美英數據互通協議的戰略意圖、影響及對策建議

張茉楠

當前，國家間數據資源爭奪和保護不斷升級，“長臂管轄”原則、法律“域外效力”等擴張數據管轄權的制度一再出現，全球跨境數據流動近20年相對穩定的國際規則制度被不斷推倒重建，進入了新的動蕩變革時期。近期，美英簽署“史上首份”雙邊數據互通共享協議，這將對中國乃至全球數據治理體系及國家數據主權產生廣泛而深遠的影響，中國應采取戰略措施加強數據管轄，積極維護國家數據主權。

一、美英簽署“史上首份”數據互通協議

10月3日，美國司法部長Bill Barr與英國內政大臣Priti Patel簽署了一項新協議。該協議將消除法律障礙，允許兩國執法機構直接獲取對方科技公司比如臉書、谷歌、推特等的用戶、通信數據，以便更迅速地調查恐怖主義及其他嚴重的刑事罪行。

新協議是根據美國2018年設立的《云法案》邁出的第一步。盡管協議尚未包含禁止科技企業加密數據的權力，比如端對端加密，即僅有通信的兩方能夠看到數據的加密功能，但根據協議條款，在獲得適當的法院授權之下，執法部門可通過“長臂管轄”直接向對方國家的科技公司請求存取電子數據，將時間縮短至幾周或幾天，不必再通過可能耗時數年的政府流程。而此前兩國只能通過政府層面的“共同法律援助”（MLA）機制為本國執法部門申請數據，往往需要花費半年至兩年時間。這份雙邊協議如同樣本，美國將可廣泛同各國簽署。

二、賦予美國數據“長臂管轄權”的《云法案》

2013年“斯諾登事件”推動了美國將數據跨境流動納入政治議題，與國家安全、網絡安全、隱私保護等政策緊密掛鉤，加劇了各國政府間在網絡空間的戰略博弈與數據資源爭奪。美國一方面在國際上大力推行跨境數據自由流動政策，主張數據本地化是一種貿易壁壘和不正當競爭行為，通過制定相關法律法規為合法調取并存儲他國境內數據提供制度保障;另一方面，通過“長臂管轄”擴大國內法域外適用的范圍，以滿足新形勢下跨境調取數據的需要。《云法案》正是加強美國政府獲取海外存儲數據權力的體現。2018年3月，美國總統特朗普簽署了加強跨境數據流動的政府監管的《澄清境外數據的合法使用法案》，即《云法案》。該法案對1986年出臺的《存儲通信法》（SCA）進行了重新修正，將使聯邦執法部門能夠強制位于美國的電子通信或遠程計算服務提供商披露其擁有、保管或控制的要求數據，無論數據是否存儲在美國或外國都賦予美國政府調取存儲于他國境內數據的合法權力，為獲取他國數據掃清制度性障礙，建立了一個可以繞過數據所在國監管機構的數據調取機制，將美國執法機構的執法效力實質性地擴展至數據所在國，這也在很大程度上改變了全球數據主權的游戲規則。

該法案有幾大顯著特點：一是美國政府可以根據數據的重要性和影響程度不同，對一些重要行業、重點領域或安全敏感的數據實施禁止或限制出境管理;二是該法案采取的是“數據控制者”標準，打破了“服務器標準”，允許調取不在美國境內的電信服務或遠程計算機服務的提供者控制、監管的數據;三是法案對數據調取行為的抗辯設置嚴格的條件，僅包括目標對象不是“美國人”且不在美國居住，披露內容的法律義務將給服務提供者帶來違反外國法律的實質性風險。為此，《云法案》精妙地設計了一套打破各國數據本地化政策屏障的框架。

第一類：數據核心區。美國國內數據或者涉及到“美國人”的數據屬于核心區，嚴格掌握在美國法管轄之下，并受到隱私權保護，其他任何國家都不能單方面獲取該數據。

第二類：數據合作區。法案提出美國與“合格外國政府”基于“禮讓”進行數據信息交換，允許這些國家的執法機關獲得美國公司的境外數據，以換取美國獲得該國公司境外數據的權力。同時，當美國政府在這些國家獲取信息時，信息提供者可以向美國法院提出撤銷或修改動議，以違反該國家的相關法律為由拒絕提供該信息或數據。

第三類：數據自由區。即“非合格外國政府”的信息和數據，只要與美國產生“最底限度聯系”，就完全處于美國的司法管轄之下。美國政府可以隨心所欲獲取相關信息，該國法律對這些信息的保護無法成為信息提供者拒絕提供信息的司法抗辯理由。

由此可見，《云法案》拋開了傳統的雙邊或多邊司法協助條約，單方面賦予美國政府對全球絕大多數互聯網數據的“長臂管轄權”，該做法不僅損害了數據所在國對其境內數據的管轄權，加劇了當前國家間與數據有關的司法主權沖突，也對于強調“隱私保護”乃至“數字主權”的國家構成了極大挑戰。其他國家要調取存儲在美國的數據，則必須通過美國“合格外國政府”審查，需滿足美國所設定的人權、法治和數據自由流動標準。從法案設置的一系列條件來看，可能將對中國數據主權造成較大沖擊。

