歐盟數據治理新指向： 《非個人數據自由流動框架條例》（提案）研究

吳沈括 霍文新

摘 要：數據流動規則在數字市場中占據主要地位，個人數據與非個人數據均是數據空間治理框架中的重要規制對象，據此以《非個人數據自由流動框架條例》（提案）作為基礎研究文本。通過提案的核心內容要素加以分析數據本地化的規則適用、數據存儲和處理活動以及數字市場的相關調整政策，旨在研究歐盟數據治理的新指向，深刻體會歐盟對非個人數據自由流動規則的協調概念。

關鍵詞：非個人數據；數據本地化；數據遷移；數字單一市場

中圖分類號：D93/97；TP309 文獻標識碼：A

1 引言

歐盟委員會于2017年下半年提出《非個人數據自由流動框架條例》的提案（Proposal for a regulation of the european parliament and of the council on a framework for the free flow of non-personal data in the european union）（簡稱：《非個人數據流動條例提案》），其核心內容要素主要包括與數據本地化要求有關的規則、向主管部門提供數據的可用性以及專業用戶的數據遷移等相關問題[1]。該提案旨在統一有關非個人數據（Non-Personal Data）的自由流動規則，試圖為歐盟數字單一市場帶來良性的競爭環境，同時為發展更為安全的數據存儲空間提供新的治理框架。

2 非個人數據流動保護背景

云計算、大數據、人工智能和物聯網等新一代數字化技術以最大限度提高效率、實現規模經濟并發展新服務作為目標追求，為技術使用者帶來了諸多益處—敏捷性、高效性以及自主性。在此背景下，數據的跨境流動趨勢異常猛烈， 據麥肯錫調查顯示， 從2005年到2014年全球數據流動率從5太比特每秒上升到211太比特每秒， 加速了將近40倍， 個人數據日漸成為驅動線上交互的主要動力之一[2]。

歐盟對數據保護一貫極為重視，迄今出臺了多部相關立法力求建構完善的數據保護制度，促進數據合法、有效的利用。但若將個人數據與非個人數據同日而語，則忽略了二者在隱私保護以及價值、影響方面的重大差異。歐盟委員會發布的《非個人數據流動條例提案》著眼于二者的差異，對非個人數據制定了不同的流轉規則體系。

2.1 亟待解決的問題

歐盟現有的數據保護制度對內部單一數字市場的建設構成了阻礙，歐盟各國由于本國法律程序、法律實施和執法過程不同進而形成不同的數據保護制度和水平，阻礙了數據在歐盟內部的自由流動[3]。此外，根據歐盟數據報告文本顯示，歐盟數據市場的價值呈逐年增長趨勢，為了釋放歐盟數據市場的潛力，該《非個人數據流動條例提案》特別提示亟待解決的問題。

（1）改善單一市場中非個人數據的跨境流動性。由于本地化限制或市場法律的不確定性，許多成員國對跨境的非個人數據予以限制。

（2）確保有權機關為監管控制目的要求和獲取數據的權力不受影響，例如檢查和審計。

（3）使數據存儲或其他處理服務的專業用戶更容易更換服務提供商和端口數據，同時避免為服務提供商帶來過度負擔以及產生市場扭曲。

該提案將上述諸多問題作為總體政策目標，對數據存儲和數據處理服務、動態的數據市場增添競爭力和整合性。

2.2 追求目標

歐盟對數據保護采取的是歐盟模式，主要是指由歐盟及其成員國對個人數據制定法律規范，統一規范國家機關和民事主體收集、處理和利用個人數據的立法模式[4]。但歐盟數據保護立法的適用范圍將一些部門排除在外，這將導致僅僅依靠《歐洲聯盟運行條約》（TFEU）的相關規定，不足以消除數據市場中的數據服務面臨的現有障礙。在當下歐盟數據市場環境中，相關成員國的數據侵權保護程序極為復雜，抑或面臨公營與私人層面數據處理規則不同的障礙。

為此，《非個人數據流動條例提案》與政策領域的現有政策規定以及其他歐盟政策保持一致，力求提高法律確定性，側重于提供數據存儲和其他處理服務，并進一步培育歐盟數字服務市場[5]。該法案提出的非個人數據流動具體規則以及相關措施，旨在減少歐洲數據驅動型競爭經濟的壁壘，增強數據的可訪問性和再利用性，減少因數據集中對公共利益或私人造成的損害。

