李巖

摘要：數(shù)字經濟給全球帶來機遇和挑戰(zhàn)。為搶占發(fā)展先機，謀求競爭優(yōu)勢，世界各國基于各自數(shù)字技術和數(shù)字經濟發(fā)展情況，制定了各自的數(shù)字經濟發(fā)展戰(zhàn)略。國家戰(zhàn)略引領立法價值和目標，導致各國立法選擇不一。比較歐美數(shù)字經濟戰(zhàn)略對其個人信息保護立法的影響，對于完善我國個人信息保護立法和參與國際規(guī)則制定具有重要意義。中國基于網絡強國戰(zhàn)略和網絡空間國際合作戰(zhàn)略，應將同步推進個人信息安全和數(shù)字經濟發(fā)展作為立法指導思想，對內盡快出臺適合本國實際的個人信息保護專門立法，對外積極參與引領國際立法合作，堅持在WTO現(xiàn)有協(xié)定和框架基礎上談判，建立和完善數(shù)據治理規(guī)則，構建國內國際雙重立法保護。

關鍵詞：數(shù)字經濟戰(zhàn)略;個人信息保護立法;歐盟;美國

中圖分類號：? ? 文獻標志碼：A? ? ? ? ? ?文章編號：1008-2991（2020）02-005-014

一、問題的提出

科技是第一生產力，信息化引領經濟社會發(fā)展。數(shù)字技術革命正在推動數(shù)據成為新的生產要素，數(shù)字經濟給全球帶來機遇和挑戰(zhàn)。然而，數(shù)字技術創(chuàng)新與風險并存，全球信息泄露事件頻發(fā)，嚴重侵犯個人隱私。加大數(shù)據保護力度、提升個人信息保護能力刻不容緩。在這樣的背景下，加強和完善個人信息（本文中與“個人數(shù)據”混同使用）保護立法是保護個人信息權益的根本路徑。由于各國數(shù)字技術發(fā)展和數(shù)字經濟發(fā)展情況不同，制定的數(shù)字經濟發(fā)展戰(zhàn)略也不同，導致各國立法選擇不同，甚至存在嚴重分歧。如何在數(shù)字技術發(fā)展中保護個人信息，而又能促進數(shù)字技術和數(shù)字經濟的發(fā)展，成為各國乃至全球亟待解決的問題。建立和完善本國立法，積極參與國際立法合作，消除立法分歧，共同促進全球數(shù)字貿易和數(shù)字經濟發(fā)展已成為各國共識和關注焦點。

二、數(shù)字經濟發(fā)展戰(zhàn)略引領個人信息立法

（一）國家戰(zhàn)略引領立法

國家戰(zhàn)略是戰(zhàn)略體系中最高層次的戰(zhàn)略，是為實現(xiàn)國家總目標而制定的總體戰(zhàn)略。國家戰(zhàn)略作為上層建筑，由經濟基礎決定，適應并促進生產力的發(fā)展，為經濟發(fā)展服務。在全球經濟發(fā)展進入工業(yè)4.0階段，數(shù)字經濟已經成為其主要特征。數(shù)字經濟是人類通過大數(shù)據（數(shù)字化的知識與信息）的識別-選擇-過濾-存儲-使用，引導資源的快速優(yōu)化配置與再生、實現(xiàn)經濟高質量發(fā)展的經濟形態(tài)。[1]數(shù)據作為數(shù)字經濟主要的生產要素，企業(yè)、消費者和政府之間通過網絡進行的交易、數(shù)據挖掘快速增長。為在數(shù)字經濟中搶占發(fā)展先機，各國積極制定相應數(shù)字經濟發(fā)展戰(zhàn)略，引導本國數(shù)字經濟發(fā)展，謀求競爭優(yōu)勢。根據邁克爾·波特的國際競爭優(yōu)勢理論，生產力的優(yōu)劣與國家環(huán)境有關，國家是企業(yè)在國際上創(chuàng)造或保持競爭優(yōu)勢的決定因素。[2]數(shù)字經濟時代，加強數(shù)字經濟立法是各國國家戰(zhàn)略中的重要內容，也是實施國家戰(zhàn)略的重要戰(zhàn)術手段之一。個人信息保護立法作為數(shù)字經濟立法的一部分，日益得到各國重視。數(shù)字經濟發(fā)展戰(zhàn)略引領個人信息立法，以歐盟和美國為例，兩者在個人信息保護立法上存在很大差異。

