文/曾磊 編輯/孫艷芳
數(shù)據(jù)是“21世紀的石油”。數(shù)據(jù)已成為國際貿易與投資不可或缺的要素,脫離數(shù)據(jù)的(data free)跨境貿易和投資是不可想象的。2021年4月9日,《中共中央 國務院關于構建更加完善的要素市場化配置體制機制的意見》正式將數(shù)據(jù)納入與土地、勞動力、資本、技術并列的生產(chǎn)要素。
生產(chǎn)要素只有流通起來積極參與生產(chǎn)過程,才能發(fā)揮最大的價值。數(shù)據(jù)亦然。歷史表明,國家間的制度差異會形成貿易壁壘,阻礙貨物、人員、資本、技術的流通,增加交易成本,不利于國際貿易和投資的發(fā)展。世界貿易組織(WTO)規(guī)則和各種雙邊或多邊自由貿易協(xié)定,就是人類努力消除貿易壁壘的成果。有研究發(fā)現(xiàn),數(shù)據(jù)也同樣易受貿易壁壘的負面影響,而這類貿易壁壘的主要表現(xiàn)形式也是國家或區(qū)域間的制度差異。
歐盟是全球首個制定和實施統(tǒng)一的個人數(shù)據(jù)保護規(guī)則的自由貿易區(qū)。2018年5月25日,歐盟《一般數(shù)據(jù)保護條例》(GDPR)開始施行。該條例旨在保護歐盟所屬自然人的個人數(shù)據(jù),對個人數(shù)據(jù)的使用和處理設定了嚴格的標準和程序。GDPR具有跨地域的管轄效力,即無論是否在歐盟境內處理,只要涉及的數(shù)據(jù)關系到歐盟所屬的自然人,相關的數(shù)據(jù)處理活動就必須遵循GDPR的規(guī)定,違者將遭受嚴苛的處罰。同時,GDPR也嚴格限制向歐盟以外傳輸個人數(shù)據(jù)。根據(jù)GDPR,當數(shù)據(jù)出口方需要將個人數(shù)據(jù)從歐洲經(jīng)濟區(qū)傳輸?shù)狡渌麌遥笳卟⒉皇且粋€被歐盟認定為能提供足夠個人數(shù)據(jù)保護(即“充分性認定”)的國家時,則數(shù)據(jù)出口方需和該國的數(shù)據(jù)接收方簽訂標準合同條款,對數(shù)據(jù)傳輸?shù)臈l件、責任等做出一系列規(guī)定以保障對個人數(shù)據(jù)的保護(2021年6月4日,歐盟委員會正式采用了新的數(shù)據(jù)傳輸標準合同條款)。亞太國家中,目前只有日本和新西蘭獲得歐盟的充分性認定。這意味著歐盟企業(yè)向這兩個國家和亞太其他國家(包括中國和東盟國家)傳輸數(shù)據(jù)時,將面臨不同的門檻。
2020年11月15日簽訂的《區(qū)域全面經(jīng)濟伙伴關系協(xié)定》(RCEP)擬在亞太主要經(jīng)濟體之間建立全球最大的自由貿易區(qū),促進區(qū)域經(jīng)濟的一體化,提高域內經(jīng)濟體抵御重大風險的能力。自由貿易區(qū)的重要特征是貨物、資金、人員等要素在區(qū)域內流動的障礙得到消除或大幅減少,區(qū)內貿易和投資成本顯著降低。RCEP在貨物貿易零關稅、原產(chǎn)地累積規(guī)則、服務貿易開放、投資市場準入和保護、自然人流動方面,都有了詳細而具體的約定,對貿易和投資自由化的積極效應毋庸置疑。那么,在數(shù)據(jù)治理方面,RCEP能否也能建立起統(tǒng)一規(guī)則,創(chuàng)造亞太版的GDPR,從而消除數(shù)據(jù)流通的壁壘,促進數(shù)據(jù)在區(qū)域內的安全和高效流動,讓數(shù)據(jù)最大程度地造福地區(qū)經(jīng)濟發(fā)展呢?
