我國確立個人信息跨境傳輸制度的背景、意義和途徑

摘要：我國確立個人信息跨境傳輸制度的背景是數字跨境貿易繁榮背景下保護個人信息的需要。建立和完善個人信息跨境傳輸制度的現實意義在于其回應了互聯網大數據時代下保護個人信息權益的重要性;可以更好地應對全球個人數據跨境傳輸制度下數據管轄范圍的擴大性：體現我國參與和倡導國際數據領域新規則制定的積極性。目前我國個人信息跨境傳輸制度還存在諸多不足，可嘗試：（一）對信息跨境傳輸采取開放性政策;（二）對境外個人信息跨境傳輸至境內的情形作出規定;（三）分級、分類保護個人信息的跨境傳輸;（四）明確個人在信息跨境傳輸中享有的權益;（五）細化個人信息跨境保護制度的相關規則，加強可操作性。

關鍵詞：個人信息跨境傳輸;保護制度;現實意義：完善路徑

中圖分類號：D997文獻標識碼：A文章編號：2095-6916（2022）08-0073-04

個人信息在互聯網時代的大規模、高頻率流動，使個人感受到了信息傳輸便捷的幸福感，但也產生了信息被泄露與不當使用的危機感。國際社會也意識到個人信息在傳輸過程中存在眾多隱患，紛紛出臺相關法律對個人信息予以保護。尤其是隨著金融貿易的全球化，個人信息的流動不僅局限于本國境內，還涉及數據的跨境傳輸，更需要國家制定相關制度對數據的跨境傳輸進行規制。目前，美國、歐盟、APEC組織等經濟體已經制定了一系列數據跨境傳輸規則，以擴大本國的數據管轄權。我國現作為世界第一大貿易國，個人信息的跨境流動較過去更為頻繁，因此我國也應盡快完善個人信息跨境傳輸制度，在保護個人信息安全的前提下實現個人信息的自由流動，以促進國際貿易的發展。

一、我國確立個人信息跨境傳輸制度的背景

（一）是數字跨境貿易繁榮發展背景下保護個人信息的需要

隨著電子商務的發展，一系列跨境電商平臺發展如火如荼。用戶在網上進行自主跨境購物時，其個人信息數據將被傳送至境外平臺的服務器，其中包含用戶的姓名、電話號碼、住址以及被大數據統計的消費偏好等涉及個人隱私的信息。如此大量的用戶信息被存儲于境外，若無相應制度予以規制，將存在嚴重的個人信息安全隱患，甚至威脅國家安全。除此之外，一些境外企業在中國開展業務或是國內公司與境外企業開展合作，我國個人信息數據也不可避免地被收集、存儲于境外服務器[1]。個人數據的頻繁跨境流動，關乎個人、社會和國家利益，我國亟須建立統一的個人數據跨境傳輸制度，以保護個人信息安全。

（二）國外關于個人信息跨境傳輸的保護制度為我國提供了經驗

相較于我國個人數據跨境傳輸制度的不完善，歐美國家已經有較完備的數據跨境傳輸保護制度，可供我國學習和借鑒，如美國與歐盟為進行個人信息跨境傳輸簽訂的《安全港協議》《隱私盾協議》。雖然2015年歐盟法院判決《安全港協議》無效，但其對美歐雙方統一數據跨境傳輸的標準起到了推動作用[2]，美歐雙方之后達成的《隱私盾協議》正是在該協議基礎上的進一步突破。《隱私盾協議》中對信息主體的救濟方式、企業義務、安全機構準入、年度審查制度等方面的創新性規定，為美歐雙方信息跨境流動和個人信息保護找到了平衡點，也為我國與其他國家開展數據跨境傳輸合作提供了藍本。歐盟作為當前國際上個人信息保護水平最高的區域性組織，其在《通用數據保護條例》中設立的三種不同等級的保護機制，實現了個人數據跨境傳輸的高標準保護。最高等級的保護首先是由歐盟認定第三國或國際組織具備了充分的數據保護水平，歐盟成員國的個人數據才能進行數據跨境流動;其次是經認定基于可提供充分的數據保障措施而允許數據傳輸;最后是特定情形下的數據傳輸。歐盟的該種數據保護模式具有完整性、創新性以及可操作性。我國出臺的《個人信息保護法》中關于個人數據保護的管轄標準就借鑒了歐盟《通用數據保護條例》中域外管轄標準的“目標指向標準”，即對于境外基于特定目的處理我國個人信息的行為，我國擁有管轄權。雖然我國關于個人數據跨境傳輸制度的部分法律條文與歐盟規定不同，但核心觀點一致，即均是為了保護數據跨境傳輸的安全，而擴大對侵犯個人數據權益的管轄權范圍。此外APEC經濟體也建立《跨境隱私規則體系》，旨在實現參與該組織的各經濟體之間的信息共享與跨境執法協作[3]。當前數據領域的強國都在積極建立并試圖主導國際數據傳輸規則，我國應在借鑒域外國家或地區有益經驗的基礎上，加快建立和完善我國個人數據跨境傳輸制度，以在國際上擁有更多話語權。

