數據治理②跨境數據流動需分類管理，政企合作

隨著數字經濟的蓬勃發展，數據跨境流動已成為全球關注的焦點。如何平衡數據安全與自由流動，維護國家安全與促進經濟發展，成為各國亟需解決的問題。本文通過總結全球模式，提出“國家-市場-個人”的分析框架，探討了不同國家和地區的治理策略；并結合中國實際情況，提出以實踐為導向的政策建議。

李晶昀 AI圖

一、全球模式：“國家-市場-個人”為框架

1.高度自由化模式：美國的數字霸權。美國長期以來主張“自由化”，鼓勵數據在全球范圍內自由流動。實際上，這是因為美國作為全球數字經濟領域的領導者，如果實現數據完全自由流動，其將成為最大的數據流入地，進一步擴大技術和產業優勢。因此，在數據入境方面，數據自由流動既符合企業的經濟效益，也符合國家的國際競爭戰略。但與此同時，在數據出境方面，美國采取非常嚴格的出口管制并適用長臂管轄。因而，美國采取的是一種基于市場霸權的數據流動監管體系，力圖鞏固數字企業的先發優勢和對市場的主導力量，同時保護國家利益。鑒于其占據較大的全球市場份額，尤其是在數字經濟領域，因而其對數據出境的限制不會對其本國企業造成太大的困擾，企業和國家共同享有市場霸權帶來的潛在利益。

2.有限自由化模式：歐盟、日本置個人信息保護于首位。歐盟和日本等部分發達經濟體對數據跨境流動采取較為謹慎的態度，強調對個人隱私權的保護，僅在有限范圍內依據“充分性原則”開展數據流動。歐盟主張從個人權利保護的角度對跨境數據流動進行監管，注重隱私權。同時，歐盟積極推動成員方之間的數據自由流動，建立歐盟單一數字市場，呈現“內松外嚴”。類似地，日本于2019年提出“可信任的數據自由流動（DFFT）”原則，力圖提升與歐美之間跨境數據流動的便利性。因而，在這些地區，企業更多面對的并非國家，而是用戶和消費者個人。實際上，這是因為歐盟和日本等地區在國際政經格局中面臨的壓力和威脅相對較小。其本身作為發達經濟體，加之長期的親美路徑，使得他們不必過多地面臨經濟發展與國家安全之間的矛盾。同時，這也源自西方國家重視個人權利的歷史傳統，是現代西方國家政策合法性的客觀需要。

3.高度本地化模式：俄羅斯、印度保障國家主權和產業安全。俄羅斯和印度等國家選擇“數據本地化”的策略。一方面，旨在增強本國在全球數字經濟中的獨立性和安全性，將數字發展最大限度轉化為國內的經濟發展；另一方面，旨在維護國家主權和網絡安全。俄羅斯的法律法規力圖確保所有涉及個人數據的存儲和處理必須在國內進行。實際上，這一選擇有其政治安全考量。俄羅斯長期處于與歐美國家的對抗之中，不得不以放棄部分數字經濟發展空間為代價，力求在國際政治對抗格局下的國家安全。印度則追求對關鍵數字資產的控制，抵抗全球數字霸權。印度面臨的發展風險是，一方面為全球數字平臺提供原始數據，積累數字資本，另一方面又要為這些數字資本的產出成果付費。為了減少這種基于數字霸權的“剝削”，印度選擇高度本地化的策略，保護其自身的產業和數字經濟發展。因而，俄羅斯和印度所呈現的本地化策略，都是為了應對來自國際政經格局的威脅。政府需要出手保護國家安全、產業穩定和經濟發展空間。

基于以上分析，本文提出“國家-市場-個人”的分析框架，即在討論數據跨境流動的問題時，需要考慮三個方面：國家在國際政治經濟格局中的狀況；國內企業在全球市場中的生態和地位；國內文化和傳統對公民觀念的塑造。

