按照傳統(tǒng)國(guó)家主權(quán)理論,主權(quán)是國(guó)家與生俱來(lái)的對(duì)內(nèi)最高統(tǒng)治權(quán)力和對(duì)外獨(dú)立的權(quán)力。國(guó)家主權(quán)延展至數(shù)據(jù)空間,主要表現(xiàn)為兩個(gè)方面:一是對(duì)數(shù)據(jù)的管轄權(quán),即國(guó)家對(duì)本國(guó)數(shù)據(jù)的治理;二是當(dāng)國(guó)家遭受外部數(shù)據(jù)竊取、監(jiān)控或攻擊時(shí)進(jìn)行防御的權(quán)利。隨著通信及網(wǎng)絡(luò)技術(shù)的發(fā)展,數(shù)據(jù)已經(jīng)成為一國(guó)的基礎(chǔ)性戰(zhàn)略資源,由于其所承載的信息還關(guān)涉文化、價(jià)值、意識(shí)形態(tài)等內(nèi)容,各國(guó)都積極主張對(duì)本國(guó)數(shù)據(jù)的生產(chǎn)、開(kāi)發(fā)和利用等權(quán)利。加之,一個(gè)國(guó)家不可能獨(dú)占性地控制與其領(lǐng)土、企業(yè)以及公民等的所有數(shù)據(jù),數(shù)據(jù)的跨境存儲(chǔ)、利用及傳輸往往會(huì)涉及多個(gè)國(guó)家及地區(qū),數(shù)據(jù)控制者、使用者、處理者在地理位置上也存在事實(shí)上的分離甚至是跨國(guó)界,這也引發(fā)國(guó)家之間數(shù)據(jù)主權(quán)的深層次沖突。
數(shù)據(jù)管轄權(quán)作為國(guó)家主權(quán)的重要表現(xiàn)形式,是指一國(guó)對(duì)其數(shù)據(jù)生成、存儲(chǔ)和傳輸?shù)奈锢碓O(shè)備以及相關(guān)服務(wù)等享有維護(hù)、管理和利用的權(quán)利。國(guó)家對(duì)數(shù)據(jù)管轄權(quán)的行使也遵循傳統(tǒng)的國(guó)家管轄權(quán)原則,即屬地管轄、屬人管轄、保護(hù)性管轄和普遍性管轄等原則。我國(guó)《數(shù)據(jù)安全法》第2條則遵循了屬地管轄、屬人管轄和保護(hù)性管轄原則。即,只要在中國(guó)境內(nèi)開(kāi)展數(shù)據(jù)處理活動(dòng)及其安全監(jiān)管,無(wú)論是中國(guó)境內(nèi)的組織、個(gè)人還是中國(guó)境外的組織、個(gè)人,都適用本法。如果境外的組織或個(gè)人雖然沒(méi)有在我國(guó)境內(nèi)開(kāi)展數(shù)據(jù)處理活動(dòng),但是其內(nèi)容或性質(zhì)會(huì)損害我國(guó)的國(guó)家安全、公共利益或其他公民、組織的合法權(quán)益,執(zhí)法機(jī)構(gòu)仍有權(quán)依據(jù)數(shù)據(jù)安全法追究上述主體的法律責(zé)任。
從目前數(shù)據(jù)領(lǐng)域的立法規(guī)范看,我國(guó)基本采用了較為謹(jǐn)慎的“被動(dòng)型防御”策略,即強(qiáng)調(diào)對(duì)重要數(shù)據(jù)的出境管控,而并不積極主張數(shù)據(jù)的跨境調(diào)取。對(duì)于來(lái)自外國(guó)司法或者執(zhí)法機(jī)構(gòu)的調(diào)取數(shù)據(jù)請(qǐng)求,我國(guó)遵循的是“條約優(yōu)先、平等互惠”原則,采取逐一報(bào)送主管機(jī)構(gòu)批準(zhǔn)的控制機(jī)制。為了使報(bào)告義務(wù)真正落地實(shí)施,《數(shù)據(jù)安全法》還規(guī)定了法律責(zé)任條款(第48條第2款)。同時(shí),為規(guī)范重要數(shù)據(jù)出境活動(dòng),《數(shù)據(jù)安全法》第31條采用“二分法”的方式,對(duì)于關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者在境內(nèi)運(yùn)營(yíng)中收集和產(chǎn)生的重要數(shù)據(jù)出境,適用《網(wǎng)絡(luò)安全法》的規(guī)定;其他數(shù)據(jù)處理者的重要數(shù)據(jù)出境,則由國(guó)家網(wǎng)信部門(mén)會(huì)同國(guó)務(wù)院有關(guān)部門(mén)制定。為了細(xì)化《網(wǎng)絡(luò)安全法》第37條規(guī)定,國(guó)家網(wǎng)信辦分別于2017年和2019年出臺(tái)兩版有關(guān)信息數(shù)據(jù)出境安全評(píng)估辦法〔《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見(jiàn)稿)》與《個(gè)人信息出境安全評(píng)估辦法(征求意見(jiàn)稿)》〕,這也從側(cè)面反映出個(gè)人信息出境與重要數(shù)據(jù)出境在安全評(píng)估原則及規(guī)則內(nèi)容等方面存在重大差異,宜采取單獨(dú)立法的模式。
