可信的数据自由流动：克服跨境数据流动壁垒

前言
2023年1月，世界经济论坛发布名为《可信的数据自由流动：克服跨境数据流动壁垒》（Data Free Flow with Trust: Overcoming Barriers to Cross-Border Data Flows）的报告，强调了数据跨境自由流动的重要性，敦促全球领导人在公共和私营部门采取集体行动以实现“可信的数据自由流动”（DFFT）。它回顾了DFFT当前面临的挑战，评估迄今为止取得的进展，为企业的政策机制和具体工具提供方向，主要关注企业对企业（B2B）的跨境数据传输，促进关于如何从政策和业务的角度实现DFFT的全球讨论，并提出下一步的行动方向。
PART.01 可信数据自由流动的重要性
日本经济产业省近期主导的一项研究展示了一系列涉及跨境数据传输的产业和运营模式，包括：（1）在线应用程序的供应商和开发者，（2）向境外外包商传输数据，（3）通过物联网收集和分析源于其他国家的实时数据，（4）提供平台服务和互联网服务，（5）网络安全服务。以借助物联网收集和分析数据为例，基于全球范围内售出的设备的程序运行状况、运行环境和修补情况等信息，公司可以预测可能发生的故障并制定优化方案。
因此，在强调跨境数据传输可信度的重要性的同时，必须兼顾其对经济和社会产生的影响。在 2019 年G20 峰会上，日本首相安倍晋三即就“可信的数据自由流动”问题，启动“大阪轨道”框架，以推动数据流动方面开放性与可信任度的共存与互补。实际上，七国集团已经认定“可信的数据自由流动”对创新、繁荣和民主价值起到的基础性作用，这一认识在最近的巴厘岛二十国集团峰会领导人宣言中被再次确认。
PART.02 可信数据自由流动面临的挑战
鉴于经济发展、隐私保护、人权和国家安全等目标的不同考量，由此产生的地缘政治分裂和政策方法给充分实现“可信的数据自由流动”带来了挑战。
（一）政策带来的挑战
个人数据跨境传输方面的具体措施千差万别，但可归为三类：
（1）开放式保护（open safeguards）：将如何保护跨境数据传输安全的自由裁量权留给私营部门，并辅之以公共指引。具体路径包括私营主体的充分性认定、标准合同和事后追责机制。
（2）预先授权式保护（pre-authorized safeguards）：根据一些透明的标准，传输前须获得公共部门的批准。具体路径包括公共部门的充分性认定和其他事前法律文书，如合同条款或有约束力的公司规则。
（3）受限的传输（limited transfers）：对公司和其他组织的跨境数据传输提出了严格、不透明的限制，可能要求获得政府在安全评估后的特别临时授权。具体路径包括要求在一定条件下在来源国境内存储个人数据（有时要求处理数据也在来源国境内）。受限的传输通常适用于定义不太明确的数据类型，如“重要”数据或“关键”数据。
尽管上述三种政策类型可能最终会融合，但目前多元化的政策和法规为寻求跨境共享数据的企业和其他机构带来了成本、运营的复杂性和不确定性。
经合组织最近的一份报告显示，越来越多的国家正在采用数据本地化政策，明确要求在境内存储和/或处理数据。2021 年，三分之二的此类措施同时要求本地存储和禁止跨境传输数据。数据本地化措施和其他数据跨境流动壁垒带来了巨大的经济成本。一份来自咨询公司 Frontier Economics 的研究成果显示，采用适度自由化政策和采用适度限制政策所产生的经济结果差距接近欧盟每年GDP的5%。
（二）企业面临的挑战
在全球监管碎片化和数据本地化不断强化的背景下，企业也面临着一系列壁垒。日本经济产业省的研究指出：（1）国内监管规则及措施存在重叠；（2）由于多层监管要求，缺乏应有的法律透明度；（3）由于对公司的要求和由此产生的调研成本频繁变化，缺乏法律稳定性；（4）监管机构对跨境数据传输业务的实际状况了解不足；（5）获得数据处理证书的巨大成本；（6）缺乏对“跨境流动”“个人数据”等概念的明确定义。
人们希望通过双边协议、七国集团和二十国集团的行动，以及其他国际组织的对话，以应对上述壁垒。
PART.03 实现可信数据跨境自由流动的近期路径
（一）政策层面
正如经合组织（OECD）最近的一份报告所描述的，许多现有的协议、程序和倡议都在寻求促进可信的跨境数据流动。各国也制定了一系列政策和法规，单方面管理数据跨境流动，以努力构建信任基础。此外，政府间论坛的一系列进程推动了合作，具体包括：（1）七国集团和二十国集团的商议；（2）制定标准，发起推动研究及分析多边组织对话倡议；（3）区域合作伙伴之间制定标准或有约束力的协议；（4）各种特惠贸易协定。
跨境数据流动的政策流程：
（1）单边政策和法规：
能够在一些条件下将某些类型的数据传输到境外的国内路径：
a、开放式保护：主要依赖参与传输的组织实现公共政策目标所需的持续保护，且一般不规定必须满足哪些要求；
