博弈論視角下跨境數據流動的問題與對策研究

魏遠山

(湘潭大學 知識產權學院,湖南 湘潭 411105)

自2008年以來,數據流動對全球經濟增長的貢獻已超過傳統的跨國貿易和投資,成為推動全球經濟發展的重要力量。隨著數字經濟的發展,從地緣政治、經濟貿易、產業發展等角度看,跨境數據流動(transborder data flow,TBDF)與國家安全、網絡安全、隱私保護、國際貿易和分工機制、本土產業發展等政策緊密掛鉤,加劇了各國在網絡空間的戰略博弈與數據資源爭奪,從而成為各國及國際治理中的核心議題。如2019年G20峰會的宣言指出,“跨境數據流動帶來了更高的生產力、更大的創新和更好的可持續發展,同時也帶來了與隱私、數據保護相關的挑戰。通過應對這些挑戰,可進一步促進數據自由流動,增進消費者和企業的信任。這種可信任的數據自由流動將促進數字經濟的發展”(1)G20 Research Group.G20 Osaka Leaders’ Declaration[EB/OL].(2019-06-29)[2020-12-04]http:∥www.g20.utoronto.ca/2019/2019-g20-osaka-leaders-declaration.html.。同時,《大阪數字經濟宣言》啟動的“大阪軌道”(Osaka Track)將促進跨境數據流動國際規則的制定,實現數據安全與利用的平衡(2)G20 Research Group.Osaka Declaration on digital economy[EB/OL].(2016-06-29)[2020-12-04].https:∥www.wto.org/english/news_e/news19_e/osaka_declration_on_digital_economy_e.pdf.。但跨境數據流動所涉利益的復雜性、價值認同的差異性和國家間信任的缺乏,阻礙了各國或地區在短期內形成規則共識。本文立足于各經濟體爭奪數字經濟話語權、攫取數字經濟紅利的時代背景,采用博弈論框架分析作為理性人的跨境數據流動政策的制定主體——國家或主權地區,究竟是采取“寬松式立法”來促進數據自由流動,還是以“嚴格式立法”來加大數據保護力度?如何在安全性和成長性中實現平衡,從而在保障國家安全和數據安全的同時,抓住數字經濟發展的機遇?并在此基礎上結合中國數字經濟發展和技術產業現狀,探討中國應采取何種跨境數據流動政策,提高數據治理能力,在確保安全的情況下促進數字經濟發展。

一、數據跨境流動及用博弈論分析的可行性

(一)跨境數據流動的現實、分歧及其厘清

由于地理邊界不能有效保障數據流通安全,跨境數據流動問題在20世紀后期就已引起關注。瑞典是最早對個人數據跨境流動進行規制的國家,早在1973年制定的《瑞典數據保護法》中就明確,設立自動處理個人數據的計算機系統和進行數據跨境流動必須由瑞典數據監管委員會批準。到1980年,經濟發展與合作組織(OECD)在《隱私保護與個人跨境數據流動準則》中也對個人數據跨境流動做了限制。進入大數據時代后,數字與網絡技術的快速發展使數據的價值進一步被發掘,且頻繁的數據跨境流動伴隨著全球貿易的各個環節,導致數據安全風險激增,因此越來越多的國家和地區開始制定法律或政策來規范跨境數據流動。如歐盟《通用數據保護條例》第五章“將個人數據轉移到第三國或國際組織”規定,進行數據轉移必須確保數據接收國滿足“充分保護水平”(第45條);俄羅斯目前涉及數據管理的國家專門立法明確了數據本地存儲的基本規則。

規制活動必須以清楚認識規制對象為前提,這就必須回答“何為跨境數據流動”。亞太經合組織(APEC)對個人數據跨境流動的界定是“個人數據的跨越國界流動”(3)Orgnazisation for Economic Cooperation and Development(OECD).Guidelines governing the protection of privacy and transborder flow of personal data[EB/OL].(1980-09-23)[2020-12-04].https:∥www.refworld.org/docid/3dde56854.html.;石月[1]認為“跨境數據流動有兩種理解:一種是數據跨越國界的傳輸和處理;另一種是數據雖然沒有跨越國界,但被第三國的主體能夠訪問”。雖然當前學界對跨境數據流動眾說紛紜,但仍存共識:數據存在跨越國境的傳輸。不過,就其內涵卻存在如下分歧:

第一,“數據”的范圍?？缇硵祿鲃硬⒎且婚_始就受到關注,對其的關注是從對個人信息保護中演化而來。這也是為什么有學者認為,即使在“后棱鏡門”時期,跨境數據流動中的“數據”仍是以個人數據為主,只是在極少數案例中才擴展至其他類型的數據[2]。也有學者認為個人數據是跨境數據流動中最重要,也是數量最多的一類數據,但從國家管理的角度出發,非個人數據同樣重要。為保證數據安全,跨境數據流動不應僅限于個人數據的跨境流動[3]。那么“數據”究竟是僅限于個人數據,還是包含企業數據等廣義上的數據?在現今社會,“數據作為新時代的新石油”,指的不僅是個人數據,還包括企業數據和政府數據。從數據安全角度看,個人數據安全固然重要,但企業和國家數據安全也很重要,甚至在某種程度上,個人數據安全依托于國家數據安全之上。因此,本文認為跨境數據流動并非僅限于個人數據,非個人數據也應該被囊括,如商業數據、關鍵信息基礎設施上產生的個人數據和公共數據等。

第二,“流動”的含義。按照OECD的理解,數據在國家之間的流動才是跨境數據流動的根本特征。但隨著網絡技術與信息技術的發展,數據在國家間的流動不再是跨境數據流動的必要環節。只要數據能夠在境外被獲取,即使數據并未發生物理位置的轉移,也不能否認實現了數據跨境流動的效果。在此意義上,如果數據能夠在境外被獲取或處理,即使并未發生跨越國界的流動,也應視為跨境數據流動。但如果是不可見或不可獲取的,僅為響應某一后臺操作而臨時在系統中存在,不應將其視為跨境數據流動[4]。因此,本文認為“跨境數據流動”比“跨境數據傳輸”“數據跨境傳輸”等術語更能準確概括當下數據流動的內涵。

綜上,本文認為跨境數據流動是指,一國數據可在境外被獲取,其獲取方式包括但不限于跨越國境的轉移、可在境外終端瀏覽或處理等,但單純的不可被獲取的系統臨時緩存應被排除在外。

