來小鵬 馬詩雅
[摘 要] 數(shù)據(jù)經(jīng)濟發(fā)展全球化背景下，跨境數(shù)據(jù)傳輸愈發(fā)頻繁，商業(yè)數(shù)據(jù)跨境流動在促進經(jīng)濟增長的同時，也引發(fā)了各國對個人隱私、國家安全的擔憂。商業(yè)數(shù)據(jù)豐富的內(nèi)涵特征加之外部環(huán)境的不確定性決定了商業(yè)數(shù)據(jù)跨境流動合規(guī)治理的必要性。應(yīng)對現(xiàn)階段在商業(yè)數(shù)據(jù)跨境流動治理方面存在的立法分散和企業(yè)合規(guī)難問題，我國應(yīng)當完善商業(yè)數(shù)據(jù)合規(guī)法律體系，為企業(yè)商業(yè)數(shù)據(jù)跨境流動合規(guī)提供明確指引；設(shè)立專門、獨立的數(shù)據(jù)跨境監(jiān)督機構(gòu)；構(gòu)建商業(yè)數(shù)據(jù)跨境流動綜合治理體系，為商業(yè)數(shù)據(jù)的跨境流動的監(jiān)管提供切實保障；積極與世界主要國家和地區(qū)達成雙邊或多邊合作，推動形成全球數(shù)據(jù)治理統(tǒng)一標準，減輕企業(yè)雙向合規(guī)的壓力。
[關(guān)鍵詞] 商業(yè)數(shù)據(jù)；數(shù)據(jù)跨境流動；企業(yè)合規(guī)；數(shù)據(jù)治理；制度完善
[中圖分類號] D63 [文獻標識碼] A [文章編號] 1674-7453（2024）04-0043-11
引言
近年來，數(shù)據(jù)作為新型生產(chǎn)要素展現(xiàn)出巨大的資源潛能和經(jīng)濟價值，數(shù)據(jù)跨境流動合規(guī)治理問題引發(fā)了越來越多的關(guān)注。2024年3月22日，國家互聯(lián)網(wǎng)信息辦公室公布《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》（以下簡稱《規(guī)定》），針對新形勢下保障數(shù)據(jù)安全、維護個人信息權(quán)益，促進數(shù)據(jù)依法有序自由流動的現(xiàn)實需求，對數(shù)據(jù)跨境活動作出了明確指引，優(yōu)化完善了現(xiàn)有數(shù)據(jù)跨境標準和程序。《規(guī)定》的出臺順應(yīng)了我國數(shù)字經(jīng)濟高質(zhì)量發(fā)展的趨勢，適應(yīng)了我國保障數(shù)據(jù)主權(quán)、維護國家安全的需要，體現(xiàn)了我國對數(shù)據(jù)跨境活動合法有序開展的重視。
商業(yè)數(shù)據(jù)是日益數(shù)字化的全球經(jīng)濟的核心，商業(yè)數(shù)據(jù)跨境流動被描述為“21世紀全球化的標志”和“維系全球經(jīng)濟的結(jié)締組織”。[1]商業(yè)數(shù)據(jù)跨境流動是全球主要經(jīng)濟體之間商業(yè)貿(mào)易和通信不可或缺的重要環(huán)節(jié)。在我國不斷加大對外開放的背景下，商業(yè)數(shù)據(jù)跨境流動成為繼續(xù)推動數(shù)字經(jīng)濟發(fā)展的必然選擇。
然而，商業(yè)數(shù)據(jù)跨境流動在為各國帶來豐厚的經(jīng)濟收益的同時，也引發(fā)了一系列問題，對各國的國家安全、公民隱私帶來負面影響。對此，各國相繼從戰(zhàn)略層面采取應(yīng)對措施，通過出臺數(shù)據(jù)跨境流動的相關(guān)法律，積極促成雙邊或多邊協(xié)議等舉措，對商業(yè)數(shù)據(jù)跨境傳輸活動進行治理。2018年，歐盟通過《一般數(shù)據(jù)保護條例》（以下簡稱GDPR），明確了數(shù)據(jù)控制者和處理者在開展數(shù)據(jù)跨境活動時的責(zé)任和義務(wù)，為數(shù)據(jù)流動的安全監(jiān)管確立了標準。美國通過制定或參與雙邊、多邊協(xié)定的方式，如《跨大西洋數(shù)據(jù)隱私框架》《APEC跨境隱私規(guī)則》等，積極促成與第三國數(shù)據(jù)的跨境自由流動。我國通過《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）《中華人民共和國數(shù)據(jù)安全法》（以下簡稱《數(shù)據(jù)安全法》）《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）等基礎(chǔ)性法律以及各項行政法規(guī)，為企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)提供了指引。隨著商業(yè)數(shù)據(jù)跨境流動的政策環(huán)境趨于復(fù)雜，各國政府紛紛主張數(shù)據(jù)主權(quán)、網(wǎng)絡(luò)主權(quán)，如何平衡數(shù)據(jù)安全與數(shù)據(jù)跨境自由流動，成為該領(lǐng)域面臨的關(guān)鍵問題。我國作為數(shù)據(jù)大國，構(gòu)建系統(tǒng)完善的商業(yè)數(shù)據(jù)跨境流動合規(guī)治理體系，在保障數(shù)據(jù)安全、保護個人信息權(quán)益的基礎(chǔ)上促進商業(yè)數(shù)據(jù)有序自由流動，為企業(yè)做好商業(yè)數(shù)據(jù)跨境合規(guī)工作提供指引和保障，是當前需要關(guān)注的重點問題。
一、商業(yè)數(shù)據(jù)跨境流動合規(guī)的必要性分析
商業(yè)數(shù)據(jù)的重要性日益凸顯，各國間的數(shù)字貿(mào)易往來日趨頻繁，商業(yè)數(shù)據(jù)跨境流動在促進經(jīng)濟增長的同時也存在一定的安全隱患。結(jié)合商業(yè)數(shù)據(jù)的內(nèi)涵特征以及對外部環(huán)境的考量，強調(diào)商業(yè)數(shù)據(jù)跨境流動合規(guī)確有其必要性。
（一）商業(yè)數(shù)據(jù)的內(nèi)涵與價值
商業(yè)數(shù)據(jù)是企業(yè)等商業(yè)主體在其生產(chǎn)經(jīng)營活動中積累的以電子或者非電子形式存在的信息、資料，[2]主要包括三個方面的要素內(nèi)容：運營成本、戰(zhàn)略規(guī)劃以及用戶聯(lián)系信息。一般來說，企業(yè)用于市場營銷、運營、人力資源或者是銷售計劃的任何數(shù)據(jù)信息都可以被視為商業(yè)數(shù)據(jù)。需要注意的是，此類信息中很可能會包含用戶隱私信息或?qū)Ｓ行畔�，企業(yè)應(yīng)當采取有效的數(shù)據(jù)保護措施，做好數(shù)據(jù)合規(guī)工作，以防用戶信息泄露。