互聯(lián)網(wǎng)改變了國際貿易和投資的模式,也讓數(shù)據(jù)發(fā)揮了前所未有的價值,數(shù)據(jù)已深入到跨國經(jīng)濟活動的方方面面。數(shù)據(jù)對于跨境電商、信息服務、公用設施、金融等行業(yè)的重要性自不待言,對于傳統(tǒng)的制造、貿易行業(yè)同樣不可或缺。例如,在東盟的馬來西亞、越南、泰國等國,有大量來自日本、新加坡、中國、歐美等的產(chǎn)業(yè)投資,形成制造業(yè)產(chǎn)業(yè)鏈。為了實現(xiàn)產(chǎn)業(yè)鏈的運轉,每條產(chǎn)業(yè)鏈上的各個節(jié)點企業(yè)必須密切溝通關于生產(chǎn)、銷售、庫存、運輸?shù)刃畔ⅲ魂P聯(lián)企業(yè)與總部之間需要分享員工的信息,以便將人力資源在組織間進行合理分配;企業(yè)需要收集和分析各國的人口數(shù)據(jù)和消費者行為信息,以便針對各市場設計適銷對路的產(chǎn)品、服務及更有效的營銷計劃。舉例來說,中國的用友網(wǎng)絡公司于2010年在新加坡設立了區(qū)域業(yè)務中心,覆蓋泰國、越南、緬甸、馬來西亞等東南亞國家,主要目的之一就是滿足中資企業(yè)中國總部與地區(qū)分支機構之間的數(shù)據(jù)交換和協(xié)同方面的需求。
隨著各國制造業(yè)紛紛向“智能制造”“工業(yè)4.0”升級,相關數(shù)據(jù)的產(chǎn)生量和處理量將呈爆炸式增長。根據(jù)國際權威機構Statista的預測,2020年全球數(shù)據(jù)產(chǎn)生量可達47ZB(1ZB=1012GB);而到了2035年,這一數(shù)字將達到2142ZB。
經(jīng)濟合作與發(fā)展組織(OECD)于2018年發(fā)布的貿易政策報告《數(shù)字貿易與市場開放》(Digital Trade and Market Openness)指出,一個開放的市場至少應符合以下六個原則:(1)透明,即減少規(guī)則的不確定性,以提高合規(guī)水平;(2)非歧視,即來自不同產(chǎn)地的貨物和服務都可享受實質性的公平待遇,以促進競爭和創(chuàng)新;(3)避免過度監(jiān)管,即監(jiān)管措施應限制在合理必要的程度內,避免過度管制對貿易的損害;(4)統(tǒng)一,即各國的管制措施應協(xié)調一致,避免監(jiān)管割裂;(5)互認,即承認他國的對等監(jiān)管措施,減少國家標準的差異對貿易的妨礙;(6)競爭,即鼓勵市場主體的有效競爭。該報告還指出,數(shù)字貿易已深入到經(jīng)濟的各個行業(yè)和各個環(huán)節(jié),經(jīng)濟的數(shù)字化有利于國際貿易。報告經(jīng)過計算發(fā)現(xiàn),兩國間的數(shù)據(jù)互聯(lián)程度每提高10%,貨物貿易平均將增長近2%,而且這種效應隨著貨物制造復雜程度的提高而越發(fā)明顯(例如,對電子產(chǎn)品貿易的拉動效應高于對農產(chǎn)品貿易的拉動效應)。因此,在數(shù)字經(jīng)濟蓬勃發(fā)展的時代,要促進國際貿易,首先要保證數(shù)據(jù)的自由和有序流通,相關國家應參照以上六項原則規(guī)劃和制定其數(shù)字政策。
筆者認為,RCEP締約國應努力實現(xiàn)數(shù)據(jù)監(jiān)管制度的協(xié)調和統(tǒng)一,以最大程度地發(fā)揮RCEP對區(qū)域經(jīng)濟的推動作用。
