国家安全视阈下跨境数据流动的数字贸易新规制探析

徐 莉，林晓茵

(长沙理工大学 法学院，湖南 长沙 410114)

伴随着数字贸易在全球范围内的扩张和发展，跨境数据流动在国际经贸活动中的重要意义日益凸显。该新型贸易模式在给一国数字经济发展带来动力的同时，也可能对国家安全产生负面影响。2013年的“棱镜门”事件爆发后，尤其引起了世界各国对国家安全保护的高度关切。但现行数字贸易国际规则还很不完善，难以解决当前数据跨境流动给国家安全带来的挑战，亟须国际社会构建一套兼顾国家安全与跨境数据自由流动的数字贸易新规则。

一、跨境数据流动及相关概念的厘清

(一)从电子商务到数字贸易

早期国际社会通常采用“电子商务”一词来命名此种新型贸易形式，WTO已明确定义为：“以电子方式进行生产、分销、营销、销售或交付货物和服务。”[1]该定义在界定范围上涵盖了货物利用平台的跨境销售以及数字化内容和服务的跨境传输[2]，而我国《电子商务法》中的“电子商务”仅包含货物贸易，涵盖范围则相对较小。在新近的FTA(自由贸易协定)和WTO成员方的提案中，美国和巴西都提议用“数字贸易”取代“电子商务”。美国国际贸易委员会(USITC)则将“电子商务”定义为：“互联网以及基于互联网技术在产品和服务的订购、生产或交付中发挥重要作用的国内及国际贸易。”[3]由此看来，传统“电子商务”仅指通过互联网所进行的货物贸易或服务贸易，涵盖范围小，而“数字贸易”的范围相对广泛，其核心在于跨境数据流动，包括但不限于电子商务在内的所有通过电子方式进行贸易的相关领域。

虽然在WTO诸边谈判中有成员方提出将“电子商务”更名为“数字贸易”，但只有少数成员方主张严格区分这两个概念，大多数成员方则不然[4]。目前学界也尚未对“数字贸易”作出统一的界定，所以实践中通常未明显区分“数字贸易”“电子商务”和“数字经济”等词语，并允许互换使用[5]。鉴于本文所探讨的主题为跨境数据流动的国际法规制，如无特别说明，也将不对“电子商务”和“数字贸易”这两个概念进行严格区分。

(二)跨境数据流动的含义

在经济全球化的背景之下，跨境数据流动作为数字贸易的核心手段深刻影响着数字经济这一新的经济业态的发展，数据对于经济活动和贸易的作用也愈发关键。通常而言，数据就是以电子化方式存储的资料。但随着数字贸易的不断扩张，“数据”的内涵和外延也在不断扩充。就跨境数据流动而言，其所涵盖的数据范围涉及电子商务、货物贸易和服务贸易，可泛指“与国际贸易有关的数据”。从国家安全的角度来说，商业数据、政府数据等非个人数据与个人数据同等重要，如果不能保障这些数据的安全，社会稳定和国家安全也会受到威胁。因此，本文所探讨的数据应当是指在一国境内所产生或收集的、机器可读的电子数据(与该国公民、企业、政府有关的数据)。

数据作为跨境数据流动的对象已在上文中得以廓清，那么跨境数据流动的“跨境”则需进一步明确。跨境数据流动中的“数据”应当是一种机器可读的电子化数据，所以跨越国界不应当再是跨境数据流动的必需环节，即使数据未出境但只要能被境外主体所控制(包括查阅、访问等)即可被认为是数据出境[6]。而跨境数据流动的方式是多样的，但只要达到数据出境的效果即可，让境外主体可获取，不论其流动方式如何。因此，本文认为跨境数据流动是指在一国境内未公开的能被机器所识别的电子化数据，不论其是否跨越国界，但能够被第三国主体所掌控，进行一系列数据处理活动。

二、跨境数据流动与国家安全价值的冲突

2020年8月，时任美国总统特朗普以中国企业对在美运营的移动应用程序“TikTok”的数据利用可能威胁美国国家安全为由，连续签发两个行政命令封杀该应用程序。数据利用包括收集、处理和传输等一系列使用行为，而美国声称“TikTok”将用户数据发送至中国[7]，本案应属于数据利用中的跨境数据流动问题。

