APEC跨境隱私規則體系中的個人數據跨境流動立法研究

易 珂

（吉利學院 四川成都 641423）

數據跨境流動主要是指各國在個人數據保護層面針對個人數據向第三國傳輸情況進行管理，從法律規制角度來看，數據跨境流動一般停留在公約、協約層面，國際上尚沒有專門的法律條款對其進行界定。但伴隨電商技術的快速發展和全面普及，個人數據跨境流動中表現出的問題逐漸增多，相應的國際標準的建構和管理機制的出臺，也相繼出現。通過建立相應的標準規制甚至通過立法手段加以控制，是當前保障個人信息權、保障國家信息安全的重要手段，同時也是各國在國際交流當中的默契標準。

個人數據流動跨境流動基本情況

個人數據情況。國際范圍內針對個人數據并沒有形成統一概念，我國在進行個人數據認定中一般從網絡環境出發，《網絡安全法》中認定個人在電子環境當中形成的電子信息或其他記錄方式能夠進行對于個人身份有效識別的信息內容，便認定為個人數據。這一認定方式與一般國際認定規范雖然有所差異，但是從個人可識別信息特征方面，則大同小異。本文在研究當中一般采取個人相關已識別或可識別信息內容作為個人數據基本概念。

個人數據跨境流動情況。大數據技術廣泛應用背景下，數據開始異化成為商品類型，在商品交易當中以流動性表現其價值。個人數據流動一般是以1980年頒布的《OECD指南》當中規定的個人數據出現跨國界流動中在第三國能夠進行讀取、處理、存儲、檢索行為，便認定該流動行為為個人數據跨境流動。在早期定義當中，數據的跨境流動或跨境轉移主要以個人在網絡環境中的跨境購物當中產生的數據被境外獲取，其中商家所處境外或平臺跨境，則境外購物公民會產生一定的數據跨境流動。隨著發展，個人數據的跨境流動形式開始逐漸豐富，其中跨國公司的客戶服務和業務辦理過程中，可能產生對于客戶信息的搜集和存儲，造成事實層面的跨境數據流動。此外部分違法機構采用竊取盜竊手段進行跨境傳輸，其中黑客等在網絡環境當中進行用戶數據竊取，通過販賣來非法獲利，整個過程也構成了個人數據的跨境流動。

推進個人數據跨境流動全面規制的主要作用。針對性開展個人數據跨境流動規制的作用目的主要體現在兩個方面，其一是從根源上避免個人信息權遭受到境外環境的侵害。從國家自身來看，個人信息權的管理 保護方式主要以國內法律環境為基底，通過國內司法體制來進行保護，但是在境外環境中，這種法律規制將喪失效力，難以執行，個人信息權利將會受到外部侵害。開展有效的法律規制則能夠較好地完成對于跨境信息傳輸的全面限制，實現法律體系針對個人數據流動的事前監督作用，從根源上避免個人數據在不符合法律規范的前提下流出。其二是有效維護國家的信息安全，從整體性上來看，個人數據的內容層面本身隱藏著巨量信息，其中除了個人信息之外，還與國家信息密切相關，通常情況下個人數據信息背后還隱含著國家科技水平、經濟和市場環境、政治文化等與國家安全緊密相關的信息內容，跨境數據雖然帶出的是個人數據，但在一定程度上會產生對于國家安全的威脅，甚至產生嚴重的負面影響。在進行法律規制中，通過開展對于個人數據流動的有力規制，能夠降低國家安全信息的外流體數量，減少國家安全方面的隱患。在數據外流無法避免的前提下，更加合法合規的管控機制建設勢在必行。

APEC跨境隱私規則體系的建構和主要內容

APEC跨境隱私規則體系的建構。APEC在電子商務快速發展當中逐漸成為國際電子商務貿易的主要經貿區域，是全球經濟一體化當中的重要組成部分。而在電商當中，以跨境模式為主的網絡銷售、數據外包和跨國經營活動等都存在較大的個人數據流動現象，基于各國在個人信息管理和隱私保護方面的實際要求，同時保證APEC全面發展，APEC組建了共同隱私保護方式，被稱為《APEC隱私框架》，該框架主要從立法、行政以及搭建行業自律環境等多層面進行體系建構，以滿足各國在跨境貿易方面個人數據信息流動的管控需求。不過需要注意到的是，早期APEC框架體系本身并不具有法律效力，同時缺乏一定的操作性。直到2007年由與會各國部長共同前述建立APEC跨境隱私保護規則，搭建隱私探路者項目，最終于2009年正是確立《APEC跨境隱私執法合作安排》，才最終從法理層面確立了經濟體之間隱私保護以及執法過程中信息共享合作方案，該模式體系被正式確立下來，體系模式CBPRs。

CBPRs規則體系的具體內容。框架體系主要分為跨境隱私原則和執行方式兩個部分，其中跨境隱私原則主要以問責機制進行個人數據在跨境流動過程中的實際義務，明確要求無論所處位置，經濟體都應在征求數據信息主體同意火災恪盡職責之下針對性采用合理措施后才能夠進行數據信息的使用，實現在一定情形下的信息運用和信息保護的平衡。在該原則模式之下，個人數據在跨境流動當中數據控制者需要從兩個方面來承擔相應的義務。一方面要求數據控制者嚴格遵守隱私體系的實際規定，另一方面要求數據控制者必須以第三方原則遵守為基礎，為數據行為進行負責。

在執行層面，隱私體系強調從立法層面進行全面的框架體系實施，各國應當根據本國國情和既有的司法解釋模式，建立并完善相關法律系統，保障在跨境交流當中，數據控制者主體方能夠保證始終依照框架體系和相關國家法律法規來進行個人數據的流動保護，最終在執行層面落實各國自理、有效協同的應用執行責任。

CBPRs背景下我國在制定個人數據跨境流動立法方面思考

制定專門個人數據管控法律《個人數據保護法》

我國傳統法律體系當中針對個人數據方面的保護立法存在嚴重缺失，部分保護法律規制尚處于初級階段，其中涉及到個人數據信息和個人隱私的內容區分仍在不斷論證。雖然在目前APEC各國正在積極謀求立法協同，嘗試進行跨境隱私數據的執法合作，但是我國目前關于個人數據的相關法律建設缺乏原有土壤，大量涉及到個人數據的法律法規散見與其他位階較低的法律當中，其中以《網絡安全法》為代表的法律雖然明確了個人信息標準和相關采集使用原則，但是在具體細則方面仍存在嚴重缺失，導致執行能力不足。

在《民法典》頒布執行之后，國內在個人數據保護方面可以參考人格權編的相關內容，充分借鑒歐洲諸如《通用數據保護條例》等立法形式，制定專門服務與個人數據權利保護的《個人數據保護法》，并以法律的形式針對APEC隱私體系背景下的個人數據跨境流動情況進行規定。在法律體系當中，可以嘗試引入諸如數據管理者、數據控制者等行為責任主體，進行對于數據處理中主客體關系進行清楚定位，同時明確其責任。采用綜合性制度標準進行法律建設，保證數據流動與個人數據保護相互平衡，引導更好參與到國際貿易和經濟合作當中，做到有法可依。

借鑒問責制進行頂層制度標準設計

APEC隱私體系CBPRs的核心建制在于其所采用的問責機制，問責機制所隱含的問責原則更多從經濟合作背景出發，探討平衡模式下的經濟發展訴求，因此在側重點方面更多側重于行業自律，借助執法形式進行管制則相對輕松。我國在頂層設計制度建設當中，需要充分結合我國國情和法律文化環境來進行制度優勢吸取。在問責機制的借鑒方面，應當對責任制度進行吸納，而針對其中所仰賴的行業自律應當進行批判性的繼承和發展。國內市場環境無法將制度標準完全交付給行業自律，因此需要結合問責機制特征，對已有的CBPRs體系進行相應的創新。

目前《網絡安全法》針對個人數據的跨境流動情況提出了安全評估的實際執行要求，該要求強調問責機制作為基本原則，應當針對流動規則的制定和流動實際情況進行相應的安全評估。在這一背景下，國內機制建設便可以嘗試將問責機制與安全評估進行相互結合，充分發揮問責模式的優勢，同時降低完全依靠行業自律可能帶來的諸多風險。制度建設方面，依托問責機制，國內制度層面可以設定數據接受者視角，強調數據接受者應當履行征求數據主體同意義務、針對特殊情況使用數據事前高職義務、以標準化機制限制數據使用目的以及接受相關數據主體進行數據使用情況的查閱和修正。在上述四項標準的執行條件下，可以設置屬性分析、跨境數據控制黑名單機制等評估機制，保障數據安全和管理效率。

積極融入國際化全面合作背景當中

國際間經濟貿易的全面合作是當前全球經濟發展的主要趨勢，國際間的合作來源于多邊協同的共識基礎，數據流動作為一種國際合作的基礎性“游戲規則”，各國不能閉門造車，僅關注本國國情，還應當兼容國際視野，通過積極的國際形式分析建構標準化、適應性強的制度體系。我國在APEC背景下應當積極嘗試深入國際背景，結合本國利益參與國際間分歧的討論協商。

應當認識到，國際化背景之下個人數據在跨境過程中出現的數據流動與深入長遠的國際合作本身需要通過機制的協調和拖鞋來實現，在針對雙邊制度矛盾中，我國應當充分學習歐美國家的寶貴經驗，嘗試從參與國際規則制定、打造大國擔當，充分顧及踏過的政治因素，為推進國際間制度高質量合作提供寶貴助力。在整個過程中，我國不僅體現了大國風度，同時也能夠收獲國際市場當中外國消費者的認可和信任，為更多企業進入到亞太市場奠定基礎。就目前形勢來看，我國可以嘗試從一帶一路戰略出發，獲取國際話語權，積極參與到國際間制度融合、制度協調的參與當中，為個人數據跨境流動的法律規制提供制度建設意見，引導國際間充分合作，共同建立規范標準，避免因制度矛盾所導致的沖突問題。