國際貿易框架下數據本地化的發展及中國因應

王籽琀 上海大學法學院

一、數據本地化措施的新發展

數據跨境流動的規則以及數據本地化措施一直是當前國際貿易法領域亟待解決的問題。2020年7月，歐盟法院就Facebook與奧地利隱私活動家施雷姆斯一案（以下簡稱施雷姆斯II案）做出了判決，宣布歐盟與美國之間用于跨境傳輸數據的“隱私盾”協議無效，并對通過標準合同條款機制從歐盟向美國轉移個人數據的過程設置了重大障礙。[1]早在2015年，歐盟法院即通過施雷姆斯I案推翻了美國與歐盟2000年達成的《安全港協議》，法院認為美國對于傳輸的個人數據未能提供“充分”的保護[2]，該案直接導致企業通過安全港協議將歐盟的數據傳輸至美國的行為違反了《歐盟數據保護指令》，并催生了新的跨境傳輸安排——“隱私盾”的出現。

在施雷姆斯II案中，歐盟法院指出，美國的情報機構具有不受限制地獲取歐盟公民個人數據的權力，并且美國的國內法沒有給予數據主體尋求救濟的權利。因而，法院認定美國與歐盟之間的隱私盾協議未能給予數據主體“確保基本上等同于《歐盟基本權利憲章》規定的保護水平”。法院還宣布，如果監管機構認為“根據轉移的所有情況”，數據無法得到適當保護，則標準合同條款下的數據傳輸應當被暫停。目前歐洲大約90%向外的數據傳輸流使用的是標準合同條款，大型跨國公司有能力支付昂貴的法律咨詢來審查外國或地區的國內法是否歐盟要求的保護水平，但小公司則無法承受這一過程的復雜和成本。因而施雷姆斯II案的判決結果對于歐盟境內的跨國企業產生了極大的不確定性。有學者將施雷姆斯II案的判決稱之為“軟性數據本地化”（“Soft Data Localization”）措施，它沒有直接要求數據或流程的本地化，而是通過向企業施壓壓力迫使其轉向數據本地存儲的做法。近日，愛爾蘭的數據監管機構已向Facebook下達一項初步命令，要求對方停止通過標準合同條款將歐盟用戶的相關數據傳輸到美國。施雷姆斯II案以及歐盟監管部門的后續行為盡管凸顯的是美國與歐盟就隱私保護方面的矛盾，卻從一個側面印證了國際范圍內數據本地化措施長期持續性，我國如何應對國際貿易框架下數據本地化這一新發展是一個值得探究的問題。

二、中國的因應

（一）完善國內數據保護立法體系

《個人信息保護法（草案）》近日首次亮相，它的出臺標志著我國搭建數據出境制度邁出了重要的一步。《網絡安全法》對“關鍵信息基礎設施的運營者”施加“數據本地化措施”的義務，《信息安全技術數據出境安全評估指南（草案）》對個人信息和重要數據出境安全評估的工作要求、方法流程、評估內容和結果判定進行了規范。此次審議的《個人信息保護法（草案）》則將所有的個人信息出境納入調整范圍。草案在安全評估的之外，還設置了保護認證、簽訂合同等路徑。這樣的設置在一定程度上借鑒了GDPR對數據出境的規定，可以更好地對外開展數據跨境談判。

由于數據本地化措施將在國際層面長期存在，我國應該綜合判斷各項價值追求，平衡好經濟發展和各項政策目標，在未來出臺的《個人信息保護法》基礎上對各類數據進行細分管理，明確數據本地化措施的適用范疇，創新便利我國企業跨境數據傳輸的方式。對于涉及國家安全的數據，應當嚴格禁止出境；對于涉及個人隱私的數據，應當允許進行一定的技術處理后進行流動。

（二）提升國際治理能力和規則話語權

在“電子商務諸邊談判”中，我國提案主張數據流動應以安全為前提。同時因該問題的敏感性，建議各成員進行更多探索性工作。外界對此解讀為我國在WTO電子商務諸邊談判中將不對跨境數據流動和禁止本地化措施進行承諾。[3]為防止美歐模板成為國際貿易框架下跨境數據流動規則的藍本，中國作為一個負責任的大國，不應回避數據跨境流動和數據本地化問題。

明確我國的數字治理規則，應當結合我國目前的實際情況，首先，我國談判的基本立場是將國家安全利益放在首位，數據的跨境流動不得威脅到國家安全，尋求對于國家信息安全等利益訴求的國際普遍共識；其次，我國的互聯網和電商企業在國際上有很強的競爭力，在海外的發展上需要有寬松的市場環境和數據流動機制，在參與有關數字貿易多邊協定時應當考慮到我國企業的進攻利益；最后，廣大發展中國家對于數據跨境流動規則和數據本地化措施有著相近的立場，我國應該積極發展數字貿易伙伴，參與并制定數字貿易的雙邊和區域協定，可以通過與“一帶一路”周邊國家展開合作，聯合有共同利益訴求的國家，向世界展示規制數字貿易和數據本地化措施的“中國方案”。