(二)博弈論及其運用于數據跨境流動的可行性

博弈論又稱對策論,是研究當某一博弈參與者的決策受到其他參與者決策的影響時,該參與者的相關決策反過來又影響其他參與者決策選擇的決策和均衡問題[5]3?？傮w的邏輯是博弈參與者在自身掌握的博弈信息基礎上,出于自身利益最大化的目的進行決策選擇;且其決策選擇會影響其他博弈參與者的決策選擇,并產生動態的決策改進,最終實現各博弈參與者利益最大化的最優策略組合。博弈論的應用假設前提是各個參與者是理性人,即各參與者在進行決策時,根據所掌握的信息、其他參與者的決策反饋,能夠作出合乎理性的決定以實現自己利益的最大化。

由此可見,博弈論的基本要素有博弈參與者(player)、博弈信息(information)、博弈策略(strategies)、博弈收益(payoff)和博弈均衡(equilibrium)。博弈參與者是指每一個有決策權的行為主體;博弈信息是指可為決策的作出提供依據的各種信息;博弈策略是指每個博弈參與者可選擇的、實際可行的、完整的行動方案;博弈收益是指博弈參與者在博弈結束時的得失,其得失不僅與自身選擇有關,還與其他人的選擇相關;當博弈對手不改變策略時,當下的策略的收益最好,這種決策組合被稱為博弈均衡。上述五個要素是定義一個博弈的關鍵,博弈論就是分析上述要素界定下有限理性的合理決策選擇的結果,在不同決策選擇時的不同效果,力爭實現最優策略選擇,使博弈參與者的利益最大化。

博弈論是解決博弈參與者在有限理性的情況下,如何找到最優決策的分析方法。該方法綜合考慮各個參與者的個體預測行為和實際行為,并研究各參與者間的決策策略,尤其是對具有競爭性現象的解釋,具有較強分析能力?？缇硵祿鲃釉诖龠M貿易、數字經濟、人才流動和技術發展的同時,也帶來了數據安全和法律治理等問題。作為“理性人”的國家或主權地區,制定跨境數據流動管控政策的目的,是通過控制來實現數據健康有序的流動,在安全的前提下促進數字經濟健康發展。但各國或地區跨境數據流動政策不僅因本國國情和國際傾向而變,還會基于對等原則相互影響。這種追求本國或地區跨境數據流動利益最大化的目的,相關政策又相互影響的客觀現實,符合博弈論的基本分析框架。如A國對跨境數據流動進行嚴格管控雖確保了本國數據安全,但可能會阻礙全球化和數字化背景下本國數字經濟的發展,同時也會限制與A國有互動的或潛在合作國的數字經濟發展。鑒于一國數字技術水平、法律健全程度、產業規模等信息在一定程度上是公開可獲取的,他國或地區基于A國的政策會作出適當調整,在保證本國安全的基礎上實現數據利益最大化。因此,在數字經濟快速發展與數據安全并重的當下,利用博弈論分析作為“理性人”的國家或地區會采取何種措施應對跨境數據流動難題,不僅對提升全球數據保護水平、減少數據安全事件具有重要意義,還為創造更加良好的營商環境、助力數字經濟的發展大有裨益。

數據不僅關系到個人隱私,還關系到企業利益和國家安全,更是重要的戰略資源。在一定程度上,一國的數據保有量決定了其數字經濟競爭力的強弱。采取的跨境數據流動措施會影響到本國公民的隱私和數據安全、企業的運營,乃至國家安全和經濟發展,同時也會影響到貿易往來國的數據保護立法和司法實踐。因此,基于本國數據保護目的和他國跨境數據流動政策,一國的跨境數據流動政策可能會進行相應調整,同時也會導致他國的政策變動。不過,最終各國會在保證本國利益的情況下,盡可能地追求共同利益,使得跨境數據流動政策逐漸趨同。

二、跨境數據流動政策博弈的要素及其闡釋

欲對跨境數據流動政策博弈進行解析,需先界定此博弈的基本要素。在跨境數據流動政策的博弈中,主要有博弈主體、博弈信息、博弈策略、博弈收益和博弈均衡需明確。

(一)博弈主體:國家或主權地區

跨境數據流動涉及的主體眾多,如國家或主權地區、各國企業、各國公民等。上述三類主體既可作為數據主體,也可能是數據控制者或處理者。對國家或主權地區而言,在跨境數據流動中首要保障的是國家或地區安全,并在安全的前提下追求數據的經濟效益;對企業而言,不僅注重自身數據安全,還欲在低成本的情況下追求數據合規,盡可能提高經濟效率;對公民而言,在保證自身數據安全的情況下,追求高效便利的數字服務。

在跨境數據流動治理過程中,因企業和公民多是規則的遵守者,作為政策制定者的國家或主權地區的角色更為重要。國家制定何種政策將直接影響企業或公民的數據傳輸行為,因此本文僅關注作為政策制定者的國家或主權地區間的博弈。不過,企業和公民并非完全獨立于國家或主權地區。企業和公民在日常生活和工作中對跨境數據流動有著自己的訴求,這些訴求會被政策制定者予以考慮,直接或間接影響政策的制定。如公民作為數據主體希望自己的數據盡量不要出境;若確有出境需要,也應盡可能保證數據安全,確保自己的合法權益。企業在走向國際市場時必然伴隨著數據的跨境流動,過于繁瑣和苛刻的跨境數據流動政策將增加企業的運營成本,因而企業傾向較為寬松的政策。此外,企業或公民在跨境數據流動實踐中較為成熟的做法或內部規則,也可能被政策制定者上升為政策或法律。

(二)決策基礎:國內外相關信息集合

相較于“數據是新石油”,“數據是一種新的財富”更為直接地表明了數據的價值。在數字貿易時代,數據的質和量、保護和利用直接關系到數字經濟的發展。在制定跨境數據流動相關政策和法律時,如何保證數據的質和量、平衡數據保護和利用是關鍵。因此,與數據相關的信息技術水平(決定數據的質和量)、數字產業(利用)和法律制度(保護),以及國際環境等信息成為作出博弈決策的重要依據:

第一,信息技術。信息技術是指對數據進行采集、傳輸、存儲、加工、表達的各種技術之和。因網絡就緒指數(Networked Readiness Index)作為專門衡量一國信息技術的指標體系,故可用來衡量一國信息技術水平。該指標體系是2002年由世界經濟論壇、國際英思雅德和美國康奈爾大學共同制定,并用于其發布的《全球信息技術報告》(TheGlobalInformationTechnologyReport)來衡量全球主要利用信息技術的139個國家或經濟體的技術水平。該指數最初是由環境、準備、使用和影響四個子指數,共計53個因素綜合判斷(4)WEF.The global information technology report 2016[R/OL].(2016-07-06)[2020-12-05]http:∥www3.weforum.org/docs/GITR2016/WEF_GITR_Full_Report.pdf.。不過,一方面,信息通信技術的快速發展使舊版指標無法完全適應新時代的需求;另一方面,舊版指標要么側重基礎設施的建設情況及其可承受性和采用性,要么考慮相關性或側重個人對采用某項特定技術的看法,導致過分依賴于國家級數據(country-level data)。為更好滿足技術發展需求,準確衡量人們所選擇的技術和治理措施對經濟增長產生的影響,從而促進人與技術的和諧融合,實現可持續發展目標,在2019年版的報告中對網絡就緒指數指標體系進行了升級[6]20-22。新版指標主要包括技術(可獲取性7個因素、內容3個因素、未來技術6個因素)、人員(個人6個因素、企業6個因素、政府4個因素)、治理(可信任度5個因素、規制6個因素、包容性5個因素)和影響(經濟4個因素、生活質量4個因素、可持續發展建設6個因素)四個子指數,共計62個因素?？梢哉f,《全球信息技術報告》是對信息技術如何影響各國競爭力和福祉的最權威和最全面的評估,系列報告和網絡就緒指數在提高人們對信息技術重要性的認識方面做出了重要貢獻(5)LANVIN B,GEIGER T.The world’s most tech-ready countries 2015[EB/OL].(2015-04-15)[2021-01-29].https:∥knowledge.insead.edu/entrepreneurship-innovation/the-worlds-most-tech-ready-countries-2015-3953.。因此,本文以2019年版《全球信息技術報告》中的技術水平評價為參考依據。

第二,數據產業。一國數據產業狀況會影響該國跨境數據流動政策的趨向。如電子商務并不發達的印度在2019年初發布的《國家電子商務政策(草案)》認為,如果無法獲得印度國內產生的海量數據,印度企業將無法創造出增值的數字產品,印度的科技公司將“僅是處理外包數據工作”的作坊。如果不對跨境數據流動施加限制,印度本身就將關閉在國內開發高價值數字產品的大門(6)又下狠手?印度擬再出臺電商新規,限制外國零售巨頭數據跨境流動[EB/OL].(2019-02-26)[2020-12-04].https:∥baijiahao.baidu.com/s?id=1626511628594217875&wfr=spider&for=pc.。因此,該草案將“促進印度本土數據產業發展”作為數據本地化與跨境傳輸立法的核心驅動力,不僅要求數據本地化存儲,還進一步限制外國企業在印度的經營方式,以便為本土電商發展掃清障礙。又如作為互聯網巨頭的美國得益于信息技術的優勢,占據著全球數字產業市場的大部分份額。在2019年“全球Top50互聯網上市企業”中美國占30余席位,前十名獨占7位(7)恒大研究院.全球互聯網發展報告2019:為何美國稱霸、中國崛起?[EB/OL].(2019-10-25)[2020-12-04].https:∥news.hexun.com/2019-10-25/198998006.html,。因此,美國更加看重數據自由流動以及由此帶來的經濟效益,并在相關立法或政策上鼓勵數據流動。可見,一國數據產業狀況對跨境數據流動政策的制定有著重大影響。

第三,法律制度。一國既有數據保護法律的健全程度及其對跨境數據流動的態度,是影響跨境數據流動政策制定的重要因素之一。首先,一國既有數據保護法律的健全程度對跨境數據流動政策的影響,主要體現在數據保護規則越健全,跨境數據流動政策相對較為明確和易于制定,而且跨境數據流動政策的確立,也會完善數據保護法律制度。其次,一國既有數據保護法律制度對跨境數據流動政策的影響主要體現在:后續制定的跨境數據流動政策,在一定程度上需承襲或延續既有數據保護法律制度的相關價值目標,保證相關制度的統一性和科學性。當然,若社會技術水平和經濟條件發生巨大變化時,可突破既有法律制度秉持的價值或目標。如既有數據保護立法側重保證數據安全與個人隱私,那跨境數據流動政策考慮到數據安全、個人隱私、國家安全等價值取向,可能會限制跨境數據流動。不過,當一國經濟條件和信息技術水平具有足夠的優勢時,為追求經濟利益,可能在確保安全的基礎上鼓勵數據跨境流動。

第四,國際環境。在貿易數字化和數字全球化的大背景下,國家間的交流互通愈發頻繁,必然使數據跨境流動日益頻繁。因此,一國跨境數據流動的政策選擇必然要考慮域外國家的立法狀況,以及當前國際社會的主流態度。一是需考察貿易往來國的跨境數據流動政策?？缇硵祿鲃拥墓芸夭粌H在于保證本國的國家、企業、個人的數據安全等基本需求,還需保證數據的自由流動,充分挖掘數據的經濟價值。若貿易往來國的數據保護立法及其司法實踐達不到本國的數據保護水平,則可選擇較為嚴苛的跨境數據流動政策保證本國數據安全。如有史上最嚴數據保護法之稱的歐盟《通用數據保護條例》(GeneralDataProtectionRegulation,GDPR)規定,只有數據接收國或國際組織的數據保護水平達到歐盟相關保護要求(充分保護水平)時才可轉移數據。二是需考察跨境數據流動的國際政策趨勢,避免與全球規則脫軌。盡管在“斯諾登事件”“Facebook事件”之后,數據安全和隱私保護逐漸成為各國關注的重點,也是跨境數據流動政策的重要目標。但在數字和貿易全球化背景下,為促進全球經濟的發展,國際社會提倡在保證數據安全和國家安全、尊重他國數據主權的前提下,促進跨境數據流動。諸如WTO、G20和OECD等組織或機構一直在推動跨境數據流動的全球性或區域性規則,致力于促進全球數字經濟發展?？梢哉f,盡管當前的國際情勢確實較為復雜,但跨境數據流動的主流國際趨勢仍是在保證安全的前提下促進數據自由流動,以更好地發展數字經濟。因此,一國在制定跨境數據流動政策時,應在保證本國利益的基礎上最大程度與國際接軌,共促數據自由流動;否則無異于閉關鎖國,錯失數字經濟的機遇。

(三)策略選擇:五種規制模式的選擇

跨境數據流動與境內數據流動相比,前者的跨國性與管轄權行使困難、經濟性與跨境數據的可利用價值、數據流動與保護的沖突性、跨境數據流動的二元性與雙重立法價值的沖突[7]考究著跨境數據流動的治理之道,凸顯了“良好的數據保護(數據保護)”“跨境數據自由流動(數據流動)”“數據保護自主權(數據主權)”的“三難問題”[8]?？v觀各國跨境數據安全立法與治理實踐,為保護本國數據安全和數據產業發展,對數據跨境流動的模式可大致分為五種(8)數據保護規則總是以“原則+例外”的立法方式進行設定,故五種跨境數據流動政策模式是在“原則”上的提取的,并不包含“例外”情形。。