早在RCEP簽訂之前,區(qū)域內各國大多數(shù)已經(jīng)開展數(shù)據(jù)和個人信息保護的立法和監(jiān)管。例如,日本于2005年開始施行《個人信息保護法》,并先后于2017年和2020年進行了大幅度修訂;馬來西亞于2010年出臺了《個人數(shù)據(jù)保護法令》;印度尼西亞在2012年就頒布了關于電子系統(tǒng)和交易的第82號法規(guī);新加坡于2012年頒布了《個人數(shù)據(jù)保護法》,并于2018年通過了《網(wǎng)絡安全法》;越南于2019開始施行《網(wǎng)絡安全法》。中國也在積極行動。2021年8月20日,中國《個人數(shù)據(jù)保護法》落地,將于2021年11月1日生效。結合之前出臺的《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《關鍵信息基礎設施安全保護條例》以及一系列數(shù)據(jù)安全技術標準和規(guī)范,中國已初步建立起關于數(shù)據(jù)治理的完整制度體系。
在相關立法的基礎上,各國政府也在加大執(zhí)法力度,對違規(guī)事件的處罰越來越頻繁。2019年1月15日,新加坡個人數(shù)據(jù)保護委員會(PDPC)對新加坡健康服務私人有限公司和綜合健康信息系統(tǒng)公司分別處以罰款25萬新加坡元和75萬新加坡元,理由是該等機構未能采取適當?shù)谋Wo措施,導致150萬患者的個人信息被盜。2020年3月9日,澳大利亞信息專員辦公室在聯(lián)邦法院對臉書(Facebook)提起訴訟,稱被告未經(jīng)同意就泄露了30多萬澳大利亞用戶的個人信息。自2019年12月至2021年7月,中國工業(yè)和信息化部已累計組織16批次集中抽測,檢查139萬款APP,通報1407款違規(guī)APP,下架377款拒不整改的APP。其中,違反個人信息保護規(guī)定是主要的違規(guī)情形。
RCEP締約國加緊數(shù)據(jù)保護,一方面是基于對數(shù)據(jù)價值的認識提升,意在保護國民的基本權益和國家的戰(zhàn)略安全免遭外部的侵害;另一方面,歐盟主導的較為激進的數(shù)據(jù)保護模式也對各國形成了壓力。歐盟GDPR的管轄范圍包括全球范圍內有可能處理歐盟自然人公民的個人數(shù)據(jù)的任何主體,違法者將遭受高額的罰款。GDPR還嚴格限制向歐盟以外的第三地輸出數(shù)據(jù),規(guī)定數(shù)據(jù)輸出的目的國家必須獲得歐盟委員會的“充分性認定”,否則輸出方必須證明已經(jīng)采取了適當?shù)拇胧┐_保數(shù)據(jù)可以得到適當?shù)谋Wo。歐盟是RCEP締約國的最重要貿易伙伴之一。為了避免本國企業(yè)遭受歐盟的嚴苛處罰,并且確保本國企業(yè)與歐盟之間的正常數(shù)據(jù)交流,RCEP締約方也不得不向GDPR看齊,努力提升本國的數(shù)據(jù)保護水平,爭取獲得歐盟的充分性認定。網(wǎng)絡安全和數(shù)據(jù)保護水平,已日益成為國家乃至地區(qū)競爭力的重要構成。
目前,RCEP締約國的數(shù)據(jù)保護規(guī)則基本上都遵循歐美所倡導的“合法、正當、必要、主體許可、最小化”等原則,嚴格限制對數(shù)據(jù)的收集、轉移及利用。然而,各國的數(shù)據(jù)保護規(guī)則在相似的外表下仍存在較大的差異,如果再配合執(zhí)法上的自由裁量權,極容易形成新型的貿易壁壘。
首先,RCEP締約方的網(wǎng)絡安全和個人信息保護水平發(fā)展不一,既有擁有全球領先網(wǎng)絡安全監(jiān)管的新加坡,也有老撾、柬埔寨、緬甸等尚在進行網(wǎng)絡安全基礎建設的國家(這三個國家都還沒有專門的個人數(shù)據(jù)保護法律),對于數(shù)據(jù)的跨境流通難免出現(xiàn)監(jiān)管真空和脫節(jié)。例如,除了中國、日本、新加坡、澳大利亞等國外,其他締約國鮮有對違反個人信息保護的情形展開調查或處罰的先例。
