全球治理 | 李宏兵等：跨境数据流动的全球态势、规则比较与中国策略
李宏兵
北京邮电大学经济管理学院教授、经济系主任，研究方向为国际贸易与劳动力市场、数字经济与数字贸易。
柴范
北京邮电大学经济管理学院硕士研究生，研究方向为国际贸易与数字经济。
翟瑞瑞
北京邮电大学网络教育学院讲师，研究方向为数字经济与国际商务。
随着全球网络安全规则竞争加剧和跨境数据流动治理的碎片化、滞后化等困境日益凸现，积极推动和参与全球多边框架下跨境数据流动规则制定是中国建设数字强国的必然要求。近年来，随着数据战略性资源地位及其自由流动对个人隐私、国家数据安全和主权安全等带来的风险加剧，全球各国（地区）纷纷加快制定跨境数据流动相关规则，并着力推进统一的规则体系谈判进程。在此背景下，诸如CPTPP、DEPA、RCEP等区域性多边规则对加快上述规则统一进程发挥了积极作用。考虑到中国参与签署的RCEP协定已经正式生效，也正式提出申请加入CPTPP和DEPA等协定，中国亟需在区域多边框架下的跨境数据流动治理中找到跨境数据流动与国家安全利益的平衡点，权衡好跨境数据流动的利与弊，兼顾国家安全、数据主权和数字经济发展利益，在多边框架下积极作为，进而提升国际地位和全球影响力。
跨境数据流动是一把双刃剑。一方面，全球跨境数据流动规模增长迅速，逐步成为促进经济增长与社会发展的重要驱动力。依托于大数据、人工智能等新一代信息技术的发展以及新冠疫情影响下人们生活消费方式、生产办公模式等向线上转变，全球跨境数据量增长迅速。据国际数据公司预测，2025年全球数据总量将升至175泽字节（ZB），规模接近2016年的11倍。另一方面，跨境数据流动引致的数据滥用、规则不统一等问题也引发了国际社会对数据安全问题的高度关注。非营利组织身份盗窃资源中心（ITRC）发布的报告显示，2022年记录了1802起数据泄露事件，虽然相对于2021年小幅下降，但数据泄露问题仍较为突出。
当下，全球统一的跨境数据流动规则尚未形成，各国出于维护国家数据安全以及促进本国经济发展目的，从不同层面、不同程度上出台了跨境数据流动治理规则，同时也借助区域协定或多边组织积极谋求区域内乃至全球范围内的多边合作，推动跨境数据流动规则制定。从国际层面来看，WTO框架下的服务贸易总协定涉及了部分跨境数据流动的内容，但仅限于基本原则，并没有相关独立的章节给出具体说明，对于跨境数据流动缺乏明确的分类和相应的治理规则。虽然89个WTO成员已就其电子商务联合声明倡议达成共识，但截至目前实际进展仍然较为缓慢，效果不及预期。
从国家层面来看，一些国家在跨境数据流动治理层面出台了一系列的政策或法律法规，但其态度存在差异，主要可以分为三种类型。
一是以美英日为代表，主张跨境数据自由流动。美国主要依据其《云法案》推动数据自由流动，同时对本国数据实行严格保护。英国颁布《国家数据战略》《2018数据保护法》，积极推动本国数字经济发展，缓解新冠疫情对国内经济的冲击。与美英稍显不同，日本在尽可能“开放的自由流动”之外，将高标准的数据安全保护与自由流动机制相结合。
二是以印度和俄罗斯为代表，强调数据主权和国家安全，强制数据本地化存储，对跨境数据流动监管持严格态度，限制跨境数据自由流动，体现出较强的保守型特征。
三是以中国为代表，在坚持国家安全利益至上原则的同时，对跨境数据流动始终保持谨慎态度，支持“有限的流动”。
从区域层面来看，以美国为首的USMCA、东盟首倡的RCEP、美国倡导日本接力的CPTPP以及新西兰、新加坡与智利联合发起的DEPA等巨型区域贸易协定均存在跨境数据流动内容，其规则具有广泛的影响力。一些区域多边组织或联盟也开始探索跨境数据流动规则，比如OECD的《隐私框架》、APEC的《跨境隐私规则体系》、东盟的《东盟数据管理框架》、非盟的《非洲联盟关于网络安全和个人数据保护公约》以及欧盟的《通用数据保护条例》等。跨境数据流动规则因组织而异，为不同协定或组织内部成员的诉求服务，多样化的全球跨境数据流动规则呈现出分散化、联盟化和碎片化特征。
（图源：作者提供）
在中国积极融入全球跨境数据流动治理的进程中，也会面临来自不同区域框架下数据流动规则的挑战。因此，厘清不同协议跨境数据流动的治理特征尤为重要。
具体来说，在数据跨境传输处理规则方面，对“通过电子方式跨境传输规则”进行比较发现，相较于RCEP协定，CPTPP和DEPA突出了个人信息的跨境流动；在例外情形上，相较于CPTPP和DEPA的“合法公共政策目标”，RCEP在跨境信息传输方面赋予了缔约方基于国家安全利益的自由裁量权，包容性、灵活性更强。CPTPP和DEPA虽然强调了“合法公共政策目标”，但并未对这一目标进行具体论述，表明CPTPP成员国尚未就“合法公共政策目标”达成共识，即存在可利用的空间来干预数据自由流动，容易造成成员国对该例外的滥用，致使该项条款对于促进跨境数据流动的有效性有所降低。