（二）歐美個人信息保護立法選擇比較

歐盟和美國雖然同為網絡治理多元化的推動者，但在個人數(shù)據保護上出于各自數(shù)字技術和數(shù)字經濟發(fā)展情況，制定了各自數(shù)字經濟戰(zhàn)略，按照各自立法價值追求，形成了個人數(shù)據保護的兩大立法進路。比較歐美兩大立法的異同，對于完善我國個人信息保護立法和參與國際規(guī)則制定，具有重要意義。

1.歐盟將個人信息保護定性為人權保護

（1）歐洲數(shù)字單一市場戰(zhàn)略引領歐盟統(tǒng)一立法

為解決歐盟內部市場“碎片化”問題，防止歐盟在數(shù)字經濟時代被邊緣化，發(fā)揮歐盟數(shù)字經濟潛力，保持歐盟企業(yè)競爭力，2015年5月6日歐盟發(fā)布《數(shù)字單一市場戰(zhàn)略》，對內統(tǒng)一規(guī)則強調消費者保護和建立單一市場。[3]力圖打造統(tǒng)一的數(shù)字商品、服務和資本市場，加強數(shù)字領域互聯(lián)互通，以推動技術能力發(fā)展來保障網絡安全，進一步深化歐盟一體化，提升競爭力。[4]歐盟議會在個人數(shù)據保護立法中起了重要作用，它把個人隱私保護上升為一種政治優(yōu)先權。[5]就個人數(shù)據和隱私而言，歐盟將個人數(shù)據保護定性為人權保護，承諾提供最高的保護水平且由歐盟公約予以保障，對歐盟內部國家實行個人數(shù)據自由流動，對個人數(shù)據跨境流動采用隱私權充分保護原則。

在法律法規(guī)上，歐盟一直采取統(tǒng)一立法模式。1995年歐洲議會和歐盟理事會發(fā)布了《個人數(shù)據處理和自由流動中個體權利保護指令》（以下簡稱《指令》），2016年4月14日歐盟議會通過《通用數(shù)據保護條例》（以下簡稱GDPR）。GDPR自2018年5月25日起在歐盟成員國內正式實施，1995年《指令》同時失效，個人數(shù)據保護的法律位階由指令上升為條例。指令是一項立法法令，它設置了所有歐盟國家必須實現(xiàn)的目標，各國在適用它時，可以制定相應的國內法來進行轉換，這就導致了各國法律之間的差異，給信息主體帶來很大的不便，也給企業(yè)帶來很大的合規(guī)成本，不利于數(shù)據交易體系的構建。[6]而GDPR對歐盟所有成員國的國內實體均具有約束力且直接地和完全地適用于所有成員國，其適用范圍極為廣泛，任何收集、傳輸、保留或處理涉及到歐盟所有成員國內的個人信息的機構組織均受該條例的約束，明確了歐盟數(shù)字單一市場中公司和公共機構應遵循的規(guī)則，加強了個人在數(shù)字時代的基本權利。在個人數(shù)據保護上，GDPR規(guī)定不僅收集和使用數(shù)據的數(shù)據擁有者需要對數(shù)據保護負責，數(shù)據處理者也需要直接承擔合規(guī)風險和義務。歐盟通過規(guī)范所有在歐洲市場中提供服務的企業(yè)對于個人數(shù)據的處理來保護個人隱私。

