盘点：数据跨境流通国际攻防战

　　理解欧盟《通用数据保护条例》（GDPR），需要将其放置在欧盟的网信行业总体发展状况和政策导向的背景之下。从欧盟数据整体政策看，GDPR基本上延续了1995年《数据保护指令》（Data Protection Directive），即1995年《指令》的思路，同时表现出与当前欧盟的法律生态、经济业态和技术特征的新的契合。首先，就法律生态而言，欧盟已经从政策-立法-执法-司法四个维度，建立起较为严密的立体式人权保障体系，在此基础上发展起来的个人信息保护机制同样表现出四个层面的闭环衔接。其次，就经济业态而言，欧盟主要作为信息技术服务的消费方而非提供方，大型网络或信息技术产业发展较慢。第三，就技术特征而言，欧盟原有个人数据保护规则体系受到新技术冲击严重，这与其境内信息技术发展相对滞后的现状形成鲜明对比。基于以上三个层面，GDPR呈现出以下五方面的特征。

　　（一）改变判定标准以扩张管辖权

　　国际数据流通攻防策略的核心在于传统主权项下的管辖权分配。虚拟空间的弱地域化特征使管辖权的划定需要转变以往以地理位置为主要标准的静态划定思路。从维护数据主权的角度出发，管辖权的标准转换一则需要避免形成管辖权国际适用漏洞，二则需要确保相关执法活动的有效实施，扩张数据管辖权是必然趋势。GDPR中数据管辖权的扩张主要是通过弱化数据所在地对于管辖范围的限制，以动态的数据管理和处理行为为管辖权核心关注点，从而使欧盟在个人信息保护方面的管辖权不仅大幅扩张，并且为主管机关建构起较大的自由裁量空间。

　　（二）捆绑产业以强化个人信息保护

　　尽管GDPR强调个人信息的保护与区域内数据无障碍流通的双重价值，但是在规则设计上明显偏重前者。这种价值取向一方面与欧洲的互联网业态相关，即作为互联网产业的服务需求方而非服务供给方；另一方面也与欧盟已有的人权保障传统和已经建立起来的人权保障机制相关。以上两者共同构成GDPR的立法背景，同时也直接反映在其具体制度设计上。从这个角度讲，区域内数据无障碍流通是个人信息保护规则协同之后的附带效果，而非立法的直接意图。从保护策略上来看，GDPR尽管强调监管和罚则，但是这两者主要围绕强化网信产业自律和主动管理建立，目的在于促使网信产业将自身的市场运营考量与欧盟的个人信息保护政策紧密捆绑，从而将个人信息保护嵌套入动态市场活动中去，这也是“设计中的隐私保护”（privacy by design）的基本思路。

　　（三）着重关注中小微企业利益

　　GDPR在强化网信产业个人数据保护义务和法律责任的同时，强调对产业规模的层级划分，并且着重关注中小微企业的利益，避免GDPR对其形成过重的合规负担。这种关注与欧盟地区网信产业的业态紧密相关。例如GDPR强调各成员国在制定行为指南（codes of conduct）（第40条）、建立数据保护认证机制（data protection certification mechanisms）（第42条）时应当特别考虑中小微企业的特殊需求；同时，GDPR在制定违规罚则时，就罚金数额而言，采用的是具体金额和全球年营业额百分比的双标准制，两者以高者计算。这意味着对于大型国际网信企业而言，违反GDPR相关规定可能产生巨额罚金，而对于营业额较低的中小微企业而言，两千万或一千万欧元的罚金则可封顶。

　　（四）强调规则设计的技术中立

　　GDPR的出台与新信息技术的发展密切相关，从统一区域内个人数据保护规则的角度出发，GDPR在制定时强调保持规则涉及的技术中立，即避免因技术变革形成规则漏洞。例如基于微软爱尔兰案的冲击，GDPR特别强调相关规则同样适用于云计算。该思路也与欧洲委员会主导制定的《布达佩斯公约》相契合。需要注意的是，该要求能否有效实现，存在争议，例如GDPR赋予数据主体要求对自动决策进行解释的权利，并有权在对算法不满意时选择退出，该规则本身可能与当前神经网络与机器深度学习技术发展之间存在冲突。这也是《布达佩斯公约》出台之后不断需要通过议定书针对新技术对《公约》进行补充的原因。

　　（五）以私权切入强化公权介入

　　GDPR以个人信息保护这一私权视角作为规则设计的切入点，以私权保护之名拓展了公权介入数据国际治理的空间。一方面，私权保护为数据监督执法提供了行为依据和正当化事由，例如GDPR明确对数据控制者和处理者设置了配合监督机关执法的义务（第31条），该义务意味着数据控制者和处理者需要按照规定存储数据处理的主要记录，并在监督机关要求时，向其提供这些记录（第82节）。另一方面，私权保护可以直接启动司法救济，通过个案处理推动区域数据规则的对外辐射，微软爱尔兰案就是这一辐射的典型例证。

　　二、GDPR影响国际数据流通攻防关系

　　（一）数据跨境流通的旧方式与新挑战

　　放置在数据跨境流通攻防策略的语境下，可以看到旧方式与新挑战之间的冲突。早期数据流通主要依赖于传统的跨境协作机制，主要包括以下四种类型：1.双边司法协助协议（MLAT）；2.国际或区际公约及示范法，例如《布达佩斯公约》、联合国《有组织犯罪公约》和《刑事事件互助示范条约》等；3.多国国家机关合作机制，例如国际刑警组织（Interpol）、欧洲刑警组织（Europol）等；4.多国企业与监管机构合作机制，例如计算机安全应急响应组（CERT）、应急事件及安全组（FIRST）等。

　　已有机制在数据跨境流通方面面临诸多挑战。首先是数据的去地域化挑战，双边或国际司法协助往往具有强烈的属地属性，但是数据本身的去地域化特征导致数据属地难以判断。其次是数据的高速复制、传输、扩散要求相应措施的及时性，但是传统数据跨境获取方式效率较低。第三是数据流通涉及数据安全问题，既包括数据相关性判断困境，也包括开设后门对于数据安全的减损。第四是数据控制困境，即执法人员并不直接掌握数据本身及其流动过程，同时也不直接掌握数据处理机制和算法，因此由其主导的传统方式难以有效适用。

　　（二）当前数据跨境流通的攻防形势

　　基于数据跨境流通的旧方式与新挑战之间的张力，当前国际数据攻防策略呈现出较为鲜明的特征。

（编辑：PHP编程网 - 黄冈站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!