（三）是實現國內個人信息保護以及與國際接軌的需要

公民的個人信息與人格尊嚴相關，從權利屬性來講，個人信息屬人格權，是人權的一部分。我國一直致力于人權保護工作，為保護公民的個人信息，我國各部門法均對個人信息保護作出相應規定。但關于個人信息保護的法律法規大多是對境內個人信息數據傳輸的規則予以規定，缺乏對個人信息數據的跨境流通的規制，存在個人信息僅能從境內傳輸至境外，但境外個人信息很難傳回境內的尷尬局面。最近實施的《個人信息保護法》中列專章對“個人信息跨境提供的規則”進行說明，回應了國內個人信息保護的訴求，實現與國際接軌。前文提到，美國、歐盟、APEC組織都建立了個人數據跨境傳輸保護制度，我國作為數據大國卻仍未建立統一的、專門個人信息跨境傳輸制度，影響我國在國際數據傳輸領域方面的話語權與地位，發達國家歷來注重主導國際秩序規則的建立，發展中國家基于利益的考量只能被迫接受[4]。但我國作為最大的發展中國家以及世界第二大經濟體，應盡快與國際接軌，建立個人信息跨境傳輸制度，為廣大發展中國家贏得國際領域話語權。

二、建立和完善個人信息跨境傳輸制度的現實意義

（一）回應了互聯網大數據時代下保護個人信息權益的重要性

隨著我國網民規模的擴大，互聯網存儲了海量個人信息，給不法分子利用個人信息進行網絡詐騙尤其是跨境電信詐騙提供了機會。由于跨境電信詐騙中犯罪分子以及其犯罪設施均在境外，使得打擊該種犯罪行為十分困難，嚴重侵害了我國公民的個人信息權益。此外，我國公民在進行跨境購物時其個人信息將主動流向境外信息存儲服務器，且無法在交易結束后要求對方刪除該個人信息，損害了我國公民享有的個人信息刪除權。故確立個人信息跨境傳輸制度是互聯網時代保護個人信息以及維護國家總體安全的需要，設立該制度將有助于規范我國與境外國家或地區的數據跨境傳輸合作，更好地保障我國公民的個人信息權益。

（二）應對全球個人數據跨境傳輸制度下數據管轄范圍的擴大性

全球各國加強數據跨境立法工作的目的是為擴大國家對個人數據的管轄范圍，這涉及關于“網絡主權”概念的認識。“網絡主權”是由互聯網的發展衍生出來的，關于網絡主權的具體定位存在兩種不同觀點。一種觀點認為，如同國家對自己領土、領空、領海而享有的主權一樣，國家對網絡上傳輸的數據也擁有主權，應視為國家主權在網絡領域的延伸;另一種觀點則認為，技術規則網絡空間具有共有性，應屬于全球公域，以美國、加拿大為代表的國家希望網絡空間成為“自由王國”。事實上，網絡領域與現實相連接，必然將受到管轄，個人數據在互聯網上的跨境流動的管轄范圍將依照本國的網絡主權予以確定。基于當前國際上缺乏對網絡空間管轄權邊界的明確規定，眾多主權國家相繼推出數據跨境傳輸規則以擴大管轄權范圍。但對于跨國公司來說，由于各國的數據保護制度與保護標準不一致，增加了其進入境外市場的成本。因此，應努力推動國際上形成一個統一的數據跨境傳輸規則體系[5]，實現在尊重各國數據主權的基礎上讓數據充分自由流動的美好愿景。我國作為有責任擔當的大國，應在國際舞臺上更積極主動，以推動個人信息跨境傳輸國際規則的創設[6]。

