比较法视野下个人信息跨境流动之法律规制与进路——兼谈我国《个人信息保护法（草案）》
作者：林洧 2022-04-27 15:52 新传播 【字号：大 中 小】
个人信息跨境流动的法律规制，既是国内法问题，亦是国际法问题；在全球化和大数据时代背景下，此项议题也日益为各国所关注。个人信息跨境流动有数据主权与自由流动两方面的利益冲突，在此冲突下，欧盟和美国皆采取不同的法律规制方式：欧盟强调严格的立法、司法、执法保护，而美国则是提倡行业自律与事后问责。其中，欧盟对个人信息跨境流动有较大的法律限制，但这种限制同时也通过白名单等制度设计而获得相对的弹性。美国则是依赖着技术上的绝对优势，倡导个人信息跨境的自由流动，以此谋求其信息科技公司在全球的繁荣发展。基于欧美比较法上的经验与中国的基本国情，在随着数字经济发展壮大的同时，中国更加需要完善个人信息跨境流动之法律规制，综合考量域外经验与本土利益，从完善国内立法、司法与执法，加强国际合作协调两方面，构建有中国特色的个人信息跨境流动之法律规制。具体而言，首先，需要在理念层面坚持网络主权原则的指导，并且以该原则为基础积极开展个人信息跨境流动法律规制的国际合作；其次，需要在制度层面继续推进国家统一立法进程，并且完善与细化相关的行政法规、部门规章等具体法律规范；最后，需要在实施层面落实法律保障机制，通过赋予当事人必要的救济手段，来打击相关的违法行为以树立法律的权威。
同时，在个人信息跨境流动方面，签署了APEC隐私保护框架（APEC Privacy Framework2005），在立法、执法、司法方面都在满足其规定的个人信息跨境流动规制的最低要求。但是，随着国家工业智能化推进，AI、大数据、云计算、区块链产业的高速发展，一带一路建设的不断推进，仅仅依靠这些最基础的法律规制还远远不够。因此，本文认为，需要在理念上、立法上、救济上进行更深层次的探讨，结合《个人信息保护法（草案）》，[2]探寻建设中国特色社会主义的个人信息跨境流动之法律规制的本土进路。
（一）理念：网络主权
我国对于个人信息跨境流动之理念，并非基于传统的数据主权，而是一种中国式的网络主权。所谓的网络主权，指国家应该在本国网络空间内享有排他性的管辖权。而在我国语境下的网络主权，不是单纯的网络技术主义，而具有网络技术下承载国家利益与权力干预的内涵。故而，在这种理念下，我们强调国家对于互联网内部治理与互联网国际合作相结合——即习近平总书记所说的“尊重网络主权、维护和平安全、促进开放合作、构建良好秩序”的思想原则，其中包括独立权、管辖权、防卫权和平等权等内容。[27]我国的网络主权不同于威斯特伐利亚主权，而是一种相互依赖的主权，在互相尊重各自网络主权的前提下，在物理层面进行传统主权管制，在逻辑层合作治理，在内容层面相互协调。[28]故而，我国采取之理念不同于美国的数据自由主义，也非欧盟的数据主权主义，而是一种符合中国国情的“网络主权”主义。我国的网络主权在相互尊重主权的基础上，更加强调国际合作互助，协调共赢。因此，在这种理念上，我国对于个人信息保护采取重要性原则，即对主权而言具有重要性的个人信息限制跨境流动，而对于非重要的个人信息允许其跨境自由流动。这种理念使得我们较之欧盟模式更加宽松、而较之美国模式更加严格，这是一种符合我国处于发展中国家的基本国情的选择，即基于经济建设需要，在不损害网络主权的前提下，最大程度允许个人信息跨境流动。
总之，我国的网络主权本质上为一种修正式的数据主权，但并不只是单纯强调国家主权，而是在国家主权的基础上强调利益方共同治理。因为网络空间本身需要现实空间作为支撑，网络物理层当然为国家领土之一部分，基于领土的国家管辖权而享有网络主权已成为国际共识。我国在数据主权所具有的领土主权延伸性、数据世界独立性的两重属性中，[29]结合本国基本国情而选择修正后的中国式网络主权之理念，主要是基于大数据国家战略与互联网行业发展的考量：一方面，互联网和大数据之发展需要个人信息跨境流动，因此不能完全遵循数据本地化之防御性的政策，而我国在部分互联网技术上具有优势地位，需要更加开放的政策促进相关行业参与全球化的竞争；另一方面，我国的网络主权理念亦重视个人信息的保护，倡导一种健康、可持续的网络空间治理，尊重个人信息的私法属性并对其进行保护，这也是与其他高保护标准的国家进行关于个人信息跨境流动的双边或多边协议谈判时，双方进行协商合作的理念基础。
[2]《中华人民共和国个人信息保护法（草案）》立法动态如下：2020年10月13日，提请全国人大常委会初次审议，同年10月21日公布并公开征求社会公众意见；目前，该法草案已于2021年4月26日至29日由全国人大常委会对其完成二次审议的立法工作，并且于4月29日正式发布征求意见。
c4d032d1-1359-488d-9493-075c1cede8f9.jpg)