摘 要：随着信息技术的发展，越来越多的跨国经济活动依托互联网展开。互联网提高了跨境交易效率，但同时也把以个人信息保护为重点的交易安全问题提到公众面前。个人信息保护带有强烈的属地色彩，但信息跨境流动使得我们又不得不关注该领域的国际合作。目前，由于国内、国际两个方面个人信息保护的立法差异，导致该领域依靠硬法进行国际合作的障碍较多。
因此，从互联网时代软法的受让性和长期以来个人信息保护领域的软法实践两个方面可以看出，选择以软法为路径展开合作的可行性。进而，站在中国立场上提出以软法为路径“软硬兼施、内外联动”的主张，力图明确我国在网络个人信息保护国际合作领域的可行路径，发挥我国在国际网络空间治理的作用，从而推动网络空间命运共同体的构建。
关键词：个人信息保护、国际合作、障碍、选择、软法
一、问题的提出
随着信息技术的发展，越来越多的跨国经济活动依托互联网展开，互联网成为新一轮全球化的重要媒介。更确切地说，新一轮全球化是以数据的全球流动为特征的，这也将以个人信息保护为重点的信息安全问题提到公众视野。个人信息保护带有强烈的属地色彩，这相当于各国在以自由、互联为特征的网络空间人为划上了疆域、设置了藩篱，从而可能阻碍信息的自由流动并限制全球化的进一步发展。因而各国应当关注个人信息保护领域的国际合作，选择适当的合作路径。
从国际法视角看，有关国际合作的路径无外乎硬法与软法两种选择。所谓硬法是指明确约定了各方的权利义务，具有执行机制，且国际社会成员认为具有法律拘束力的国际规则。[1]其主要表现形式则是《国际法院规约》第38条所规定的国际条约、国际习惯和一般法律原则。与此不同，尽管学界在软法的定义上有所争议，但基本共识是“原则上不具有法律约束力但可能产生实际效果的行为规则。”[2]
从国际法理论看，软法并不能被纳入国际法渊源之中。因为作为确定国际法原则和规则的现实存在及其法律效力的表现形式的国际法渊源，在长期的国际法实践当中已然被固定为国际条约、国际习惯和一般法律原则。[3]所以，国际软法的表现形式主要为国际组织、多边外交会议通过的包括决议、宣言、声明、指南或者行为守则等在内的一些能产生重要法律效果的非条约协议。因此，在网络个人信息保护国际合作上硬法与软法皆可选择，但我国如何选择则离不开我国在网络空间治理的基本立场。
党的十九大提出要推动互联网、大数据、人工智能和实体经济深度融合，因此随着中国互联网经济的飞速发展，全球互联网治理当中离不开中国力量[4]，在网络个人信息保护国际合作层面需要中国的参与、更需要中国的声音。坚持尊重网络主权，发扬伙伴精神，大家的事由大家商量着办，做到发展共同推进、安全共同维护、治理共同参与、成果共同分享更是我国所倡导的。[5]
因此，《中华人民共和国网络安全法》（下称《网安法》）第七条规定“国家积极开展网络空间治理、网络技术研发和标准制定、打击网络违法犯罪等方面的国际交流与合作，推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系。”其首次通过立法表明了我国在网络安全问题上倡导国际合作的立场，且提出了国际合作的目标所在。而针对个人信息，新颁布的《中华人民共和国民法总则》明确了对其保护的必要性，相关学者更是呼吁应当针对个人信息保护单独立法并着重关注该法的域外效力。[6]
2017年4月国家互联网信息办公室公布的《个人信息和重要数据出境安全评估办法（征求意见稿）》也针对个人信息出境作出了进一步规定。但从目前的文本看，该办法仅仅是对国内数据出境进行规制，谈不上对个人信息保护国际合作的制度设计。理论上，近年来我国针对个人信息保护的理论研究不断深入，但主要还是集中在国内法领域，较少从国际法角度对个人信息保护国际合作的路径选择进行探讨。所以，在立法明确针对个人信息保护进行国际合作的前提之下，需要从国际法角度探讨可行的合作路径。
笔者认为，近年来我国在网络空间治理的一系列倡导恰恰符合了软法的特性，因而在网络个人信息保护国际合作上软法能否成为我国可行的路径选择是需要探讨的。因此，本文以网络个人信息保护的国际合作为切入点，从当前网络个人信息保护的国际合作障碍和网络个人信息保护国际合作的软法实践两个方面，论证运用软法推动个人信息保护国际合作的必要性与可能性，进而站在中国的立场上探寻如何更好发挥软法的治理作用，推动网络空间命运共同体的构建。
二、网络个人信息保护国际合作的障碍
谈到国际合作的路径选择离不开对合作障碍的检视，这既是探讨合作的前提，也有助于找寻最佳的合作路径。网络个人信息保护与经济全球化密切联系，正是经济全球化带来的以个人信息为重点的数据跨境流通和国内、国际两方面的立法差异导致了障碍的产生，进而也引发了我们对合作路径选择的思考。
（一）障碍之缘起：网络个人信息保护与全球化
互联网作为人类社会最重要的发明之一，依托其高速便捷的数据传输已然将世界变成了真正的“地球村”[7]，创造了人类新的生活空间。互联网技术的进步从横纵两个方面推动了全球化深入发展。横向来看，其进一步扩大全球化的影响范围。人类依托互联网不断地扩展在全球获取资源的广度，促进了资源全球配置。全球配置资源业务既是经济增长和效益提高的主要驱动力，更是信息经济在逻辑上的延伸。新的商业模式和商业互动取决于跨境转移信息的能力，这也是完成企业必要运作的需要。[8]