跨境数据自由流动极其容易在国际贸易中触发国家安全问题，因此我国在WTO电子商务规则谈判中指出了跨境数据流动对贸易发展的重要性，但跨境数据流动应以安全为前提，我国相关数据立法中同时明确规定了数据本地化要求，以限制跨境数据流动，维护国家安全。在最新的《区域全面经济伙伴关系协定》(RCEP)中也体现了我国促进跨境数据自由流动的立场，同时明确反对以数据本地化为代表的“数字壁垒”，并通过例外条款规则赋予跨境数据流动规制合法性，维护国家安全利益。可见，我国坚持在安全可控前提下的跨境数据自由流动，对国家安全高度关切。而美国恰恰与我国相反，通过推行跨境数据自由流动政策以为美国企业破除数字贸易壁垒，并极力反对数据本地化措施，还在《国际服务贸易协议》(TiSA)谈判中递交了关于禁止数据本地化存储的提案，且未规定任何例外[8]。2020年生效的《美墨加协定》(USMCA)第19章第19.11条也明确禁止对计算设施位置进行限制，美国在WTO电子商务规则谈判中也体现了该立场。但极具讽刺的是美国针对“TikTok”一案的行为却与其国际立场截然不同。在跨境数据流动方面，美国媒体指责“TikTok”的理由在于企业相关隐私协议中明确表示“TikTok可以与我们公司集团的母公司共享用户信息”，而这种指责纯属断章取义[9]。实际上《隐私协议》中的跨境数据流动存在限制前提，“只有在合并或破产的情况下与母公司共享数据”[10]。退一步来说，即使“TikTok”向境外传输数据，也是符合美国跨境数据自由流动主张的。此外，“TikTok”主动积极采取数据美国本地化，美国只要采取检查监督等方式以维护国家安全即可，却不遗余力地直接封杀，实质上是借国家安全之名实施贸易打压。

“TikTok”所面临的困境正凸显了跨境数据流动与国家安全的冲突，一方面美国为获得跨境数据自由流动带来的经济效益，在国际实践中推行较为自由化的规制政策，批评其他国家的数据本地化措施，并视为数据保护主义；另一方面美国为消除中国等国家的互联网企业崛起对其互联网主导地位的不利影响，在国内以保障国家安全为名限制跨境数据流动，使得外国企业处处掣肘，以保护美国企业。当然目前并不存在对跨境数据流动不做完全限制的国家，区别就在于“限制”的范围和程度，其判断标准则需要结合一国的国家任务或目标进行权衡。跨境数据自由流动与国家安全保护之间并非相互对立，应当是有机统一，一国可以在跨境数据自由流动的状态下，基于国家安全保护的合法性政策目标，通过规制措施来维护国家安全利益。

三、基于国家安全保护的跨境数据流动国际法规制现状及评析

当前跨境数据自由流动虽已成为各国共识，但出于对国家安全的考虑，需协调两者之间的关系。各国可以运用国际条约中的“国家安全例外”条款对跨境数据流动进行规制，WTO相关协定及区域协定对此作出了制度回应。

(一)WTO“国家安全例外”条款

WTO多边贸易规则明确规定了“国家安全例外”条款，允许成员方采取规制措施限制跨境数据自由流动以保护本国“基本安全利益”，聚焦于GATT1994第21条①和GATS第14条第2款(a)项②，且近年来援引该条款为由限制跨境数据流动有加强趋势。

GATT1994第21条是对“国家安全例外”规定的具体阐述，其中a款规定直接关联跨境数据流动问题。根据该条款，成员方可出于维护国家安全利益目的而限制或禁止跨境数据自由流动。GATS第14条第2款也做出了类似规定，这两项规定颇为相似，但均有别于WTO多边规则中的一般例外条款，国家安全例外被多数成员方认为已经超出WTO的司法审查机制，成员方可以基于国家安全考量行使自由裁量权[11]。具体体现于两个“其认为”的规定上，即“其认为重要的利益”和“其认为必要的措施”。但也有一部分西方学者认为，WTO专家组和上诉机构对审查国家安全措施必要性扮演重要角色，一旦放任不管将会影响某些基于国家安全利益目标援引该条款的成员方的权利行使[12]。为在一定程度上限制自由裁量权的行使，实践中对在适用该条款时也要满足类似于GATT1994第20条一般例外的“必需性测试”，符合“其认为对保护其基本安全利益所必需的”范围。“国家安全”在WTO例外条款中被表述为“基本安全利益”，各国可自行解释，具有一定的主观判断色彩，但并非所有与跨境数据流动安全有关的问题都是WTO安全例外中的国家安全问题，对此要限制好跨境数据流动基本安全利益范围，并恪守善意原则。不能将“基本安全利益”直接视为“一般安全利益”，在适用上也必须采取更高标准。

