淺議個人數據跨境流通制度之現狀

【摘要】個人數據流通廣泛存在于國際貿易和跨境電子商務活動中，其立法和制度建設向來受到各國立法機構的關注。個人數據流通制度最早在上世紀70年代出現，經過歐美等國家和有關國際組織的發展，已經形成具有獨特的制度立法特點和趨勢。然而，個人數據流通制度面臨個人權利的多重屬性以及立法價值的多重抉擇等難題，導致其制度建設存在現實上的困境。

【關鍵詞】個人數據流通大數據計算個人數據權利

立法價值

隨著互聯網信息技術的不斷發展，數據跨境流通在國際貿易以及跨境電商業務中日趨頻繁，受到世界各國立法者共同關注。所謂個人數據跨境流通，是指個人數據跨越國界的傳輸和處理。個人數據不同于國家安全數據，在立法上面臨著數據保護和數據流通自由雙重的價值選擇難題。同時，個人數據的跨境流通涉及不同國家的數據保護法。面對有差異的數據保護水平，個人數據流通環節中難免存在問題。

一、個人數據跨境流通制度的緣起和發展

從互聯網技術誕生伊始，個人數據跨境流通的問題就已經引起立法者的注意。早在20世紀70年代，跨境數據流通的概念就由OECD科學技術委員會（CSTP）下設的計算機應用工作組（CUG）提出，其表述為Trans-border data flows（TDF)。1980年，經濟合作與發展組織（OECD）發布了《關于保護隱私與個人數據跨境流動的指南》（Guidelines governing the protection of privacy and trans-border flows of personal data），該指南直接在跨境數據流通內容的范圍中加入了“個人數據”,即個人數據（personal data) 跨境流通是“跨國境的個人數據流動”。。1981年，歐洲委員會通過了《有關個人數據自動化處理的個人保護公約》（Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, “Convention 108”）（以下簡稱“《108 號公約》）這一法律文件，該公約明確了跨境數據流動的基本法律規制，協調了信息自由流動與隱私保護之間的沖突；同時，公約對信息保護只規定了應遵守的原則，而把原則的執行留給成員國自行決定，這樣做既劃定了權利底線，以防締約方以隱私保護為借口限制信息的跨境流動，又保留一定的靈活性，避免公約與締約方本國的社會文化背景相沖突。

隨著信息技術的進一步發展，大數據，云計算的新型技術類型使個人數據跨境流通的情形變得更加復雜。1990年，聯合國經濟與社會理事會人權委員會第四十六屆會議通過《電子計算機人事資料檔案管理準則》。該準則規定了數據資料管理的六項原則，并在其后有規定了監管與處罰，適用范圍，個人數據跨境數據流通的內容。歐盟緊隨其后，于1995年通過了《關于個人數據處理及自由流通個人保護指令》（以下稱“《數據保護指令》”）。《數據保護指令》圍繞個人權利保護為核心，確立了兩個基本的宗旨。第一，在所有的歐盟成員國內實現統一的最低水平的個人信息保護。第二，允許歐盟成員國范圍內信息的自由流動，防止成員國以個人信息保護為由阻礙歐盟內部的信息流動。這種內外部區別的數據流通規制方式和“充分性保護”一般原則一直延續至今，成為歐盟個人數據跨境流通規制的特點和一般性原則。進入千禧年以來，隨著全球化的進一步加深，2014年跨境數據流動對全球GDP的貢獻是 2.8 萬億美元，2016 年全年的貨物流動、外國直接投資和數據給全球帶來了7.8萬億美元的 GDP 增漲，其中跨境數據流產生了2.8萬億美元的價值。在過去十年中，數據流動使全球 GDP 貢獻增長了 10.1％。跨境貿易和電子商務的快速發展為個人數據流通和保護提出了更多的要求。2016年，歐盟為了加強《數據保護指令》在歐盟境內的約束力和對個人數據的保護力度，通過了《一般數據保護條例》（以下稱“GDPR”）這一法律文本。GDPR擴大了“充分性保護”的范圍，規定了個人數據可攜權，遺忘權，刪除權等個人數據權利。并且出臺了嚴厲的個人數據保護標準和監管程序。是目前最為完善和系統的個人數據跨境流通保護法律之一。

