網上投稿
引言
由于全球受到新冠肺炎疫情的影響，世界各國加速線上化、數字化、云化。后疫情時代的今天，數字產業(yè)與服務已經成為經濟快速發(fā)展的支柱。近年來，我國也實施了“互聯網+”、“智慧+”等一系列行動，有效提升了我國公共服務水平，讓人民群眾的生活變得更加便利快捷。目前，5G 網絡與新型基礎設施正在推進，與行業(yè)融合應用快速發(fā)展，將成為數字經濟發(fā)展的強勁驅動。一切皆可數字化，使得個人數據收集、使用過程中，有時還未確定收集數據的平臺是否安全可靠，數據就已經被獲取。數據快速流動的同時，也催生了各類社會問題：數據產業(yè)間的關聯效應擴大數據遞增效應，數據融合產生了數據保護歸屬問題，數據黑色產業(yè)鏈不斷擴大。這些變化都對個人數據的保護問題提出了更高的要求，尤其是數據跨境。在“斯諾登事件”發(fā)生之前，美國一直都是數據的天堂。但之后，世界各國對數據跨境施加了更強法律監(jiān)管。目前世界頂流的科技巨頭公司，如 Facebook（臉書）、Twitter（推特）、Microsoft（微軟）、Apple（蘋果）等美國公司都在接受各國數據監(jiān)管機構的調查，接連被各國政府開出了巨額罰款。“數據本地化”逐漸成為各國對抗美國霸權和保衛(wèi)本國數據資源的主要手段。2020 年 7 月，歐盟法院判決美國與歐盟于簽訂的“隱私盾”協(xié)議無效，這已經是歐盟第二次否決歐美之間的個人數據流動協(xié)議無效。由于各國愈加重視本國的數據安全，數據跨境法律監(jiān)管制度作為維護數據安全的重要一環(huán)也變得愈加重要。 我國也在其中之列。
而隨著全球數字化程度的不斷加深，無論是中國內地還是世界各地，越來越多的企業(yè)涉足數字產業(yè)，數據的跨境流動已經成為經濟活動中不或缺的組成部分。但是對于數據的跨境流動的監(jiān)管與合規(guī)，全球的法律框架相去甚遠，很多理論和實務的問題亟待解決。本文將結合國外的數據跨境流動相關法律制度、《數據出境安全評估辦法（征求意見稿》以及我國其他相關現行有效的、征求意見中的法律法規(guī)，簡要介紹跨境數據流動的域內、域外的法律監(jiān)管框架以及如何應對此種監(jiān)管的數據跨境合規(guī)問題。
一、我國數據跨境法律監(jiān)管框架
數據跨境法律監(jiān)管制度是依據法律法規(guī)對個人數據跨境使用行為進行的監(jiān)督管理。其中有兩層涵義：一是有法可依，即要有個人數據處理與使用的專門法律，確定數據使用的基本原則。二是合法合規(guī)，即要有專門的數據監(jiān)管機構與配套的監(jiān)管措施，防止個人數據在跨境流動過程中發(fā)生丟失、被盜、泄露、使用不當等行為。依據數據跨境中涉及到的數據控制者對數據監(jiān)管權利的大小和數據獲取方式的來源，將數據跨境的法律監(jiān)管行為分為政府監(jiān)管、企業(yè)監(jiān)管、第三方平臺監(jiān)管三個類別。政府監(jiān)管，需要有專門的數據監(jiān)管機構，有一定的行政權力；企業(yè)監(jiān)管，則設立專人負責，一般由法律專業(yè)人士擔當，無行政執(zhí)法權利，負責企業(yè)數據合規(guī)。第三方平臺監(jiān)管由建立該平臺的企業(yè)負責，負責監(jiān)管平臺數據來源和使用方式是否有異常，以及用該平臺的商家是否對收集的數據采取了充分保護。
（一）.現行有效的主要法律法規(guī)
1.《網絡安全法》
2016年11月7日，全國人大常務委員會發(fā)布《中華人民共和國網絡安全法》，并于2017年6月1日正式生效?！毒W絡安全法》第一次從法律層級對于數據跨境流動提出了安全要求，主要體現在第三十七條：“關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業(yè)務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。”