與之形成鮮明對(duì)比的是,以美國(guó)和英國(guó)為代表的西方國(guó)家積極謀求跨境數(shù)據(jù)管轄權(quán),在跨境數(shù)據(jù)調(diào)取方面采取“主動(dòng)獲取”策略,并明確賦予執(zhí)法機(jī)構(gòu)向其海外企業(yè)調(diào)取數(shù)據(jù)的法定權(quán)力,為其跨境數(shù)據(jù)的訪問(wèn)和獲取掃清障礙。
早在2001年恐怖襲擊之后,為了切斷基地組織及其他恐怖組織的資金流,根據(jù)《國(guó)際緊急經(jīng)濟(jì)權(quán)利法案》美國(guó)政府啟動(dòng)了恐怖分子資金追蹤計(jì)劃(Terrorist Finance Tracking Program,TFTP),秘密地從國(guó)際銀行間轉(zhuǎn)賬的環(huán)球銀行金融電信協(xié)會(huì)(SWIFT)獲取金融數(shù)據(jù)。而最終促使美國(guó)擴(kuò)大執(zhí)法機(jī)構(gòu)的境外數(shù)據(jù)獲取權(quán)的直接原因,就是始于2013年微軟與美國(guó)司法部之間的重大隱私權(quán)案。當(dāng)時(shí)負(fù)責(zé)調(diào)查一起毒品走私案的檢察官們獲得了一份搜查令,要求微軟提供保存在都柏林的微軟服務(wù)器上的、該案嫌疑人的相關(guān)電子郵件。微軟質(zhì)疑美國(guó)政府簽發(fā)的搜查令是否涵蓋了存儲(chǔ)于愛(ài)爾蘭服務(wù)器上的郵件數(shù)據(jù)。司法部則認(rèn)為,由于微軟總部設(shè)在美國(guó),所以檢察官們有權(quán)獲得這些數(shù)據(jù)。在聯(lián)邦最高法院對(duì)該案做出裁決之前,美國(guó)國(guó)會(huì)在短時(shí)間內(nèi)便通過(guò)了《澄清境外數(shù)據(jù)合法使用法案》(CLOUD法案),并于2018年3月23日由特朗普總統(tǒng)正式簽署。
CLOUD法案賦予美國(guó)政府調(diào)取存儲(chǔ)于他國(guó)境內(nèi)數(shù)據(jù)的合法權(quán)利,即在數(shù)據(jù)主權(quán)判斷標(biāo)準(zhǔn)這一問(wèn)題上,法案適用了“數(shù)據(jù)控制者標(biāo)準(zhǔn)”,不管數(shù)據(jù)是否在美國(guó)境內(nèi)存儲(chǔ),只要該數(shù)據(jù)控制者屬于美國(guó)企業(yè),即便是在海外的美國(guó)機(jī)構(gòu),其執(zhí)法機(jī)構(gòu)也可以單方面向其主張獲取該數(shù)據(jù)。但對(duì)于“適格外國(guó)政府”調(diào)取存儲(chǔ)在美國(guó)境內(nèi)的數(shù)據(jù),CLOUD 法案第五部分做了規(guī)定,包括三方面:一是由美國(guó)國(guó)會(huì)來(lái)認(rèn)定“適格外國(guó)政府”,評(píng)判的標(biāo)準(zhǔn)和要求具有較強(qiáng)的主觀色彩,如該外國(guó)政府是否有完善的個(gè)人隱私或數(shù)據(jù)保護(hù)法制,是否尊重人權(quán)等;如果被認(rèn)定為“適格外國(guó)政府”后,還需要與美國(guó)簽署雙邊協(xié)定;二是如果“適格外國(guó)政府”調(diào)取位于美國(guó)境內(nèi)的數(shù)據(jù)時(shí),該法案提出了比較苛刻的條件,如該外國(guó)政府的調(diào)取行為,應(yīng)與嚴(yán)重犯罪行為密切相關(guān),需提供確定的賬號(hào)、住址等;三是調(diào)取令須有國(guó)內(nèi)法的合法依據(jù),并受本國(guó)司法機(jī)關(guān)或其他監(jiān)督機(jī)構(gòu)的審查監(jiān)督等。事實(shí)上,能夠成為“適格外國(guó)政府”要求就不低,即便符合條件可以向美國(guó)政府申請(qǐng)調(diào)取數(shù)據(jù),該行為還受到重重約束和限制,其所遵循的差異性標(biāo)準(zhǔn)可見(jiàn)一斑。