當前，數(shù)字技術(shù)得到了普遍的應(yīng)用，從數(shù)據(jù)源來看，商業(yè)數(shù)據(jù)類型豐富，既包括企業(yè)在經(jīng)營過程中收集而來的與個人緊密相關(guān)的個人數(shù)據(jù)，也包括不涉及自然人權(quán)益的非個人數(shù)據(jù)。數(shù)據(jù)的“可識別性”是區(qū)分個人數(shù)據(jù)以及非個人數(shù)據(jù)的標準。[3]根據(jù)《個人信息保護法》的定義，個人數(shù)據(jù)是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種數(shù)據(jù)信息，不包括匿名化處理后的信息。非個人數(shù)據(jù)則是指無法識別出特定自然人的數(shù)據(jù)信息。從企業(yè)的角度來看，非個人數(shù)據(jù)可以被分為兩大類別，一類是企業(yè)生產(chǎn)經(jīng)營中產(chǎn)生的數(shù)據(jù)，比如企業(yè)財會數(shù)據(jù)、企業(yè)經(jīng)營記錄、日常管理記錄等；另一類是企業(yè)對原始數(shù)據(jù)信息，通過深度分析過濾、提煉整合以及匿名化脫敏處理后獲得衍生數(shù)據(jù)，如搜索引擎記錄、用戶偏好數(shù)據(jù)、潛在用戶群等。[4]
隨著商業(yè)數(shù)據(jù)市場價值的日益凸顯，商業(yè)數(shù)據(jù)成為企業(yè)的核心戰(zhàn)略資源，企業(yè)通過云計算、區(qū)塊鏈等前沿技術(shù)對數(shù)據(jù)進行深度開發(fā)和系統(tǒng)整合，形成具有經(jīng)濟價值的數(shù)據(jù)產(chǎn)品，通過市場交易由此獲得可觀的經(jīng)濟利益和商業(yè)價值。①我國于2022年11月發(fā)布的《中華人民共和國反不正當競爭法（修訂草案征求意見稿）》中對商業(yè)數(shù)據(jù)作出定義，“本法所稱商業(yè)數(shù)據(jù)，是指經(jīng)營者依法收集、具有商業(yè)價值并采取相應(yīng)技術(shù)管理措施的數(shù)據(jù)”。其中，“依法收集”要求經(jīng)營者在收集數(shù)據(jù)，尤其是涉及個人隱私相關(guān)的數(shù)據(jù)信息時，必須依法、依規(guī)；而“具有商業(yè)價值”主要體現(xiàn)在經(jīng)營者收集整合的數(shù)據(jù)可以為其帶來商業(yè)利益，帶來市場競爭優(yōu)勢，可見，商業(yè)數(shù)據(jù)之所以受到保護主要在于其市場意義與經(jīng)濟價值。
綜上，商業(yè)數(shù)據(jù)逐漸成為社會經(jīng)濟發(fā)展中的關(guān)鍵要素。商業(yè)數(shù)據(jù)的內(nèi)涵較為豐富，不僅包括商業(yè)信息還涉及與個人緊密相關(guān)的個人數(shù)據(jù)。因此，我國企業(yè)在進行商業(yè)數(shù)據(jù)跨境活動過程中要尤其注意依法依規(guī)，做好合規(guī)工作，防止關(guān)鍵核心數(shù)據(jù)泄露，避免侵犯用戶個人隱私，保障數(shù)據(jù)安全。
（二）商業(yè)數(shù)據(jù)跨境流動的不確定性
數(shù)據(jù)跨境流動（Transborder Data Flows）這一概念最早在經(jīng)濟合作與發(fā)展組織（OECD）公布的《跨境數(shù)據(jù)流動宣言》中被作出解釋，即“計算機化的數(shù)據(jù)或者信息在國際層面的流動”。[5]商業(yè)數(shù)據(jù)跨境流動意味著商業(yè)數(shù)據(jù)需要跨越地理邊界，且處于可以被獲取的狀態(tài)。商業(yè)數(shù)據(jù)跨境傳輸具有體量大、速度快的特征，具備不確定性和不可控性。在商業(yè)數(shù)據(jù)跨境流動的過程中往往涉及不同國家或地區(qū)的數(shù)據(jù)處理者，而不同國家或地區(qū)的數(shù)據(jù)保護程度要求高低不一，數(shù)據(jù)處理者的數(shù)據(jù)保護能力參差不齊，一定程度上加劇了數(shù)據(jù)的不當使用和數(shù)據(jù)泄露的風(fēng)險。[6]
結(jié)合前述分析可知，商業(yè)數(shù)據(jù)涉及商業(yè)信息、經(jīng)營信息乃至用戶個人信息，單個數(shù)據(jù)可能價值有限，但一旦形成數(shù)據(jù)集合，便會產(chǎn)生巨大的經(jīng)濟價值和社會價值，他人通過對商業(yè)數(shù)據(jù)集進行處理、分析便可以挖掘數(shù)據(jù)集合背后的經(jīng)營信息，用戶信息等。企業(yè)如果未能恰當履行商業(yè)數(shù)據(jù)跨境合規(guī)義務(wù)，數(shù)據(jù)分析結(jié)果將可能被不當利用，企業(yè)甚至社會公眾的數(shù)據(jù)安全將由此受到威脅。商業(yè)數(shù)據(jù)的跨境流動在為企業(yè)帶來巨大商業(yè)利益的同時也存在著極大的不確定性，存在泄露侵犯個人隱私、危害國家安全的風(fēng)險。
（三）商業(yè)數(shù)據(jù)跨境流動合規(guī)的社會責(zé)任要求
合規(guī)義務(wù)在設(shè)立之初是為了企業(yè)通過約束內(nèi)部員工行為促使其依法依規(guī)行事，實現(xiàn)自我監(jiān)督，從而減緩公眾對企業(yè)不信任的情況。[7]從企業(yè)的角度探究合規(guī)，其本質(zhì)在于企業(yè)通過建立合理的合規(guī)計劃，并保證計劃得到有效執(zhí)行，以實現(xiàn)自我管理，避免承擔包括刑事訴訟、行政處罰在內(nèi)的運營風(fēng)險。與傳統(tǒng)公司合規(guī)治理體系相同，企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)也是一套旨在預(yù)防、識別和應(yīng)對合規(guī)風(fēng)險的自我監(jiān)管機制，企業(yè)應(yīng)當依據(jù)數(shù)據(jù)領(lǐng)域的特定風(fēng)險，對商業(yè)數(shù)據(jù)的跨境處理行為進行有效規(guī)制，圍繞商業(yè)數(shù)據(jù)的合規(guī)管理構(gòu)建數(shù)據(jù)保護、預(yù)防、監(jiān)控等流程體系。[8]
企業(yè)社會責(zé)任理論是企業(yè)約束自身行為，履行合規(guī)義務(wù)的重要依據(jù)。企業(yè)社會責(zé)任理論是指企業(yè)政策、運營和行為要充分考慮投資者、消費者、員工等利益相關(guān)各方的利益，強調(diào)企業(yè)不但要對股東負責(zé)，而且要對其他利益相關(guān)方負責(zé)。[9]數(shù)字化背景下，生產(chǎn)組織活動呈現(xiàn)開放融合的特征，公共利益、社會訴求等因素被內(nèi)化于企業(yè)的經(jīng)營活動之中，成為企業(yè)的必要考量因素。同時，數(shù)字技術(shù)的發(fā)展為企業(yè)履行社會責(zé)任提供了便利，數(shù)字技術(shù)具備較高的包容性和普惠性，即便企業(yè)處于創(chuàng)業(yè)初期，也可以借助數(shù)字技術(shù)，通過商業(yè)模式創(chuàng)新向社會釋放正外部性。[10]企業(yè)是社會的重要組成部分，兼具經(jīng)濟屬性及社會屬性，其數(shù)據(jù)處理行為將會對社會產(chǎn)生深刻影響。作為商業(yè)數(shù)據(jù)收集、處理、跨境運營的主體，企業(yè)在利用商業(yè)數(shù)據(jù)創(chuàng)造經(jīng)濟價值的同時，理應(yīng)積極承擔社會責(zé)任，保障公共利益、滿足社會訴求。因此，企業(yè)應(yīng)當規(guī)范商業(yè)數(shù)據(jù)的收集和處理行為，遵守數(shù)據(jù)輸出國和輸入國的相關(guān)立法規(guī)定，保障商業(yè)數(shù)據(jù)安全合法合規(guī)地跨境流動。
