按照傳統(tǒng)國家主權(quán)理論,主權(quán)是國家與生俱來的對內(nèi)最高統(tǒng)治權(quán)力和對外獨(dú)立的權(quán)力。國家主權(quán)延展至數(shù)據(jù)空間,主要表現(xiàn)為兩個(gè)方面:一是對數(shù)據(jù)的管轄權(quán),即國家對本國數(shù)據(jù)的治理;二是當(dāng)國家遭受外部數(shù)據(jù)竊取、監(jiān)控或攻擊時(shí)進(jìn)行防御的權(quán)利。隨著通信及網(wǎng)絡(luò)技術(shù)的發(fā)展,數(shù)據(jù)已經(jīng)成為一國的基礎(chǔ)性戰(zhàn)略資源,由于其所承載的信息還關(guān)涉文化、價(jià)值、意識(shí)形態(tài)等內(nèi)容,各國都積極主張對本國數(shù)據(jù)的生產(chǎn)、開發(fā)和利用等權(quán)利。加之,一個(gè)國家不可能獨(dú)占性地控制與其領(lǐng)土、企業(yè)以及公民等的所有數(shù)據(jù),數(shù)據(jù)的跨境存儲(chǔ)、利用及傳輸往往會(huì)涉及多個(gè)國家及地區(qū),數(shù)據(jù)控制者、使用者、處理者在地理位置上也存在事實(shí)上的分離甚至是跨國界,這也引發(fā)國家之間數(shù)據(jù)主權(quán)的深層次沖突。
數(shù)據(jù)管轄權(quán)作為國家主權(quán)的重要表現(xiàn)形式,是指一國對其數(shù)據(jù)生成、存儲(chǔ)和傳輸?shù)奈锢碓O(shè)備以及相關(guān)服務(wù)等享有維護(hù)、管理和利用的權(quán)利。國家對數(shù)據(jù)管轄權(quán)的行使也遵循傳統(tǒng)的國家管轄權(quán)原則,即屬地管轄、屬人管轄、保護(hù)性管轄和普遍性管轄等原則。我國《數(shù)據(jù)安全法》第2條則遵循了屬地管轄、屬人管轄和保護(hù)性管轄原則。即,只要在中國境內(nèi)開展數(shù)據(jù)處理活動(dòng)及其安全監(jiān)管,無論是中國境內(nèi)的組織、個(gè)人還是中國境外的組織、個(gè)人,都適用本法。如果境外的組織或個(gè)人雖然沒有在我國境內(nèi)開展數(shù)據(jù)處理活動(dòng),但是其內(nèi)容或性質(zhì)會(huì)損害我國的國家安全、公共利益或其他公民、組織的合法權(quán)益,執(zhí)法機(jī)構(gòu)仍有權(quán)依據(jù)數(shù)據(jù)安全法追究上述主體的法律責(zé)任。
從目前數(shù)據(jù)領(lǐng)域的立法規(guī)范看,我國基本采用了較為謹(jǐn)慎的“被動(dòng)型防御”策略,即強(qiáng)調(diào)對重要數(shù)據(jù)的出境管控,而并不積極主張數(shù)據(jù)的跨境調(diào)取。對于來自外國司法或者執(zhí)法機(jī)構(gòu)的調(diào)取數(shù)據(jù)請求,我國遵循的是“條約優(yōu)先、平等互惠”原則,采取逐一報(bào)送主管機(jī)構(gòu)批準(zhǔn)的控制機(jī)制。為了使報(bào)告義務(wù)真正落地實(shí)施,《數(shù)據(jù)安全法》還規(guī)定了法律責(zé)任條款(第48條第2款)。同時(shí),為規(guī)范重要數(shù)據(jù)出境活動(dòng),《數(shù)據(jù)安全法》第31條采用“二分法”的方式,對于關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者在境內(nèi)運(yùn)營中收集和產(chǎn)生的重要數(shù)據(jù)出境,適用《網(wǎng)絡(luò)安全法》的規(guī)定;其他數(shù)據(jù)處理者的重要數(shù)據(jù)出境,則由國家網(wǎng)信部門會(huì)同國務(wù)院有關(guān)部門制定。為了細(xì)化《網(wǎng)絡(luò)安全法》第37條規(guī)定,國家網(wǎng)信辦分別于2017年和2019年出臺(tái)兩版有關(guān)信息數(shù)據(jù)出境安全評(píng)估辦法〔《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見稿)》與《個(gè)人信息出境安全評(píng)估辦法(征求意見稿)》〕,這也從側(cè)面反映出個(gè)人信息出境與重要數(shù)據(jù)出境在安全評(píng)估原則及規(guī)則內(nèi)容等方面存在重大差異,宜采取單獨(dú)立法的模式。