其次,在現(xiàn)有制度框架下,各國關于數(shù)據(jù)監(jiān)管的對象也未形成統(tǒng)一認識。例如,關于個人信息,大部分國家將其定義為可導致對自然人的身份進行識別的信息,但對這類信息的具體范圍,一些國家僅將其限定于姓名、生日、性別、住址、電子郵箱等基本信息;而另一些國家,則將監(jiān)管信息擴大至銀行賬戶、網(wǎng)絡名稱、虛擬貨幣賬號等信息,甚至某些本身不能識別自然人但與其他信息結合則可識別特定自然人的信息也被囊括在內,如IP地址、個人上網(wǎng)記錄、個人位置信息等。在這方面,澳大利亞就將關于個人的任何信息和評論意見都納入保護的范圍,無論這些信息和意見是否真實和準確。上述監(jiān)管對象的不統(tǒng)一,給企業(yè)的跨境運營造成很大的不確定性。
再次,各國對數(shù)據(jù)跨境傳輸限制的不統(tǒng)一也容易產(chǎn)生數(shù)據(jù)本地化壁壘。雖然大多數(shù)國家原則上規(guī)定數(shù)據(jù)主體的同意是跨境傳輸?shù)谋匾獥l件之一,但同時又對某些特殊信息設置額外的限制條件。例如,泰國對于“重大戰(zhàn)略性信息”的限制,越南對于“國家秘密”的限制,新加坡對于金融信息的限制,等等。
最后,對于數(shù)據(jù)本地化存儲的要求將對企業(yè)的投資安排有直接影響。例如,印度尼西亞、越南、澳大利亞、中國都對數(shù)據(jù)有本地化存儲的強制要求,也就是說企業(yè)必須在運營所在國設置存儲在該國產(chǎn)生的數(shù)據(jù)的服務器。這種要求導致了東南亞的數(shù)據(jù)中心(IDC)投資的快速增長。據(jù)預測,東南亞IDC市場投資在2021年至2026年期間,將以8%的復合年增長率增長,阿里云、騰訊云、UCloud等國內云計算服務商都在加快東南亞布局,新加坡、印尼、馬來西亞、菲律賓、印度等地都有中資數(shù)據(jù)中心的存在。
數(shù)據(jù)保護規(guī)則的不統(tǒng)一,相當于在各國之間樹立了高矮疏密不一的數(shù)據(jù)籬笆,直接妨礙數(shù)據(jù)以及與其相關的資本和人員的互通。數(shù)據(jù)保護規(guī)則的不統(tǒng)一還將對跨國供應鏈產(chǎn)生深遠的影響。跨國企業(yè)為了節(jié)省合規(guī)成本,可能會放棄一些位于實施嚴格數(shù)據(jù)保護的國家的供應商,而選用數(shù)據(jù)保護較寬松的國家的供應商,甚至將運營管理的中心轉移到數(shù)據(jù)監(jiān)管較弱的國家。此外,不少中小型企業(yè)可能會由于無法承擔數(shù)據(jù)保護合規(guī)的高昂成本而逐漸被排除在區(qū)域乃至全球供應鏈之外,失去發(fā)展的機會;對數(shù)據(jù)有高度依賴的科技創(chuàng)新企業(yè)也可能減少在數(shù)據(jù)合規(guī)成本較高的國家的投資。瑞典官方機構國民貿易局(The National Board of Trade)于2014年發(fā)表的企業(yè)調查報告《無傳輸即無貿易》(No Transfer,No Trade),通過眾多真實案例論證了歐盟區(qū)內割裂的數(shù)據(jù)保護制度對跨境貿易和投資的負面影響。GDPR在很大程度上正是對歐盟企業(yè)關于協(xié)調區(qū)域內各自為政的數(shù)據(jù)監(jiān)管制度強烈呼聲的回應。
在RCEP簽訂前,世界主要經(jīng)濟體已經(jīng)開始了協(xié)調數(shù)據(jù)監(jiān)管規(guī)則的嘗試。2019年1月,包括美國、歐盟、日本、新加坡、澳大利亞、中國、巴西、俄羅斯在內的76個WTO成員共同簽署了《關于電子商務的聯(lián)合聲明》,確認將在WTO現(xiàn)有協(xié)定框架基礎上,開展電子商務諸邊談判。與此同時,在WTO多邊框架之外的超大型自由貿易協(xié)定,如《全面與進步跨太平洋伙伴關系協(xié)定》(CPTPP)、《日本-歐盟經(jīng)濟伙伴關系協(xié)定》(EPA)、《美墨加貿易協(xié)定》(USMCA)等,大都包含了相關“數(shù)字貿易或電子商務”章節(jié),涉及“數(shù)據(jù)自由流動”及“禁止數(shù)據(jù)本地化”等內容,進行了跨國數(shù)據(jù)監(jiān)管一體化的嘗試。
