中国国际经济交流中心欧美所首席研究员张茉楠

 

我想在当今数字经济时代，把数据作为最重要的生产要素去对待，实际上并不为过。特别是从全球范围来看，我们看到包括中美贸易战，包括美欧之间围绕数字税之间的博弈和竞争。其实大家表面上看起来是争夺数据，中层看起来大家是实力之争、科技之争，实际上背后的博弈是主权之争。特别是在数字经济领域之下，我们看到全球围绕数字经济这种主权，实际上大国之间在不断加码。

 

我们看到，现在数字主权成为大国之争的博弈，其实它的焦点有很重要的一点就是在于数据的全球属性和做一个国家生产要素本国属性和主权属性之间的冲突。

 

为什么大国之间围绕数字税在做全球税收的分配，就是因为数据不断跨境流动，包括生产、交易、交换带来的全球范围内的数字流动。我们今天关注的焦点就是数字主权之下，我们如何定义大国之间博弈规则，或者未来可能产生的冲突，对中国的影响。

 

从2009年到2018年十年间，全球数据流动所带来的经济增长贡献度是高达10%左右，这还不包括迁入到服务贸易和货物贸易之中的数据。单纯从数字经济或数字贸易本身就能贡献10%。实际上我们可见，未来货物贸易、服务贸易和数字贸易三者融合之后，对全球货物形态和全球经济所带来的广泛影响。

 

从这样一个背景之下，我们就来关注数据。数据到底是个人的，是企业的，是公共的，还是国家的？实际上在全球范围内并没有一个统一、规范性的共识。

 

围绕这个问题，无论它是在理论层面，还是在实践层面，包括规则层面，都是处于一个焦灼或者大国博弈之间的状态。包括欧盟围绕数字税，美国推动的民法案所带来的一系列长臂管辖，实际上就是为了维护国家的数据主权。包括我们刚刚出台的个人数据相关法案，我们也是从国家安全和国家利益角度出发。我认为在数字经济未来层面，就不是一个企业之争，而是一个国家层面的争夺。

 

这可能比我们看待数字经济本身来得更复杂。特别是美国以国家安全之名，上升到所谓的意识形态，上升到我们现在的一些体制之争，或者大国博弈，带来了非常复杂的因素。因为它不是一个纯经济因素，它带来政治层面、经济层面、外交层面、地缘层面，甚至我们现在看到的大国意识形态层面，都产生广泛的影响。

 

从我们研究的角度，如果按照层次、或者是按照权属的概念，我们实际上把它分为三个层次，国家层面、企业层面、个人层面。

 

个人层面，个人层面涉及到个人隐私，包括一些敏感数据不受侵犯，包括所谓的使用权。

 

企业层面，更多是作为企业主体所带来的交易、使用或者是产生一系列权属的分配所带来的利益。

 

国家层面，更多是指一个国家作为重要基础设施，作为国家重要的权力机构所带来的广泛的权力分配，特别是国家安全主权范围之内带来的影响。

 

如果按照数据主权的类别，还是有不同的划分方法。比如说按照数据管理权、数据控制权、数据人格权、数据财产权。刚才几位专家都已经谈到，我们对数据本身的权益实际上是可以有多层次划分。这不单单是经济层面权属的分配，它可能带来更广泛的应用，比如说社会契约、身份认证、国家安全、法律架构、意识形态以及社会价值方方面面的冲击。

 

这样一个权属的划分可能引起一系列社会规则层面、制度层面，甚至是法律框架，所带来的未来冲突和广泛影响。从全球范围内来看，中美欧作为三个大国，在数据主权方面的博弈现在越来越激烈，或者越来越白热化。不同的国家关注的焦点是不一样的。比如说美国，它作为数字经济的大国或者霸权国家，实际上掌控着全球数据控制权。无论是美国的互联网公司巨头，还是美国现在在国家层面上对全球数字流动所产生的控制权，都是有绝对的主导权。它所主导的立场是什么？就是要主张全球跨境数据自由流动，特别是数据贸易的自由化。这是为美国力争全球数据资产的分配，把控着主导权。

 