（2）歐盟對個人數(shù)據跨境流動強化隱私權充分保護原則

對于個人數(shù)據跨境流動的保護，1995年《指令》采用隱私權充分保護原則，即只有當?shù)谌龂_保能夠為個人數(shù)據提供充分保護時，才能將個人數(shù)據轉移或傳送至第三國。歐盟和美國于2000年達成了安全港協(xié)定，在隱私權充分保護標準上達成妥協(xié)。2015年10月6日，歐盟最高司法機構歐洲法院作出裁決，認定美歐《安全港協(xié)議》無法充分保護歐盟公民的個人數(shù)據，喪失合法性基礎。GDPR出臺后繼續(xù)沿用隱私充分保護原則。2016年7月12日歐盟通過了歐盟-美國隱私保護的充分性決定。隱私盾框架于2016年8月1日開始實施，首次賦予了歐盟公民對個人數(shù)據跨境傳輸中企業(yè)的不法行為提起訴訟的權利，也明確規(guī)定了美國政府跨境訪問歐盟數(shù)據的具體范圍和限制條件，體現(xiàn)了歐盟對隱私權加強保護的立場。[7]

2.美國立法傾向于促進數(shù)字經濟發(fā)展

（1）“美國優(yōu)先”國家戰(zhàn)略力圖鞏固其優(yōu)勢地位

美國是數(shù)字革命的重要發(fā)源地，發(fā)展數(shù)字經濟具有先天的技術和人才優(yōu)勢。全球市值排名前5名的互聯(lián)網巨頭亞馬遜、微軟、蘋果、谷歌、臉書均為美國公司。基于“美國優(yōu)先”理念，美國力圖繼續(xù)鞏固其數(shù)字經濟的優(yōu)勢地位。2018年9月18日美國白宮發(fā)布《美國國家網絡戰(zhàn)略》，提出要培育充滿活力和彈性的數(shù)字經濟，保障美國國家安全和經濟繁榮。美國政府雖然一貫堅持保護個人隱私，不過在跨境流動與隱私權保護之間更傾向于利用數(shù)字貿易促進經濟發(fā)展，以保持美國在相關領域的領先地位，維護其貿易政策的核心利益。[8]美國基于在數(shù)字服務貿易中的主導地位，將自己定位為全球數(shù)字經濟的領導者，力促數(shù)字貿易和數(shù)據跨國界的無縫移動。[9]努力破除所謂的“數(shù)字貿易壁壘”，在全球積極推廣其數(shù)字貿易規(guī)則。[10]

（2）美國在隱私權下加大保護個人信息力度

美國并沒有與大陸法對應的人格權理論和制度，而是從個人自由發(fā)展出涵蓋幾乎所有個人權利的隱私概念，在立法中將個人數(shù)據保護納入隱私的范疇。[11]而美國對信息隱私主要采取司法救濟（普通法保護）模式，具有相應的靈活性。同時，圍繞個人信息及隱私保護加強成文立法及規(guī)制，美國憲法、聯(lián)邦及各州法律法規(guī)、部門規(guī)章及實施細則以及行業(yè)自律規(guī)則等均有涉及。1974年美國頒布了《隱私權法》，規(guī)范政府機構的個人信息利用行為，專門對個人記錄的保存和披露進行了規(guī)定。在此基礎上，美國國會加強相關聯(lián)邦立法。美國國會網站立法系統(tǒng)檢索結果顯示，1973年至2019年涉及隱私的聯(lián)邦立法504個，涉及個人數(shù)據立法10個，同時涉及隱私和個人數(shù)據的立法7個。但迄今尚未有關于個人數(shù)據保護的單獨聯(lián)邦立法。

2018年6月美國加利福尼亞州通過了《2018加州消費者隱私法案》（簡稱CCPA），加大消費者對個人數(shù)據的處置權，與歐盟GDPR內容和目的類似，以互聯(lián)網社交和商業(yè)領域大企業(yè)為約束的主要目標，堪稱全美各州最嚴網絡隱私保護法規(guī)，遭到代表臉書、亞馬遜等大型互聯(lián)網企業(yè)的美國互聯(lián)網協(xié)會、加州商會、全國零售商聯(lián)合會、全國廣告商協(xié)會等的反對。但加州是美國經濟實力最強的州之一，同時擁有科技企業(yè)匯聚的硅谷，因此，該法案的通過具有較大示范效應。為避免各州立法分歧，美國行業(yè)協(xié)會組織、各大互聯(lián)網科技企業(yè)積極推動并參與統(tǒng)一立法。美國互聯(lián)網協(xié)會希望構建優(yōu)先考慮消費者隱私和數(shù)據安全的統(tǒng)一的全國隱私法律框架。美國商會與200個組織共同起草了隱私示范法。蘋果、亞馬遜等各大科技公司支持全面的聯(lián)邦隱私立法。

