东盟数据跨境流动制度研究:进程演进与规则构建

随着5G、人工智能、区块链、大数据等数字技术的发展,东盟开始关注区域内数字经济的发展所带来的影响,其中数据跨境流动的安全日益引发东盟及各成员国的关注。本文通过文献调研等定性研究方法,归纳总结东盟及其主要成员国数据跨境流动规则的构建及建设进程,从而分析东盟数据跨境流动规则存在的问题及其对中国与东盟开展数据跨境流动合作形成的挑战。研究发现,东盟在数据跨境流动领域形成宏观到微观的三层规则体系,主要成员国如新加坡适用多元规则强化与国际对接,而马来西亚将允许数据跨境流动纳入“例外情形”;东盟区域内规则适用较为混乱,内部协调难度大等问题将增加中国企业在东盟开展数据跨境流动的合规成本与潜在风险。最后,本文提出细化中国-东盟数据跨境流动操作路径、强化中国-东盟数据安全规则的互认以及探索中国-东盟数据跨境流动新方式等相关建议。

东盟数据出境标准合同立法及其现实启示

随着《促进和规范数据跨境流动规定》的正式出台,我国个人信息出境标准合同的适用范围、文本内容得到进一步优化。东盟与我国设立数据出境标准合同规则的时间较为接近,且同处《区域全面经济伙伴关系协定》(简称“RCEP”)的规范之下,针对《东盟跨境数据流动示范合同条款》(简称“MCCs”)的比较研究具有重要意义。通过对MCCs立法意图、规则内容和法律效力等方面的分析,可以发现我国与东盟在数据跨境立法的价值取向、与RCEP的衔接度、标准合同的内容上有所不同。为促进中国与东盟之间的数据安全自由流动,我国未来应细化数据传输工具操作路径,加强双方数据跨境规则互认,并进一步完善个人信息保护影响评估制度。

数据跨境流动的约束性企业规则研究

欧盟《一般数据保护条例》确立的约束性企业规则是欧盟个人数据跨境传输规则中的适当保障措施之一,它作为数据跨境流动的合规工具具有显著优势。我国自2021年施行的《个人信息保护法》中仅参照引入了标准合同条款,约束性企业规则还未明确在我国法律中引入。为了便利我国企业“走出去”,我国应引入约束性企业规则。为此,我国应明确约束性企业规则的上位法依据,同时合理借鉴他国实践经验,打造中国式约束性企业规则。

RCEP框架下共建中国-东盟跨境数据流动治理合作机制的挑战及因应之道

东盟是我国重要的数字经济合作伙伴,在RCEP框架下深入推进双方在跨境数据流动领域的贸易规制一体化进程有重大的战略价值。RCEP的数据跨境流动规制与CPTPP、DEPA等有关条款相比,有较强的制度兼容性与适用灵活性特征,体现RCEP尊重东盟成员国内部多种数据跨境流动标准与自主监管权的数据治理立场,有利于对接东盟既有数据治理体系,也为未来加强同我国数据跨境流动治理合作机制建设奠定基础。但进一步检视RCEP与前述条款的横向对比及东盟的既有规制,可以发现双方合作仍面临东盟内部数据治理水平不平衡、区域性数字贸易规则碎片化等挑战。一方面,东盟加入的区域性数字贸易规则的规制进路各异,加大了跨境数据流动规制的一体化阻力;另一方面,东盟各成员国内部的数字基础设施建设存在数字鸿沟,数据跨境传输标准尚未形成区域性一致,偏重数据本地化的规制逻辑加剧了数据垄断。对此,应进一步落实RCEP规则,以其框架为引领,以“数据二十条”为指导,全面构建跨境数据流动贸易规则体系,探索数据治理领域的合作机制,落实中国—东盟跨境数据流动贸易规制细则,推进双方数据跨境治理合作进程,发挥制度互补的合作优势,共享数据要素流动的制度红利,开拓中国—东盟数据流通圈,在数字博弈日益激烈的全球数据治理格局中提出中国—东盟数据治理方案。

