數字經濟時代個人信息跨境流動規制問題研究

陳勝 王可心

摘 要：數字時代，數據作為數字經濟深入發展的核心引擎，正在成為重組全球要素資源、改變全球經濟結構的關鍵，跨境數據流動規則更是當前討論的重要議題。我國個人信息跨境流動規制致力于追求個人信息跨境流動的安全保護與合理利用之間的平衡，但當前的司法實踐與立法旨意追求的目標存在偏差。因此，我國應完善國內立法并細化規范要求；健全個人信息跨境流動監管機制；積極參與全球數據治理，加強數據跨境合作，以提高我國在國際數字舞臺的話語權和影響力。

關鍵詞：個人信息；跨境流動；法律規制；數字經濟；網絡安全

本文索引：陳勝，王可心.<變量 2>[J].中國商論，2023（24）：-047.

中圖分類號：F124 文獻標識碼：A 文章編號：2096-0298（2023）12（b）--04

當今世界已進入數字經濟時代，數字經濟的發展離不開數據的跨境流動。同時，數據跨境流動不可避免地觸發各國對個人隱私和國家數據安全的關注。

1 我國個人信息跨境流動規制現狀及存在的問題

1.1 我國個人信息跨境流動規制現狀

2016年通過的《網絡安全法》首次規定了“數據本地化存儲+境外安全評估”的模式，彌補了我國數據跨境流動領域的立法空白。《網絡安全法》第37條規定，個人信息和重要數據確需向境外提供的，安全評估的義務主體是關鍵信息基礎設施運營者，評估主體是國家網信部門會同國務院有關部門，特別指出個人信息和重要數據，但重要數據的界定范圍、判斷標準未提及[1]。

2021年6月通過的《數據安全法》對重要數據跨境規則提出了進一步要求。第31條對重要數據跨境區分關鍵信息基礎設施運營者和其他數據處理者。第21條明確了數據分級分類管理制度，為以后個人信息跨境流動規制的完善奠定了基礎。但關于數據跨境流動的具體規則仍未明確。

2021年8月，我國通過的《個人信息保護法》第38條、第39條、第40條對個人信息跨境流動規定了法定條件。第38條以“選擇式”規定了個人信息出境滿足的四種條件：國家網信部門的安全評估、專門機構個人信息保護認證、符合標準合同及其他方式作為兜底條款，但《個人信息保護法》仍未規定個人信息跨境監管機構。

由此可以看出，順應數字經濟時代的趨勢，我國的數據跨境流動規制也在不斷跟進，確立了數據跨境安全有序流動的原則[2]，但整體上的數據保護仍側重數據本地化存儲和嚴格的出境安全評估。

1.2 我國個人信息跨境流動規制存在的問題

1.2.1 立法偏原則性，可操作性不強

我國的相關法規定大多是原則性條款，且法律位階模糊。《網絡安全法》首次提出數據跨境流動要求，但僅對關鍵信息基礎設施運營者做出數據本地化存儲和出境安全評估的規定，具體操作規范并未做出規定；2017年，國家網信辦發布《評估辦法》，規定個人信息和重要數據出境應符合安全評估，但評估標準、評估流程仍未制定；《數據安全法》側重對重要數據和核心數據的出境保護，但重要數據的內涵、界定范圍等并未明確；《個人信息保護法》對個人信息跨境流動做出專門章節的規定，但具體的安全評估標準、專業機構的信息認證標準、標準合同范本等問題都未涉及；《數據出境安全評估辦法》對數據出境的評估標準做出具體規定，明確了評估條件、評估程序等，但具體規定是否具備可適性仍有待觀察。

1.2.2 個人信息跨境流動監管機制不健全

第一，缺乏專門的個人信息跨境流動監管機構。相關法律中規定國家網信部門和國務院有關部門負責個人信息跨境監管工作，各行業領域內監管部門負責本行業的數據監管。

第二，監管模式過于單一。現有的個人信息跨境流動監管由政府部門全面承擔，缺乏企業的自我監管，單一的政府監管權力天平過度傾向政府監管機構，存在審查透明度低的情形；通過認證評估即可自由傳輸個人信息，又難逃傾向企業的局面，不利于個人信息安全。

1.2.3 個人信息跨境流動國際合作參與度低

個人信息跨境流動國際合作方面，我國缺乏與其他國家或地區建立國際數據跨境流動的互信機制，國際合作參與度低。以美國為代表的一些國家積極參與雙邊、區域簽定貿易自由協定，同時積極推進國際數據規則的制定。雖然我國數字經濟發展迅速，但尚處于“走出去”的初級階段，在數據跨境流動的國際合作中尚未有效利用區域合作參與到國際數據規則的制定中來[3]。