二、商業(yè)數(shù)據(jù)跨境流動的主要規(guī)制模式
據(jù)聯(lián)合國貿(mào)易和發(fā)展會議的相關(guān)統(tǒng)計，在194個成員國中已經(jīng)有137個國家或地區(qū)制定了數(shù)據(jù)與隱私保護相關(guān)立法，其中大多數(shù)包含跨境數(shù)據(jù)流動法律、法規(guī)或者相關(guān)政策規(guī)定。[11]部分國家和地區(qū)已經(jīng)具備較為成熟完善的立法體系，并對數(shù)據(jù)跨境流動的國際基本格局產(chǎn)生了影響。
（一）以數(shù)據(jù)保護為核心的歐盟規(guī)制模式
歐盟地區(qū)很早就注重對數(shù)據(jù)的保護，在數(shù)據(jù)跨境流動治理方面比較有代表性。歐盟早期較多關(guān)注個人數(shù)據(jù)的保護，數(shù)據(jù)跨境治理方面主要強調(diào)對個人數(shù)據(jù)的規(guī)制。隨著數(shù)字經(jīng)濟的蓬勃發(fā)展，數(shù)據(jù)的經(jīng)濟價值逐漸顯現(xiàn)，歐盟出臺了《非個人數(shù)據(jù)自由流動框架條例》《數(shù)據(jù)治理法案》《數(shù)據(jù)法案》等規(guī)范文件，彌補了非個人數(shù)據(jù)跨境監(jiān)管的空白，形成了較為完整的數(shù)據(jù)跨境治理法律規(guī)范體系。
就數(shù)據(jù)傳輸而言，歐盟對于境內(nèi)和境外采取了兩種不同的規(guī)制標準,即對內(nèi)鼓勵數(shù)據(jù)的自由流動，對外則嚴格保證數(shù)據(jù)安全。[12]在成員國內(nèi)部，歐盟確立了禁止成員各國借數(shù)據(jù)保護的名義限制數(shù)據(jù)在歐盟境內(nèi)自由流動的標準，但針對數(shù)據(jù)跨境卻作出了不同的規(guī)定，即禁止將數(shù)據(jù)轉(zhuǎn)移到歐盟以外的地理區(qū)域，除非該國家或地區(qū)能夠提供“充分”的數(shù)據(jù)保護。
對于個人數(shù)據(jù)的跨境流動，歐盟早在1981年就在《有關(guān)個人數(shù)據(jù)自動化處理的個人保護公約》中作出了規(guī)定，允許締約國之間自由傳輸數(shù)據(jù)，同時對締約方向非締約方傳輸數(shù)據(jù)作出限制，僅針對特殊類型的數(shù)據(jù)，且要求非締約方需提供同等保護。1995年歐盟《個人數(shù)據(jù)保護指令》（以下簡稱“95指令”）明確了個人數(shù)據(jù)的跨境自由流動僅限于歐盟成員國之間，而對于向第三國傳輸數(shù)據(jù)則作出了“充分性認定”的要求，即只有在第三國個人數(shù)據(jù)隱私的保護方面達到了足夠的保護水平，才允許將個人信息向該第三國傳遞。此后，GDPR對“充分性認定”標準作了進一步明確。相較于95指令，GDPR對于“充分性認定”的評估增加了除國家外的特定區(qū)域及國際組織，但95指令所確立的規(guī)則繼續(xù)有效。在評估第三國或國際組織對個人數(shù)據(jù)的保護程度時，GDPR在第31條中提出了相關(guān)的考慮因素，包括對基本人權(quán)的保護程度，是否存在獨立且有效運作的監(jiān)管機構(gòu)，以及承擔有關(guān)個人數(shù)據(jù)保護的國家責(zé)任或國際承諾等。可見，歐盟以保障境內(nèi)個人數(shù)據(jù)安全為基本出發(fā)點，對個人數(shù)據(jù)跨境傳輸采取較為保守的態(tài)度。
在非個人數(shù)據(jù)的跨境流動監(jiān)管上，歐盟也采取了“內(nèi)外有別”的監(jiān)管模式。對于歐盟成員國內(nèi)部，《非個人數(shù)據(jù)自由流動框架條例》要求非個人數(shù)據(jù)成員國之間自由流動，但數(shù)據(jù)向域外流動方面則主要通過《數(shù)據(jù)治理法案》和《數(shù)據(jù)法案》加以明確�！斗莻�人數(shù)據(jù)自由流動條例》對歐盟成員國實施數(shù)據(jù)本地化措施作出了限制，旨在降低歐盟內(nèi)部數(shù)據(jù)驅(qū)動型經(jīng)濟的壁壘，促進非個人數(shù)據(jù)在歐盟境內(nèi)的自由流動，以增強數(shù)據(jù)的可訪問性與再利用性。[13]2022年通過的《數(shù)據(jù)治理法案》以及《數(shù)據(jù)法案》彌補了歐盟非個人數(shù)據(jù)跨境監(jiān)管的空白，均強調(diào)了歐盟內(nèi)部數(shù)據(jù)的共享，而對于非個人數(shù)據(jù)向境外的傳輸，則表現(xiàn)出審慎的態(tài)度，通過擴張監(jiān)管區(qū)域范圍、設(shè)定嚴苛的審查標準、設(shè)置多樣化的數(shù)據(jù)審核評估機構(gòu)等形式，為數(shù)據(jù)的跨境流動設(shè)置了較高的壁壘。[14]
（二）以自由貿(mào)易為主導(dǎo)的美國規(guī)制模式
與歐盟不同，美國采取以市場主導(dǎo)、行業(yè)自律的分散式立法，在數(shù)據(jù)跨境流動上更加看重數(shù)據(jù)自由流動和經(jīng)濟利益, 通過促進數(shù)據(jù)跨境維護信息優(yōu)勢，在與各國的貿(mào)易談判中積極主張加入數(shù)字跨境自由流動相關(guān)條款。2004年，美國推動構(gòu)建了《APEC隱私保護框架》，該協(xié)議成為亞太地區(qū)首份有關(guān)跨境數(shù)據(jù)流動規(guī)制的法律指導(dǎo)文件�！禔PEC隱私保護框架》強調(diào)數(shù)據(jù)的自由流動，如協(xié)議要求各個成員體應(yīng)盡可能采取恰當、合理的方法和措施，最大程度地避免甚至消除數(shù)據(jù)流動阻礙。隨后，美國在美韓自由貿(mào)易協(xié)定以及TPP談判中也相繼加入了數(shù)據(jù)跨境條款。2019年，美國與墨西哥、加拿大簽訂了《美墨加協(xié)定》（USMCA），試圖進一步促進國際間的數(shù)據(jù)自由流動。
