文 大數(shù)據(jù)協(xié)同安全技術(shù)國家工程研究中心 鐘力 唐會芳 王雨薇

在經(jīng)濟全球化與數(shù)字化的大背景下，數(shù)據(jù)流通共享成為數(shù)據(jù)要素價值充分釋放的關(guān)鍵，必然包含國際間的數(shù)據(jù)合作。根據(jù)聯(lián)合國貿(mào)易和發(fā)展會議發(fā)布的《2021 年數(shù)字經(jīng)濟報告》（Digital Economy Report 2021），跨境數(shù)據(jù)流動是所有數(shù)字技術(shù)的核心，全球數(shù)據(jù)流動量增長十分迅速，數(shù)據(jù)和跨境數(shù)據(jù)流動對數(shù)字經(jīng)濟發(fā)展的重要性與日俱增。然而，數(shù)據(jù)出境在實現(xiàn)全球數(shù)字經(jīng)濟持續(xù)性增長的同時，也可能會給一個國家、企業(yè)和個人帶來很大的安全風險。因此，各國非常關(guān)注數(shù)據(jù)安全，紛紛發(fā)布數(shù)據(jù)出境安全的法規(guī)條例。

一、典型國家地區(qū)數(shù)據(jù)出境管理做法

在各主要國家和地區(qū)的法規(guī)條例中，數(shù)據(jù)出境多被聚焦于數(shù)據(jù)的跨境流動這個維度，即數(shù)據(jù)從一個國家轉(zhuǎn)移到了另一個國家。因此，各國對數(shù)據(jù)出境安全高度關(guān)切，強調(diào)數(shù)據(jù)在本國境內(nèi)存儲與處理、對數(shù)據(jù)出境進行安全評估。即便美國和歐盟突出數(shù)據(jù)自由流動，實質(zhì)上則是采取雙重標準，即數(shù)據(jù)自由流入、嚴控流出。

1. 中國要求數(shù)據(jù)境內(nèi)存儲和出境安全審查

中國《網(wǎng)絡(luò)安全法》首次在法律層面從國家安全角度對數(shù)據(jù)出境安全提出具體要求，強調(diào)在境內(nèi)收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應(yīng)當在境內(nèi)存儲，因業(yè)務(wù)需要確需向境外提供的，應(yīng)當進行安全評估。中國的《數(shù)據(jù)安全法》進一步完善了對數(shù)據(jù)出境的規(guī)定，《個人信息保護法》則具體明確了個人信息出境的管理規(guī)則。這三部上位法對數(shù)據(jù)出境安全管理的基本原則是數(shù)據(jù)境內(nèi)存儲和數(shù)據(jù)出境安全評估。在此基礎(chǔ)上，中國陸續(xù)發(fā)布了數(shù)據(jù)出境安全相關(guān)的規(guī)范條例并公開征求意見，在落地實施環(huán)節(jié)對數(shù)據(jù)跨境流動所涉及的數(shù)據(jù)處理者、數(shù)據(jù)對象、評估方法等方面給予明確指導(dǎo)。

2. 歐盟鼓勵相同規(guī)則體系下的國際數(shù)據(jù)自由流動

從 2018 年出臺的歐盟《非個人數(shù)據(jù)自由流動條例》（Regulation on the Free Flow of Non-personalData）與《通用數(shù)據(jù)保護條例》（General DataProtection Regulation，GDPR）可以看出歐盟數(shù)據(jù)出境安全管理思路。歐盟致力于推動其成員國內(nèi)部數(shù)據(jù)的自由流動，而對外要求其他國家只有在具有與歐盟同等保護水平的條件下，才允許將數(shù)據(jù)傳輸出境?！俺浞中哉J定”是歐盟核心的個人數(shù)據(jù)出境管控制度，由歐盟委員會負責對歐盟以外國家或地區(qū)的數(shù)據(jù)保護立法實施、執(zhí)法能力、監(jiān)管機構(gòu)設(shè)置和國際條約等因素進行綜合評估，最終確定數(shù)據(jù)自由流動的“白名單”國家。可以看到，歐盟這一機制促使其他國家按照 GDPR 的要求進行數(shù)據(jù)保護，以便本國企業(yè)能夠與歐盟企業(yè)正常進行數(shù)據(jù)流動，進而有助于歐盟引領(lǐng)全球的數(shù)據(jù)合作。

