跨境數據流動中個人信息權與中國數據話語權建構

吳帝標

（浙江大學外國語言文化與國際交流學院 浙江杭州 310028）

一、兩大體系對立與統一 ——GDPR與CBPR

（一）對立中的兩大體系：價值取向與問責方式。對于數據流動，美歐體系存在著自由流動和保護隱私的規制范式。歐盟人權公約規定了“隱私及家庭生活受到尊重的權利”，這也構成歐盟在跨境數據流動規制上普遍嚴格的價值觀。而GDPR中的個人信息保護，更傾向于狹隘保護隱私權。與歐盟將數據權作為基本人權，并通過硬法保護不同，CBPR認為過度立法會限制貿易發展，因而CBPR奉行以市場為主導，以行業自律為中心的個人數據保護政策。

兩大體系對跨境數據流動采用不同的規制方法，GDPR是以地理區域為基準的充分性保護原則，進行事前防范；CBPR則是以組織機構為基準，對違規行為事后問責。歐盟的規制途徑對于歐盟內部和外部的數據流動采用了統一標準，只要同歐盟公民的個人數據發生關聯，GDPR均有權利加以管制；GDPR限制數據傳輸到地理層面上的歐盟外部，要求提供充分性的數據保護。非歐盟國家可以選擇：1.制定與GDPR同等的限制；2.接受約束性公司規則（BCRs）；3.在特定的商業交易中使用標準合同條款（SCC）[2]。這樣的數據隱私政策會對全球數字和服務貿易帶來阻力，增加合規成本以及公司運營成本，進而抑制企業的創新能力。CBPR在促進數據流動的目的下，采用行業自律的辦法。要求企業執行四步走確保數據安全：企業內部評估→代理機構評估→認證符合標準→隱私保護機構問責處罰（違反相關條款的企業）[3]；在實踐中，CBPR認證實際上是一個企業白名單性質的做法。

（二）統一中的兩大體系：妥協與融合。實際的數據流動中，兩種規制模式已經呈現出相互融合、相互妥協的趨勢。2017年，歐盟與APEC在越南探討了體系合作的可能。這種融合見于歐盟GDPR第五章45條“第三國提供充分保護”基礎上將標準合同等保護措施作為另一選擇，可以一窺CDPR對問責制的引入傾向。此外，加拿大等CBPR成員國也在行業自律的基礎上強化了國際監管。美國也與歐盟先后簽訂了“安全港協議”與“隱私盾協議”。

歐盟事前防范的規制方法設置統一標準，有利于建立穩定的個人數據保護。但由于該路徑下的認定的高標準，對數據流動和電子貿易帶來阻礙。GDPR事后問責的方法，削弱了數據流動的監管，假定了企業會遵守數據保護條例，過于依賴于行業自律。如同GDPR第50條所敘述，不同保護體系應該建立合作機制，才能實現效率與安全性的有機結合。

二、個人信息權之構建

（一）個人信息權與隱私權之別。個人隱私的必要性已經被各國及區域立法反復佐證。例如，1978年的《美國金融隱私法》認定消費者有個人信息權，且金融機構有義務保護并不得隨意向聯邦政府提供信息。2016年GDPR第一條開宗明義，將信息納入個人基本權利。許多國家和組織圍繞信息保護已經建立了相應的保護規則——在保護信息權利的基礎上，對個人信息進行處理和利用。

（二）個人信息權范疇——OECD下的解讀。OECD原則的價值在于為一般規則提供指導。在具體立法過程中，可以規范立法目的，使法規更加靈活。在大數據時代的個人信息保護立法建設過程中，OECD原則的價值更加突出。對于仍處于起步階段的大數據應用程序，詳盡立法可能會在抑制行業發展。兼顧信息保護和大數據發展的背景下，基本原則可以平衡這一矛盾。根據基本原則，在構建中國主導的區域數據規則時候應優先考慮：限制收集原則、限制使用原則、數據保護原則等。結合OECD基本原則，個人信息主體權利的內容中應強調以下四項權利：

1.知情同意權；知情同意權是應明確定義的基本權利之一。信息主體有權了解其個人信息的現狀，此權利是確保行使其他權利的前提。隨著個人數據的商用擴大，知情權的范圍也越來越廣。在收集信息的過程中，信息主體有權充分了解收集到的個人信息的主要內容、類型和用途。信息業者應用簡單易懂的描述，及時并準確告知主體其信息處理方式和目的，信息主體未予拒絕不應被視為同意。另外，應告知該信息的適用范圍，知情權不僅適用于從個人直接獲取的數據，而且還保護從任何來源獲得的個人信息。