模式一:以地理區域為基準的“數據本地化存儲模式”。本地化存儲(Data Localization)著重于確保本國數據的本地化留存,可在很大程度上減少數據的境外流失問題,是從本國數據主權、數據安全和個人隱私的價值中演化而來的,以俄羅斯和越南等為代表。俄羅斯的《關于信息、信息技術和信息保護法》《俄羅斯聯邦個人數據法》《俄羅斯聯邦大眾傳媒法》《俄羅斯聯邦安全局法》《俄羅斯聯邦外國投資法》等法律就數據本地化存儲原則作出規定,不僅要求數據控制者和處理者將俄羅斯公民的個人數據存儲在俄羅斯境內,還要求數據的處理行為和采用的數據庫位于俄羅斯境內,且必要時需履行相關信息告知和協助有關部門執法的義務。可以說,俄羅斯的立法規定十分嚴格,通過對企業施加法定義務實現了政府對數據存儲、跨境傳輸、處理等環節的全面控制,從而掌握了本國數據跨境流動的主動權[9]。不過,俄羅斯并非絕對禁止跨境數據流動,而是有條件地允許數據傳輸到符合條件的國家或地區。此外,在2019年生效的越南《網絡安全法》第四章第26條第3款規定,提供電信網、互聯網業務和其他網絡增值業務的國內外企業,應當將服務使用者關系數據和越南服務使用者產生的各類個人數據和相關數據存儲在越南境內(9)《越南網絡安全法》第26條第3款規定:“在越南網絡空間提供電信網、互聯網業務和其他網絡增值服務的國內外企業,若有收集、開發、分析、處理個人通信數據、業務使用者關系數據和業務使用者在越南產生的數據的活動,要在政府規定的時間內在越南儲存這些數據。本款規定的國內外企業要在越南設立分支機構或代表處。”。

模式二:以充分性原則為核心的“嚴格保護模式”。充分性原則是在考察數據接收國數據保護水平的基礎上,由數據保護當局決定是否準許數據流動的制度,以歐盟為代表。歐盟以保障人權的立場限制個人數據的跨境流動,并在GDPR第45、46條規定,只有認定數據接收國或組織具有“充分保護”水平才可不經特別授權轉移數據。具體應審查接收者所在地/國的“法治、對人權與基本自由的尊重”“存在一個或多個有效運作的獨立監管機構,保證數據保護規則的實施”“已許下的國際性承諾,或者承諾愿意承擔有法律約束力的條約或法律文件所引起的其他責任,以及參加多邊或地區性的體系,特別是和數據保護相關的體系所引起的其他責任”等情況。這種“充分保護”水平的審查是一種周期性審查,至少每四年一次。不過并非只要數據接收國或組織符合“充分保護”水平即可任意轉移數據,對13～16周歲兒童的個人數據等特殊數據還需滿足其他條件(10)參見GDPR第8條信息社會服務中適用兒童同意的條件。;且若成員國有其他規定,還應滿足規定。

模式三:以問責原則為核心的“寬松保護模式”。以問責原則為核心是通過制定跨境數據傳輸的行為準則來規范跨境數據傳輸行為,在發生數據安全事件后對相關數據控制者或處理者進行追責,以美國為代表。美國之所以會建立事后問責制的寬松式保護模式:一方面,與歐盟將個人數據視為人權對象不同,美國歷來將個人數據視為隱私權保護對象,對數據流動的限制力度較小;另一方面,美國依靠信息和數字技術優勢掠奪境外數字產業市場份額時,需進行大量數據跨境流動,為減少交易成本會采取較為寬松的數據管制策略。因此,美國以在線隱私聯盟(Online Privacy Alliances,OPA)公布的建議性指引以及由美國兩大隱私認證企業TRUSTe和BBB Online制定的具有強制約束力的兩個隱私保護計劃(Privacy Seal Program)作為數據控制者和數據處理者的行為準則,在出現數據安全事件后,由相關部門向責任主體追責[10]。這種寬松保護模式保證了數據的快速高效流動,保障了美國企業的商業利益,但對數據主體的保護力度不高。

模式四:以利益均衡為導向的“折衷保護模式”。跨境數據流動的治理面臨著“三難問題”,不論是寬松、嚴格的保護模式,還是數據本地化存儲模式,均未較好解決“三難問題”。以澳大利亞為代表的折衷主義模式,較好兼顧了數據保護、數據自由流動和數據主權的對立與沖突。澳大利亞的跨境數據流動治理框架圍繞著數據分類分級、保障數據安全的目標,對政府數據、健康數據和隱私數據的跨境流動設置了不同標準,采取強制性規定與推薦性指南相結合的管理方式,兼顧了數據安全與自由流動的平衡,并與國際實踐相協調[11]。其中,對有損政府利益或第三方利益的政府數據添加保護性標識,并建立了政府數據外包風險評估制度,除非獲得授權否則不可出境。對個人健康數據,依《個人控制電子健康記錄法案》要求,原則上必須由本地的數據中心來存儲和處理個人電子健康檔案。對隱私數據進行區別對待,并不禁止一般個人數據的跨境流動,但應遵循澳大利亞法律。此外,澳大利亞還考慮到域外制度對本國居民的約束力,并不絕對將依據域外數據安全法提出的要求視為無效,保證了跨境數據流動的靈活性。

模式五:以數據自由流動為首要目標的“低保護模式”。此種“低保護模式”以數據自由流動為首要目標,忽略了數據安全和數據經濟效益。不過,在全球數據保護實踐中,出于對國家安全和公民合法權益的保護,國家或主權地區或多或少都會以立法形式限制本國境內數據的恣意外流。將該模式列出旨在將其作為參考系,用以比較前四種模式的作用效果。

上述五種跨境數據流動政策由嚴向寬依次:模式一→模式二→模式四→模式三→模式五。相較于重點關注個人隱私和數據安全的模式一,后四種模式更加側重數據的自由流動。其區別主要在于,模式一往往嚴格限制跨境數據流動,政府對所存儲數據具有較大的權限;而模式二、三和四則在安全的基礎上將跨境數據流動作為治理目標,對數據的監管更多依賴于政府監督下的企業自我管理,政府獲取數據時往往受到嚴格限制或監督[12];模式五則是單純地促進數據流動,對數據安全和數據主體利益的保護略顯蒼白。此外,從廣義角度看,可將“數據本地化存儲模式”歸于“嚴格保護”模式之列,但因二者對跨境數據傳輸的限制程度與效力不同,本文將兩種模式并列。再者,“數據本地化存儲模式”與“數據本地化存儲制度”不同。前者指向的是諸如俄羅斯、越南等對跨境數據流動秉持嚴格禁止流動的態度而采取的策略,是一種原則規定;后者更多是指一國在跨境數據流動政策中對某些類別的數據要求本地化存儲,是一種例外規定。因此,“數據本地化存儲制度”并不必然與其他模式相斥,可與其他模式并存于一國數據保護法律中。如當前中國跨境數據流動的政策即是如此。從現有法律看,中國并不禁止通過“數據安全影響評估”的數據跨境流動,但《網絡安全法》第37條要求關鍵信息基礎設施的運營者在中國境內收集和產生的個人信息和重要數據應當在中國境內存儲。