我国实施数据本地化措施正是以维护国家安全为目标宗旨，其正当性主要来源于WTO体制下的“国家安全例外”条款。数据本地化措施所维护的国家安全可以理解为两部分，一是包括数据安全和网络安全在内的非传统国家安全事项，二是与跨境流动的数据密切相关的政治军事安全等传统国家安全事项。对于传统国家安全事项尚无争议，而数据安全、网络安全等非传统国家安全倘若在当前大数据背景之下，无法得到保障时也可能进一步转化为传统国家安全问题[13]。我国的数据本地化措施在措辞和具体实施上均满足非歧视要求，也符合善意原则，应当认为满足其“基本安全利益”要素。虽然我国采取的数据本地化措施不构成对WTO义务的违反，但就目前各国在WTO电子商务首轮谈判中提交的提案来看，大多数成员都主张消除数据本地化措施以促进跨境数据流动，与我国立场直接相冲突，对此中国提案暂时回避了该问题。尽管现有的WTO协定能够在理论上兜底数字贸易的部分新问题，但许多条款在适用上具有较大的局限性，而将数据本地化措施置于WTO多边规则下的讨论还处于理论层面，尚不成熟[14]。至此我国在实施数据本地化措施的一系列行为饱受西方国家质疑，回避自然无法弥合立场差异，而中国要在WTO电子商务谈判中就数据本地化问题做出让步，还须以完善的跨境数据流动国家安全规则为前提，探索在新平台、新框架下的数据治理思路。

2019年底，WTO上诉机构停摆，国家安全视阈下的跨境数据流动面临严峻形式。一方面，原有“国家安全例外”规则是基于传统安全概念所设立的，具有滞后性，难以应对快速发展的数字贸易现状；另一方面，成员方在安全例外原则之下的自由裁量权较大，加之WTO争端解决机制的缺失，国家安全例外被滥用的可能性大大加强。为化解上诉机构僵局，2020年4月建立了“多方临时上诉仲裁安排”(MPIA)，但作为一个临时应急方案，仍存在较大争议，难以回应多边贸易机制的复杂问题。因此，当前依靠WTO多边贸易规则解决因“国家安全保护”引发的跨境数据流动争端难度较大，WTO改革迫在眉睫。

(二)区域贸易协定中的“国家安全例外”条款

WTO框架下的电子商务多边讨论由于多哈回合谈判中止而搁浅，为更好地维护国家安全利益，许多国家开始通过订立区域贸易协定的方式来促进局部的跨境数据流动，但大多是在WTO“国家安全例外”条款的基础上进行修改补充，其中RCEP具有一定的代表性。

RCEP于2020年11月15日正式签署，其中的电子商务章节首次纳入了符合我国法律规定的跨境数据流动和数据本地化存储规定，是我国在电子商务领域的最新谈判成果。RCEP明确了跨境电子商务活动中的数据流动自由原则，并允许跨境数据自由流动的例外规制。既包括传统的公共政策目标例外，还新加入了“基本安全例外”，具体体现于RCEP第15条规定③，这是第一次将安全例外规定写入贸易协定“电子商务”章节之中。同时，RCEP第17章“一般条款和例外”中的第13条④采取了与GATT1994第21条相似的行文结构，专门规定了安全例外。RCEP第12章和第17章虽都规定了“安全例外”，但二者并不完全重复，“电子商务”章节下的安全例外具有重要意义，因为第17章对基本安全利益只规定了信息披露例外，而第12章的规定包括了采取“必需的任何措施”的例外，并且是“缔约方认为所必需的”，在这一例外情况下，只需采取规制措施的国家证明其所采取的措施符合保护国家基本安全利益的“必需”范围即可[15]。也就是说，只要RCEP成员方认为某一跨境数据自由流动行为对本国基本安全利益造成了挑战，就可以采取措施来限制数据的跨境自由流动。此处对“基本安全利益”的界定，应当与GATT1994第21条“安全例外”和GATS第14条第2款的理解与适用保持一致。