（3）美國堅持個人數(shù)據跨境自由流動

對于個人數(shù)據跨境流動的保護，美國極力宣揚并拉攏其盟友加入亞太經合組織（APEC）跨境隱私規(guī)則體系（簡稱CBPR體系）。2018年11月30日簽署的《美墨加協(xié)議》對個人信息保護做了明確規(guī)定：“為保護數(shù)字貿易用戶的個人信息，各方應通過或維持一個法律框架，并考慮相關國際機構的原則和準則，如亞太經合組織跨境隱私規(guī)則體系（CBPR）和經合組織理事會關于保護隱私和跨境準則的建議?！盋BPR體系是一個在亞太經合組織各經濟體之間進行數(shù)據流動的自愿的、基于問責制的體系，意圖從行業(yè)自律和法律規(guī)制兩個維度對進入該體系企業(yè)的隱私保護水平進行有效的控制。[12]CBPR雖然沒有要求參與國修改或降低自己在國內對個人數(shù)據的保護水平，但是它強制參與國家在管控個人信息出境時，不得要求第三國的數(shù)據接收方提供超過APEC隱私框架中包含的九大原則50項具體要求的保護水平。CBPR對個人信息的保護遠低于歐盟主導的GDPR。美國通過建立低水平保護的個人信息跨境流動秩序，最終實現(xiàn)個人信息向美國聚攏。[13]

到底是堅持把個人信息安全置于人權至上高度進行絕對保護，還是秉持充分利用個人數(shù)據促進數(shù)字技術創(chuàng)新和經濟發(fā)展？不同的數(shù)字經濟發(fā)展戰(zhàn)略和立法價值，導致歐盟和美國個人信息保護和個人數(shù)據跨境流動立法的模式和內容存在很大差異。譬如，歐盟立法中歐洲議會起到了主要作用，而美國行業(yè)協(xié)會則在立法中表現(xiàn)積極;歐盟全境施行統(tǒng)一的GDPR，美國則尚未就個人數(shù)據保護進行統(tǒng)一專門立法。在個人數(shù)據跨境流動的保護上，歐盟和美國更是代表了兩個極端。然而，在全球化4.0時代，由于全球數(shù)字經濟的深度融合，數(shù)字貿易的日益增長，國際立法總體趨向不斷融合。正如美國《兒童網絡隱私保護法》對GDPR中相關兒童數(shù)據保護的規(guī)定產生了一定的影響，同樣歐盟GDPR對美國加州立法和聯(lián)邦統(tǒng)一立法也產生了相應的輻射效應。歐盟和美國立法差異雖大，但有一點是相同的，就是兩者都想成為個人信息保護立法領域的引領者，使自身成為全球法律規(guī)則的主導者，以保護和促進自身數(shù)字經濟的發(fā)展。那么，中國個人信息立法如何選擇，又怎樣參與全球法律規(guī)則的制定呢？

三、中國個人信息保護的立法選擇

信息化為中國帶來了發(fā)展機遇，電子商務和人工智能總體發(fā)展水平走在世界前列，數(shù)字經濟發(fā)展?jié)摿薮蟆€人互聯(lián)網應用優(yōu)勢明顯，中國網民數(shù)量世界第一。以百度、阿里巴巴和騰訊為代表的10家中國互聯(lián)網上市企業(yè)進入全球市值30強?！吨袊鴶?shù)字經濟發(fā)展與就業(yè)白皮書（2019年）》顯示，2018年中國數(shù)字經濟規(guī)模達31.3萬億元，占GDP比重34.8%。為抓住這一可能改變世界經濟秩序的難得發(fā)展機遇，進一步推動數(shù)字經濟和實體經濟深度融合，增強企業(yè)創(chuàng)新力和競爭力力，中國確立并實施網絡強國戰(zhàn)略和網絡空間國際合作戰(zhàn)略，推進網絡強國建設，主動參與網絡空間國際治理進程。