2.數據參與權；數據參與權應包括查詢權、拒絕權和被遺忘權。為了合法存儲和使用信息，當消費者和企業的法律關系被終止，或者主體的個人信息由其他非法信息獲取者擁有時，信息具有被遺忘的權利。為了在個人信息和合理使用之間取得平衡，應甄別信息主體行使遺忘權的具體情況。依據OECD原則，作者定義刪除個人信息的原因包括：第一，信息管理者管理和使用個人信息的原目的消失；第二，存儲和管理已到期。第三，個人信息的管理或使用超出授權范圍。遺忘權涵蓋自然人的所有信息。

3.數據控制權；數據控制權意味著主體擁有個人信息所有權利。這項權利旨在平衡信息自由流通與個人信息的保護。根據這項權利，主體有權阻止他人獲得個人信息并控制傳播。數據控制意味著除非法律允許或獲得個人的明確同意，否則任何代理機構、企業均不得以任何方式獲取、使用、持有或共享這些個人信息。

4.數據收益權；信息主體還應該具有獲得收益的權利。當消費者向企業提交信息以交換商品或服務時，是基于收益目的授權。個體付出部分信息權利獲取信息通信服務，使用者利用信息升級為具有附加值的數據。企業貢獻信息增值，有權分享信息利益，最終提高了信息效率。鑒于此，信息主體與信息的使用者建立了默契合作。一方面，消費者是信息的主體，享受信息的最終控制權。主體應具有以上提到的權利，即知情同意權，控制權和參與權，使用者可以通過開發讓信息增值，這也是平衡效率和安全的關鍵所在。

三、一帶一路沿線及周邊國家數據保護立法

縱觀一帶一路沿線各國，都以人權法理為個人信息保護確立基礎。作為一帶一路發起國，中國在推動全球數字貿易規則制定方面，需爭取國際話語權。本文選取部分一帶一路沿線數字經濟發達國家，對其立法特征進行解讀：

阿聯酋。阿聯于2019年出臺數據保護法，參考GDPR等法律實踐。阿聯酋通信管理局（TRA）啟動了2020-2025戰略，以應對網絡安全事件。2019年1月，阿聯酋總統簽發總統令，規范健康領域技術和交流信息使用行為，該法令對個人健康數據的公司提出了數據駐留要求，即數據本地化。2019年3月，TRA實施了一項規范IOT運行的政策將GDPR概念引入，如隱私、數據最小化和目的限制等。

印度。2018年印度發布了《個人數據保護法案》（PDPB）。該法案在歐盟GDPR頒布后做出了修改，規定了印度個人數據采集、存儲、處理和傳輸的方式。該法案主要內容與歐盟GDPR基本一致，但對數據客體的界定、數據本地化問題、數據安全影響評估三項內容也作出了富有印度特色的規定。該法案引進并劃分了“數據受托人”、“數據所有者”和“數據處理者”的概念，規定了數據主體的權利以及數據處理者應承擔的義務。另外，該法案還規定了個人數據跨境傳輸的合法途徑。

泰國。泰國對各國的數字經濟思路秉承學習的態度。2018年9月，泰國政府向國會提交了一部包含GDPR特色的個人數據保護法（PDPA）草案，并將于政府公報一年后開始施行，這是泰國第一部規范數據采集、適用的法律，強調數據控制者和處理者的義務，更加注重保護數據主體的合法權利。

一帶一路沿線各國趨勢是擴大個人數據保護范圍和強度，在法律上明確數據主體的權利以及數據使用者的義務。涉及到數據與國家安全的博弈時，各國顯得十分謹慎。部分國家還建立數據保護機構，如泰國個人數據保護委員會、新加坡網絡安全委員會。沿線國家從嚴立法的觀點和我國立法觀點一致，為下一階段我國開展區域數據流動立法合作打下了基礎。

四、各國立法實踐對我國個人數據跨境流動規則的啟示

（一）推進行業自律制度建設。行業自律制度建設，即加強數據行業的參與立法。數據行業作為新興產業，即便國家進行模糊立法，依然不斷出現新的法律風險。而此時，推動行業形成自律就顯得尤為重要。

1.風險評估能力。在跨境數據流動過程中，企業是否可以審慎保管其掌控的數據；是否采取了適合的數據保護方案需要要反復推敲。鑒于行業內部存在爭議或能力參差，我國應引入國際上已被廣泛接受的信息安全管理標準，借鑒國際標準化組織和國際電工委員會的政策，如隱私框架標準等。應出臺相應的使用主體保護規則，建立健全數據保護體系，完善企業數據安全能力。制度上，為企業提供一定的監督和指導，提升企業的數據保護水平。這在消除中國企業信息保護缺失的同時，幫助企業同國際標準接軌。

