引用本文
赵骏, 向丽. 跨境电子商务建设视角下个人信息跨境流动的隐私权保护研究[J]. 浙江大学学报(人文社会科学版), 2019,49(2): 58-71
Zhao Jun, Xiang Li. Study on Privacy Protection in the Cross-border Flow of Personal Information from the Perspective of Cross-border E-commerce Development[J]. JOURNAL OF ZHEJIANG UNIVERSITY (HUMANTIES AND SOCIAL SCIENCES), 2019,49(2): 58-71  
DOI:10.3785/j.issn.1008-942X.CN33-6000/C.2018.08.233
Permissions
Copyright©2019, 浙江大学学报(人文社会科学版)
浙江大学学报(人文社会科学版) 所有
跨境电子商务建设视角下个人信息跨境流动的隐私权保护研究
赵骏, 向丽
浙江大学 光华法学院, 浙江 杭州 310008

作者简介: 1.赵骏(https://orcid.org/0000-0003-2124-9262),男,浙江大学光华法学院教授,博士生导师,法律博士,主要从事国际法、比较法研究; 2.向丽(https://orcid.org/0000-0001-5194-1474),女,浙江大学光华法学院硕士研究生,主要从事国际法研究。

收稿日期: 2018-08-23
基金: 国家社科基金重大项目(17ZDA142); 人工智能与法学专项课题; 浙江大学文科“双脑计划”交叉创新
摘要

全球化的趋势下,经济增长愈发依赖于信息交换,其中个人信息的跨境流动在跨境电子商务发展中日益重要,但也由此引发了对隐私权保护的担忧。不当的规则与政策选择可能形成贸易壁垒,阻遏经济发展。因此,从跨境电商建设视角出发思索中国如何平衡数据流动与隐私保护,具有重要意义。我国应立足于单边、双边、多边等维度建构与完善法律制度,依托政府、企业、个人等多元主体思索实践路径,并坚持综合考量及平衡多重利益。

关键词: 跨境电商; 个人信息跨境流动; 隐私权保护; 国际规则; 国内规则
Study on Privacy Protection in the Cross-border Flow of Personal Information from the Perspective of Cross-border E-commerce Development
Zhao Jun, Xiang Li
Guanghua Law School, Zhejiang University, Zhejiang 310008, China
Abstract

This article illustrates the subtle relationship between the free flow of personal information and the protection of privacy right. To intend to provoke further reflection on the field, it examines the current legal framework of cross-border data flow. Additionally, this article suggests proposals for China to protect privacy well while promoting the development of cross-border e-commerce. The article is mainly divided into the following parts.
First, on the relationship between the free flow of personal information and privacy protection, transferring of personal information has a significant influence on an economy. Despite this, it may trigger concerns over privacy protection. Different policies were formulated to protect privacy, but creating obstacles to economic development. Hence, this article focuses on the development of cross-border e-commerce to explore the protection of privacy of personal information in the process of cross-border transferring.
Second, through comparing different international, regional and domestic regulations, this article draws conclusions: multilateral legislation has three intrinsic deficiencies. The first deficiency is the divergence in values that augments different paradigms. Currently there are two legislative paradigms: one that emphasizes privacy protection and the other that highlights economic development. Each of them has its particular approach to regulate data flow, which impedes the formation of a widely-accepted international rule. The second deficiency is the imbalance between ″soft law″ and ″hard law″. This will hamper governance by rule of law for inherent defects of both rules. The third deficiency is the possibility that the regulations will have force but lack pertinence, universality and operability. As to domestic laws, they can be classified into three categories, including ″adequate evaluation mode″, ″data controller guarantee mode″ and ″data subject consent mode″. Each model has its advantages and disadvantages, represented by the European Union, the United State and China.
Finally, this article suggests that China regulate the cross-border transfer of personal information from three dimensions. First, China should build legal rules from a unilateral, bilateral and multilateral level and maintain a benign interaction. Second, joint efforts between Chinese market participants are needed: individuals to enhance legal awareness; enterprises to strengthen capacity building, and the government to improve the governance framework for information privacy protection. Third, China should try to strike a dynamic balance between national security, economic development and privacy protection without bias in favor of one or the other.
It is innovative that this article chooses the perspective of the development of cross-border e-commerce to explore the cross border flow of personal information, especially puts emphasis on privacy protection. As a new form of international trade, cross-border e-commerce has the incomparable advantages over traditional trade and promotes a new reform in international trade. And the cross-border data flow plays a crucial rule in it. Thus, it is significant to seek countermeasures to enhance the coordination and progress between different rules. Further, it enumerates the relative rules and analyzes them in detail. Practically, China is initiating the ″Digital Belt and Road Initiative″. Being one of the largest markets for cross-border e-commerce, researching on privacy protection in the context of data flow is necessary.

Keyword: cross-border e-commerce; cross-border flow of personal information; privacy protection; international rules; domestic rules
一、 引 言

为了解锁经济增长新来源, 提供科学新视角和政府问责新机制, 全球经济正经历着信息爆炸[1]5-6。互联网改变了贸易方式, 信息传输成为企业经济发展和日常运作的重要部分。信息通信技术是在全球经济中获取生产力、创新力和增长力的关键[2]2, 5。使用个人信息①(①有学者使用“ 个人数据” “ 个人资料” “ 数据隐私” , 而学界通常使用“ 个人信息” , 如张新宝《从隐私到个人信息:利益再衡量的理论与制度安排》, 载《中国法学》2015年第3期, 第38-59页。本文对此不做区分, 据文章需要交替使用各用语。)能为企业、个人、政府和科研机构创造经济和社会价值, 个人信息已经成为互联网运作中的“ 新石油” 、数字时代的“ 新货币” [2]10。而个人信息的跨境流动能够激发创新力、提升生产力和加速经济增长[3]96, 对国际贸易具有重要价值。根据世界经济论坛《全球信息技术报告》, 2012年美国61%(3 837亿美元)的服务贸易出口和53%的服务贸易进口是通过数字化方式传输的。数字贸易使美国GDP在2011年从3.4%增长至4.8%, 创造了相当于240万个工作岗位。2014年, 数据流动在全球GDP总值中达到2.8万亿美元[4]39-40。而作为国际贸易的一种新形态, 跨境电子商务具有无须法律实体存在、减少进口关税和产品符合性检验、降低金融风险等优势[5]11, 也会促进全球经济贸易更深层次的变革[6]88。个人信息的跨境流动对跨境电子商务发展也具有显著意义, 它为中小企业参与全球经济和融入全球价值链创造了新的机遇, 增加了数字服务出口的机会与价值, 而且全球12%的货物贸易都是经由数字平台完成的[7]5-6。例如, 欧洲主要的全球电子商务平台Zalando通过数据的跨国界维护和传输以跟踪客户订单、供应产品, 其位于法国、德国、意大利和波兰的可联网仓库为15个欧盟国家的2 000万客户提供了商品和服务[8]1。

