跨境数据流动的定义和应用：国际协定与安全需求

跨境数据流动(trans-border data flows)的概念最早出现在个人隐私和数据保护条款中。1980年,经济发展与合作组织(OECD)在其发布的《保护隐私和个人数据跨境流动框架》中明确指出,跨境数据流动是指数据跨越国境进行传输。此外,1995年欧洲议会和欧盟理事会发布了影响深远的《关于涉及个人数据处理的个人保护以及此类数据自由流动的指令》(95/4B/EC),该指令规定了欧盟成员国个人数据跨境立法的基本原则与主要内容,允许在满足一定条件的情形下向第三国跨境转移欧盟公民的个人数据^[1]。澳大利亚法律改革委员会将跨境数据流动定义为：如果个人信息存储于澳大利亚,但却在澳大利亚境外被访问的话,即可被视为跨境转移。如果个人信息仅仅因为路由缘故短暂存储于澳大利亚境外,却没有被访问的话,就可以不受《隐私法》关于跨境数据流动原则的约束;反之,如果被访问,则应受约束。

目前,国际社会对跨境数据流动的具体内涵并没有一个明确统一的界定。从国际组织以及部分国家对跨境数据流动的管理制度来看,对跨境数据流动主要有两种理解：一种是数据被跨越国界传输和处理;另一种是数据本身虽未被传输出境,但能被别国的主体访问。

伴随着互联网的发展,跨境数据的内容和规模在不断变化,数据与国家经济运行和国家安全的紧密程度也在不断加深。最初,满足基本通信功能的邮件、话音、网络视频等业务主要跨境传递的是个人通话数据、文本数据、音视频数据。后来,随着门户网站、自媒体、社交媒体以及电子商务特别是跨境电商的发展,个人生活隐私数据、个人银行账户数据、企业账户数据以及企业交易数据等开始跨境传递。当前,网络发展由消费互联网开始转向产业互联网,制造、医疗、农业、交通、运输、教育等产业的生产、交易、流通等环节均实现了互联网化,由此产生的行业经济运行数据、企业经营数据、技术数据等,都可能在网络中跨境传输。

数据跨境自由流动是其本质属性,但随着技术和产业的发展,出于公民隐私保护、国家安全、执法便利等因素考虑,越来越多的国家也开始对数据跨境流动施加一定合理的限制,强化了对跨境数据流动的管理。(www.xing528.com)

当前国际社会关于数据跨境流动的管理主要有以下三种做法。一是提倡全球数据跨境自由流动以促进国际贸易发展。美国是数据跨境自由流动的主要倡导者和推动者,其在包括WTO在内的多种场合都强调,限制跨境数据流动会阻碍经济活动的发展,阻碍跨境数据流动并不一定能够确保数据安全,成员国应当在促进贸易的精神上,使相关的措施能够遵守相应的规则。为此,美国在其主导和参与的国际协定中都积极加入了跨境数据流动条款。然而,美国国内法对于一些重要数据的出境进行了限制,如对金融、通信等特定领域的数据存储和流动提出了严格要求。二是允许在符合要求的基础上进行跨境以保护个人数据隐私。欧盟是个人数据保护最为严格的地区之一,对欧盟个人数据的跨境流动设置了一定的条件。根据2016年最新通过的《个人数据保护通用条例》,在满足“用户个人同意”“充分性决定”以及“适当安全措施”等前提下,可以将数据从欧盟转移到第三国。国际上绝大多数国家都未禁止对普通个人数据的跨境流动,只要征得个人数据主体同意,个人数据是可以自由跨境流动的。三是严格禁止重要数据的跨境流动以确保国家数据安全。虽然对于重要数据的范围界定不同,但相关国家明确禁止其跨境流动。意大利、匈牙利等国禁止将政府数据存储于国外云服务提供商的服务器中。印尼在立法中要求交易数据必须存储在境内。澳大利亚规定,为政府部门开发的云服务、属于安全分类的数据,不能储存在任何离岸公共云数据库中。美国在进行外资安全审查之后要求签署的“安全协议”往往有“禁止外资通信公司将用户的通信数据和个人数据存储在境外”的规定条款。

此外,为打破各国在跨境数据流动管理上的壁垒,更有效地实现数据跨境流动管理执法合作,一些国际组织试图在国际层面建立协调机制。目前,在亚太地区的APEC机制下的跨境隐私执法协作机制(Cross-border Privacy Enforcement Arrangement,CPEA),旨在促进APEC经济体的数据保护管理机构之间的信息共享和跨境隐私执法协作。经合组织(OECD)也建立了一个全球隐私执法网络(Global Privacy E nforcement Network,GPEN),旨在解决涉及隐私问题的跨境执法中面临的挑战,加强跨境隐私保护联合执法合作。