2.《數據安全法》
2021年6月10日，全國人大常委會發(fā)布《中華人民共和國數據安全法》，并于2021年9月1日正式生效。《數據安全法》并未就數據跨境流通作詳細規(guī)定，而是就數據跨境流通的問題引用《網絡安全法》的相應規(guī)定并明確由國務院與國家網信部門制定具體規(guī)則。
3.《個人信息保護法》
2021年8月20日，全國人大常委會發(fā)布《個人信息保護法》，并于2021年11月1日正式生效。針對跨境數據流動方面，《個人信息保護法》借鑒有關國家和地區(qū)的做法，賦予了必要的域外適用效力，以充分保護我國境內個人的權益?！秱€人信息保護法》第三條規(guī)定，以向境內自然人提供產品或者服務為目的，或者為分析、評估境內自然人的行為等發(fā)生在我國境外的個人信息處理活動，也適用本法；并要求境外的個人信息處理者在境內設立專門機構或者指定代表，負責個人信息保護相關事務。同時，《個人信息保護法》的第三章明確規(guī)定了個人信息跨境提供的要求與條件。
4.《個人金融信息保護技術規(guī)范》
2020年2月13日，中國人民銀行發(fā)布《個人金融信息保護技術規(guī)范》，并于同日正式生效。其中第7.1.3（d）條明確規(guī)定：“在中華人民共和國境內提供金融產品或服務過程中收集和產生的個人金融信息，應在境內存儲、處理和分析。因業(yè)務需要，確需向境外機構（含總公司、母公司或分公司、子公司及其他為完成該業(yè)務所必需的關聯機構）提供個人金融信息的，具體要求如下：（a）應符合國家法律法規(guī)及行業(yè)主管部門有關規(guī)定；（b）應獲得個人金融信息主體明示同意；（c）應依據國家、行業(yè)有關部門制定的辦法與標準開展個人金融信息出境安全評估，確保境外機構數據安全保護能力達到國家、行業(yè)有關部門與金融業(yè)機構的安全要求；（d）應與境外機構通過簽訂協(xié)議、現場核查等方式，明確并監(jiān)督境外機構有效履行個人金融信息保密、數據刪除、案件協(xié)查等職責義務。”
（二）正在制定中的法律法規(guī)
1.《數據出境安全評估辦法（征求意見稿）》
2021年10月29日，網信辦在其官網上公布了《數據出境安全評估辦法（征求意見稿）》征求意見。該評估辦法中就數據出境安全評估作出了較為詳細的規(guī)定，如強制申報安全評估的情形、申報材料、安全評估重點事項、評估程序、評估結果的時效以及結果失效的情形等。
2.《數據安全管理辦法（征求意見稿）》
2019年5月28日，國家互聯網信息辦公室發(fā)布《數據安全管理辦法（征求意見稿）》，并請社會公眾于2019年6月28日前提出意見。該管理辦法中明確要求網絡運營者在向境外提供重要數據前，應當評估可能帶來的安全風險，并經行業(yè)主管監(jiān)管部門同意，行業(yè)主管監(jiān)管部門不明確的，應經省級網信部門批準。
3.《個人信息出境安全評估辦法（征求意見稿）》
2019年6月13日，國家互聯網信息辦公室發(fā)布《個人信息出境安全評估辦法（征求意見稿）》，并請社會公眾于2019年7月13日前提出意見。該安全評估辦法中明確規(guī)定，網絡運營者與境外個人信息接收者需要簽訂數據合同，且需要向網信部門申報。同時對數據合同的具體內容也作出了一定要求。
二、國外數據跨境監(jiān)管制度的演進
1.國際/區(qū)域組織法律監(jiān)管制度建立階段
1980 年，經合組織制定了《關于保護隱私于個人數據跨境流動的準則》（以下簡稱《流動準則》），是首份有關數據保護的國際性法律文件，也是數據跨境監(jiān)管的首次嘗試。1981 年，歐盟制定了《關于個人數據自動化處理的個人保護公約》（以下簡稱《數據公約》），其中主要講明了有關個人數據保護的基本原則，首次涉及到了數據跨境監(jiān)管措施。1990 年，聯合國發(fā)布了《關于自動化處理中的個人數據檔案保護指南》（以下簡稱《保護指南》），對兩個及以上國家間的個人數據流動做出了規(guī)定。在此階段，經合組織及聯合國組織支持跨境數據的自由流動，而歐盟強調了數據跨境前的“授權與同意”。其他各國還未開始對數據跨境實施監(jiān)管。
