跨境數據流動的現狀、分析與展望

王 娜 顧綿雪 伍高飛 張玉清1, 曹春杰

1(西安電子科技大學網絡與信息安全學院 西安 710126) 2(中國礦業大學計算機科學與技術學院 江蘇徐州 221000) 3(中國科學院大學國家計算機網絡入侵防范中心 北京 101408) 4(海南大學計算機與網絡空間安全學院 海口 570208)

1 數據跨境大環境

隨著互聯網、傳感器以及數字化終端設備近年來的迅猛發展，世界正在走向萬物互聯的時代.海量數據的挖掘和運用讓數據的價值逐漸凸顯，甚至已經成為各個國家爭奪和保護的重要戰略資源.而信息跨境流動更是成為了當今世界跨境交流過程中的國際新常態.然而，新事物的出現，必將會帶來新的機遇和挑戰.

自1980年OECD頒布《關于隱私保護和個人跨境數據轉移的指南》以來，跨境數據流動逐漸在國際社會占據舉足輕重的地位.發展到現在，歐洲法院裁決已經2次廢止歐美間個人數據跨境流動協議(《安全港協議》和《隱私盾協議》)，分析背后的緣由，可見其雙方在部署上的根本性差異.雖然現階段各個國家都在積極部署相關政策和法律法規，但國際上還無法針對數據跨境制定和使用單一標準的法律規制和管轄模式，這也是數據跨境現如今在社會各界引發強烈反響和討論的原因所在[1].

2 數據跨境簡介

2.1 數據跨境概念

跨境數據流動，也被稱為“數據跨境傳輸”“數據的國際流動”等，數據跨境基本流程如圖1所示.其中，跨境國家、數據主體和數據跨境公權中心始終擁有密不可分的關系，從數據主體進行數據搜集、存儲、使用、加工、披露、傳輸、修改以及刪除，再到數據跨境時數據跨境公權中心介入，數據主體始終掌握對個人數據的知情權和決定權；并且，跨境國家保護當局享有對該過程中安全技術、法律法規進行審查和對數據跨境的監管等職責.數據跨境公權中心需要成立聯合數據跨境機構，建立通用的數據跨境平臺，頒布適用的數據跨境國際法，同時，該中心依照國際法，享有對數據跨境過程中數據流通安全和監管等職責.

圖1 數據跨境流動流程圖

對于數據跨境的概念，國際上也并未給出統一明確定義，綜合現如今學術界和社會對數據跨境流動的研究可知，理解主要有2類：

1) 數據在跨越物理國界的傳輸和操作;

2) 數據雖然沒有跨越國界，但是可以被第三國的主體訪問和使用[2].

2.2 數據跨境的利弊簡述

2.2.1 數據跨境的弊端

眾所周知，小到個人身份，大到軍事政治、公安司法等，互聯網時代下的數據都包含了大量敏感信息，或事關個人隱私，或關聯國家安全，因此針對數據保存和使用，禁止數據跨境，可以有效防止數據在流通過程中出現風險和泄露問題，從根源上杜絕威脅社會和國家安定事件的發生.

2.2.2 數據跨境的益處

首先，現如今許多企業貿易規模遍布世界各地，若是強行在國界之間建立“數據傳輸壁壘”，必然會對企業和國家之間的正常交流和經濟往來造成極大影響.其次，數據跨境流動還是信息技術升級創新的必經途徑.大數據、物聯網等新技術以數據為核心，集算法、算力于一體，如果過于強調數據本地化，將難以讓數字經濟煥發新生活力.最后，數據跨境流動還是構建全球人類命運共同體的必然要求.2020年新冠肺炎疫情讓我們更加認定，只有世界各國加強合作，共享科研數據和信息才能更好地應對全球問題.

綜上，數據跨境中的風險固然難以避免，但是，禁止數據跨境會限制甚至扼殺國家或企業發展的潛能，對經濟、政治、科技等重要領域的影響都是十分深遠的.因此，我們的重心不應放在如何加強數據本地化，而是應該思考如何通過法律規制和現有技術提升為數據跨境流動保駕護航.

3 個人數據跨境現有分類研究總結

數據跨境流動近年來已經成為學術界的研究熱點，數據跨境所涉及的安全技術不同，每個國家監管機制不同，對數據跨境的態度以及戰略部署就會出現差異，下面從不同國家數據安全技術和監管機制為切入點，對跨境個人數據隱私保護現有研究成果進行總結和分析對比.