3. 俄羅斯強調(diào)數(shù)據(jù)本地存儲、處理與嚴控出境

俄羅斯在《關(guān)于信息、信息技術(shù)和信息保護法》（Federal Law on Information, InformationTechnologies and Protection of Information）和《俄羅斯聯(lián)邦個人信息法》（Russian Federal Law onPersonal Data）中，加強了對信息跨境傳輸?shù)谋O(jiān)管，確立了數(shù)據(jù)本地化存儲的基本規(guī)則。俄羅斯對個人數(shù)據(jù)出境控制相當嚴苛，一是俄羅斯聯(lián)邦公民個人信息和數(shù)據(jù)庫需要存放在俄羅斯境內(nèi)；二是對俄羅斯公民個人數(shù)據(jù)的處理活動必須使用位于俄羅斯境內(nèi)的數(shù)據(jù)庫；三是處理數(shù)據(jù)前履行信息告知的義務(wù)。俄羅斯同樣存在與歐盟相似的“白名單”制度，要求數(shù)據(jù)接收國必須符合同等保護要求才可進行跨境數(shù)據(jù)傳輸，否則，只有在個人數(shù)據(jù)主體已書面同意其個人數(shù)據(jù)出境、個人數(shù)據(jù)主體作為合同當事人履行合同等前提條件下，才可傳輸數(shù)據(jù)出境。

4. 美國以最大化自身利益為出發(fā)點實施數(shù)據(jù)出境控制

美國基于其在數(shù)字貿(mào)易與數(shù)字技術(shù)領(lǐng)域的優(yōu)勢，極力主張全球數(shù)據(jù)自由流動，同時為遏制戰(zhàn)略競爭對手發(fā)展，也嚴格限制了重要關(guān)鍵技術(shù)與特定領(lǐng)域數(shù)據(jù)出境。2010 年，美國推出“受控非機密信息”列表，并通過《出口管制條例》（ExportAdministration Regulations，EAR），對非個人數(shù)據(jù)采取嚴格出境管理措施。2016 年，美國推動的《跨太平洋伙伴關(guān)系協(xié)定》（Trans-Pacific PartnershipAgreement，TPP）主張，應(yīng)當允許為數(shù)據(jù)主體利益而進行的數(shù)據(jù)跨境傳輸，以破除許多國家所設(shè)置的數(shù)據(jù)本地化存儲等市場準入壁壘。2018 年，美國出臺了《澄清境外數(shù)據(jù)合法使用法案》（ClarifyingLawful Overseas Use of Data Act，CLOUD Act），通過“數(shù)據(jù)控制者”原則的適用，擴大了美國政府直接調(diào)取境外數(shù)據(jù)的權(quán)利，同時又給其他國家調(diào)取美國境內(nèi)個人數(shù)據(jù)設(shè)置“符合資格的外國政府”（qualifying foreign governments）審查門檻。美國積極推行由亞太經(jīng)合組織（APEC）主導(dǎo)的跨境商業(yè)個人隱私保護規(guī)則體系（CBPR），致力于促進APEC 各經(jīng)濟體之間無障礙的跨境數(shù)據(jù)傳輸與流通，并與歐盟達到互認。

二、當前數(shù)據(jù)出境及出境安全面臨的困難

隨著全球數(shù)字經(jīng)濟的發(fā)展，建立數(shù)字經(jīng)濟“朋友圈”的聲音將會越來越大，國際間數(shù)據(jù)開放合作需求強烈。如何在安全合規(guī)的前提下促進數(shù)據(jù)出境，需要理清當前數(shù)據(jù)出境及出境安全面臨的困難，才能有針對性地提出解決方案。

1. 數(shù)據(jù)出境被狹義理解為數(shù)據(jù)跨境流動

當前各界對數(shù)據(jù)出境的界定仍存在差異、尚未統(tǒng)一。數(shù)據(jù)出境通常會被狹義地認為是物理上的跨境流動，也就是數(shù)據(jù)跨越國境，提供給境外的主體，數(shù)據(jù)被流轉(zhuǎn)到境外。隨著數(shù)字經(jīng)濟和數(shù)據(jù)安全技術(shù)的不斷發(fā)展，僅以是否跨越邊境這一地理維度作為數(shù)據(jù)出境的判斷標準顯然已經(jīng)無法適應(yīng)當前各式各樣的數(shù)據(jù)出境形式。實際上，數(shù)據(jù)出境至少可以有兩種形式：一是通過網(wǎng)絡(luò)傳輸、存儲介質(zhì)、開展業(yè)務(wù)、提供服務(wù)與產(chǎn)品銷售等方式實現(xiàn)數(shù)據(jù)跨境流動，二是數(shù)據(jù)雖然存儲在境內(nèi)，但境外主體能夠訪問、使用和操縱境內(nèi)數(shù)據(jù)。

