一、數據是靈動的「三文魚」

　　數據是通過觀測得到的數字性的特徵或信息記錄，反映出個體與群體的多種屬性。隨着信息技術的發展及其在社會生產、生活中的應用，各類數據迅猛增長、海量聚集，對個人、社會乃至國家都產生着廣泛而深遠的影響。數據作為「信息化時代的石油」，其價值往往是通過流動體現的，而受國界制約較小的互聯網更是為數據在全球範圍內的流通提供了條件。實踐中，數據出境頻繁發生在服務、外貿、金融、交通、執法等多個領域，在發揮多種作用的同時，也給主權、人權、安全等的保障和維護帶來一些新的挑戰。各國紛紛立法保護本國的數據利益，搶佔數據戰略地位，進而導致數據流動的困境，抑制信息時代的發展。

　　各國規管數據出境制度

　　這些挑戰及其應對，需要我們革新關於數字的認識。數據被喻為「信息時代的石油」，可見何其重要。不過，這一隱喻也引發一些聯想：石油作為自然資源，曾經引發過戰爭；石油必定存在於主權國界範圍之內，受到主權國家嚴厲的管控。這或許也影響了一些國家當下關於數據立法的走向──那就是主權國家的傳統思維。數據與石油不同的是，數據是社會主體活動後的數字性記錄聚集，而主體和活動範圍的廣泛擴展則事關數據之大的形成，因此流動是其天然的要求，跨越國界是其本能訴求。

　　也許，在揭示數據的重大價值的時候，「信息時代的石油」是一個好的比喻。但若考量對其流動的管制，則「三文魚」養殖的故事可能是一個好的啟示。

　　三文魚為冷水性魚類，是溯河洄游性魚類，一般在淡水河流產卵出生，游到海洋長大，在海洋覓食三至七年之後，若尚存，就會回到自己出生的河流，歷經艱難險阻，從不出錯。數據也許是那群游動的三文魚。如何養肥這群魚？如何利用其洄游的習性受益？也許是值得考慮的方向。

　　二、兩種模式

　　放眼當下，世界各國或區域性國際組織紛紛建立了規範數據出境的法律制度。其中，各國均將個人數據和敏感數據作為規制重點，但在規制的具體尺度和措施上各具特色。這既是結合各自條件與環境所做出的不同政治、經濟戰略選擇，又是立足於各自的法律體系所秉持的不同法律價值理念的結果。大體來說，歐盟與美國形成了兩種截然不同的典型。前者可謂「築堤萬丈」，後者可謂「放魚千里」。

　　歐盟在GDPR中所確立的個人數據出境制度，旨在將其所建立的高水平個人信息保護延伸至域外，可謂「築堤萬丈」的模式。與此同時，謀求不斷做大魚池，數字這群三文魚在堤壩之內可以自由流動，成年後便可能是各回各家，各當各媽，產卵繁殖，了卻天命。GDPR對數據共享中數據保護的主要要求是：嚴格的知情同意規則、機制的設計要充分保護隱私、保證刪除權、保證攜帶權、一站式的跨境監管，以及在不遵守時能夠保證實現罰則。

　　從GDPR的內容來看，歐盟認為要實現這一目的需要應對三項挑戰：其一是個人數據出境後適用不同於歐盟法的域外法律；其二是歐盟及其成員國的個人信息主管機關無法對境外的數據接收主體實施管轄權；其三是個人數據權主體在數據出境後維護權益、尋求救濟勢必面臨更多困難。

　　歐盟採取「事前許可」模式

　　因此，GDPR第五章「將個人數據傳輸到第三國或國際組織」樹立了只有遵守GDPR才允許跨境傳輸的一般性原則，並規定了包括標準格式合同條款（standard contract clauses，SCC）、有拘束力的公司準則（binding corporate rules，BCR）、充分性認定（adequacy decision）在內的多種數據跨境傳輸機制。歐盟在執法、司法實踐中廣泛運用這些規範和機制，並拒絕將個人信息保護作為貿易談判的籌碼，由此塑造了各數據接收主體及其所在國在歐盟法下所享有的不同待遇。

　　2020年7月16日，歐盟法院（CJEU）在Schrems Ⅱ案的判決中，認定歐盟與美國於2016年達成的「隱私盾協議」無效，但數據進出口雙方間的SCC繼續有效；2020年6月，歐盟依據GDPR正式啟動對抖音海外版Tik Tok在歐洲投資的數據保護安全性審查；與此同時，歐盟也對法律法規、監管機關執法、個人維權便利程度達到其標準的國家或地區予以充分性認定，包括安道爾、阿根廷、以色列、日本、新西蘭、瑞士等。

　　總體而言，歐盟對個人信息跨境流動採取的主要是基於法制的「事前許可」式管理模式，輔以附條件豁免個案審批的傳輸機制，同時靈活地運用標準數據保護條款或有約束力的公司規則等機制許可數據流動至未獲得充分性認定的第三國企業。在這一機制下，如果一國有龐大的人口和市場及活力，卻沒有居於頭部的數字和平台企業，雖可能不存在養魚千里後的洄游，但卻也獲激活了龐大數字海洋的活力，並非沒有收益。

　　作者分別為深圳大學港澳基本法研究中心副主任、深圳大學合規研究院研究助理