跨境电商平台数据出境监管的价值坐标及其实现 | 深观察

 

张志铭  钟 欣

作者简介

跨境电商平台数据出境监管的价值坐标是数据出境监管立法价值目标的有序集合，可决定跨境电商平台数据出境监管标准框架的立法目的、逻辑结构和制度内容。构建跨境电商平台数据出境监管价值坐标的关键在于解决维护国家安全和数据主权、尊重公民个人隐私和促进自由贸易三种立场的冲突，其本质是对各立场所蕴含的法的价值目标作出选择与排序。跨境电商平台数据出境监管的价值坐标呈现“三层价值阶梯”样态，即立足法在公共领域的安全价值和秩序价值，维护法在私人领域的安全价值和人权价值，并兼顾法在经济领域的效率价值。遵循数据利益区分保护理念和比例平衡原则，可从“三层价值阶梯”中生成“四级标准框架”。依据“数据归集管理分类标准”以及“数据利益”“数据的重要程度”和“数据被非授权性处理后的危害程度”分级标准，将数据出境限制条件嵌入分类分级标准中，形成跨境电商平台数据出境监管的“七类+四级”标准框架。

 

一、问题的提出

 

跨境电商平台数据出境行为与企业经营活动相互伴随，因其与消费者个人隐私、公共利益和国家安全密切相关，故而有必要按照数据分类分级管理的要求进行监管。作为数据立法的组成部分，跨境电商平台数据出境监管的分类分级标准框架应以我国现行数据法律规范为依据，并恰当吸纳数据跨境流动规制相关的国际经贸规则。从制度上看，跨境电商平台数据出境监管分类分级标准的制度基础尚不稳定，上位法对“重要数据”等核心概念的界定尚未统一，地方性法规对数据出境分级的标准仍存在明显差异，数据分类分级相关的国家标准和行业标准缺乏对数据划分理由的充分说明。另外，数据法治实践对国际数据法律规范的吸纳方式是多样、灵活的，但尚未在制度或原理层面界定数据出境监管领域的国际高标准经贸规则，回答以何种标准判断外部制度的合法性与合理性，以及采用哪种路径实现国内数据法律规范与国际高标准经贸规则的对接。

数据出境监管的分类分级标准框架属于数据出境监管立法的组成部分，标准框架的制定过程以确立数据出境监管立法的价值坐标为起点，清晰而明确的价值坐标可以直接决定标准框架的立法目的，并明确其规制对象、范围和方式。按照数据法治的良法要求，标准框架本身应具有稳定性、明确性、统一性等优秀品质。为满足中国特色社会主义法律体系的完整性、体系性要求，标准框架还应与位阶更高的数据法律规范在精神层面保持一致。以价值坐标为指引，可缓和、化解、消除法律概念间的分歧与冲突，明晰并统一核心法律概念的内涵，进而降低标准框架在制定过程中的盲目性和无序性。同时，发挥价值坐标的评价功能不仅能够对标准框架的内容进行剪裁、增补和修改，还可以判断国家（行业）标准、国际条约和外国立法的合理性，从而将其吸纳进我国数据法律规范体系之中，甚至上升为国家法律或行政法规。另外，由于我国数据出境监管制度尚未完全达致内容完备、逻辑清晰和结构严谨的要求，故而难以为跨境电商平台数据出境监管行为提供充分指引。一个稳定的、确定的价值坐标恰好可以弥合制度的“空缺结构”。遵循价值坐标所内含的精神、愿望与期待开展数据出境监管活动，可预防或应对数据出境监管部门和出海企业对各类数据法律规范的解释、实施行为出现明显偏差。

基于此，本文将从数据出境监管立法的价值追求出发，运用法的价值理论构建跨境电商平台数据出境监管的价值坐标，并结合现行数据法律规范的内容，将价值坐标运用于立法实践，设计一套符合跨境电商平台数据特点、具有可操作性的数据出境监管分类分级标准框架。

 

二、数据出境监管的分类分级标准及其理论基础

 