2 個人信息跨境流動域外規制模式借鑒

2.1 歐盟的規制模式

2.1.1 充分性保護原則

GDPR在《95指令》的基礎上明確了充分性保護的認定條件和評估主體。充分性的決定是基于第三國法律和實踐水平是否保證和歐盟具有相同保護標準。當個人數據向第三國傳輸時，第三國的個人數據保護水平只有與歐盟達到實質等同標準時，才可向第三國傳輸[4]。通過“白名單制度”向名單中國家的數據傳輸將被視為歐盟內部的數據傳輸。同時，GDPR規定了至少每四年進行一次認定標準的定期審查[5]，一旦特定國家或組織的個人數據保護水平不能滿足“充分”保護時，就應立即停止數據傳輸。

2.1.2 適當保障措施

由于歐盟的充分性保護標準過高，對于第三國或國際組織未達到“充分保護”標準的，GDPR規定數據控制者或處理者在滿足兩種情況下可以向第三國或國際組織傳輸個人數據。第一種情形是第三國或國際組織可提供“適當保障”來保護個人數據。第二種情形是特定國家具備可強制執行的數據主體權利保障體系和有效的法律補救辦法來實現數據跨境傳輸。適當保障措施包括需要監管機構特別授權和不需要監管機構特別授權的，具體分為約束性公司規則（Binding Corporate Rules，BCR）、標準合同條款（Standard Clauses Contract，SCC）、經批準的行為守則和認證機制、第三國或國際組織做出的適當保障且具有法律約束力和強制執行力的承諾等。

2.1.3 例外條款

第三國或國際組織未達到“充分性保護”標準和適當保障措施的，若得到數據主體的明確同意或基于公共利益的理由，可以不受上述規定的限制，但這些情況須遵守嚴格的條件來實現數據跨境流動。

2.2 美國的規制模式

美國的數據跨境流動規則強調數據自由流動，以問責式的行業自律模式為核心，由數據處理者或控制者對個人數據安全負責。美國引導數據控制者或處理者自覺遵守自律規范，一旦違反自律規范，美國聯邦貿易委員會就會進行監督和問責。除此之外，司法機關、數據監督機構還會對違反自律規范的企業進行問責。美國模式更多體現的是市場和政府的共治理念。

2.3 兩種模式的分析與借鑒

2.3.1 歐盟和美國規制模式對比分析

（1）價值取向：歐盟的數據保護理念基于人權保護的歷史傳統，數據規制也將個人數據視為公民的基本權利和自由，以立法形式進行嚴格保護。數據跨境流動過程中，維護個人數據安全是基本立場，數據主體的控制權不斷得到強化。美國倡導數據的自由流動，以數據自由為導向，認為政府過度干預會不可避免地阻礙商業活動，以行業自律模式促進數據自由流通。

（2）規制路徑：歐盟對數據跨境流動堅持“充分性保護”原則，秉承“內外有別”的數據跨境流動理念[6]。在域內保證個人數據在歐盟境內的自由流動，同時限制個人數據在歐盟境外的傳輸。美國采取事后問責式的標準，在CBPRs中將行業自律模式引入數據跨境流動體系，更多依賴企業自覺性，排除政府過度干預，提高數據運行的效率。

2.3.2 歐盟和美國規制模式經驗借鑒

歐盟和美國的數據跨境流動規則較為成熟，許多國家都參照歐美模式來制定本國國內法[7]，其對完善我國個人信息跨境流動規制也有很好的借鑒意義。

（1）歐盟規制模式對我國的借鑒意義。我國已采用標準合同條款和安全評估機制，同時可參考歐盟的標準合同條款制定我國的標準合同模板。另外，可參照歐盟的充分性保護原則設立白名單制度，對于符合我國數據保護標準的國家或地區，可保證數據跨境自由流動；對于威脅國家數據安全、個人信息權益的國家列入黑名單，禁止我國個人信息向其跨境傳輸。

另外，我國應借鑒歐盟設立專門的數據監管機構。同時，認清歐盟對個人數據保護的嚴格標準在一定程度上阻礙了數據跨境自由流動，忽略了多元價值的利益分配，對數據監管采取一刀切式的管理[8]，需要結合我國國情審慎考慮。

（2）美國規制模式對我國的借鑒意義。《個人信息保護法》強調政府對數據的絕對控制權，我國在實施細則中可參考美國的行業自律模式，這種協同治理方式可以更好地促進企業與政府的交流合作，降低政府部門的時間成本。但該模式存在弊端，可能引起企業無視法律、無度濫用數據等現象。因此，我國可以政府監管為主，輔之以企業自律的模式，讓企業以合適的限度參與到個人信息的跨境保護中。