與之形成鮮明對比的是,以美國和英國為代表的西方國家積極謀求跨境數(shù)據(jù)管轄權(quán),在跨境數(shù)據(jù)調(diào)取方面采取“主動(dòng)獲取”策略,并明確賦予執(zhí)法機(jī)構(gòu)向其海外企業(yè)調(diào)取數(shù)據(jù)的法定權(quán)力,為其跨境數(shù)據(jù)的訪問和獲取掃清障礙。
早在2001年恐怖襲擊之后,為了切斷基地組織及其他恐怖組織的資金流,根據(jù)《國際緊急經(jīng)濟(jì)權(quán)利法案》美國政府啟動(dòng)了恐怖分子資金追蹤計(jì)劃(Terrorist Finance Tracking Program,TFTP),秘密地從國際銀行間轉(zhuǎn)賬的環(huán)球銀行金融電信協(xié)會(huì)(SWIFT)獲取金融數(shù)據(jù)。而最終促使美國擴(kuò)大執(zhí)法機(jī)構(gòu)的境外數(shù)據(jù)獲取權(quán)的直接原因,就是始于2013年微軟與美國司法部之間的重大隱私權(quán)案。當(dāng)時(shí)負(fù)責(zé)調(diào)查一起毒品走私案的檢察官們獲得了一份搜查令,要求微軟提供保存在都柏林的微軟服務(wù)器上的、該案嫌疑人的相關(guān)電子郵件。微軟質(zhì)疑美國政府簽發(fā)的搜查令是否涵蓋了存儲(chǔ)于愛爾蘭服務(wù)器上的郵件數(shù)據(jù)。司法部則認(rèn)為,由于微軟總部設(shè)在美國,所以檢察官們有權(quán)獲得這些數(shù)據(jù)。在聯(lián)邦最高法院對該案做出裁決之前,美國國會(huì)在短時(shí)間內(nèi)便通過了《澄清境外數(shù)據(jù)合法使用法案》(CLOUD法案),并于2018年3月23日由特朗普總統(tǒng)正式簽署。
CLOUD法案賦予美國政府調(diào)取存儲(chǔ)于他國境內(nèi)數(shù)據(jù)的合法權(quán)利,即在數(shù)據(jù)主權(quán)判斷標(biāo)準(zhǔn)這一問題上,法案適用了“數(shù)據(jù)控制者標(biāo)準(zhǔn)”,不管數(shù)據(jù)是否在美國境內(nèi)存儲(chǔ),只要該數(shù)據(jù)控制者屬于美國企業(yè),即便是在海外的美國機(jī)構(gòu),其執(zhí)法機(jī)構(gòu)也可以單方面向其主張獲取該數(shù)據(jù)。但對于“適格外國政府”調(diào)取存儲(chǔ)在美國境內(nèi)的數(shù)據(jù),CLOUD 法案第五部分做了規(guī)定,包括三方面:一是由美國國會(huì)來認(rèn)定“適格外國政府”,評(píng)判的標(biāo)準(zhǔn)和要求具有較強(qiáng)的主觀色彩,如該外國政府是否有完善的個(gè)人隱私或數(shù)據(jù)保護(hù)法制,是否尊重人權(quán)等;如果被認(rèn)定為“適格外國政府”后,還需要與美國簽署雙邊協(xié)定;二是如果“適格外國政府”調(diào)取位于美國境內(nèi)的數(shù)據(jù)時(shí),該法案提出了比較苛刻的條件,如該外國政府的調(diào)取行為,應(yīng)與嚴(yán)重犯罪行為密切相關(guān),需提供確定的賬號(hào)、住址等;三是調(diào)取令須有國內(nèi)法的合法依據(jù),并受本國司法機(jī)關(guān)或其他監(jiān)督機(jī)構(gòu)的審查監(jiān)督等。事實(shí)上,能夠成為“適格外國政府”要求就不低,即便符合條件可以向美國政府申請調(diào)取數(shù)據(jù),該行為還受到重重約束和限制,其所遵循的差異性標(biāo)準(zhǔn)可見一斑。