我们根据美国统计局做出的统计，美国数字贸易顺差达到了1000多亿美元，占到美国全部服务贸易顺差60%以上，到2017年是67.6%，18年到2019年的数据还没有更新，我认为可能呈现一个逐级提高的趋势。

 

从欧盟的角度来讲，欧盟因为在数字层面更多是作为消费方，或者它作为后来居上者，更多的是关注个人数据保护。从某种层面，欧盟恰恰是利用个人数据保护架构一个对美国或者对中国的数据壁垒，就是为了构建一个欧盟内部的数据统一大市场，所以它更多强调在规则、个人隐私保护方面注重它的价值发挥。我们知道GDPR很大层面也是为了通过一定的数据壁垒保护欧盟企业或者欧盟数据本身不被外来的市场所侵扰。这实际上是欧盟数据主权非常重要的出发点。

 

从中国的角度来讲，我们可能更注重国家层面的安全，特别是所谓的政治安全、意识形态安全或者国家在主权层面的安全。对个人隐私保护方面，实际上落后于欧盟和法国。但是近来，我们也在不断强调对于个人信息的保护，所以我们也出台了相关个人信息法，包括数据安全法，在一定程度上提升了对数据个人消费者和个人隐私保护力度。但是在更大程度上，我们缺乏一个对于数据主权的战略框架或者规则框架，这样我们在国际谈判和国际经贸当中，实际上处于一个非常被动的局面。我们也缺乏中国立场和中国方案，这是我们未来面对欧美和发达国家挑战的一个风险点。

 

我简单讲一下，跨境流动，不同经济体或者不同的国家、不同的国际机构是有不同的定义。现在综合比较来看，国际商对跨境数据流动的内涵和外延包括两类。一是数据可以跨越国境的传输，因为数据实际上是超越主权，在这样一个范围内，它看来是一种跨境数据流动。二是数据并没有跨越国界，而是被第三方国家主体所访问。比如说OECD和联合国跨国公司中心对跨境数据流动就是这样的定义。这样就存在着我们所说的数据存储本地化的问题。

 

比如说欧盟现在有不同的主张，尽管数据未必跨越国界，但是如果被第三方国家所访问的话，它也被纳入跨境数据流动的范畴。这样在双边一些经贸协定当中，就增加了很多关于禁止数据本地化的条款。而中国现在在数据贸易国际谈判当中，是明确强调数据要本地化存储。这样我们是面临着很多来自于西方特别是欧美在经贸谈判当中非常大的壁垒。

 

比如说现在如果亚马逊或者苹果、谷歌，当然他们现在还没有完全进入中国。比如一些欧盟的公司，要求要进行本地化存储，这样实际上面临着很大知识产权保护和隐私保护的问题，这也是中美经贸谈判当中非常重要的一个博弈点，就是数据本地化存储的问题，也涉及到服务器在本地的安全。包括中国的互联网公司，比如说阿里、腾讯等。因为我们的数据出境之后，很多数据回不来，这样不利于跨国公司、互联网公司在海外进行扩展业务，也带来了非常大的所谓数据安全的风险。

 

由此而来，跨境数据流动和数据主权会引发非常重要的国际化问题，比如说数据治理的问题，责任分担的问题，基础设施安全问题，冲突管理问题。刚才谈论的数据治理就是我刚才谈到的，因为你要跨境或者即便不跨境，也涉及到第三方访问。这样就涉及到一个国家数据主权如何让渡，而一个国家数据主权如何让渡，就涉及到一个司法立法体系。包括一些长臂管辖的问题，这样在国际规则方面，会引起大国更激烈的冲突。

 

再就是责任分担的问题。刚才谈到，因为涉及到相关的企业、网络运营商、平台企业、服务提供者，数据生产者、使用者、访问者，这样它的主体非常多的层面，带来的数据风险问题。现在就没有一个更明确的，对于责任怎么分担，对于权属怎么分担进行明确。包括刚才谈到基础设施的安全，数字基础设施未来可能涉及到国家安全审查，比如说现在美国和欧盟都针对现在5G和人工智能、新一代信息基础设施有非常严格的审查。这样大国博弈围绕数字基础设施，也成为一个重要的着眼点。