數據自由流動的規制，將增強數據的可操作性，妥善處理數字合作問題，對互聯網的開放提供保護性框架。

3 《非個人數據流動條例提案》核心框架

該提案所針對的適用對象涵蓋除個人數據以外的其他電子數據，規范其存儲以及相關處理服務等活動。就內容而言，對于非個人數據的處理活動，為了統籌個人數據與非個人數據的整體保護框架，其提出對數據本地化措施予以最大程度的限制或禁止。此外，對有權機關獲取數據的權利以及其他專業用戶遷移數據的方式提供了進一步保障和具體措施。

對于數據本地化，提案做出的定義為：成員國法律、法規或行政規定中規定的義務、禁止、條件、限制或其他要求，而這些要求對數據存儲或數據的其他處理行為做出了特定領域的限制或阻礙。

而“有權機關”是指根據國家或聯盟法律規定，有權履行其公務職責、獲得自然人、法人存儲或處理的數據的成員國主管部門；“專業用戶”是指包括公營部門實體在內的自然人或法人，基于與其貿易、商業、工藝、專業或業務相關的目而提出使用或請求數據存儲以及其他處理服務。

針對以上概念定義，提案提出了非個人數據在國際電聯內部自由流動的規則理念，即最大程度地限制或禁止數據本地化并為各成員國之間對法律適用提供單一聯結點，同時在該前提下要保障有權機關依法獲取數據的權力，并改善專業用戶更換數據存儲或其他處理服務提供商移植數據的條件。

4 限制數據本地化以及提高法律確定性

歐盟數字單一市場中數據流動的障礙已被確定為核心問題，而問題驅動的因素則是本地化限制：立法和行政的本地化限制；法律不確定性和市場缺乏信任的數據本地化；禁止處理服務提供商進行數據移轉活動的限制。

客觀地說，數據本地化在客觀上限制了企業處理、存儲和接入信息的能力，增加了經營的時間和經濟成本，并且影響最終用戶選擇最佳技術和信息的自由，同時對貿易造成阻礙[6]。針對此情形，該提案將要求根據第2015/1535號指令評估本地化限制是否合理。

4.1 數據本地化問題的評估及其限制

《非個人數據流動條例提案》第4條第（1）款提出了國際電聯內部數據自由流動的規則：國際電聯存儲或其他數據處理的位置不應限于某一特定會員國的領土，并且不得禁止或限制任何其他成員國的存儲或其他處理，除非基于公共安全的理由。

該規定表明，在歐盟，數字經濟的建立以及依賴數據的新技術會受到數據流動障礙的影響，從而影響數字單一市場中的企業及其運營。數字本地化規則對于個人數據的保護而言，具有強針對性保護，但就數字經濟而言，數據流動的過分限制同時也阻礙了經濟橫向發展。為此提案指出，成員國應引入新的數據本地化要求或根據國家法律實施第2015/1535號指令中規定的程序對現有數據本地化要求進行修改或廢除[7]。該舉措的目標是為數據存儲和處理活動培育更具競爭力的歐盟市場，具體而言，這意味著減少數據本地化要求的數量和范圍，進一步增強法律的確定性。

綜合條文規定來看，數字本地化并非被完全禁止，但在必要的范圍內應當被更改或者修訂。根據對該提案的影響評估報告顯示，對現有本地化政策的限制情況應當予以評估，即該影響評估報告提出可采用優先選擇權來確保審查程序，并建立明確的法律原則，以此有效地消除現行不合理的本地化限制，以及避免將來可能科加的限制。該舉措可提高對條例確立的法律原則的認識，還將提高市場的法律確定性。

數據本地化應當被完全禁止還是應當采取立法手段予以規制，存有一定的爭議。在《建立歐洲數字經濟》的交流報告中，雖然大部分公眾認為應當對其采取禁止措施，但事實上，眾多利益相關者則認為采取立法行動才是消除本地化限制的最合適手段。

4.2 單點聯系增強法律確定性

當然，非個人數據的流動并非僅要求限制數據本地化要求。該提案考慮到了法律確定性問題。提案第4條的第（4）款和第（5）款提出了單一信息點的建立問題，該信息點主要為成員國在網上公開適用于其領域的數據本地化要求的詳細信息提供了展示方式。此外，根據第7條的規定，每個成員國均應指定一個單一信息點，與其他成員國和歐盟委員會的聯絡點進行聯絡。

單一聯絡點的適用前提是成員國之間沒有可依據的明確法律框架來形成具體的合作機制。此時，在成員國向其他成員國請求協助時，單一聯絡點將包含一個適當的動機要求以及對被請求方的書面解釋理由和尋求訪問數據的法律依據。換言之，該種方式是通過在成員國之間建立一個明確的框架規范成員國之間的合作方式，同時通過成員國自身的自律性以提高法律確定性和彼此間的信任水平。基于成員國之間的單一聯絡點，賦予彼此合作方式一定的靈活性，以長期保持法律框架和各國合作機制的相關性和有效性。

5 數據提供以及數據遷移

數據本地化要求往往是由于缺乏對數據跨境存儲或其他處理的信任而產生的，但當這些數據是成員國有權機關為了檢查、審計監管或監督控制等合法性目的而收集的，對有權機關的權力不應當按照此提案的要求予以限制。

5.1 向有權機關提供數據

《非個人數據流動條例提案》第5條規定，在有權機關根據聯盟或國家法律要求獲得依據公職而收集數據的權力時，在不違反公共秩序的前提下，有權機關的此種權利不應受到限制。換言之，有義務向有權機關提供數據的自然人或法人應保證向其提供相應數據，并保證其有效、及時地訪問數據，且不論該數據在哪一個成員國中被存儲或以其他方式處理。

如果有義務提供數據的自然人或法人不遵守這些規定，并且有權機關已經用盡所有適用的手段獲取數據，有權機關可尋求其他成員國的協助。在這種情況下，有權機關應根據特定案件的具體情形，依據歐盟相關法律框架的具體條文規定彼此提供有效的合作。此外，在缺乏明確、具體的合作機制的情況下，有權機關可通過指定的單一聯絡點提供需要的數據。

該條文主要確保了有權機關監管控制中的數據可獲取性。為此，用戶不得以數據在另一成員國存儲或以其他方式處理作為理由，拒絕向主管當局提供數據訪問權。

5.2 專業用戶數據遷移條件的優化

鑒于監管目的而力求在數據可獲取性方面取得進展，專業用戶可以通過增加數據處理合同中適用程序或其他條件的透明度，更換數據處理服務提供商和端口數據，且不必在此階段對服務提供商施加具體標準或義務。

無障礙遷移數據的能力是用戶選擇和數據處理服務市場有效競爭的關鍵促進因素，而數據流動的障礙會破壞專業用戶對內部市場的信心。據此，《非個人數據流動條例提案》第6條做出規定：（1）在專業用戶想要切換到另一個提供商或端口數據時，在返回自己的IT系統過程中所適用的流程、技術要求等，均可采用可用數據格式的支持以及最小網絡帶寬，在遷移過程啟動之前所需時間和數據將得以被保證；（2）以結構化等可讀格式轉換或遷移數據的操作要求，允許用戶有充足的時間切換或遷移數據。

換言之，該條文主要要求服務提供者以合理且相稱的方式應用于數據的存儲或其他處理環節，減輕專業用戶切換服務提供商和端口數據的操作難度，各參與者依自律性來履行彼此的義務要求。

6 完善非個人數據流動保護機制的未來影響

數據的生命在于流動，沒有流動性的數據是沒有價值的，在現階段社會、技術條件下，經濟、政治以及文化等諸多事務已經與數據有著密切的要素性聯系，各方面活動的正常展開在很大程度上取決于各類數據的動態流轉甚至是跨國傳輸[8]。為了發展數字經濟和提高歐洲工業競爭力，建設一個清晰、全面和可預測的法律體系，規制除個人數據以外的其他數據的處理活動非常有必要。《非個人數據流動條例提案》具有一定的靈活性，其以成員國之間基于自律性的合作來滿足數據用戶、服務提供者以及有權機關不斷變化的需求，謹慎遴選技術規則以降低與現有機制產生重疊的風險，避免成員國和企業承擔更高的經濟負擔。

總體而言，雖然有極大的可能性會導致歐盟市場監管要求以及企業額外成本的增加，該提案力求確保數字單一市場內部的平穩運行，對非個人數據的自由流通加以規制，進一步完善作為核心問題的數據跨境流動規則。

6.1 促進市場競爭良性發展

該提案或將對競爭產生積極影響，其將刺激數據處理服務的創新，從而吸引更多的用戶，特別是對于初創和小型服務提供商，可使其更容易進入新市場。此外，還將促進數據處理服務的跨境、跨行業發展，進一步推動數字市場的發展。中小企業是數據處理提供商以及市場創新驅動因素的重要組成部分，這些企業最可能從消除數據流動障礙的規定中受益，非個人數據的自由流動將直接降低其運營成本，并有利于增強其市場地位的競爭力。正如歐盟在“數字化單一市場”戰略中對數據跨境流動主張的強化，力求打破歐盟內部的數字市場壁壘， 整合各成員國的碎片化規則， 實現區域內數據自由流動和數字網絡與服務的繁榮[9]。