RCEP打破了当前发达经济体主导国际经贸规则制定的局面，在该协定中“中式模版”立场初显，进一步明确了我国坚持安全可控前提下的电子商务贸易自由的基本立场和关键诉求，尤其体现于数据本地化存储例外规定之中。以美国为代表的发达经济体严格禁止数据本地化措施，《美墨加最新协定》(USMCA)第19章“数字贸易”就完全删除了TPP第14.13.1条有关“监管需求”的例外规定和第14.13.3条合法公共政策目标例外，再次重申了“禁止数据本地化存储”诉求[16]。RCEP也支持对数据本地化措施进行限制⑤，但考虑到完全的数据本地化或完全的禁止数据本地化均不利于数字贸易的发展，为此将“公共政策目标”和“基本安全利益”列为数据本地化措施的例外。相较于USMCA完全禁止数据本地化的立场而言，RCEP更加务实可行，也符合广大发展中国家的利益。但与WTO框架下的“国家安全例外”条款相比，RCEP基本安全利益例外并没有做出非常详细的解读。这是一项具有自我判断性质的安全例外条款，是一种更普遍且广泛的例外，具有较大的灵活性，更有利于各国保护其国家安全利益。但是限制数据本地化措施的根本目的在于对数据安全和价值的直接、极端的控制行为进行遏制，同时又将这种控制行为规定为例外情形，尤其是在“基本安全例外”的表述较为绝对的情况下，能否顺利达到限制数据本地化措施的目的，仍然存疑。

《全面与进步跨太平洋伙伴关系协定》(CPTPP)基本延续了GATT1994和GATS关于例外规定的基本精神，但在国家安全例外规定上更为简单和模糊。根据CPTPP第29.2条规定⑥，成员方有权限制其认为违反本国实质安全的数据跨境流动，以维持国际和平与安全，或者保护本国的基本安全利益。该条款的不足同RCEP的基本安全例外规定类似，从发展的角度来说，模糊的安全例外条款能够囊括更多影响国家安全利益的情形，但模糊性越大，适用上的不确定性也越大，那么援引该条款进行抗辩的成功率就越小，甚至可能滋生“贸易保护主义”。不过CPTPP的率先签署和实施，对RCEP、USMCA等都起到了借鉴作用，而未来CPTPP和RCEP的联动，将共同推动亚太经济贸易一体化并重塑国际经贸秩序，中国也表示将积极考虑加入CPTPP。

四、基于国家安全保护的跨境数据流动规制完善建议

当前数字贸易蓬勃发展，传统数据治理机制在实践中遭遇阻力，未来全球数据治理还将更加直面发展与安全的权衡和博弈。就国际法领域而言，不仅需要达到各国政策理念的调和，还需要一套能够防止数据主权滥用、兼顾国家安全利益的跨境数据流动机制。

(一)进一步明确WTO安全例外规定范围，建立统一的安全评估和互信机制

WTO作为全球唯一有权处理国家间贸易规则的国际组织，为跨境数据流动搭建全球治理沟通平台，而WTO协定中的GATS、GATT1994等多边协定则为跨境数据流动国际规制提供了重要的规则基础。因此，未来WTO还将继续发挥其平台作用，并结合现有规则基础和数字贸易新格局进行相应的制度改革。

1.进一步明确跨境数据流动国家安全例外情形范围

WTO协定对促进跨境数据流动与国家安全平衡发展占据重要地位，但其法律框架的缺陷却削弱了自身对全球数字贸易规制的有效性，尤其体现于关于国家安全例外规定的立法措辞的模糊性上，一般来说，当各国援引例外条款来寻求本国规制措施的合理性时，GATS或GATT1994所规定的例外情形需要狭义的解释来限定其适用范围，而目前几何级数增长的跨境数据流动还需要细分出哪一部分属于安全例外，哪一部分属于正常的商业范畴，然而当前决策尚未同意调整WTO协定的立法措辞来进一步明确有关规范[17]。对此，WTO应当充分利用现有的一般安全例外条款，进一步明确跨境数据流动例外情形规定范围。就各国而言，在制定跨境数据流动政策时，也应当首先界定各国如何及何时能够以保护国家安全的名义适用例外规定限制跨境数据流动。

