一、数据是灵动的“三文鱼”

　　数据是通过观测得到的数字性的特征或信息记录，反映出个体与群体的多种属性。随着信息技术的发展及其在社会生产、生活中的应用，各类数据迅猛增长、海量聚集，对个人、社会乃至国家都产生着广泛而深远的影响。数据作为“信息化时代的石油”，其价值往往是通过流动体现的，而受国界制约较小的互联网更是为数据在全球范围内的流通提供了条件。实践中，数据出境频繁发生在服务、外贸、金融、交通、执法等多个领域，在发挥多种作用的同时，也给主权、人权、安全等的保障和维护带来一些新的挑战。各国纷纷立法保护本国的数据利益，抢占数据战略地位，进而导致数据流动的困境，抑制信息时代的发展。

　　各国规管数据出境制度

　　这些挑战及其应对，需要我们革新关于数字的认识。数据被喻为“信息时代的石油”，可见何其重要。不过，这一隐喻也引发一些联想：石油作为自然资源，曾经引发过战争；石油必定存在于主权国界范围之内，受到主权国家严厉的管控。这或许也影响了一些国家当下关于数据立法的走向──那就是主权国家的传统思维。数据与石油不同的是，数据是社会主体活动后的数字性记录聚集，而主体和活动范围的广泛扩展则事关数据之大的形成，因此流动是其天然的要求，跨越国界是其本能诉求。

　　也许，在揭示数据的重大价值的时候，“信息时代的石油”是一个好的比喻。但若考量对其流动的管制，则“三文鱼”养殖的故事可能是一个好的启示。

　　三文鱼为冷水性鱼类，是溯河洄游性鱼类，一般在淡水河流产卵出生，游到海洋长大，在海洋觅食三至七年之后，若尚存，就会回到自己出生的河流，历经艰难险阻，从不出错。数据也许是那群游动的三文鱼。如何养肥这群鱼？如何利用其洄游的习性受益？也许是值得考虑的方向。

　　二、两种模式

　　放眼当下，世界各国或区域性国际组织纷纷建立了规范数据出境的法律制度。其中，各国均将个人数据和敏感数据作为规制重点，但在规制的具体尺度和措施上各具特色。这既是结合各自条件与环境所做出的不同政治、经济战略选择，又是立足于各自的法律体系所秉持的不同法律价值理念的结果。大体来说，欧盟与美国形成了两种截然不同的典型。前者可谓“筑堤万丈”，后者可谓“放鱼千里”。

　　欧盟在GDPR中所确立的个人数据出境制度，旨在将其所建立的高水平个人信息保护延伸至域外，可谓“筑堤万丈”的模式。与此同时，谋求不断做大鱼池，数字这群三文鱼在堤坝之内可以自由流动，成年后便可能是各回各家，各当各妈，产卵繁殖，了却天命。GDPR对数据共享中数据保护的主要要求是：严格的知情同意规则、机制的设计要充分保护隐私、保证删除权、保证携带权、一站式的跨境监管，以及在不遵守时能够保证实现罚则。

　　从GDPR的内容来看，欧盟认为要实现这一目的需要应对三项挑战：其一是个人数据出境后适用不同于欧盟法的域外法律；其二是欧盟及其成员国的个人信息主管机关无法对境外的数据接收主体实施管辖权；其三是个人数据权主体在数据出境后维护权益、寻求救济势必面临更多困难。

　　欧盟采取“事前许可”模式

　　因此，GDPR第五章“将个人数据传输到第三国或国际组织”树立了只有遵守GDPR才允许跨境传输的一般性原则，并规定了包括标准格式合同条款（standard contract clauses，SCC）、有拘束力的公司准则（binding corporate rules，BCR）、充分性认定（adequacy decision）在内的多种数据跨境传输机制。欧盟在执法、司法实践中广泛运用这些规范和机制，并拒绝将个人信息保护作为贸易谈判的筹码，由此塑造了各数据接收主体及其所在国在欧盟法下所享有的不同待遇。

　　2020年7月16日，欧盟法院（CJEU）在Schrems Ⅱ案的判决中，认定欧盟与美国于2016年达成的“隐私盾协议”无效，但数据进出口双方间的SCC继续有效；2020年6月，欧盟依据GDPR正式启动对抖音海外版Tik Tok在欧洲投资的数据保护安全性审查；与此同时，欧盟也对法律法规、监管机关执法、个人维权便利程度达到其标准的国家或地区予以充分性认定，包括安道尔、阿根廷、以色列、日本、新西兰、瑞士等。

　　总体而言，欧盟对个人信息跨境流动采取的主要是基于法制的“事前许可”式管理模式，辅以附条件豁免个案审批的传输机制，同时灵活地运用标准数据保护条款或有约束力的公司规则等机制许可数据流动至未获得充分性认定的第三国企业。在这一机制下，如果一国有庞大的人口和市场及活力，却没有居于头部的数字和平台企业，虽可能不存在养鱼千里后的洄游，但却也获激活了庞大数字海洋的活力，并非没有收益。

　　作者分别为深圳大学港澳基本法研究中心副主任、深圳大学合规研究院研究助理