而从纵向来看，互联网打通了社会阶层，使得个体的地位崛起、话语权提升，全球化的参与主体已经从过去以跨国企业、国际组织和国家等大组织为主逐步转变成为以个人为主。也就是在每个人进入网络空间的那一刻，个人信息便逐步地暴露在他人眼前，从而催生了我们对个人信息保护的思考。质言之，个人信息保护与全球化有着密切的联系，其既促进了全球化的发展也引发了诸多问题，尤其在国际贸易领域表现突出。
一方面，网络个人信息的流通极大地促进了国际贸易的发展。贸易是依靠人与人之间的交往而展开的，而互联网的出现提高了交易效率并节约了交易成本。在交易预备环节，网络个人信息的收集和转移有效地提高了供求双方的匹配度。供应方可以依据大数据分析，筛选出目标消费人群进行交易，而需求方更能依靠个人信息的获取来选择最适合自己的交易相对方。通过对个人信息的收集和转移提高了交易的目标性，其不仅会给企业带来利益同样减少了消费者被不相关信息所轰炸的可能。[9]
而在具体交易环节当中，多数交易者都未曾谋面，这就要求双方能够迅速、准确地了解对方的信用状况，减少自己的交易风险，所以在国际贸易中必须进行信用调查，掌握开展业务所需要的目标国一定人群的个人信息，而网络个人信息转移为此提供了极大的便利。[10]
另一方面，网络个人信息保护形成贸易壁垒影响贸易全球化。国际贸易壁垒在WTO体系下分为关税贸易壁垒和非关税贸易壁垒，而随着全球化深入发展和WTO体系的协调，关税壁垒逐渐消弭而非关税壁垒因其隐蔽性和复杂性成为了国际贸易的新障碍。[11]例如，欧盟《个人数据保护指令》是欧盟主要的个人信息保护法律，而其重要规定之一便是禁止个人数据流入欧盟认为没有提供“充分数据保护”的国家。质言之，在与未达到“充分数据保护”的国家之间，欧盟只允许个人信息的进口而禁止其出口，本质上筑起了贸易壁垒而可能违反有关普遍取消数量限制、国民待遇及GATT1994第20条的一般例外等条款，从而引发贸易争端。[12]
综上，在个人信息保护方面离不开其与全球化的联系，正向的推动让我们看到了国际合作的利益所在，而各个法域的差异化处理在一定程度上也成为了全球化的障碍。因此，只有在明确障碍来源的前提之下，才能够更好地化解障碍从而推动网络个人信息保护的国际合作。
（二）个人信息保护国际合作的域内立法障碍
上世纪以来，欧美等国越发重视个人信息保护，并开始通过立法加以规制。纵观各国立法，在个人信息保护上不同法域采取了不同的立法模式加以规制，制度差异较为明显，而欧盟诸国与美国的制度设计便是其中的代表。
在立法精神上，欧盟诸国与美国采取了不同的倾向。个人信息与隐私权有着密切的联系，而两大法系在隐私权的保护上却有着不同的理解。大陆法系国家把隐私的保护当作是对个人名誉和尊严的保护[13]，每个人都有权控制自己的信息以何种方式公开，从而控制自己在他人面前的形象，以防止尊严的丧失。然而，美国人对隐私的理解沿袭了其一直以来对公权力的警惕，仍然强调法律赋予的自由权利和公权力的不可介入性。因此，有学者指出，跨越大西洋的两大法域在隐私的保护上受到了传统与现实的左右，从而形成了以尊严为核心的大陆法倾向和以自由为核心的普通法倾向。[14]
在权利划分上，虽然个人信息和隐私权有着密切的联系，但两者之间仍有所不同，如何处理两者关系体现了不同法系的传统和选择。欧洲的大陆法系国家由于已经构建了较为完备的人格权体系，所以更倾向于对个人信息单独设权以区分隐私权，从而保证现有体系的完备和对个人信息的全面保护。例如，德国法上的“信息自决权”就属于一项单独的权利，其强调个人依照法律控制自己的个人信息并决定是否被收集和利用。而德国联邦宪法法院则将其解释为一项基本的权利，虽同样产生于一般人格权但仍与隐私权有所差异。[15]
反观美国，以实用主义为指导的美国法采用隐私权统一保护个人信息的模式。美国1974年制定的《隐私法》以隐私权为基础对个人信息进行保护，此后有学者便提出隐私权本质上就是信息控制权。[16]因此，欧洲的大陆法系国家多数选择将个人信息与隐私权进行界分，进而这一倾向也影响了欧盟的统一立法。而美国则将个人信息保护纳入隐私权的范畴，通过日臻成熟的隐私权先例进行个案裁量从而有效地解决问题。
在立法体系上，欧洲主要采用公法模式制定了统一的个人信息保护法。[17]欧洲各国是世界上最早开始关注个人信息保护的国家，颁布于1950的《欧洲人权公约》就规定了“任何人享有私人，家庭生活及其住宅被尊重的权利”，这也被认为是第一代欧洲个人信息保护法。[18]自上世纪七八十年代开始，瑞典、法国等就相继颁布了相关法律，而1981年欧共体签订的《关于自动化处理的个人信息保护公约》更是首次建立起欧洲层面的个人信息保护制度。随着欧洲一体化不断深入，其在个人信息保护上走过了从公约到指令再到指令与条例共同规制的立法历程。[19]
目前来看，欧洲实际上已经形成了一套完整的统一公法体系。从成员国层面，各国有权制定本国个人信息保护法。而从欧盟层面，通过运用欧盟不同法律渊源的特性，依托指令的转化可选择性和条例的直接适用效力，在尊重成员国利益和统一欧洲保护标准之间寻找平衡并实现该领域的立法统一。[20]同时也可以看到，两大层面的立法多是以公法模式展开，强调了公权力对个人信息的保护。