三、推動建立以美國為核心的全球數據霸權體系

一直以來，美國都是“以數字自由主義”為名，行使“數字保護主義”甚至“數字霸權主義”之實。隨著中美在高科技領域的競爭演化趨勢，地緣政治因素對跨境數據流動政策的影響將進一步加大，以“國家安全”關切為核心的“重要敏感數據”也成為跨境流動限制重心。當前，為進一步擴展在全球的數據霸權，美國正加緊與其領導的多國情報聯盟“五眼聯盟”構筑“數據同盟體系”，強化以“國家安全”為主要考量的數據跨境流動政策的價值取向。

此外，美、歐、日正聯手試圖著手制定跨國數據流通規則，構建基于“共同理念”的“數據流通圈”。今年二十國集團（G20）大阪峰會期間，日本商議與美國商務部、美國貿易代表辦公室和歐洲委員會等機構從2019年開始啟動制度設計，具體議題包括允許個人和產業數據的相互轉移;嚴格限制向個人信息保護體制不完善的國家轉移數據;對違反要求的企業處以罰款，進而打造美、日、歐互認的數據共同體，建立以西方為中心的跨境數據流動規則框架，數據同盟可以意識形態和政治制度劃線，形成明確指向中國、俄羅斯等國的排他性體系，并可能將在美國及其全球性同盟安全網絡中發揮重要作用。

四、維護中國數據主權與國家安全的路徑與建議

面對美國等主要大國借助數據戰略尤其是法律制度設計強化數據治理、數據資源控制的新態勢，我國應立足于維護數據主權的立場，全面加強國家整體數據安全治理能力，打造全球數據安全高地，以掌握數據跨境流動合作的話語權和主動權。為此，應統籌處理好三大關系：一是數據的“出”與“入”，二是跨境數據流動管理的“寬”與“嚴”，三是數據治理中的“集中”與“分散”。加快形成以法律形式明確重要數據的認定標準、基本范圍、保護措施、管理體制和主體責任等戰略管理體系。

首先，建立完善數據保護法律體系。深入貫徹落實《網絡安全法》，加快開展《數據安全法》《跨境數據流動管理辦法》等專項法律法規和政策的制修訂，明確國家各部委監管職權范圍。加強數據泄露威脅情報共享與溯源能力，打造龍頭企業與政府機構之間的快速生態協同系統，對國家安全構成重大威脅的數據泄露事件，綜合利用外交、信息、軍事、經濟、情報以及執法等力量，對其進行威懾和打擊，懲罰惡意網絡行為者。

其次，建立健全行業數據分級分類制度。國家對數據建立區分機制，制定完善行業數據跨境流動分級分類的指導目錄、等級保護條例和管理細則，與現有網絡安全和數據安全管理體系做好銜接。針對不同類型的數據實施不同強度的治理管轄，將重要敏感數據納入到基礎設施保護范疇。加強在能源、電力、制造、交通、通信、金融等涉及關鍵基礎設施以及重要工業裝備領域，制定數據分類管理制度、跨境數據流動合同監管制度、安全風險評估制度。同時，在保護自身數據主權基礎上，也可以尋求對數據本地化原則進行一定突破，如在反恐、跨國走私犯罪、金融犯罪等領域，提供較為便利的可獲得本地數據的途徑，適當允許部分非敏感數據的非本地化。

第三，將跨境數據流動嵌入貿易投資協定中。當前考慮到短期內各國無法形成相互協調的數據流動政策體系，因此，可以把跨境數據流動政策嵌入雙、多邊的貿易投資談判之中。在國與國之間、區域與區域之間體現出多樣性、靈活性，形成不同解決方案。我國應當充分利用“一帶一路”國際合作倡議等契機，在完善國內規則基礎上，由國家網信部門負責牽頭，統籌外交部、商務部等相關部門以及主要龍頭科技企業，啟動跨境數據流動對外合作工作推進機制。在當前各種雙邊、多邊貿易談判中，增加數據跨境流動的談判內容，在加強統籌前提下，實現數據跨境流動規則的統一。

第四，探索構建數據港、數據海關等特殊功能區。通過經濟、法律、技術、管理、國際規則等多種手段，建立健全數據跨境取證、域外管轄等的國際協調機制。可考慮利用特定區域，如上海自貿區、海南自貿區、深圳中國特色社會主義先行示范區等制度創新優勢，探索建立開放、透明且可操作的跨境數據流動監管體系，通過在特定區域建立數據跨境流動自由區，吸引涉及數據跨境業務的一批企業入駐，從技術和政策等方面完善跨境數據流動的解決方案，推動建設全球數據港。

最后，推動制定跨境數據流動的國際治理框架。在各國紛紛主張數據主權情況下，特別是美國歐盟等實施“長臂管轄”對傳統國際執法協作體系構成沖擊的大背景下，應設計符合國家利益和中國企業全球化戰略的執法數據調取方案，積極與各國建立雙邊-多邊的數據執法調取協議，推動建立國際執法協作條件和框架，解決數據管轄沖突。◆

（作者為中國國際經濟交流中心美歐所首席研究員）