论文部分内容阅读
在大数据时代,数据成为“新石油”。企业通过收集和利用数据,可以创造巨大经济价值。经济全球化使得国家间经贸往来频繁,数据跨境流动增多。由于各国数据保护水平不同,所以当数据从保护水平较高的国家流向较低水平国家时,个人数据受侵害的风险可能会增加。因此越来越多的国家或地区开始关注数据跨境流动中的数据保护问题,并制定或完善相关法律予以规制。由于欧盟在个人数据跨境流动规制领域起步较早,其对个人数据跨境保护的一整套体系在世界范围内都处于领先地位,尤其是2018年《一般数据保护条例》(General Data Protection Regulation,以下简称GDPR)代替《欧盟数据保护指令》(The EU Data Protection Directive,以下简称《95指令》)成为欧盟数据宪章之后,欧盟在全球数据规制领域内的影响力进一步提升,已经俨然成为全球数据保护趋势的重要引导者。正文第一部分介绍了个人数据跨境流动规制的理论基础。首先阐明了个人数据及其相关概念,强调了可识别性这一基本属性,同时对个人数据跨境流动的概念也进行了简单阐述。其次,主要突出了个人数据保护与个人数据跨境流动之间的价值冲突与协调,实际反映社会对个人数据自决权保护的诉求以及经济体对经济利益的追求。各国会依据自身数字经济发展状况以及数据保护的历史传统作出相应价值选择,但其目的都为实现数字经济发展与个人数据保护的平衡与协调。最终落脚到欧盟在考虑其基本人权保护的法律传统以及当前数字经济发展状况下构建制度性话语权的目标而选择相应的规制模式。正文第二部分主要阐述了欧盟GDPR中个人数据跨境流动规制措施的主要特色。一方面,欧盟在GDPR中设置了途径多元化但限制严格的数据跨境传输机制,具体包括充分性原则、适当保障措施以及特殊情况下的例外规定。另一方面,为了保障在个人数据出境后仍然能够处于欧盟制度的保护之下,GDPR还增加了以影响主义原则为基础的域外效力规则,将适用范围扩展至欧盟境外,避免因为利用数据出境规避欧盟法律。另外,欧盟设立了独立的数据监管机构,分为欧盟和成员国两个层面负责审查及监督。正文第三部分着重分析欧盟个人数据跨境流动规则在发挥效力的同时所面临的挑战。GDPR扩大域外适用范围,一定会造成欧盟数据跨境传输监管法律与第三国法律规则的冲突,在执行方面也会面临一定困难。而在国际数据合作方面,不论是欧美双方经历的从安全港协议失效到隐私盾协议达成的曲折经过,还是在区域机制的参与中,由于对自身价值标准的“顽固”坚持而使得《跨大西洋贸易与投资伙伴关系协定》(Transatlantic Trade and Investment Partnership,以下简称TTIP)谈判处于僵持状态,与《APEC隐私保护框架》(Cross-Border Privacy Rules,以下简称CBPR)机制互认也进展有限。由于现在并不存在数据跨境流动的全球统一规则,因而将欧盟个人数据保护规则置于现有的多边贸易规则体系下进行评价时可能会产生潜在的冲突。正文第四部分对我国个人数据跨境流动规制现状进行介绍,同时对制度完善提出建议。目前我国个人数据跨境流动主要由《网络安全法》及其配套法规予以规定。虽然建构起了基本框架,但是仍然存在缺少专门的《个人信息保护法》、数据分类混乱、数据出境评估机制单一、缺乏域外效力规定、数据监管分散低效、在数据保护方面国际参与度低等问题。针对上述问题有针对性的提出制度《个人信息保护法》、区分数据性质设置不同规制路径、实行多元化数据出境评估机制、构建我国的域外适用规则、设置专门的个人数据监管机构、积极开展数据跨境流动规制措施的国际协作等建议,以完善我国个人数据保护及跨境流动制度,提升在数字领域的国际话语权和影响力。