3.1 個人數據簡介

個人數據是指與已識別或可識別的人有關的任何數據，如公民的姓名、電話號碼、身份證號等信息.現如今科技的進步還將個人數據的范圍逐漸擴大到由軟件、通信、隨身設備所產生的與數據主體相關的數據.

相較于起步早的歐盟(BCR)和美國(加入亞太經合組織，CBPR)，我國針對個人數據跨境流動的法律規制體系尚處于不成熟的階段，因此，學術界在此領域的研究更多集中于歐盟與美國的規制分析.

3.2 數據跨境安全技術層面

3.2.1 國外數據跨境安全技術現狀

美國在數據跨境安全的戰略重點始終是基礎設施的建設，為此，美國政府先后部署7項保護安全基礎設施的計劃，其中包括：信息共享計劃、研究與開發計劃、完善法律法規戰略計劃、確定伙伴關系計劃、組建工作機構計劃、保障政府網絡安全計劃和網絡安全教育計劃.此外，針對數據安全技術，美國國家標準與技術局(NIST)和國家安全局(NSA)通過合作開發了大量防火墻等安全產品，并搭建聯邦計算機入侵檢測網絡和開源數據庫系統Accumub，致力于龐大的云計算大數據安全技術設施建設.同時，美國國防部高級研究技術局(DARPA)于2017年啟動SHARE項目，試圖創建新的數據共享技術用于全球數據的收集和存儲.此外，美國在數據跨境戰略計劃中使用多尺度異常檢測技術，旨在實現對跨境數據的異常檢測[3].

歐盟在數據跨境安全技術上，以其“歐盟空間信息基礎設施”建設為基礎，采用通用的網絡服務技術和松耦合應用集成技術實現跨境數據傳輸[4].2011年8月，歐盟宣布啟動EUDAT項目，旨在建設一個橫跨歐洲的協作式科學管理技術設施[5].同年12月，歐盟啟動“開放數據戰略”并開發數據門戶網站Europa.eu，實現科研人員和數據管理人員的跨境數據交換與存儲.此后，歐盟先后啟動DASISH和DwB項目，前者通過數據清洗技術提高數據質量，并利用安全存儲技術實現數據的安全存儲和監管，建立了一個安全共享的跨境數據獲取框架[6]；后者通過整合歐洲各國統計結構的數據和歐盟的數據集，利用用戶認證技術和安全訪問控制技術，建立通用的用戶跨境認證程序和數據跨境獲取條件，開發適用于歐盟成員統一的元數據服務系統[3].

英國目前擁有全球領先的高性能電腦芯片ARM架構技術，建立了多個世界一流的高性能計算研究中心，為英國數據跨境開放戰略提供了軟件和硬件支持[7].同時，英國政府積極開展國際合作，與美國著名的數據處理公司Cloudera進行Hadoop系統開放和應用，為數據跨境開放戰略提供技術支撐.2012年5月，英國政府成立世界上首個開放式數據研究所ODI，此外，英國政府在2013年投資1.89億英鎊用以支持大數據安全技術的發展，并成立數據戰略委員會，從而推動了數據的開放[3].

俄羅斯強調的是數據本地化原則，同時也學習歐盟數據跨境安全技術，來實現跨境數據傳輸[3]；印度采取數據副本管理技術(CDM)且關鍵個人數據只允許國內數據中心處理，在一定程度上允許數據跨境[6]；日本主要參照歐盟安全技術方案，對境外的個人敏感數據進行安全加密，同時利用身份認證程序進行跨境數據的安全存儲[8].

近年來，國家標準化組織(ISO)針對跨境數據流通，定義了一個隱私參考體系結構框架，針對數據跨境實體，利用匿名和身份認證技術，實現跨境數據的隱私保護.同時，針對跨境數據分散存儲問題，利用分布式存儲技術，拓展云存儲能力，從而挖掘海量數據信息.此外，利用機器學習模型，建立了完善的隱私風險評估體系[9].

3.2.2 我國數據跨境安全技術現狀

我國則利用傳輸安全和SSL/VPN技術、數字加密和數據恢復技術、身份認證和強制訪問控制技術、數字水印等溯源技術，為數據跨境提供安全保障[10].同時，我國采取數據防泄露(DLP)技術、云平臺數據安全等專用技術對數據進行安全存儲.目前，國內很多地區開始以訪問控制和核心數據保護為基礎，從入侵檢測、權限管控等角度進行全面管理，有效防止隱私信息的泄露[11].此外，我國還利用支付標記技術，使得敏感信息無需留存，降低欺詐交易的發生概率.目前，國內正在探索使用人工智能技術和區塊鏈技術解決數據跨境中可能存在的數據樣本學習和數據溯源問題[12-13].