從跨境數據流動治理的“三難問題”可知,跨境數據流動政策或法律需平衡“國家主權”“數據保護”和“數據流動”三項價值。在上述五種跨境數據流動政策中,最為嚴格的模式一更為注重數據安全與數據主權,在很大程度上限制了跨境數據流動;模式五最大程度促進了數據自由流動,但對數據主權和數據安全關注欠缺;至于模式二、三和四均有兼顧“國家主權”“數據保護”和“數據流動”三項目標,只是側重程度有所不同,如表1所示。

表1 五種跨境數據流動策略的價值趨向

將上述三種價值趨向分解可得跨境數據流動所涉的具體利益類型,就可知曉各策略的收益。第一,“數據主權”可分為“數據控制權”和“數據管理權”[13];第二,“數據保護”可分為“個人數據保護”“企業數據保護”和“國家數據保護”;第三,“數據流動”是數字經濟和國際貿易的重要前提,可分為“數字產業”和“跨境貿易”。上述各利益又可歸為“安全收益”和“經濟收益”兩大類,即“數據主權”“數據保護”屬于“安全收益”,“數據流動”指向“經濟收益”。

至于跨境數據流動治理策略的成本,主要是采取某種治理模式的制度建設成本和執行成本。這些成本隨著治理模式趨嚴而逐漸增加,如“本地化存儲”模式的制度建設成本和執行成本明顯高于“低保護”模式。綜上,跨境數據流動策略的收益和支出如圖1所示。

圖1 跨境數據流動策略的收益和支出

影響每種策略收益的關鍵因素有三種:信息技術水平、產業規模和政策的寬嚴程度。就安全收益而言,跨境數據流動政策越嚴,安全收益越大;反之,安全收益越小。對經濟收益而言,貿易收益直接與政策寬嚴程度相關,政策越寬松,貿易越發達;政策越嚴格,貿易成本越高。如俄羅斯以數據主權優位的本地化存儲制度,不僅不能保證數據主權優先,反而只是狹隘地閉關鎖國,是一種以喪失發展可能的極端化數據主權保護制度。甚至歐盟委員會也認為俄羅斯的做法實質上是不當加設貿易壁壘[14]。這是因為,一國出于保護數據安全和數據主權的目的,嚴格禁止數據離境會導致他國企業的合規成本激增,且因數據流動受阻致使跨境貿易受到影響;甚至將阻礙本國企業走向國際市場,長此以往將導致該國疏離全球數字經濟網格[15]。

至于產業收益,則需根據跨境數據流動政策的寬嚴程度、信息技術及數據產業規模差異具體分析。第一種情形,當信息技術水平差異較小或基本無差異時,較為嚴格的跨境數據流動政策有助于數字產業的發展;但過于寬松的政策,會導致境外企業搶占國內市場,反而會限制本國數字產業的發展,尤其是對數字產業規模較小的國家或地區影響更甚。第二種情形,當信息技術水平差異較大時,若采取寬松保護的跨境數據流動政策,信息技術落后的或數字經濟規模較小的國家或地區因技術劣勢,本國產業經濟市場會被域外企業占據,不利于本國數字產業的發展,采取更為嚴格的保護政策,能夠較好解決數據安全與數字產業問題。與此相反,信息技術先進的國家/地區選取寬松的跨境數據流動政策,更有利于該國企業獲得全球經濟市場份額。

(四)收益考察:安全收益與經濟收益

博弈結束時,博弈主體的得失之和即為博弈收益。跨境數據流動政策博弈收益主要有安全收益和經濟收益;其成本主要是制度建設成本和規則執行成本。但跨境數據流動治理的安全收益和經濟收益的重要性遠高于制度建設成本和規則執行成本,因此博弈收益主要是所采取的博弈策略在安全收益和經濟收益上的表現。如前所述,安全收益主要是數據主權和數據保護兩方面,經濟收益則是產業利益和貿易收益。不同跨境數據流動治理模式的收益不同。如數據本地化存儲模式雖然對數據流動限制較多,但能夠使本土數字產業的勃興;其他模式雖然會在一定程度上導致本土數字產業受到境外企業的擠占,但得到的貿易收益比本地化存儲模式更多。因各國國情有別,出于對安全價值和經濟價值的側重差異,所采取的政策也不盡相同,具體收益則需結合國情分析。但總的來說,跨境數據流動政策博弈的收益有三種:一是重安全收益,輕經濟收益;二是重經濟收益,輕安全收益(11)需說明的是,本文旨在討論跨境數據流動政策的博弈情況,此處所列“重經濟收益,輕安全收益”,并不代表該國采取了諸如“寬松保護模式”的跨境數據流動政策就放棄了數據主權和數據安全,依然可以在其他法律中強調數據安全和數據主權。例如美國采取的“寬松保護模式”,不能認為美國不重視數據安全和數據主權,美國對特殊領域、特殊種類數據進行了例外規定,保證了數據安全和數據主權。;三是較好平衡安全收益和經濟收益。理想狀態是所采政策較好平衡數據主權、數據安全和數據流動三項價值:在保證本國數據主權和數據安全的同時,促進數字經濟的發展。

此外,跨境數據流動的結果是本國數據流向域外,因利益偏好、法律制度、技術水平等差異,數據安全隱患無法完全消除。甚至某些國家會利用本國企業監控或監聽服務的域外用戶,嚴重侵害他國公民、企業的合法權益,甚至是國家安全。2013年的“棱鏡門事件”就是典型。因此,需正確看待跨境數據流動帶來的安全收益及潛在風險,通過減少數據安全風險以促進數據流動。

