国际贸易框架下数据本地化的发展及中国因应

王籽琀 上海大学法学院

一、数据本地化措施的新发展

数据跨境流动的规则以及数据本地化措施一直是当前国际贸易法领域亟待解决的问题。2020年7月，欧盟法院就Facebook与奥地利隐私活动家施雷姆斯一案（以下简称施雷姆斯II案）做出了判决，宣布欧盟与美国之间用于跨境传输数据的“隐私盾”协议无效，并对通过标准合同条款机制从欧盟向美国转移个人数据的过程设置了重大障碍。[1]早在2015年，欧盟法院即通过施雷姆斯I案推翻了美国与欧盟2000年达成的《安全港协议》，法院认为美国对于传输的个人数据未能提供“充分”的保护[2]，该案直接导致企业通过安全港协议将欧盟的数据传输至美国的行为违反了《欧盟数据保护指令》，并催生了新的跨境传输安排——“隐私盾”的出现。

在施雷姆斯II案中，欧盟法院指出，美国的情报机构具有不受限制地获取欧盟公民个人数据的权力，并且美国的国内法没有给予数据主体寻求救济的权利。因而，法院认定美国与欧盟之间的隐私盾协议未能给予数据主体“确保基本上等同于《欧盟基本权利宪章》规定的保护水平”。法院还宣布，如果监管机构认为“根据转移的所有情况”，数据无法得到适当保护，则标准合同条款下的数据传输应当被暂停。目前欧洲大约90%向外的数据传输流使用的是标准合同条款，大型跨国公司有能力支付昂贵的法律咨询来审查外国或地区的国内法是否欧盟要求的保护水平，但小公司则无法承受这一过程的复杂和成本。因而施雷姆斯II案的判决结果对于欧盟境内的跨国企业产生了极大的不确定性。有学者将施雷姆斯II案的判决称之为“软性数据本地化”（“Soft Data Localization”）措施，它没有直接要求数据或流程的本地化，而是通过向企业施压压力迫使其转向数据本地存储的做法。近日，爱尔兰的数据监管机构已向Facebook下达一项初步命令，要求对方停止通过标准合同条款将欧盟用户的相关数据传输到美国。施雷姆斯II案以及欧盟监管部门的后续行为尽管凸显的是美国与欧盟就隐私保护方面的矛盾，却从一个侧面印证了国际范围内数据本地化措施长期持续性，我国如何应对国际贸易框架下数据本地化这一新发展是一个值得探究的问题。

二、中国的因应

（一）完善国内数据保护立法体系

《个人信息保护法（草案）》近日首次亮相，它的出台标志着我国搭建数据出境制度迈出了重要的一步。《网络安全法》对“关键信息基础设施的运营者”施加“数据本地化措施”的义务，《信息安全技术数据出境安全评估指南（草案）》对个人信息和重要数据出境安全评估的工作要求、方法流程、评估内容和结果判定进行了规范。此次审议的《个人信息保护法（草案）》则将所有的个人信息出境纳入调整范围。草案在安全评估的之外，还设置了保护认证、签订合同等路径。这样的设置在一定程度上借鉴了GDPR对数据出境的规定，可以更好地对外开展数据跨境谈判。

由于数据本地化措施将在国际层面长期存在，我国应该综合判断各项价值追求，平衡好经济发展和各项政策目标，在未来出台的《个人信息保护法》基础上对各类数据进行细分管理，明确数据本地化措施的适用范畴，创新便利我国企业跨境数据传输的方式。对于涉及国家安全的数据，应当严格禁止出境；对于涉及个人隐私的数据，应当允许进行一定的技术处理后进行流动。

（二）提升国际治理能力和规则话语权

在“电子商务诸边谈判”中，我国提案主张数据流动应以安全为前提。同时因该问题的敏感性，建议各成员进行更多探索性工作。外界对此解读为我国在WTO电子商务诸边谈判中将不对跨境数据流动和禁止本地化措施进行承诺。[3]为防止美欧模板成为国际贸易框架下跨境数据流动规则的蓝本，中国作为一个负责任的大国，不应回避数据跨境流动和数据本地化问题。

明确我国的数字治理规则，应当结合我国目前的实际情况，首先，我国谈判的基本立场是将国家安全利益放在首位，数据的跨境流动不得威胁到国家安全，寻求对于国家信息安全等利益诉求的国际普遍共识；其次，我国的互联网和电商企业在国际上有很强的竞争力，在海外的发展上需要有宽松的市场环境和数据流动机制，在参与有关数字贸易多边协定时应当考虑到我国企业的进攻利益；最后，广大发展中国家对于数据跨境流动规则和数据本地化措施有着相近的立场，我国应该积极发展数字贸易伙伴，参与并制定数字贸易的双边和区域协定，可以通过与“一带一路”周边国家展开合作，联合有共同利益诉求的国家，向世界展示规制数字贸易和数据本地化措施的“中国方案”。