顯而易見(jiàn),在數(shù)據(jù)主權(quán)問(wèn)題上,美國(guó)采取對(duì)內(nèi)對(duì)外“雙重標(biāo)準(zhǔn)”:一方面嚴(yán)格限制其他國(guó)家對(duì)存儲(chǔ)于美國(guó)數(shù)據(jù)的獲取,另一方面美國(guó)執(zhí)法機(jī)構(gòu)卻可以合法地調(diào)取存儲(chǔ)于美國(guó)境外的數(shù)據(jù)。CLOUD法案最顯著的變化,就是以“數(shù)據(jù)控制者標(biāo)準(zhǔn)”取代地域邊界,實(shí)質(zhì)上抵銷(xiāo)了其他國(guó)家試圖通過(guò)數(shù)據(jù)本地化以保護(hù)自身數(shù)據(jù)安全的努力,而美國(guó)則可以通過(guò)其遍及全球的互聯(lián)網(wǎng)巨頭公司牢牢地將數(shù)據(jù)主權(quán)控制在自己手中。
雖然英國(guó)在境外數(shù)據(jù)獲取方面也采取主動(dòng)策略,但相比美國(guó)激進(jìn)的“雙重標(biāo)準(zhǔn)”,英國(guó)則采取了更加溫和的合作態(tài)度。2018年,英國(guó)審議了《犯罪(境外提交令)法案2018》。該法案授予了英國(guó)執(zhí)法機(jī)構(gòu)依據(jù)英國(guó)法庭命令,在與英國(guó)簽訂相關(guān)國(guó)際協(xié)議的國(guó)家或地區(qū)直接獲取境外數(shù)據(jù)的權(quán)力。該法案通過(guò)建立“境外提交令”機(jī)制,賦予英國(guó)執(zhí)法機(jī)構(gòu)向英國(guó)法官申請(qǐng)?jiān)撁?,以直接要求企業(yè)提交境外數(shù)據(jù)的權(quán)力。需要注意的是,根據(jù)該法案的規(guī)定,“境外提交令”僅在與英國(guó)簽訂了相關(guān)國(guó)際協(xié)議的國(guó)家或地區(qū)才有效。應(yīng)該說(shuō),該法案為英國(guó)通過(guò)雙邊或多邊國(guó)際合作協(xié)議模式開(kāi)展執(zhí)法機(jī)構(gòu)境外數(shù)據(jù)獲取確立了基本框架。
與此同時(shí),司法機(jī)關(guān)域外管轄權(quán)擴(kuò)張的情形也不少見(jiàn),如加拿大公司Equustek Solutions Inc.(以下簡(jiǎn)稱ESI)訴谷歌公司案。該案件源于ESI要求谷歌刪除侵權(quán)的網(wǎng)站鏈接,但谷歌只刪除了在加拿大領(lǐng)域內(nèi)的鏈接,其他國(guó)家領(lǐng)域內(nèi)的鏈接依然存在,ESI公司認(rèn)為僅僅這樣是遠(yuǎn)遠(yuǎn)不夠的,因此向加拿大法院起訴要求谷歌公司刪除在全球領(lǐng)域內(nèi)的所有鏈接。加拿大法院支持了ESI的訴請(qǐng),在全球范圍內(nèi)發(fā)布禁令,開(kāi)創(chuàng)了法院域外管轄權(quán)的先例,但這也引發(fā)了數(shù)據(jù)主權(quán)沖突風(fēng)險(xiǎn)。
因此,合理界定數(shù)據(jù)管轄權(quán)行使的范圍是數(shù)據(jù)主權(quán)合作的重要前提。我國(guó)《數(shù)據(jù)安全法》在其管轄效力問(wèn)題上,不僅要管住重要數(shù)據(jù)出境這一關(guān),明確相應(yīng)的數(shù)據(jù)出境限制措施及制度安排。更重要的是,面對(duì)來(lái)自境外的數(shù)據(jù)調(diào)取要求,出于國(guó)家安全的考量,理應(yīng)作出相應(yīng)的規(guī)范,以約束他國(guó)過(guò)分膨脹的公權(quán)機(jī)構(gòu)的數(shù)據(jù)獲取要求,亦需在法律層面明確涉及跨境數(shù)據(jù)調(diào)取相關(guān)主體的義務(wù)與責(zé)任。同時(shí),還應(yīng)特別強(qiáng)調(diào),即便是在境外的數(shù)據(jù)活動(dòng),只要是危害到我國(guó)的國(guó)家安全、公共利益、企業(yè)和公民權(quán)益的,都應(yīng)在我國(guó)法律的管轄范圍內(nèi)。對(duì)于數(shù)據(jù)恐怖主義等影響國(guó)際社會(huì)穩(wěn)定和秩序的國(guó)際犯罪行為,則可遵循普遍性管轄原則。鑒于廣大發(fā)展中國(guó)家的數(shù)據(jù)技術(shù)水平有限,無(wú)法通過(guò)自身力量管轄域內(nèi)外數(shù)據(jù)來(lái)應(yīng)對(duì)上述行為,就需要在國(guó)際社會(huì)上尋求集體合作的安全機(jī)制,在集體自衛(wèi)權(quán)基礎(chǔ)上實(shí)施跨國(guó)懲治。