◎文/黃秋紅

在數(shù)字經濟時代的大背景下，數(shù)據(jù)已經成為五大生產要素之一，是社會經濟發(fā)展的重要引擎。作為數(shù)字貿易的基本構成要素，數(shù)據(jù)流動的重要性越來越凸顯，個人信息是數(shù)據(jù)的重要組成部分，數(shù)據(jù)流動必然涉及個人信息保護問題?？紤]到個人信息安全對經濟和社會效益的重要意義，美國、日本、俄羅斯和新加坡都對個人信息保護進行了規(guī)制，其立法特點各不相同，具有一定的借鑒意義。

美國：分散立法，以信息流動為核心

美國沒有個人信息保護的統(tǒng)一立法，立法分散多元化，就層級而言，包括聯(lián)邦法、州法案和行業(yè)自律規(guī)范；就領域而言，分別針對公私領域予以不同規(guī)制，公共領域中強調政府部門對個人信息的正確收集和使用，私營領域中針對不同行業(yè)開展規(guī)范。

聯(lián)邦層面，美國1970年《公平信用報告法》、1974年《隱私權法》、1978年《金融隱私權法》、1986年《電子通信隱私權法》等早期制度以保護隱私為重心，旨在通過行業(yè)和市場協(xié)調來保護個人信息，其中，《隱私權法》和《金融隱私權法》僅針對在公共領域中的個人信息，《公平信用報告法》則保護私人領域中的個人信息。

州層面，美國各州都制定了個人信息保護相關的法律，2018年加利福尼亞州頒布的《消費者隱私法案》，是目前美國最嚴格的消費者個人信息保護法案，它給相關實體新設了披露所收集的消費者個人信息類別等義務，給本州居民引入了信息訪問和被遺忘權，消費者可以拒絕將個人信息出售給第三方，為消費者控制個人信息提供了合法途徑。2021年3月，弗吉尼亞州通過《消費者數(shù)據(jù)保護法》，成為第二個制定全面隱私立法的州。

在美國，行業(yè)自律上的相關方式包括建議性的行業(yè)指引、網絡隱私圖章認證計劃和技術平臺三個方面。

盡管美國重視個人信息中的隱私保護，主張個人信息的跨境自由流動，實現(xiàn)經濟效益的最大化。對于個人信息的跨境流動，美國傾向于市場調節(jié)，通過“行業(yè)自律”和“事后問責”兩種規(guī)制方式企圖達到國家監(jiān)管和商業(yè)自由的統(tǒng)一。

2018年3月，美國頒布《澄清域外合法使用數(shù)據(jù)法案》，澄清了調取其境內服務商儲存在域外服務器數(shù)據(jù)的合法性，對美國機構獲取域外個人信息和外國機構獲取美國境內個人信息都予以了規(guī)定，但外國機構獲取信息的條件遠比美國機構嚴苛。

日本：統(tǒng)分結合，限制個人信息跨境流動

日本個人信息保護立法始于20世紀70年代，以地方條例為主，至1988年才制定了首部國家層面的個人信息保護法《行政機關計算機處理的個人信息保護法》，該法僅規(guī)制行政機關。隨后，針對不同的行業(yè)和領域，日本頒布了《民營部門計算機處理個人信息保護指南》《關于電信業(yè)的個人信息保護指南》等部門規(guī)章。

2003年5月，日本正式通過《個人信息保護法》，搭建了個人信息保護的制度體系。針對公私領域確立個人信息保護總原則的《個人信息保護法》處于該體系的頂層，中層由行政機關、獨立行政法人、地方公共團體和私營企業(yè)所應遵循的個別規(guī)范構成，底層則為特定的行業(yè)規(guī)章。即日本采用統(tǒng)分結合的立法模式，制定了適用于公私領域的個人信息保護基本法《個人信息保護法》，該法再授予行政機關和民間行業(yè)制定配套法規(guī)和自律規(guī)范。

為推動個人信息保護法的與時俱進，日本先后于2015年、2020年兩次對《個人信息保護法》進行了修訂。2020年的修正案中，明確了國家和地方公關團體的責任、義務和保護措施，規(guī)定了信息處理者的義務、行政機關和個人信息保護委員會的職責等，該修正案旨在實現(xiàn)日本國家層面法律的統(tǒng)一化和形成地方公共團體的共同規(guī)則，通過個人信息保護委員會進行統(tǒng)一監(jiān)管。

