地“數(shù)據(jù)處理附錄”(data processing addendum),幫助客戶滿足歐盟關(guān)于跨境數(shù)據(jù)流動的保護責任。
3.3.2 面對數(shù)據(jù)執(zhí)法協(xié)助義務困境提出企業(yè)主張
①谷歌:2017年6月,谷歌提出一個關(guān)于執(zhí)法機構(gòu)跨境請求數(shù)據(jù)的國際法律框架,使某些民主國家能夠從美國服務商獲取涉嫌嚴重犯罪的用戶電子數(shù)據(jù),建議美國與這些國家簽訂雙邊跨境數(shù)字證據(jù)收集協(xié)議。同時推動美國《國際通信隱私法案》(ICPA)盡快得到國會通過,提倡內(nèi)容正當、告知、補償、互惠、現(xiàn)代化、提高透明度等原則。
②微軟:2018年,微軟A Cloud for Global Good最新版指出,在“政府對數(shù)據(jù)的獲取”一章中建議政府就數(shù)字證據(jù)獲取制定明確的法律規(guī)則,制定法規(guī)時考慮信息獲取法定程序、異議權(quán)、披露、透明度、告知用戶、尊重主權(quán)等原則;在“推動數(shù)據(jù)的自由流通”一章,建議政府倡導保護跨境數(shù)據(jù)流動貿(mào)易規(guī)則、使國內(nèi)立法對數(shù)據(jù)流動的干擾最小化、鼓勵電子商務、避免增加壁壘的沖突規(guī)則 。
3.3.3 組建聯(lián)盟,構(gòu)建行業(yè)性的跨境數(shù)據(jù)流動自律機制
2018年3月,由中國信息通信研究院牽頭,聯(lián)合三大基礎電信企業(yè)和IP-VPN等相關(guān)業(yè)務經(jīng)營者共同組建的“中國跨境數(shù)據(jù)通信產(chǎn)業(yè)聯(lián)盟”在北京成立。該聯(lián)盟積極配合行業(yè)主管部門的相關(guān)工作,在宣傳普及國家法律法規(guī)、規(guī)范會員單位業(yè)務經(jīng)營、建設跨境業(yè)務系統(tǒng)平臺、啟動相關(guān)技術(shù)研討、支撐國家政策監(jiān)管等多個方面都開展了工作,聯(lián)盟現(xiàn)已發(fā)布《中國跨境數(shù)據(jù)通信產(chǎn)業(yè)自律公約》,其中海外觀察員名單包括威瑞森、西門子、AT&T等。
受地緣政治、產(chǎn)業(yè)競爭、法律標準等復雜因素的影響,各國政府開始全面規(guī)范甚至限制跨境數(shù)據(jù)流動活動,全球數(shù)據(jù)保護主義趨勢日趨明顯,中國在全球跨境數(shù)據(jù)流動體系中面臨的艱難處境(影響流入),我國《網(wǎng)絡安全法》中關(guān)于跨境數(shù)據(jù)流動的要求非常嚴苛且操作路徑不明(影響流出),雙重影響對我國跨境數(shù)據(jù)流動帶來復雜挑戰(zhàn)。
在這種復雜的國際背景下,要堅定跨境數(shù)據(jù)流動政策服務于國家發(fā)展大局是最終目標。在中央新一輪開放發(fā)展戰(zhàn)略的總體指引下,積極有序地推動我國數(shù)據(jù)資源的開放開發(fā)和跨境流動,這對于我國經(jīng)濟社會的創(chuàng)新發(fā)展具有重要意義。
我國應當遵循數(shù)字經(jīng)濟發(fā)展基本規(guī)律,認清我國IT產(chǎn)業(yè)的能力和需求,把握全球產(chǎn)業(yè)競爭和政策演進的趨勢,明確我國國家安全和網(wǎng)絡安全的“紅線”,兼顧維護公民權(quán)利和促進產(chǎn)業(yè)發(fā)展兩個方面,同時選擇重點地區(qū)先行先試,進而在全國推廣復制。
具體而言,利用上海自貿(mào)區(qū)創(chuàng)新發(fā)展的試驗田,探索建立一個開放、透明且可操作的跨境數(shù)據(jù)流動監(jiān)管體系,全面、穩(wěn)妥地推進全球數(shù)據(jù)港的建設,力爭1-2年在上海自貿(mào)區(qū)建成特定的功能.示范區(qū),吸引跨境數(shù)據(jù)業(yè)務的一批企業(yè)入駐,從技術(shù)和政策等方面完善跨境數(shù)據(jù)流動的解決方案。