数据跨境流动标准合同条款的路径分析

数据跨境流动使信息时代的法律关系和责任分配进入新维度,也催生了一系列数据跨境流动的法律工具。数据出境标准合同条款的应用平衡了数据安全监管和数据利用效率之间的矛盾,将数据跨境流动规范化和便利化。通过比较研究中国和欧盟关于数据标准合同条款规则的差异,论证完善中国数据标准合同条款的必要性。研究、分析欧盟的经验和教训,有助于进一步完善中国的数据标准合同条款,推动中国数据跨境流动的立法进程,也为中国有效参与国际数据流动统一规则的谈判奠定基础。

RCEP与数据跨境流动规定

RCEP包含数据跨境流动规定RCEP是目前世界上最大的自由贸易区。《区域全面经济伙伴关系协定》(Regional Comprehensive Economic Partnership,RCEP)是2012年由东盟发起,由包括中国、日本、韩国、澳大利亚、新西兰和东盟十国共15方成员制定的区域贸易协定。2022年1月1日,RCEP正式生效,首批生效的国家包括东盟6国和包括中国在内的非东盟4国。2023年6月2日,RCEP对菲律宾正式生效,标志着RCEP对东盟10国和5个非东盟国家全面生效。RCEP是目前世界上最大的自由贸易区。世界银行和WTO数据显示,15个RCEP成员国覆盖人口(截至2022年为22.99亿,占全球的28.92%)、GDP(2022年为29.40万亿美元,占全球的29.24%)、出口贸易额(2022年为7.44万亿美元,占全球的29.85%),基本都占全球总量的30%左右。

东盟跨境数据流动治理的机制构建

跨境数据流动是全球数字经济的重要基础,也是全球治理的新兴议题。在数字经济发展和东盟区域一体化的趋势下,东盟从统筹数字经济发展与数据保护入手,着眼于提升东盟国际竞争力和话语权,制定并完善跨境数据流动治理机制。这一机制的构建始于新加坡对数据保护规制的探索,基于东盟个人数据保护框架,在东盟数字一体化总体框架下制定数字管理框架,并以“东盟示范合同条款”和“东盟跨境数据流动认证”两大关键手段促进机制落实。该机制具有灵活性、包容性和指导性的特征,有利于促进东盟地区数字经济发展,降低谈判成本与合规成本,获得更多全球竞争优势。对于中国而言,在与东盟跨境数据流动治理机制合作对接方面具备可能性和可行性,需要充分认识和评估东盟机制对世界数字治理的影响、对地区数字经济秩序的挑战,推动中国与东盟之间的数字经济合作。

跨境数据流动治理困境与中国—东盟数字经济合作策略优化

文章综合运用法学、公共管理学、国际关系学等学科的理论知识,提出“数据产权—数据主权—数据治理”的分析框架,用于分析中国—东盟跨境数据流动规制的困境与战略选择。文章研究发现,数据治理主体和目标呈多元化趋势,引发了规制的双重困境:在法理上表现为数据产权和数据主权定位模糊所引发的数据确权争议,在治理上表现为促进数据产业发展、保护个人数据信息以及维护国家安全等多目标之间的权衡。此外,中国—东盟数字经济合作还面临着“数字鸿沟”和数字霸权主义的挑战。文章研究认为,中国—东盟应基于现有的理念共识、制度基础和战略互补优势,构建面向未来的数字治理战略合作框架,在共识、共赢、共存中寻求跨境数据流动规制的新平衡。

从东盟数据跨境流动治理机制展望与中国的数据跨境流动合作

数据跨境流动是全球数字经济发展的重要基础,也是全球治理的新高地。对于中国而言,在与东盟数据跨境流动治理机制合作对接方面具有充分的可能性与可行性。因此,本文开展对东盟及马来西亚数据跨境流动治理机制的研究,可以为中国与东盟加强数据跨境流动方面的合作奠定基础,从而推动中国与东盟的数字经济合作。