与此相比，美国则采用分散立法的方式以联邦法、州立法和行业自律等多条路径对个人信息进行保护。从美国的立法体系来看，其更加强调市场调节的作用。通过对涉及个人信息的私主体关系和公权力关系作出区别的立法对待，除了限制政府侵犯个人隐私的立法以外，在其他领域更强调私法在个人信息保护中的作用。[21]因此，美国对隐私保护采取了一种灵活的策略。美国政府认为，自律机制配合政府的执法保障，可以有效地实现保护隐私的目的。为此，美国政府一直保持与商界和消费者团体的对话，鼓励更多地保护隐私，采用自律性的隐私保护政策。[22]
综上我们可以看到，从立法精神、权利划分和立法体系三个方面，以欧盟和美国为代表的不同法域对个人信息保护有着不同的理解和制度设计，这也为该领域国际合作无形之中设置了诸多障碍，进而影响了个人信息的跨境流通等多个方面。
（三）个人信息保护国际合作的国际法障碍
协调不同国家在司法领域的合作是国际法长期以来的重要目标之一，私法领域多是采用冲突法规范予以解决而公法领域则更加强调体制的建构和合作路径的选择。所以在互联网将个人信息保护变为全球性问题的同时，在网络主权控制下的个人信息保护这一涉及公法的问题，就需要在国际法视野下明确相应的法律障碍。
从规范的层面看，近年来互联网在推动全球化的同时也产生了诸多问题，在该领域主权国家缺位既会导致互联网全球治理缺陷[23]，也会影响部分国家的主权和安定，因此网络主权问题日益得到了国际社会的重视。《联合国宪章》所确立的国家主权原则是现代国际法的重要基石，而互联网作为新的国际公共空间理应延续这一原则。特别是随着各国越来越多地参与网络空间治理，国家主权原则在网络空间适用势在必行，由此衍生出来的网络主权原则是国际法在网络空间适用的一个重要基石。[24]
因此，2003年在日内瓦召开的信息社会世界峰会达成的《日内瓦宣言》首次指出“与互联网有关的公共政策问题的决策权是各国的主权。对于与互联网有关的国际公共政策问题，各国拥有权利并负有责任。”2011年中俄等国向联合国大会提交的《信息安全国际行为准则》重申各国网络主权的重要性，并且在2015将该文件更新并作为正式文件向第69届联合国大会散发。[25]而从我国立法来看，《网安法》第一条明确指出了维护网络主权的重要性，该法制定的基础也是我国的网络主权。因此，网络主权下的网络个人信息保护具有强烈的公法属地色彩，依靠单边力量进行跨境保护既有可能违反国际法更难以达成保护目的，这无疑为网络个人信息保护的国际合作增添了一大障碍。
从实践层面看，随着信息技术和电子计算机提高了个人信息收集的威力和速度，创造了难以想象的个人信息比对、匹配、分析、使用和公开方式。[26]各国对个人信息保护日趋重视，该领域国际合作上的法律冲突在诸多层面也引发了问题。如上所述，欧盟统一个人信息保护立法经历了从公约到指令再到指令与条例相结合的历程，而这其中变化的动力则来自于欧盟诸国之间在这一问题上的法律冲突。例如1995年欧盟通过了《关于个人信息处理保护及个人信息自由传输的指令》，成员国有义务在三年内将其转化为国内法，但直到1998年德国仍然严格依照该国《联邦资料保护法》的规定而不予转化。
因此，2000年欧盟针对德国的行为提起诉讼，诉称其未按时履行成员国义务，导致该国对私人领域信息保护标准过低。最终德国于2000年尽快转化了相关指令，而这一问题的出现也使得欧盟层面开始在该领域的特殊问题上以制定条例的方式取代指令，从而保证法律的直接适用。[27]
跳出欧洲放眼世界，美欧之间的有关个人信息跨境保护问题更是产生了极大的冲突。以德国、瑞典为代表的欧洲诸国先后通过国内法限制本国个人信息流出，欧盟的统一立法更是限制了欧洲各国个人信息流入欧盟认为保护标准不足的国家，而美国则被欧盟划入其中。此举引发了美国企业及政府的极大不满，因为对于美国企业而言以个人信息为核心的数据是商业的重要利益，切断了数据的流出也就切断了美国的商业血脉。[28]美国认为数据的跨境自由流动是现代商业的常态，应当在限制滥用的情况下鼓励跨境流动创造更大的商业价值，欧盟此举无疑是贸易保护主义的表现。[29]
所以，从规范层面各国依据网络主权有权制定调整本国个人信息保护的法律规范，但由于各国的立法传统和利益考量的不同，导致在实践领域尤其是在互联网时代个人信息保护国际合作上产生了诸多障碍，使得单纯依靠硬法进行国际合作的做法陷入了困境。
综上，个人信息保护长期以来与以贸易全球化为表现的经济全球化有着密切联系。但从各个法域内部来看，由于历史传统的不同使得在个人信息保护上国内立法有所差异。而从国际视野来看，依据网络主权而制定的个人信息保护法律与互联网时代数据跨境流通的客观需求形成矛盾，一定程度上阻碍了全球发展。因此，在个人信息保护领域开展国际合作具有必要性，而针对国际合作路径的选择更是要以克服合作障碍为目标加以思考。
三、网络个人信息保护国际合作的软法选择