我国尚未针对数据出境监管出台专门的数据分类、分级标准，相关制度基础散见于四类法律规范中。对四类制度基础进行梳理可提炼出三种分类和分级标准。每种标准背后都存在一种或几种价值支撑，这些价值理由与数据出境监管立法的价值目标相契合，故而可以为分类分级标准提供正当性支持。数据出境监管立法的价值目标源自于人类对美好生活的向往，或对各类数据利益的追求，将价值目标加以集合、挑选和排序可形成立体、分层的价值坐标，因其蕴含数据出境监管立法的精神实质，故而可决定标准框架的内容和结构。构建价值坐标的关键环节是对存在冲突或对立的价值目标进行评价和取舍。评价标准和取舍理由构成价值坐标的内核，可用于调整跨境电商平台数据出境监管的分类分级标准之间、标准框架与其他数据立法之间的关系，从而促进数据规范体系的完善。

（一）数据出境监管的制度基础

数据出境监管的分类分级标准框架具有四类国内法制度基础，即宪法、法律、行政法规与相关规范性文件，以及各部门、各行业的数据分类分级标准。《宪法》对数据立法的价值目标提出要求、作出引导，序言和公民基本权利义务章中所规定的各项基本原则，为包括数据出境监管、数据分类分级保护等在内的一切数据法治活动划定边界与底线。《国家安全法》《数据安全法》《网络安全法》和《个人信息保护法》等四部法律支撑起我国数据立法的整体框架，在原则上规定“国家建立数据分类分级保护制度”，界定核心数据范畴，是制定数据出境分类分级监管制度的宏观依据。数据出境监管部门制定或发布的行政法规、部门规章和其他规范性文件将宪法和法律的原则性规定具体化，是制定跨境电商平台数据出境监管标准框架的具体依据。尽管由各行业、各领域的国家标准和行业标准构成的数据分类分级标准不具有法律般的强制力和约束力，但因其内容以数据分类分级的原则和方法为主，故而可以为制定跨境电商平台数据出境监管制度提供参考。

（二）数据出境监管的分类分级标准

对四类制度进行梳理可归纳出三种数据分类标准。第一，与数据产业发展相关的分类标准。该类标准按照数据所涉及的国民经济领域或数据应用场景，对其进行宏观的、大致的分类。第二，与数据管理相关的分类标准包括与数据安全管理相关的分类标准和与数据归集管理相关的分类标准。前者将敏感程度较高的数据进行单独分类、单独监管。比如，对与个人隐私相关的数据提出较为严格的保护要求。后者通常按照数据的来源方式对其加以分类，这种分类标准反映出相关主体对数据的控制权，以及对数据收集过程和使用情况的认知程度。第三，与数据主体相关的分类标准。该类标准所指向的“数据主体”是与数据相关的利益主体或受到数据影响的主体。包括生产、占有、处理数据的个人和各类组织。

四类制度中的数据分级标准包括“数据利益标准”“数据的重要程度标准”和“数据被非授权性处理后的危害程度标准”。第一，“数据利益标准”中的“利益”是包含国家安全、公共利益、企业利益和数据主体权益在内的多种利益集合。在对数据分级时，“数据主体”可理解为“利益主体”，除个体之外第二，数据的重要程度标准关注数据对利益主体的价值大小，或数据安全对利益主体及其相对应的法益所产生的影响。这种分级标准通过对数据影响安全进行预判，将数据划分为不同的重要程度，并控制其访问权限和方式。第三，“数据被非授权性处理后的危害程度标准”指的是数据遭到篡改、破坏、泄露或者非法获取、非法利用时，相关利益主体所遭受的危害程度，该类标准从“后果”入手，依据数据的安全属性遭到破坏后可能影响的法益、价值、利益来判断数据等级。

（三）数据出境监管的价值坐标何以决定分类分级标准框架

“立法是一种确定正当行为标准的活动”，制定数据出境监管的分类分级标准框架应首先思考数据出境监管立法的价值追求，并以该价值立场为引导，进一步确定标准框架的立法目的、逻辑结构和制度内容。按照上文的阐释，每种分类、分级标准背后都有一种或几种价值理念作为支撑。以数据所涉及的国民经济领域或数据应用场景对其进行宏观的、大体的分类，以及与数据归集管理相关的分类标准，都与企业内部的组织方式相契合，符合企业生产经营规律。采用该种数据分类、分级方式有利于提升组织的数据安全管理能力，促进我国数据经济发展。与数据安全管理和数据主体相关的两种分类标准，以及三种分级标准都在一定程度上受到维护国家安全、维护数据主权或总体国家安全观的影响。在人权观影响下形成的分类、分级标准可有效保护个人隐私权、个人信息，以及与此相关的人格利益。