值得一提的是，即便在數(shù)據(jù)跨境問題上與歐盟有著不同的基本立場，美國依然積極與歐盟進行談判，實現(xiàn)數(shù)據(jù)的跨境互聯(lián)互通。鑒于歐美之間數(shù)據(jù)跨境流動的現(xiàn)實需求，美國與歐盟于2000年簽署了《安全港協(xié)議》，美國企業(yè)只需要向美國商務(wù)部證明滿足了歐盟要求的包括告知用戶數(shù)據(jù)使用目的等在內(nèi)的七項原則即可進行數(shù)據(jù)跨境傳輸。2016年，美國與歐盟簽訂了《隱私盾協(xié)議》，對美國的數(shù)據(jù)保護提出了更高的要求，美國需要設(shè)立數(shù)據(jù)監(jiān)察專崗、建立歐美聯(lián)合審查機制等。2022年3月，美國與歐盟達成了《跨大西洋數(shù)據(jù)隱私框架》，對美歐之間的商業(yè)數(shù)據(jù)跨境傳輸進行了重構(gòu)，為更好地促進跨大西洋的數(shù)據(jù)傳輸?shù)於嘶A(chǔ)。
三、我國商業(yè)數(shù)據(jù)跨境流動合規(guī)治理的潛在問題
我國在數(shù)據(jù)跨境流動規(guī)制領(lǐng)域起步較晚，在商業(yè)數(shù)據(jù)跨境治理方面仍面臨一些問題。一方面，我國現(xiàn)階段相關(guān)法律體系尚不完善，存在一些立法空白和交叉，不利于商業(yè)數(shù)據(jù)跨境合規(guī)治理工作的開展；另一方面，各國數(shù)據(jù)合規(guī)標準不斷提高，企業(yè)履行合規(guī)義務(wù)需要同時兼顧數(shù)據(jù)輸出國與輸入國的相關(guān)法律制度，當前我國企業(yè)的數(shù)據(jù)跨境合規(guī)意識與能力還有待加強，商業(yè)數(shù)據(jù)跨境合規(guī)治理仍存在不少難題。
（一）商業(yè)數(shù)據(jù)跨境流動的立法呈分散式
當前，我國出臺了眾多涉及商業(yè)數(shù)據(jù)跨境流動的規(guī)范性法律文件，主要包括數(shù)據(jù)跨境流動統(tǒng)籌立法和個人信息跨境流動專項立法兩大方面。數(shù)據(jù)跨境流動統(tǒng)籌立法強調(diào)確保國內(nèi)數(shù)據(jù)的規(guī)范跨境，維護國家安全，要求企業(yè)將其在生產(chǎn)經(jīng)營過程中產(chǎn)生的重要數(shù)據(jù)存儲在境內(nèi)，確因業(yè)務(wù)需要跨境傳輸數(shù)據(jù)的，應(yīng)當根據(jù)相關(guān)規(guī)定，進行風(fēng)險預(yù)測與安全評估。2017年6月，《網(wǎng)絡(luò)安全法》的實施將我國數(shù)據(jù)治理納入法治軌道時代，數(shù)據(jù)安全被納入到國家安全的范疇進行保護，其中第37條規(guī)定了關(guān)鍵信息基礎(chǔ)設(shè)施的運營者數(shù)據(jù)本地化要求，并明確因業(yè)務(wù)需求，需要向境外提供數(shù)據(jù)的，應(yīng)當進行安全評估。2021年9月，《數(shù)據(jù)安全法》作為數(shù)據(jù)安全領(lǐng)域內(nèi)的專項立法在我國正式得以實施，對企業(yè)收集使用數(shù)據(jù)作出原則性要求，為我國企業(yè)域內(nèi)數(shù)據(jù)合規(guī)提供指引。在數(shù)據(jù)跨境方面，該法采用了“參照”立法，即關(guān)鍵信息基礎(chǔ)設(shè)施的運營者在我國境內(nèi)運營中收集和產(chǎn)生的重要數(shù)據(jù)的出境適用《網(wǎng)絡(luò)安全法》的規(guī)定。此后，我國陸續(xù)出臺了《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》《數(shù)據(jù)出境安全評估辦法》等，作為《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》以及《個人信息保護法》的補充，規(guī)定了數(shù)據(jù)處理者對外提供數(shù)據(jù)需要申報數(shù)據(jù)出境安全評估以及重點評估的具體情形，為規(guī)范數(shù)據(jù)跨境流動活動提供依據(jù)。2024年3月，國家互聯(lián)網(wǎng)信息辦公室公布了《促進和規(guī)范數(shù)據(jù)跨境流動規(guī)定》，對數(shù)據(jù)出境安全評估、個人信息出境標準合同、個人信息保護認證等數(shù)據(jù)出境制度作出了優(yōu)化調(diào)整，進一步完善了我國數(shù)據(jù)跨境治理機制。
個人信息跨境流動專項立法著眼于對本國公民個人隱私的保護。我國對個人信息跨境采取審慎的立法態(tài)度，作出立法限制，要求個人數(shù)據(jù)本地存儲和處理，出境則需要經(jīng)過網(wǎng)信部門的出境安全評估。2019年6月，國家網(wǎng)信辦發(fā)布了《個人信息出境安全評估辦法征求意見稿》，明確網(wǎng)絡(luò)運營者向境外提供其在中國境內(nèi)運營中獲取的個人信息，需要申報個人信息出境安全評估，并就評估的流程和要求作出了較為詳盡的規(guī)定。2021年11月，我國第一部個人信息專門性立法《個人信息保護法》正式實施，明確個人信息處理者向境外提供存儲于我國的個人信息需要事前報請主管機關(guān)批準，確因業(yè)務(wù)需要向境外提供個人信息的，應(yīng)通過安全評估、經(jīng)專業(yè)機構(gòu)進行個人信息保護認證或簽訂標準合同。2023年2月，國家網(wǎng)信辦公布《個人信息出境標準合同辦法》，根據(jù)該辦法，個人信息處理者向境外提供個人信息且未達到數(shù)據(jù)安全評估標準時，可以通過簽訂標準合同的方式實現(xiàn)個人信息出境。
上述法律法規(guī)的頒布實施，既表明我國的數(shù)據(jù)安全立法已進入快速發(fā)展階段，也為當前我國境內(nèi)企業(yè)進行數(shù)據(jù)跨境流動合規(guī)建設(shè)提供了基本遵循。然而，我國目前的立法仍然呈現(xiàn)分散式、碎片化的特點，表現(xiàn)為針對同一個問題作出重復(fù)性規(guī)定，甚至出現(xiàn)對于同一問題在不同的法律文件中有著不同解決方案的情況，這可能導(dǎo)致概念混淆、執(zhí)法標準不統(tǒng)一、企業(yè)合規(guī)標準不明確等諸多問題。以數(shù)據(jù)出境安全評估為例，《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》規(guī)定，安全評估的主體為網(wǎng)絡(luò)運營者，安全評估工作由國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)，行業(yè)主管或監(jiān)管部門主要負責(zé)；而《數(shù)據(jù)出境安全評估辦法》規(guī)定安全評估主體為數(shù)據(jù)處理者，安全評估工作由國家網(wǎng)信部門負責(zé)。商業(yè)數(shù)據(jù)和個人信息存有交叉重疊的部分，安全評估主體很難清晰判斷應(yīng)當依據(jù)哪部法律文件確定安全評估負責(zé)機構(gòu)。此外，分散式立法特點使得相關(guān)法律制度并不明晰，企業(yè)尋求法律依據(jù)存在困難，這給企業(yè)開展商業(yè)數(shù)據(jù)跨境合規(guī)帶來了阻礙。例如，《個人信息保護法》中要求處理個人信息達到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者應(yīng)當將在國內(nèi)收集和產(chǎn)生的個人信息采取數(shù)據(jù)本地化措施，將數(shù)據(jù)存儲于境內(nèi)，但現(xiàn)有立法尚未對信息數(shù)量要求作出細化規(guī)定，導(dǎo)致企業(yè)難以判斷其收集處理的數(shù)據(jù)是否可以跨境流動，不利于我國企業(yè)與境外接收方的數(shù)字貿(mào)易往來。