 

最后一个冲突管理，就涉及到知识产权的保护，涉及到商业隐私的泄密，跨国金融数据的欺诈，平台治理、企业数据的合规，数字服务税，而引起一系列连带的这都有可能成为大国博弈的一个焦点。由此引发基于信任的政策也是非常重要的。欧盟也好，美国也好，日本也好，有可能成为一个基于信任的数字联盟。但是中国是被排斥在数字信任之外的一个经济体，中国数据如果要进入到欧盟，进入到美国，进入到日本，下一步有可能涉及到一个非常重要的安全审查和数据合规的风险。

 

由此而引发就是全球跨境数据流动出现非常明显的趋势。

 

第一，数据跨境流动不是美国所人为的无障碍流动，而是有限性的流动。这种有限性的流动，一方面是体现在一个数据本地化的问题，另一方面也体现在数字壁垒，比如说OECD开发了一个数字服务税的限制性指数。从这个指数观察来看，中国、印尼、南非、巴西、印度发展中国家，非OECD国家的数字壁垒非常高。但是有一些国家，比如说像瑞士、澳大利亚相对来讲比较低。我们也发现，尽管总体来讲，发达国家、OECD国家数字壁垒总体比较低，但是我们看到以国家安全为名所构筑的安全网正在加强。包括美国、欧盟都在设置自己的数字安全门槛，也给全球跨境数据流动带来了非常大的障碍。

 

第二，不同国家对于数据安全的利益采取一些灵活性的政策，这个实际上是跟第一个趋势相关。比如现在法国就进行分类，针对政府商业开发或者税收数据需要本地化存储，但是一些商业数据可以自由流动的。而澳大利亚明确禁止跟医疗数据相关的这些数据是禁止出境。美国不属于国家安全分类的数据存储于任何链接到全球公共源的数据，存储到海外，这也是对于国家安全审查非常明确的一个指示。

 

第三，围绕数据主权和长臂管辖呈现夹击化的态势。刚才谈到，美国是一种精工型的，它通过长臂管辖对于中国等一些新兴国家进行数据的管辖。像中国和俄罗斯一些新型经济体更多采取的是防守型，这主要体现在数据本地化存储的问题。我们还是缺乏对全球范围内跨境数据流动长臂管辖规则的一些解释。像2019年美国颁布的云法案就是规定无论数据是否存储于美国境内，都可以由美国政府直接调取其他国家的数据权限。

 

美国今年3月份跟英国达成的跨境数据流动的协议，就明确界定了，比如说华为的数据存储于英国，但是因为美国和英国之间有跨境调取数据的协议，所以美国政府可以绕开英国政府直接调取在英国的华为数据。它通过更加广泛的或者签入到数据贸易协定当中的框架协议，在全球实施长臂管辖和数据的执法权。

 

刚才我们谈到了云法案，再就是数据安全审查正成为美国对华遏制的新手段。美国现在制订受控非密信息是CUI清单，界定重要的一些敏感数据范围。2018年美国出口管制法案就明确规定，出口管制已经不仅仅限于传统的硬件，包括软件，也包括一些科学技术数据，如果传输到美国境外服务器，或者出境，也必须受到美国商务部或者产业安全部的许可。

 

再比如说，最近因为美国通信协会包括相关的机构对于数据安全审查的升级，它加强了一些社交媒体、跨境电子商务、电子支付、人脸识别对华新一轮的制裁。最近抖音国际版就面临着美国新一轮的制裁，下一步美国很可能延伸到我们跨境电子支付，比如说蚂蚁金服，比如说涉及到一些电子支付人脸识别的互联网公司，都可能被纳入到美国外资安全审查以及数据安全审查的范围，这是未来可以预见的趋势。美国正在通过数字经济领域的筹码延伸它在贸易领域当中新一轮对华的制裁，我们也可以把它视为对华制裁新的升级。

 

欧盟采取的是稍微灵活一点的政策，它更多是对外紧、对内松，更多的是希望在规则层面引领全球数据规则新一轮的架构。

 

