作者：袁立志

近期，我参加了一场关于数据跨境流动合规的活动，讨论的主题是“全球数据治理规则的碎片化”，主持人抛给我的问题有两个：

第一，在今天这样高度碎片化的监管环境中，企业有没有可能设计一套可以全球复制的数据合规治理底座？

第二，“能力跨境优先于数据跨境”是不是一个值得推广的方向？在什么情况下，它确实能够降低数据跨境风险；又在什么情况下，只是把一个数据问题转化成技术出口、算法或者其他监管问题？

现场时间有限，我的回答比较简略，以下是我的完整思考与观察。

关于第一个问题，在全球高度碎片化的监管环境中，中国企业能否建立一套全球适用的数据治理底座？我理解这个问题可以转化为另一个问题，就是全球数据保护规则是共性更多还是个性更多？如果共性更多，那建立一套通用合规底座就是可行的，如果个性是主要的，那可行性就有问题。

我的观察结论是，共性是主要的。全球数据保护法规的密集出台是最近十年引人注目的现象，这些法规从草案开始就带有全球化属性，各法域相互影响相互借鉴是主流而不是个例。这从根本上决定了各法域的数据保护法规的相似性大于差异性。

进一步追问，为什么各法域在制定数据保护法规时，会更多地借鉴和移植其他法域的立法先例和经验，而不是像传统法律领域那样，更多地诉诸本国国情和法律传统呢？

我觉得至少有两方面原因：一是数据保护成为一个必须专门立法应对的社会问题，是最近三十年来互联网技术兴起和发展的结果，尤其是近十几年来移动互联网、大数据技术兴起和快速发展的结果，而互联网、移动互联网和大数据技术在全球范围内的广泛传播和应用，与最近一次的全球化浪潮是同步的。技术和产品是全球同质的，所以它在全球所引发的数据安全和隐私保护问题是高度相似的。

二是各法域在面对新技术新应用带来的数据安全与隐私保护问题时，所能够选择的法律工具和解决方案的数量有限、空间很窄，经过反复的摸索、试错和摇摆，最终都会收敛到为数不多的几种解决方案上。

我曾提出一个观点，在以前的文章中也说过，在面对新技术新应用冲击带来的各种社会问题时，法律这种古老的社会治理工具显得笨拙和无力。以数据跨境流动为例，其带来的数据安全风险是由网络空间和数据要素的本质特点所决定的，无论是欧盟设计的单边主义的“白名单”制度，还是被很多国家采用的“标准合同条款”制度，亦或是安全保护认证制度，看似严谨周密，实际都是“牛栏关猫”，无法在实践层面真正保障数据安全，尤其是无法真正防止数据离境后被滥用的风险。这就是欧美之间数据跨境协议被反复挑战、欧中之间的“标准合同条款”岌岌可危的根本原因。各国的立法者有没有看到这一点呢？我认为看到了，但目前没有更好的解决方案。

综上，既然各国面临的问题相似，可选择的法律工具又有限，那么最终形成的法律规则趋同就很正常了。

搭建全球适用的数据治理底座不但在理论上可行，我们在实践中也确实是这么做的。我们在梳理各国数据保护法规时，通常面临两种体例选择，一是按法域纵向分类，把每个法域的规则逐项梳理清楚；二是多个法域按照同样的细分维度横向比较，比如适用范围、个人信息的定义、敏感信息定义、义务主体、合法事由、告知、生命周期管理、行权响应、跨境等，大约有22个细分维度，每个法域按照这些维度梳理比较。我们摸索下来发现第二种方法更好，效率更高，因为很多维度上是相同或相似的。这就说明，建立一套基于共性的通用合规底座确实是可行的。

还有一点值得说一说。当我们说共性、通用时，不一定要求是全球共性、全球通用，共性和通用也是可以分层次的、分区域的。如上所述，尽管全球范围来看，规则共性是主要的，但是各国产业结构、发展阶段、文化传统存在区别，这些因素或多或少会影响各国数据保护立法的路径选择。比如在全球范围内，数据跨境跨境规则存在一些路径选择差异，但按照区域、文化、政治等因素来看，可以做一些分组，同一组内的法域，规则是相同或相似的，可以适用通用底座。比如，在数据跨境问题上，有很多法域是权利导向型的，如欧盟和受欧盟影响较大的国家，有些是行政主导型，比如中国、俄罗斯等，有些是市场主导型的，比如美国，原则上不限制出境（当然最近有变化）；再比如，中东国家可能相似性，中亚国家有一定相似性。虽然不能在全球合并同类项，但可以在一定区域或国家类型范围内合并同类项，这也可以大幅提高工作效率，降低合规成本。

关于第二个问题，以能力跨境替代数据跨境，这是一个很重要的解决思路，而且是非常重要的解决思路。通过受控查询或者复用模型参数等国内能力，而不是把原始数据传输到境外，这属于以能力出境代替数据出境。

数据本地化也是能力跨境，是以数据处理能力的跨境。外派人员到海外处理数据，也是以能力跨境代替数据跨境。

再举一个例子，就是今年特别受关注的词元出海，中国企业向海外用户销售词元。词元流动的方向与数据流动的方向是相反的，这意味着海外用户的数据要进来，但是海外目标市场会有数据出境限制，怎么办?那就模型出去，算力出去，在海外AIDC部署模型，为海外用户提供服务，这就是典型的以能力跨境代替数据跨境。

当然，能力出海需要考虑两个问题，一是会不会带来新的法律问题，比如模型出去是否会引发技术出口限制或出口管制，或者模型的主要载体是代码和参数，这些代码和参数本身是否可能构成重要数据，触发中国的数据出境安全评估？在境外AIDC上进行训练和推理是否会触发美国队先进芯片的出口管制？这些都是需要论证和评估的新问题；二是能力出海要考虑成本问题，服务器部署在海外，人员出差到海外或者在当地雇佣团队，会增加成本，提高管理难度，这些需要与业务开展之间把握平衡。

声明：本文来自减熵实验室，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。