近年来，国家间数据跨境流动愈发频繁。在跨境流动的数据中，往往包含大量的个人信息数据。因为各国对数据跨境流动的监管存在较大差异，个人信息数据跨境流动的监管也存在较大差异。个人信息数据跨境流动时出现安全隐患，危及国家主权、社会安全产生。应当合理借鉴域外的应对措施，构建我国在数据跨境流动中个人信息数据?；さ奶乇鸸嬖颉?/p>
一、数据跨境流动中个人信息保护的两种典型模式
在全球统一的跨境数据流动规则缺位的情况下，不同国家由于其社会、政治和经济背景的差异，对于跨境数据流动采取不同监管模式。数据跨境流动监管模式的差异导致跨境流动中的个人信息数据?；つＪ酱嬖诓钜欤访撕兔拦蚴粲诹街值湫湍Ｊ?。
欧盟延续以公民权利为导向的一贯理念，形成以人权?；の行牡氖菘缇沉鞫嬖?。欧盟制定《通用数据?；ぬ趵罚ㄒ韵录虺艷DPR）。GDPR第5章赋予欧盟对各国的数据?；に浇腥嫫拦赖娜ㄏ?，达标国家可获得数据进入欧盟的“白名单”。该名单的作用是保护跨境流动的数据安全，欧盟各成员国任何机构不能随意调取相关数据，其中也包括个人信息数据。未获得该名单的国家，欧盟通过标准合同条款、具有约束力的企业规则等非官方方式，确?？缇沉鞫氖莅踩荒芡耆古访烁鞒稍惫帽就练傻魅∑渲惺?。
美国为继续拓宽全球领域范围内的数字市场，形成以市场为主导，追求商业利益，倡导数据流动自由化的数据跨境流动规则。相较于欧盟GDPR采取“原则禁止＋例外允许”的模式，美国没有像欧盟一样制定专门的法规或法案，更多是通过美国与交易相对国家之间的双边协议进行规定。美国采用“数据自由流动＋扩展域外管辖”的模式，将个人信息数据视为商业活动中的消费者?；の侍猓尚幸的诓恐贫ㄏ嘤娣?。美国通过《澄清域外合法使用数据法案》（以下简称《云法案》）赋予美国政府在特定情况下调取境外数据的权力，这意味着跨境数据中的个人信息数据可被美国政府随意调取。
二、数据跨境流动中个人信息?；こ逋怀梢蚍治?/strong>
美国的市场导向模式与欧盟的人权导向模式在某些方面存在难以调和的局面。
从数据?；だ砟钣胫贫壬杓评纯?。美国模式强调自由市场的灵活性和创新性，注重企业在数据处理中的自主性和数据作为经济资源的利用效率?！对品ò浮啡范艘允菘刂普叩纳矸菸谰葜髡攀莨芟饺ǖ幕驹颉７簿哂忻拦氖菘刂普?，其保存的数据信息均受美国法律管辖。欧盟模式则以保护个人隐私和数据权利为核心，视数据为与个人自由和尊严密切相关的基本权利。GDPR对欧盟个人数据信息的收集、处理和跨境传输作出了严格规定。针对数据出境，GDPR设定“同等?；?rdquo;规则，作为个人数据信息跨境流动的最低保护标准。由于欧美双方在数据保护上的理念分歧和制度上的差异，在涉及个人数据信息流动的跨境业务往来中，欧美双方往往相互掣肘，难以达成共识。
从法律冲突与管辖权问题的角度来看。欧盟的GDPR采取“原则禁止+例外允许”的模式，确保个人数据在跨境流动过程中享有与在欧盟境内相同的?；に健Ｃ拦摹对品ò浮吩蚋秤杳拦谔囟ㄇ榭鱿碌魅【惩馐莸娜?，其也是《云法案》与GDPR的严格?；ぴ虿苯映逋坏母驹?。这种差异会导致美国企业需要在处理数据时同时满足欧美两地的法律要求，增加了合规成本和法律风险。
鉴于欧盟高标准的数据?；ぷ荚颍拦氖荼；す嬖虿⒉环铣浞中匀隙ǖ囊?。美国需要依赖标准合同条款或其他替代性措施来确保数据的合法跨境传输。出于经济发展的需要，欧盟与美国的数据跨境流动协议经历了从“安全港”到“隐私盾”，再到“隐私盾”破裂的演变。Schrems案就是欧美双方在数据治理博弈上的集中体现。欧盟法院因美国情报机构超出必要限度采集欧盟公民数据，裁定《隐私盾协议》无效。面对美国的“数字霸权”，欧盟进行强势反击，最终促成2023年《欧美数据隐私框架》的形成。尽管双方都试图在差异中找到共同点，但两者利益的冲突使得这一关系极不稳定。欧盟与美国仍需不断地进行新的谈判和调整，以寻找可持续的合作模式。
三、个人数据信息跨境流动的应对建议