我们看到欧盟的GDPR，以及在尊重适当保护措施之下，与多个伙伴之间签订的所谓充分性认定协议。比如说欧盟和日本就达成了双边贸易协定之下跨境数据的充分性认定，再比如说欧盟和加拿大、澳大利亚、新西兰、新加坡都达成了充分性数据协定。中国如果想数据顺利进入到欧盟，我们在双边投资协定当中，一定要纳入到相关的数据安全谈判，以使我们的数据或者未来跨境数据流动不至于遭受到欧盟新一轮的阻隔和制裁。

 

欧盟也是在经济层面强调数据主权，特别是在2019年已经达成了一系列围绕数字主权的方案，包括一些云替代法案。

 

今年2月份欧盟委员会最新出台了数字化战略，这个战略当中，实际上涵盖三个版本的数字化新政。包括欧盟数据战略，人工智能白皮书，以及相关的欧盟主权文件。这实际上就是进一步强化欧盟在未来全球数字经济发展当中的地位，因为欧盟不甘作为被边缘化的经济体，所以在中美数字博弈的竞争当中，欧盟实际上是希望成为G3，包括它跟美国围绕数字税博弈，跟中国现在围绕5G博弈，都是在很大层面上强调欧盟或者强化欧盟的数据主权。

 

刚才说了采取一些防御性的措施，包括从本国的数据安全或者本国国家安全着眼，更多是采取一些数据本地化限制性措施。比如说除了中国之外，像巴西、印度，都有所谓的数据本地化强制性存储的相关法案，俄罗斯也是强调数据首次存储要存储在境内服务器，也是通过一些相关的数据保护法提供数据保护措施。

 

从全球范围来看，尽管没有一个完全统一的框架，但是无论是在双边还是在周边，还是有一些跨境数据流动以及国际化的合作机制。比如说刚才谈到以欧盟数据保护充分性协定为蓝本，像安道尔、加拿大这些国家已经纳入到欧盟国际合作的框架体系之内。除此之外，美国也是在APEC之下有CBPR，这也是美国主导的跨境数据流动的广泛协定，在APEC隐私保护协定之下有CBPR，更多的是由美国主导的。

 

刚才看到，无论是欧洲主导的GDPR，还是美国主导的CBPR，全球动辄形成规则合围的态势。对于中国这样一个数字经济大国而言，我们现在在全球的数字贸易规则方面几乎还是空白，或者还是后来者。一旦现在全球规则框架形成的话，我们在新一轮国际贸易谈判当中将会陷入非常被动的局面。而且随着国家主权和国家安全利益至上的理念更加广泛传播之外，我们就有可能形成被美欧日规则合围更加施压的态势。这对中国下一步的数字经济发展将会带来前所未有的打击，某种程度上可能会比所谓中美贸易战所带来的影响更加深远。

 

最后，对中国围绕数字主权和跨境数据流动的看法，我们认为中国可以走一个不同于欧盟或者不同于美国的第三条道路。因为中国在数字经济发展当中，是一个后起的大国，是一个崛起的大国，我们应该更加平衡看待个人权益保护、产业发展、创新与竞争、数字主权与全球治理之间的平衡，特别是在发展与安全之间要找到一个结合点。在国家主权和国际循环之间找到一个平衡点。我们也觉得中国应该加快出台中国跨境数据流动的规则体系，包括相关的法律法规。再就是推动双边和周边的相关的谈判。

 

我们还可以在上海自贸区或者海南金融贸易港，去先行先试探索全球数据自由流动的示范区域。比如说可以建立一些离岸数字贸易示范区，或者构建这样一些安全的通道。再就是国际层面上建立一个国际数据执法体系的协调机制，包括跟欧盟、相关国家，“一带一路”国家。

 

从民营经济或者互联网公司角度应该更加鼓励平台企业出海，让企业探索数据跨境流动真正的实践，特别在“一带一路”跟广泛的区域支持我们的标准，支持平台公司的模式。能够更加舒展到海外，更加强调我们在全球范围的数据安全利益以及中国的数据主权