尽管如此, 规制个人信息的跨境流动也是普遍的。规制行为的重要考量之一在于滥用个人信息将威胁到隐私保护[9]11-12。个人信息跨境流动将威胁到公共利益、国家利益、个人隐私等① (①参见Burri M., ″The Governance of Data and Data Flows in Trade Agreements: The Pitfalls of Legal Adaption, ″ UC Davis Law Review, Vol.51, No.1(2017), pp.67-69。规制的其他考量还在于国家安全、政治限制、道德限制、知识产权保护、商业限制, 见Meltzer J.P., ″The Internet, Cross-border Data Flows and International Trade, ″ Asia & the Pacific Policy Studies, Vol.2, No.1(2014), pp.93-96。), 本文主要讨论其对隐私权的影响(后文所提到个人信息跨境流动的规制也仅指出于隐私权保护的那部分)。2018年Facebook数据泄露事件② ( ②Rosenberg M., Confessore N. & Cadwalladr C., ″How Trump Consultants Exploited the Facebook Data of Millions, ″ 2018-03-17, https://www.nytimes.com/2018/03/17/us/politics/cambridge-analytica-trump-campaign.html, 2019-01-31.)再次引发了人们对信息安全与个人隐私的担忧。个人信息的开拓性和创新性使用在带来更大的经济和社会效益的同时也增加了隐私威胁③ ( ③OECD, ″Recommendation of the Council Concerning Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data, ″ 2019-01-29, https://www.oecd.org/internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonaldata.htm#recommendation, 2019-01-31.), 面临着科技飞速发展带来的严峻考验[10]284-285。个人信息保护在司法实践上呈现出以“ 欧陆逐步发展个人信息权” 和“ 美国隐私权” 为代表的两种模式[11]119。我国学者也有主张选择个人信息权保护路径的。因为个人信息权和隐私权在权利属性的界分、权利客体的界分、权利内容的界分以及保护方式上具有差异[12]66-68, 隐私权路径无法全面保护个人信息商业化利用产生的财产利益[13]43。而且, 出于个人信息的独立性与支配性, 个人信息权需被视为一种具体人格权[14]74。但也有学者认为, 隐私权包括个人信息权[15]208-209, 是个人享有维护个人生活安宁、排除他人非法侵扰的权利[16]487; 隐私权也是个人对私人信息、私人生活和私人领域进行支配和控制的权利[17]285。对隐私权进行解释与重构, 既能够在理论上调和成文法规范, 又能维护法之稳定性。而且, 个人信息权的讨论虽然热烈, 但其如何自洽于既有法律体系则尚未明晰, 故本文仍选择从隐私权保护出发。

美国《全球电子商务框架》提出, 平衡个人隐私和信息自由是全球信息基础设施发展的充分条件, 恰当的隐私保护是必要的, 但不同的政策可能会形成非关税壁垒④ (④ The White House, ″The Framework for Global Electronic Commerce, ″ 2019-01-31, https:// clintonwhitehouse4. archives. gov/WH/New/Commerce, 2019-01-31.)。许多国家和地区往往会出于隐私保护等原因采取数据本地化措施⑤ (⑤采取本地化措施的信息包括会计、税收、金融信息, 个人信息, 通信信息, 新兴数字化服务信息, 政府和公共信息等。详见Cory N., ″Cross-border Data Flows: Where Are the Barriers, and What Do They Cost?″ 2017-04-29, http://www2.itif.org/2017-block-global-data-flow-one-pager.pdf?_ga=2.81609687.1126305927.1548924941-2007875186.1548924941, 2019-01-31。), 将“ 具有特殊管辖的数据” 存储于“ 管辖境内” [18]107。这种措施若设置不当则有可能构成全球数字贸易中的新壁垒⑥ (⑥同上, p.2。)。实际上, 对信息跨境流动的限制应当避免施加不必要的障碍[19]180-198。相应限制应当与已有的贸易规则和人权保护机制相一致, 应当是不可或缺的、有针对性的和非歧视的[20]109, 否则很可能就是借信息保护之名制约对外贸易或扶助境内企业发展。而且其自身也将付出代价:世界银行对巴西、中国、印度、印度尼西亚、韩国、越南和欧盟国家的研究显示, 这会导致其GDP下降达1.7%, 投资下降达4.2%, 出口下降达1.7%[21]37。

总之, 规制数据跨境流动具有相当的必要性, 个人隐私保护与信息自由流动间的平衡之于人权保护与国际贸易发展都将是不可忽视的命题[9]6-9[12]477-478。

二、 跨境电商个人信息跨境流动规制

分析个人信息跨境流动, 对信息的定义是逻辑起点。杜伊认为信息应当具备四个要素:信息是可分的, 信息必须包含一定的内容, 信息应当被认为是一个过程, 信息可理解为一种知识状态或是对知识内容的占有, 以衡量信息交流的结果① ( ①Druey J. N., Information als Gegenstand des Rechts, Zurich: Baden-Baden, 1996。转引自谢远扬《信息论视角下个人信息的价值— — 兼对隐私权保护模式的检讨》, 载《清华法学》2015年第3期, 第98页。)。那么, 个人信息就是与私人相关的信息。在具体定义上有不同方式:概括列举混合型② (②参见我国台湾地区“ 个人资料保护法” 第2条。)、概括型③ (③参见我国香港地区个人资料(私隐)条例关于“ 个人资料” 的定义。)、识别型④ (④参见欧盟《一般数据保护条例》, 第4条。)。识别型是目前立法采用较多的方式, 在此定义下, 个人信息是能够直接或间接识别自然人的信息。可识别性是区分个人信息与非个人信息的关键标准, 凡能够单独或结合识别自然人的信息都是个人信息, 否则为非个人信息[23]107。那么何为可识别性?欧盟是出于“ 合理性考量” , 认为如果一项识别需要付出不合理的时间、努力或资源, 那么它就不具有可识别性[24]3-4。加拿大国内判例进一步明晰, 合理的识别是与既有资源结合⑤ ( ⑤Gordon M., The Minister of Health(Canada), 2008 FC 258, para. 32.)。美国对于个人信息定义, 除了采取从信息到个人的可识别性路径, 还纳入了从信息到个人的关联性路径[25]72。最后, 至于“ 个人信息跨境流动” , 按照经济与合作发展组织《隐私保护和个人数据跨境流动指南》即指“ 个人信息跨越国境的移动” 。

跨境电商建设需要国际法与国内法双重视野, 其全球性、跨国性的特征要求国际、国内规则的协调统一[6]。国际法治与国内法治在法治的理念、价值和核心要素上是一致的, 但在形态与模式上存在差异[26]135-138, 全球治理下此二层级法治相互贯通、相互影响, 全球治理所依赖的法治需要国际与国内法治持续、广泛地互动[27]82-83。作为跨境电商建设的重要一环, 个人信息跨境流动规制同样需要植根于国际与国内的双重法治土壤。在此过程中, 国际规则旨在关注不同国家的共同需求, 而国内规则更关注整个国家在经济、政治、社会、文化等多个领域的需求, 立足于国家个性[28]31-32。规则间互动互融, 对全球数据流动共享共融、和合共生具有重要的现实意义[29]44。

