欧美数据跨境流动政策以及对我国的启示

经济全球化的大潮伴随着大数据时代的开启，萌生了一场关于跨境个人数据的寻宝游戏，在“得数据者得天下”的新信息时代，对跨境数据的收集和分析是掌握国际经济动向，促进本国经济发展的重要方式，如何释放这些个人数据的潜在价值，成为了主宰这场寻宝游戏的关键。联合国跨国公司中心对跨境数据流动的定义是，跨越国家对存储在计算机中的机器可读的数据进行处理、存储和检索。跨境数据流动的兴起，向个人数据保护提出了新的难题，作为全球经济发达的两个经济实体，欧盟与美国对于如何将跨境个人数据安全纳入法律保护范围，两国的立法和态度一直走在前沿。
作为典型的判例法国家，美国没有专门出台一部关于隐私和数据保护的法规，对于数据跨境流动，美国推行宽松的政策，偏向于限制政府权利，其跨境数据隐私保护策略主要靠有限的立法和行业自律，即网络服务者的自我约束和行业协会的监督。对于美国来说，其信息技术和跨国公司的发展一直处于世界的领先地位，仓促立法往往会限制电子跨境商务的发展，因此，为了维护美国在全球贸易中的主导地位，跨境数据流动的管理和其全球贸易战略基本一致，皆是采取宽松的政策，依靠商业机构自身的力量来保护个人。
相较于美国而言，欧盟对于个人数据跨境流动的限制则要严格的多。欧盟以规范立法为主，将个人数据归于基本人权，建立了以1981年欧洲理事会的《与个人数据自动化处理有关的个人保护公约》、1995年的《个人数据保护指令》和2016年的欧盟《通用数据保护条例》（以下简称GDPR）三个标志性法律文件为主的法律体系。以GDPR为例，其不仅在所有成员国范围内直接具有法律约束力，而且谋求更大的域外效力，明确规定条例对在欧盟境外处理个人数据的行为也具有适用效力，即向欧盟公民提供服务或在欧盟市场内经营的公司，GDPR都有管辖权。在数据跨境问题上，GDPR增加了更多可实现个人数据跨境转移的条件，并再次强调欧盟不允许将其公民的个人数据转移至那些不能提供充分保护的地区和国家。GDPR的诞生，意味着欧盟对于个人数据保护及监管达到了前所未有的高度。
如上文所述，由于美国缺乏统一的数据保护法，为了促进欧盟与美国之间的个人数据流动的商业往来，并对这些数据进行保护，欧盟与美国在2000年签订了《安全港协议》。但是，由于欧美关于数据隐私保护法律和政策仍然存在巨大差异，《安全港协议》无法作为长久的解决方案。欧美数据流动制度不协调的矛盾随着斯诺登事件的曝光而更加明显，并最终导致了《安全港协议》的失效。然而在安全港协议失效的一年内，欧美在跨境数据流动创造的商业利益驱使下，于2015年末起重新谈判，经过反复磋商和多次修改，于2016年7月12日达成《欧美隐私盾协议》（EU-U.S. Privacy Shield Framework），成为了规制双方数据流动的新妥协方案。
《欧美隐私盾协议》的核心是为了规范大西洋两岸的个人数据跨境转移，为大西洋两岸的相关数据进出口行为提供合规机制，促进数据跨境流动的同时加强商业往来。相较于之前的《安全港协议》，这份新协议有如下重点：
1.增强了企业的义务和责任。尽管加入《隐私盾协议》是由企业自愿的，但一旦企业做出遵循隐私盾框架的公开承诺，则该承诺具有法律约束力，并在美国法律下具有强制执行力。相关企业一旦违反了隐私盾的条件就要受到制裁，制裁的方式包括但不限于裁定结果必须公开以及要求在特定条件下删除数据。对于情节较为严重的，如长期不履行隐私盾协议的公司，将被移除隐私盾协议的名单，并勒令他们交回或者删除此前在协议下收集的个人信息。
2.强化数据主体救济途径。任何公民只要认为他们的数据已经被滥用，根据新的协定告知的救济方案与路径包括：个人可以直接向加人隐私盾协议的企业进行投诉，企业必须于45天内作出回应；企业必须无偿向个人提供独立的追索机制，尽快调查处理投诉和争议；如果个人向欧盟的数据保护机构进行投诉，美国商务部将予以受理、审查，尽最大的努力促进争议解决，并于90天内向数据保护机构作出回复。
3.限制美国政府的数据获取。美国政府通过提供给欧盟书面承诺，以保证国家机构由于执法、国家安全或其他公共利益的目的而进行的数据获取将受到明确限制和监管，并且美国政府不会进行国家安全机构的大规模且无差别的监控。同时，美国国务院将设立一个新的监察使职位，以处理欧盟数据保护机构转交的投诉及查询。此项保证条款不仅仅适用于隐私盾协议中数据的传输，同时适用于商业目的下向美国传输的所有个人数据。
数据的跨境流动已有星火燎原之势，虽然我国于2017年12月29日正式发布了《信息安全技术个人信息安全规范》，并于2018年5月1日正式实施，但《规范》作为一个标准化的指引，法律渊源层级较低，即使配合相关法律法规，如《网络安全法》，《网络安全等级保护条例》等，也难以搭建一个合理有效的个人数据跨境保护体系。正在制定中的《个人信息和重要数据出境安全评估办法》及其配套的标准指南仍未出台。实在难解当前数据跨境流动保护的燃眉之急。因此，根据欧美两国确立的个人数据跨境流动情况，笔者对于我国的跨境个人数据保护提出以下几方面建议:
1.完善数据安全立法，构建法律体系。习近平总书记指出：“要加快网络立法进程，完善依法监督体系，化解网络风险”。如上文所指出，目前我国有关法律或行政法规和规章少量涉及了个人数据的保护问题，而且大多数规范法律位阶较低，个人数据的权利主体还没有在法律上确立，这就导致了我国目前的个人数据保护体系很不完善。因此，我国有必要出台相应的法律规制，在法律层面对相关问题进行保护；同时，可参考欧盟对于个人数据的保护形式，建立专门的个人信息保护监督机构，负责个人信息的行政保护和执法监督，在全球经济一体化的背景下，是我国跨境数据流动保护的不可缺少的一环。
2.建立分类规制，进行数据分层。政府部门可将个人数据分级为禁止跨境流动数据、限制流动数据和普通个人数据，对于涉及国家安全和公共利益的数据严格禁止跨境，并做好相关储存和处理工作；对于有关部门掌握的其他数据，通过安全风险评估进行限制和管理；对于普通个人数据，则可以给予数据主体选择的权利，参考GDPR相关原则，采取数据主体实质同意模式，告知传输出境的对象、用途和存留时间，是否有权利撤回该个人数据，是否向第三方转移，由数据主体自由选择是否予以传输出境，有权利更正、补充、删除其个人数据。
3.开展国际合作，搭建对话平台。在讲究合作共赢的今天，对于国际层面的跨境数据流动规制的合作是不可或缺的。在跨境数据流动的统一国际规则还未出现的空窗期，我国应该提早部署相关事宜，主动出击，参与构建国际规则，细化个人数据跨境使用与保护，明确规定多方的责任义务和纠纷解决办法，共同推动个人数据保护国际标准的形成。

从上图可以看出，数据的跨境流动增长的速度已经远超跨境贸易和金融的增长速度，数据的跨境流动是中国不可回避的问题，因此，中国应尽早做好规范数据安全的国内法和国际法的立法准备。