跨境數據流動的規制必須結合具體的國情予以分析,脫離國情空泛地比較各種策略的收益略顯抽象。因此,具體的收益將在后文中借助中國與主要的貿易往來國的博弈進行闡述。不過,總體來說,跨境數據流動政策博弈都為博弈主體帶去了可觀的安全收益和經濟收益。就安全收益而言,安全收益(數據主權和數據保護)是國家安全的重要一環,也是在數字時代被追求的對象,必然是博弈主體所重點關注的收益。而且,數據主權和數據安全相輔相承,數據主權得到保證,數據安全也就有保障。就經濟收益而言,不論是數據本地化模式下的本土數字產業發展,還是其他模式下的全球物質、人才、技術和資金流動,均使各國在不同程度上享受了數字經濟的紅利,為彼此帶來了巨大的經濟效益。

(五)博弈均衡:收益最大的策略組合

如前所述,跨境數據流動涉及三項價值。從不同角度看,跨境數據流動政策側重的價值不同。

從國家角度看,數據主權和數據安全的重要性遠高于數據流動所帶來的經濟效益。在制定政策時,更應注重政策的安全收益。即一國需在其掌握的博弈信息基礎上,考慮每種跨境數據流動治理模式的收益情況,最終選擇一種可最大程度保護本國數據主權和數據安全,又不會錯失數字經濟機遇,同時也不過分限制他國利益的政策。

從全球視角看,統一數據保護標準和跨境數據流動政策是促進數據自由流動、推進數字經濟發展的最好方式。但每個國家或地區的信息技術水平、數字產業規模、數據保護法律狀況存在差異,致使各自采取的跨境數據流動政策不盡相同。為共促全球數字經濟發展,各國制定的跨境數據流動政策不應單純為了本國利益的最大化去“割裂”全球數字經濟,而是要在保證本國利益的基礎上,構建完善的國際跨境數據流動監管機制。畢竟只有全球跨境數據流動規則趨同,全球數據健康有序流動才有可能實現,各國也才能更好地融入全球數字經濟格局。

因此,各國應綜合考慮各治理模式的利弊,選擇一種既有利于本國安全和數字經濟發展,又可促進數據流動的模式。此時,各自的收益最大,達到了均衡狀態。

三、中國與主要貿易國的政策選擇及治理方案

數據被稱為新的財富形式,對數字經濟的發展具有重要意義。作為人口大國的中國,必然也是數據大國。在國際交往日益頻繁的當下,跨境數據流動需求也與日俱增。但當前中國數據保護法制尚處于建設期,《網絡安全法》《數據安全法》《個人信息保護法》《信息安全技術,個人信息安全規范》等法律法規和國家標準已出臺;《個人信息出境安全評估辦法》《數據安全管理辦法》等文件還在廣泛征求意見。而且,與數據保護或跨境數據流動相關的規定,散見于各個部門法中,尚未形成完備的數據保護法律制度。礙于法律制度供給不足的現狀,中國數據安全管理呈現出“政府監管與大型科技公司強大數據控制能力相結合”的模式,甚至在一定程度上倚重科技公司的自我約束,從而被歐盟評價為“未對個人提供充足保護”。在數字經濟飛速發展的當下,中國要想抓住數字經濟發展的機遇,必須立足于當前數字經濟發展現狀和產業能力,在確保安全的情況下促進數據自由流動。

(一)中國與主要貿易國的跨境數據流動政策博弈

全球各國跨境數據流動政策博弈呈現“網狀交叉博弈”狀態。囿于篇幅,僅分析與中國貿易往來量較多的國家或地區間的博弈情形。據統計,2019年中國對歐盟進出口4.86萬億元;對東盟進出口4.43萬億元;對美國進出口3.73萬億元;對日本進出口2.17萬億元(12)筆者在中華人民共和國海關總署網站(統計快訊)下設統計數據“2019年進出口商品主要國別(地區)總值表”中收集數據整理所得。。因東盟是傳統的地區聯盟,無法制定適用于東盟地區的法律文件。因此,僅就歐盟、美國和日本同中國跨境數據流動治理博弈情況進行分析。

第一,四國或地區博弈信息分為信息技術、數字產業規模、數據保護法律狀況和國際大環境四個方面。因國際環境相同(在安全的前提下,鼓勵數據自由流動),故著重分析前三個方面。

一是信息技術。根據世界經濟組織發布的《2019年全球信息技術報告》,中國的網絡就緒指數得分為57.63,全球排名第41;美國為80.32,全球排名第8;日本為76.17,全球排名第12。因歐盟地區國家眾多,采取平均分值和中位數分值及其排名評價歐盟地區網絡就緒指數,其平均分為67.87,全球排名第26,中位數分值為66.89,全球排名第27,具體子指數的排名情況如表2所示。此外,英國的網絡就緒指數為77.73,全球排名第10(13)英國的網絡就緒指數為77.73,全球排名第10。其中,技術子指數全球排名為第7位;人員子指數為第14位;治理子指數為第5位;影響子指數為第13位。?？梢?美國、日本和歐盟地區的信息技術水平總體上高于中國。

表2 美、歐、日、中四國/地區的網絡就緒指數(14)根據世界經濟組織發布的《2019年全球信息技術報告》,歐盟27個國家網絡就緒指數排名依次為瑞典(1)、荷蘭(3)、丹麥(6)、芬蘭(7)、德國(9)、盧森堡(11)、奧地利(15)、法國(18)、愛爾蘭(19)、比利時(20)、愛沙尼亞(23)、西班牙(25)、馬耳他(26)、斯洛文尼亞(27)、葡萄牙(28)、捷克(30)、立陶宛(31)、意大利(34)、斯洛伐克(35)、塞普洛斯(36)、波蘭(37)、匈牙利(38)、拉脫維亞(39)、希臘(43)、克羅地亞(44)、羅馬尼亞(47)和保加利亞(49)。其中,27國的得分為67.87,位于全球第26位;按中位數排名是第32位(斯洛文尼亞)。可見,歐洲信息技術整體水平總體上高于中國。

二是數字產業規模。根據李德電子研究所(Reed Electronics Research)發布的“Yearbook of World Electronics Data 2020”(15)Reed Electronics Research Yearbook of world electronics data[R/OL].(2020-08-20)[2020-12-04].http:∥www.rer.co.uk/index.php?route=product/category&path=20_59.,在組件(components)、控制和儀表(control and instrumentation)、計算(computing)、消費者規模(consumer)、醫療和工業(medical and industrial)、辦公設施(office equipment)、無線電通信(radio communications)、電信業務(telecommunications)等領域,四國/地區數字產業規模如表3所示。由此可見,在數字產業規模方面,中國規模最大,美國次之,歐盟第三,日本第四。

表3 美、歐、日、中四國/地區的數字產業規模 (單位:百萬美元)