个人信息的跨境流动有利于跨境电商发展, 但一些国家和地区会基于隐私威胁而限制数据流动。对此, 制定或通过恰当的法律并确保其得以执行有助于促进发展[30]8-9。自20世纪70年代起, 国际社会开始探索数据保护规则。这些规则平衡着数据流动各方利益诉求, 且以一种确定的方式记录下来, 不断提升着数据保护水平, 也促进了技术的发展[31]142-144。但不能否认的是, 尽管数据处理的商业和技术环境发生了根本变化, 但利益博弈使得规则间各自为营, 时至今日, 一个广为接受的全球范围数据跨境流动协调规则依然不可多得[9]6。至于国内层面, 截至2016年4月, 世界上108个国家实施了信息保护法, 但立法方式有所区别, 大约60个国家没有信息保护法⑥ ( ⑥UNCTAD, Data Protection Regulation and International Data Flows: Implications for Trade and Development, New York: United Nations Publications, 2016, p.42.)。此外, 很多法律规则赶不上现实发展的节奏。总之, 能兼顾个人信息跨境流动与其他利益平衡的良法能促进国际经济的发展, 而良法的缺位则阻遏着该领域全球治理的实现。

三、 规制个人信息跨境流动的多边规则

应对全球问题, 制定国际规范, 建立可预期的国际制度, 进而形成公正、有效的全球化模式是可行路径[27]81。对于个人信息跨境流动下的隐私权保护, 我们首先需要明确已有制度现状, 厘清该领域的典型规则, 从而考虑现有制度中的不足, 再思考如何进行制度的供给或改革。

(一) 价值倾斜

虽然我们强调人权保护与经济发展间的平衡互促, 然而在现有主要制度中, 欧盟模式倾向于人权保护, 即在满足一定条件时, 数据可以流动; 美国模式倾向于数据自由流动, 在特殊情况下允许减损。

欧盟对个人信息保护的探索处在世界前列, 其数据流动规则植根于对人的权利与尊严的维护, 自1995年《个人数据保护指令》(Directive 95/46/EC)后, 欧盟逐渐发展出一套有别于美国的数据保护规则, 奠定了欧洲数据规则雏形[32]1968。该指令对数据跨境流动规定, 只有在第三国满足与该指令相符合的充分保护条件时, 数据方可流动至该国。如此措辞不难发现, 欧盟将对人权的保护置于数据自由流动之上, 并通过充分保护人权增强规则影响力。但该指令制定时间久远, 需要转化为国内法施行, 易造成欧盟成员国国内法异化且效力受损, 为了适应时代发展, 欧洲议会和欧盟理事会制定了《一般数据保护条例》(GDPR)。条例第五章规定了个人数据向第三国或国际组织转移的规则, 在一般原则上承袭了指令的规定, 转移的前提是满足充分保护条件, 并明晰充分保护条件的判断标准。在无法评估充分保护条件时, 控制者或处理者需要提供适当保护措施, 且在保证数据主体权利以及具备有效救济措施时方可转移。另外, 条例赋予数据主体充分权利, 使其具有域外适用效力以扩大管辖范围, 设立独立监管机关, 还规定了严格的处罚条款等以实现个人对其数据的自主控制。

从美国参与和主导的数据流动方面的规则看, 美国倾向于数据自由流动以激发企业创新力, 落脚点在于经济发展。经济与合作发展组织《关于隐私保护和个人跨境数据转移的指南》(OECD Guidelines)规定了国际上数据自由流动, 不得施加不合理限制。亚太经济合作组织《跨境隐私保护规则体系》(CBPRS)与《亚太经合组织隐私保护框架》(《APEC隐私框架》)保持一致。《APEC隐私框架》对个人信息跨境流动规定, 由私人信息控制者采取合理措施确保接收者能够提供与该框架规则相符合的措施, 相较于欧盟的充分保护条件, 其对数据跨境流动的门槛更低。CBPRS具有强烈的美国色彩, 倡导信息自由流动, 鼓励促进电子商务和跨境贸易, 是一个“ 自愿的, 以问责为基础的” 体系, 主要是通过企业自律机制发挥效用, 引入隐私执法机构和问责代理机制。

总之, 欧盟个人数据保护立足于人权保护, 通过以国家为主导的自上而下的路径实施规则; 美国倾向于数字经济发展, 依赖企业自律施行规则[33]12。笔者认为二者不可偏废, 且相辅相成。数据的自由流动对经济发展具有重要价值, 而经济基础的夯实对人权保护制度的完善也有积极作用。电子商务发展中如能较好地保护人权, 将激励人们接纳新型消费方式, 也认可信息流动的意义, 从而促进经济发展。故而国际制度的构建应在二者间寻求动态平衡。2018年10月10日开放签署的《有关个人数据自动化处理之个人保护公约》更新版本作为目前唯一具有法律拘束力的国际性公约就对此做出了尝试①(①Council of Europe, ″Protocol Amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, ″ https://www.coe.int/en/web/conventions/full-list/-/conventions/treaty/223, 2019-01-31.)。

(二) “ 软硬” 失衡

现有规则中, 联合国大会通过的《数字时代的隐私权》、联合国人权理事会第28/16号决议都强调对数字时代的个人信息提供隐私权保护, OECD Guidelines、CBPRS、数据保护与隐私专员国际大会发布的《蒙特勒宣言:全球化世界中个人数据和隐私保护— — 尊重多样性的一致权利》以及联合国国际贸易法委员会通过的《电子商务示范法》等, 虽然具有广泛影响力, 但究其根本都是不具有拘束力的倡议性、原则性的“ 软法” 。其欠缺明确的责任规定和程序设计, 任意性解释空间大, 认可程度上具有随意性, 法律发展具有不规则性等, 如果过度依赖软法将难以实现法治[34]45-46, 希望由成员国国内法转化适用也易造成数据保护规则的碎片化。而像GDPR这样的“ 硬法” 却因过于严苛而难以扩大其全球影响力。GDPR生效后, 美国商务部部长威尔伯· 罗斯就对其持否定态度, 表示GDPR实施会扰乱欧美合作并制造贸易壁垒① ( ①Wilbur Ross, ″EU Data Privacy Laws Are Likely to Create Barriers to Trade, ″ 2018-05-30, https://www.ft.com/content/9d261f44-6255-11e8-bdd1-cc0534df682c, 2019-01-31.)。GDPR具有域外效力, 但如何域外执行以及能否得以执行仍不得而知。而且, “ 硬法” 很大程度是对国家主权的削弱, 这实非国家所愿, 就算欧盟成员国也并非全为GDPR的施行做好准备并乐见其成② ( ②I-SCOOP, ″Why EU Member States and National DPAs Will Not Be Fully Ready for GDPR in Time, ″ 2018-02-16, https://www.i-scoop.eu/european-member-states-dpas-ready-gdpr-time/, 2019-01-31.)。成员国内数据保护水平存在差异, 严厉的规则可能导致企业创新力下降、合规成本增加, 从而挫伤国际贸易的发展。因此, 未来在制度构建上需要加强软硬法结合治理, 走向一种混合法治的新模式[35]108。至于如何混合治理, 这取决于参与者的力量博弈、差异分配程度、政权的组成与性质以及不同的执行方式[36]799。