（一）中國網絡強國戰(zhàn)略堅持安全和發(fā)展同步推進

2016年3月《中華人民共和國國民經濟和社會發(fā)展第十三個五年規(guī)劃綱要》明確提出實施網絡強國戰(zhàn)略，推動信息技術與經濟社會發(fā)展深度融合，加快推動信息經濟發(fā)展壯大。同時，強化信息安全保護，統(tǒng)籌網絡安全和信息化發(fā)展。

（二）中國個人信息保護立法體系的建立與完善

隨著中國數(shù)字經濟規(guī)模的不斷擴大，中國在個人信息保護領域的價值取向正在發(fā)生轉軌，在法益保護與數(shù)據開發(fā)利用的二元價值之間，中國早期采納“美國式實踐”，近來又轉向“歐盟式立法”。[14]多年來，中國一直采取“放水養(yǎng)魚”的包容態(tài)度，鼓勵數(shù)字經濟創(chuàng)新發(fā)展。[15]之前的司法實踐傾向于鼓勵數(shù)據開發(fā)利用，而現(xiàn)行立法體系則建立在個人信息法益保護與數(shù)據開發(fā)利用的二元價值平衡基礎上。個人信息保護立法亦應兼顧保障個人信息安全和促進信息化發(fā)展兩個方面，二者同步推進。

2012年3月在全國人大報告中首次提出完善網絡法律制度。2012年6月28日，國務院發(fā)布了《關于大力推進信息化發(fā)展和切實保障信息安全的若干意見》，強調加快能力建設，提升網絡與信息安全保障水平。2012年12月28日，第十一屆全國人民代表大會常務委員會第三十次會議通過了《關于加強網絡信息保護的決定》，明確提出國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息，任何組織和個人不得竊取或者以其他非法方式獲取公民個人電子信息，不得出售或者非法向他人提供公民個人電子信息。隨之，我國與個人信息保護相關的法律法規(guī)及配套制度逐步建立和完善。搜索北大法寶法律數(shù)據庫，涉及個人信息的法律有18部，包含《中華人民共和國消費者權益保護法》《中華人民共和國刑法修正案（九）》《中華人民共和國民法總則》和《中華人民共和國電子商務法》等。與個人信息保護密切相關的《中華人民共和國民法典人格權編（草案）》正處于審議階段。其中，2016年11月7日通過的《中華人民共和國網絡安全法》是中國第一部全面規(guī)范網絡空間安全管理問題的基礎性法律，其重要內容之一是防止公民個人信息數(shù)據被非法獲取、泄露或者非法使用。近年來個人信息保護的立法步伐加快?！豆矙C關互聯(lián)網安全監(jiān)督檢查規(guī)定》《關于加強跨境金融網絡與信息服務管理的通知》等陸續(xù)實施，一系列相關辦法向社會征求意見。2019年8月22日，國家互聯(lián)網信息辦公室公布《兒童個人信息網絡保護規(guī)定》，自2019年10月1日起施行。其中的原則、規(guī)則都反映了一般個人信息保護的重要理念，通過相關執(zhí)法實踐，能夠更進一步積累我國個人信息保護的經驗，為我國個人信息保護法律制度的全面構建提供有益探索。[16]《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》對個人信息在司法上予以保護。《關于審理個人信息權糾紛案件適用法律若干問題的解釋》列入最高人民法院司法解釋立項計劃。相關行業(yè)與技術標準和行業(yè)自律公約也陸續(xù)發(fā)布。2018年5月1日《信息安全技術個人信息安全規(guī)范》正式發(fā)布并實施，重點對個人信息控制者在開展收集、保存、使用、共享、轉讓、公開披露等個人信息處理活動中應遵循的原則和安全要求作了詳細的闡述，雖參考了歐盟規(guī)范的標準，但嚴苛程度不及歐盟。[17]

整體來看，我國個人信息保護以分散立法為主，逐漸形成綜合法律、行政法規(guī)、規(guī)章、司法解釋、行業(yè)與技術標準、行業(yè)自律公約等體系龐雜的法律體系。

