數據保護的國際軟法之道

文/敖海靜

（作者系中國人民大學法學院博士后研究人員、講師；摘自《法商研究》2022年第2期）

數據不僅直接關涉個人的隱私安全和生活安寧，更由于重大的戰略價值而成為重塑國際政經格局的關鍵因素。然而關于數據安全自由流動的保護規則，全球遠未達成共識，甚至各國沖突的現象已漸成常態。數據的跨境流動缺乏相應的國際機制，已經阻礙了以互聯網為基礎的全球經濟發展，有學者便將眼光投向作為全球問題新興解決手段的軟法，希望以軟法規制的靈活性來協調數據本地化存儲和全球自由流動間的矛盾。那么，我們需要一套怎樣的國際數據保護軟法呢？

國際數據保護軟法的基礎框架

在國際數據保護法領域，經濟合作與發展組織（以下簡稱“經合組織”）制定的《關于隱私保護和個人數據跨境流動準則》（以下簡稱《隱私準則》）和亞太經濟合作組織（以下簡稱“亞太經合組織”）制定的《隱私框架》構成了當前國際數據保護軟法實踐的基礎框架。

（一）《隱私準則》

經合組織在1980年發布的《隱私準則》是信息隱私保護領域第一部通過協商達成的國際準則。2013年修訂后的《隱私準則》由六部分組成：第一部分包括必要的定義；第二部分提出了在國家層面保護個人自由和隱私的八項原則，即限制收集原則、數據質量原則、目的明確原則、限制使用原則、安全保障原則、公開原則、個人參與原則，以及問責原則；第三部分是對問責原則的細化；第四部分闡述了主要涉及成員方之間關系的國際適用原則；第五部分概述了實施準則的各種方法；第六部分討論了成員方間的互助事項。作為軟法，雖然《隱私準則》對成員方并無法律約束力，但其所附的經合組織理事會建議指出，成員方在制定有關隱私和數據保護的法律時應考慮準則的要求。

（二）《隱私框架》

亞太經合組織電子商務指導小組起草了《隱私框架》，并在2004年獲得采納?！峨[私框架》的主體由四部分構成：序言、范圍、亞太經合組織信息隱私原則、執行?！峨[私框架》序言聲稱它符合《隱私準則》的核心價值。第二部分澄清了原則的涵蓋范圍，并對某些重要概念提供了較準確的定義。第三部分規定了九項核心的信息隱私原則，即預防損害、通知、收集限制、使用限制、保障選擇權、個人信息的完整性、安全保障、訪問和更正的權利，以及可問責性。最后一部分涉及框架的實施問題?！峨[私框架》缺乏強制實施的法律效力，但其本身就旨在以可適應各種實施機制的靈活方式來實施，因為它本身就預設了亞太經合組織成員方在法律和文化上的多樣性。

（三）評價

雖然以《隱私準則》和《隱私框架》為核心的國際數據保護軟法框架已經成為大多數國家制定國內數據保護法律的基石，但這并不意味著它們就是完美的?！峨[私準則》和《隱私框架》的不足表現為：（1）兩者對弱化數據收集、事先告知和同意原則的時代要求回應不足，對數據使用中的效益和風險的實踐評估也關注不夠；（2）兩者仍固守以數據主體的同意為基礎的收集限制原則，必然要求數據處理者要受特定數據處理目的的嚴格限制，這就既阻礙了數據自由流通，妨礙了創新，也對數據處理者設置了超出合理限度的認知要求；（3）雖然《隱私框架》的制定受到《隱私準則》的深刻影響，但兩者在數據跨境流動議題上的立場仍存在較大分歧，這種分歧在很大程度上是以歐盟為主導的基于地理位置的數據轉移政策和以美國為主導的基于對數據控制者問責的數據轉移政策間矛盾沖突的體現，加劇了以《隱私框架》等為代表的國際數據保護軟法的內部矛盾，弱化了這些規則的實踐效果。

國際數據保護軟法的模式約束和建構原則

在國際學術界，對軟法譜系的追溯，存在兩種不同觀點，形成了兩種不同目標主導下的規制模式——側重效率的軟法規制和側重安全的軟法規制。國際數據保護軟法的建構不可能脫離這些成熟的國際軟法實踐模式而獨立自在地生成，而是必然要根據自身的問題背景和實際需求選擇合理的模式作為建構藍本。同時，在這一過程中，真正塑造國際秩序的主權國家也必然出于本國主體性原則對建構模式的選擇和生成施加不同的影響。

（一）兩種譜系及其目標側重：當代國際軟法的成熟實踐

第一種譜系將軟法的起源追溯至中世紀的法律多元和商法實踐。第二種譜系則視軟法為晚近時代的產物，將其與社會法的概念以及由歐洲反形式主義法學家在19世紀末及其后發展起來的法律多元主義相聯系。在實踐效果上，前者側重效率，后者側重安全。