顯而易見,在數(shù)據(jù)主權(quán)問題上,美國采取對內(nèi)對外“雙重標(biāo)準(zhǔn)”:一方面嚴(yán)格限制其他國家對存儲(chǔ)于美國數(shù)據(jù)的獲取,另一方面美國執(zhí)法機(jī)構(gòu)卻可以合法地調(diào)取存儲(chǔ)于美國境外的數(shù)據(jù)。CLOUD法案最顯著的變化,就是以“數(shù)據(jù)控制者標(biāo)準(zhǔn)”取代地域邊界,實(shí)質(zhì)上抵銷了其他國家試圖通過數(shù)據(jù)本地化以保護(hù)自身數(shù)據(jù)安全的努力,而美國則可以通過其遍及全球的互聯(lián)網(wǎng)巨頭公司牢牢地將數(shù)據(jù)主權(quán)控制在自己手中。
雖然英國在境外數(shù)據(jù)獲取方面也采取主動(dòng)策略,但相比美國激進(jìn)的“雙重標(biāo)準(zhǔn)”,英國則采取了更加溫和的合作態(tài)度。2018年,英國審議了《犯罪(境外提交令)法案2018》。該法案授予了英國執(zhí)法機(jī)構(gòu)依據(jù)英國法庭命令,在與英國簽訂相關(guān)國際協(xié)議的國家或地區(qū)直接獲取境外數(shù)據(jù)的權(quán)力。該法案通過建立“境外提交令”機(jī)制,賦予英國執(zhí)法機(jī)構(gòu)向英國法官申請?jiān)撁睿灾苯右笃髽I(yè)提交境外數(shù)據(jù)的權(quán)力。需要注意的是,根據(jù)該法案的規(guī)定,“境外提交令”僅在與英國簽訂了相關(guān)國際協(xié)議的國家或地區(qū)才有效。應(yīng)該說,該法案為英國通過雙邊或多邊國際合作協(xié)議模式開展執(zhí)法機(jī)構(gòu)境外數(shù)據(jù)獲取確立了基本框架。
與此同時(shí),司法機(jī)關(guān)域外管轄權(quán)擴(kuò)張的情形也不少見,如加拿大公司Equustek Solutions Inc.(以下簡稱ESI)訴谷歌公司案。該案件源于ESI要求谷歌刪除侵權(quán)的網(wǎng)站鏈接,但谷歌只刪除了在加拿大領(lǐng)域內(nèi)的鏈接,其他國家領(lǐng)域內(nèi)的鏈接依然存在,ESI公司認(rèn)為僅僅這樣是遠(yuǎn)遠(yuǎn)不夠的,因此向加拿大法院起訴要求谷歌公司刪除在全球領(lǐng)域內(nèi)的所有鏈接。加拿大法院支持了ESI的訴請,在全球范圍內(nèi)發(fā)布禁令,開創(chuàng)了法院域外管轄權(quán)的先例,但這也引發(fā)了數(shù)據(jù)主權(quán)沖突風(fēng)險(xiǎn)。
因此,合理界定數(shù)據(jù)管轄權(quán)行使的范圍是數(shù)據(jù)主權(quán)合作的重要前提。我國《數(shù)據(jù)安全法》在其管轄效力問題上,不僅要管住重要數(shù)據(jù)出境這一關(guān),明確相應(yīng)的數(shù)據(jù)出境限制措施及制度安排。更重要的是,面對來自境外的數(shù)據(jù)調(diào)取要求,出于國家安全的考量,理應(yīng)作出相應(yīng)的規(guī)范,以約束他國過分膨脹的公權(quán)機(jī)構(gòu)的數(shù)據(jù)獲取要求,亦需在法律層面明確涉及跨境數(shù)據(jù)調(diào)取相關(guān)主體的義務(wù)與責(zé)任。同時(shí),還應(yīng)特別強(qiáng)調(diào),即便是在境外的數(shù)據(jù)活動(dòng),只要是危害到我國的國家安全、公共利益、企業(yè)和公民權(quán)益的,都應(yīng)在我國法律的管轄范圍內(nèi)。對于數(shù)據(jù)恐怖主義等影響國際社會(huì)穩(wěn)定和秩序的國際犯罪行為,則可遵循普遍性管轄原則。鑒于廣大發(fā)展中國家的數(shù)據(jù)技術(shù)水平有限,無法通過自身力量管轄域內(nèi)外數(shù)據(jù)來應(yīng)對上述行為,就需要在國際社會(huì)上尋求集體合作的安全機(jī)制,在集體自衛(wèi)權(quán)基礎(chǔ)上實(shí)施跨國懲治。