(三) 适用困难

保护人权与基本自由是联合国的宗旨之一, 联合国对隐私权保护长期关切。《公民权利和政治权利国际公约》(ICCPR)明确了对隐私权的保护, 且规定公约缔约国尊重和保证其领土内和受其管辖的一切个人享有本公约所承认的权利。那么缔约国是否需要保护在其领土外个人的隐私权?这涉及ICCPR的域外适用问题。通说认为, 当个人非位于缔约国领土但处于缔约国实际力量或有效控制下时, ICCPR即具有域外效力[37]621-625。故而, 当个人信息传送至他国, 处于他国实际力量或有效控制下时, 他国应当给予与ICCPR规定一致的保护[38]359-365。但是, 许多国家基于将生命权置于优先地位及反恐等原因, 并未对公民网络隐私给予充分保护, 而人权公约又缺乏强制执行与惩罚的机制[39]676-677。因此, 国家逐渐寄希望于贸易协定来解决问题, 但现有贸易协定仍然存在问题, WTO协定和《全面与进步跨太平洋伙伴关系协定》(CPTPP)即如此。

WTO规则能否直接用以规制数据跨境流动也是广受争议的。有学者认为应首先通过个案分析将贸易类型归类, 如能涵纳于既有协定下, 再进一步讨论系属该协定下的何种模式或部门, 最后判断是否违反协定内容[40]42-44。但对网上交易和传递的数字化产品能否涵纳于既有的WTO协定莫衷一是[41]19, 此时就难以利用WTO规则对个人信息进行隐私权保护。此外, WTO协定旨在促进贸易自由化, 对人权保护关注不足。将保护个人隐私视作例外情形的仅在《服务贸易总协定》中有所规定(第14条)。因此, 利用既有规则应对新问题不免捉襟见肘。对此, 有学者提出, WTO可以采取数据区分方式建立规则[42]323-348; 有学者建议, 因个人、企业和政府在数据跨境流动中各有利益需求, 从而发展出了以美国、欧盟、中国为代表的三种规制路径, WTO需要从三者共性出发制定新规则[43]245-272。这些讨论的共性都在于, 如果要在世贸组织框架下解决问题, 就更寄希望于新的多边规则或《服务贸易协定》可以有所突破, 抑或是WTO能够从已有的治理经验中寻求路径。至于CPTPP, 其明确了电子商务发展过程中对个人信息的保护。在跨境传输信息中, 既肯定缔约方的监管需求, 也表明原则上允许个人信息的跨境传输, 但在为了实现合法的公共政策目标以及在措施合法的情况下可以减损。CPTPP对数据流动的规制仍具有贸易协定的一般问题, 如谈判过程不透明、争端解决程序影响数据保护规则以及条文宽泛、缺乏操作性[20]37。

这些规则对跨境电商发展中个人信息跨境流动的隐私权保护可以起到一定作用, 但其存在的问题也表明, 建构一套适用于数字经济发展的个人信息跨境流动多边规则仍然必要。

四、 规制个人信息跨境流动的国内立法模式

除了国际治理, 全球治理“ 两造” 之另一主体即为国家治理。“ 国家治理是全球治理的核心部分。” [27]80分析各国国内规则可以了解各国规定及发展趋势, 为个人信息跨境流动规制提供借鉴。如今, 数据跨境流动完全自由或是完全限制都无法实现发展, 国家基于不同利益需求会采取不同立法模式, 大致可以分为以下三种① (①此三种模式借鉴了张金平的划分方式, 但将其“ 第三国适当性评估模式” 改为“ 适当性评估模式” , 因为当个人数据转移至国际组织或港澳台地区时仍适用适当性评估; 将“ 数据控制者担保模式” 改为“ 数据控制者确保模式” , 因“ 担保” 一词财产法色彩较重, 易产生歧义。参见张金平《跨境数据转移的国际规制及中国法律的应对— — 兼评我国< 网络安全法> 上的跨境数据转移限制规则》, 载《政治与法律》2016年第12期, 第140-144页。):

(一) 适当性评估模式

据不完全统计, 采取适当性评估模式的国家最多, 包括很多欧盟成员国, 也包括马来西亚、马达加斯加等国② ( ②DLA PIPER, ″Data Protection Laws of the World, ″ 2018.)。欧盟成员国采取此模式是因为其国内法须与GDPR相符合, GDPR第45条第1款规定:“ 个人数据转移至第三国或国际组织, 仅于委员会决定该第三国、第三国国内之领域或特定部门、国际组织确有充分程度之保护时, 方得为之。” 这种评估需要考量的因素包括法治、对人权与基本自由的尊重、国内相关立法、国际规则与判例、行政与司法救济; 执行的充分、与监管机关的合作; 加入的与个人数据相关的国际协定等③ (③参见《一般数据保护条例》, 第45条第2款。)。但值得注意的是, 几乎所有这些国家内, 该模式都并非数据跨境转移的唯一情形, 它们或设置减损条款, 或规定其他情形最终扩大数据转移之可能。例如, 马来西亚《个人数据法案》中规定诸多不适用适当性评估模式的情形④ (④马来西亚《个人数据保护法案2010》, 第128节。), 其中也包括数据控制者确保模式和数据主体同意模式。

适当性评估模式主要为欧盟成员国所采取, 这与欧洲数据保护规则探索已久不无关系, 因而从立法技术、实际操作上看, 该模式都更适合。它的优势在于, 如果满足条件就能促进数据广泛流动, 而对国家、地区和国际组织数据保护制度进行评估有利于法律的和谐, 在评估保护是否充分时采取“ 白名单” 有助于人权保护规则更加透明开放[20]14; 其不足在于, 进行评估程序复杂、耗时较长, 方式选择不当易异化规则, 且因限制严格而阻碍贸易发展[44]134。

(二) 数据控制者确保模式

选择数据控制者确保模式的国家有美国⑤ (⑤美国国家立法中并没有对个人信息跨境流动施以地域限制, 但是大多数美国企业都被要求采取合理措施保护敏感个人信息的安全, 一些州有相关立法。此外, 美国主导CBPRS, 整个规则体系具有美国色彩。美国2018年3月通过的“ CLOUD法案” 中也借鉴了该模式。)、澳大利亚、加拿大、菲律宾、俄罗斯、新加坡等, 大多是APEC成员。这些国家的立法也与《APEC隐私框架》规定相似, 根据《APEC隐私框架》, 个人信息跨境流动不受限制的一个前提是数据控制者采取合理措施确保接收者将采取与框架一致的数据保护措施。该模式选择从企业切入扩大影响力, 不可否认, 其可以创新数据保护路径, 利于形成企业数据保护的最佳实践。但对企业监管困难, 导致新生企业负担过重① (①参见张金平《跨境数据转移的国际规制及中国法律的应对— — 兼评我国< 网络安全法> 上的跨境数据转移限制规则》, 载《政治与法律》2016年第12期, 第143-144页。), 企业固有的利益趋向性也使其难以平衡个人、企业、政府利益。不过, 《APEC隐私框架》在数据跨境转移规制上也纳入了数据主体同意模式, 而澳大利亚Information Privacy Act 2014除了将同意作为例外情形, 还规定了诸多例外② (② Information Privacy Act 2014(Australian Capital Territory), Principle 8.)。

