学者视点‖海南自由贸易港数据跨境规则创新路径探究

1.主张国际数据跨境自由化的“美式规则”

美国作为全球数字技术与数字经济的发源地，曾长期坚持数据跨境完全自由流动。“美式规则”在全球范围多管齐下，力促数据跨境自由流动的实现。其主要体现在《跨太平洋伙伴关系协定》（TPP）电子商务章、《美日数字贸易协定》（UJDTA）以及《美加墨协定》（USMCA）数字贸易章的条款中。最早受到美国重点关切的就是参与者众多的国际条约。美国先是主导了OECD《隐私保护和个人数据跨境流动指南》、APEC《隐私框架》及《跨境隐私规则体系》两个机构三部针对个人信息跨境流动规则的制定，明确成员国数据搜集和使用的实体和程序要求，以确保数据跨境的“自由流动与合法限制原则”。鉴于OECD及APEC机制下的多边条约缺乏法律强制力，奥巴马执政期间还致力于构建《跨太平洋伙伴关系协定》（TPP）框架下的数据跨境规则体系，将促进数据自由流动和禁止本地化存储作为缔约方的义务，保留合法公共政策目标例外。伴随特朗普宣布退出TPP谈判，美国转而运用曾经在知识产权领域的拓展策略，即借助双边或三边经贸协定，如UJDTA、USMCA等，间接却快速地促进其自由化数据跨境政策的全球推广。

相对于在国际社会不断宣传其“数据跨境自由”，美国对国内数据的出境采取着严格的管制措施。首先，通过《出口管理法案》（EAA）及其配套实施办法《出口管理条例》（EAR）以国家安全为由对商用及军民两用物项的出口实施管制。特朗普政府2018年出台的《出口管制改革法案》（ECRA）在接续EAR规制基础上，还加入对新兴基础技术出口及相关数据披露的限制，使得物项出口方面的数据出境受到更为严格的限制。其次，ECRA与将个人隐私和数据上升至国家安全层面的《外国投资风险评估现代化法案》（FIRRMA）建立起联动机制——凡涉及敏感个人信息、关键基础设施和关键技术的美国企业在对外投资时都要接受美国外商投资委员会（CFIUS）的审查，并按照ECRA新兴基础技术的相关规定进行相关认定，严格对外投资中的数据出境。再次，对于国际司法协助中的数据出境限制。1986年的《存储通信法案》（SCA）规定请求国为开展刑事调查，需要事先与美国签订双边司法互助协议，经过美国司法部国际事务办公室和地方法院审查，颁发SCA令状后，方可调取美国企业数据。而后，随着云存储技术的发展，面对日益复杂的数据管理，2018年的《澄清境外数据合法使用法案》（CLOUD法案）在赋予SCA令状域外效力的同时，还新增了“执行协议”和“调查委托书”两种获取美国企业控制下境内及境外数据的途径。据此，美国对外确立了“数据控制者标准”，却并没有为外国政府获取美国企业数据提供同等便利。2024年2月28日，美国总统拜登签署第14117号《关于防止受关注国家获取美国人大量敏感个人数据和美国政府相关数据的行政命令》，要求美国司法部颁布条例，严格控制美国人数据流向。

可见，美国推崇的数据跨境流动自由化实质上旨在促进数据的向美流入，维护本国互联网企业的绝对优势和经济利益，巩固其在全球数据治理中的主导地位。

2.以保护个人权益为核心的“欧式规则”

与美国所主张的宽松自由数据跨境不同，欧盟在数据出境问题上较为保守，其重点关注附着于数据之上的个人信息权益保护。欧盟将通讯隐私和个人数据保护作为公民的基本权利，通过“人权保护”至高道义，既提高了跨境数据流出的监管标准，又赋予了“长臂管辖”正当性。欧盟建构了对内“属人原则”、对外“效果原则”实施管辖的数据跨境规则体系。该体系既制衡了美国互联网巨头的数据控制，也在全球范围内引发借鉴和效仿。其集中体现在《通用数据保护条例》（GDPR）、《数据法案》（Data Act）以及《数字服务法》（DSA）三部法律中。

欧盟较为严格的个人信息出境标准源于GDPR。根据GDPR的规定，欧盟境内的数据控制者和处理者在向第三国或国际组织（境外）传输个人数据，可以选择适用“充分性保护认定”或“适当性保障措施”，或者在满足特定条件时直接传输。其中，“充分性保护认定”用来确定与欧盟个人信息保护水平“持平”的非欧盟国家及国际组织。经欧盟委员会认定的“白名单”国家或组织，可以不再经过其他授权或认证，接收欧盟境内输出的个人数据。为了获得欧盟“白名单”的认可，第三方在立法时则会不自觉地接受其价值观、靠近“欧盟数字标准”。当无法取得“充分性保护认定”时，数据控制者或处理者则要通过提供“适当性保障措施”，为数据转移提供“背书”。