二、個人數據跨境流通制度的立法趨勢和特點

（一）采取統一的立法模式

一國或者區域的個人數據跨境流通制度，往往涵蓋多個部門法的內容。個人數據保護和流通的內容為信息保護法所調整，跨境合作和數據管轄涉及國際法調整，跨境電子商務的部分又涉及民商法，經濟法。而政府監管制度和執法往往又牽扯到一國的行政法和刑法。因此，在早期互聯網發展水平尚未成熟的年代，大部分國家并未采取統一立法的立法方式對個人數據跨境流通進行規制。典型的分散立法國家當屬美國，對個人數據相關的立法遍布多個部門法。包括：《聯邦貿易委員會法》，《兒童網上隱私保護法》，《公平信用報告法》，和《電話消費者保護法》分別對其管轄的特殊領域進行了規定。以及至于私營部門，更多采用了行業自律的方式。但分散立法存在的弊端是顯而易見的，分散立法不能夠給予個人數據全面的保護。多個部門法很難涵蓋個人數據流通和保護的全部內容，容易造成個人數據保護的真空地帶，法律交叉治理又造成的沖突和矛盾。也不利于統一監管和國際合作交流。據統計，世界上已至少頒布了109 部采取統一立法模式的個人數據保護法。因此，制定一部統一的，專門的個人數據保護法，越來越成為世界各國個人數據跨境流通立法的趨勢。

（二）法律規制和行業自律相結合

個人數據跨境流通廣泛存在于跨境電子商務和國際貿易活動中，可以說現在已經成為最為一般的經濟商業現象之一。對于個人數據的流通，企業和個人最關心的無非是數據流通環節中個人數據的安全與否。單純依靠法律制度去監管，可能導致公權力對數據隱私的過度滲透。而輔以行業自律作為監管手段，既可以產生對違法侵犯數據安全的行為的震懾作用，又可以不過分約束商業間的數據流通。相比于歐洲重視人權，側重個人數據安全保護，美國更加重視商業環境中數據的自由流通。因此其行業自律體系十分完善。美國的行業自律體系以行業認證機制為主，擁有TRUSTe 和 BBB online 等隱私認證企業，受到市場和消費者的官方認可，其頒發的隱私信賴標章對于引導消費者的流向起到了重要的指導作用。行業自律的高效規制能力收到各國立法者的青睞，歐洲，澳大利亞等國家的個人數據跨境流通制度都包含了行業自律和監管對接的內容。一直致力于推進投資和貿易的自由化的亞太經合組織APEC也制定了跨境隱私規則體系（Cross-Border Privacy Rules, CBPR）。。對加入該計劃的企業提供保護認證和評估，是一個區域性的行業自律性規則。由此可見，對個人數據跨境流通的規制，越來越多的國家選擇了法律規制和行業自律相結合。

（三）國際合作日益增多

個人數據跨境流通涉及了“跨境”這一情景語境，所關涉的不僅僅為一國之內的數據流通，互聯網的特征導致數據流通已經涉及兩國甚至多國之間的數據交互。然而需要承認的客觀情況是，世界各國對于數據流通和個人數據保護的立法存在較大差異。在電子商務和跨境貿易不發達的國家，例如印尼，柬埔寨等發展中國家，對數據流通的態度多為采取本地化處理，嚴格限制個人數據出境。而對于發達國家，諸如歐盟各成員國和美國，則又對數據保護采取寬容和鼓勵流通的態度。即便是歐美之間，也存在著數據立法保護水平不同的窘境。以至于雙方企業無法很好地通過各自的法律合規要求，進而造成業務上的流失。立法上無法求同存異的情況下，雙邊，多邊協調機制便成為國際間數據流通和保護的重要合作方式。例如美歐之間的“安全港”，“隱私盾”合作協議，就很好地彌補了彼此之間立法上的差異，為數據流通和合作保護監管執法，合規準入提供了相對統一的依據。APEC下的CBPR隱私規則體系也是重要的區域行業自律和監管協作機制。

三、個人數據跨境流通制度的困境

（一）個人數據權利具有多重屬性。個人數據權利是個人數據保護，流通和規制監管的基石。然而，個人數據權利并非只具有單一的屬性，而是同時具備人格權屬性和財產權屬性。對于數據所有者，即個人而言，個人數據權利最重要的內容應當是個人信息自決權。例如是否能對個人數據信息隱私起到保護，個人是否有權自主刪除，更正自己在數據處理者處所儲存的數據。這種重視個人數據權利，尤其是個人數據隱私的權利類型具備非常強的人格權屬性。對于數據處理者和控制者，即商業組織而言，個人數據權利最重要的內容應當是個人信息控制權，商業組織對個人信息可以合法地流通，并在合理的情況下進行商業活動。例如跨國公司的員工個人信息交互，社交平臺上的個人數據信息公開等。這些個人數據是一種商品，具有強烈的財產權屬性。對于企業來說，他們更希望能對個人信息有全面和絕對的掌控，并且可以自由的流通。對于個人而言，他們更希望自己能控制和決定自己的個人數據的去向。這種雙重屬性又是如同陰陽兩極一般對立且需要調和。這就為個人數據的保護和流通立法提出了難題。