（二）各國規(guī)則未統(tǒng)一，企業(yè)雙向合規(guī)難
由于各國的經(jīng)濟、技術(shù)發(fā)展水平不同，價值取向不一致等原因，各國在商業(yè)數(shù)據(jù)跨境流通相關(guān)立法上所反映的立法宗旨和保護目的存在較大差異。盡管目前不少國家都在積極簽訂雙邊或者多邊協(xié)議，促成數(shù)據(jù)跨境的自由流通，但仍無法實現(xiàn)規(guī)則上的統(tǒng)一，這給企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)帶來了較大的挑戰(zhàn)。企業(yè)在“走出去”的過程中，需要同時關(guān)注本國以及進口國的相關(guān)立法要求。
從我國商業(yè)數(shù)據(jù)跨境規(guī)制的相關(guān)立法來看，我國更注重在保障數(shù)據(jù)安全以及個人信息權(quán)益的基礎(chǔ)上，促進商業(yè)數(shù)據(jù)的依法有序自由流動。我國立法以確保數(shù)據(jù)主權(quán)為核心，強調(diào)國家對于商業(yè)數(shù)據(jù)跨境活動的合法規(guī)制。比如，我國要求特定類型的數(shù)據(jù)應(yīng)當進行本地化存儲，確因業(yè)務(wù)需要向境外提供數(shù)據(jù)的，應(yīng)當報請國家主管部門進行安全評估。同時，我國在保障數(shù)據(jù)主權(quán)，確保數(shù)據(jù)安全的前提下，也積極鼓勵商業(yè)數(shù)據(jù)的跨境自由流動，通過參與國際協(xié)商的形式讓渡一部分數(shù)據(jù)保護自主權(quán)，達成一致協(xié)議。[15]截至目前，我國已與26個國家和地區(qū)簽署了19個自貿(mào)協(xié)定,自貿(mào)伙伴覆蓋亞洲、大洋洲、拉丁美洲、歐洲和非洲，積極推動實施《區(qū)域全面經(jīng)濟伙伴關(guān)系協(xié)定》（RCEP），持續(xù)推進加入《全面與進步跨太平洋伙伴關(guān)系協(xié)定》（CPTPP）和《數(shù)字經(jīng)濟伙伴關(guān)系協(xié)定》（DEPA）。由此，我國確立了以保障數(shù)據(jù)主權(quán)、數(shù)據(jù)安全為核心，鼓勵數(shù)據(jù)依法有序自由跨境流動的規(guī)制模式。
企業(yè)在開展涉及商業(yè)數(shù)據(jù)跨境相關(guān)海外業(yè)務(wù)的過程中，不僅需要遵守“數(shù)據(jù)輸出國”的數(shù)據(jù)跨境相關(guān)法律要求，還需要遵循“數(shù)據(jù)輸入國”的數(shù)據(jù)跨境傳輸規(guī)則。目前，各國的數(shù)據(jù)跨境傳輸規(guī)則由于其基本立場的不同而存在差異甚至沖突，數(shù)據(jù)主權(quán)、國家安全問題上的爭議以及由此引發(fā)的在出口管制方面的調(diào)查等諸多復(fù)雜局面給企業(yè)合規(guī)工作帶來巨大壓力，企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)難度也隨之升級。
（三）跨境數(shù)據(jù)合規(guī)嚴，企業(yè)合規(guī)成本高
隨著世界對GDPR等數(shù)據(jù)保護法、數(shù)據(jù)跨境規(guī)則的執(zhí)行，相關(guān)企業(yè)將因未履行或未有效履行數(shù)據(jù)合規(guī)義務(wù)而被處以高額的罰款。以歐盟GDPR為例，該項數(shù)據(jù)法案對數(shù)據(jù)控制者和處理者提出了較高的合規(guī)要求：將個人數(shù)據(jù)從歐盟移轉(zhuǎn)至其他國家或地區(qū)，需要滿足歐盟委員會確定的滿足“充分性保護水平”的要求；在缺乏GDPR規(guī)定條件的情況下，企業(yè)只有在提供適當?shù)谋Ｕ洗胧�，且存在有效的�?shù)據(jù)主體法律保障的情況下，企業(yè)才可以向第三國提供數(shù)據(jù)。
此外，GDPR還規(guī)定，企業(yè)需要告知其客戶數(shù)據(jù)的使用方式、使用范圍以及使用對象，當發(fā)生個人數(shù)據(jù)泄露，并威脅客戶隱私時，企業(yè)需要在得知泄露事件后的72小時內(nèi)通知客戶并報告。數(shù)據(jù)保護機構(gòu)在綜合考量侵權(quán)行為的性質(zhì)、嚴重程度、持續(xù)時間以及數(shù)據(jù)控制者、數(shù)據(jù)處理者所采取的技術(shù)以及管理措施的充分程度等因素，將罰款分為兩個層面，較低水平意味著最高可以處以1000萬歐元的行政罰款；較高水平則指最高可以處以上一財政年度全球營業(yè)總額2%的行政罰款。[16]
為了規(guī)避高額數(shù)據(jù)的違規(guī)處罰，相關(guān)企業(yè)一般會主動開展數(shù)據(jù)合規(guī)工作，但此項工作對于企業(yè)來說也是一項高額的成本，且隨著商業(yè)數(shù)據(jù)的體量不斷擴大，企業(yè)必須定期重復(fù)審計過程以遵守公司政策和當?shù)胤梢?guī)定的合規(guī)要求，成本和工作量會隨著時間的推移而不斷增加。
（四）企業(yè)合規(guī)意識薄弱，數(shù)據(jù)跨境風(fēng)險高
隨著數(shù)字技術(shù)的飛速發(fā)展，商業(yè)數(shù)據(jù)的價值不斷攀升，數(shù)據(jù)安全問題也逐漸暴露出來。從近年來發(fā)生的一系列數(shù)據(jù)泄露事件可以看出，企業(yè)面臨的數(shù)據(jù)安全風(fēng)險呈多元化趨勢�，F(xiàn)階段，企業(yè)在數(shù)據(jù)方面的合規(guī)意識還有待提升，數(shù)據(jù)安全的技術(shù)措施和組織保障需要進一步強化。
數(shù)據(jù)安全技術(shù)的不完善是企業(yè)數(shù)據(jù)泄露的一個重要因素，也是企業(yè)數(shù)據(jù)合規(guī)工作的重要突破點。根據(jù)《2022年數(shù)據(jù)泄露成本報告》，安全技術(shù)的短缺使得企業(yè)需要承擔巨額的數(shù)據(jù)泄露成本。研究表明，目前只有38％的企業(yè)表示其安全技術(shù)團隊有充足的人員配備，而這種技術(shù)差距將導(dǎo)致人員配備不足的企業(yè)的數(shù)據(jù)泄露成本比人員充足的安全技術(shù)團隊高出55萬美元。[17]商業(yè)數(shù)據(jù)合規(guī)已成為企業(yè)開展合規(guī)工作至關(guān)重要的環(huán)節(jié)，構(gòu)建完備的商業(yè)數(shù)據(jù)跨境合規(guī)管理體系、保障企業(yè)合法合規(guī)的開展商業(yè)數(shù)據(jù)跨境運營工作成為當務(wù)之急。
