CPTPP數據本地化規制的“安全例外”規定適用研究

摘 要：中國申請加入的《全面與進步跨太平洋伙伴關系協定》（CPTPP）主張對數據本地化進行限制以保證跨境數據的自由流通，而中國目前施行數據本地化政策以保護數據安全，這意味著中國加入CPTPP面臨著一系列挑戰。CPTPP安全例外條款能夠為網絡安全措施提供依據，但締約國對“基本安全利益”的高度自裁權也使得條款的援引可能產生負面影響。基于此，中國應審慎適用安全例外條款，不斷推動國內法與CPTPP對接，以協調好數字貿易自由化與國家安全之間的關系。

關鍵詞：CPTPP；數據本地化；安全例外；跨境數據流動；數字貿易

本文索引：何瑤.<變量 2>[J].中國商論，2024（04）：-128.

中圖分類號：F742 文獻標識碼：A 文章編號：2096-0298（2024）02（b）--04

近年來，各國注意到跨境數據流動帶來的重大經濟利益，隨之數字貿易規則成為各國爭取話語權和提升國際地位的關鍵領域。CPTPP，其前身是《跨太平洋伙伴關系協定》（TPP），TPP首次將電子商務納入談判議題，要求成員國高標準地實施協約內容，開放互聯網自由。美國退出TPP后，日本繼續推動條約談判，最終11個締約方簽署了《全面與進步跨太平洋伙伴關系協定》（CPTPP）。CPTPP第14章明確規定了禁止數據本地化以及推動跨境數據自由流動的規則，其高標準數據跨境流動規則的形成是美國等發達經濟體在談判中強勢推崇數據跨境自由流動政策的必然結果。然而，由于網絡數據事關一個國家非傳統的安全，各國在追求數字貿易自由發展的同時，會在一定情況下采取數據本地化措施。數據本地化措施是指一國要求產生或者收集于該國的數據存儲于境內，并對數據跨境流動進行限制或禁止[1]。以德國為例，其通過建立國內安全路徑來避免國內數據被國外監控。我國基于國情考量，也以立法方式規定了個人信息及重要信息需要境內儲存的原則。在國際經貿規則中，我國申請加入的CPTPP規定了安全例外條款作為兜底條款，承認締約國在基本安全利益受到威脅時可以采取一定的數據本地化措施，當前對此條款有必要進行進一步研究分析。

1 CPTPP數據本地化規制的安全例外條款內容分析

1.1 安全例外規定的保護范圍包括網絡與數據安全

在GATT背景下，專家組在WTO俄羅斯過境運輸措施案中指出，“基本安全利益”指的是與國家基本職能相關的利益，即“保護其領土和人口免受外部威脅，維護內部法律和公共利益”，雖然成員不能隨意將問題上升為“基本安全利益”，但如果情況涉及國家基本安全，就不必拘泥于傳統對基本安全利益的解釋。數字時代，互聯網是國家領土在網絡空間的延伸，數據泄露所造成的經濟損失和隱私權侵犯有可能上升為對整個國家的威脅，因此“基本安全”的范圍應包含網絡與數據安全，只有這樣才能滿足安全貿易的需要。

根據CPTPP第29.2條安全例外（Security Exceptions），本協定中任何條款不得解釋為：要求一締約方提供或允許獲得其確定如披露則違背其基本安全利益的任何信息；或阻止一締約方采取其認為對履行維護或恢復國際和平或安全義務或保護其自身基本安全利益所必需的措施。該條款對“基本安全利益”（essential security interests）沒有明確進行明確內容限定，從文義解釋上來看，基本（essential）是指“必要的、不可或缺的”，也就是說，基本安全利益有別于一般的國家安全利益，指的是對締約國安全產生重要影響的利益，比如防止對公民安全的侵害以及對國內秩序的破壞等，而不包括單純的經濟利益和商業利益等。隨著國際數字貿易活動的開展，數據安全對國家安全產生重大影響，國家基本安全問題的范圍不再局限于傳統的對領土的保護與戰爭，而擴大到網絡、數據等非傳統安全領域[2]。最新出臺的自由貿易協定都提出保護數據安全，CPTPP作為21世紀代表性的新型自由貿易協定，其規定的“基本安全利益”涵蓋國家核心數據所涉及的網絡與數據安全利益[3]。

1.2 “基本安全利益”的自裁權不排除第三方客觀審查

關于“基本安全利益”，CPTPP第29.2條的安全例外條款運用“其確定”與“其認為”的措辭，給予締約國一定程度的自裁權。CPTPP中締約方的自裁權較傳統國家安全例外規定有所擴張，與GATT（1994）21條相比，CPTPP不再采用《聯合國憲章》標準，而是采用了必要性標準。CPTPP第14.11條和14.13條分別規定通過電子方式跨境傳輸信息的和計算機設施位置的特別例外規定，但以上特別例外規定沒有類似“締約方認為”的措辭，沒有體現出締約國的自裁權。如果締約方要援引條款以保護國家安全利益，就只能援引第29章中的安全例外條款。

然而，“基本安全利益”的自裁權不排除第三方客觀審查。對此可以比較CPTPP與RCEP，RCEP意在保證各締約國的監管自主權，并實現規則本身強制性與靈活性之間的平衡，CPTPP旨在推動數字貿易的高度自由化發展。RCEP指出締約方可以保護“包括通訊、電力和水利基礎設施在內的關鍵的公共基礎設施”為由提出安全例外，并且明確規定了締約方不能對此措施提出異議，不得將電子商務活動中產生爭端交由第三方裁判解決，這樣的規定給予了締約國幾乎絕對的自裁權。雖然CPTPP尊重各締約國擁有充分的自裁權，推動了各締約方簽訂協定，但是并未像RCEP一樣將電子商務排除在爭端解決之下，締約方可能會對限制措施提出異議。因此，CPTPP締約國在維護基本安全利益所采取的限制數據跨境流動措施上將面臨第三方爭端解決機制的審查，只是審查效果如何還有待觀察。

1.3 限制措施的必要性由締約國自行判斷

CPTPP第29.2條（b）項中對限制措施的規定使用“必需”（necessary）一詞，有學者提出該條賦予締約方更大程度的確定維護自身基本安全利益的自我裁判權，而且對保護基本安全利益所必需的措施沒有做任何限制性的規定[4]。締約國對締約國因安全例外而采取的數據本地化措施不應包括在經貿條約的爭端解決條款的范圍內，也就是不受第三方客觀審判。CPTPP中涉及對數據本地化措施限制的規定主要是第14.11條和14.13條，這兩條本身的特別例外都規定為實現公共政策目標實現的限制措施，要滿足“構成任意或不合理歧視或對貿易構成變相限制”以及“不對計算設施的使用或位置施加超出實現目標所需限度”的限制要求。CPTPP安全例外條款單獨規定在29章，不同于電子商務章的特別例外，并沒有對限制措施規定非歧視和限度要求，說明CPTPP安全例外條款在限制措施上排除了審查程序，該符合維護“基本安全利益”要求的本地化措施是否“必需”，是否適度僅由采取措施的締約國自行裁判。由此可見，未來中國如果要簽訂CPTPP，國家安全例外的條款設計上對限制措施的形式、內容等沒有具體限制要求，這似乎符合我國對國家安全的風險保障需求。隨著國家安全例外援引的擴大化的趨勢，爭端雙方關鍵的沖突在于相關國際裁判機構的管轄權。

2 CPTPP數據本地化規制的安全例外規定的兩面性審視

2.1 安全例外條款為締約國數據流動提供國家安全抗辯

CPTPP安全例外條款賦予締約國高度的自裁權，為締約國接受高度自由的數據條款提供了安全保障。當今數字貿易規則分歧主要存在于美國與歐盟，美國主張自由化的數字貿易規則以鞏固其國際貿易地位，歐盟傾向有條件的數字貿易自由化規則，這種分歧背后體現的是立法理念與互聯網技術的差異。現今國際上沒有統一的數據流動監管規則體系，各國只能先通過簽訂自由貿易協定來規范和指導國家間數據的儲存和流動。CPTPP安全例外條款涉及的“基本安全利益”包含影響國家安全的網絡與數據安全利益，且締約國有充分自裁權決定采取措施是否符合安全例外，只要國家認為其基本安全受到威脅即可采取必要措施。長期以來，美國試圖在其經貿條約里納入一條保護其“基本安全利益”的條款，實際上美國的條約伙伴也在積極利用此條款維護自己的安全利益。隨著時代發展，CPTPP安全利益條款的進步使其所保護的范疇擴大至更多新型的安全領域，CPTPP規則將裁判權力授予了締約國，能包含更廣泛包容的“基本安全利益”，為締約國援引條款進行抗辯提供了機會。我國作為新興發展中國家，目前的經濟實力和信息技術與發達國家存在一定差異，在數字貿易規則的引導能力和影響范圍上還不及歐美國家，需要安全例外保障在特定情況下順利采取數據本地化措施。當前，我國積極申請加入CPTPP，該條款將為我國今后采取數據限制措施以保護國家安全提供依據。

2.2 安全例外條款的高度自裁性規定存在負面影響

2.2.1 模糊性規定增加條款的濫用風險

CPTPP的安全例外條款沿襲GATT第21條，但刪除了涉及各國認為可能有違本國基本安全利益的信息披露、裂變材料、武器或軍用設備的貿易、戰時或國際關系緊急情況下的措施活動規定和與《聯合國憲章》相關的橋段，僅僅規定涉及“基本安全利益”這一模糊性條件，這一改動加強了締約方的自由裁量權，但也增加了其被濫用的風險，因為缺乏與《聯合國憲章》相聯系的“橋梁”意味著各方不再受其約束[5]。在GATT背景下，成員在例外條款的自裁權就受到關注，如果沒有得到有效的限制，以安全例外為由采取的措施就可能構成對成員國之間任意或不合理的歧視。在數字貿易時代，數據本地化措施是一把雙刃劍，其固然是保護一國數據安全乃至主權安全的有力監管措施，但也可能導致限制數字貿易的發展的副作用，極易引發國際貿易沖突[6]。

近些年，由于我國在貿易與投資上已經具備一定優勢，我國的數字信息產品和企業被西方國家視為重要的安全威脅，一些國家基于維護國家安全的理由限制跨境數據流動。例如，西方國家以國家安全為理由頻繁地對華為采取貿易限制措施，聲稱華為通過惡意硬件或軟件的植入已經和中國政府分享了其所涉外國電信系統的廣泛信息。這些國家采取的單邊限制措施與其基本安全利益之間很難建立合理聯系，其本質是想利用貿易手段達到國家的政治和軍事目的。CPTPP由發達國家主導，一方面，安全例外條款的規則本身存在不足，使得締約國對“基本安全利益”可作較為寬泛的解釋和適用，導致條款濫用的可能。另一方面，權威第三方爭端解決機制的缺失會縱容條款的濫用，使國際貿易矛盾進一步激化。

2.2.2 不同國家在實現安全抗辯上存在差異

每個國家的歷史背景、社會文化、經濟發展水平等方面存在不同，因此在援用例外條款進行國家安全抗辯時，由于不同國家對數據監管的理念存在差異，對數據保護的側重不同，就會造成對援引條款理解的差異。發達國家為占據數據跨境流動規則的主導權，維護自身的數字貿易優勢地位，必然將在未來的數據規則談判中堅持對數據本地化的規制，此類條款在一定程度上針對的是側重數據保護的新興發展中國家，特別是中國，這將對廣大發展中國家數據安全乃至國家主權構成嚴峻的挑戰。

CPTPP安全例外條款的高度自裁性使締約國在引用時面對較小的阻礙，但國家是否能真的實現國家抗辯存在差異。目前，國際社會有安全例外條款的判例很少，并未形成對“基本安全利益”權威統一的標準，隨著數字經濟的發展，基本安全利益的范圍也發生了改變，這使得例外條款的引用更加不明確。發達國家基于國際軍事與經濟地位的優勢，往往更容易實現國家抗辯，而發展中國家基于保護數據安全的需要引用安全例外，卻可能面臨著阻礙跨境數據流動和限制國際數字貿易的質疑，能夠成功援引該條款達到抗辯成果的概率也比較小，導致在援引安全例外條款時會很謹慎。因此，雖然CPTPP安全例外條款為締約國的數據本地化措施提供了條約依據，但各國實現國家抗辯上存在的差異可能導致國家之間的緊張關系，使國際秩序更加支離破碎。

3 中國數據本地化政策下對CPTPP安全例外規定的審慎適用

3.1 善意解釋和援引CPTPP國家安全例外條款

為了給數據本地化措施尋找合法性依據，“基本安全利益”例外規定是更加方便的選擇。作為締約方，僅需證明其限制措施是為了維護國家基本安全利益，不需證明限制措施的非歧視性和必要性。但是，我國對基本安全例外的需求有限，中國需要借助最新的貿易協定使他國數據向國內流動，也需要限制他國濫用基本安全例外。從國家利益角度來看，不能動輒援引安全例外條款，應對該條款謹慎解釋和援引，盡量限縮基本安全例外的適用范圍[7]。

CPTPP安全例外規則承襲WTO傳統規則，因此在適用時也要在WTO框架下進行考量。在發生爭端時締約國要遵循WTO善意原則，對例外條款的援引應保持克制的立場，不宜出于經濟和商業目的而不適當地泛化對網絡和數據安全環境下“基本安全利益”的解釋，不得為了逃避條約義務適用安全例外。否則，安全例外條款的存在將有名無實，在面臨真正威脅我國基本安全利益的情況時發揮不了其應有作用。我國應推動數據跨境流動措施中的“基本安全利益”向更為精準的方向解釋與適用，只有這樣才能減少安全例外條款的濫用，避免對數字貿易自由化發展產生不必要的限制。對條約的審慎解釋和運用有利于推動中國順應世界貿易的自由化趨勢，也能使中國更好地保護自身利益[8]。

3.2 分類采取適當的維護基本安全利益的數據流動限制措施

為保護基本安全利益，在援引CPTPP安全例外時也要注意采取限制措施的“度”，即采取限制措施與實現保護基本安全利益的目標的比例要適當，避免對其他國家乃至國際貿易自由化的整體利益造成重大影響。就實施數據本地化措施而言，國家應重視權利與義務的平衡，重視推動貿易自由化發展的宗旨與義務，使措施不超過必需的限度。事實上，數據本地化不一定限制數據流動，限制數據流動的措施也未必是數據本地化措施。合理的數據本地化措施能有效保護國家網絡與數據空間的安全，且不會對數字貿易造成嚴重的阻礙。

CPTPP意識到數據本地化措施可能產生的限制市場準入效果，在準入前的義務方面要求締約方不得采取數據本地化措施。我國目前立法上對數據本地化措施的分類比較單一，且往往采取嚴格的標準限制數據出境，嚴格的數據本地化措施會導致國內法無法融入國際貿易體系。數據本地化措施實際上不都是嚴格限制流動的，我國可以不斷增加不同的數據本地化措施，對分類的不同數據對應不同程度的數據本地化措施。在面對需要保護“基本安全利益”的情況下，可以根據具體情況采取嚴格的限制數據本地化的措施、一定程度允許數據流動的數據本地化的措施、不限制數據流動的本地化措施等。我國應主動承擔推動全球數字貿易自由發展的責任，這將有利于我國融入國際數字經濟體系，推動數據跨境流動規則的長遠發展。

3.3 明確CPTPP安全例外條款與其他例外規則的適用順序

CPTPP安全例外條款的適用條件較一般例外、電子商務章下特別例外的要求而言給予締約國的自裁性更高，然而CPTPP數字貿易規則并未明確三者之間的適用順序，規則上的缺失可能會造成締約國適用例外條款的爭議。在締約國意圖采取數據本地化措施時，由于安全例外條款對締約國來說似乎更加容易引用，很可能導致國家繞開特別例外而直接援引安全例外，安全例外如果被習慣性援引，很可能導致后來其他國家援引時完全不受限制，這無疑是不符合條文設置初衷的。

在未來加入CPTPP的談判過程中，中國可以與締約國在談判中對CPTPP例外規則的類型、適用順序及中國實踐例外規則的適用條件進行更明確的規范和探討，從而達成較為統一和科學的標準。可以約定或設置指引性條款，建議締約方先以電子商務章的特別例外為準，特定例外適用失敗，則一般例外的適用也非常困難[9]。如果無法通過援引特別例外保護本國基本安全利益，存在援引安全例外條款的必要性，再考慮援引第29章中的安全例外條款，這樣能盡可能地減少安全例外被濫用的可能，保障貿易協定真正發揮推動數字貿易發展的作用。

4 結語

網絡與數據安全已成為影響國際經貿規則中“國家安全”條款未來發展的重要因素，在貿易協定中設置安全例外規定，允許特殊情況下采取數據本地化措施保護國家基本安全利益是必不可少的。CPTPP作為“21世紀新規則”之一，其跨境數據流動理念與條文指引著未來數字貿易規則的發展趨勢。在中國側重數據保護的現階段，有必要對CPTPP安全例外結合現實進一步研究，明確其具體含義及適用中相關問題，不斷完善國內跨境數據流動規則，并運用國際法和國際爭端解決機制維護自身合法權益。總之，中國在參與全球數據治理的過程中，應堅守維護國家安全的紅線，逐步推動數據跨境自由流動，合理平衡經濟發展與國家安全利益之間的關系，推動國際數據規則未來更好地發展。

參考文獻

陳詠梅，張姣.跨境數據流動國際規制新發展：困境與前路[J].上海對外經貿大學學報，2017，24（6）：37-52.

黃世席.CPTPP中的數據本地化規制與安全例外抗辯[J].國際貿易，2022，491（11）：81-87+95.

徐程錦.中國跨境數據流動規制體系的CPTPP合規性研究[J].國際經貿探索，2023，39（2）：69-87.

黃世席.美國經貿條約中的國家安全例外條款：文本發展、評析與應對[J].當代法學，2023，37（4）：29-44.

譚觀福.數字貿易規制的免責例外[J].河北法學，2021，39（6）： 102-120.

張明.數據本地化措施援引安全例外的解釋論[J].北方法學，2022，16（5）：146-160.

趙海樂.論我國數據本地化措施與FTA締約的協調[J].國際經濟法學刊，2022（2）：29-40.

張明.面向CPTPP的數據跨境流動：規則比較與中國因應[J].情報雜志，2022，41（11）：144-150.

馬光.FTA數據跨境流動規制的三種例外選擇適用[J].政法論壇，2021，39（5）：14-24.