另外，美國積極利用雙邊、多邊自由貿易協定促進數據跨境自由流動，積極參與國際合作。個人信息跨境流動的國際合作方面，我國可借鑒美國做法，充分利用我國的地域優勢和戰略優勢，發揮“一帶一路”倡議優勢，建立區域和雙邊合作互信機制，促進我國和其他國家的數據合作，提高我國的數據話語權。

3 完善我國個人信息跨境流動規制的實踐路徑

3.1 完善國內立法并細化規范要求

3.1.1 細化數據分級分類分區域管理

首先，根據數據風險等級進行科學劃分，可分為個人核心數據、個人重要數據、敏感個人信息和一般個人信息等。其次，根據數據所屬類別進行細分，可分為個人信息、商業數據、金融數據、醫療健康數據等。最后，綜合數據風險等級和數據所屬類別進行排列組合，判斷個人信息出境的標準和條件，按照不同類別、風險等級采取不同標準。個人核心信息等嚴重危害國家安全、公共利益等個人信息，采取嚴格的保護措施，禁止這類個人信息出境；個人重要信息如醫療健康、銀行賬戶，敏感個人信息如生物識別、宗教信仰等可能嚴重損害國家安全、公共利益、涉及個人隱私等個人信息，采取附條件、限制性出境方式，通過安全評估、標準合同、專業機構認證等途徑符合個人信息出境標準時允許出境；一般個人信息等不具備隱私預期的個人信息，通過登記備案即可出境，允許此類個人信息自由流動。

同時，數據分級分類管理應考量數據流動目的地的法治水平和數據流動規模，分區域對數據分級分類進行差別化管理。當前，我國已在上海、海南、杭州等地建立數據跨境流動試點[9]，自由貿易區/貿易港可借鑒歐盟GDPR建立“白名單”制度，對數據接收方進行風險評估，若數據接收方具備同我國同等個人信息保護水平，那么個人信息處理者或控制者處理個人信息時，無需再次評估，可實現雙方個人信息的跨境自由流動。

3.1.2 優化數據跨境流動安全評估細則

首先，在認定標準上，應基于個人信息分級分類，考慮個人信息的風險程度、影響后果，以特定主體/行業+敏感個人信息的分類標準雙軌并行，進一步強化對個人信息出境的保護。其次，對于出境后的個人信息應根據風險等級對限制出境、登記備案出境等不同等級采取不同的監管模式，對個人信息實行動態風險防控。對于限制出境的個人信息，應加強對數據接收方的實時實地監管，同時要求企業以季度形式出具個人信息出境安全報告，向網信部門備案。為避免個人信息出境再轉移隱私泄露風險，應明確個人信息出境再轉移要求，要求數據接收方保證第三方具備同等個人信息保護水平，一旦發生個人信息遭到侵害的情形，數據接收方與第三方就要承擔連帶責任。

3.1.3 探索標準合同條款模式

標準合同條款或將成為我國未來個人信息跨境傳輸的重要方式，應加快建立標準合同條款模式。我國的標準合同條款可借鑒歐盟的SCC，結合我國當前立法實情進行適當調整。在模塊設置上，可有控制器-控制器、控制器-處理器、處理器-處理器、處理器-控制器多種選擇；合同類型應優先考慮那些顯示較大風險的合同，突出重點行業領域標準合同條款對個人信息加強保護。在內容上，應包含個人信息出境的目的和位置、接收方準據法、數據存儲方式、數據提供者和接收方的權利義務等。同時，為促進雙方數據的有序流動，可提供必選條款和可選條款供數據雙方選擇，為不同類型的數據處理者探索可適用的條款類型。在必要時，將補充的隱私和網絡安全措施納入標準合同條款。

3.2 健全個人信息跨境流動監管機制

3.2.1 建立專門的個人信息跨境監管機構

首先，應設立專門管理個人信息跨境傳輸的個人信息跨境監管委員會，統籌負責個人信息跨境傳輸的各項事宜。其次，明確個人信息跨境監管委員會的法律地位[10]。在未來建構中，應明確個人信息跨境監管委員會的基本職能、主要任務和監督管理的角色定位。具體來說，在位階上，個人信息跨境監管委員會應垂直隸屬于國務院，在地方設立地方個人信息跨境監管委員會，直接對上級監管委員會負責，保證其獨立性和權威性。最后，明確個人信息跨境監管委員會的主要任務。需要強調的是，嚴格區分職責和職權，賦予個人信息跨境監管委員會一定的行政職權，比如個人信息跨境監管委員會可享有調查權、建議權、懲治權等。建立專門的個人信息跨境監管機構，使個人信息跨境保護更具科學性和專業性，提升我國個人信息跨境流動的監管水平。

3.2.2 創設自我審查和第三方審查的聯動機制

在企業內部應建立專門的合規部門，加強對個人信息跨境的監管和追溯。建立個人信息風險評估模型[11]，對個人信息的威脅性、脆弱性進行風險評估，根據不同風險值的個人信息進行梯度監管，依靠風險等級變化設置應急響應機制，并定期進行評估更新和檢測，提高企業自我審查能力。同時，有必要建立企業自律和第三方審查相結合的聯動機制，在企業自我監管的基礎上引入第三方認證機構，對企業進行定期或不定期的審查，并向社會公開審查報告。第三方認證機構的參與既可以緩解政府監管部門人力、物力不足的壓力，又可以較全面地對企業合規進行專業審查，同時可避免企業自我審查帶來的不公正性。

3.3 積極參與全球數據治理，加強數據跨境合作

3.3.1 推動區域和雙邊合作，提高數據話語權

我國應加快建立國際合作的互信機制，充分利用“一帶一路”倡議的中方主導優勢[12]。作為“一帶一路”倡議及其促進機構的創始國，在個人信息跨境流動國際合作方面，與“一帶一路”沿線國家建立數據跨境安全合作協議和互信機制，將數據跨境流動議題列入相關制度安排；建立區域內個人信息跨境流動監管協調機制，打造區域內個人信息跨境流動的整體規則；探索“一帶一路”沿線數據跨境流動的“中式”方案，使我國的地位從單純的國際規范的遵守者提高為國際規范的積極貢獻者。

3.3.2 充分利用區域貿易協定，參與國際規則制定

當前，我國已加入RCEP，在參與國際數據規則體系建設方面邁出了重要一步。RCEP與我國的個人信息跨境流動規制理念相契合，在未來的自由貿易談判中，可以將RCEP相關條款作為參考，推行我國的個人信息跨境流動規制理念。

另外，我國已申請加入CPTPP。CPTPP作為當今區域貿易協定的最高標準，有可能成為中歐美共同接受的區域貿易規則[13]，影響著全球數字貿易格局。通過調整國內立法規則或對CPTPP例外條款做出合理解釋，探索對接CPTPP的可能性[14]。充分利用海南、上海等自由貿易區先行先試機制，在數字規模大的自貿區內，以數據自由流動為原則，以基于公共政策和國家基本安全為例外[15]，實現我國個人信息跨境流動規制調整的有序過渡。

完善我國個人信息跨境流動規制，需堅持國內國際雙軌并行。一方面，完善國內立法并細化規范要求；另一方面，積極參與全球數據治理，推動國家間的數據合作，在國際數據治理體系構建中發揮中國力量。

參考文獻

鐘鳴.數字貿易時代個人信息跨境流動的法律保護路徑[J].學術大視野，2021（6）：108-110.

Emmanuel Pernot-Leplay.Chinas Approach On Data Privacy Law： A Third Way Between The U.S. And The EU？[M].Journal of Law & International Affairs，2020：2-70.

張曉君.數據主權規則建設的模式與借鑒：兼論中國數據主權的規則構建[J].現代法學，2020，42（6）：136-149.

Hielke Hijmans.Data Protection and Surveillance： The Perspective of EU Law[J].European Criminal Law Series，2018：1-17.

孫遠釗.美國與歐盟對數據保護的梳理與參考[J].政法論叢，2021（4）：98-113.

葉開儒.數據跨境流動規制中的“長臂管轄”：對歐盟GDPR的原旨主義考察[J].法學評論，2020（1）：106-115.

譚觀福.數字貿易中跨境數據流動的國際法規制[J].比較法研究，2022（3）：169-185.

高富平.GDPR的制度缺陷及其對我國《個人信息保護法》實施的警示[J].法治研究，2022（3）：17-30.

劉俊敏， 郭楊.我國數據跨境流動規制的相關問題研究：以中國（上海）自由貿易試驗區臨港新片區為例[J].河北法學，2021（6）：76-80.

張濤.個人信息保護中獨立監管機構的組織法構造[J].河北法學，2022，40（7）：91-118.

劉金瑞.邁向數據跨境流動的全球規制：基本關切與中國方案[J].行政法學研究，2022（4）：73-88.

洪延青.推進“一帶一路”數據跨境流動的中國方案：以美歐范式為背景的展[J].中國法律評論，2021（2）：30-42.

沈俊翔.數字經濟時代個人信息跨境保護的機制研究：兼論CPTPP視野下人民法院參與全球數據治理的新型路徑[J].法律適用，2022（6）：174-184.

黃秋紅，李雅穎.對接CPTPP數據跨境流動規則研究[J].南海法學，2022，6（1）：115-124.

馬光.FTA數據跨境流動規制的三種例外選擇適用[J].政法論壇，2021（9）：14-24.