2. 確需跨境數(shù)據(jù)流動的情形有待澄清

數(shù)據(jù)跨境流動將日益頻繁，無論是因投資貿(mào)易、業(yè)務(wù)合作、跨境服務(wù)而產(chǎn)生的數(shù)據(jù)流動，還是跨國公司內(nèi)部經(jīng)營管理所需要的數(shù)據(jù)轉(zhuǎn)移，都是維系正常經(jīng)濟活動的基礎(chǔ)，屬于確需跨境流動的情況。此外，企業(yè)在面臨境外司法案件時，也會需要數(shù)據(jù)跨境流動。但是，在現(xiàn)有的安全相關(guān)法律法規(guī)層面，并沒有明確指出哪些需求屬于確需向境外提供數(shù)據(jù)的情形，大多僅以“因業(yè)務(wù)需要”草草概括，這可能造成許多企業(yè)或組織無法準確識別內(nèi)部數(shù)據(jù)出境場景，從而導(dǎo)致不必要的數(shù)據(jù)跨境流動，徒增安全風險。而且，還需明確的是數(shù)據(jù)出境目的、范圍、方式和用途，這樣才能消除模糊區(qū)間，有效防范數(shù)據(jù)泄露和濫用風險。

3. 對重要數(shù)據(jù)的定義及范圍識別難

對我國來說，并非所有的數(shù)據(jù)出境都需要安全管理，三部上位法明確了重要數(shù)據(jù)和個人信息出境應(yīng)當進行安全評估。美國則強調(diào)對重要關(guān)鍵技術(shù)與特定領(lǐng)域數(shù)據(jù)出境的嚴格限制。因此，對重要數(shù)據(jù)的定義及識別就成為一個迫切需要回答的基礎(chǔ)性問題。從目前的全球情況看，對重要數(shù)據(jù)的定義尚未統(tǒng)一，不同法域?qū)χ匾獢?shù)據(jù)的定義存在差異。中國國家標準《重要數(shù)據(jù)識別指南》尚處于征求意見稿階段，離正式發(fā)布實施還有較長的路要走，而且，雖然這個指南給出了識別的基本原則和方法，但是仍需制定具體執(zhí)行的實施細則，重要數(shù)據(jù)具體目錄在每個行業(yè)或地方都存在區(qū)別。

三、對策建議

針對上述問題和困難，需要在保障數(shù)據(jù)安全和促進全球數(shù)據(jù)開放利用協(xié)調(diào)發(fā)展的原則指導(dǎo)下，充分利用數(shù)據(jù)安全技術(shù)進步帶來的支撐，加強安全監(jiān)管審計，促進全球數(shù)據(jù)合作。

1. 加強安全評估，嚴控數(shù)據(jù)復(fù)制轉(zhuǎn)移出境

采用傳統(tǒng)的數(shù)據(jù)跨境流動方式，數(shù)據(jù)復(fù)制直接通過物理介質(zhì)或互聯(lián)網(wǎng)傳輸出境后，由于數(shù)據(jù)的復(fù)制和傳播成本較低，數(shù)據(jù)將變得不再受控。同時，全球日益成熟的數(shù)據(jù)黑色產(chǎn)業(yè)鏈，加大了離境數(shù)據(jù)被惡意利用和買賣的風險，會給國家安全、企業(yè)利益和個人隱私帶來不可估量的潛在威脅。因此，對數(shù)據(jù)復(fù)制離境這類型的出境形式，國家有關(guān)部門和行業(yè)主管部門應(yīng)從嚴要求，將法律法規(guī)和監(jiān)管要求逐項分解落實到數(shù)據(jù)出境全過程的各個環(huán)節(jié)，嚴格落實數(shù)據(jù)出境安全評估，確保數(shù)據(jù)跨境流動安全。