3.3 數據跨境監管政策層面

3.3.1 歐盟現狀

歐盟的個人數據保護機制最初建立在1995年頒布的《關于個人信息處理保護及個人信息自由傳輸的指令》(以下簡稱95指令)基礎上[14]，而2016年4月頒布的《通用數據保護條例》——GDPR，對數據保護提出了更高要求(增加懲罰機制)，旨在保障歐洲同盟國之間的數據流動行為可以順利進行.此外，歐盟國家在個人數據保護領域還可具體參考和兼容國家本土保護法.

1) 歐盟數據出境規定

針對數據出境情況，歐盟的數據控制者可以通過以下3種方式實施數據跨境活動：

① 數據傳輸至“充分性認定”地區；

② 充分保障措施；

③ 例外場景(包括用戶同意或者執行合同需要等，不作主要介紹).

其中，“充分性認定”機制是指通過“充分性認定”確定的少數允許數據自由跨境的國家的白名單.如果在歐盟之外的國家或第三方的數據保護水平達到了歐盟認證的“充分保護”水平，即可以在不采取進一步保護措施的前提下自由傳輸數據.

“充分保障措施機制”的設立是為了讓不滿足“充分性認定”條件的國家和第三方也能在一定情況下進行數據跨境流動活動：

① 數據控制者或處理者可提供“適當保障”；

② 以國家擁有可強制執行的并且可以為數據主體的權益提供保障的法律體系和補救措施為前提，在無法滿足“充分保護機制”的情況下，歐盟為企業提供了其他的數據跨境轉移機制.

2) 國外數據入境規定

若國家屬于出境規定中提到的“白名單”，則在GDPR規定的范圍內，數據可以實現自由流動，若不屬于，歐盟也沒有強制要求數據本地化，理論上企業可以選擇多種渠道實現跨境流動[15].

3.3.2 美國現狀

美國對個人數據的保護分散于多部法律中，如《金融消費者保護法》《電子通信隱私法》等[15]，而且保護途徑以企業的自我監管居多.

在對待個人數據方面，美國顯然更加看重數據自由流動及其帶來的經濟效益，因此美國在原則上鼓勵對個人數據進行商業使用，在特定條件下才加以規制.在對外政策上，美國對市場的開放度和對數據的限制政策的關注度也明顯高于其他國家.

3.3.3 中國現狀

中國雖然互聯網起步較晚，但隨著數字時代發展，我國的個人信息保護體系也在逐漸完善.通過分析總結，可知我國對個人數據保護的具體措施及其特點有以下幾點[16]：

1) 采取個人數據本地化存儲措施來保護個人數據中的隱私權；

2) 通過個人數據跨境前應征得主體同意的方法來保護個人隱私權；

3) 通過實現個人數據跨境流動的安全評估制度來進行個人隱私權保護.

3.4 小 結

因為歐盟和美國政策各有所長，也有其明顯的弊端[3]，我們既可以采用融合式個人數據跨境流動規制模式，汲取歐盟和美國雙模式的有益經驗，在現有基礎上為個人數據跨境自由流動開放更大的空間[16]，也可以建立分級分類跨境數據流動管理體系，支持企業在保障安全的前提下充分挖掘數據價值[7].

4 主要國家數據跨境研究對比分析

隨著全球國家之間的交流越來越頻繁，數據市場已經不僅僅局限于個人數據的流通[17]，表1為各主要國家對數據跨境流動的總體布局戰略以及法律監管制度的特點和區別作了對比分析：

1) 歐盟(成員國).統一標準的設定雖然保障了個人數據權利，但是，程序的冗雜和標準過高等特點極大地阻礙了數據的跨境自由流動.

2) 美國.以組織機構為基準，以問責制原則為核心的規制路徑會導致規制功能下降，懲罰力度小，威懾力有限.

3)俄羅斯.以地理區域為基準、以數據本地化為基本原則，但高度集中有時往往更易受損，甚至成為國內政府監視公民行為的借口.

4) 澳大利亞.規制路徑是在保護數據主體隱私權的基礎上，調配經濟利益的產物，但由于過于兼顧多方面，部分功能會因此而減損，限度也難以掌控.

