数据出境的安全评估问题研究

汤晓丹

摘要：全球化的商业运作与迅猛发展的信息技术，使数据出境成为不可逆转的必然需求。为规范数据出境行为，避免数据出境给国家安全、个人隐私造成隐患，我国出台了《网络安全法》《数据安全法》等系列法律法规，使数据出境安全评估制度初具雏形。然而，一味强调国家安全的评估制度并不能全面回应现实需求。为避免因过早介入、过度监管而抑制了数据流动激发的经济活力，有必要跳出传统的实证法思维模式，权衡不同数据背后的不同价值，区分处理不同数据的出境计划，从而有针对性地弱化安全评估、引导企业自律、加强国际协作，实现数据出境中个人隐私、商业利益、国家安全的价值平衡。

关键词：数据出境；安全评估问题

引言

网络与科技的迅猛发展，促使越来越多的电子商务平台和跨国企业将触角伸向全球各地，亚马逊等域外商业巨头在国内市场攻城掠地，天猫、微信、微博等国内知名企业也纷纷加快其国际化进程。无论是跨境电商、社交媒体，还是跨国企业等商业实体，都面临着越来越大的数据出境需求。这种现象的根本逻辑在于，数据已成为一种重要的生产要素。一方面，企业通过多种手段采集海量的用户数据、行为习惯、购物记录，并基于此来分析改进自身的商业模式；另一方面，大型跨国企业的国际化运作，使得集团内部的数据跨境转移成为难以避免的常态。在这个过程中，数据出境承载着三种价值：对用户而言的个人隐私、对企业而言的商业利益，和对国家而言的网络安全。

1.我国数据出境安全评估制度的主要问题

首先，考虑数据出境安全评估制度的目的。根据《评估办法》第一条与《评估指南》编制说明的相关表述，可知我国数据出境安全评估制度的目的在于：（１）维护国家安全、经济发展；（２）保障社会公共利益；（３）保护个人隐私安全。然而，如本章第一节所述，作为《网络安全法》的授权立法产物，《评估办法》、《评估指南》的立法目的也应当从国家安全角度出发，即便个人信息出境存在一定风险，也应当是通过其他保护措施加以规制，而不是强行将其纳入到与国家安全同等高度的保护体系中。

其次，考虑作为手段的数据出境安全评估制度的适当性，及安全评估是否有助于实现上述三项制度目的。就国家安全、公共利益而言，数据出境安全评估制度通过识别重要数据类型、判断发生安全事件的可能性，分析重要数据出境对国家安全、社会公共利益产生的影响，从而决定是否许可相关数据的出境，确实在一定程度上降低了重要数据的泄露风险，提升了国家安全的程度；但就个人隐私安全而言，数据出境安全评估制度的作用却如隔靴搔痒。一方面，数据出境评估的评估范围、评估标准都决定了个人数据出境安全评估的作用十分有限：《网络安全法》第三十七条将评估范围限定为运行安全，而《评估指南》第５章中的关于数据出境目的评估，也仅有“合法性”要求中的“数据出境得到个人信息主体同意”与之直接相关。背后的根本原因在于，我国尚未形成完备的个人信息保护制度，在这种情况下评估数据出境对个人信息造成的安全隐患，并没有根本的参照标准。另一方面，“自评估为常态，主管部门评估为例外”的评估主体安排，使得评估的客观性、有效性都难以得到保障。