三是數據保護法律狀況。(1)美國采取分散立法模式將數據納入隱私保護范疇,以問責制為原則鼓勵數據流動。一方面,“美國將個人數據保護納入隱私保護范疇,并采用分散立法模式保護個人數據”[16]77,以在線隱私聯盟公布的建議性指引以及由美國兩大隱私認證企業制定的具有強制約束力的兩個隱私保護計劃作為數據控制者和數據處理者的行為準則,減少數據流動的障礙。同時,以受控非密信息清單(Controlled Unclassified Information,CUI)和商業出口管制制度對技術數據等特殊數據進行嚴格管制。另一方面,政府基于《自由法案》和《澄清域外合法使用數據法》(CLOUDAct)可在較大權限內獲取數據。(2)歐盟將個人數據保護視為對基本人權的保障,以歐洲地理邊界為基準,借助數據接收國的法治情況等因素判斷其是否達到“充分保護”水平,從嚴把控個人數據的跨境流動。(3)作為個人信息保護體系核心的《日本個人信息保護法》,在形式上迎合了歐盟《個人數據保護指令》的要求,但實質上吸收了美國個人信息保護的特點。同時,又堅持了自己原有的一些立法理念,確立了以“數據主體同意”為核心的跨境數據流動規制模式(第23條)。(4)中國雖未建立體系完備的數據保護法律制度,但業已實施的《數據安全法》《網絡安全法》等對跨境數據流動作出了原則性的規定,且與跨境數據流動相關的法律尚處征求意見階段。從已經實施和正在征求意見的法律條文可知,中國對個人信息和重要數據采取“安全評估制度”,對可能影響國家安全、損害公共利益,或難以有效保障個人信息安全的數據,禁止出境(16)《個人信息和重要數據出境安全評估辦法(征求意見稿)》第11條。。

第二,四國/地區的策略選擇。由上可知,四國/地區在技術、產業和法律方面存在不同的差異。具體而言,信息技術水平強弱排序是美國→日本→歐盟→中國;產業規模大小排序是中國→美國→歐盟→日本;數據相關法律制度健全程度排序是歐盟→美國→日本→中國。因此,美國、歐盟、日本和中國在“數據本地化存儲(模式一)”“嚴格保護(模式二)”“寬松保護(模式三)”“折衷保護(模式四)”和“低保護(模式五)”五種跨境數據流動博弈策略上側重不同。考慮到策略選擇較多,為了更直觀比較每一策略的收益與支出情況,可為每一收益或支出進行賦值(0～8)(17)為便于觀察和計算,以“0～8”進行賦值。其中,在收益和凈收益兩類中,數字越大表明該項得分越高;在支出類,數值越大表明跨境數據流動的規制成本越高。比如,就“安全收益”中的“數據安全”子收益而言,因其與跨境數據流動政策模式嚴格程度呈正相關,政策越嚴收益越大,因此得分因政策模式不同而有異:模式一→模式二→模式四→模式三→模式五。此外,考慮到數據安全與信息技術水平和法律健全程度相關,因此,四個主體在數據安全項下的得分會有一定不同,美國得分最高,其次是歐盟,最后是中國和日本。據此邏輯,為各項收益賦值,得到表4結果。,得到表4結果。

表4 中國、美國、日本和歐盟跨境數據流動策略的收益和支出矩陣

美國信息技術最先進,數字產業規模小于中國卻大于日本和歐盟,但數據保護力度次于歐盟和日本,因此對美國來說,采取“寬松保護模式”能夠以更低成本的促進數據流動,挖掘數據的經濟價值。歐盟在法律制度方面具有巨大的優勢,信息技術強于中國但弱于美日兩國,產業規模大于日本但小于美中兩國,再加上歐盟自二戰后就更重視人權保護,因此歐盟宜選擇“嚴格保護模式”。日本雖在技術上較中歐具有相對優勢,法律制度雖比中國健全但不足歐美,且在產業規模和貿易上居末,結合日本數據保護的特點,選擇“折衷保護模式”更有助于經濟發展。中國雖在產業規模和貿易能力上具有較大優勢,但在法律制度和信息技術水平上存在著巨大的劣勢,為保證數據安全和抓住數字經濟的機遇,可選擇“嚴格保護模式”。綜上,美國選擇“寬松保護模式”,中國和歐盟采取“嚴格保護模式”,日本采取“折衷保護模式”的跨境數據流動政策更能實現利益最大化。

(二)跨境數據流動過程中數據安全風險及其治理策略

前已述及,跨境數據流動策略選擇雖為中國、美國、日本和歐盟帶來了安全收益和經濟收益,但數據出境也存在安全風險。離境數據的安全風險將反作用于他國跨境數據流動政策的寬嚴程度:風險增高,政策趨嚴。因此,數據安全風險的有效防控是各國促進跨境數據流動的重要舉措,而如何降低數據安全風險成為各國關注的重點話題。

安全風險越低,跨境數據流動越自由,安全收益和經濟收益越大(博弈收益)。在博弈論框架中,已知博弈主體、博弈收益和博弈信息(信息技術與數據安全相關法律情況),探求博弈主體的數據安全風險防控治理策略。在跨境數據流動安全風險防控中,各國的博弈策略有兩個層面:一是各國間的措施,二是本國的舉措。

第一,中國與美國、日本、歐盟之間的數據安全風險防控策略有兩種:一是合作;二是不合作。博弈收益分為數據安全收益和經濟收益(貿易收益)。其中,安全收益與數據安全風險呈反比關系,安全風險越低,安全收益越高;反之,安全收益越低。貿易收益與數據安全風險緊密相關,數據安全風險越低,貿易成本越低,收益越高;反之,貿易收益越低。各國合作可降低彼此間的數據安全風險,促進數據自由流動;不合作將導致離境數據安全風險偏高,會使得跨境數據流動政策趨嚴,不利于數據自由流動。為直觀比較各國的不同策略,通過賦值(0～3)得到表5結果。

由表5可知,中國與美日歐在數據安全風險治理的策略選擇上,合作的收益遠大于不合作的收益,此時達到博弈均衡。因此,當美國、歐盟和日本分別采取合作的方式降低數據安全隱患,中國也應以合作的方式實現共贏。

表5 中美歐日的數據安全風險治理策略

第二,本國數據安全風險防控策略。美國、日本和歐盟雖沒有明確的法律就數據出境的分類分級管理作出規定,但在國家產品、技術出口及部分行業立法中有相應限制。如美國將數據分為一般個人數據、商業和技術類數據、政府數據,分別以“問責制”模式、“受控非密信息清單制度”(2010年11月4日頒布第13556號行政命令確立)和“商業出口管制制度”(由《出口管制條例》《美國國際軍火交易條例》《出口管制改革法案》等法律構成)管控。歐盟和日本雖然沒有美國那般明確的制度,但在效仿美國的做法。中國雖然也有數據分類分級實踐,如《證券期貨業數據分類分級指引》《工業數據分類分級指南(試行)》以及貴州省出臺的《政府數據分類分級指南》,但力度遠遜于美國?；诓┺姆治?中國應在后續的跨境數據流動實踐中進一步強化數據分類分級管理。