5) 日本.日本數據跨境受歐美規則和理念的較大影響.政策推進起步晚但效率高，政策方向沿“國內—雙多邊—全球”由內及外的路線推進，對全球規則形成具有自身獨特優勢[8].

6) 印度.將個人數據納入數據本地化的規制范疇，在區分類型的基礎上,對數據分級分類管控，多種監管機制并行,并設有豁免規則[6]，但由于強勢推進數據本地化，會增加運營成本，容易阻礙印度數字貿易的發展.

7) 韓國.個人數據跨境流動采用“數據主體明確同意”原則.韓國以《個人信息保護法案》為基本通則，通過緊追時代變化的更新與修訂，實現從跨境數據流動治理架構到治理形態的不斷迭代[18].

8)中國.相比于歐盟和美國等其他世界主要國家，中國的數據跨境管理體系還不夠成熟，在未來完善的過程中還需要注意很多方面的短板.

表1 主要國家政策特點對比圖

5 數據跨境全球總體態勢和挑戰

縱觀全球數據跨境局勢，主要呈現三大趨勢[5]：

1) “數據本地化”使得跨境數據流動與數字服務貿易呈現“有限性特征”；

2) 對涉及國家安全利益的數據采取“靈活化”對策；

3) 數據主權爭奪加劇.

國際上不同的國家，數據領域情況不同，對數據側重點和處理要求均不一樣，在引入現有法案時都需要有自己的思考，以便法案更大化地適應國家現狀，而不是照搬照抄，一成不變；此外，近年來的數據跨境實踐證明，現行的法案也面臨許多問題和挑戰[19]：

1) 隱私泄露隱患.

由于差異性的存在，當數據在保護水平比較低的國家或地區進行流動時，有很大可能導致因技術管理支持不到位或者法律規制體系完善不足而出現的數據泄露情況的發生.

2) 外國政府情報監控.

跨境數據流動情況下，國家情報安全領域已經無法得到萬全的保障，外國政府很有可能通過數據跨境這一手段獲取本國重要領域的敏感數據，這也是為何近年來各國針對企業數據跨境流動積極部署并不斷加大監管力度的重要緣由.

3) 本國產業發展滯后.

跨境數據流動的合法化極有可能導致資源不斷向掌握技術和管理優勢的國家集中，這雖然可以節約企業的成本，但缺乏數據資源不利于用戶所在國的產業發展.數據本地化原則的出臺，除了是出于保護隱私的需要，另一方面也是為了保障本國數字產業的發展和利益.

因此，在無法統一數據跨境處理標準的情況下，我們只有緊跟時代變化，不斷完善我國建立的的數據跨境流動管理體系，做到同時保障安全和發展需要，才能更好助力我國的數字經濟穩步向前.

6 對我國的啟示和建議

6.1 中國數據跨境基礎設施和管理體系的不足

6.1.1 數據跨境安全技術薄弱

我國的數據跨境安全技術仍處于研究和摸索階段，與國外的現有能力和水平還存在一定的差距.首先，在跨境數據平臺構建方面，缺乏一個安全通用的數據跨境流通平臺.在跨境數據平臺防攻擊方面，在數據跨境情況下擴大的防護邊界和更加隱蔽的攻擊方式仍然無法做到全面覆蓋，以至于一旦出現新的攻擊方式或者漏洞問題，平臺的魯棒性難以得到保障.其次，針對跨境數據本身，數據的安全共享、非結構化數據庫的安全防護以及數據泄露溯源技術仍需迫切解決.同時，敏感數據所對應的密文計算技術、數字泄露追蹤技術的發展無法滿足數據跨境中實際的應用需求.最后，數據跨境應用場景下的個人信息隱私保護需要構建以安全技術為保障的架構體系.目前使用的匿名化技術、身份認證技術等普遍存在運算效率過低、身份泄露等問題，無法滿足數據跨境環境下的隱私保護需求.

6.1.2 與現行國際規則不兼容

“數據本地化”政策不僅與世貿組織聲明中“謀求禁止數據本地化”的主張和立場難以契合，還會導致目前我國難以參與到發達國家主導的雙邊/多邊合作框架(如GDPR、APEC的CBPR)以及新一輪貿易協定(如CPTPP，USMCA等)中.

6.1.3 監管制度不夠靈活

我國在個人信息數據出境安全評估方面將所有審批工作交由監管部門負責.雖然這有利于避免數據跨境流動過程出現安全問題，提升監管水平，但是，全面審批在一定程度上會增加相關部門的監管壓力和運營成本.