通过检视网络个人信息保护国际合作的障碍笔者发现，上述障碍本质上与其他涉及各国公法领域的国际合作所遇障碍相类似，即采用硬法方式难以协调各国利益诉求从而使得国际合作收效甚微。笔者认为在该领域国际合作的路径选择上，硬法难为或许软法可行，因此能否通过软法实现该领域的国际合作值得考虑。
（一）互联网时代软法的认受性
探讨网络个人信息保护国际合作的软法路径，离不开对软法内在特性和互联网时代的社会外在情况两个方面的考量。只有在内在特性与外在客观情况相互匹配的情况下，才能够寻找到软法最佳的适用场域。
软法概念最早产生于国际法，主要指“非条约”协议。[30]早期其用于解释欧盟治理中产生的大量没有“严格法”约束力的行为规则，主要限于国际法和欧盟法领域。而新世纪以来，软法概念也被用于国内公法领域，由此衍生出国际软法和国内软法这一对既有联系又有区别的概念。从国际法领域看，软法并不属于传统国际法的主要渊源范畴，其主要指由国际组织、国家之间、国际组织之间及国家和国际组织之间制定的，用以规范国际社会主体行为及相互关系，但不具有强制拘束力的行为规范的总称。[31]
而从国内法国家治理视野下看，软法是不依赖国家强制力保证实施的规范[32]，其主要表现为公共政策、自律规范及行业标准。而随着全球化的深入发展，国际软法和国内软法在发展中相互影响，例如作为一国国内的行业标准逐渐被世界多国采纳，进而被相关国际组织所认定。反之，相关国际软法在发展中被国内法吸收，变为本国相应的软法规范也随处可见。在全球化中的软法大有内外连接、双向融合的趋势，“大软法”格局也在逐步形成。
回归互联网领域，我们发现互联网不仅从技术上推动了世界发展，更促进了当代社会结构的变革。互联网时代社会的不可预测性和不可控制性不断加强，国内国际两个领域都呈现出以去中心、分布式和离散化为特征的社会新结构[33]，从而也给予了软法施展的空间。从国际领域看，近年来世界多极化趋势明显，各国利益诉求日趋多样。诸如WTO多边谈判难以为继等情况的出现，也让我们看到单纯依靠国际公约、国际习惯等硬法已经难以协调。而国际软法具有成本低、程序简、修订易、弹性大等优势[34]，从而更易协调各方利益诉求，平衡新形势下权力去中心化后多级世界的关系。
而从国际互联网空间来看，“硬法”渊源缺失已成事实。当前网络空间国际规则尚在形成当中，其中得到较多认可的是联合国信息安全政府专家组（UNGGE）于2013年和2015年所作出的两份报告，而这两份典型的软法也最有可能在未来转化为“硬”规则。[35]从国内领域看，互联网时代的权力中心崩塌导致个体崛起加速，互联网进一步的自由化为网络空间治理带来了新的挑战。而依托传统的国家硬法予以规制显然难以应对飞速发展的互联网社会，复杂的制定、机械的治理已然缺少了可接受性。[36]随着互联网商业崛起和舆论爆炸的到来，自下而上的软法治理应运而生。软法在互联网时代找到了自己的栖息地，更在此展开了自我革命式的发展以迎合互联网时代的特性。“软法革命”表现为从填补到建构的升级、从渐进到爆发的跨越、从国家向民间的位移及从经验到创新的突破[37]，从而为公共治理法治化提供了新的思路。
因此，无论是软法的自身特性还是互联网的时代特性，两者之间的相互影响促进了彼此的发展。互联网时代软法的认受性使得互联网治理朝着法治方向迈进，也推动了互联网领域国际合作的有序展开，提供了可行的实践路径。
（二）个人信息保护国际合作的软法实践
互联网时代软法的认受性表明在互联网时代软法治理路径的可行，而软法能否适用于个人信息保护领域尤其是该领域的国际合作更是需要思考的问题。纵观个人信息保护国际合作领域我们不难发现，无论是在全球、区域和双边三个层次，还是在政府、民间两个维度，软法都已经开始发挥其作用。
从全球视野来看，国际组织作为当代国际社会的重要主体，在个人信息保护国际合作领域发挥了重要作用。早在1980年，经济合作与发展组织（OECD）便出台了《隐私保护和个人数据跨境流动指南》以协调互联网时代各成员国在个人信息保护领域的政策与措施。该指南作为典型的软法，虽然不具有对成员国的强制约束力，但实践中其所树立的有限收集、数据质量等八项基本原则得到广泛的引用并指导了诸多成员国修订国内相关法律。[38]
2013年其进一步修订，加入了隐私管理项目、国家政策战略等条款进一步发挥其引领和示范的软法效应。与OECD相比，联合国作为全球最大的政府间国际组织，也在1990年针对个人信息保护问题出台了《关于计算机化个人资料的处理指南》（UN Guidelines concerning Computerized Personal Data Files）。该指南基于联合国宪章的相关规定，在信息跨境传输、监督机制和处分措施等方面进行了详细的规定，凭借联合国广泛的代表性扩大了这一软法的影响力。因此，从全球来看，经合组织和联合国都以软法的方式出台相关指南来引导个人信息保护领域的立法与国际协调。在全球领域，软法发挥了示范作用并指导了多国的立法，为全球合作机制的形成奠定了基础并引领了方向。
