有效应对数据跨境流动规则挑战

　　作者：李艳（中国现代国际关系研究院科技与网络安全所执行所长、研究员）

　　数字治理的核心议题是基于数据（data-based）或与数据相关的（data-related）治理。其中，数据跨境流动规则的制定是当前数字治理的重要内容，一般可从国内治理与国际治理两个维度进行观察。不过，在数据领域，国内治理与国际治理之间并不能简单“二分”，两者的关联反而非常密切。国内治理的政策措施会产生“外溢”效应，影响国际规则的形成与国际合作的效果；反过来，国际规则又会对国内政策产生“倒灌”效应，影响政策制定的思路与重点。因此，数据跨境流动规则的制定面临的最大挑战是各国对跨境数据流动、个人隐私保护和国家安全保障之间的“平衡点”与“平衡尺度”的不同理解与把握。

　　数据跨境流动规则呈多元性差异化特点

　　当前，数据跨境流动规则虽然还处在探索初期，但一些发展趋势已初见端倪，整体呈现多元性与差异化的阶段性特点。比如美国采取的策略是理念上主张全球数据自由流动，实践中构建数据“单向”流动格局。欧盟“两手都要抓，两手都要硬”，双边场合推动数据互认标准，多边场合提倡自由流动，在强化个人隐私数据保护的同时，提升数据竞争优势。俄罗斯要求俄公民个人数据收集必须使用位于俄境内的数据库。印度将个人数据分为一般个人数据、敏感个人数据和关键个人数据，一般个人数据和敏感个人数据在境内存储副本的条件下可跨境流动，关键个人数据仅能存储在印度境内的服务器／数据中心，绝对禁止离境。澳大利亚、加拿大、韩国、巴西等国支持数据自由流动，但主张将保护个人隐私和国家安全写入例外条款，包括实现公共政策目标、保护个人隐私安全、保护国家安全等。

　　造成这种多元性与差异化的因素包括国情、理念、文化、传统、机制与法律体系等，但本质原因还是发展阶段的不同。在数据跨境流动政策目标上，美欧虽然有所差别，但作为发达国家都意图掌控尽可能多的全球数据。而广大发展中国家处在数字社会发展初期，其对数据流动中涉及的安全与发展的认知有限，对于规则制定的现实迫切性也相对有限，因而主要处在跟随状况。对于新兴国家而言，发展的步伐更快一些。典型代表就是中国在数据治理方面更加强调“务实平衡”。中国数据安全观基于总体国家安全观，在数字经济蓬勃发展、信息技术突飞猛进的背景下，力图在数据发展和安全之间寻找平衡发展。一方面，将数据作为重要生产要素投入生产，推动数字经济和实体经济深度融合、实现经济转型。另一方面，通过《网络安全法》《数据安全法》《个人信息保护法》等法律法规，以建设全方位的数据安全保障体系，不断提高数据保护力度，有效维护国家安全与国家利益。

　　积极应对数据跨境流动的规则挑战

　　各国数据安全政策实践表明，初期对于数据安全的考虑主要先从“防护”入手，第一步往往考虑如何护得住自己的重要数据。经过一段时间的发展，尤其是本地化措施的基本到位，相关国家的关注重心更多地转向如何在进一步促进流动中更有效地维护数据安全，即通过国际合作，实现机制对接，在一定范围内减少差异化或尽可能降低差异化带来的壁垒与障碍。美欧日韩等国在此方面已经采取相应措施，力图实现在所谓“价值共同体”中的机制对接。主要路径有以下两种。

　　一是推动“可信数据自由流动”（Data Free Flow with Trust）。2019年，日本在担任二十国集团轮值主席国期间提出该倡议，并得到美西方国家支持。2022年5月10日，七国集团数字部长会议通过的部长级宣言，再次强调“可信数据自由流动”，并提出《促进可信数据自由流动计划》。二是构建“全球隐私规则保护体系”。该体系源于2011年亚太经合组织（APEC）建立的个人隐私保护规则体系（CBPR），这是一种自愿性的、在亚太经合组织成员内部推行的隐私跨境流动机制。企业可通过加入CBPR以证明其符合国际认可的数据隐私保护标准。美国作为首批成员国加入CBPR后，不断强化自身的主导地位，并于2020年8月提出将该体系“从APEC框架独立出来”。

　　上述对接机制设想在实践过程中并非一帆风顺。比如美欧间跨境流动通道存在变数。虽然在安全港协议、隐私盾协议失效后，美欧政府一直不断沟通，并于2022年3月25日，宣布就新的跨大西洋数据隐私框架达成一致协议，但协议的进一步“落地”，尤其是美能否在实践中实现对欧的相关保障性承诺还有待进一步观察。当然，更为重要的是地缘政治博弈带来的影响，如美国在数据领域不断针对中国推进“清洁数据”，打造数据“排华圈”，这些都在客观上进一步加大了未来数据流动版图的复杂性与不确定性。

　　鉴于数据跨境流动规则现状，中国作为数据大国应该更具“前瞻”意识，尤其是要结合未来数字经济发展需要，不仅要考虑数据能够“护得住”，更要考虑数据能够“拿得来”，这就需要在制定国内数据安全维护政策措施时，尽量探索安全与发展的最佳平衡点。这不仅需要政府制定相应的战略，出台相关法规，完善应有机制，更要重视行业和企业的作用。一方面要听取它们作为“落地一线”的反馈，不断校准与修正相应政策，提升政策的有效性；另一方面要鼓励它们寻求更加有效的技术或标准解决方案，以最佳实践提升数据安全的话语权和影响力。与此同时，当前数据规则还在发展初期，正是加紧“塑造”的战略机遇期。不论是在双边、区域还是多边场合，对于数据规则探讨的议程设置应该更加积极。既要在一些既有机制下，就重要议题拿出有影响力的主张或有说服力的案文，还要主动搭建相关渠道，以开放和促进数据流动的姿态，引导与塑造数据规则探讨。