（三）網絡空間國際合作戰(zhàn)略引領個人信息保護國際立法合作

個人信息的跨境傳輸本質上具有全球化屬性，需要各國、各地區(qū)的共同參與，達成多邊性協(xié)議或多邊協(xié)調機制，構建國際規(guī)則體系。在國際立法合作中，為實現(xiàn)網絡強國戰(zhàn)略，須加快提升中國對網絡空間的國際話語權和規(guī)則制定權。2017年3月1日發(fā)布的《網絡空間國際合作戰(zhàn)略》是指導中國參與網絡空間國際交流與合作的戰(zhàn)略性文件，引領中國積極參與國際立法實踐，倡導對隱私權等公民權益的保護，支持聯(lián)合國大會及人權理事會有關隱私權保護問題的討論，推動網絡空間確立個人隱私保護原則。中國通過雙邊自由貿易協(xié)定規(guī)范跨境數(shù)據流動，2015年6月簽訂的中韓自由貿易協(xié)定和中澳自由貿易協(xié)定都對電子商務中的個人信息保護進行了相應規(guī)定。中國積極拓展網絡對話合作平臺，舉辦世界互聯(lián)網大會等國際會議，搭建中國與世界互聯(lián)互通的國際平臺和國際互聯(lián)網共享共治的中國平臺。

2019年，中國以更加積極的態(tài)度參與并推進全球治理談判和國際立法合作，塑造和引領全球化，通過聯(lián)合國秘書長數(shù)字合作高級別小組、世界經濟論壇和G20峰會，提出中國的主張。中國支持聯(lián)合國在全球數(shù)字合作和個人隱私保護方面發(fā)揮其應有的作用。中國倡導各國要營造公平、公正、非歧視的市場環(huán)境，支持以開放、透明、包容、靈活方式在WTO框架下開展與貿易有關的電子商務議題規(guī)則制定工作，堅持發(fā)展導向，尊重成員監(jiān)管權利并照顧發(fā)展中成員具體關切，在技術進步、商業(yè)發(fā)展與各成員網絡主權、數(shù)據安全、隱私保護等合理公共政策目標之間實現(xiàn)平衡，通過平等協(xié)商達成平衡、務實、各方都能接受的結果。[18]為此，中國積極參與國際立法合作，推動制定國際規(guī)則。2019年1月，在瑞士達沃斯舉行的電子商務非正式部長級會議上，中國、美國、歐盟等76個WTO成員簽署了《關于電子商務的聯(lián)合聲明》，意在WTO現(xiàn)有協(xié)定和框架基礎上，啟動與貿易有關的電子商務議題談判，鼓勵所有成員參加，制定一套高標準的新規(guī)則。5月，WTO成員就新的電子商務規(guī)則開啟了談判。中國、美國、歐盟等10個成員提交了首輪提案，中國強調要關注發(fā)展中國家的權益。6月，在二十國集團（G20）大阪峰會期間，中國、美國、歐盟等24國簽署了《大阪數(shù)字經濟宣言》，進一步推動數(shù)字經濟立法談判。然而，由于各國發(fā)展戰(zhàn)略不同，立法價值導向不同，數(shù)字經濟發(fā)達國家和發(fā)展中國家分歧嚴重，制定國際立法規(guī)則任重道遠。中國作為數(shù)字經濟大國應更加主動參與并積極引領國際立法合作，兼顧發(fā)展中國家的立場和各國數(shù)字經濟發(fā)展的現(xiàn)實情況，兼顧個人信息保護和數(shù)字經濟發(fā)展，堅持在WTO框架下推動加強各國立法合作。

歐美對中華人民共和國《網絡安全法》第三十七條提過很多意見，美國甚至建議中國加入亞太經合組織跨境隱私規(guī)則體系。在網絡強國戰(zhàn)略和網絡空間國際合作戰(zhàn)略的引領下，中國愿與各國各地區(qū)加強立法合作，并積極進行實踐探索。中國在（上海）自由貿易試驗區(qū)臨港新片區(qū)開展數(shù)據跨境流動保護和國際合作試點工作，實施國際互聯(lián)網數(shù)據跨境安全有序流動。在以《中華人民共和國網絡安全法》為基礎的現(xiàn)有的個人信息保護法律體系下，對數(shù)據跨境流動保護和國際合作先試先行，不僅為《個人信息保護法》的制定和出臺奠定實踐基礎，也為中國引領國際立法規(guī)則積累相關經驗。