4.3.1 出臺專項法規(guī)
依據(jù)《中華人民共和國網(wǎng)絡安全法》的基本要求,發(fā)揮自貿(mào)區(qū)在跨境服務先行先試功能,探索試點放開電信業(yè)務外商投資的管理模式,研究出臺《上海(自貿(mào)區(qū))跨境數(shù)據(jù)流動管理試行辦法》,該辦法包括數(shù)據(jù)流入和流出的負面清單,跨境數(shù)據(jù)流動的管理機構(gòu)、電信增值業(yè)務開放以及離岸數(shù)據(jù)中心建設、數(shù)據(jù)流動財稅優(yōu)惠以及違法開展跨境數(shù)據(jù)流動的處罰細則等。
4.3.2 打造功能區(qū)域
在上海自貿(mào)區(qū)范圍(洋山港、云海數(shù)據(jù)中心等),選擇具備開發(fā)能力的地址空間,作為面向跨境業(yè)務功能的數(shù)據(jù)中心(IDC)承載區(qū),并利用臨港海光纜等登陸點,擴容跨境數(shù)據(jù)通訊專線,建設性能和安全達到國際最高標準的數(shù)據(jù)基礎設施,設立外商投資企業(yè)數(shù)據(jù)出境的審查試驗區(qū),明確運營主體,分領域打造若干全球數(shù)據(jù)港功能示范區(qū),以此為載體吸引跨國業(yè)務企業(yè)的入駐,實現(xiàn)跨境企業(yè)數(shù)據(jù)集聚和集中管理,進而帶動相關(guān)產(chǎn)業(yè)的集聚。
4.3.3 探索國際合作
需要充分利用“一帶一路”倡議、中國國際進口博覽會等契機,謀求國家相關(guān)主管部門的授權(quán),積極主動,先易后難,基于經(jīng)濟合作和地緣政治等因素,與相關(guān)國家和城市洽談建立跨境數(shù)據(jù)流動的雙邊/多邊規(guī)則,建立白名單機制,根據(jù)個人信息保護狀況及對等措施,將部分地區(qū)納入可自由流動的國家與地區(qū)。推動與相關(guān)國家和區(qū)域數(shù)據(jù)的雙向流動,在規(guī)則設計方面可積極借鑒歐盟長臂管轄的原則,強化數(shù)據(jù)出境后的風險評估和監(jiān)管,維護國家數(shù)據(jù)主權(quán)。
4.3.4 組建數(shù)據(jù)海關(guān)
相關(guān)部門須聯(lián)合組建數(shù)據(jù)海關(guān),以跨部門、平臺化的方式開展工作,通過制定數(shù)據(jù)分類分級監(jiān)管體系,分行業(yè)明確敏感的個人數(shù)據(jù)和重要數(shù)據(jù)范疇,并充分運用大數(shù)據(jù)、人工智能等技術(shù)手段建立自動化監(jiān)管流程,對企業(yè)跨境數(shù)據(jù)流動活動進行實時的風險評估和梯度管理,為企業(yè)跨境活動提供必要的技術(shù)解決方案指導。
4.3.5 強化標桿示范
政府須依托大型成熟跨境企業(yè),共同研究行業(yè)級的跨境數(shù)據(jù)流動安全管理規(guī)范,在電子商務、金融、航空、云服務等領域率先推動行業(yè)跨境數(shù)據(jù)流動標準的出臺,建立行業(yè)級的數(shù)據(jù)跨境流動協(xié)議范本,通過合同法律機制來管控數(shù)據(jù)出境風險,以此來帶動整個行業(yè)的數(shù)據(jù)保護和數(shù)據(jù)流動,并積極推動我國的行業(yè)標準成為國際或區(qū)域性的標準。
4.3.6 創(chuàng)新技術(shù)模式
全球數(shù)據(jù)港必須有效識別和解決數(shù)據(jù)跨境流動過程中的安全風險。數(shù)據(jù)經(jīng)濟時代,跨境數(shù)據(jù)無法從根本上擺脫國家安全和隱私的潛在風險,因此遵循相關(guān)法律要求進行技術(shù)創(chuàng)新是跨境數(shù)據(jù)流動管理的重要路徑。因此,需要充分調(diào)動國內(nèi)外大數(shù)據(jù)安全技術(shù)公司,為全球數(shù)據(jù)港打造安全可控的跨境數(shù)據(jù)流動技術(shù)路徑,全面支撐相關(guān)龍頭企業(yè)和功能示范區(qū)企業(yè)的跨境業(yè)務。