从区域视野来看，软法更在示范的基础上进一步得到落实，部分实践展现了软法的“硬效果”[39]，推动了个人信息保护的区域合作。新世纪以来，电子商务成为推动世界经济发展的重要动力，对此亚太经合组织（APEC）为协调区域经济发展于2004年主动制定了具有软法性质的“APEC隐私框架”（APEC Privacy Framework）。该文件虽然不具有强制执行力，但对于地区成员国在该领域的相关操作提出了指导性的建议。而随着区域内成员国不断认识到个人信息保护和跨境数据转移的重要性，APEC电子商务指导组数据隐私分组在“APEC隐私框架”这一软法的基础之上推出了具有强制力的“跨境隐私规则”（CBPR, Cross-border Privacy Rules）。
CBPR体系被APEC组织定义为“规范 APEC 成员经济体企业个人信息跨境传输活动的自愿的多边数据隐私保护计划。”可以看出CBPR是以亚太地区从事数据跨境传输的企业为主体，以自愿加入方式而形成的体系。这一体系从隐私执法机构、问责代理机构和企业三方面进行了机制设计，有效地保证了加入CBPR体系的企业隐私保护水平合乎标准，并实现其硬法性质的执行力和约束力。[40]因此，从区域协调机制来看软法在已经发挥引领示范作用的前提下，逐步开始将其转化形成有一定执行力和约束力的硬法，但其在加入机制上仍然以自愿为前提且以企业为主体，本质上绕开了区域内主权国家在该领域的利益冲突，是限于私主体之间的协调机制，带有浓厚的软法色彩。
从双边协调来看。由于双边层面主要利益协调较为方便，在国际领域主要还是以双边协议这种“硬法”的方式进行操作，但我们仍然可以从中窥探出软法的踪迹，这其中以美欧之间的《安全港协议》和《隐私盾协议》最具代表性。如前所述，1998年欧盟数据保护指令的出台，导致美国企业在欧贸易受到限制。
因此，为了打通贸易壁垒，美欧双方设计出“安全港框架”（Safe Harbor framework）以企业自愿加入、政府有限监管的方式来协调美欧双方在该领域的差异，但本质上该框架属于欧盟与相关美国企业之间的协议，并不会导致美国本国法律的修改。2013年“斯诺登事件”的发生使得美国海外监听丑闻曝光并导致《安全港协议》被欧盟法院判决失效。直到2016年《隐私盾协议》的出台才继续延续了美欧在个人信息保护领域的双边协调，该协议在继承《安全港协议》的自愿加入、商业信息交换的基础上开始关注政府相关行为，进一步将该协议硬化以凸显其硬法作用。[41]因此，从双边协调来看，虽然双边利益冲突较少，但美欧仍选择在国家利益冲突领域进行回避，以私主体自愿加入等带有软法色彩的措施进行协调。
综上，软法已然在全球、区域和双边三个层次的个人信息保护的国际合作中发挥了重要作用。其呈现出了从全球到双边的软法逐步硬化趋势，但其中仍保有浓厚的软法色彩，从而为该领域的国际合作和协调保持弹性并释放空间。
（三）网络个人信息保护国际合作的中国主张
近年来，中国互联网发展迅猛，而有关互联网领域的个人信息安全环境也日趋严峻。2013起，相关职能部门连续出台多份文件对个人信息安全问题进行规定，但无论是全国人大常委会的决定还是相关司法解释，对于该领域国际合作问题并未有过多的关注，使得我国在网络个人信息保护国际合作方面始终处于无法可依的状态。《网安法》的出台标志着我国在网络安全领域达到了新的认识高度，其中第七条明确了国际合作的立场，而有关个人信息保护条款更是明确了对信息的收集、使用、维护和保密等各个环节的要求，但涉及到国际合作路径的选择目前仍无进一步的规定。当前网络空间相关国际法规则和制度尚未成型，这为我国参与网络空间国际法治提供了前所未有的契机。[42]
而随着中国国家实力不断增强，尤其是在“一带一路”倡议全面推动的当下，我们应当对网络个人信息保护的国际合作问题作出思考，并且参与到相关国际规则的制定当中，从而把握机会推动世界发展。我们要看到，“一带一路”国际合作中的不确定性和软法的特点决定了相关领域国际合作的软法需求。[43]因此，笔者认为我国可以采取以软法为基本路径的“软硬兼施、内外联动”的策略参与网络个人信息保护的国际合作并引领世界发展。
所谓“软硬兼施”是指以软法为基本路径通过软法与硬法并用，软法硬化和硬法软化等方式推动该领域国际合作。我们不难发现，在国际合作上软法出现的领域往往是那些具有高度国际共识却又极度敏感、存在相当多立法“瓶颈”的领域，暴露出了国际合作中纷繁复杂的矛盾和冲突。[44]而网络个人信息保护也恰恰引起了世界各国的关注且各方制度差异明显，利益诉求多元，想要单纯依靠国与国之间有拘束力的硬法规制这一领域显然不太现实。因此，我国在参与和主导该领域的国际合作规则制定上，应当以软法为基本思路尽可能的扩大其接受度，在各国认可的前提下展开合作。然而，以软法为路径并非放弃硬法，国际法的责任体系是支撑现代国际社会秩序的核心内容，在关键问题上如果失去硬法所具有的拘束力则会使得合作偏离并损害各方利益。
因此，在诸如国家安全、地区稳定和世界和平等重大问题上，应该坚持以硬法的方式明确立场，一旦违反要承担相应的国际责任。而在“软硬兼施”的过程中，更要看到两者并不是截然对立而是可以相互转化的。国际法学者韦斯曾指出：“随着时间的推移软法大致会向以下四个方向发展: 一是以具有约束力的形式被批准，或者说进入条约规定中；二是作为国内法的一部分被通过；三是成为进一步合作的框架和制定更为具体规则的过程之一；四是成为习惯法。”[45]因此，当软法在发挥其示范作用逐渐被各国所接受之后，其极有可能逐步转化为硬法。同时，当硬法出现结构性失控难以推动相关问题解决的时候，在不放弃文本共识的基础上完全可以将其先作软化，从而让文本共识存留而不至于全部破产。