（二）立法價值取向的三重抉擇。對于一個國家的立法者而言，對個人數據跨境流通制度的立法，無非有三種立法價值取向。第一，是個人數據跨境流通制度的立法能夠形成對個人數據的良好保護。第二，是個人數據跨境流通制度的立法能夠促進個人數據的自由流通。第三，是個人數據跨境流通制度的立法能夠確保國家對個人數據的保護擁有充分的自主權。現實情況是，這三種價值取向都同樣重要，但卻無法同時實現。如果希望在立法上對個人數據安全有良好的保護，同時又確保國家對數據保護立法有自主權。則必然需要限制境內數據向境外的轉移，并且盡可能做到數據的本地化處理。如果希望數據的自由流通，又要保證國家立法自主權，則可能會犧牲個人數據在流通環節中的安全。而如果要同時兼顧數據安全和數據流通自由，則不得不面對跨境流通中數據保護立法差異的處境。此時唯一的辦法就是將數據保護和流通交付于一個超國家的統一數據管理機構進行協調。但這意味著國家失去了一部分數據立法的自主權。這種出讓立法自主權的嘗試往往收效甚微，例如聯合國所出臺的《電子計算機人事資料檔案管理準則》，其約束力僅僅局限于各國的立法參考和借鑒層面。實施和執行實效乏善可陳。因此，在應當如何抉擇個人數據跨境流通制度立法所產生的三重價值取向，或者說，應當如何平衡這三重價值在立法中的體現。是各國立法者一直以來都關注的難題。

（三）制度監管和執行困難。監管制度一直以來都是一項法律制度的重要組成部分。一部法律文件必然會對其所規制的內容和對象規定相應的權利和義務。而監管制度則是保證法律義務付諸實施的重要基石。然而，個人數據跨境流通的監管本身存在著許多和困難。首先，技術上不足導致監管困難。目前，大數據，云計算等新型數據流通和儲存利用形式出現，數據流通環節負責，數據呈現多地存儲，海量處理，潛在追蹤等多種形態。極難得到有效監管。其次，監管機構分散，無法有效對跨境數據流通案件進行緊密有效的合作監管。最后，事前監管難度高，無法做到防范于未然。對個人數據流通的侵害行為較為隱蔽，個人很難追蹤和發現自己的數據何時，何地，被何人所侵害。監管部門不可能時刻追蹤用戶和企業的數據具體流向和應用，否則會導致執法和監管成本過高。

四、結語

個人數據跨境流通作為跨境電子商務活動中重要的一環，其制度建設成為當今大信息時代的熱門話題，對一國的數據信息發展和跨境電商貿易促進都產生了深遠的影響。歐美各國也早已投身入爭奪個人數據跨境流通制度立法和規則制定的話語權行列之中。我國正值跨境電子商務發展最為迅猛的時期，應當抓住契機，借鑒有關國家先進經驗，結合自身實際情況，推出統一的個人數據跨境流通專門立法，以期抓住區域乃至世界個人數據跨境流通的規則制定主導權。為經濟的進一步發展和“一路一帶”政策提供更好的上層建筑和制度助力。

【參考文獻】

[1]孔源. 個人數據跨境流動法律規制的問題研究[D].華東政法大學,2019.

[2]王融.數據跨境流動政策認知與建議——從美歐政策比較及反思視角[J].信息安全與通信保密,2018(03):41-53.

[3]黃寧,李楊.“三難選擇”下跨境數據流動規制的演進與成因[J].清華大學學報(哲學社會科學版),2017,32(05):172-182+199.

[4]弓永欽. 跨境電子商務中的個人信息保護問題研究[D].對外經濟貿易大學,2016.

[5]馬民虎,趙嬋.歐盟信息安全法律框架之解讀[J].河北法學,2008(11):152-156.

[6]耿晨. 個人數據跨境流動的國際監管與合作制度研究[D].華東政法大學,2014.

作者簡介：丁浩霖（1994），男，漢族，廣東省汕頭市人，法學碩士，單位：暨南大學法學院，研究方向：國際經濟法。