對于個人信息的跨境流動，日本在2015年《個人信息保護法》修正案中首次確立了相關規(guī)則，新設了獨立監(jiān)管機構“個人信息保護委員會”，明確了個人信息向國外第三方傳輸需獲得信息主體的同意。

為促進信息流動，2021年1月，個人信息保護委員會頒布了《跨境數(shù)據(jù)流動指南》，進一步細化了信息流動的事項和程序等?？偟膩碚f，日本在個人信息跨境流動方面與歐盟立場相近，在國際上倡導可信數(shù)據(jù)自由流動，即在嚴格保護個人信息、網絡安全和知識產權的基礎上，推動工業(yè)、健康等領域中非個人、匿名、有用信息的自由流動。

俄羅斯：統(tǒng)一立法，信息本地化存儲

俄羅斯對于個人信息保護的立法，最初僅在1993年聯(lián)邦憲法第24 條中確立了個人私生活秘密權，1995年2月頒布的《關于信息、信息化與信息保護法》首次提及公民個人信息，并予以法律保護。《個人數(shù)據(jù)保存限制法》《博客法》《網絡支付限制法》等均有涉及，至2006年7月才正式頒布《個人數(shù)據(jù)法》。

在歐美之間，俄羅斯《個人數(shù)據(jù)法》更接近于歐盟的立法模式，以個人信息處理為適用對象，規(guī)范指引各行業(yè)各領域的個人信息收集、處理、傳輸行為。截至2021年，該法已經進行了21 次修訂，包括信息處理的原則和條件、信息主體的權利、信息處理者的義務、信息處理的監(jiān)管以及違法責任等內容。

2021年2月，俄羅斯總統(tǒng)普京簽署的《聯(lián)邦行政犯罪法》修正案加大了對違反個人信息保護義務行為的處罰力度，提高了罰款數(shù)額。

俄羅斯在“棱鏡門”事件后非常重視數(shù)據(jù)主權，以保護信息安全和網絡主權為出發(fā)點，實施數(shù)據(jù)本地化政策，限制數(shù)據(jù)跨境流動。例如，《個人數(shù)據(jù)法》要求俄羅斯公民的個人信息必須存儲在境內服務器上，并明確了個人信息跨境傳輸?shù)臈l件，如信息主體的書面同意、履行合同要求或基于國家安全考量。同時，對于《關于個人數(shù)據(jù)自動化處理的個人保護公約》的締約國和俄羅斯官方認可的“白名單”國家，俄羅斯許可個人信息的自由流動。

新加坡：建立個人信息跨境監(jiān)管體系

新加坡是東南亞地區(qū)法治化、信息化比較發(fā)達的國家，建立了較為完善的個人信息保護制度和個人信息跨境監(jiān)管體系。

2012年通過的《個人數(shù)據(jù)保護法》是新加坡現(xiàn)行的個人信息專門立法，該基礎性法律全文共10 章68 條，包括定義、目標等適用性規(guī)則和個人信息的收集、使用、披露、保護等規(guī)則，以及個人數(shù)據(jù)保護委員會與管理機構的職責等內容。該法明確了個人信息的內涵，厘清了個人信息保護的關鍵內容，設置了個人信息保護的責任主體和職責。

其后，新加坡制定了多部附屬法例，其中包括2014年出臺的《個人數(shù)據(jù)保護規(guī)例》。2020年底，新加坡通過《個人數(shù)據(jù)保護法修正案》，新增了個人信息攜帶權和數(shù)據(jù)傳輸義務相關內容，強化了信息主體對其信息的控制權，同時支持機構和企業(yè)基于公共利益和業(yè)務改善等合法目的，對個人信息的合法收集、使用和披露，堅持權利保護和信息利用并重。此外，修正案還加強了機構的問責制，明確了個人信息處理的違法行為，增強了對違法行為的處罰力度，提高了個人數(shù)據(jù)保護委員會的執(zhí)行力和執(zhí)法效率。

對于個人信息的本地化存儲，新加坡在通用的個人信息保護要求中并沒有作出強制性要求。對于個人信息的跨境流動，新加坡設定了向境外流出的條件，即在信息接收國家或地區(qū)的個人信息保護標準與新加坡《個人數(shù)據(jù)保護法》相當時，才許可個人信息的自由流動。但在獲得信息主體的同意、履行合同義務需要、傳輸?shù)膫€人信息屬于公開信息、涉及生命健康等重大利益或僅在新加坡中轉時，也符合個人信息跨境流動的條件。