全球数据跨境流动规则全景图

版权声明 本报告版权属上海数据交易所有限公司所有，并受法律保护。转载、编撰或其他方式使用本报告文字或观点，应注明来源《全球数据跨境流动规则全景图》。违反上述声明者，将追究其相关法律责任。 编写组（排名不分先后） 林梓瀚、杜国⾂、林丽颖、王荣、⻢有梅、杨辉 编写单位（排名不分先后）商务部国际贸易经济合作研究院中国图书进出口（集团）总公司上海数据交易所 ⽬录Contents 报告要点 ⼀、数据跨境流动对经济全球化的影响 （⼀）数据跨境流动成为全球增⻓新动能 （⼆）数据跨境流动推动投资结构新变化 （三）数据跨境流动重塑国际贸易新形态 （四）数据跨境流动重构国际经贸新规则 （五）数据跨境流动催⽣全球数据价值链 ⼆、国际组织推动数据跨境流动“软法”的构建 （⼀）UN积极搭建数据治理国际合作平台 （⼆）WTO电⼦商务谈判中关于数据跨境流动议题分歧较⼤ （三）OECD开创全球隐私保护和数据跨境流动规制的尝试 （四）APEC推动CBPR认证体系便利数据跨境流动 （五）G/G框架下“基于信任的数据⾃由流动”影响⼒不断提升 三、国际贸易协定破除数据跨境流动壁垒 （⼀）CPTPP⿎励建⽴缔约国规则互操作机制 （⼆）RCEP允许“例外规则”的⾼程度保留 （三）DEPA提出数据跨境流动创新性条款 （四）USMCA强化与国际“软法”的衔接 （五）UJDTA沿袭“美式模板”核⼼规则 四、主要经济体围绕⾃⾝利益诉求提出规则主张 （⼀）中国构建完善⽴法体系划下数据出境安全红线 （⼆）美国主张“有限例外”的⾃由流动规则 （三）欧盟对外实⾏充分性认定规则 （四）东盟落地施⾏“⽰范合同条款”机制 （五）新加坡适⽤多元规则强化与国际对接 （六）英国脱欧后推⾏“英国GDPR” （七）⽇本在保护个⼈信息的基础上构建数据跨境⽣态圈 （⼋）韩国聚焦个⼈信息细化跨境传输规则 （九）俄罗斯以数据本地化存储作为数据跨境流动必要前提 （⼗）澳⼤利亚以“合理措施”规制数据跨境流动 （⼗⼀）巴西调整数据跨境流动规则强化“ANPD”⻆⾊ （⼗⼆）印度适⽤“通知限制”规范数据跨境流动 五、全球数据跨境流动规则特点与制约因素 （⼀）规则特点 （⼆）制约因素 六、全球数据跨境流动规则的趋势研判及对我国的影响 （⼀）趋势研判 （⼆）对我国的影响 七、思考建议 （⼀）探索数据跨境流动安全管理便利化机制 （⼆）推进数据保护可信认证试点与新技术应⽤ （三）增强数据安全保障能⼒ （四）推⼴数据跨境流动中国治理⽅案 （五）企业做好“出境”与“⼊境”的合规 （六）利⽤上海数据交易所国际板探索数据跨境新模式 参考⽂献 报告要点 当前，数据跨境流动正在逐步超过贸易、投资全球化，成为驱动全球经济增长的新动能。本次报告，从国际组织、国际贸易协定、经济体三个层次切入，聚焦十大国际机制安排（五个国际组织与五个国际贸易协定）与十二大经济体，分析其关于数据跨境流动的规则与特点，并研判未来规则发展趋势，为我国参与全球数字经济规则的制定提供借鉴与参考。 研究发现，在国际组织层面，主要国际组织在全球层面推动数据跨境流动“软法”的构建，典型的如联合国（UN）建立数据跨境流动国际合作平台，经合组织（OECD）首创有关数据跨境流动与个人数据和隐私保护的基本原则，世界贸易组织（WTO）在电子商务谈判中推动数据跨境流动议题讨论等。在区域及双边框架层面，主要经济体通过加入或缔结区域或双边自贸协定及数字经济专项协定，如《美墨加协定》 （USMCA）、《全面与进步跨太平洋伙伴关系协定》（CPTPP）、《区域全面经济伙伴关系协定》（RCEP）、《数字经济伙伴关系协定》(DEPA)等，将数据跨境流动相关条款纳入相关协定中，旨在破除各国间数据跨境流动壁垒，促进全球数据自由流动。在主要经济体层面，包括中国、美国、欧盟、英国、韩国、印度、巴西、俄罗斯、澳大利亚、新加坡、日本等，出于维护自身数据安全的必要，纷纷进行立法规制，明确数据出境安全前提。 