(三) 数据主体同意模式

采用数据主体同意模式的代表国家就是中国。我国《网络安全法》第42条规定:“ 网络运营者不得泄露、篡改、毁损其收集的个人信息; 未经被收集者同意, 不得向他人提供个人信息。” 中国的电子商务发展世界领先, 但数据保护规则仍处于探索阶段。数据主体同意模式相较于前两者更加简便, 将权利赋予个人, 企业也减少了合规成本[20]。由于数据保护规则尚不成熟, 选择由数据主体来决定是否进行跨境转移更符合发展中国家的需求。不过, 实际操作仅就“ 同意” 这一要件就产生诸多困扰。有学者认为它的理论根基不牢固, 同意本身缺乏必要性, 真实性也难以保障, 不符合经济考量, 并且大量例外规定实质上削弱了同意基础的效力[45]128-132。该模式也容易导致数据保护实践的碎片化[20]14。此外, 在有的国家数据主体同意并非个人信息跨境流动的唯一条件, 例如, 根据中国《网络安全法》第37条, 还需进行安全评估, 但此处的评估与适当性评估模式中的评估不同, 主要体现在中国的评估是对内, 是对需要转移的个人信息和重要数据进行评估; 而欧盟成员国是对外, 是对数据流入国的保护水平进行评估。而日本《个人信息保护法》规定, 除了数据主体的同意外, 如果接收者能够持续采取与日本数据保护规定相符合的措施或者接收者所在国家对个人权利的保护程度与日本同等, 那么数据仍可跨境流动③ (③参见《日本个人信息保护法》, 第24条。)。

(四) 总结

三种国内立法模式实则反映了欧盟成员国、美国、中国在数据治理上呈现的三种典型做法。从上述分析看, 目前适当性评估模式采用最多, 一方面源于欧盟的影响力, 另一方面在于其数据保护规则的特性。三者相比较可以发现, 欧盟成员国的适当评估性模式是一种对外的事前防范制度, 美国行业自律+问责制体现为一种事后途径[44], 而中国选择数据主体同意+安全评估则是一种对内的事前防范制度。中国的选择是维护国益、公益的要求, 也是大数据时代下实现国家数据安全的自然应对[46]75。不同模式的存在反映出世界各国在数据保护上存在经济、技术、政治、道德等诸多因素的差异, 也是国家处在国家安全、经济发展和个人隐私之间的“ 三难抉择” 。跨境数据流动的规制是一个复杂问题, 同时涉及国内政策和国际协调, 而政策措施具有天然差异且彼此竞争[47]179。但中国、美国、欧盟作为跨境电商发展的主力军, 为了在数字经济时代谋求长远发展, 更应该去思索三者共性以寻求合作与共赢。现实中也是大多数国家和地区会以一种模式为主, 兼采其他模式或设置其他例外情形以增强法律灵活性, 促进数据跨境流动。因此, 利益并非不可调和, 合作也非无稽之谈。

五、 对中国的启示与建议

根据China Internet Watch的数据显示, 到2020年中国将成为最大的跨境电子商务市场① ( ①CIW, ″Cross-border Consumers to Account for over Half of Total Digital Consumers by 2020, ″ 2016-07-06, https://www.chinainternetwatch.com/18194/embraces-cross-border-e-commerce/, 2019-01-31.)。这意味着中国将更加广泛地参与到个人信息跨境流动中, 因此, 研究如何在促进跨境电子商务发展的同时保护公民个人隐私具有重要意义。鉴于此, 笔者提出如下建议。

(一) 多层面齐头并进构筑法律规则体系

目前, 我国与规制个人信息跨境流动保护相关的规则虽然都在一定程度上明确和加强了个人信息保护② (②例如2016年颁行的《网络安全法》第四章“ 网络信息安全” 对个人信息保护做出了规定; 《民法总则》明确个人信息受法律保护; 《消费者权益保护法》规定消费者享有个人信息依法得到保护的权利; 《侵权责任法》明确对民事权益的保护; 《刑法》及相关司法解释规定了“ 侵犯公民个人信息罪” ; 《计算机信息网络国际联网安全保护管理办法》(2011修订)强调用户的通信自由与通信秘密; 《信息安全技术公共及商用服务系统个人信息保护指南》为个人信息转移提供了指导意见等。), 但仍不健全, 缺乏具体的执行规则[48]115。有学者提议出台专门的个人信息保护法, 并探讨了其立法需求、立法方向、立法模式的选择③ (③例如崔光耀《加快推进个人信息保护立法》, 载《中国信息安全》2018年第3期, 第5页; 佚名《全国人大常委会法工委:正研究个人信息保护立法》, 2018-02-26, http://www.chinanews.com/sh/2018/02-26/8454996.shtml, 2019-01-31; 周汉华《探索激励相容的个人数据治理之道— — 中国个人信息保护法的立法方向》, 载《法学研究》2018年第2期, 第3-23页; 蒋舸《个人信息保护法立法模式的选择— — 以德国经验为视角》, 载《法律科学(西北政法大学学报)》2011年第2期, 第113-120页。)。对此, 笔者认为, 无论是既有法律规则的完善抑或新规则的架构, 都可以借鉴“ 原则+减损” 的模式:以保护为原则, 保护信息的自由流动, 同时也保护隐私权; 以限制为例外, 限制信息跨境转移和限制隐私权。在进行安全评估的前提下, 区分数据性质, 纳入数据主体同意、适当性评估、数据控制者确保模式及其他条件。不同性质的数据在跨境流动中的意义存在差别, 其限制亦应不同。数据分类限制除了考虑法益平衡, 也要兼顾技术发展的现状与未来。而对隐私权的限制不能是任意的和不合法的④ (④参见联合国人权高级专员办事处《第16号一般性意见:第十七条(隐私权)》, 1988年, 第2-4段。), 国内法需要对限制做出规定, 且以保护国家安全或者预防混乱与犯罪等为目的⑤ (⑤ Klass and Others v. Germany, ECHR, Judgement, 1978, para.44.)。限制还必须是为了保护合法目的而必不可少的, 还需要符合相称性原则⑥ (⑥参见联合国人权高级专员办事处 《第27号一般性意见:第十二条(迁徙自由)》, 1999年, 第14段。)。

双边条约⑦ (⑦此部分的“ 双边条约” 与后文“ 多边条约” 中的“ 条约” 一词均采广义, 包括协定、专约、公约、议定书等。参见李浩培《条约法概论》, (北京)法律出版社2003年版, 第21页。)相较于多边条约更易符合缔约国利益考量, 权利义务更加明确, 并且它的监督和执行机制也更严格[49]347。因为各国在跨境数据流动方面对个人信息的隐私保护水平参差不齐, 通过订立双边条约或者纳入相关条款到双边条约中的方式, 中国可在此过程中选择最为符合其制度、技术、经济等情况的方式。《欧美隐私盾协议》就是典型代表, 虽然美、欧在数据保护规定上大相径庭, 但在商业利益的驱动下, 双方仍可达成彼此较为满意的妥协[50]263。而且中国— 澳大利亚、中国— 韩国自贸区协定中已经明确规定“ 在线数据保护” , 保护用户的个人信息, 虽然未细致到个人信息的跨境流动, 但确是良好开端。中国可在双边协定的签署过程中不断细化、推进数据保护规则, 从而扩大中国规则的影响力, 提升中国话语权。