在个人隐私和权利保护规则方面，不同于RCEP和CPTPP二者将“电子商务用户”作为个人信息保护的主体，DEPA个人信息保护主体的范围更加广泛，除了“电子商务用户”之外，还涵盖数字经济参与者和数字贸易用户。在个人信息保护措施的阐述中，除基本原则外，RCEP明确列示了其独有的两项个人信息保护鼓励性措施，CPTPP和DEPA则采用“应努力采取非歧视做法”的表述，未提出明确要求，且鼓励建立兼容性机制，反映了RCEP对于个人信息传输方面持更为谨慎的态度。不同于RCEP和CPTPP协定，DEPA在个人信息保护条款上更进一步，列示了健全的保护个人信息法律框架所依据的八项原则，提出了数据保护可信任标志。DEPA将保护个人信息与数字经济发展挂钩，在三者中具有特殊性，且对于个人信息跨境传输规定也更加细致、深化，在跨境数据保护方面更具开拓性和包容性。
在数据主权安全规则层面，计算设施的位置即数据本地化条款体现了对数据流动的限制态度，也反映出国家对于数据主权保护的态度。在计算设施的位置条款中，RCEP、CPTPP和DEPA三者均未强制要求数据本地化，不同之处在于RCEP以其成员国基本安全利益为例外，注重数据流动安全，而CPTPP和DEPA均剔除了安全例外原则，换言之，后两者成员国在该情形下对于数据的管辖权可能相对削弱，反映出CPTPP和DEPA更强调数据流动自由。在数字知识产权保护规则方面，CPTPP与其他二者相比，对跨境数据流动涉及的数字知识产权保护问题作出了明确说明，具体体现在其源代码规则的制定中，对其成员国施加了保护源代码知识产权的强制性义务，相比之下，DEPA未有涉及，RCEP只在电子商务对话条款出现“源代码”字眼，但并无源代码规则，对数字知识产权保护进行了弱化。
此外需要指出，DEPA作为全球首个数字经济与数字贸易领域的专项协定，对包括个人、企业和政府等在内的全面数据开放和自由跨境数据流动更为关切，在数据创新、信息共享和开放政府数据规则上的开创性要高于RCEP和CPTPP，如明确了开放政府数据条款，在呼吁共享企业和个人数据之外，希望缔约国努力合作提供政府信息、开放政府数据，鼓励协定各方基于开放数据集的新产品和服务，共享具有全球价值的数据集。
区域跨境数据流动规则的制定反映的是其区域内部成员国的跨境数据流动治理诉求，实质上是由区域协定主导国家的意志和需求所决定的。那么，影响这些规则形成的背后原因何在？本文运用因素分析法构建了探讨影响跨境数据流动规则制定行为的“四因素”：思想观念价值观因素、现实因素或经济社会因素、行为偏好因素、外部环境因素。不同区域协定在跨境数据流动规则制定时的考量因素侧重不同。就RCEP而言，限制数据本地化共识的达成体现了以中国为代表的广大发展中国家应对跨境数据流动所作出的努力。需要指出，RCEP协定中的重要条款，比如通过电子方式跨境传输信息、计算设施的位置等内容，仍然将国家基本安全利益置于具体规则之上。这表明，缔约国的价值观取向对RCEP跨境数据流动规则具有关键作用。同时，考虑到其成员国主要为发展中国家，数字经济发展水平普遍不高，因而RCEP协定更强调数据流动的安全性。
CPTPP一半的成员国均为发达经济体，具有明显的发达国家追求利益最大化的思想，在跨境数据规则制定中强调最大范围和最大程度的自由流动，同时基于自身经济发展现实和维护其全球价值链地位的需要对数据主权的保护提出了更高要求，比如明确源代码条款，将数字知识产权保护作为重要的强制性义务。这表明，协定主导国的数字经济发展水平及实现经济利益的需要是CPTPP跨境数据流动规则形成的主要考量。
与RCEP和CPTPP不同的是，DEPA紧跟数字经济发展趋势，十分看重数据流动所带来的利好，在倡议中明确提出数据开放、数据共享，强调跨境数据流动会给企业发展带来的机遇，关注跨境数据流动对于数据创新的意义，反映出DEPA对数据流动自由和更高水平的数据开放的诉求，突出数据流动带来的积极有利影响，并将其作为规则制定的重要考量。
在此基础上，本文对中国参与跨境数据流动治理提出具体策略与展望，包括：着力发展数字技术，为治理跨境数据流动夯实基础；兼顾安全与开放，做好跨境数据流动治理的顶层设计；从已有区域协定中获得借鉴，争取为我所用；搭建新平台，为全球数据治理提供中国方案等。
李宏兵、柴范、翟瑞瑞：《跨境数据流动的全球态势、规则比较与中国策略》，《国际经济合作》2023年第6期，30—41页。公众号刊载为缩减版，注释从略，如需全文，请前往知网下载。
点击下方卡片关注我们
Subscribe to Us
责编 | 郭语 裴桂芬
美编 | 李墨涵
审订 | 郭语