全球金融數據跨境流動呈現多種模式

文/孫祁 謝坤潮

數字信息技術一日千里，數字金融發展迅捷，金融數據由于蘊含巨大價值很容易成為網絡攻擊的重要目標。今年，著名的云基礎架構廠商VMware對全球130名金融部門首席信息安全官和安全領導者進行的調查顯示，過去的一年中，66%的金融機構經歷過以商業機密竊取為目的的攻擊；74%的受訪金融機構在過去一年中至少經歷過一次勒索軟件攻擊；30%的機構經歷了多次勒索攻擊，其中超過六成選擇支付贖金。

當前，全球金融數字化轉型已經進入關鍵階段，銀行業金融機構的業務數據已成為本質、核心、關鍵的生產要素。銀行業金融機構正通過對業務數據的匯集、分析與挖掘，不斷提高經營效率，提升客戶服務水平，實現業務創新、產品創新和服務創新。銀行業金融機構的數據安全關系到金融行業的資金安全以及大數據時代為數據的增值分析、利用而帶來的衍生價值。數據安全是銀行當前業務穩定運行和創新發展的迫切需要。當前，金融數據安全已不再是行業內部的自律性要求，而是全方位、多層次、立體化的數據安全建設體系。金融數據安全也不再是金融機構個體單獨發展防御風險的保障，它正在成為地域經濟、國際經濟是否呈現良性健康態勢與轉型的關鍵因素之一。

然而，從全球范圍看，金融數據安全的維護與監管呈現出多種模式，除美國的內外二元化規制模式外，歐盟強隱私保護與接收地信息安全評估模式，以及新興經濟體注重數據主權安全，采用普遍限制路徑模式值得深入研究。

歐盟模式：強隱私保護與接收地信息安全評估

在歷史傳統影響下，與經濟發展相比，歐盟更強調保護個人數據權利，認為不能以犧牲公民隱私權為代價促進經濟發展。因此，歐盟在數據跨境流動規制方面，把保護個人權利作為首要原則。歐盟金融數據跨境流動規制模式主要表現在兩個方面：

第一，歐盟內部法案涉及金融數據跨境流動規制。目前，歐盟數字監管政策主要涵蓋《一般數據保護條例》（GDPR）、《歐盟非個人數據自由流動條例》《歐盟電子隱私保護條例》和《歐盟電子身份框架》等。對個人金融數據的跨境流動規制，歐盟仍以GDPR的個人數據保護規則為主。根據2019年度《GDPR執法案例精選白皮書》，自GDPR生效以來，歐盟已經對超過22個國家和地區作出處罰，其中有6起就發生在金融領域。這些處罰多與個人金融數據相關，充分體現了GDPR對個人權利保護的重視。

第二，歐盟簽署的自貿協定涉及金融數據跨境流動規制。無論是《歐盟—智利自貿協定》(2005)，還是《歐盟—韓國自貿協定》（2015）、《歐盟—加拿大自貿協定》（2016）、《歐盟—新加坡自貿協定》（2019）、《歐盟—日本經濟伙伴關系協定》（2019）以及《歐盟—越南自貿協定》（2020），在金融數據跨境流動條款中均包含兩方面內容：金融機構日常經營數據可跨境流動、締約方需保護個人隱私。歐盟希望在保障個人隱私的前提下實現金融數據跨境自由流動。對于涉及個人隱私的金融數據，歐盟希望給予充分保護；對于不涉及個人隱私的金融數據，根據《歐盟非個人數據自由流動條例》的相關規定，其限制性相對較少。

可見，美歐的金融數據流動總體上呈現出開放和自由的趨勢，但這樣的自由并非無條件、無限度，也絲毫不會削弱其對公民個人隱私的保護。無論是美國在國際法上對數據自由流動的主張還是歐盟對內部金融信息流動的保障，抑或是前者通過國家安全審查限制數據出境和后者對公民隱私權的強力保護；歸根結底，各國都是基于自身數據保護能力和數字經濟發展的國家利益來設計數據流動規則，從而確保自身所重視的價值利益被妥善平衡。