四、我國商業(yè)數(shù)據(jù)跨境流動合規(guī)治理的優(yōu)化路徑
構(gòu)建良好的商業(yè)數(shù)據(jù)跨境流動生態(tài)是政府和企業(yè)的共同目標，構(gòu)建科學(xué)合理的商業(yè)數(shù)據(jù)跨境流動合規(guī)治理體系成為我國數(shù)據(jù)治理領(lǐng)域的重要議題。商業(yè)數(shù)據(jù)跨境合規(guī)不僅是企業(yè)履行保障信息安全這一社會責(zé)任的要求，更是企業(yè)走向世界，履行合規(guī)義務(wù)的職責(zé)所在。我國作為數(shù)據(jù)資源大國，應(yīng)當積極參與全球數(shù)據(jù)治理，在商業(yè)數(shù)據(jù)跨境流動合規(guī)問題上貢獻中國方案。
（一）完善商業(yè)數(shù)據(jù)合規(guī)法律體系
針對我國企業(yè)商業(yè)數(shù)據(jù)跨境流動立法的問題，相關(guān)部門應(yīng)當對現(xiàn)有立法進行梳理、整合，銜接好相關(guān)行政法規(guī)之間、行政法規(guī)與各行業(yè)主管部門出臺的部門規(guī)章之間的關(guān)系，統(tǒng)一基礎(chǔ)概念，刪除某些重復(fù)性規(guī)定，對不同類型的企業(yè)商業(yè)數(shù)據(jù)的處理情況進行清晰的劃定，使《數(shù)據(jù)出境安全評估辦法》《個人信息出境安全評估辦法》等下位法更好地與《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》等上位法相互配合，為企業(yè)合規(guī)工作提供清晰明確的法律遵循。
具體而言，我國不同法律文件對數(shù)據(jù)出境安全評估的主體有“網(wǎng)絡(luò)運營者”“數(shù)據(jù)處理者”等不同的稱謂，且均未對其作出明確定義，不利于企業(yè)數(shù)據(jù)跨境合規(guī)工作的落實。對此，可以參考域外做法，將“網(wǎng)絡(luò)運營者”細化為“數(shù)據(jù)處理者”以及“數(shù)據(jù)控制者”，進一步明確各自的權(quán)利與義務(wù)。例如，根據(jù)歐盟GDPR，“數(shù)據(jù)控制者” 是指那些決定（不論是單獨決定還是共同決定）個人數(shù)據(jù)處理目的與方式的自然人或法人、公共機構(gòu)、規(guī)制機構(gòu)或其他實體；“數(shù)據(jù)處理者”是指為了數(shù)據(jù)控制者而處理個人數(shù)據(jù)的自然人或法人、公共機構(gòu)、規(guī)制機構(gòu)或其他實體。由于我國目前已經(jīng)引入“標準合同”，并出臺了相應(yīng)的辦法，監(jiān)管部門可以根據(jù)不同的數(shù)據(jù)主體，結(jié)合不同的數(shù)據(jù)類型，適用不同的標準合同條款，以更有針對性地確保不同場景下，企業(yè)商業(yè)數(shù)據(jù)的安全跨境傳輸。
《網(wǎng)絡(luò)安全法》《個人信息保護法》等法律規(guī)范要求關(guān)鍵信息基礎(chǔ)設(shè)施的運營者在我國境內(nèi)運營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應(yīng)當在境內(nèi)存儲，因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當進行安全評估。但相關(guān)立法并沒有對關(guān)鍵信息基礎(chǔ)設(shè)施的范圍作出具體的界定，對于何種數(shù)據(jù)屬于重要數(shù)據(jù)也欠缺明確的劃分，這使得企業(yè)在處理商業(yè)數(shù)據(jù)跨境業(yè)務(wù)時，難以清晰定位從而采取適當?shù)暮弦?guī)措施。再者，此種“一刀切”的模式會無形中增加評估審核的工作負擔，不利于企業(yè)商業(yè)數(shù)據(jù)跨境自由流通。對此，可以采取數(shù)據(jù)分級分類管理的模式，依據(jù)不同行業(yè)典型數(shù)據(jù)類型以及應(yīng)用場景不斷完善立法，對于企業(yè)商業(yè)數(shù)據(jù)中與隱私緊密相關(guān)的個人數(shù)據(jù)嚴格禁止跨境流動，對于不涉及自然人權(quán)益的非個人數(shù)據(jù)則允許在滿足安全管理要求的前提下有序跨境流動，管理形式除了安全評估外，還可以采用問責(zé)制、合同干預(yù)等。
（二）設(shè)立數(shù)據(jù)跨境監(jiān)督機構(gòu)
商業(yè)數(shù)據(jù)跨境流動引發(fā)的數(shù)據(jù)泄露、數(shù)據(jù)非法獲取等數(shù)據(jù)安全問題頻發(fā)，企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)工作的展開迫在眉睫。除了企業(yè)自身加強數(shù)據(jù)合規(guī)意識，主動展開合規(guī)工作外，監(jiān)管機構(gòu)的監(jiān)督和管理也必不可少。通過對商業(yè)數(shù)據(jù)跨境涉及的網(wǎng)絡(luò)安全、數(shù)據(jù)安全等展開監(jiān)管、執(zhí)法活動，有利于敦促企業(yè)進行合規(guī)整改，完善現(xiàn)有合規(guī)體系，從而實現(xiàn)商業(yè)數(shù)據(jù)的合法有序跨境。
我國數(shù)據(jù)跨境監(jiān)管呈現(xiàn)多頭監(jiān)管的特點，數(shù)據(jù)監(jiān)管職責(zé)分散在各個相關(guān)部門，尚未建立獨立專職的數(shù)據(jù)監(jiān)管機構(gòu)。以商業(yè)數(shù)據(jù)跨境的安全評估工作為例，相關(guān)立法規(guī)定，由國家網(wǎng)信部門統(tǒng)籌協(xié)調(diào)，具體工作由各行業(yè)主管部門或者監(jiān)管部門負責(zé)。事實上，國家網(wǎng)信部門和各行業(yè)主管部門或監(jiān)管部門之間并不存在直接的領(lǐng)導(dǎo)與被領(lǐng)導(dǎo)的關(guān)系，不同類型數(shù)據(jù)的跨境會涉及不同的行業(yè)、領(lǐng)域、主體，如果缺乏統(tǒng)一的最高數(shù)據(jù)監(jiān)管機構(gòu)，可能會出現(xiàn)政策不協(xié)調(diào)、管理效率低、管理效果差等問題。