6.1.4 數據保護意識還未完全形成

在數據跨境治理體系還不完善的情況下，組織違規收集、使用數據的情況已經頻繁發生.而數據跨境流動，意味著傳輸過程中會牽涉到不同國家的不同權利主體，在傳輸環節的監管方面也存在許多差異，因此，數據保護理念滯后所產生的監管框架漏洞將面臨較大的安全風險.

6.1.5 管理國際上跨境數據的統一規制缺失

相較于歐盟和美國均根據自身發展意愿側重于不同的數據戰略，推進數據監管和治理頂層設計，作為世界主要國家和數據大國，中國尚還沒有一套清晰的規制和國際戰略，法律法規也較為分散，不成體系，這可能使得“數據孤島”情況加劇，導致大國加深“數據壟斷”，削弱數字治理的國際規則主導權.

6.2 國外跨境數據流動的啟示

目前美歐正借助本國數據跨境戰略強化規則主導權，企圖未來掌控和決定世界貿易發展的前進道路，中國應該做的就是借助自身發展優勢，從技術、制度出發，探索適合中國的跨境數據管理模式和治理體系，強化規則主導權.

6.2.1 研發數據跨境安全技術，加強基礎設施建設

首先，我國應該開展數據跨境安全技術體系研究，與國際上進行合作實驗，形成具有國際通用的數據跨境安全平臺，明確數據跨境安全技術防護手段，加強基礎設施建設；其次，鼓勵高校、科研機構和企業組建產學研跨境數據安全技術聯盟，成立聯合實驗室，助推跨境數據安全技術的研究進程；最后，對于新型跨境數據安全技術的最新前沿成果，積極開展落地應用工作，加速成果轉化與落地應用，從而完善和增強數據跨境安全保障能力，加強數據的要素作用，推動數據驅動創新[20].

6.2.2 推進分級分類分區域監管制度

在如今數據大環境下，我們需要兼顧全球貿易發展態勢和本國隱私保護，因此，提出以下建議：

1) 嘗試對涉及國家安全的敏感數據及關鍵基礎設施建立配套的分級管理制度、跨境數據流動合同監管制度以及安全風險評估制度；

2) 成立專門的數據保護監管機構，負責跨境數據流動系統化制度的構建以及審查、監督企業；

3) 對行業內的重要數據或者大型互聯網公司率先開展數據出境管理實踐.

6.2.3 構建完善的跨境數據流動管轄與信任體系

我國可以在從其他國家汲取經驗的同時，制定出臺屬于我國的數據管理框架，完善數據在收集到出境整個過程中各個環節的政策環境.此外，歐盟模式下的“白名單制度”也可以作為我國完善數據跨境制度的參考方向和借鑒方法，將部分國家或地區納入信任體系，以支持國家之間的數據自由流動.

6.2.4 將跨境數據流動嵌入國際貿易投資協定

考慮到當前世界各國立場差異明顯，我國應該以自貿談判為切入點，深度嵌入雙多邊貿易協定.積極與重要國際貿易伙伴國協商交流，爭取達成認證協定，以促進數據合法有序流動和國際貿易環境下的數字互聯互通，構建數字空間命運共同體.

6.2.5 推動建立跨境數據流動的全球治理框架

跨境數據流動是支撐未來全球數字貿易發展的基礎，在整個數字貿易領域內影響深遠且范圍廣.因此，建設跨境流動的規則體系也必須具有國際視野，不能只局限于本國視角.就目前來看，我們仍然需要采取互操作性機制，加快探索建立國際執法協作機制以及面向未來的全球數字貿易規則及數字治理框架.

7 小 結

數據跨境是一個事關未來全球經濟貿易戰略布局的重要領域，科技的快速更新要求更加便捷的跨境交流，極致的“數據本地化”相當于“閉關鎖國”，不利于國家的經濟發展.因此，雖然現階段多數國家都采取了重要數據本地化的原則，但是，隨著數字經濟時代的來臨，作為發展經濟、科技、國際貿易等領域的必要手段，數據跨境行為會越來越普遍和頻繁.在各自國家力量、政治戰略和外交理念的框架下，我們應該如何確立管轄原則，才能兼顧發展和安全、平衡跨境數據自由流動與合法政策目標的矛盾，加強國家數據管控權[21]，這是整個國際都需要思考的問題，也是我們今后需要重點關注和研究的方向.