2.各國法律監(jiān)管制度建立階段
1995 年，歐盟為適應互聯網的快速發(fā)展，將《數據公約》更新為《關于個人保護中有關個人數據處理以及此類數據的自由流動指令》（以下簡稱《95 指令》），要求各國成立獨立的數據監(jiān)管機構，同時由該機構承擔數據審查的責任。自 2002 年起，加拿大、日本、德國等國紛紛出臺了各自的法律監(jiān)管制度。在此階段，世貿組織、歐盟繼續(xù)完善數據跨境監(jiān)管的相關內容，各國數據跨境由自由流動轉向限制流動。其中，加拿大、日本和德國要求必須在獲得數據主體同意后才能進行數據流動，俄羅斯需在境內設立對跨境數據的存儲，而韓國的重要數據不能出境。
3.國際/區(qū)域組織及各國法律監(jiān)管制度完善階段
為適應大數據時代數字經濟發(fā)展變化，2013 年經合組織更新了《流動準則》，新增問責制原則，最大程度地保護了數據主體的利益。同年，亞太組織制定了跨境隱私框架，對數據跨境采取認證機制。2015 年，《跨太平洋伙伴關系協(xié)定》由原來的4 國發(fā)展為 12 國，并達成基本協(xié)議，將數據跨境納入多邊貿易規(guī)則。歐盟在 2016年制定了保護嚴格、原則清晰的《一般數據保護條例》（以下簡稱“GDPR”）。該條例在 2018 年正式實施，擴大了數據跨境的適用范圍。
1995 年，歐盟為適應互聯網的快速發(fā)展，將《數據公約》更新為《關于個人保護中有關個人數據處理以及此類數據的自由流動指令》（以下簡稱《95 指令》），要求各國成立獨立的數據監(jiān)管機構，同時由該機構承擔數據審查的責任。自 2002 年起，加拿大、日本、德國等國紛紛出臺了各自的法律監(jiān)管制度。在此階段，各國在限制數據跨境中采用多種監(jiān)管措施，保證跨境數據在一定限制中快速流動，如新加坡和巴西等國使用統(tǒng)一的合同形式，亞太組織采取自我約束機制，經合組織采用問責制，跨太平洋組織和歐盟推行一定區(qū)域內的數據自由流動，中國采取數據評估模式，印度要求數據流動前的本地化，美國則在實施數據的“長臂管轄”。
4.域外數據跨境制度的演進規(guī)律
數據跨境法律監(jiān)管制度經歷了三代，第一代，規(guī)定了監(jiān)管的基本內容；第二代，在基礎上進行擴展，增加了更多樣化的流動形式；第三代，形式更加具體。其進程與個人數據保護進程基本保持一致。 其中，歐盟的數據跨境法律監(jiān)管基本與世界法律監(jiān)管制度演進保持一致，并在數據保護法中一直保持著領先的地位。歐盟數據保護標準指導或啟發(fā)了其他國家和地區(qū)對數據保護法律改革的思考。歐盟完備而又高要求的數據保護法案，使歐盟在數據資源爭奪中占有一席之地。同時也影響了參與數據跨境監(jiān)管與合作的其他國家，尤其影響了數據保護標準較低的其他國家進行數據跨境.美國以《隱私法》作為數據保護的基準，拉攏盟軍，使各國的個人數據便利地向美國聚攏。美國不設立高水平且具有“統(tǒng)一性”的個人數據保護法，同時對其他國家稱其本國法律已經做到了對個人數據較高保護。綜上，通過對數據跨境法律監(jiān)管制度的梳理，可以看出數據跨境經歷了由寬松自由轉向限制流動，再到限制中快速流動的轉變?？偠灾?，數據跨境不論是要獲得主體同意，還是簽訂合同，或是采取其他認證方式，均體現了數據跨境的監(jiān)管理念：政府通過相當水平的監(jiān)管，以杜絕企業(yè)對個人數據的隨意處置，進一步強化對個人數據的保障力度。
5.中外數據跨境的差異與共性