在商業(yè)數(shù)據(jù)跨境監(jiān)管上，可以適時在國家數(shù)據(jù)局下設(shè)立一個專門、獨立、權(quán)責(zé)明確的數(shù)據(jù)跨境監(jiān)管內(nèi)設(shè)機構(gòu)①，賦予其審核權(quán)、調(diào)查權(quán)、處罰權(quán)等權(quán)能，統(tǒng)籌負責(zé)國家層面的數(shù)據(jù)跨境監(jiān)管工作。地方的數(shù)據(jù)跨境監(jiān)管部門對國家數(shù)據(jù)局負責(zé)、并受其監(jiān)督，統(tǒng)一履行數(shù)據(jù)監(jiān)管職責(zé)，避免多頭執(zhí)法、權(quán)責(zé)不明的問題，為商業(yè)數(shù)據(jù)跨境流動的監(jiān)管提供切實保障。
商業(yè)數(shù)據(jù)跨境監(jiān)管需要企業(yè)主動配合，可以在企業(yè)內(nèi)部設(shè)置數(shù)據(jù)合規(guī)官，主要負責(zé)企業(yè)商業(yè)數(shù)據(jù)的合規(guī)監(jiān)管工作。具體而言，數(shù)據(jù)合規(guī)官不僅要維護企業(yè)日常商業(yè)數(shù)據(jù)的安全，保證企業(yè)數(shù)據(jù)跨境操作行為合規(guī)，包括承擔數(shù)據(jù)處理中的審計職責(zé)，對企業(yè)內(nèi)部員工進行合規(guī)培訓(xùn)等，還要積極與監(jiān)管機構(gòu)達成合作，配合其數(shù)據(jù)監(jiān)管工作的開展，同時與數(shù)據(jù)主體進行對接，掌握企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)的監(jiān)管動向。此外，企業(yè)應(yīng)當重視數(shù)據(jù)信息安全技術(shù)的運用，聘用專門的安全技術(shù)團隊，從技術(shù)層面對企業(yè)商業(yè)數(shù)據(jù)跨境活動進行全流程的跟蹤監(jiān)管，對企業(yè)商業(yè)數(shù)據(jù)安全隱患進行定期排查，將數(shù)據(jù)泄露的可能性降到最低。
（三）構(gòu)建商業(yè)數(shù)據(jù)跨境流動綜合治理體系
針對企業(yè)數(shù)據(jù)合規(guī)意識較為薄弱，商業(yè)數(shù)據(jù)跨境風(fēng)險高的問題，國家數(shù)據(jù)局可以聯(lián)合國家網(wǎng)信辦、工信部、公安機關(guān)等行政機構(gòu)強化執(zhí)法權(quán)，加大對企業(yè)數(shù)據(jù)違規(guī)處理行為的處罰力度。雖然我國《數(shù)據(jù)安全法》針對未經(jīng)安全評估違法向境外提供重要數(shù)據(jù)的行為，以及未經(jīng)主管機關(guān)批準向外國司法或者執(zhí)法機構(gòu)提供數(shù)據(jù)的行為規(guī)定了分別向企業(yè)和直接責(zé)任人處以10萬—100萬，1萬—10萬不等的罰款，但相較于其他國家，②處罰力度明顯偏低。相關(guān)主管部門應(yīng)當依法、合理加大對企業(yè)商業(yè)數(shù)據(jù)跨境違規(guī)行為的處罰力度，提高企業(yè)商業(yè)數(shù)據(jù)違法跨境處理行為的罰金額度，增加企業(yè)違法成本，促進企業(yè)積極履行數(shù)據(jù)合規(guī)義務(wù)。
企業(yè)作為社會的重要成員之一，理應(yīng)主動承擔起數(shù)據(jù)跨境安全保護義務(wù)，保障自身管轄范圍內(nèi)的商業(yè)數(shù)據(jù)跨境安全，提高自身商業(yè)數(shù)據(jù)合規(guī)意識。對此，企業(yè)可以參考相應(yīng)的法律法規(guī)的要求，構(gòu)建企業(yè)內(nèi)部制度規(guī)范，建立企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)體系。制度體系可采用分層的模式，內(nèi)容上避免重復(fù)和矛盾。一般可以分為四級，一級文件包含方針、策略等總的管理要求；二級文件包含企業(yè)商業(yè)數(shù)據(jù)跨境流動的具體管理制度和辦法；三級文件包含企業(yè)商業(yè)數(shù)據(jù)跨境各生命周期的操作流程、規(guī)范與具體操作指南，以便執(zhí)行者理解；四級文件包含執(zhí)行企業(yè)商業(yè)數(shù)據(jù)跨境管理制度產(chǎn)生的相應(yīng)運行文件，包括表格、計劃、報告、工作日志等。[18]
此外，第三方數(shù)據(jù)安全服務(wù)機構(gòu)在企業(yè)商業(yè)數(shù)據(jù)跨境流動綜合治理體系中也發(fā)揮著重要作用。企業(yè)可以通過外包托管的方式將企業(yè)的數(shù)據(jù)安全監(jiān)管工作交給第三方服務(wù)機構(gòu)，開展針對性的企業(yè)數(shù)據(jù)安全運營、管理與技術(shù)服務(wù)，協(xié)助企業(yè)構(gòu)建數(shù)據(jù)安全防范機制。數(shù)據(jù)跨境安全監(jiān)管是一項技術(shù)復(fù)雜、風(fēng)險高的工作，涉及資產(chǎn)信息、機密數(shù)據(jù)等敏感問題，相較于企業(yè)自建的數(shù)據(jù)安全監(jiān)管部門，第三方數(shù)據(jù)安全服務(wù)機構(gòu)往往擁有更為專業(yè)的技術(shù)實力、豐富的數(shù)據(jù)監(jiān)管經(jīng)驗，對數(shù)據(jù)安全問題和威脅有更為深入的了解，可以根據(jù)企業(yè)需求提供定制服務(wù)，節(jié)省企業(yè)自建數(shù)據(jù)監(jiān)管體系的人力成本和技術(shù)投入。
（四）積極達成國際合作
為了打破不同國家及地區(qū)之間在數(shù)據(jù)跨境流動上的限制和壁壘，減輕企業(yè)商業(yè)數(shù)據(jù)跨境雙向合規(guī)的壓力，為企業(yè)合規(guī)工作提供標準化規(guī)范指南，實現(xiàn)全球數(shù)字貿(mào)易的自由化、便利化，各國應(yīng)當積極達成合作，推動全球數(shù)據(jù)治理友好對話協(xié)商，促成統(tǒng)一數(shù)據(jù)治理國際規(guī)則，塑造共建共贏共享新格局。
一方面，我國應(yīng)積極與其他國家和地區(qū)開展雙邊對話機制，在本國（地區(qū)）原有的數(shù)據(jù)治理制度基礎(chǔ)之上，秉承著彼此尊重、充分協(xié)商的原則，最大程度地形成國家間的共識，構(gòu)建互惠共贏的商業(yè)數(shù)據(jù)跨境傳輸制度體系。另一方面，隨著國家間的數(shù)據(jù)跨境傳輸活動日趨頻繁，國際間的合作必不可少，我國應(yīng)當積極推動探索全球性的多邊協(xié)商，為形成全球統(tǒng)一的數(shù)據(jù)跨境流動法律框架貢獻中國智慧、提出中國方案。在“一帶一路”背景下，我國可以與沿線國家積極展開談判，踐行相互尊重、合作共贏的國際關(guān)系理念，在商業(yè)數(shù)據(jù)跨境流動這一爭議問題上與各方進一步達成共識，打破數(shù)字壁壘，深化數(shù)據(jù)互聯(lián)，積極拓展平等開放共贏的數(shù)字伙伴關(guān)系。