所谓“内外联动”是指以软法为路径，促进国际软法和国内软法的协调发展。网络个人信息保护既是国内问题也是国际问题，构建网络空间命运共同体在全球化的今天需要每个国家甚至每个个体的努力。从历史来看，许多国际规则都来自于一国国内软法，当今世界某些领域盛行的“美标”、“欧标”正是其中的代表。在新一轮的技术革命当中，中国已然走在了世界前列，中国的互联网经济发展可谓引领全球。我们也看到以淘宝、新浪微博为代表的互联网巨头纷纷出台相关规定来促进网络领域的法治治理，且发挥了重要作用。[46]
而伴随着电子商务的全球化发展，这一类由民间制定的软法规范会走出国门而走向世界从而产生国际效应。因此，我们要凝聚共识推动我国相关商业主体在符合我国基本利益和立场的前提下主动制定自律型规则，经相关法定机关审查后借助商业的力量将其推广，从而在法律机制和自律机制相融合的模式下推动国际规则的发展。[47]同时我国还应在整合网络领域国内软法的基础上总结经验，在增强软法道德理性、规范软法制定程序等方面完善软法的效力[48]，为其全球推广奠定基础。
四、结论
面对逆全球化风潮的再度袭来，坚持国际合作既符合我国根本利益也体现了中国的大国担当。网络空间命运共同体的构建少不了对网络个人信息保护国际合作的重视，而选择以软法为路径展开国际合作既是当下的现实选择更是还国际法以本来面目。因为软法不是从某些学者心中流淌进现代荒原的异在，也不是先验的形而上学，更不是逻辑的外化推演，而正是在全球各重大领域内的人类实践充分展现的总格局、新趋势。[49]
本文首先通过对个人信息与全球化关系的阐述，明确了个人信息对全球化发展的作用。而通过对国内、国际两个方面的立法与实践的检视，阐述了目前网络个人信息保护国际合作的障碍所在，从而揭示了该领域加强国际合作的必要性。之后，本文在明确障碍的前提下分别从互联网时代软法的认受性和长期以来个人信息保护在全球、区域及双边领域的软法实践两个方面，表明了以软法为路径开展该领域国际合作的可能性。最后，笔者站在中国的立场上，提出以软法为基本路径“软硬兼施、内外联动”的方式推动中国参与和主导网络个人信息保护领域的国际合作规则的制定，进一步发挥我国软实力，从而实现网络空间命运共同体的构建和互联网中国时代的到来。
On the obstacles and choices of Internet personal information protection international cooperation: the path of soft law
Abstract: With the development of information technology, more and more transnational economic activities rely on the Internet. The new round of globalization is characterized by the global flow of data, which also refers to the public view of information security, which focuses on the protection of personal information. Personal information protection has a strong local color, but the cross-border flow of information makes us have to focus on international cooperation in this field. At present, there are many barriers to international cooperation in this field due to the legislative differences in personal information protection in both domestic and international aspects. Therefore, it can be seen from the application of soft law in the Internet era and the practice of soft law in the field of personal information protection. Then, standing on the position of China is put forward based on soft law path "carrot and stick, internal and external linkage", trying to clear in the network of personal information protection in China in the field of international cooperation is feasible path, give play to the role of our country in the international network of space governance, in order to impel the building of cyberspace community of fate.