RCEP作為一個現(xiàn)代、全面、高水平和互惠的貿易協(xié)定,在數(shù)據(jù)保護的國際化方面付出了很大的努力,試圖建立一套不同于歐盟或美國體制的國際數(shù)字治理新模式。首先,RCEP肯定數(shù)據(jù)治理的必要性。其第十二章“電子商務”第八條第一款規(guī)定,“每一締約方應當采取或維持保證電子商務用戶個人信息受到保護的法律框架”。
同時,RCEP也關注過度監(jiān)管對數(shù)據(jù)流動的妨礙。其第十二章第十條第二款規(guī)定,“每一締約方應當努力避免對電子交易施加任何不必要的監(jiān)管負擔”。第十二章第十五條第二款規(guī)定,“任何締約方不得阻止其他締約方的投資者為進行商業(yè)行為而通過電子方式跨境傳輸信息”。
RCEP也試圖減少數(shù)據(jù)存儲本地化對跨國投資者的負擔。其第十二章第十四條第二款規(guī)定,“締約方不得將要求涵蓋的人使用該締約方領土內的計算設施或者將設施置于該締約方領土之內,作為在該締約方領土內進行商業(yè)行為的條件”。
關于鼓勵數(shù)據(jù)跨境流動和避免數(shù)據(jù)存儲本地化的規(guī)定,被視為RCEP在促進數(shù)字貿易方面的重大創(chuàng)舉。澳大利亞政府在簽約當天發(fā)表的評論稱,RCEP的這些條款是很多締約方首次訂立的類似條款,是對包括澳大利亞-新西蘭自由貿易協(xié)定、馬來西亞-澳大利亞自由貿易協(xié)定、東盟自由貿易協(xié)定等在內的諸多貿易協(xié)定關于電子商務問題的成果的升級。
為了提高數(shù)據(jù)監(jiān)管的透明度,RCEP第十二章第八條第四款規(guī)定,“締約方應當鼓勵法人通過互聯(lián)網(wǎng)等方式公布其與個人信息保護相關的政策和程序”;其第十二條則進一步要求每一締約方盡快公布與電子商務有關的監(jiān)管措施。
在數(shù)據(jù)監(jiān)管規(guī)則的協(xié)調和統(tǒng)一方面,RCEP建議締約方借鑒現(xiàn)有的國際規(guī)范。其第十二章第八條第二款規(guī)定,“在制定保護個人信息的法律框架時,每一締約方應當考慮相關國際組織或機構的國際標準、原則、指南和準則”;第十條第一款規(guī)定,“每一締約方應當在考慮《聯(lián)合國國際貿易法委員會電子商務示范法(1996年)》《聯(lián)合國國際合同使用電子通信公約(2005年)》,或其他適用于電子商務的國際公約和示范法基礎上,采取或維持監(jiān)管電子交易的法律框架”。換言之,締約國期望,各方應努力使本國的數(shù)據(jù)監(jiān)管法律框架與國際普遍通行的規(guī)范靠攏和兼容,以提高監(jiān)管措施的可預見性與穩(wěn)定性,降低商業(yè)主體的合規(guī)成本。
其實,RCEP締約方一直在進行統(tǒng)一跨境數(shù)據(jù)監(jiān)管的努力。2013年,亞太經(jīng)合組織(APEC)通過了《跨境隱私規(guī)則體系》(CBPR)。該體系是亞太地區(qū)第一個數(shù)據(jù)保護協(xié)同框架,建立了一整套的執(zhí)行機制和措施。一般而言,加入CBPR的標準包括:國內隱私法、隱私保護執(zhí)法機構、信任標志(trustmark)提供商、隱私法與APEC隱私框架的一致性等。目前,共有美國、日本、加拿大、墨西哥、新加坡、韓國、澳大利亞和中國臺灣加入了CBPR。CBPR是規(guī)范APEC成員經(jīng)濟體關于企業(yè)和個人信息跨境傳輸活動的自愿性多邊數(shù)據(jù)隱私保護計劃,并不具有法律約束力,但對協(xié)調參與國的數(shù)據(jù)監(jiān)管有重要的指導意義。