随后，欧盟运用Data Act在GDPR基础上进一步扩大适用范围，加入非个人数据跨境情形，提供了适用所有类型数据的制度规定。不仅明确了物联网提供商一系列广泛的数据共享、产品设计和合同方面的义务；而且设置了公共部门机构能够访问和调取私营部门数据的特定场景。

最新出台的DSA进一步将数据跨境审核的范围延伸至平台的内部文件、广告透明度、问责机制等方面。自此，欧盟将严格的个人信息出境标准覆盖至数据跨境全领域，并不断加强其在数据跨境领域“布鲁塞尔效应”，努力实现欧洲规则国际化。

3.关注中小经济体利益的“新式规则”

所谓“新式规则”是指在美欧模式之外，由一些中小数字经济体发起的数字跨境治理模式。该模式发端于新加坡、智利、新西兰2020年签订的DEPA。作为全球首个多边数字经贸专项协定，DEPA以灵活开放的模块结构和多元包容的内容设置，成为中小经济体寻求平等合作发展数字经济的创新尝试。

DEPA最大的特点是采用模块式框架，并非要求成员一揽子解决，赋予成员较高的自由度和灵活度。在数据跨境问题上，DEPA并没有在美式“自由流动”和欧盟“权利保护”中进行选择，而是采取了折中的态度。对于选择参与模块4数据问题的缔约方，先是基于个人信息保护对增强数字经济和贸易发展的信心具有重要作用，规定了健全个人信息保护法律框架的10项关键规则；然后要求承诺允许进行有约束力的包括个人信息在内的跨境数据传输活动、认同数据存储非强制本地化，并增加合法公共政策目标例外以保留缔约方在数据跨境流动中的监管空间。

DEPA因其开放和包容的数据跨境流动规制范式，显示出了极强的吸引力。目前韩国已完成实质性谈判、加拿大表示出加入兴趣、中国也成立正式工作组。继DEPA后，新加坡又陆续同澳大利亚、英国、欧盟等签订双边数字经贸协定，其中的数据跨境规定与DEPA一脉相承，“新式规则”的影响力不断扩大。

1.法律授权和政策优势

从“4.13讲话”宣布“支持海南逐步探索、稳步推进中国特色自由贸易港建设”到《海南自由贸易港建设总体方案》、《海南自由贸易港法》等的相继出台，海南各方面的政策法律优势得以明确。2023年全国人民代表大会通过的《立法法》修正案更是在第84条新增“海南省人民代表大会及其常务委员会根据法律规定，制定海南自由贸易港法规，在海南自由贸易港范围内实施”为海南地方立法创新数据跨境治理的“先行先试”提供了法律依据。通过对比《海南自由贸易港建设总体方案》《浦东新区综合综合改革试点实施方案（2023-2027年）》可以看到，在数据跨境安全有序流动方面中央给予海南自贸港更为充分的政策支持（如表2所示）。

2.地理位置和设施优势

除了国家的法律授权和政策支持外，自贸港还存在地理位置和国际信息通讯设施两方面的优势，为数据跨境流动治理创新奠定基础。

从国际地理位置来看，海南面向太平洋和印度洋，与菲律宾、文莱、印度尼西亚和马来西亚等国际重要市场为邻，具有和东南亚地区开展深度数据跨境合作的天然优势。从国内海陆位置来看，海南紧邻粤港澳大湾区，粤港澳大湾区作为亚洲乃至全球经济最活跃的地域之一，产业发达、供应链健全，与海南的产业定位有一定的互补性，两地交流的空间条件得天独厚。

从国际信息通讯设施建设情况来看，自贸港在国际互联网数据专用通道、国际海底光缆基础设施及其相关支持系统、国际数据港三方面建设取得突破。首先，海南已启动专属的国际互联网数据传输通道，显著优化至东南亚各区域数据传输的平均延迟，实现了44%的时延缩减；同时，海口区域性国际通信出入口局正式成立并投入使用，该局与“海南—香港”的海底光缆系统联动，向香港提供定制化的数据传输专线服务。其次，国际海底光缆基础设施及其相关支持系统的构建正在加速进行。中国移动“海南文昌—香港舂坎角”海底光缆系统已完成调试和业务开通，这是海南第一条承载国际业务的海底光缆；另外两条以陵水为基点面向东亚、东南亚、南亚的海底光缆工程也已规划启动，预计2025年完成。再次，国际数据港建设进展显著。全球首套商用“海底数据中心”于2023年3月在陵水下水投用；《海南（陵水）国际数据港规划》拟计划在“十四五”发展规划期内，在陵水地区分两阶段完成30个海底数据中心的建设项目。

如上文所述，相较于数字经济发达地区“市场需求推动制度供给”的数据跨境体系建设模式，自贸港更加适合“制度供给带动市场需求”的发展路径，以高水平制度建设推动数据产业和数字经济的发展。海南数据跨境制度的建设应当兼顾安全、开放、可行等多元需求，其关键在于平衡数据流动安全与数据跨境需求。分层次、有步骤的解决制度建设目标导向、整体布局、体系规划、理念转化等问题，积极探索既与国际接轨又符合新时代国家建设要求的数据跨境流动方案。