當前，域外數據立法試圖以規制的方式尋求“金融數據跨境自由流動”同“金融數據保護”兩者之間的平衡。

新興經濟體模式：注重數據主權安全，采用普遍限制路徑

值得注意的是，俄羅斯、印度尼西亞、越南等新興經濟體國家對金融數據跨境流動采取“普遍限制”的規制路徑,要求金融機構核心系統本地化和金融數據在本地存儲。

根據俄羅斯金融數據本地化存留制度的規定，將數據轉出俄羅斯之前，金融數據處理人必須確保接收國對個人數據提供足夠的保護，金融數據接收人所在國應為《個人數據自動化處理中的個人保護公約》（以下簡稱“公約”）締約國。

2018年，俄羅斯更新了被官方認可為“確保充分保護”的國家名單，除公約成員國以外，截至目前還有26個國家被列入“白名單”。但如果處理人向無法提供同等保護的境外主體轉移個人資料，必須滿足以下條件之一：（1）取得數據主體的書面同意；（2）俄羅斯聯邦參加的國際條約關于簽證事宜另有規定的，以及國際條約中涉及提供民事、家庭和刑事案件司法協助事宜另有規定的；（3）基于保護俄羅斯聯邦憲法制度、保障國家安全目的所需；（4）履行數據主體作為一方當事人的合同要求；（5）在不能取得個人數據主體的書面形式同意時，為保護其或者他人的生命、健康、其他重大生存利益……

因此，俄羅斯以維護金融數據安全為著眼點，確立了以金融數據本地化作為數據跨境流動的監管措施，其目的是保障數據主權與信息安全。

俄羅斯推行嚴格的金融數據存儲本地化措施，要求在俄羅斯產生的金融數據只能在俄羅斯境內存儲與使用，禁止向境外傳輸和從境外訪問，拒絕數據國際共享，一定程度上限制了金融數據跨境流動。俄羅斯雖然通過極端的保護措施維護了國家利益，但也制約了金融數據跨境流動所帶來的經濟和社會利益。

盡管美歐一直對新興經濟體采取的上述政策多加指責，但金融核心系統本地化和金融數據本地存儲是兩個性質不同的問題，必須分別探討規制限度的合理性：首先，金融核心系統本地化的規制措施與這些國家的金融市場發展狀況、對外資金融機構的監管手段和監管科技發展程度息息相關，屬于一國金融規制的自主權利。金融機構的核心系統在物理上體現為存儲或處理金融數據的計算機基礎設施，也即通常所說的數據中心。要求核心系統本地化是對外資金融機構的業務連續性和風險防范進行監管的首要方式，同時也是金融機構安全穩健運營的前提基礎，不規制的代價相比規制的成本而言要高昂得多。其次,對于要求金融機構在境內存儲金融數據的規制措施，則是國際上通常從服務貿易角度探討的數據跨境流動問題。若禁止基于業務需求跨境傳輸金融數據，確實會對金融機構為客戶提供金融服務產生影響甚至降低其競爭力。此外，由于數據并不是稀缺資源，要求核心系統本地化并不妨礙在一定條件下允許金融機構跨境傳輸開展業務所必需的金融數據。

綜上，隨著全球數字科技與金融服務的深度融合，金融數據跨境流動已形成不可逆趨勢。當前，域外數據立法試圖以規制的方式尋求“金融數據跨境自由流動”同“金融數據保護”兩者之間的平衡。世界各國金融數據經歷了從“絕對本地化要求”到“有條件跨境流動”的過程，但金融數據跨境流動規制面臨多重困境。金融數據的跨境流動需要平衡的利益較多：一是金融數據往往包含較多的個人和機構客戶信息，敏感性較高、隱私性較強，其流動必須保證在一國范圍內充分保障信息的安全。二是金融機構沉積了海量的客戶數據，網絡攻擊、數據泄露等事件都可能會導致國家的金融安全和穩定受到嚴重破壞。三是金融數據的跨境流動能夠創造巨大的經濟價值，這對于數字經濟的發展、經濟全球化的推進具有重要意義，數據流動的規制應明確，但不能沒有上限。四是金融機構的經營單元呈現出全球配置的趨勢，資金流、信息流具有全球流動的需要，合理規制金融數據跨境流動，對于國外金融機構參與金融市場建設，擴大金融開放，具有重要意義。因此，需要以金融數據跨境流動規則為突破口，樹立動態的金融數據價值觀, 并不斷細化金融數據跨境流動具體規制措施，在現行法律體系框架下積極尋求和探索綜合且多元的金融數據保護路徑。