在中国倡导构建人类命运共同体及促进全球治理体系变革的背景下, 物质层面和制度观念层面的全球公共物品是实施全球治理的重要保障, 也是深入推进全球治理的有效途径[51]9-10。全球治理层面的规则重塑是重要策略① (①规则重塑的本质是提供一套新的关于哲学理念和意识形态的系统学说, 这套系统学说至少具备三个方面的特质:一是必须具有内外统一性; 二是必须体现新旧传承性; 三是必须体现时代进步性。参见王鸿刚《中国参与全球治理:新时代的机遇与方向》, 载《外交评论》2017年第6期, 第16-17页。), 而多边条约谈判对此具有积极意义。多边条约的优势[49]327利于催生多边合作② ( ②Kwakwa V., ″Multilateralism for an Inclusive World, ″ 2017-11-01, https://www.worldbank.org/en/news/opinion/2017/11/01/multilateralism-for-an-inclusive-world, 2019-01-31.), 甚至能够发展成为全球性规则, 比如世界贸易组织规则[52]11。并且, 现实也证明多边条约谈判和缔结是国际社会的常态③ (③交存于联合国秘书长的多边条约超过560份, 涉及争端解决、特权与豁免、人权、难民与无国籍人、国际贸易与发展等29个领域, 参见United Nations Treaty Collection, ″Multilateral Treaties Deposited with the Secretary-General, ″ 2019-01-31, https://treaties.un.org/pages/ParticipationStatus.aspx, 2019-01-31。)。因此, 就跨境数据流动中的个人信息隐私权保护, 中国既可以积极参与已有条约, 也可以主动倡导新一轮的多边条约谈判。在多边条约的建构上, 笔者认为中国既要团结发展中国家, 譬如在“ 一带一路” 建设中积极推动中国规则的适用; 也要主动与发达国家求同存异, 例如中国、美国、欧盟三方可以尝试在WTO机制下思索合作的路径[43]。同时, 可以思索、借鉴我们在曾经未知的领域里构建国际规则的经验教训, 例如海洋领域内全球治理路径的探索。而且, 在多边规则建构过程中要加强“ 硬法” 与“ 软法” 间的互动, 视不同情境采取相应举措④ ( ④Shaffer和Pollack对软硬法间的互动提出5种假设:当强国同意时、当强国反对时、当相对弱小国家反对时、执行的递归效应、硬法与软法相互对抗, 并提供了相应建议。详见Shaffer G. & Pollack M.A., ″Hard vs. Soft Law: Alternatives, Complements and Antagonists in International Governance, ″ Minnesota Law Review, Vol.94, No.3(2010), pp.765-798。)。

(二) 多主体齐心协力增强信息隐私保护

根据商务部《中国电子商务报告2017》的数据显示:“ 截至2017年底, 全国网络购物用户规模达5.33亿……经中国海关办理的跨境电子商务清单达6.6亿票……” ⑤ (⑤参见商务部电子商务和信息化司《中国电子商务报告2017》, http://dzsws.mofcom.gov.cn/article/ztxx/ndbg/201805/20180502750562.shtml, 2018年8月23日, 第1页、第4页。)当我们愈发感受到科技带来的便捷时, 也要意识到隐私保护正面临更严峻的威胁。从有关个人信息跨境流动的国际、国内规则中不难发现, 个人在其中发挥着重要作用。数据主体的同意要么为一些国家采纳为主要的数据流动立法模式, 要么作为其他模式下的一项例外情形出现, 因此, 个人应积极主动行使权利, 2018年“ 支付宝年度账单事件” 值得引起关注。

我国《网络安全法》对网络运营者、网络产品或者服务的提供者、关键信息基础设施的运营者的义务都做出了规定。GDPR对企业保护顾客信息施以更加严格的规定, CBPRS也以企业的行业自律和问责为基础。严格的义务规范在某种程度上将压力转移到企业, 企业需增强自身的信息保护技术能力。在保护个人信息跨境流动的具体举措上, 企业可借鉴CBPRS和欧盟《约束性公司规则》(BCRS)采取自我评估、用户授权、合同约定、第三方安全认证等自律方式对个人信息进行管理。此外, 企业也需尽可能在主要营业地设立实体分支机构, 使个人信息受侵害者求助有道。除了硬件层面之外, 企业应增强守法意识。对数据、信息安全法规的遵从程度是衡量社会整体数据、信息安全保障水平的重要标尺[44]136。数据跨境流动中, 企业既需要遵守数据流出国法规, 也需要遵守数据流入国法规。倘若能够形成一个“ 最佳实践” , 则可以此为蓝本进行推广。

信息与网络安全部《2016— 2017年度中国网络空间安全综述》指出, 虽然我国网络发展速度快, 但却面临着严重的网络安全威胁, 并且这种威胁还在呈现新的变化, 诸如网络欺诈、网络攻击、勒索软件等① (①参见《2016— 2017年度中国网络空间安全综述》, 2017年12月25日, http://www.sic.gov.cn/news/91/8705.htm, 2019年1月31日。)。对此, 政府还应加强如下举措:首先, 发展网络安全技术。在跨境电商发展过程中, 除了信息流入国可能会侵害公民隐私外, 信息流出国的信息安全能力也将影响到隐私保护。因此, 政府需要不断探索完善网络安全技术, 诸如将流动的数据进行标识分类, 针对不同类别的信息采取不同的保护方式。其次, 制定网络安全标准, 以标准细化法律规范。有学者指出, 现有的制度设计不足以保障实质性的网络安全, 标准不可避免地落后于现实需要[53]28, 32。欧盟GDPR施行较晚就在于其试图制定一套能够适应时代变化的规则, 但结果也许并非尽如人意。为了弥补标准的滞后性, 可以考虑美国以市场为导向加之以行业自律进行规制的方式, 由市场参与者自主形成标准, 辅以国家参与。最后, 加强国际交流合作。信息流动有利于信息共享, 中国作为电商大国, 应积极构建合作平台, 设计对话机制, 取得信息流动合作的主动权。

跨境电商建设过程中的个人信息跨境流动关涉国家安全、个人隐私、经济发展。中国既是经济大国, 又是人口大国, 在利益间任一偏废都难以实现持久发展。中国需要将这三方面综合考量, 在数字经济发展中砥砺前行, 维持动态平衡, 在此过程中, 着眼多层面构筑法律规则, 并促进其良性互动。

The authors have declared that no competing interests exist.