數據分類分級作為數據安全管理工作的重要手段,不僅對劃定可用數據的范圍和明確數據使用方式具有重要作用,也對根據數據不同類別和級別來明確數據管理和共享的權利與義務有重要意義。同時,在數據分類分級的基礎上,制定嚴格程度不同的管理策略,能在很大程度上預防數據安全風險。通常,數據分類分級遵循以下步驟:第一,按照一定的原則和方法,按照數據的屬性和特征將其區分、歸類,并明確數據的分類體系和排列順序;第二,在已有分類的基礎上,根據數據的重要性和敏感度確定不同類型數據的級別;第三,對安全等級不同的數據,制定不同的管理策略。在跨境數據流動的管控過程中亦是如此,需在數據分類的基礎上確定數據級別,再根據數據級別確定是否準許出境及出境條件等。

首先,數據分類?？缇硵祿鲃右褟膯沃競€人數據跨境流動擴展至包含個人數據和非個人數據的跨境流動。但當前數據分類并無統一的方法或規則,針對某行業內的數據,不論是采用線分類法還是面分類法結構設計分類規則,都可實現本領域內數據劃分的完備性和純粹性。但當分類對象擴展至所有數據時,既有分類標準就難以適用。如《證券期貨業數據分類分級指引》設計的數據分類分級的基本流程:在明確數據管理主體和業務分類的基礎上,重點解決數據分類問題(18)馮靜,李玲.數據分類分級標準解析[EB/OL].(2020-10-19)[2020-12-04].https:∥www.freebuf.com/company-information/2523 13.html.。又如《工業數據分類分級指南(試行)》第五、六、七條對工業數據的分類和分級標準進行了規定,并將工業數據分為工業企業和平臺工業企業。但上述數據分類方法多是一種“自下而上式”的分類法:一方面多服務于行業或組織內部數據的管理,以防止自身權益因為數據安全事件受損為主要目標,無法滿足國家監管需要(19)洪延青.對《數據安全法》的理解和認識:數據分級分類[EB/OL].(2020-07-06)[2020-12-04].https:∥mp.weixin.qq.com/s/iZGNGKG1Q36XaFVu0g_lHw.;另一方面,過度關注具體領域或行業內數據,無法適用于全部數據的分類。當然,也有學者提出基于國家數據監管需求,將數據分為個人信息、組織專有數據、重要數據、國家秘密四類,其中組織專有數據又分為企業專有數據和政黨社團專有數據(20)洪延青.數據安全管理視角下的數據分類研究:研究報告全文[EB/OL].(2020-05-15)[2020-12-04].https:∥mp.weixin.qq.com/s/bzyveak 3oC8VGHf4y6sD8A.,但這種分類方法無法滿足分類的純粹性和完備性要求。為此,考慮到分類的科學性和合理性,按照數據來源為區分標準,將數據分為個人數據和組織數據兩類(21)劉云.健全數據分級分類規則,完善網絡數據安全立法[EB/OL].(2020-10-06)[2021-01-30].https:∥mp.weixin.qq.com/s/MbBgWBv 9JleEU5WhzkKExw.。

一是個人數據。根據《信息安全技術個人信息安全規范》的定義,個人數據是指以電子或者其他方式記錄的能夠單獨或者與其他數據結合識別特定自然人身份(識別路徑),或者反映特定自然人活動情況的各種數據(關聯路徑)。按照個人數據敏感程度可將個人數據分為:一般數據(可以通過一定技術手段識別到個人,但不包含個人敏感信息的數據;或者不能識別到具體自然人身份,但包含個人敏感信息的數據)[17]、敏感數據(可以通過一定技術手段識別到個人,包含個人敏感信息的數據,如身份證號等信息)和高度敏感數據(如DNA等個人生物識別信息等)。

二是組織數據。除個人數據之外的所有數據均是組織數據,包括企業、非法人組織、政府機關、事業單位和政黨團體等數據。按照數據的重要性將其分為:國家秘密、重要數據、內部數據和公開數據。國家秘密數據歷來就是極為特殊的一類數據,通常不允許出境;重要數據是《網絡安全法》《數據安全法》中均有提及的,是與國家安全、國計民生和公共利益相關的非國家秘密數據;內部數據則是指重要程度不及重要數據的數據,如商業秘密等;公開數據則是指除國家秘密、重要數據和內部數據之外的數據。之所以將重要數據和內部數據單列,是因為對不屬于重要數據的內部數據而言,并不需要國家強制干預,如只要企業許可即可出境。

其次,數據定級。數據分級應充分考慮數據對國家安全、社會穩定和公民安全的重要程度,以及數據是否涉及國家秘密、用戶隱私等敏感信息,同時考慮不同敏感級別的數據在遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度,來確定數據級別[18]。為便于理解和管理,對上述數據采取統一的級別標簽:個人高度敏感數據和組織數據中的國家秘密數據,標注為III級;個人敏感數據、組織數據中的內部數據和重要數據,標注為II級;一般個人數據和組織數據中的公開數據,標注為I級。

最后,確定不同級別數據是否可離境及離境條件。就數據離境的安全風險來說,數據級別越高,數據在遭到破壞后對國家安全、社會秩序、公共利益,以及公民、法人和其他組織的合法權益的危害程度越大。因此對不同級別的數據應采取不同的跨境數據流動要求:一是對III類數據而言,原則上禁止跨境數據流動;若確有需要,需經嚴格的數據脫敏和數據離境安全評估程序后,方可離境。二是對II級數據而言,實行附條件離境。三是對I級數據而言,允許自由流動。

綜上,可繪制出跨境數據流動的數據分類分級管控圖譜,如圖2所示。

圖2 跨境數據流動的數據分類分級管控圖譜

四、結語

跨境數據流動在推動全球經濟發展的同時,也為隱私保護、數據安全和國家主權帶來了嚴峻挑戰。為應對上述問題,各國跨境數據流動政策必須在安全與效益、限制與流動、寬松與嚴格、國際與本國間作出抉擇,回應數據經濟時代的“三難問題”。通過博弈論視角解析各國在制定跨境數據流動政策時應考量的因素,可以為政策制定者提供一種分析進路,進而在綜合考慮本國與域外情況的基礎上制定出適宜本國國情的治理政策,實現安全性和成長性的平衡。