2.數據評定標準。引導大數據行業依照國家法律法規建立行業規范。行業數據評定標準可以納入不同維度的評定專家意見，如技術向的大數據研究院；學術向的管理科學研究院學術委員會；商業向的貴陽大數據交易中心。不同維度的專家的關注不同，但可以共同構建跨境數據流動監管。我國立法機構可借鑒優秀評定標準，即行業標準升華為國家立法乃至區域立法。在數據流通宏觀法律項下，行業可以通過健全數據流動法律法規，為企業間的數據跨境流動提供安全保障。

（二）中國融入國際制度建設體系。

1.將中國的跨境數據保護方案納入FTA；美國已經在FTA談判中引入跨境數據監管。2012年美韓FTA中，首次在電子商務章節中引入跨境數據流動規則，即第15.8條規定了成員方應避免對跨境電子信息流動施加不必要阻礙。[4]即便未對數據類型做出清晰界定，但是創造性的路徑提升了美國的跨境數據話語權，標志著數據流動規則第一次被納入強制性協議。中國跨境流動規則適宜受眾應為一帶一路沿線各國。過去幾年中國與沿線各國有了深刻的經貿往來，中國提出的數據流動主張更易被接受，有助于鞏固一帶一路成果并提升中國國際話語權。

2.參與多層次的外交、商貿談判；故為兵之事，在于順詳敵之意。隨著跨境數據流動逐漸熱門起來，并成為新的國際貿易的重要環節。在完善國內立法的同時，還應積極開展國際合作?？梢越梃b美國“隱私盾”路徑，在數據使用的同時兼顧隱私保護。我國可以拓展相應的國際體系，為企業創造營商環境。同時，我國可通過亞投行、一帶一路區域立法等渠道，探索區域數據流動規則談判，并提升數據話語權。在尚未形成統一跨境數據流動規則的情況下，中國可以通過RCEP等談判，向一帶一路沿線及國家輸出跨境數據流動標準，降低合規差異給跨境數據流動帶來的風險，讓中國標準成為世界標準，實現數據產業發展和中國國家數據話語權建構。

（三）區分數據類型。我國政府可參考歐盟的數據保護委員會，設立統一的執法機構，同樣措施已被一帶一路部分國家采用。依托《網絡安全法》，在統一的執法機構下，明確個人數據的邊界范圍，區分個人敏感信息和一般信息。對前者予以保護，限制收集、加工和流動。對后者強化利用，最大程度地發揮其商業和公共管理的價值。同政府數據相比，個人數據的傳輸數量更大，因此立法中的個人一般數據交易范圍應采用“負面清單”模式，制定禁止交易的數據目錄，對不同數據采取梯度管理方法。

單文華（1998）[5]認為負面清單模式會妨礙東道國對新出現的投資部門行使必要監管權，這對于金磚國家等新興經濟體尤其不利。如按照負面清單“法不禁止即可為”，外資可對關系到未來經濟增長根本動力、或涉及重要數據流動、或涉及敏感社會政策調整的若干重要部門“長驅直入”，從長遠看可能會危及中國經濟主權。數據作為新型生產資料，使用主體復雜性、需求差異應被綜合考慮，應在安全和經濟發展之間謀求平衡。維護我國國家利益的同時也能實現數據跨境流動的理想狀態，實現數據行業的長久繁榮。

結語

國家的數據保護系統通常是國內數據保護和跨境數據保護共同組成。為了保護國內數據，立法機關可以設計高標準的個人信息保護制度。但是，在設計跨境系統時，政府不能要求第三國的水平與其國內水平保持一致。從本文的分析中可以看出，歐盟的解決方案和美國的解決方案都不能完全適用于中國國情。在構建本國個人數據跨境流動規則時，可以對GDPR和CBPR的優勢加以借鑒：以問責制為核心，發展一般個人信息，明確數據主體權利并對數據使用者義務加以監管；以事前防范為方法，保護敏感個人信息和對國家影響重大的個人信息，避免出現國家安全疏漏。通過參考OECD的基本原則，并借鑒其他國家的方法，闡明個人信息權利的范圍，應包括：知情同意權、數據控制權、數據參與權和數據收益權。在立法過程中應充分發揮數據產業的力量。在制定數據保護標準方面，必須堅持國情、堅定維護國家數據主權，在數據監管與人權保護，國家利益和國際合作之間取得適當平衡。在跨境數據流動立法上，要積極參與國際合作，不斷借鑒已有成熟實踐如FTA為我國跨境數據保護法做背書。也要致力于區域合作，在一帶一路既有成果的基礎上，繼續探索中國跨境數據流動監管合作，提升中國數據話語權。