参考文献
[1] Cukier K. , ″Data, Data Everywhere: A Special Report on Managing Information, ″2010-02-27, https://china.emc.com/collateral/analyst-reports/ar-the-economist-data-data-everywhere.pdf, 2019-01-31. [本文引用:1]
[2] Grünewald O. , No Transfer, No Trade: The Importance of Cross-border Data Transfers for Companies Based in Sweden, Stockholm: Kommerskollegium, 2014. [本文引用:2]
[3] Meltzer J. P. , ″The Internet, Cross-border Data Flows and International Trade, ″ Asia & the Pacific Policy Studies, Vol. 2, No. 1(2014), pp. 90-102. [本文引用:1]
[4] Pepper R. , Garrity J. & LaSalle C. , ″Cross-border Data Flows, Digital Innovation, and Economic Growth, ″http://www3.weforum.org/docs/GITR2016/WEF_GITR_Chapter1.2_2016.pdf,2018-08-23. [本文引用:1]
[5] Consulate-General of the Kingdom of the Netherland s in Shanghai, ″China Cross-border E-commerce Guidebook, ″https://www.rvo.nl/sites/default/files/2017/03/Cross-Border%20E-commere%20Guidebook%20FINAL%20FINAL.PDF, 2019-01-31. [本文引用:1]
[6] 赵骏、干燕嫣: 《变革中的国际经贸规则与跨境电商立法的良性互动》, 《浙江大学学报(人文社会科学版)》2017年第6期, 第88-102页.
[Zhao Jun & Gan Yanyan, ″Healthy Interaction Between the Changing International Economic and Trade Rules and Cross-border E-commerce Legislation, ″ Journal of Zhejiang University( Humanities and Social Science), No. 6(2017), pp. 88-102. ] [本文引用:2]
[7] Meltzer J. P. & Lovelock P. , Regulating for a Digital Economy: Understand ing the Importance of Cross-border Data Flows in Asia, Washington D. C. : Brookings, 2018. [本文引用:1]
[8] The Software Alliance, ″Cross-border Data Flows, ″2017, https://www.bsa.org/~/media/Files/Policy/BSA_2017CrossBorderDataFlows.pdf,2019-01-31. [本文引用:1]
[9] Kuner C. , ″Regulation of Transborder Data Flows under Data Protection and Privacy Law: Past, Present, and Future, ″ OECD Digital Economy Papers, No. 187(2011), pp. 1-39. [本文引用:3]
[10] de Vries W. T. , ″Protecting Privacy in the Digital Age, ″ Berkeley Technology Law Journal, Vol. 18, No. 1(2003), pp. 283-311. [本文引用:1]
[11] 张里安、韩旭至: 《大数据时代下个人信息权的私法属性》, 《法学论坛》2016年第3期, 第119-129页.
[Zhang Li'an & Han Xuzhi, ″The Private Law Nature of Personal Information Right in the Big Data Era, ″ Legal Forum, No. 3(2016), pp. 119-129. ] [本文引用:1]
[12] 王利明: 《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》, 《现代法学》2013年第4期, 第62-72页.
[Wang Liming, ″Legal Protection of Personal Information: Centered on the Line Between Personal Information and Privacy, ″ Modern Law Science, No. 4(2013), pp. 62-72. ] [本文引用:2]
[13] 李延舜: 《个人信息权保护的法经济学分析及其限制》, 《法学论坛》2015年第3期, 第43-53页.
[Li Yanshun, ″The Analysis of Law and Economics of the Protection of Personal Information and Its Restrictions, ″ Legal Forum, No. 3(2015), pp. 43-53. ] [本文引用:1]
[14] 杨惟钦: 《价值维度中的个人信息权属模式考察——以利益属性分析切入》, 《法学评论》2016年第4期, 第66-75页.
[Yang Weiqin, ″Inspecting Ownership Pattern of Personal Information in Value Dimension, ″ Law Review, No. 4(2016), pp. 66-75. ] [本文引用:1]
[15] 王泽鉴: 《人格权法》, 北京: 北京大学出版社, 2013年.
[Wang Zejian, The Law of Personality Right, Beijing: Peking University Press, 2013. ] [本文引用:1]
[16] 佟柔主编: 《中国民法》, 北京: 法律出版社, 1990年.
[Tong Rou(ed. ), Chinese Civil Law, Beijing: Law Press·China, 1990. ] [本文引用:1]
[17] 马特、袁雪石: 《人格权法教程》, 北京: 中国人民大学出版社, 2007年.
[Ma Te & Yuan Xueshi, The Course of Personality Right Law, Beijing: China Renmin University Press, 2007. ] [本文引用:1]
[18] Cohen B. , Hall B. & Wood C. , ″Data Localization Laws and Their Impact on Privacy, Data Security and the Global Economy, ″ Antitrust, Vol. 32, No. 1(2017), pp. 107-114. [本文引用:1]
[19] Svantesson D. J. B. , ″The Regulation of Cross-border Data Flows, ″ International Data Privacy Law, Vol. 1, No. 3(2011), pp. 180-198. [本文引用:1]
[20] UNCTAD, Data Protection Regulation and International Data Flows: Implications for Trade and Development, New York: United Nations Publications, 2016. [本文引用:5]
[21] The World Bank, World Development Report2016World Development Report 2016: Digital Dividends, http://www.worldbank.org/en/publication/wdr2016,2018-08-23. [本文引用:1]
[22] Kane M. J. & Ricks D. A. , ″Is Transnational Data Flow Regulation a Problems?″ Journal of International Business Studies, Vol. 19, No. 3(1988), pp. 477-482. [本文引用:1]
[23] 程啸: 《论大数据时代的个人数据权利》, 《中国社会科学》2018年第3期, 第102-122、207-208页.
[Cheng Xiao, ″Personal Data Rights in the Era of Big Data, ″ Social Sciences in China, No. 3(2018), pp. 102-122, 207-208. ] [本文引用:1]
[24] Council of Europe, ″Explanatory Report to the Protocol Amending the Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data, ″2018-10-10https://rm.coe.int/16808ac91a,2019-01-31. [本文引用:1]
[25] 范为: 《大数据时代个人信息定义的再审视》, 《信息安全与通信保密》2016年第10期, 第70-80页.
[Fan Wei, ″Rethinking of Personal Data in Big-data Age, ″ Information Security and Communications Privacy, No. 10(2016), pp. 70-80. ] [本文引用:1]
[26] 曾令良: 《国际法治与中国法治建设》, 《中国社会科学》2015年第10期, 第135-146页.
[Zeng Lingliang, ″International Rule of Law and Rule of Law Construction in China, ″ Social Sciences in China, No. 10(2015), pp. 135-146. ] [本文引用:1]
[27] 赵骏: 《全球治理视野下的国际法治与国内法治》, 《中国社会科学》2014年第10期, 第79-99、206-207页.
[Zhao Jun, ″International and Domestic Rule of Law from the Perspective of Global Governance, ″ Social Sciences in China, No. 10(2014), pp. 79-99, 206-207. ] [本文引用:3]
[28] 刘雪莲、姚璐: 《国家治理的全球治理意义》, 《中国社会科学》2016年第6期, 第29-35页.
[Liu Xuelian & Yao Lu, ″The Implications of State Governance for Effective Global Governance, ″ Social Sciences in China, No. 6(2016), pp. 29-35. ] [本文引用:1]
[29] 刘贞晔: 《全球治理与国家治理的互动: 思想渊源与现实反思》, 《中国社会科学》2016年第6期, 第36-46页.
