數字貿易時代個人信息跨境流動的法律保護路徑

鐘鳴

【關鍵詞】 數字貿易? 個人信息? 跨境流動? 法律規制

【中圖分類號】D92? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文獻標識碼】A

【DOI】10.16619/j.cnki.rmltxsqy.2021.06.013

隨著全球新一輪科技革命的興起，海量個人信息的挖掘收集、處理使用和跨境傳輸成為了新技術、新應用快速迭代的支撐點。跨境數據流動在全球范圍創造了新的商機，在給人們帶來巨大生活便利的同時，也帶來了個人信息保護的危機。特別是由于WTO框架下較難形成有效的免征關稅協議，數字產品屬性不明、新型貿易分類不明、服務模式不完善等問題，使得個人信息在跨境流動中存在較高風險，對法律保護也提出了新的要求。鑒于個人信息的跨境流動關乎網絡空間主權、國家安全、社會公共利益和公民、法人的合法權益等多個層面，相關法律規制應兼顧個人信息保護與跨境信息保護平衡、行政權力規制與跨境電商經營自治平衡以及完善國內立法與借鑒國際規則平衡的原則，努力構建有效而可持續的個人信息法律保護機制。

數字貿易時代我國個人信息跨境流動法律規制現狀及問題分析

數字貿易時代我國個人信息跨境流動的立法現狀。數字貿易時代，個人信息跨境流動成為常態，其中存在的諸多網絡安全問題也逐步受到重視。近年來，隨著“網絡強國”和“數字中國”戰略構想的提出，我國在個人信息跨境流動方面相繼出臺了一系列法律法規和部門規章，對既往分散化、碎片化的法律法規框架形成了一定程度的補充和完善。2012年11月，首個關于個人信息保護的國家標準《信息安全技術公共及商用服務信息系統個人信息保護指南》發布。作為行業指導性文件，由于其沒有強制執行的法律效力，因此在個人信息跨境流動規制方面發揮的作用相對有限。2016年11月通過的《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》），就關鍵信息基礎設施運營者在中國境內運營中收集及產生的個人信息和重要數據的跨境流動作出了初步安全限定，在一定程度上彌補了跨境數據流動法律規制的空白。2017年4月，國家互聯網信息辦公室發布《個人信息和重要數據出境安全評估辦法（征求意見稿）》，作為《網絡安全法》的重要配套措施，其雖對數據出境評估的范圍、內容、程序和相關概念等進行了界定，但對于“境內存儲”和“出境安全評估”義務的規定較為寬泛。2019年6月《個人信息出境安全評估辦法（征求意見稿）》（以下簡稱《評估辦法》）對外發布，對2017年發布的《個人信息和重要數據出境安全評估辦法（征求意見稿）》進行了調整和修訂，對個人信息及其重要數據進行了明確區分，進一步完善了商業活動中個人數據跨境流動的相關規制。2020年5月頒布的《中華人民共和國民法典》（以下簡稱《民法典》）雖明晰了個人信息的內容、個人信息處理的原則與條件、信息處理者的義務與責任豁免等，但個人信息跨境流動規則闕如。同年9月，《中華人民共和國個人信息保護法（草案）》對外發布，在借鑒國外立法經驗的基礎上，從法律層面明確了個人信息跨境提供的基本規則，對個人信息跨境提供制度的落地起到了極大的促進作用。

數字貿易時代我國個人信息跨境流動法律規制存在的問題。一是個人信息跨境流動保護法律體系亟待完善。近幾年，中國在數字貿易領域呈現良好發展趨勢，但與之相對應的個人信息跨境流動法律保護體系卻仍處在分散化和低層級的階段，具體規則的體系性和協調性也有待提高。雖然《民法典》《刑法修正案（七）》和《刑法修正案（九）》中的相關規定為個人信息保護樹立了相應的屏障，但模糊的要件規定與不完整的規范體系使得法律適用障礙重重。

二是個人信息跨境流動保護國際性合作有待深入。當前，我國尚未加入APEC的跨境隱私規則體系（CBPR）。可以看到，我國數字貿易發展進步雖快，然而部分企業仍處于數字貿易“走出去”的初級階段。加入國際性信息保護合作機制，數字企業在個人信息方面的跨境流動將會受到一定的限制，從而使得運營成本有所增加，這也在很大程度上制約了我國個人信息保護的國際合作發展。