纵观纳入研究的十大国际机制安排与十二大经济体，发现在国际组织“软法”的影响下，国际贸易协议、主要经济体演变出其有关数据跨境流动规则的独有特点。本次报告将上述关于数据跨境流动规则的安排划分为三种类型，分别为开放进取型、严格监管型以及监管例外型。开放流动型主要表现为强调数据跨境的自由流动，典型的经济体如新加坡、东盟、美国等，国际经贸协定如DEPA、USMCA等。严格监管型主要强调数据跨境的事前监管，通过安全要求后方可进行数据出境，典型的代表为中国、俄罗斯、巴西等，国际贸易协定主要为RCEP等。监管例外型虽然强调数据跨境的监管，但是如若在白名单或者生态机制内则可以享有“监管例外”的权利。 未来，各国数据跨境流动的规则主张愈发倾向于“数据重商主义”，不过随着数据要素重要性的提升，未来数据跨境流动的规则亦会呈现出行业精细化的趋势等，同时数据主权、数据安全与个人隐私依然是数据跨境流动规则制定时关键考量。基于现有趋势，认为未来我国数字企业出海将面临更多的数据合规风险，我国数字贸易面临较高的政策不确定性，同时我国数字产业发展面临的数据壁垒有可能将继续提升等。因此，建议我国继续加强与CPTPP、DEPA等国际经贸规则的对接，并对CPTPP、DEPA中有关数据跨境流动的创新机制率先在上海等地进行探索试验，如DEPA中的监管沙盒机制、数字身份、数据保护可信任标志等。 1 一、数据跨境流动对经济全球化的影响 长期以来，国际贸易和跨国投资一直充当了推动全球化快速发展的重要力量。而2008年经济危机后，这种趋势出现逆转，全球贸易增速一直慢于全球GDP的增速，全球外国直接投资（FDI）也始终增长乏力。近年来受中美贸易战、俄乌冲突等影响，全球贸易增长速度放缓，全球直接投资流量下降。根据世界贸易组织（WTO）2023年4月发布的《贸易统计与展望》，全球货物贸易量继2022年增长2.7%之后，2023年预计将增长1.7%，最新预测进一步调低，预计2023年世界商品贸易量增长0.8%。与之形成鲜明对比的是，全球数据流动对全球经济增长的贡献却显著增强。根据麦肯锡的研究报告，早在2014年，数据流动直接创造的价值就高达2.8万亿美元，预计到2025年，数据跨境流动对全球GDP的贡献价值将达到11万亿美元。“数字全球化”的作用日益超过贸易和投资全球化，数据跨境流 动的重要性愈发凸显。如果说20世纪全球化是以贸易和投资的全球化为主要特征，那么21 世纪的全球化将以数据跨境流动为主要驱动力量。 数据跨境流动成为全球增长新动能 数据跨境流动推动投资结构新变化 数据跨境流动重塑国际贸易新形态 数据跨境流动重构国际经贸新规则 数据跨境流动催生全球数据价值链 二、国际组织推动数据跨境流动“软法”的构建 近年来，多边机制和国际组织高度重视数据跨境流动的跨国协调问题，联合国、WTO、OECD、APEC、G20、G7致力于协调各国监管要求、提升各国监管一致性、促进数据跨境安全有序流动，成为推动共识形成的重要平台。联合国于2023年5月发布《全球数字契约》，先后举办了联合国互联网治理论坛（IGF）和联合国世界数据论坛（UNWDF）以深化在全球发展倡议框架下的国际数据合作。WTO自创立以来便十分关注电子商务规则与数据跨境流动。2015年至2023年八年间，不同成员国在多届部长级会议上相继发表《电子商务联合声明》，开启与贸易相关的电子商务多边谈判。但截至目前，WTO电子商务谈判针对数据跨境流动议题分歧较大。OECD开创了全球隐私保护和数据跨境流动规制的首次尝试。于1980年发布《OECD隐私指南》，明确了个人数据保护和数据跨境流动的基本原则，成为全球制定隐私保护与数据跨境制度的重要参考。近年来，OECD通过数字经济政策委员会及数据治理和隐私工作小组发布众多研究报告，及时总结整理全球前沿政策和规制方式，弥补各国监管体系和机构设置之间的差异性。