Key words: personal information protection, international cooperation, obstacles, choices, soft law
- 本文系2016年度国家社科基金重大项目“驱动知识产权强国战略的职务发明制度研究”（16ZDA076）阶段性成果。
** 冯硕，华东政法大学国际法学院 法学硕士研究生
[1] 骆旭旭：“构建国际经济新秩序的法律工具选择——以国际软法与硬法的互动为切入点”，载《国际经济法学刊》2013年第2期，页84。
[2] See Francis Snyder, “Soft Law and Institutional Practice in the European Community”, in Stephen Martin ed., The Construction of Europe: Essays in Honour of Emile Noël, Kluwer Academic Publishers, 1994, pp.199-200.
[3] 王虎华：《国际法渊源的定义》，载《法学》2017年第1期，页13。
[4] 参见《光明日报》评论员：“为全球互联网治理贡献更多中国力量 ”，载《光明日报》2017年12月4日，第1版。
[5] 参见习近平：“致第四届世界互联网大会的贺信”，载《人民日报》2017年12月4 日，第1版。
[6] 参见孙宪忠：“关于尽快制定我国《个人信息保护法》的建议”，http://ex.cssn.cn/fx/201710/t20171016_3668348.shtml，2017年10月18日最后访问；张建文、张哲：“个人信息保护法域外效力研究——以欧盟《一般数据保护条例》为视角”，载《重庆邮电大学学报（社会科学版）》2017年第2期，页41-42。
[7] 这一概念最早由加拿大学者马歇尔·麦克卢汉（Marshall McLuhan）于1967 年首次提出；参见〔加〕马歇尔·麦克卢汉：《理解媒介:论人的延伸》，何道宽译，商务印书馆 2000 年版，页66。
[8] Joe Alhadeff：“关于全球配置资源的思考”，马利译，载周汉华主编：《个人信息保护前沿问题研究》，法律出版社2006年版，页144。
[9] 洪海林、向桔：“个人信息保护的经济考量”，载《昆明理工大学学报·社科（法学）版》2008年第1期，页57。
[10] 涂慧：“试论中国个人信息的法律保护”，载《西北大学学报（哲学社会科学版）》2010年第2期，页151。
[11] 侯富强：“基于个人信息保护的国际贸易壁垒及其法律应对”，载《法学论坛》2015年第3期，页37。
[12] 参见孙南翔：“从限权到赋权: 面向未来的互联网贸易规则”，载《当代法学》2016年第5期，页133。
[13] James Q. Whitman,“The Two Western Cultures of Privacy: Dignity Versus Liberty”,13 The Yale Law Journal,1161(2004).
[14] Robert C. Post , “Three Concepts of Privacy”, 89 Georgetown Law Journal, 2087 (2001).
[15] 参见王利明：“论个人信息权的法律保护——以个人信息权与隐私权的界分为中心”，载《现代法学》2013年第4期，页63-64。
[16] Daniel J. Solove, Paul M. Schwartz, Information Privacy Law,3rd ed, Wolters Kluwer, 2009, p.2.
[17] 周汉华：《个人信息保护法（专家建议稿）及立法研究报告》，法律出版社2006年版，页79-80。
[18] European Commission,“Study on Legal analysis of a Single Market for the Information Society”, https://ec.europa.eu/digital-single-market/en/news/legal-analysis-single-market-information-society-smart-20070037，last visited September 9, 2017.