我国通过网络安全法确立数据出境的安全评估制度，2021年又出台数据安全法和个人信息保护法，这些法规已然规定了我国个人信息数据跨境流动的一些应对措施。如个人信息?；しü娑缇沉鞫母鋈诵畔⑹菪枰夜陌踩蟛??！妒莩鼍嘲踩拦腊旆ā贰陡鋈诵畔⒊鼍潮曜己贤旆ā芬约啊洞俳凸娣妒菘缇沉鞫娑ā返刃鲁鎏ǖ挠泄毓娑ǎ徊矫魅妨烁鋈诵畔⑹莸纳蟛楸曜?。新修订的民事诉讼法增设“侵权行为地”与“其他适当联系地”作为管辖依据，扩大了我国法院对涉外案件的管辖权限。这些措施整体应对我国个人信息数据跨境流动的域外?；と韵圆蛔悖?024年美国政府起诉我国TikTok案件。我国还需要从国际交易规则方面，借鉴域外经验总结出行之有效的应对措施。
一是加入国际合作与多边协议。尽管美国和欧盟都在各自的法律框架内积极推动数据跨境流动，但两者的治理模式存在显著差异。正因此，欧美之间多是通过双边协议来实现数据的跨境流动，缓和因个人数据跨境而产生的规则冲突。我国目前签署了区域全面经济伙伴关系协定（RCEP），并申请加入全面与进步跨太平洋伙伴关系协定（CPTPP）及数字经济伙伴关系协定（DEPA），以期在国际数据保护标准的制定和实施中发挥更大作用，减少法律冲突。数据自由流动不应放弃对数据流向和使用的监管及控制。恰恰相反，这意味着对数据的管理和?；ば枨笠苍谠龀?。TikTok案与Schrems案如出一辙。两者均是因为在未经充分授权的前提下，将本国公民的个人数据大量传输至他国，进而对数据主权和个人隐私构成潜在威胁。我国可借鉴《欧美数据隐私框架》，通过加入多边协议来实现数据跨境流动，以缓和个人数据信息跨境流动所引发的法律与政策冲突。
二是恪守本国管辖原则。我国在与不同国家和区域开展数据跨境活动时，应灵活制定最有利于本国的数据跨境流动规则。涉及个人信息数据出入境时，可引入“同等?；?rdquo;规则，即评估数据接收方的保护水平是否与发送方相当，并据此采取相应措施。如，针对欧盟和美国等数据?；に浇细叩墓遥夜杵拦榔浔；ぷ纯霾⒅贫ㄏ嘤Ρ；に降谋曜己椭改?，以实现同等?；?。对于?；に礁叩创镆欢ū曜嫉墓?，可在附加保护措施和合规要求下允许数据跨境流动。对于?；に降偷墓遥蜓细裣拗破涫菘缇沉鞫?，只有在满足特定条件和采取严格?；ご胧┑那疤嵯拢趴稍市硎菘缇炒?。通过评估，确保个人信息数据在跨境流动中受到严格?；?，避免因?；に讲钜煲⑶痹诜缦?。此外，对于他国数据的入境可参考GDPR中“充分性?；?rdquo;制度。针对符合我国数据跨境审核标准的国家，可视为满足“充分性”这一条件，放宽或免除其数据入境的安全评估要求。
三是强化国内阻断立法。当他国以其法律体系对我国个人或企业实施制裁或管控时，阻断立法是维护国家主权和数据安全有效的回击手段。我国个人信息保护法第四十一条和反外国制裁法已具备阻断立法的效果，但尚未形成阻断立法完整体系?！妒莩鼍嘲踩拦腊旆ā分械南喙刂贫纫淹ü绨踩ā⑹莅踩?、个人信息保护法上升为法定制度，对数据跨境流动管理起关键作用。废除该项制度不切实际，但对于该制度如何具体落实，存在较大的可操作空间。我国可结合具体国情，借鉴欧盟“黑白名单”模式，明确列出适用阻断立法的主体、适用范围以及适用的条件。通过研判各国数据管理法规，将那些已与我国签订双边或多边合作协议的国家纳入“白名单”范畴。结合上文“同等保护”规则的相关规范，简化数据跨境流动的审核程序，提升效率并减少不必要的阻碍。此外，还需设立专门的监督、执行机构，负责阻断立法的实施和监督。综合考量个人信息数据跨境流动案件的实际情况。在其涉及国家安全与公共利益时，即便他国法律具有管辖权，也仍需遵守阻断立法，由我国相应的专门机关进行审查。
数据的跨境流动能够为国家、社会的发展带来诸多利益，但并不代表这需要以牺牲个人隐私权和数据安全为代价，数据的跨境流动必须建立在确保国家安全和?；じ鋈艘降幕≈?。我国作为数据资源大国在面对个人数据信息跨境流动问题上，应制定符合本土实际情况的规则，确立具有中国特色的个人数据信息跨境?；さ奶乇鸸娣?。
作者：林 洋 西华大学法学与社会学学院法学讲师，法学博士；蒋徐鑫 西华大学法学与社会学学院法律硕士
.jpg)
京公网安备 11010102003980号