1.側重效率目標的新中世紀譜系。據這一譜系學者的描述，類似中世紀的法律多元化，當代軟法的自發和源于事實的本性使得全球性法律多元主義也被認為是自由和效率的來源，具有深度組織性且能提供最終的保護。軟法強烈的事實性就是靈活和效率的保證。由于經濟軟法依據全球貿易和組織的需要發展和演變，在回應全球經濟活動者利益時具有可塑性，因此軟法可以高效地適應快速變化的經濟需求。這種將軟法的起源追溯至中世紀的法律多元，并且在規制目標上側重于效率的模式較為典型地體現在軟法在全球稅收治理領域發揮的功能中。這是因為該領域的軟法工具的首要目標是追求效率——有效打擊各種逃避稅行為，確保合理稅收——而非保護納稅人的權利。

2.側重安全目標的社會譜系。社會譜系的學者是從工具論視角來理解軟法的，將其視為實施一項新社會政策的有效手段。從該觀點產生的背景看，社會譜系源于人們認識到歐洲一體化在促進市場效率和著力于社會保護的政策兩方面根本的不對稱性，認為軟法是對過度經濟自由化的社會矯正機制。因此，以社會安全為目標的社會法領域是軟法的社會譜系的重要戰場，其中食品安全監管中的國際軟法實踐最典型地體現了作為社會矯正機制和政策工具的軟法的社會安全指向。

（二）前提性的建構原則：本國主體性原則

理論建構和實踐操作不可能脫離既有的學術積累和社會結構。作為國際軟法家族的年輕一員，國際軟法實踐中的兩種譜系是其國際數據保護軟法產生發展過程中難以規避的前提環境和結構約束。在某種意義上，效率與安全間的矛盾在數據保護領域就體現為數據的自由流動與本地化存儲以及隱私保護間的矛盾。各國在數據保護和流動問題上的政策選擇以及由此塑造出的國際數據保護軟法框架，也必定處于一種自由與安全之間的動態平衡關系之中。這種動態平衡關系在根本上受制于各國在國際數字經貿格局中的現實地位、發展潛力和利益追求。因此，在討論國際數據保護軟法及其實施機制的建構問題時，首先必須堅持本國主體性原則，即基于我國數字經濟現狀和發展趨勢參與和推動國際數據保護軟法及其實施機制的塑造。

堅持本國主體性原則，不僅是歷史唯物主義方法論的必然要求，也是基于數據的本質屬性和我國數字經濟國情的現實選擇。在本質上，數據既不稀缺，也是非競爭和高度差異化的，隨著時間的推移，新數據的價值也明顯超越老數據。因此，符合數據本質的未來數字戰略應更重視數據的自由流動和充分利用，而非過多關注數據的靜態權屬狀態。就現實國情來看，我國在互聯網數字技術領域搶得先機，但數字經濟規模只有美國的1/3。對此，不論是出于深化開放的考慮，還是發揮數字經濟潛能的考量，鼓勵數據流動和利用而不是通過數據本地化存儲來限制數據外流都應成為我國的基本立場和戰略選擇。就現實選擇來看，我國事實上已承認數據自由流動原則的基礎性地位，網絡主權并不否定網絡空間的互聯互通性、信息的自由流動性和創新性。

國際數據保護軟法的建構：一種“外部—內部”雙層實施機制的提煉

目前，以《隱私準則》和《隱私框架》為核心的國際數據保護軟法框架正逐步形成多層次、立體化的實施機制。這些實施機制要么是國際數據保護軟法自身確立的，要么是借助了成員方內部的制度和力量。從這個意義上講，本文將其提煉為一種“外部—內部”雙層實施機制。

（一）外部層面的實施機制：以隱私執法機構為核心

外部層面的實施機制是指《隱私準則》和《隱私框架》自身所確立的實施機制，具體指經合組織的跨境合作建議和亞太經合組織的《跨境隱私規則》。這兩項機制都是以各成員方的隱私執法機構為核心建構起來的實施網絡。