2.在全球范围内建立统一的安全评估和互信机制

目前多数国家为保护国家安全而制定的限制数据跨境流动政策呈现出各自为营的保守甚至敌对状态，即便是极力主张跨境数据自由流动的美国也为保护其国家安全利益实施了一些限制跨境数据流动的措施[18]。各国强制实施相互冲突甚至敌对的数据保护措施，只会造成贸易保护主义的恶性循环，阻碍全球数字经济发展。因此，当前的可行路径便是利用WTO平台建立统一的数据跨境流动的安全评估和互信机制。参照欧盟的“充分保护水平”认定原则，其核心思路是建立一套体系化的数据跨境流动评估框架，将符合认定标准的国家或地区纳入其白名单之内。进行安全评估时，应综合考虑数据的本身属性和出境目的，以及数据流入国的安全保护能力、政治法律环境等一系列因素，同时还要考虑政府部门调取数据的法律权力。此外，还可以进一步将评估结果与安全例外条款的相应善意义务挂钩，对评估结果良好、信誉度高的国家，在跨境数据流动中可以进一步放宽安全例外条款的适用审查。总之，在全球范围内建立相对统一的数据跨境流动风险控制模式和互通机制，彼此承诺不滥用数据流动的优势地位，有限度地行使数据主权，这些无不对促进数据跨境流动中的国家安全保护产生巨大的促进作用[19]。

(二)坚持在数据本地化政策前提下，实施跨境数据分级分类监管

每个国家都有自身特殊的政治体制和文化传统，发展中国家相较于发达国家而言则会更加关注国家安全，采取保守的跨境数据流动规制措施，是对其国内需要所作出的回应。虽然规制措施可能对数字贸易产生一定的不利影响，但WTO协定并未限制或禁止国家主权对跨境数据流动进行规制，国际上理应尊重这类措施[20]。基于此，以中国为首的广大发展中国家在实施与跨境数据流动相关的规制措施中，应继续坚定立场，合法合理地保护国家安全。

不可否认，跨境数据自由流动会对国家安全带来诸多挑战，但就中国将进一步融于全球数字经济的发展前景来看，中国应尽可能平衡好国家安全和跨境数据流动的关系。未来应在坚持数据本地化政策的前提下，充分运用例外条款保障国家安全，明确好涉及国家安全的重要数据内涵及范围，并根据数据出境、泄露、滥用等问题对国家安全的影响程度划分出境风险等级，实施分级保护，对不同级别的数据跨境流动采用不同的灵活监管规制方式[21]。对于涉及国家安全及社会重大公共利益的数据，禁止跨境流动，要求在境内的数据中心进行存储和处理，并进一步明确国家安全概念及适用条件，实施严厉的数据跨境流动管控措施；对于一般性行业数据和政府公开数据，根据双边或多边协议规定弹性化实施跨境数据流动限制；而对于公开的个人数据，原则上应当促进其数据跨境自由流动。

(三)寻求国家间共识，减少不必要限制，防止以国家安全之名的数据保护主义

由于目前各国在跨境数据流动领域的立场差异，导致国际数字贸易治理规则“碎片化”，难以采取统一行动规范跨境数据流动，以至于美国有机可乘，对“TikTok”等中国互联网企业进行打击[22]。数字贸易中的跨境数据流动问题已成为全球治理问题，为更多地维护各国国家安全利益，各国应当就此寻求共识，减少不必要的限制，防止类似于美国以国家安全之名实施的数据保护主义。中国作为一个负责任的大国，也应在跨境数据流动国际规则构建领域发挥积极作用，可寻求与有类似诉求的国家和地区进行合作，在国际层面上构建符合自身基本国家利益诉求的跨境数据流动规则，通过签订区域贸易协定方式来扩大自身诉求的影响范围，争夺国际规则制定的话语权，构建有利于自身数字贸易发展的国际规则，消除数据保护主义[23]。