[19] 参见刘云：“欧洲个人信息保护法的发展历程及其改革创新”，载《暨南学报（哲学社会科学版）》2017年第2期，页72-76。
[20] 参见〔法〕德尼·西蒙：《欧盟法律体系》，王玉芳等译，北京大学出版社2007年版，页279、页283。
[21] 参见王秀秀：“个人数据保护立法的经济分析与路径选择”，载《上海师范大学学报（哲学社会科学版）》2017年第3期，页48-51。
[22] 周汉华：“对《个人信息保护法》（专家建议稿）若干问题的说明”，载《中国科技法学年刊》2005年第1期，页325。
[23] 支振锋：“互联网全球治理的法治之道”，载《法制与社会发展》2017年第1期，页98。
[24] 黄志雄：“国际法在网络空间的适用：秩序构建中的规则博弈”，载《环球法律评论》2016年第3期，页9。
[25] 参见新华网：“中国、俄罗斯等上合组织成员国向联合国提交‘信息安全国际行为准则’更新草案”，http://news.xinhuanet.com/2015-01/10/c_1113944827.htm，2017年8月17日最后访问。
[26] Yee Fen,“The Data Protection Paradigm for the Tort of Privacy in the Age of Big Data”,27 Singapore Academy of Law Journal, 790(2015).
[27] 参见蒋舸：“个人信息保护法立法模式的选择——以德国经验为视角”，载《法律科学（西北政法大学学报）》2011年第2期，页117。
[28] See Jane A. Zimmerman,“Transborder Data Flows: Problems with the Council of Europe Convention, or Protecting States from Protectionism”，4N.W.J.INT’ LL.＆Bus, 604-605 (1982) .
[29] Diana Lady Dougan, OECD Second Symposium on TBDF，in London，England 11-13(1983)quoted in Ronald Wellington Brown，“Economic and Trade Related Aspects of Transborder Data Flow: Elements of a Code for Transnational Commerce”,6NW.J.INT ’LL.＆Bus,20 (1984)．
[30] See G.Borchardt and K. Wellens,“Soft Law in European Community Law”, 14 European Law Review, 267(1989).
[31] 参见周华兰：“浅议国际软法”，载罗豪才主编：《软法的理论与实践》2010年版，页371-384。
[32] 罗豪才、宋功德：《软法亦法：公共治理呼唤软法之治》，法律出版社2009年版，页3。
[33] 参见余盛峰：“全球信息化秩序下的法律革命”，载《环球法律评论》2013年第5期，页111-114。
[34] 石亚莹：“国际法视野中的软法——从软法与条约间关系的视角”，载《国际经济法学刊》2015年第1期，页266-269。
[35] 居梦：“论网络空间国际软法的重要性”，载《电子政务》2016年第8期，页39。
[36] 参见秦前红、李少文：“网络公共空间治理的法治原理”，载《现代法学》2014年第6期，页16-17。
[37] 参见马长山：“互联网+时代‘软法之治’的问题与对策”，载《现代法学》2016年第5期，页50-51。
[38] 参见邵朱励：“个人信息保护的国际协调”，载《武陵学刊》2017年第1期，页88。
[39] See Anne-Marie Slaughter, “Sovereignty and Power in a Networked World Order”,40 Stanford Journal of International Law, 293-298(2004).
[40] 参见弓永钦、王健：“APEC跨境隐私规则体系与我国的对策”，载《国际贸易》2014年第3期，页31-32。
[41] 参见刘碧琦：“美欧《隐私盾协议》评析”，载《国际法研究》2016年第6期，页36-38。
[42] 黄志雄：“网络空间国际法治：中国的立场、主张和对策”，载《云南民族大学学报（哲学社会科学版）》2015年第4期，页141。
[43] 韩永红：“‘一带一路’国际合作软法保障机制论纲”，载《当代法学》2016年第4期，页151。
[44] 万霞：“国际法中的‘软法’现象探析”，载《外交学院学报》2005年第1期，页98。
[45] See Edith Brown Weiss,“Conclusions: Understanding Compliance with Soft Law”,in Dinah Shelton ed., Commitment and Compliance: The Role of Non-Binding Norms in The International Legal System,Oxford University Press, 2000, pp.535-553.
[46] 2011年制定的《大淘宝宣言》、《淘宝网服务协议》和2012年新浪微博制定的《新浪微博商业行为规范办法（试行）》、《新浪微博社区公约（试行）》在互联网治理领域发挥了极大的软法作用。
[47] 齐爱民：“论个人信息保护基本策略的政府选择”，载《苏州大学学报（哲学社会科学版）》2007年第4期，页35。
[48] 参见徐靖：“软法的道德维度——兼论道德软法化”，载《法律科学（西北政法大学学报）》2011年第1期，页34-37。
[49] 王申：“软法产生的社会文化根源及其启示”，载《法商研究》2006年第6期，页72。