根據2006年執行報告的調查結果，經合組織理事會在2007年通過了關于就隱私執法開展跨境執法合作的框架的建議。為落實該建議，經合組織建立了一個全球隱私執法網絡，旨在解決隱私問題的跨境執法中面臨的挑戰，加強跨境隱私保護聯合執法合作。全球隱私執法網絡是一個包容各方的合作網絡，任何負責執行具有保護個人數據作用的法律法規，并有權展開調查或啟動執法程序的成員方隱私執法機構都能加入該網絡。與此類似，為促進《隱私框架》的統一執行，亞太經合組織電子商務指導組下設的數據隱私分組在2012年構建了《跨境隱私規則》，并引入了隱私執法機構和問責代理機構，因而對加入的企業形成了實際約束力。作為多邊機制，各成員方的隱私執法機構可以通過跨境隱私執法安排共享信息，協商開展平行或聯合調查執法。由于加入《跨境隱私規則》的前提是成員方至少要有一個擁有充分執法權的隱私執法機構加入跨境隱私執法安排，因此就使《跨境隱私規則》實際上強化了還沒有制定數據保護法律的成員方參與企業提供的數據隱私保護，而對于已制定此類法律的成員方，由于企業必須遵守這些法律，因此《跨境隱私規則》也沒有弱化對數據隱私的保護。以經合組織的跨境合作建議和亞太經合組織的《跨境隱私規則》為代表的國際數據保護軟法的外部實施機制雖然是圍繞各成員方的隱私執法機構進行建構的，但機制設計上較好地實現了“外部—內部”兩個規制層面的激勵相融，從而借助成員方隱私執法機構的力量強化了自身的實施效率。

（二）內部層面的實施機制：以市場為進路

在以《隱私準則》和《隱私框架》為核心的國際數據保護軟法框架的一系列內部實施機制中，仍然存在諸如激勵行業自律和建立隱私管理程序這樣對本國法律及其強制力依賴較低的內部實施機制。

1.激勵行業自律?！峨[私準則》第19（d）段關于自律的建議主要針對普通法國家。在這些國家，準則的非立法性實施將對國家立法起到補充作用。行業自律具備特定的優勢。規則制定、監督、執行和救濟的整個過程可以通過自律，而非政府監管得到更快的運轉，這也意味著消費者利益能更快地得到保護。不僅如此，更有學者指出，自律組織在規則制定方面比政府更高效，因為當企業聚集在一起制定規則時，其間的參與方可能比外部的監管機構擁有更專業的技術和行業知識。

但通過行業自律來實施國際數據保護軟法也面臨以下批評：（1）出于對行業私利的追求，自律機制比傳統規則的透明度更低，公共利益難被充分代表；（2）自律機制缺乏制裁違規行為的必要權限，致使外部威懾不足；（3）行業內集體行動的困境會帶來“搭便車”的難題。從此種意義上講，行業自律不應當取代適當的立法措施，或者說，一個更有效的解決方案是采取共同監管，即“政府和行業共同起草并執行監管標準”。這是一種政府規制和非政府規制相結合，介于自我監管和政府規制之間的合作規制。

2.建立隱私管理程序。2013年修訂的《隱私準則》在有關“實施問責制”的第三部分引入了隱私管理程序的概念，《隱私框架》也將隱私管理程序與對數據控制者的問責相聯系，并將其作為該框架的內部實施機制之一。隱私管理程序的最基本要素主要包括：（1）針對數據控制者的結構、規模及其控制的數據數量和敏感程度進行定制；（2）提供基于風險評估的適當保障措施；（3）建立內部監督機制；（4）程序本身應當定期監測和評估更新。

全面的隱私管理程序為數據控制者與監管機構和數據主體進行良好溝通提供了有效方式，也是數據控制者判斷自身是否合規的工具，使其有機會查漏補缺，從而在整個組織內部培育一種隱私文化。這就使“擁有強大隱私管理程序的組織可能享有更高聲譽，從而具有市場競爭優勢”。

結語

效率與安全永遠是法律要加以協調平衡、不可偏廢的基礎價值。在數據保護問題上，國際社會也始終面臨數據的隱私保障、本地化存儲和自由流動的價值抉擇?，F階段不具備直接通過國際組織平臺形成有約束力的數據跨境流動規則的客觀條件。在此背景下，通過某些非機構性多邊協調機制形成一些區域性軟法規則便成為一種次優的選擇。

通過對當前國際軟法譜系的學理歸納，可大致提煉出兩種韋伯意義上的“理想類型”——側重效率目標的新中世紀譜系和側重安全目標的社會譜系，以何種譜系作為主導而非絕對的模型來建構某階段的國際數據保護軟法框架從根本上說受制于本國數字經濟的發展現狀和未來趨勢。我國現階段應積極主動地以側重效率同時兼顧安全的軟法規制模式為藍本對既有國際數據軟法規則加以型塑和建構，努力發掘其中有利于數據自由流動和數字貿易自由化的因素，以便為我國數字經濟的發展創造自由、開放的數據市場環境。我國有必要通過“軟硬兼施”的辦法加快數據保護規則體系的構建，在加快制定相關基礎法律的同時，鼓勵企業和行業組織借鑒國際軟法規則完善自身隱私政策和規則體系。作為亞太經合組織的重要成員，我國也應當利用已相對成熟的《隱私框架》來補充和完善自身的數據保護法律體系。