三是個人信息跨境流動監管集中度偏低。針對信息數據跨境流動的保護，相關法律法規規定了各行業領域內所需實施的信息數據保護職責。電信、互聯網用戶的信息安全主要由公安部門、工業與信息化部負責，醫療衛生行業的信息數據主要由衛生管理部門負責，而金融行業中的信息數據則主要由中國人民銀行負責。實施信息數據保護的相關部門眾多，導致在信息數據跨境流動的監管方面較易出現權責不清、監管交叉、執法不力的情況，從而影響法律規制的效力。

四是個人信息跨境流動安全評估標準不一。當前，我國關于個人信息的出境管理主要依據《網絡安全法》及與之配套的《評估辦法》相關規定，但二者就規制主體的范圍和義務界定卻存在差異。前者的規制主體為網絡運營者，包括網絡系統的所有者、管理者和網絡服務的提供者，且境內存儲和出境安全評估義務僅適用于“關鍵信息基礎設施運營者”在我國境內收集和產生的“個人信息和重要數據”。后者規制主體雖也為網絡運營者，但其對出境安全評估的數據范圍的界定是所有網絡經營者的所有出境數據，較之前者更為寬泛，與《網絡安全法》設定的判斷標準不盡統一，這將在一定程度上導致個人信息的跨境流動在安全評估標準及其適用上出現混亂。

數字貿易時代國外個人信息跨境流動的規制現狀與經驗探索

自20世紀60年代末開始，信息化與全球化在相互作用中深刻改變了經濟社會生活。在計算機和信息系統廣泛應用的同時，歐美等國關注到個人信息使用與濫用的問題，意識到相關信息保密性和安全性的重要性。在此基礎上，各國逐步形成“公平信息實踐”并出臺了相關法律法規。目前，國際上個人信息跨境流動的管理模式，主要分為歐盟模式和美國模式。

建立雙邊性協定。為加快進入歐洲金融市場，美國創新跨境信息體系，與歐洲國家共同創設了虛擬空間，即《安全港協議》（Safe Harbor），致力于調整美國企業出口以及處理歐洲公民的個人數據，從告知、選擇、轉送、安全性、物料品質、參與和救濟方面為美國在歐盟進行的商業活動提供便利。《安全港協議》的制定既降低了歐美貿易的準入門檻，也為促進個人信息跨境保護發揮了積極的推動作用。隨后，歐盟與美國就商業領域跨大西洋傳輸個人數據的隱私問題初步達成一致意見并形成《歐美隱私盾牌》，以此取代《安全港協議》。其沿襲了《安全港協議》的七項原則，強調了歐盟的信息主權，規定用于商業目的的個人數據從歐洲傳輸到美國后，享有與在歐盟境內同樣的數據保護標準。該協議旨在通過雙邊協議，從數字貿易時代的規范對象、合作機制、權力界定、權利救濟等方面進一步完善個人信息國際保護機制。基于美國整體的個人信息保護水平無法達到歐盟的“充分性保護”認定要求，2020年7月，歐盟法院判決《歐美隱私盾牌》協定無效。雖然這使得歐美跨大西洋聯盟再添裂痕，但該判決卻并不意味著歐美數據傳輸的終止。美國雖不再擁有特殊待遇，其仍可以在另一種“標準合約條款”（SCC）機制下作為數據接收方獲取歐盟數據，因而歐美之間在社交網絡等方面的日常數據轉移不會受到顯著影響。

完善區域性規范。2018年，歐盟全面實施《通用數據保護條例》（GDPR）。作為歐盟最具代表性的個人信息保護標準，其進一步完善了數據保護的補充性規則與“充分保護水平”，從法律層面明確了數據保護的約束規則，通過加強信息保護與認證，在個人信息跨境轉移上以制度彈性為依據豐富了“例外條款”。在亞太經濟往來越來越密切的情況下，APEC通過設置跨境隱私規則體系來規范區域性信息轉移。同時，為避免個人信息被濫用和盜用等不利影響，APEC根據個人信息的存儲、收集、利用和處理形成了一套有效的全球化準則，即《APEC隱私框架》。該框架基于企業角度，設置了隱私執法機構和責任代理機構，既規范了企業認證，也為消費者提供了投訴渠道，從而有力保障了跨境業務的正常進行。

構建全球性規范。一直以來，由世界貿易組織管轄的《服務貿易總協定》（GATS）既為發達國家深化服務貿易對外開放提供了框架和規則，也讓發展中國家的勞動力成本與資源優勢得到有效發揮。《服務貿易總協定》對WTO各國成員的個人信息保護以及跨境流轉原則進行了規定，即各國應當在自由、透明的個人信息保護環境下進行數字貿易，以形成良好的國際貿易秩序。同時，聯合國也高度重視各個成員國的個人信息保護，針對個人信息保護原則、法律責任、監管體系、跨國個人信息流動、適用范圍進行了規范;對于政府國際組織，從管理個人信息保護的角度進行了規定，為個人信息國際法保護提供了依據，也為完善法律法規提供了發展框架。從全球性規范的視角來看，構建全球性的個人信息保護機制對數字貿易時代個人信息跨境流動的保護更為有利，各國應當主動加入聯合國信息跨境流通規則中，在完善個人信息保護準則的同時，完成跨境合作與信息流動目標。