（三）體現我國參與和倡導國際數據領域新規則制定的積極性

大數據產業蓬勃發展勢頭下，個人信息所包含的各種數據蘊含的價值成為新的戰略搶奪點。誰掌握了信息數據，誰就在未來經濟戰場上擁有主導權。我國對個人信息的保護相對薄弱，其保護制度多散見于各部門法，關于數據跨境保護也處于缺位狀態，而國際上對數據跨境傳輸的保護已走出相當遠的距離[7]。《個人信息保護法》中關于個人信息跨境提供的規則，填補了我國的立法空白。雖然該規則比較保守且對國內個人信息出境限制多，但一定程度上體現了我國正在積極構建個人信息跨境傳輸的保護制度，努力與主流國家或地區的數據跨境傳輸制度拉近距離，并在進一步參與和倡導國際數據領域信息跨境傳輸通行標準的制定。

三、我國建立和完善個人信息跨境傳輸制度的路徑

（一）對信息跨境傳輸采取開放性政策

目前，我國對信息跨境傳輸的態度缺乏開放性，過于強調數據的本地化以及對數據出境作嚴格限制。在《個人信息保護法》中，個人信息被分為一般個人信息與敏感個人信息，法律對這兩種個人信息都作出高標準保護，如信息處理者對個人一般信息的處理要建立在信息主體的充分知情與明確同意的基礎上;信息處理者因業務需要向境外機構提供個人信息需要雙重同意，即“政府審核通過+個人單獨同意”。這種嚴格的個人信息保護體現了當前立法機關堅守數據本地化導向，雖然對國內個人信息的安全提供了極大程度的保護，但是與國際上推行的數據自由流動的原則相背離，影響我國與其他國家或地區展開數字貿易合作。我國對個人信息跨境傳輸至境外的傳輸標準太過嚴格，過多的限制性規定不利于我國在全球范圍內發展大數據產業[8]。事實上，我國在發展互聯網大數據方面具有獨特的市場規模優勢，應當充分利用該優勢地位，借鑒歐盟數據跨境立法模式采取開放性政策，鼓勵個人信息的自由流通，助力我國在國際數據領域競爭中處于優勢地位。

（二）對境外個人信息跨境傳輸至境內的情形作出規定

法律雖規定個人信息跨境提供規則，但關于境外數據向境內傳輸的適用規則未作規定。所謂“傳輸”，漢語意思是指傳遞、輸送，在個人信息流動情境下，“傳輸”應當包括境內向境外傳遞信息和境外向境內流入個人信息，即是雙向的信息流動。當前法律缺乏對境外個人信息流入境內的規制，將對我國國內個人信息的安全產生沖擊。全球數據流通更為迅速與頻繁，跨境貿易的繁榮發展使得境外個人信息主動或被動地流入境內。如果國內相關部門對這些境外個人信息在入境時不加以審核或者進行安全評估，缺少入境信息動態監控，則會給我國個人信息保護帶來隱患，進而影響國家總體信息安全體系建設。

（三）分級、分類保護個人信息的跨境傳輸

目前法律對個人信息的出境以“政府審核通過+個人同意”的雙重標準作統一規定，未區分一般信息與敏感信息的出境保護標準。筆者認為，如果法律將個人信息區分為一般與敏感兩種類別，則在個人信息的跨境傳輸中，也應對這兩類個人信息進行分類保護，以實現個人信息跨境傳輸的安全與自由流動。個人信息的可識別性使其具有明確的“人身指向性”，即可以直接鎖定該個人。但在個人信息跨境傳輸中，對于個人的一般信息，由于其并不直接涉及自然人深層次隱私或財產信息，對于該一般信息的傳輸則不必嚴格依照“政府+個人”的雙重明確同意標準之規定，由政府單方面審核通過即可。若因政府審核不到位而使得個人信息遭受侵害，可事后對政府追責。個人敏感信息與人身、財產息息相關，故應嚴格適用“政府審核+個人單獨同意”標準，以實現對個人敏感信息更高層次的保護。在信息跨境傳輸中對個人信息區別保護，將有利于兼顧個人信息保護與信息自由流通雙重價值，進而構建開放且安全的信息跨境流通體系。

（四）明確個人在信息跨境傳輸中享有的權益

法律中僅規定個人信息處理者向境外傳輸信息要告知個人并取得個人的同意，除該“知情同意權”外，法律未對個人享有的其他權利作說明。從比較的角度分析，個人對境內個人信息的傳遞享有知情權、同意權、更正權、刪除權、查詢權、復制權等權益，筆者認為個人對其傳輸至境外的信息也應享有前述權益。個人信息具有人身依附性，從屬于個人，個人有權決定是否授權于個人信息處理者對其信息進行處理。對于傳輸至境外的信息，個人并未喪失控制權，仍有權要求境外機構對其信息進行更正或是予以刪除等。建議國家有關部門出臺相關規定明確個人在信息跨境傳輸中享有的權益，以更好地完善我國個人信息保護制度。

（五）細化個人信息跨境保護制度的相關規則，加強可操作性

《個人信息保護法》第三十八條第一款第一項中提到“安全評估”，但關于“安全評估”的具體流程、評估方式、評估哪些資料文件等還未有相關配套實施的細則;第二項提到“經專業機構進行個人信息保護認證”，但關于“專業機構”具體是哪些機構、專業機構應具備的資質條件等均未在法律中明確，同樣對“個人信息保護認證”的認證條件、需提供的認證資料、認證期限等未配備細化規則。《個人信息保護法》對個人信息跨境傳輸保護僅僅設置了一個框架，許多原則性規定缺乏配套實施細則，實踐中缺乏操作性，國家有關部門應出臺關于個人信息跨境傳輸保護細則，以確保我國的個人信息跨境傳輸制度真正得到實施。

結語

互聯網大數據、云計算服務等產業的發展，使我國有著國內超大規模的市場優勢，應借助天然優勢大力發展數據產業，充分保護個人信息這個龐大的“資源”。《個人信息保護法》以專門立法的形式制定個人信息保護制度，彌補了我國立法空白，實現與國際個人信息保護規則的對接。但是，由于我國社會基礎、經濟發展水平、國情等因素，目前對個人信息跨境傳輸制度僅作了原則性規定。相信隨著時機的成熟，我國的個人信息跨境傳輸制度將得到進一步完善，個人信息保護躍向新的臺階。

參考文獻：

[1]朱曉娟.論跨境電商中個人信息保護的制度構建與完善[J].法學雜志，2021（2）.

[2]劉紹新.全球化背景下的個人數據跨境流動[J].中國金融，2019（23）.

[3]牛哲莉.個人數據跨境流動——中日韓合作規制進路探析[J].山東科技大學學報（社會科學版），2021（4）.

[4]許多奇.論跨境數據流動規制企業雙向合規的法治保障[J].東方法學，2020（2）.

[5]沈紅雨.大數據流動背景下個人信息保護法律制度的挑戰與對策——基于比較法的視角[J].中國應用法學，2021（2）.

[6]張金平.跨境數據轉移的國際規制及中國法律的應對——兼評我國《網絡安全法》上的跨境數據轉移限制規則[J].政治與法律，2016（12）.

[7]王利明，丁曉東.論《個人信息保護法》的亮點、特色與適用[J].法學家，2021（6）.

[8]曹磊.網絡空間的數據權研究[J].國際觀察，2013（1）.

作者簡介：王鈞（1996—），女，漢族，山西臨縣人，遼寧同文律師事務所律師，研究方向為民商法。

（責任編輯：楊超）

基金項目：本文系2019年度福建省社科規劃基礎研究項目“環境信用評價模式研究”（編號：FJ2019C002）階段性成果