在數據跨境法律監(jiān)管制度的三個方面，我們可以看到一些差異與共性。首先，在眾多法律制度中，主體同意被認為是數據跨境的先決條件，在大多數國家和地區(qū)都發(fā)揮著重要作用；數據本地化與分級管理被為是數據跨境中一項有爭議制度，其可能會阻礙國際貿易的持續(xù)增長，但卻可以減少被國外監(jiān)聽的風險。其次，實施機制中三種制度是數據跨境的主要方式，我們可以看到其重要性各不相同，合同形式被眾多國家接受，非合同形式和組織內部保障措施的方式是對于合同形式的補充。監(jiān)管機構在監(jiān)督各數據主體時，處罰權的設置是對過去數據監(jiān)管的一大進步。 第三，監(jiān)管機構要強有力才能解決遇到的各種事情，監(jiān)督大大小小的企業(yè)。但處罰條款應進一步細化，應對不同類型的違法行為可給與不同的處罰。畢竟管理才是第一目的，處罰是輔助手段。 第四，在立法實踐中，各法域的數據跨境監(jiān)管制度產生了一些分歧，這是因為不同法域的立法注重的細節(jié)不同。保障基本人權和個人隱私，保護國家利益和國家主權，防止外國監(jiān)視等要求是支持這些制度的典型動機。
三、我國數據跨境法律監(jiān)管制度存在的問題及完善的建議
（一）我國數據跨境監(jiān)管存在的問題
中外對數據跨境監(jiān)管的理念不同，監(jiān)管力度不同。在整個數據跨境過程中，監(jiān)管制度的核心目的是保護個人數據安全和確保數據在一定限度內自由流動。無論是審核批準制度的選擇，還是實施機制的設計，還是問責制度的確定，都是在這一核心目的的指引下完成的。各國監(jiān)管理念不同，導致各國保護效果不同。歐盟關注以“數據基本權利”為基礎的個人數據及個人自由的重要性，跨境數據監(jiān)管嚴格；美國意在數字經濟的發(fā)展，獲得貿易利益，因而跨境數據監(jiān)管松散。中國則在充分參考世界各國經驗的基礎上，走出了一條有中國特色的道路，跨境數據監(jiān)管注重管理強化。我國較國際社會數據跨境法律監(jiān)管制度起步晚，但正在不斷完善。我國數據跨境法律監(jiān)管制度中主要問題是數據出境評估內容還不夠具體，可能會加大數據監(jiān)管機構的審批壓力。此外，我國也未與友好往來的國家達成數據保護程度的相互認可，無法進行區(qū)域內的數據自由流動。
（二）完善我國數據跨境監(jiān)管制度的建議
1.完善數據跨境的法律監(jiān)管體系，明確監(jiān)管內容
我國應提供豐富合理的數據流動渠道和高效安全的跨境數據審批流程，明確數據跨境中的三個重點：“跨境流動的數據范圍”、“誰在進行數據跨境”、“如何進行數據跨境”，實現對個人數據和重要數據出境的全生命周期保護。并進一步完善行業(yè)自律、加強行業(yè)道德、提高公民的個人數據保護意識，賦予公民知情權，促使公民在數據保護中處于積極態(tài)度。在公司制度中增加數據保護的內容，鼓勵公司在運行中建立自我審查機制，完善公司自身的管理水平，以應對數據跨境的發(fā)展趨勢。建立政府、企業(yè)、個人共同參與、共同治理的數據跨境監(jiān)督管理體系，打造有法可依、合法合規(guī)的個人數據保護環(huán)境以應對國際交往中的沖突。
2.增強域外保護管轄權，積極尋求多方合作
大數據時代，屬地管轄原則已無法及時、有效應對數據跨境帶來的問題，臉書、蘋果和谷歌等跨國公司都曾經因違規(guī)收集客戶信息，或泄露客戶銀行卡、信用卡、購物歷史和網上訪問記錄等被歐美數據監(jiān)管機構罰款。如果數據跨境監(jiān)管僅僅采用屬地管轄原則，往往沒有權利處理域外發(fā)生數據泄露問題，無法保護本國公民的合法利益。因此，我國數據跨境監(jiān)管應同時采用屬地管轄原則與屬人管轄原則，可以為我國在數據跨境中依法、合法賦權，增大我國在數據跨境過程中域外保護管轄權。并積極尋求多方合作，參與國際數據跨境的規(guī)劃與監(jiān)管，掌握國際個人數據保護的最新動向，并建立與之相適應的法律規(guī)定，立足于開放環(huán)境中維護我國數據安全。
四、對企業(yè)合規(guī)的建議