[Liu Zhenye, ″The Interplay Between Global and State Governance: Theoretical Origins and Practical Reflections, ″ Social Sciences in China, No. 6(2016), pp. 36-46. ] [本文引用:1]
[30] Davis K. & Trebilcock M. J. , ″What Role Do Legal Institutions Play in Development, ″1999-10-20, https://www.imf.org/external/pubs/ft/seminar/1999/reforms/trebil.pdf,2019-01-31. [本文引用:1]
[31] Ferretti F. , The Law and Consumer Credit Information in the European Community: The Regulation of Credit Information Systems, London: Routledge-Cavendish, 2008. [本文引用:1]
[32] Schwartz P. M. , ″The EU-U. S. Privacy Collision: A Turn to Institutions and Procedures, ″ Harvard Law Review, Vol. 126, No. 7(2013), pp. 1966-2009. [本文引用:1]
[33] Gady F. -S. , ″EU/US Approached to Data Privacy and the 'Brussels Effect': A Comparative Analysis, ″ Georgetown Journal of International Affairs, International Engagement on Cyber Ⅳ(2014), pp. 12-23. [本文引用:1]
[34] 何志鹏、孙璐: 《国际软法何以可能: 一个以环境为视角的展开》, 《当代法学》2012年第1期, 第36-46页.
[He Zhipeng & Sun Lu, ″How Is Soft International Law Possible, ″ Contemporary Law Review, No. 1(2012), pp. 36-46. ] [本文引用:1]
[35] 罗豪才、周强: 《软法研究的多维思考》, 《中国法学》2013年第5期, 第102-111页.
[Luo Haocai & Zhou Qiang, ″Multidimensional Thoughts on Soft Law Research, ″ China Legal Science, No. 5(2013), pp. 102-111. ] [本文引用:1]
[36] Shaffer G. & Pollack M. A. , ″Hard vs. Soft Law: Alternatives, Complements and Antagonists in International Governance, ″ Minnesota Law Review, Vol. 94, No. 3(2010), pp. 706-799. [本文引用:1]
[37] Paust J. J. , ″Can You Hear Me Now? Private Communication, National Security, and the Human Rights Disconnect, ″ Chicago Journal of International Law, Vol. 15, No. 2(2015), pp. 612-651. [本文引用:1]
[38] Bignami F. & Resta G. , ″Human Rights Extraterritoriality: The Right to Privacy and National Security Surveillance, ″ in Benvenisti E. & Nolte G. (eds. ), Community Interests Across International Law, Oxford: Oxford University Press, 2018, pp. 357-380. [本文引用:1]
[39] Aaronson S. A. , ″Why Trade Agreements Are Not Setting Information Free: The Lost History and Reinvigorated Debate over Cross-border Data Flows, Human Rights and National Security, ″ World Trade Review, Vol. 14, No. 4(2015), pp. 671-700. [本文引用:1]
[40] 陈咏梅、张姣: 《跨境数据流动国际规制新发展: 困境与前路》, 《上海对外经贸大学学报》2017年第6期, 第37-52页.
[Chen Yongmei & Zhang Jiao, ″New Developments in International Regulation Formulation in Cross-border Data Flow: Dilemma and the Way Forward, ″ Journal of Shanghai University of International Business and Economics, No. 6(2017), pp. 37-52. ] [本文引用:1]
[41] 龚柏华: 《论跨境电子商务/数字贸易的“eWTO”规制构建》, 《上海对外经贸大学学报》2016年第6期, 第18-28页.
[Gong Baihua, ″On the Framework of Agreement of Cross Board E-commerce/Digit Trade('eWTO'), ″ Journal of Shanghai University of International Business and Economics, No. 6(2016), pp. 18-28. ] [本文引用:1]
[42] Sen N. , ″Understand ing the Role of the WTO in International Data Flows: Taking the Liberalization or the Regulatory Autonomy Path?″ Journal of International Economic Law, Vol. 21, No. 2(2018), pp. 323-348. [本文引用:1]
[43] Aaronson S. A. & Leblond P. , ″Another Digital Divide: The Rise of Data Realms and Its Implications for the WTO, ″ Journal of International Economic Law, Vol. 21, No. 2(2018), pp. 245-272. [本文引用:2]
[44] 许多奇: 《个人数据跨境流动规制的国际格局及中国应对》, 《法学论坛》2018年第3期, 第130-137页.
[Xu Duoqi, ″International Pattern of Personal Data Cross-border Flow Regulation and China's Response, ″ Legal Forum, No. 3(2018), pp. 130-137. ] [本文引用:3]
[45] 任龙龙: 《论同意不是个人信息处理的正当性基础》, 《政治与法律》2016年第1期, 第126-134页.
[Ren Longlong, ″Consent Is Not the Legitimate Basis of Personal Information Processing, ″ Political Science and Law, No. 1(2016), pp. 126-134. ] [本文引用:1]
[46] 洪延青: 《数据出境安全评估: 保护我国基础性战略资源的重要一环》, 《中国信息安全》2017年第6期, 第73-76页.
[Hong Yanqing, ″The Cross-border Data Flows Security Assessment: An Important Part of Protecting China's Basic Strategic Resources, ″ China Information Security, No. 6(2017), pp. 73-76. ] [本文引用:1]
[47] 黄宁、李扬: 《“三难选择”下跨境数据流动规制的演进与成因》, 《清华大学学报(哲学社会科学版)》2017年第5期, 第172-182、199页.
[Huang Ning & Li Yang, ″The Evolutionary Trend of Trans-border Data Flows Regulation and Its Cause Analysis, ″ Journal of Tsinghua University( Philosophy and Social Science), No. 5(2017), pp. 172-182, 199. ] [本文引用:1]
[48] 曹杰、王晶: 《跨境数据流动规则分析——以欧美隐私盾协议为视角》, 《国际经贸探索》2017年第4期, 第107-116页.
[Cao Jie & Wang Jing, ″An Analysis of Cross-border Data Flow Rule from the Perspective of EU-US Privacy Shield, ″ International Economics and Trade Research, No. 4(2017), pp. 107-116. ] [本文引用:1]
[49] Blum G. , ″Bilateralism, Multilateralism, and the Architecture of International Law, ″ Harvard International Law Journal, Vol. 49, No. 2(2008), pp. 323-379. [本文引用:2]
[50] Deckelboim S. J. , ″Consumer Privacy on an International Scale: Conflicting Viewpoints Underlying the EU-U. S Privacy Shield Framework and How the Framework Will Impact Privacy Advocates, National Security and Business, ″ Georgetown Journal of International Law, Vol. 48, No. 1(2016), pp. 263-296. [本文引用:1]
[51] 蔡拓: 《全球治理与国家治理: 当代中国两大战略考量》, 《中国社会科学》2016年第6期, 第5-14页.
[Cai Tuo, ″Global Governance and State Governance: Two Strategic Considerations in Contemporary China, ″ Social Sciences in China, No. 6(2016), pp. 5-14. ] [本文引用:1]
[52] van Grasstek C. , The History and Future of the World Trade Organization, Geneva: World Trade Organization Publications, 2013. [本文引用:1]
[53] 洪延青: 《“以管理为基础的规制”——对网络运营者安全保护义务的重构》, 《环球法律评论》2016年第4期, 第20-40页.
[Hong Yanqing, ″Security Obligation of Network Operator: A Regulatory Approach Based on Management, ″ Global Law Review, No. 4(2016), pp. 20-40. ] [本文引用:1]