二、中國亟需發揮市場力量以應對國際格局變化

1.整體情況：基于“國家-市場-個人”框架。就國際政經格局而言，中國的數據跨境活動和數字經濟發展面臨較大的壓力。一方面，美國為首的西方國家泛化安全問題，加劇中國出海數字企業的數據合規風險。歐美國家正主導建立所謂“基于信任關系”的數據跨境流動自由圈，并將中國作為“不受信任國家”排除在外。近年來，中國出海企業屢受打壓。美國因數據存儲安全和算法推薦操縱為由，通過全面禁止Tiktok的法案。另一方面，隨著數據跨境流動規則的政治化、陣營化，中國數字產業發展面臨數據封鎖困境。歐美國家制定的數據流動規則具有明顯的意識形態偏見，阻礙中國融入全球開放創新生態和貿易投資網絡。

就市場生態而言，中國在數字技術和平臺經濟方面有著較強的競爭力，僅次于美國。根據聯合國發布的《數字經濟報告2021》，截至2021年5月，全球百家數字平臺中有45家來自中國，市值占比近30%；并且，中國2022年跨境電商進出口規模突破2萬億元，主體超10萬家，擁有Shein、Temu、阿里速賣通等全球數字企業。中國在數字經濟領域具有強勁的市場潛力和繁榮的發展前景。

就公民觀念而言，中國的個人權利意識和傾向并不顯著。在文化和傳統中強調“集體主義”，推崇“家”和“國”的集體概念；“權利-義務”的法學觀念并不占據主導。因而，在保證基本人權和隱私權不受侵犯的前提下，政策在協調個人權利與經濟利益的過程中，具有較大的發揮空間。

因而，整體來看，中國亟需發揮市場力量，來應對所面臨的國際政經壓力，以經濟實力和市場話語權，換取數據跨境流動規則的話語權。同時，堅持對國家安全的絕對重視，對緊密聯系國家主權和安全的數據進行嚴格限制，以應對潛在的政治安全威脅。

2.治理現狀與問題：價值錯位和實踐困難。中國現行的數據跨境監管體系可總結為“1+3+N”的架構。其中，“1”是《國家安全法》作為整個監管體系的重要基礎。“3”是《數據安全法》《網絡安全法》和《個人信息保護法》，并對應三條合規路徑。“N”是針對具體場景和行業的法律法規，如《銀行業金融機構數據治理指引》《工業數據分類分級指南》等。中國的監管重心在于數據安全，采取國家安全利益優先的原則。

中國數據跨境治理的問題主要體現在以下兩個維度。1）價值與原則：政企站位不同導致需求錯位。面對數據跨境的行為，政府和企業有著不同的站位和出發點，進而導致政府的監管手勢無法匹配企業的發展需求，帶來政企互動的低效甚至矛盾，并將直接影響企業的戰略選擇和商業邏輯。在政府層面，實施監管的部門具有較強的意識形態傾向，將國家安全置于首位。在企業層面，經濟效益是第一位的，其決策都是基于成本和收益的考量。這一站位本身無可厚非。更重要的在于，具體落地和實踐中，雙方如何溝通協作，提升效率，追求安全與發展的平衡。

2）落地與實踐：認定標準不清晰，監管過程不完善。在實踐過程中，存在以下兩方面問題。一方面，認定標準的模糊為企業的數據跨境活動帶來困難。在數據安全評估中，關鍵性指標“重要數據”定義尚不明確。盡管2024年3月頒布了《數據安全技術數據分類分級規則》規定這一范疇，但各地區和行業的重要數據目錄仍未出臺。同時，企業和政府關于“必要性”“合法性”“最小限度原則”等概念的實踐標準不一，企業往往錯誤預期政策含義，造成困擾。例如，在調研中了解到，即便消費者同意自身的數據被傳輸到境外，具備合法性，但監管部門認為不具備必要性，便也無法進行傳輸。

另一方面，監管過程的缺陷導致政企溝通效率低下，企業發展受阻。調研中了解到，一個企業申報“數據安全評估”的流程非常漫長，有時超過一年，可能導致企業錯過最佳發展時機。而申報過程中，企業被要求修改材料的字體、字號等，重復經歷等待審批的過程。同時，存在一些企業為了節省這部分時間成本，寧可受到處罰，違規進行數據出境。這不僅侵犯了公民個人權利，也可能會對國家安全造成威脅。