在数据本地化存储问题上，一方面各国都应当保持足够的战略定力，坚持数据主权优先原则，确保数据安全和国家安全。另一方面，也要考虑在保障数据安全和国家安全的基础上对某些存储地限制的适当放宽。例如对一些纯商务型的数字企业，如果其采集数据的类型、规模不存在明显的国家安全隐患，可适当放宽对其数据存储地的限制。阿里巴巴在拓展海外市场的过程中，就曾先后将数据存储在马来西亚、美国、澳大利亚等中国以外的国家[24]。而这一行为不仅有利于企业更好地融入当地市场，也能够助力当地经济发展，达到双赢效果。事实上，如果中国能够考虑在经济发展的前提下，适当放宽部分数据本地化存储的限制，对国内企业执行全球化发展战略也是非常有利的。

注 释：

① GATT1994第21条规定：“本协定不得解释为：(a)要求任何缔约国提供其根据国家基本安全利益认为不能公布的资料；(b)组织任何缔约国为保护国家基本安全利益对有关下列事项采取其认为必须采取的任何措施：(i)裂变材料或提炼裂变材料的原料；(ii)武器、弹药和军火的贸易或直接和间接提供军事机构用的其他物品或原料的贸易；(iii)战时或国际关系中的其他紧急情况；(c)阻止任何缔约国根据《联合国宪章》为维持国际和平和安全而采取行动。”

② GATS第14条第2款规定：“本协定的任何规定不得解释为：(a)要求任何成员提供其认为如披露则会违背其根本安全利益的任何信息；(b)组织任何成员采取其认为对保护其根本安全利益所必需的任何措施：(i)与直接或间接为军事机关提供给养的服务有关的行动；(ii)与裂变和聚变物质或衍生此类物质的物质有关的行动；(iii)在战时或国际关系中的其他紧急情况下采取的行动；(c)阻止任何成员为履行其在《联合国宪章》项下的维护国际和平与安全的义务而采取的任何行动。”

③ RCEP第12章第15条规定：一、缔约方认识到每一缔约方对于电子方式传输信息可能有各自的监管要求。二、一缔约方不得阻止涵盖的人为进行商业行为而通过电子方式跨境传输信息。三、本条的任何规定不得阻止一缔约方采取或维持：(一)任何与第二款不符但该缔约方认为是其实现合法的公共政策目标所必要的措施，只要该措施不以构成任意或不合理的歧视或变相的贸易限制的方式适用；(二)该缔约方认为对保护其基本安全利益所必需的任何措施。其他缔约方不得对此类措施提出异议。

④ RCEP第17章第13条规定：本协定的任何规定不得解释为：(一)要求缔约方提供其认为如披露则违背其基本安全利益的任何信息。(二)阻止任何缔约方采取其认为对保护基本安全利益所必需的任何行动：1.与裂变和聚变物质或衍生此类物质的物质有关的行动；2.与武器、弹药和作战物资的交易有关的行动，以及与直接或间接供应给养军事机关的此类交易运输的其他货物和物资或提供的服务有关的行动；3.为保护通信、电力和水利基础设施在内的关键的公共基础设施而采取的行动；4.在国家紧急状态，或战时，或国际关系中的其他紧急情况下采取的行动。(三)阻止任何缔约方为履行其在《联合国宪章》项下维护和平与安全的义务而采取的任何行动。

⑤ RCEP第12章第14条规定：一、缔约方认识到每一缔约方对于计算设施的使用或位置可能有各自的措施，包括寻求保证通信安全和保密的要求。二、缔约方不得将要求涵盖的人使用该缔约方领土内的计算设施或者将设施置于该缔约方领土之内，作为在该缔约方领土内进行商业行为的条件。三、本条的任何规定不得阻止一缔约方采取或维持：(一)任何与第二款不符但该缔约方认为是实现其合法的公共政策目标所必要的措施，只要该措施不以构成任意或不合理的歧视或变相的贸易限制的方式适用；(二)该缔约方认为对保护其基本安全利益所必要的任何措施。其他缔约方不得对此类措施提出异议。

⑥ CPTPP第29.2条规定：本协定中任何条款不得解释为:(a) 要求一缔约方提供或允许获得其确定如披露则违背 其基本安全利益的任何信息;(b) 阻止一缔约方采取其认为对履行维护或恢复国际和平或安全义务或保护其自身基本安全利益所必需的措施。