2019年1月22日,東盟十國簽署了《東盟電子商務協(xié)定》。該協(xié)定是全球為數(shù)不多的聚焦電子商務的區(qū)域性協(xié)定,包含了個人網(wǎng)上信息保護、網(wǎng)絡安全等內容,具有法律約束力,并且絕大多數(shù)條款適用爭端解決。目前,東盟十國正在履行該協(xié)定的國內核準程序。2021年1月22日,第一屆東盟數(shù)字部長會議批準發(fā)布了《東盟數(shù)據(jù)管理框架》和《東盟跨境數(shù)據(jù)流動示范合同條款》。兩份文件旨在為區(qū)域數(shù)字經(jīng)濟和數(shù)字貿易發(fā)展制定東盟內部的數(shù)據(jù)流動規(guī)則,以促進與東盟地區(qū)數(shù)據(jù)相關的商業(yè)業(yè)務運營,減少談判和合規(guī)成本;同時,確保跨境數(shù)據(jù)傳輸過程中的個人數(shù)據(jù)保護。東盟下一步將制定有關東盟跨境數(shù)據(jù)流動認證的細節(jié),預計于2021年完成。
歐盟GDPR是迄今為止關于數(shù)據(jù)監(jiān)管統(tǒng)一化的最成功范例,對世界各國的數(shù)據(jù)保護立法和實踐將持續(xù)產(chǎn)生重大影響。RCEP締約國如越南、中國、泰國、日本等國,在制定或修訂本國的數(shù)據(jù)保護法律時都積極借鑒了GDPR。因此,GDPR可作為RCEP締約國搭建區(qū)域統(tǒng)一數(shù)據(jù)監(jiān)管制度的參考模板。
RCEP第十二章第十六條聲明,締約方認識到,在適當時與利益相關方對話,有利于促進電子商務的發(fā)展和提升其使用價值。而這些對話應當包括數(shù)字產(chǎn)品待遇、源代碼、金融服務中跨境數(shù)據(jù)流動和計算設施的位置等問題。可見,RCEP已為締約方繼續(xù)磋商以改善區(qū)域數(shù)據(jù)監(jiān)管統(tǒng)一化預留了空間。
筆者認為,RCEP締約國可在尊重各國利益訴求和約束條件的前提下,以GDPR為藍本,以現(xiàn)有的關于跨境數(shù)據(jù)監(jiān)管的國際協(xié)定成果(如CBPR、CPTPP、《東盟數(shù)據(jù)管理框架》等)為參考,求同存異、抓大放小,采取先建立基本規(guī)則再后續(xù)補充細則的路線,結合區(qū)內區(qū)外不斷演進的監(jiān)管實踐,形成統(tǒng)一、包容、現(xiàn)代、前瞻且合理兼顧信息保護與經(jīng)貿便利的區(qū)域性數(shù)據(jù)監(jiān)管制度。一旦形成這套制度,則不僅區(qū)域內的貿易和投資將更加通暢,區(qū)域經(jīng)濟產(chǎn)出得到提升,而且RCEP締約國與歐盟、美國等發(fā)達經(jīng)濟體之間的“數(shù)據(jù)鴻溝”也有望被填平,RCEP締約國更易獲得歐盟和美國的“充分性認證”,數(shù)據(jù)跨境傳輸限制對跨區(qū)貿易的掣肘將被有效削弱。
目前已有泰國、新加坡、中國、日本完成了國內程序,批準了RCEP。十五個締約國一致表示,將盡快完成RCEP的國內批準程序,爭取在2022年1月1日生效實施。疫情延誤了RCEP的批準進程,但也讓締約國意識到數(shù)據(jù)的運用和管理對公共健康、社會秩序、勞動就業(yè)、經(jīng)濟轉型等的重要意義。平衡數(shù)據(jù)保護與經(jīng)濟活動成為前所未有的挑戰(zhàn)。各國通過抗擊疫情,積累了數(shù)據(jù)監(jiān)管和運用的新鮮經(jīng)驗。相信隨著疫情的平息、社會活動恢復常態(tài),RCEP一旦正式生效,締約國將會就電子商務議題展開深入對話和磋商,區(qū)域數(shù)據(jù)監(jiān)管的統(tǒng)一化進程有望在新的起點上加速推進。