三、中國方案：以實踐為導向的數據跨境治理

根據基于“國家-市場-個人”框架的現狀分析，結合上述現存的治理問題，本文提出以下三個維度的政策建議。

1.分類管理：抓大放小，減少分級級數，寬嚴各司其職。中國面臨較大的國際政經壓力，國家安全始終是經濟發展的根本，因而務必堅持以國家數據安全為基礎的治理思路。但是在具體實踐中，既不能一刀切，也不能過度復雜化，要加強法律法規的可操作性，始終追求治理的高效率。本文提出要建立完善的分類管理體系，其中包含兩大重點：減少分級級數，以及各地出臺適用的配套清單。一方面，要簡化并明確各類數據的認定標準，規定出與國家安全緊密相關的數據清單，避免讓企業自身琢磨政策含義，避免企業自行評估分級，進而避免出現“打回重做”、反復申報評估的情況。在此基礎上，要寬嚴并濟，針對不同類型的數據，采取不同的監管力度；對與國家安全緊密相關的數據進行嚴格審批，對其余數據則要追求高效監管，更多地考慮企業的經濟效益和發展時機。另一方面，地方政府相關部門要緊跟上位法的步伐，出臺相應規定，尤其以具體清晰的清單為關鍵（例如自貿區負面清單），緩解企業合規壓力，減少認定標準模糊的問題。

2.政企合作：公私共治，釋放市場活力，提振全球地位。中國具有相當規模的數字經濟產業，在全球范圍內占據相當地位。因而，要大力發揮現有優勢，解決出海企業的“內憂外患”，充分釋放經濟活力，進一步提升全球經濟地位。本文提出要充分開展政企合作，實現公私共治。中國并非要走市場霸權的美式道路，但在部分政策上可以借鑒美國經驗，為企業注入活力。以美國聯邦貿易委員會為例，在出現數據泄露事件時，其采取的行動是與受影響的企業主體合作開展調查，協商推動隱私和信息安全措施，并共同制定有利于企業發展的數據流動規范。另一方面，可以建立數據跨境流動的“案例庫”，將典型案例中的政企溝通過程、重難點、各方需求、相關法律法規都一并列出，形成案例報告，進而建立案例庫，供企業參考。“模糊”的標準和“捉摸不透”的政策含義始終是企業發展的阻礙之一，政企充分合作以及案例庫的建立，將有效緩解這一問題，提升企業發展和政府監管的效率。

3.引領國際：積極發聲，擴大戰略合作，建立中心體系。目前全球數據跨境流動的規則正處于逐步成型的關鍵節點。中國應當與世界主要經濟體和貿易伙伴建立數據跨境傳輸的便利化機制，充分參與全球治理的過程，展現與經濟實力相匹配的國際話語權。本文提出要引領國際，而非融入國際，要建立以中國為首的中心體系，擴大戰略合作。一方面，應以“一帶一路”建設為契機，提出有利于中國發展的數據跨境流動治理方案，與沿線國家和貿易伙伴形成可互認的數據保護認證、標準合同條款等機制，實現區域內數據跨境自由流動。另一方面，應積極推進CPTPP、DEPA談判議程，尤其加強與發起成員新加坡的合作，爭取數據跨境流動的話語權，建立輻射亞太地區進而影響全球的中心體系。同時，在國際合作的過程中，務必將國家安全仍舊置于首位，適當考慮各條款和協議的制定。

目前，全球數據跨境流動格局正經歷關鍵節點。中國在面對國際政經壓力和市場發展需求的雙重挑戰下，必須采取更為務實和靈活的策略。本文提出的分類管理、政企合作和引領國際等建議，旨在為中國數據跨境治理提供新思路和新方案。相信通過不斷優化治理體系，加強國際合作，中國能夠在保障國家安全的同時，促進數字經濟的繁榮發展，為全球數據治理貢獻中國智慧和中國方案。

（本文系復旦大學發展研究院《數據跨境流動、個人信息保護與數字韌性建設》課題系列成果。報告主編：江天驕系復旦大學發展研究院副教授、金磚國家研究中心副主任，姚旭系復旦大學發展研究院青年副研究員、上海數據研究院特聘研究員，報告行業導師：陳文昊系植德律師事務所數據合規業務合伙人、合規部負責人，報告組成員：金子韞、吳致遠、邢嘉耀、姚媛、馬怡寧、陳梓培、郎瑾怡、張桐語均來自復旦大學）