跨境數據流動的合規(guī)對于企業(yè)的風險管理尤為重要，特別是涉及國際貿易、跨境支付、大數據、云計算等領域的數字科技企業(yè)。如果管理不當，很可能導致企業(yè)面臨高額的罰款，甚至阻礙其業(yè)務在某一個法域繼續(xù)運營?；趯ξ覈鴩鴥日谋O(jiān)管框架、各國家、區(qū)域監(jiān)管政策的了解以及監(jiān)管趨向的體察，總結以下針對企業(yè)方應對監(jiān)管的合規(guī)要點。
首先，要了解我國的跨境數據流動法律規(guī)則不僅包括本國的法律規(guī)則，也包括與數據業(yè)務有關的其他法域的法律規(guī)則。在充分認識法律規(guī)則的前提下才能認識到企業(yè)開展數據跨境流動活動時可能潛在的風險。
其次，應當明確定位企業(yè)的性質。法律規(guī)則對于不同主體賦予的數據合規(guī)義務各有差異。例如，根據《網絡安全法》的規(guī)定，關鍵信息基礎設施的運營者要比一般的網絡運營者承擔更為嚴格的數據安全保護義務。因此，企業(yè)需要結合自身業(yè)務，依據適用的法律規(guī)則，正確定位自身角色，方可明確自身需要承擔的義務，及需要遵守的規(guī)定。
再次，企業(yè)應當完善內控制度，這不僅僅是企業(yè)現實業(yè)務的需求更是法律規(guī)定的義務。跨境數據流動的合規(guī)，不但是數據跨境傳輸轉移的合規(guī)。數據采集、數據加工處理等前序步驟，都會影響數據是否可以跨境傳輸，以及是否需要履行審批程序。而企業(yè)運營過程中，一筆業(yè)務可能需要多位人員參與操作，不同業(yè)務也可能需要由不同的人員參與操作，并不可能要求每一位操作人員都是跨境數據流動合規(guī)方面的專家。因此，企業(yè)需要就數據管理建立一套完善的內控制度，從業(yè)務合同簽署到實際業(yè)務操作給予企業(yè)人員明確的指引，降低企業(yè)違規(guī)的風險。
最后，在建立完善的內控制度后，需要在實際業(yè)務運營過程中落實內控制度。為此，企業(yè)需要加強人員培訓，確保相關人員明確知曉自身的崗位職責，并建立風險意識，在遇到不確定的事項時及時上報，獲取正確的處理方式。
結語
隨著數字經濟的不斷發(fā)展，數據已經成為一種不可或缺的生產要素。全世界各國和地區(qū)紛紛加快立法腳步，保護數據主權的同時加強跨境數據傳輸的監(jiān)管與合作。政府與企業(yè)作為經濟發(fā)展中的兩個重要角色，都應當做好自己的任務。政府應當在法律與政策的制定中，為我國的企業(yè)走出去外國的企業(yè)走進來制定“良法”，以便我國企業(yè)在國際貿易規(guī)則中占據有利地地位。而對于企業(yè)來說，面對日益嚴苛的跨境數據監(jiān)管以及時時更新變化的規(guī)則，企業(yè)應當進一步加強自身合規(guī)建設，以盡可能控制數據合規(guī)風險。
參考文獻：
[1程衛(wèi)東.跨境數據流動的法律監(jiān)管[J].政治與法律,1998(03):72-76.
[2]梁俊蘭.國外 TDF 研究的歷程及其實質[J].國外社會科學,1997(06):45-49.
[3] 姚維保,韋景竹.個人數據流動法律規(guī)制策略研究[J].圖書情報知識,2008(02):38-42.
[4] 黃寧,李楊.“三難選擇”下跨境數據流動規(guī)制的演進與成因[J].清華大學學報(哲學社會科學版),2017,32(05):172-182+199.
[5] 韓靜雅.跨境數據流動國際規(guī)制的焦點問題分析[J].河北法學,2016,34(10):170-178.
[7]王融.數據跨境流動政策認知與建議——從美歐政策比較及反思視角[J].信息安全與通信保密,2018(03):41-53.
[8]石靜霞,張舵.跨境數據流動規(guī)制的國家安全問題[J].廣西社會科學,2018(08):128-133.
[9]張繼紅.個人數據跨境傳輸限制及其解決方案[J].東方法學,2018(06):37-48.
滬公網安備 31010402007129號