APEC由美国主导积极推进数据跨境流动治理。从2005年起，APEC发布了《APEC隐私框架》，并建立跨境隐私规则体系（CBPR）和数据处理者隐私识别体系(PRP）,目前CBPR已有美国、墨西哥、日本、加拿大、新加坡、韩国、澳大利亚、中国台北和菲律宾共9个经济体或地区加入。G20则有日本主导推进“基于信任的数据自由流动”的概念，不断推动各成员国形成共识，使数据能够课信任地跨境流动。 《大阪数字经济宣言》标志DFFT进入实践阶段，此后，借助G7平台，通过《DFFT合作路线图》《促进DFFT行动计划》《DFFT实施计划》，DFFT概念得到不断推广和深化。 UN积极搭建数据治理国际合作平台 WTO电子商务谈判中关于数据跨境流动议题分歧较大 OECD开创全球隐私保护和数据跨境流动规制的尝试 APEC推动CBPR认证体系便利数据跨境流动 G20/G7框架下“基于信任的数据自由流动”影响力不断提升 三、国际贸易协定破除数据跨境流动壁垒 在区域及双边框架下，各国通过加入或缔结区域或双边自贸协定及数字经济专项协定，并在协定中纳入数据跨境流动相关条款，旨在破除各国间数据跨境流动壁垒，促进全球数据自由流动。目前纳入数据跨境流动相关议题的区域及双边贸易协定主要包括《美墨加协定》（USMCA）、《全面与进步跨太平洋伙伴关系协定》（CPTPP）、《区域全面经济伙伴关系协定》（RCEP）等为代表的区域或双边自贸协定，以及以《美日数字贸易协定》 （UJDTA）、《数字经济伙伴关系协定》（新加坡-智利-新西兰，DEPA）、《新加坡-澳大利亚数字经济伙伴关系协定》（SADEA）、《韩国-新加坡数字经济伙伴关系协定》 （KSDPA）为代表的数字经济专项协定，相关议题主要包括“个人信息保护”、“通过电子方式跨境传输信息”、“计算设施的位置”等三类条款。 本次报告从贸易协定涵盖缔约国的广度、协定的国际影响力、相关条款的创新性三个维度综合考虑，最终选取CPTPP、RCEP、DEPA、USMAC、UJDTA等五个贸易或数字经济协定为代表，梳理各协定的历史演进过程，分析各协定中数据跨境流动相关条款，探寻各国通过加入或缔结贸易协定，如何在平衡国内监管要求的同时，破除数据跨境流动壁垒，以促进区域内的数据跨境自由流动。 CPTPP鼓励建立缔约国规则互操作机制 RCEP允许“例外规则”的高程度保留 DEPA提出数据跨境流动创新性条款 USMCA强化与国际“软法”的衔接 UJDTA沿袭“美式模板”核心规则 四、主要经济体围绕自身利益诉求提出规则主张 根据中国信息通信研究院2022年12月发布的《全球数字经济白皮书（2022）》显示， 2021年各国数字经济规模排名前20的国家分别为美国、中国、德国、日本、英国、法国、韩国、印度、加拿大、墨西哥、意大利、巴西、俄罗斯、澳大利亚、爱尔兰、西班牙、新加坡、瑞士、瑞典、荷兰1。由于欧盟《通用数据保护条例》（GDPR）适用于欧盟区域内国家，加之瑞士《联邦数据保护法》与GDPR的相似性以及GDPR在欧洲经济区内的适用力，因此对欧洲区域内国家数据跨境规则统一为欧盟GDPR规则。同时，美国与墨西哥、加拿大签订《美国-墨西哥-加拿大协定》，美国一直强调数据跨境自由流动，“美国规则”占据主导地位。因此，通过调整，本次白皮书纳入研究的经济体包括中国、美国、欧盟、东盟、英国、韩国、印度、巴西、俄罗斯、澳大利亚、新加坡、日本等12个主要经济体。 中国构建完善立法体系划下数据出境安全红线 美国主张“有限例外”的自由流动规则 欧盟对外实行充分性认定规则 东盟落地施行“示范合同条款”机制 新加坡适用多元规则强化与国际对接 英国脱欧后推行“英国GDPR” 日本在保护个人信息的基础上构建数据跨境生态圈 韩国聚焦个人信息细化跨境传输规则 俄罗斯以数据本地化存储作为数据跨境流动必要前提 澳大利亚以“合理措施”规制