數字貿易時代中國參與個人信息跨境流動國際法規制的實踐路徑

繼續完善我國個人信息跨境流動保護的法律體系。結合歐美等發達國家個人信息保護經驗，加快完善符合中國數字貿易與科技發展的個人信息跨境流動保護法律體系。在監管層面，嚴格依照《評估辦法》要求，對個人信息跨境流動以及本地化存儲進行全面監管，特別是在個人信息的跨境流動中，要求網絡運營者、信息接收者履行應盡義務，提高數據安全水平;同時，針對個人信息以及重要數據進行重點監管，推動實現個人信息跨境流動的合法事由多元化，對企業數據保護能力進行認證，促進個人信息的流動更為安全和便捷。

加強我國個人信息跨境流動保護的國際合作。構建多層次的國際合作體系，打造數據大國形象，推進信息跨境流動國際合作的可持續發展。首先，繼續擴展雙邊信息流動保護合作。積極推廣兩岸四地個人信息跨境流動安全保護合作機制，與更多的國家、地區和相關國際信息保護機構在法律協助、信息請求等問題上達成一致，以更好地落實雙邊信息跨境保護條款。其次，積極加入多邊平臺的數字治理對話機制。借助區域談判，在協調與交流中借鑒他國經驗教訓，提供中國智慧方案，謀求建立更符合中國利益的跨境數據流動規則。最后，充分發揮非政府組織作用。實踐證明，政府機構平臺較難就個人信息保護機制形成統一的國際規則，通過非政府組織多邊保護機制更有利于達成共識，形成更為高效的信息流動與保護體系。

設置更為合理的個人信息跨境流動監管體系。進一步完善相關的監管機構組織架構，由網信部門牽頭，統籌處理好信息出境安全評估、數據跨境流動的合同條款審查、違規流動的個人數據調查、侵犯信息主體權利的行為處罰等方面的監管執行，探索建立組織化的監管機構，明晰各相關部門監管與執法權力，從而使其有效行使各自監督職責，使監管更為高效化。

建立我國個人信息出境評估的多元化機制。積極推動《網絡安全法》框架下《評估辦法》的完善和出臺，形成合理有效的個人信息出境安全評估機制。首先，統一數據出境管理范疇。參考國際個人信息出境管理措施，確認數據離開本國境內去往境外即為數據出境，借鑒美國在地理緯度上的延伸解讀，擴大對主體維度的判定，認定將數據提供給本國境內的外國組織或個人，也屬于個人信息出境范疇。其次，明確相關行為人權利與義務。對于個人信息主體而言，個人信息出境務必要征得信息主體同意，否則不允許個人信息出境。同時，個人信息運營者需要承擔信息保護責任，并有義務約束下設其他主體形成保護合力，下設主體出現非法個人信息出境現象，由個人信息運營者、控制者負責。此外，政府主管部門有義務為維權個人提供幫助，比如行政救濟、司法救濟等，有義務幫助個人追回信息，給予充分救濟。最后，加強國家間個人信息出境制度協同。個人信息流通有利于社會經濟發展，國家之間應以非強制性手段，設置信息流通“白名單”制度，允許個人信息在“白名單”國家和地區自由流動。同時，注意限制跨國集團內部位于不同國家或地區的分支機構之間的數據轉移，防止數據流通到不具備先進數據管理水平的國家，造成數據信息外泄。

參考文獻

朱曉娟，2021，《論跨境電商中個人信息保護的制度構建與完善》，《法學雜志》，第2期。

葉開儒，2020，《數據跨境流動規制中的“長臂管轄”——對歐盟 GDPR的原旨主義考察》，《法學評論》，第1期。

方芳，2019，《歐盟個人數據跨境流動政策的演變：市場統一與貿易規范》，《復旦國際關系評論》，第1期。

吳沈括，2019，《〈個人信息出境安全評估辦法（征求意見稿）〉的制度追求》，中國網信網，http：//www.cac.gov.cn/2019-06/17/c_1124635154.htm。

周漢華，2018，《探索激勵相同的個人數據治理之道——中國個人信息保護法的立法方向》，《法學研究》，第2期。

責 編∕張 貝