6.2 平衡監管與市場自律

《非個人數據流動條例提案》引入有關數據遷移方面的規定，對于專業用戶而言，為了充分利用競爭環境，可據此廣泛比較內部市場提供的各種數據處理服務情況，以此做出更為明智的選擇。該舉措不僅是為了培育市場的創新潛力，同時要求數據處理服務提供商和專業用戶具有一定的經驗和專業知識以及一定的自律性。此外，通過鼓勵為數據遷移制定行為準則的方式，將為云服務提供商帶來更具競爭力的內部市場，此舉將進一步完善數據的傳輸方法，并在歐盟監管和市場自律之間謀求平衡。

具體而言，該規定并未在數據處理服務提供商之間創設新的遷移權利，而是依賴其自我監管來確保與可遷移性相關的技術和操作條件的透明度，從而增強對數據處理安全性的信任。

6.3 培育安全的數據存儲空間

該提案所建立的數據自由流動框架，在建設具有競爭力的數據經濟的同時，為數據存儲和處理的規模經濟提供了新的發展前景。雖然數據的流動性予以增加，但在數據治理的過程中，法律確定性隨之增加，數據處理環節的參與者彼此之間的信任度也會同步上升。

歐盟對非個人數據自由流動規則的協調，不僅是出于法律確定性和數據公平競爭環境的需要，市場參與者遵循統一規則是數字單一市場運作的關鍵因素，規則的統一對于貿易障礙和競爭扭曲有控制和預防作用。此外，歐盟對數據流動規則的干預將有助于歐盟培育更為安全的數據存儲空間。

7 結束語

信息技術和各種信息系統的廣泛應用產生了大量的業務數據，企業日益依賴于信息技術來支撐各類業務系統的穩定運行，繼而業務數據已然發展成企業和各類使用對象的重要資產，成為組織重要的核心競爭力[10]。經濟數字化發展趨勢正在加速，信息和通信技術從一個單一的產業部門發展成為現代創新經濟體系和社會的基礎，而電子數據正是這些系統的核心，并可以產生巨大的價值。數據價值鏈建立在不同的數據業務上，包括收集、存儲、處理、分析以及使用等。而數據存儲及其處理活動的健康、高效運作是數據價值鏈中基礎的組成部分，對數據流動和數據市場的科學治理，將進一步促進數據經濟的發展。

可以預期，《非個人數據流動條例提案》或將與《歐盟一般數據保護條例》（GDPR）共同協作，在個人數據和非個人數據兩個層面，建構差異性數據保護立法框架，共同激發數據的泛在價值。

基金項目：

國家社會科學基金項目（批準號：15CFX035）。

參考文獻

[1] EU. Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for the free flow of non-personal data in the European Union）. http：//eur-lex.europa.eu.

[2] 曹杰，王晶.跨境數據流動規則分析——以歐美隱私盾協議為視角[J]. 國際經貿探索，2017，33（04）：107.

[3] 閆曉麗.歐盟數據保護制度的變革及啟示[J].網絡空間安全，2017（Z1）： 22.

[4] 李春華，馮中威.歐盟與美國個人數據保護模式之比較及其啟示[J].社科縱橫，2017，32（8）： 89.

[5] EU. COMMISSION STAFF WORKING DOCUMENT EXECUTIVE SUMMARY OF THE IMPACT ASSESSMENT Accompanying the document PROPOSAL FOR A REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on a framework for the free flow of non-personal data in the European Union. http：//eur-lex.europa.eu.

[6] 韓靜雅.跨境數據流動國際規制的焦點問題分析[J].河北法學， 2016，34（10）： 171.

[7] EU. Directive （EU） 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services （Text with EEA relevance）. http：//eur-lex.europa.eu.

[8] 吳沈括.數據跨境流動與數據主權研究[J].新疆師范大學學報（哲學社會科學版），2016，37（05）： 113.

[9] 付偉，于長鉞.美歐跨境數據流動管理機制研究及我國的對策建議[J]. 中國信息化，2016（06）： 56.

[10] 唐瑋杰，黃文明.大數據時代下的數據安全管理體系討論[J].網絡空間安全，2016，7（07）： 58.