b、预先授权式保护：公共部门更多地事先参与，以确保可信的数据传输。具体措施包括：要求将公共部门预先批准的具体条款纳入合同；公共部门预先批准相关组织的有约束力的内部规则；或采用国内数据认证体系。
（2）政府间路径：
a、七国集团和二十国集团的商议
b、多边路径
制定标准，以及发起推动研究及分析多边组织对话的倡议（如经合组织、 联合国、世界贸易组织、世界银行等）。
c、区域安排
合作伙伴之间制定标准或有约束力的协议（如亚太经济合作组织、东盟、欧盟）。
d、特惠贸易协定
消除贸易壁垒以及为两国间或少数几个国家间的国际商务活动制定规则（如《CPTPP》《欧盟－英国贸易与合作协定》《英国－新加坡数字经济协定》）。
2022年在德国举行的七国集团峰会上，“可信的数据自由流动”成为六个部长级议题之一，通过了《促进可信数据自由流动计划》（G7 Action Plan Promoting Data Free Flow with Trust）。其内容包括：（1）加强“可信的数据自由流动”的证据基础；（2）建立促进未来互操作性的共同基础；（3）持续的监管合作；（4）在数字贸易的背景下推动“可信的数据自由流动”；（5）共享有关国际数据空间前景的知识。
（二）工具层面
除了政策讨论，技术工具、法律工具和其他工具也得到了开发，以减轻与数据共享相关的业务风险，并促进更加便捷、顺畅的跨境数据流动。减轻法律风险和降低合规成本的一个工具是采用标准或示范合同条款。有关机构已经制定了建议企业采用甚至要求企业必须采用的合同条款。当纳入合同时，这些条款自动被认定为合法转让数据的依据。例如，欧盟和非欧盟国家之间开展跨境数据传输的《标准合同条款》和东盟国家之间数据传输的《东盟跨境数据流动示范合同条款》。
另一个工具是部署由服务供应商运营的数据市场。这将促使更有效地执行可信的数据交易，并提供可追溯性、安全性和合规性。数据市场运营商作为中立的可信第三方和数据交易专业机构，可以帮助从事跨境数据交易的各方制定规则，减轻风险评估的负担。
还有一组工具是隐私增强技术（PETs），通过消除或大大减少协作相关的风险，进而从根本上重塑共享数据的影响。这些技术具体包括：（1）差分隐私。由于“噪声”被添加到数据集上，因此不可能对单个输入进行反向工程。（2）联邦学习。各方通过数据分析共享结果，而不分享数据本身。（3）同态加密。数据在共享之前被加密，以便分析得以进行，但无法解码成原始信息。（4）零知识证明。用户可以在不透露任何实际信息的情况下证明某信息为真。（5）安全多方计算。由于数据分析横跨多方，因此任何一方都不能看到完整的输入集。
随着更多的国家授权并推动上述工具的标准化，可能会对企业跨境数据流动产生更有力的影响，这也需要更多的相关主体进行政策对话。
PART.04 推动可信数据自由流动的行动呼吁
（一）构建相关制度
鉴于监管的碎片化，七国集团国家与国际组织合作应建立一个制度，以协调不同措施从而确保互操作性，推动数据更顺畅和更连贯地在国家之间流动并保护信任基础。与此同时，在电子商务联合声明倡议下，无论是在经合组织、二十国集团数字经济工作组或贸易和投资工作组，还是在世界贸易组织等平台上的讨论也应该继续得到支持。这些制度一旦建立，不仅将惠及数据跨境传输的便利性，而且将发展全球数据治理框架，以解锁数据价值并保护信任基础。
（二）未来可行的工具
应进一步开发其他技术工具，如数据市场和允许安全共享特定数据的标准化接口，以促进互操作性和跨境数据流动。另一种路径是开发一个跨境数据传输法规库，以提高规则的透明度。鉴于各个法域政策规则不同，借助应用程序接口和可见性更好的用户界面，提高跨境数据传输法规库的可访问性。如果开发出来，它将允许用户访问、跟踪和分析不同的监管措施，并将使其包含的所有法规通过应用程序接口以机器可读的格式提供。此外，该资料库不仅将有利于私营部门的合规，而且还将鼓励公共部门以它作为基础，与其他国家展开监管对话。
此外，颗粒度的数据分类也是一个可选项。这种方法可以通过更具针对性的风险分析和合规要求来降低成本。开发简单而具有标准化特征的方法来使商业数据分类精细化，进而有助于企业避免将所有数据视为“敏感”的倾向。这将允许一些数据的解锁不仅是符合商业目的，而且是符合公共利益。虽然精细数据分类不是一项容易的任务，但在国际层面通过利益相关者的多边途径来就数据类型共同分类达成一致将是有价值的。
结论
全球数据政策的格局仍然很复杂，许多国家采用了愈加严格的数据本地化措施。我们应采取集体行动，以降低由于地缘政治分裂造成的成本和风险。我们意识到现在迫切需要“可信的数据自由流动”，否则DFFT可能是一个永远不会实现的愿景。因此，该报告提出了公私合作的建议，通过建立和增强基于信任的公私伙伴关系，在全球范围内收集专业知识和智慧以促进互操作性，同时也为企业开发具体政策和技术工具，以降低跨境数据流动的风险和成本。