2.我国数据出境安全评估制度的改进思路

2.1依数据类型区分管制

数据出境承载着个人隐私、商业利益、国家安全三方面的价值，将个人信息与重要数据笼统于同一评估体系，造成了手段与目的的不匹配。因此有必要将“数据出境安全评估”中的“数据”进行进一步的细分，将关乎个人隐私的个人信息与涉及国家安全的重要数据区分开来，并分别匹配以相应的出境管制措施。一方面，就个人信息的保护而言，如前所述，应当强化个人对其信息的控制权，构建个人信息权益受到侵害时的救济途径，避免个人信息成为企业与政客肆意窥探、任意使用的工具。另一方面，就涉及国家安全的重要数据而言，则可继续沿用当前的数据出境安全评估制度，评估数据出境后发生安全事件的可能性，以及出境行为可能对国家安全、社会公共利益造成的影响。此外，还应注意的是，应当对“国家安全”的内容进行必要限定，跨国企业内部数据、跨境电商的销售记录、用户评价等纯粹的商业数据应当从当前的评估体系中剔除出来，以减少对商业数据跨境流转的阻碍，激发其中蕴含的商业价值。若坚持从国家安全的高度对个人信息出境进行评估，不仅会耗费主管部门的评估成本，还将严重贬损个人信息的商业价值，而这种消耗大量人力、物力、财力的管制手段，并不会对个人信息保护起到实质作用。

2.2数据出境安全评估试点的逐步推进

在数据出境安全评估制度初步建立的情况下，我国目前在特定地区和企业开展数据出境安全评估的试点，这也符合我国的一贯做法。如《商务部关于印发全面深化服务贸易创新发展试点总体方案的通知》提出了 4 个试点地区，要求在北京、上海、海南、雄安新区等地区探索跨境数据流动分类监管模式，开展数据跨境传输安全管理试点。工信部的《关于组织开展工业领域数据安全管理试点工作的通知》也要求省级工业和信息化主管部门配合网信部门探索建立工业领域数据出境安全评估工作模式和方法，研究制定安全评估要点，指导试点企业开展数据出境安全评估和备案工作。

2.3以国际协作替代评估

无论是欧盟“基于充分决定的数据传输”，还是我国的“数据出境安全评估”，共同的弊端在于需要直接评价数据接收方所在国家或地区的政治法律环境，其评估结果非常容易引起相关国家的争端。从APEC建立的CBPR体系，到美国与欧盟之间的“安全港”、＂隐私盾”协议，再到一度沸沸扬扬的TPP协议，都启示着我们，就数据出境的管制手段而言，在安全评估的措施以外，还有“多边协商、国际合作”这一条可选路径。

为加快与域外国家与国际组织的接轨，我国可以加入APEC的CBPR体系作为突破口。CBPR体系对APEC成员的加入设置了“隐私执法机构”与问责代理机构”两项基本要求，因此，首先应当在国内建立或者指定“隐私执法机构”，在赋予其《隐私保护框架》下九大保护原则相关内容的执法权限后，通过政府向APEC提出加入CBPR体系的申请，从而确立其“境内隐私法律执法、开展调查或提起诉讼的政府公共机构”之身份；其次，问责代理机构是CBPR体系与PRC体系的关键所在，应当尽快设立问责代理机构，并争取获得APEC各成员方的同意，以成为APEC认可的问责代理机构。该机构通过前述两体系与公司、个人以及政府合作，对申请加入CBPR体系的企业进行个人信息保护状况的评查，并为个人投诉己经加入CBPR体系的企业提供帮助，以确保跨境数据的传输符合APEC隐私框架的要求。最后，上述两项机构设置完毕并获APEC批准后，我国管辖范围内的企业便可申请问责代理机构对其进行个人信息保护状况的评估，评估通过的企业便可实现APEC体系内各成员国之间的个人信息自由流动，而不再受成员方国内法的限制。

结语

数据跨境流动是跨境电商、跨国企业等商业实体全球化运作的必要基础，也是促使全球经济形势不断焕新的“新能源＂，它的出现向既有的网络安全规制体系发出挑战。当前，我国高度重视数据出境的监管问题，并出台了系列法律法规对其加以规制。为有序推进监管举措，避免因过早介入、过度监管而抑制了数据流动激发的经济活力，有必要跳出传统的实证法思维模式，权衡不同数据背后的不同价值，区分处理不同种类数据的出境计划。就个人信息而言，为保护个人隐私不受侵犯，应当结合我国的个人数据保护法，严格遵守《个人信息保护法》。

参考文献

[1]王玥：《试论网络数据本地化立法的正当性》，《西安交通大学学报》。

[2]徐敬宏：《美国网络隐私权的行业自律保护及其对我国的启示》，《情报 理论与实践》2008年第6期。