在數(shù)字經(jīng)濟發(fā)展全球化的影響下，數(shù)據(jù)的收集、存儲、使用、傳輸?shù)刃袨橐呀?jīng)遍及全球，早已跨越了國家及地區(qū)的界限，這意味著，商業(yè)數(shù)據(jù)的跨境流動問題的解決需要依托于各國之間的合作與協(xié)商。各國應(yīng)當積極溝通，爭取在商業(yè)數(shù)據(jù)跨境問題上達成共識，建立商業(yè)數(shù)據(jù)跨境流動的普適性規(guī)則，在保障商業(yè)數(shù)據(jù)安全的基礎(chǔ)上，促進數(shù)據(jù)的自由跨境流動，促進全球數(shù)字貿(mào)易的蓬勃發(fā)展。
結(jié)語
數(shù)字經(jīng)濟時代下，大規(guī)模的數(shù)據(jù)跨境流動成為常態(tài)，商業(yè)數(shù)據(jù)跨境流動對我國對外貿(mào)易以及經(jīng)濟發(fā)展具有重大意義。然而，由于網(wǎng)絡(luò)環(huán)境的復(fù)雜性與不可控性，各國對數(shù)據(jù)跨境流動問題持有不同的態(tài)度和立場，數(shù)據(jù)保護水平參差不齊。我國應(yīng)當重視企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)工作，優(yōu)化現(xiàn)有商業(yè)數(shù)據(jù)跨境流動合規(guī)治理路徑。在國際層面，我國應(yīng)積極與世界主要國家和地區(qū)就商業(yè)數(shù)據(jù)跨境問題開展雙邊或者多邊談判，在確保數(shù)據(jù)安全的基礎(chǔ)上盡可能促進數(shù)據(jù)跨境的自由流動，共同推動全球數(shù)字經(jīng)濟蓬勃發(fā)展。在國內(nèi)層面，我國應(yīng)當完善現(xiàn)有數(shù)據(jù)跨境相關(guān)立法，為企業(yè)商業(yè)數(shù)據(jù)跨境合規(guī)提供更加系統(tǒng)、科學(xué)的法律指引。在數(shù)據(jù)跨境監(jiān)管方面，應(yīng)當構(gòu)建企業(yè)自查自糾、第三方服務(wù)機構(gòu)協(xié)助指導(dǎo)、國家數(shù)據(jù)主管部門統(tǒng)籌協(xié)調(diào)監(jiān)管三位一體的組織格局。
[ 參 考 文 獻 ]
[1]Voss,W.Gregory.Cross-Border Data Flows,the GDPR,and Data Governance[J].Washington International Law Journal,2020(29).
[2]馮曉青.數(shù)據(jù)財產(chǎn)化及其法律規(guī)制的理論闡釋與構(gòu)建[J].政法論叢,2021(4).
[3]任龍龍.大數(shù)據(jù)時代的個人信息民法保護[D].對外經(jīng)濟貿(mào)易大學(xué),2017.
[4]程嘯.論大數(shù)據(jù)時代的個人數(shù)據(jù)權(quán)利[J].中國社會科學(xué),2018(3).
[5]OECD.Declaration on Transborder Data Flows[EB/OL].http://dx.doi.org/10.1787/23024062440,2023-06-17.
[6]馮鎮(zhèn)波.多重風(fēng)險下數(shù)據(jù)跨境流動的法律規(guī)制[J].法治論壇,2021(3).
[7]陳瑞華.企業(yè)合規(guī)基本理論（第二版）[M].法律出版社,2021:13.
[8]毛逸瀟.數(shù)據(jù)保護合規(guī)體系研究[J].國家檢察官學(xué)院學(xué)報,2022(2).
[9]閆麗萍.企業(yè)環(huán)境會計信息披露研究[M].知識產(chǎn)權(quán)出版社,2016:38.
[10]戚聿東,徐凱歌.數(shù)字經(jīng)濟時代企業(yè)社會責(zé)任的理論認知與履踐范式變革[J].中山大學(xué)學(xué)報(社會科學(xué)版),2023(1).
[11]UNCTAD,Data Protection and Privacy Legislation Worldwide.[EB/OL].https://unctad.org/page/data-protection-and-privacy-legislation-worldwide,2023-7-17.
[12]王金照.跨境數(shù)據(jù)流動:戰(zhàn)略與政策[M].中國發(fā)展出版社,2021:63.
[13]胡苗苗,胡代芳等.歐盟非個人數(shù)據(jù)自由流動框架條例指南[J].北外法學(xué),2020(1).
[14]黃鈺.歐盟非個人數(shù)據(jù)跨境流動監(jiān)管模式研究[J].情報雜志,2022(12).
[15]黃寧,李楊.“三難選擇”下跨境數(shù)據(jù)流動規(guī)制的演進與成因[J].清華大學(xué)學(xué)報(哲學(xué)社會科學(xué)版),2017(5).
[16]Vandezande,Niels.An Update on GDPR Fines in Belgium[J].International Journal for the Data Protection Officer,Privacy Officer and Privacy Counsel,2019(3).
[17]IBM Security.2022年數(shù)據(jù)泄露成本報告[EB/OL].https://www.ibm.com/security,2023-07-20.
[18]中國移動通信有限公司研究院.企業(yè)跨境數(shù)據(jù)流動安全合規(guī)白皮書（2023）[EB/OL]https://www.doc88.com/p-88461502652134.html,2023-07-27.
[基金項目]北京市法學(xué)會2023年市級法學(xué)研究課題“算法安全綜合治理體系建構(gòu)研究”（BLS(2023)B010）。
[作者簡介] 來小鵬，中國政法大學(xué)民商經(jīng)濟法學(xué)院教授，博士生導(dǎo)師；馬詩雅，中國政法大學(xué)民商經(jīng)濟法學(xué)院博士研究生。
�、賲⒁娞詫殻ㄖ袊┸浖邢薰驹V安徽美景信息科技有限公司不正當競爭糾紛案，浙江省杭州市中級人民法院（2018）浙01民終7312號民事判決書�！ �
�、�2023年10月25日，我國國家數(shù)據(jù)局正式揭牌，由國家發(fā)展和改革委員會管理，負責(zé)協(xié)調(diào)推進數(shù)據(jù)基礎(chǔ)制度建設(shè)，統(tǒng)籌數(shù)據(jù)資源整合共享和開發(fā)利用，統(tǒng)籌推進數(shù)字中國、數(shù)字經(jīng)濟、數(shù)字社會規(guī)劃和建設(shè)等工作�！ �
�、诟鶕�(jù)歐盟GDPR的相關(guān)規(guī)定，針對企業(yè)數(shù)據(jù)處理違規(guī)行為，最高可以處以上一財政年度全球營業(yè)總額2%的行政罰款�！�
