印度數據本地化與跨境流動立法實踐研究

胡文華 孔華鋒

1(公安部第三研究所 上海 201204)2(武漢商學院 湖北 武漢 430056)

0 引 言

數據是現代全球經濟的命脈，隨著數字經濟的興起，全球化的深入發展，電子商務、云服務等跨境服務日益頻繁，數據跨境流動也逐漸走向常態化，數據流動成為影響全球經濟貿易的重要問題。2016年麥肯錫全球研究所發布報告指出，貨物、服務、資本和數據的流動將為全球GDP帶來至少10%的增長，相當于7.8萬億美元。其中，互聯網數據流動貢獻了2.8萬億美元。在此背景下，一方面，倡導數據自由化，減少貿易壁壘已成為新一輪多邊、雙邊談判的重要議題。另一方面，基于維護國家安全、社會公共秩序、保護個人隱私、提升執法效率、促進本土產業發展等需要，各國紛紛采取數據本地化措施，限制數據跨境流動。

作為實施數據本地化與跨境流動限制政策的典型國家，印度隨著其數據經濟的發展，近年來相繼頒布了一系列的重要法律或文件，傾向于實施廣泛的數據本地化和數據跨境流動限制。但國內尚未見到對之進行系統的梳理和研究的文獻。鑒于印度的信息產業環境、發展水平、發展目標與我國存在諸多類似之處，在我國《網絡安全法》第37條規定的數據本地化與出境細則尚不明晰，數據本地化與跨境流動制度設計尚在探索之際，研究印度相關立法實踐對我國網安法第37條的完善，乃至數據本地化與跨境流動制度設計具有重要的現實意義。

本文將重點梳理印度數據本地化與跨境流動的主要立法，介紹其具體內容，分析其立法動因，考察其國際反應，并對我國相關立法進行反思。

1 印度數據本地化與跨境流動典型立法及特點

早在1993年《公共記錄法》中，印度就規定除為“公共目的”外，禁止公共記錄向印度境外傳輸。近年來，隨著印度數字產業的發展，印度對于數據本地化與跨境流動的限制逐漸增多。

1.1 主要立法

2018年4月，印度儲備銀行發布通知，要求印度境內支付服務提供商將支付數據僅在印度境內存儲，并提交相應的合規審計報告。同時將2018年10月15日確定為各公司執行“數據本地化”的截止日期[1]。之后，印度又相繼頒布了《電子藥房規則草案》、《個人數據保護法草案2018》以及《印度電子商務國家政策框架草案》。上述一系列草案對數據本地化和跨境流動做出了諸多規定，代表著印度數據本地化與跨境流動最新的立法態度和政策傾向。

1.1.1電子藥房規則草案

為規范電子藥店的在線銷售行為，2018年印度健康和家庭福利部發布了《電子藥房規則草案》(Draft E-pharmacy Rules)。該草案規定，電子藥店的所有者應對其收集的處方信息和用戶信息進行保密，不得違法披露。通過電子藥房門戶網站生成的數據均需在印度本地維護，不得以任何方式向印度境外傳輸或在印度境外存儲[2]。

1.1.2個人數據保護法草案2018

2018年7月，印度發布《個人數據保護法草案2018》(Personal Data Protection Bill 2018)[3]。該法案總體上效仿歐盟GDPR的規定，引入了域外管轄權、數據可攜權、被遺忘權等新權利，隱私影響評估、通過設計保護隱私等新機制，增強印度的個人數據保護水平。其中，該草案第八章專門對個人數據的跨境傳輸加以規范。該法案將個人數據分為一般個人數據、敏感個人數據和關鍵個人數據(critical personal data)。其中敏感個人數據包括密碼、財務數據、健康數據、官方標識符、性生活、性取向、生物數據、基因數據、宗教或政治信仰等。關鍵個人數據則由印度政府確定后再行公布。

對于一般個人數據，根據該草案的規定，可通過充分保護水平認定機制、標準合同或集團內部計劃機制、數據保護局批準機制、數據主體的同意機制進行跨境傳輸。其中，充分保護水平認定機制、標準合同或集團內部計劃機制與歐盟GDPR框架下的充分性認定和有約束力的行為規則、標準合同條款機制類似。對于敏感個人數據，該草案規定，只有滿足為特定人員或機構提供健康服務或緊急事件服務所必須，且數據接收國為印度中央政府確認的提供充分保護水平的國家等條件時才能進行傳輸。在數據本地化方面，草案規定，對于一般個人數據和敏感個人數據，數據受托人應當至少在印度境內的服務器或數據中心中存儲一份其處理的個人數據副本，印度中央政府基于國家因素的考量可豁免一般個人數據的本地化義務；印度中央政府認定的“關鍵個人數據”則僅能在印度境內的服務器或數據中心處理。

此外，為規范數據跨境流動，草案還引進了GDPR中的行為準則機制，印度數據保護局可以發布數據跨境傳輸行為準則，或批準行業組織、貿易協會或其他機構提交的行為準則，以促進數據保護的良好實踐。并且，規定行為準則的制定應當滿足透明度要求，咨詢相關行業主管部門和利益相關方。

1.1.3印度電子商務國家政策框架草案

2018年8月，印度發布了《印度電子商務：國家政策框架草案》(Electronic Commerce in India: Draft National Policy Framework)[4]。該草案明確印度將逐步采取措施，推進數據本地化存儲，例如建立數據中心、使用境內服務器等。但該草案也列出了五種不受數據本地化或跨境規則限制的數據，包括：1) 不在印度收集的數據；2) 印度境內企業基于合同所需向境外以B2B模式傳輸的數據；3) 與軟件和云計算服務相關的技術數據；4) 跨國公司基于內部系統所需跨境傳輸數據；5) 符合規定標準的初創企業的數據傳輸。

此外，該草案還規定：IOT設備在公共空間收集的團體數據(Community data)，電子商務平臺、社交媒體、搜索引擎等產生的數據僅能在印度境內存儲。

1.2 立法特點

雖然上述諸多立法尚在制定中，但從其目前公布的版本可以看出，印度數據本地化與跨境流動立法有以下特點：

1) 將個人數據納入數據本地化的規制范疇 印度《個人數據保護法草案2018》在很大程度上也借鑒了歐盟GDPR的規定。但與GDPR不同的是，印度《個人數據保護法草案2018》不僅對個人數據的跨境流動機制做出了規定，還將其納入數據本地化規制的范疇，要求個人數據在本地存儲。作為印度數據本地化立法典型代表的《印度電子商務國家政策框架草案》也并未將個人數據加以特殊處理，而是統一適用數據本地化規則。由此可見，對于印度立法者而言，個人數據不僅是數據跨境流動所規范的對象，也是數據本地化的重要規制對象。

2) 區分數據類型，實施分級分類管控 通過梳理印度數據本地化與跨境流動主要立法不難發現，印度建立了廣泛的數據本地化要求，但并未針對所有類型的數據施加同一種規制方式，而是根據數據類型的不同加以分別管控。

針對支付數據、IOT設備收集的數據、社交數據以及搜索記錄，印度實施了高度嚴格的數據本地化要求，禁止該類數據的離境。在個人數據方面，印度《個人數據保護法草案2018》將個人數據劃分為一般個人數據、敏感個人數據和關鍵個人數據，并對敏感個人數據、關鍵個人數據的本地化和跨境設置了更嚴格的要求。

3) 多種監管機制并行，設有豁免規則 在個人數據跨境流動方面，印度充分借鑒了歐盟經驗，引入了多種數據跨境傳輸可行機制。例如：充分性認定機制、標準合同機制、集團內部計劃機制、數據保護局批準機制等。此外，還設有一些豁免性條款。例如：《個人數據保護法草案2018》規定，印度中央政府可以豁免部分一般個人數據的本地化要求；《印度電子商務國家政策框架草案》則明確了跨國公司內部業務數據傳輸、云服務相關數據傳輸等五種無需遵守數據本地化或跨境傳輸要求的數據。

2 印度數據本地化與跨境流動立法動因及國際反應

在數據本地化與跨境流動限制成為全球一大立法趨勢的大背景下，印度強勢推進其數據本地化與跨境流動政策有其自身的價值考量。其數據本地化政策也引來了國際社會的諸多爭議。

2.1 立法動因

對于為何密集推出數據本地化與跨境流動立法限制，印度官方并未正式做出明確解釋。僅在印度儲備銀行要求支付數據本地存儲時，在該行發布的《關于發展和監管政策的聲明》中指出，新支付系統、平臺的出現使得印度的支付生態系統大大擴展，為確保支付系統數據的安全性，保持數字支付的健康增長，需要對支付數據采取持續性的監控，但數據的境外存儲不能滿足相應的監督目的[5]。這在一定程度上可理解為印度要求支付數據本地化是基于保障數據安全性，滿足執法監督的需要。但這一理由遭到了諸多質疑，諸多分析人士認為，數據本地化并不能有效提升數據的安全性。此外，基于執法目的，并不需要數據在印度境內唯一存儲，數據鏡像同樣可以滿足上述需求。

綜合各種因素分析，與諸多國家基于國家安全、執法便利或保護個人隱私等立法目的不同，促進印度本土數據產業的發展是印度數據本地化與跨境傳輸立法的核心驅動力。一直以來，數據被稱為數字時代的新石油，具有巨大的經濟價值和戰略價值，并成為推動第四次工業革命的核心動力。印度物聯網、機器學習、人工智能等新一代技術的發展均需要數據支撐，而印度擁有龐大的人口和市場，在此基礎上產生了大量數據。根據房地產和基礎設施咨詢公司Cushman和Wakefield的報告，印度的數字化數據在2010年約為40 000 PB，到2020年可能會達到2 300 000 PB，是全球速度的兩倍。數據本地化不僅為印度發展新技術提供了基礎資源，同時也為印度本土的數據中心、數字基礎設施服務市場的發展提供了契機。咨詢公司預測，如果印度擁有上述所有數據，到2050年它將成為數據中心市場的第二大投資者，全球第五大數據中心市場[6]。在此背景下，作為一個急需促進經濟增長的新興經濟體，印度需要重新定位其在數據推動經濟發展的世界貿易中的位置，為其在全球數據經濟中爭取優勢。以期繼英國、美國、中國主導前三次工業革命之后，將印度打造成為工業革命4.0時代第一個成熟的經濟體。

因此，有理由認為，印度以數據保護為支點，進行數據本地化與跨境傳輸立法真正旨在解決的問題是，依托印度巨大的用戶市場，實現數據資源的原始積累，同時推進本土數據中心、數字基礎設施的建設，通過數據本地化進而實現數據價值的本地化。

2.2 國際反應

對于印度的數據本地化要求，印度本土企業以及監管機構大多持贊成態度。印度國內數字支付平臺Paytm表示將完全遵從本地化規定，并認為在印度支付生態系統中應當有印度本土企業，反對全球巨頭對印度市場的壟斷。印度支付委員會認為，集中數據有助于通過大數據分析改善防欺詐技術，最終使印度用戶受益。電話支付和銀行業務關系監管機構表示，印度有足夠的能力建立強大的風險管理框架，任何有興趣為印度支付長期增長做出貢獻的參與者也應愿意在這里投資建立基礎設施[7]。但在國際層面，在全球化深入發展的當下，印度的數據本地化與跨境流動政策產生引來了國際社會的諸多爭議。

行業層面，作為僅次于中國的世界第二大市場，印度的數據本地化政策引發了諸多印度境內的外國企業，尤其是美國企業的強烈反對，認為數據本地化將增加其在印度的運營成本，影響其盈利能力。也有企業認為數據本地化不僅僅是個商業問題，還可能導致政府監控泛濫，損害用戶權益。目前，亞馬遜、微軟、SAP等公司正積極通過行業協會游說或國家施壓等途徑，要求印度放寬其數據本地化要求。

政府層面，印度數據本地化規定引來了歐盟和美國的激烈反對。美國方面，美國商務部對于美國企業的訴求表示支持，并計劃將印度的該項監管要求納入接下來的印美貿易談判中[8]。此外，美國參議員也致函印度總理稱，印度的數據本地化將會阻礙數字貿易的進一步發展，成為兩國間的“關鍵貿易壁壘”[9]。歐盟方面，針對印度《個人數據保護法2018草案》，歐洲委員會向印度電子信息技術部正式提交意見。其中，歐盟表示印度的數據本地化立法無論從經濟政策考量還是從執法便利的角度考量都是不必要的。數據本地化將阻礙印度數字貿易的發展。從執法角度看，該舉措也不是解決當前執法數據跨境調取困境的有效途徑[10]。

3 對我國數據本地化與跨境流動的立法反思

我國《網絡安全法》第37條對關鍵信息基礎設施境內運營過程中產生的個人數據和重要數據實施了數據本地化要求，并規定了數據出境評估制度。目前，該條的配套規范《個人信息和重要數據出境安全評估辦法(征求意見稿)》、《信息安全技術 數據出境安全評估指南(征求意見稿)》也在加緊推進中。通觀印度此番數據本地化與跨境流動立法及其面臨的諸多爭議，有諸多問題值得我國在未來相關立法中加以關注或反思。

3.1 厘清數據本地化與跨境流動差異化訴求，區分規制對象及規則

網安法第37條將個人數據與重要數據并列，均要求數據本地化，并在數據本地化的基礎上適用出境評估機制的制度設計是否科學合理。

雖然，印度此次立法將個人數據納入本地化范疇，但此舉沒有國際慣例的支持，主要也不是基于國家安全、公共安全等考量。該立法也遭到諸多反對，包括在其立法過程中一直給予支持的歐盟。雖然數據本地化與數據跨境流動密切相關，但二者并非完全一致。從國際立法例上看，從1980年OECD制定的《關于隱私保護與個人數據跨境流動的指南》到歐盟95指令，再到最新實施的GDPR。數據跨境流動的立法主要集中于個人數據，屬于個人數據或隱私保護領域的問題。而數據本地化則主要針對的是個人數據之外的數據類型(例如美國針對政府云服務數據、重要技術數據；韓國針對地理數據，加拿大針對銀行金融數據，荷蘭針對公共數據)，主要基于國家安全、公共安全、執法便利等目標。因此，對于個人數據與重要數據規范有著不同的立法訴求，相應的規則也應當有所不同。

對于個人數據，其更多的是對個體權益保障。基于此，對其進行規范的原則應為“以安全保障為基線，以自由流動為目標”，而不是要求本地化。對于重要數據，基于其與國家安全、公共安全等的強相關性，則應以數據本地化為原則，數據出境為例外。相應地，涉及出境評估時，個人數據與重要數據的評估重點也應當有所不同。

3.2 融合數據分級分類理念，平衡數據本地化與跨境流動自由

印度此次立法雖有尚不完善之處，但亦不乏亮點。其中，《個人數據保護法草案2018》將個人數據劃分為一般個人數據、敏感個人數據以及關鍵個人數據，并分別實施了不同程度的要求，充分將數據分級分類管控理念融入立法，體現了印度在要求本地化的同時，也在努力平衡與數據自由流動的問題。我國未來在數據本地化與跨境流動機制設計時，也應當充分融入數據分級分類的理念，針對不同的數據加以區分管控。

3.3 積極參與國際網絡空間治理規則構建，增強國際影響力

伴隨著數字經濟全球化程度的加深以及全球互聯網日益緊密的結合，跨境數據流動已經成為時代發展的必然要求。另一方面，不同主權國家規制傳統與制度環境的差異使得跨境數據流動的規制沖突日益嚴重，達成政策共識的可能性日漸困難[11]。在數字全球化時代，尤其是在數據本地化和跨境傳輸領域，簡單的單邊主義已經不能適應時代的需求。國際多邊規則成為各國主張和推行符合本國利益訴求，同時尋求國際共識的重要渠道。當前，WTO《服務貿易總協定》、OECD《關于隱私保護與個人數據跨境流動的指南》、APEC《隱私框架》與《跨境隱私規則體系》，及TPP規則為規范數據跨境流動的重要國際規則。縱觀各國立法，不難發現，在分歧巨大的當下，加強國際合作，成為各國數據本地化和跨境領域的重要措施。

例如，歐盟修訂后的《第108號公約》特別新增了國際合作條款，強調在數據領域國際合作的重要性，并通過充分性認定機制，積極推進歐日、歐韓等國的數據流動雙邊協議，構建歐盟的數據跨境流動“同盟圈”。美國方面，雙、多邊貿易協議已成為美國推進其數據流動政策的主要渠道。自2002年以來，美國已與澳大利亞、智利、摩洛哥、阿曼、秘魯、新加坡、中美洲諸國、巴拿巴、哥倫比亞、韓國等簽訂了雙邊自由貿易協定，推行數據貿易自由化的原則。在美韓自由貿易協定的跨境服務一章，新設相關條款禁止數字貿易壁壘，特別是本地化要求。2016年歐美新簽訂的《歐美隱私盾協議》，2018年9月美國、墨西哥、加拿大簽訂協議(USMCA)均對數據跨境與本地化做出了規范。此外，美國還通過亞太合作組織(APEC)，積極推進《APEC跨境隱私規則體系》(CBPRs)的實施，試圖通過推進“數據日內瓦公約”(Geneva Convention on the Status of Data)，推行美國的數據流動政策。

印度數據本地化與跨境流動立法引起的國際反應充分體現了各國在數據跨境和本地化立法方面的利益沖突和博弈。如何有效應對國際上對印度的不良反應，同時促進印度數字產業良好生態的建立，是印度亟需應對的問題。不能妥善處理這些問題，可能會對印度的國際關系、產業投資均會帶來巨大的沖擊。

我國網安法對于數據本地化與跨境流動的規定也面臨著印度本地化立法類似的境遇。2017年美國針對我國網安法第37條的數據跨境安全評估制度向WTO提交文件，以阻礙數據自由流動為由，要求WTO敦促中國暫緩實施該措施。這一系列的事件充分表明在數字全球化時代，尤其是在數據本地化和跨境傳輸領域，簡單的單邊主義已經不能適應時代的需求。我國應當積極參與國際交流與合作，積極推進國際雙邊或多邊規則的建立，為我國在國際領域話語權的建立以及未來相關制度的順利有效落實減少阻礙。

4 結 語

隨著大數據、云計算、人工智能等新一代信息技術的飛速發展，數據價值不斷攀升，國際社會圍繞數據資源的爭奪和博弈愈發激烈。在此背景下，數據本地化成為全球又一立法趨勢。如何審慎、科學地制定數據本地化與跨境流動立法和政策直接關系到個人、產業、國家等多方主體的利益保護。

綜合分析印度數據本地化與跨境流動立法現狀及國際社會的諸多反應，未來我國在制定相關立法及政策時應注意厘清數據本地化與跨境流動差異化訴求，區分規制對象及規則；融合數據分級分類理念，平衡數據本地化與跨境流動自由；積極參與國際網絡空間治理規則構建，增強國際影響力。