中国与东盟开展数据跨境规则合作的现状与挑战

东盟是中国数字丝绸之路的枢纽,亦是全球数字经济增长最快的地区。根据谷歌、Temasek和Bain&Company联合发布的《2020年东南亚数字经济报告》统计:仅2020年一年新增互联网用户数4000万,用户总量从2015年的2.5亿增长到4亿;该地区已有70%的人口变为网民;越南和印度尼西亚的数字经济保持两位数的高速增长;报告推测到2025年的东盟数字经济总额将超过3000亿美元。随着RCEP的签订,"中国+东盟"有望成为全球最大的数字经济市场。与此同时,作为数字经济发展的基础性制度——数据跨境流动制度的建设,正成为双方戮力合作的新高地。

隐私盾案后欧美数据的跨境流动监管及中国对策——软数据本地化机制的走向与标准合同条款路径的革新

《隐私盾协议》的失效与标准合同条款有条件的效力维持,反映了欧盟数据规则的布鲁塞尔效应与美国监控资本主义马太效应之间的对抗。欧盟在隐私盾案后形成了事实上的"软数据本地化"。然而,其"软数据本地化"机制从来不是也不应当是其追求的目标。标准合同条款作为欧盟最为重要的数据跨境传输机制,其基于"风险方法"的"基本+补充"的路径革新,具有深刻的国内与国际影响。中国最新的跨境数据流动条款秉承以数据安全为底线的跨境数据自由流动原则,遵循"硬数据本地化"的结构设计,参照了欧盟传输工具的基本框架。在具体规则的设计与落实中,中国应合理限制"硬数据本地化"的扩充,借鉴欧盟标准合同条款范本中的风险调控模块化方法,审慎设计标准合同条款,为本国参与全球数据竞争提供规则基础。

东盟数据治理:全球背景、规制框架与中国合作

当前全球数据治理面临数据安全、数据跨境流动和数据主权等难题,作为亚太区域具有重要影响力的国际组织,东盟在数据治理领域出台了众多指导性规制。一是分别从个人数据保护和跨境数据流动两个方面出台政策指南,加强域内数据治理;二是在区域贸易协定中纳入符合自身数据治理理念的规则,力争扩大东盟数据治理规制的域外影响力。东盟在强化数据治理时也面临着一些挑战,如东盟成员国数据治理水平发展不平衡等。东盟位于中国“数字丝绸之路”建设的枢纽地带,推进中国与东盟在数据治理领域展开合作是互惠互利的双赢举措,中国应探究对接东盟数据治理规制的合作路径。

个人数据跨境传输的欧盟标准——规则建构、司法推动与范式扩张

个人数据保护标准是欧盟基本权利保护的制度体现。欧盟数据跨境传输规则和欧洲法院司法监管均以实现欧盟个人数据保护标准为要旨。数据传输的一般原则是针对出境数据的永久最低保护标准,充分性决定和标准数据保护条款是欧盟贯彻个人数据保护标准的法律工具。前者整体适用于特定国家,后者个别适用于特定商事主体,欧洲法院司法审查旨在实现对数据流动的全球监管。中国数据立法须全面研判欧盟数据保护立法模式的潜在风险,谨慎对待充分性决定、标准数据保护条款等具有欧盟特色的复杂法律工具,摆脱法律移植欧陆成文法的历史惯性,避免盲目借鉴《一般数据保护条例》而落入欧洲法院司法审查的长臂管辖。数据流动立法应全盘统筹个人数据与非个人数据流动立法方案,探寻价值中立规则以提供法律趋同新思路,引领数据立法的全球竞争。

GDPR生效,中国企业如何应对?(下)

个人数据跨境转移——欧盟所首创GDPR对跨境个人数据流动政策进行了大幅优化改革,特别着力于开辟更多的合法数据跨境方式,提升跨境流动的灵活度。GDPR规定,数据要转移到境外有三种方法:1.隐私保护认定;2.签订欧盟承认的标准合同条款(SCC,Standard Contractual Clauses);3.制定有拘束力的公司规则(BCR,Binding CorporateRules),再经欧盟监督机构认证。