2. 用隱私計算技術(shù)實現(xiàn)數(shù)據(jù)出境合規(guī)利用

目前，安全多方計算、可信執(zhí)行環(huán)境、聯(lián)邦學習等隱私計算技術(shù)和產(chǎn)品發(fā)展迅猛，這些作為一類希望達成數(shù)據(jù)“可用不可見”為最終效果的前沿技術(shù)，為數(shù)據(jù)出境的安全合規(guī)利用提供了一種切實可行的新方式。在隱私計算的框架下，各計算參與方的數(shù)據(jù)不出本地，能夠在不泄露各自數(shù)據(jù)的前提下通過協(xié)同計算實現(xiàn)多源數(shù)據(jù)的跨域合作。因此，針對有出境需求的數(shù)據(jù)，通過采用隱私計算方案，在數(shù)據(jù)本身不出境的情況下，跨境進行模型訓練、安全統(tǒng)計等多中心聯(lián)合分析，可替代傳統(tǒng)的數(shù)據(jù)復(fù)制跨境流動方式，以數(shù)據(jù)可利用實現(xiàn)安全合規(guī)的數(shù)據(jù)出境。

隱私計算的另一個優(yōu)勢在于將數(shù)據(jù)的“控制權(quán)”和“使用權(quán)”相分離，允許參與主體以約定的使用行為對數(shù)據(jù)進行處理，同時，還可將該使用行為進行市場化交易，有效規(guī)避了權(quán)屬問題。目前，我國多地大數(shù)據(jù)交易中心陸續(xù)成立，也有力地支持了這一點。因此，建議依托國際大數(shù)據(jù)交易中心，以向境外交易數(shù)據(jù)“使用權(quán)”的方式試點數(shù)據(jù)出境，既能規(guī)避數(shù)據(jù)安全風險，同時又能激勵全球的數(shù)據(jù)價值挖掘。

3. 加強安全監(jiān)管，確保數(shù)據(jù)出境依法合規(guī)安全

無論是數(shù)據(jù)復(fù)制形式的出境以及境外僅可訪問使用境內(nèi)數(shù)據(jù)，還是隱私計算支持的數(shù)據(jù)跨境合作，都需要進行安全監(jiān)管審計，確保數(shù)據(jù)出境行為的依法合規(guī)安全，建議構(gòu)建國家級的數(shù)據(jù)出境安全監(jiān)管體系，具體包括以下三個方面。

一是建設(shè)數(shù)據(jù)出境安全監(jiān)管審計平臺，在國家層面和各行業(yè)領(lǐng)域形成對各類數(shù)據(jù)處理活動特別是數(shù)據(jù)出境行為的監(jiān)管審計能力，能夠重點針對具有跨境業(yè)務(wù)往來的企業(yè)以及國際數(shù)據(jù)交易中心，主動對其各類關(guān)系國家安全和公共安全的數(shù)據(jù)平臺進行安全監(jiān)管，及時發(fā)現(xiàn)數(shù)據(jù)出境行為的安全風險。

二是建立專門的數(shù)據(jù)出境安全監(jiān)管隊伍，負責開展出境數(shù)據(jù)流通的評估、審查和監(jiān)管等工作，幫助數(shù)據(jù)處理者明確各個環(huán)節(jié)的具體責任人并建立問責機制。同時，要求企業(yè)設(shè)立數(shù)據(jù)安全官崗位，負責與監(jiān)管部門的對接和溝通，并做好覆蓋數(shù)據(jù)出境全流程安全管理制度的整體統(tǒng)籌。

三是建立數(shù)據(jù)出境認定的“白名單”機制。借鑒歐盟的“充分性認定”“充分保障措施”等模式，考慮根據(jù)數(shù)據(jù)保護情況及對等措施，積極推進在“一帶一路”合作框架下的雙邊或多邊數(shù)據(jù)流通協(xié)議及機制，通過根據(jù)數(shù)據(jù)安全能力成熟度模型對數(shù)據(jù)接收方進行數(shù)據(jù)安全測評，將相關(guān)國家和地區(qū)的企業(yè)或組織納入可自由流動的數(shù)據(jù)接收“白名單”，構(gòu)建數(shù)據(jù)出境的安全信任體系。

（本文刊登于《中國信息安全》雜志2022年第3期）