从整体上看，各种标准之间存在交叉、重叠和缺漏，缺乏体系性和协调性，难以满足数据法治的“良法”要求。因此，真正实现以价值引导解决标准无序状态的目标需要构建一个内部关系清晰且结构稳定的价值坐标，并在此过程中思考三个问题，即哪些良善的价值追求能够指引数据出境监管的分类分级标准，适用于一种标准的价值理念对其他标准是否同样有效，以及如何从恰当的价值理念中生发出完整、统一的制度文本。如图一所示，在数据经济环境中，人类对美好生活的向往通常体现为对各类数据利益的追求。其中，能够促进人类发展、维护人类尊严，符合社会发展规律与整体共同利益，且能够实现利益最大化（或利益最少耗费）的利益需求，可用于塑造数据出境监管立法的价值目标，并影响分类分级标准框架的创制和实施，如正义、自由、平等、人权、秩序、理性、文明等。上文所分析的价值理念之所以能够为分类分级标准提供正当性依据的根本原因在于，它们符合人类发展的利益需求，且满足数据出境监管立法的价值目标的内在要求。透过制度文本的表层，可追溯到各种价值立场中所蕴含的立法者对制度功能的期待。

在静止状态下，各类法的价值目标无论是单独存在，还是以整体的方式集合，其内涵的价值准则和固有观念通常都不会发生对立或冲撞。但是，在法的制定和实施的动态场景中，由于社会法律文化差异，或价值主体在观念、认知和选择上的相互对立，可能导致法的价值目标发生冲突。比如，因数据附着主权国家所关注的安全、经济、人的发展等问题，故而数据无国界立场时常遭到数据主权、国家安全、人权保护等立场的挑战。再如，作为互联网经济强国的美国，采用商业利益优先的宽松立法，鼓励数据的自由跨境流动。与此相反，为防止本国数据主权遭受侵害，俄罗斯运用本地化立法方式严格限制本国数据出境。这种态度立场分歧，折射出两国对数据出境监管立法的价值目标的认知差异。因此，在制定数据出境监管的分类分级标准之前，应首先解决数据出境监管立法的价值目标冲突问题，这便要求立法者对各类价值目标做出清晰认知、正确评价和恰当排位。通过对价值目标的选择与排序，可形成立体、分层的价值坐标，该价值坐标是对数据出境监管立法的多种价值目标的有序集合，反映立法者对数据出境监管制度的价值追求和功能期待，能够决定数据分类分级标准框架的立法目的、规制范围与方式。同时，价值坐标内含解决立场冲突的原则与规则，可从根本上应对制度文本的冲突、交叉问题，从而调整多种分类分级标准无序并存的状态，进而促进数据法律规范体系的内部协同。另外，当数据出境监管立法因滞后、僵化，或各种数据分类分级标准因表达差异而出现制度“空缺结构”时，价值坐标亦可直接表述为某种法律原则，直接指引分类分级标准的制定与实施。

 

三、跨境电商平台数据出境监管的价值坐标

 

当前，国际社会数据出境法律规制的主要价值立场包括维护国家安全和数据主权、促进自由贸易，以及尊重公民个人隐私，上述价值立场之间并非完全割裂，而是存在交叉或交融。比如，当出境的个人信息达到一定数量时可能影响国家安全，抑制自由贸易极有可能降低主权国家在国际贸易、国际投资等领域的竞争力，从而降低国家的抗风险能力，对数据主权的强调往往包含对个人隐私的保护。因此，建立一种相对稳定的价值坐标，需要穿透价值立场的表层，探究其背后所蕴含的数据出境监管立法的价值目标，并在具体的场景中解决“价值目标冲突”，通过对价值目标的排序确定价值立场的先后顺序。

（一）跨境电商平台数据出境监管的价值立场

第一，维护国家安全和数据主权立场。后疫情时期，国际格局更加复杂多变，信息技术的发展模糊了国家秘密与非秘密的界限，部分与国家安全相关的数据由企业占有和处理。为维护国家安全尤其是政治安全，确保国家对核心数据和重要数据的保护与控制，主权国家通常在允许数据自由流动的同时保留国家安全例外条款，通过禁止或限制部分数据出境的方式，维护国家安全、网络安全。

“数据主权”是对“主权”“信息主权”“网络主权”等概念的继承与发展，是一国独立自主“占有、管理、控制、利用和保护”本国数据的权力，也是一个国家所拥有的对其政权管辖地域范围内的个人、组织所产生的数据的最高权力。数据在主权国家之间流动是经济全球化的典型形态之一。当前，世界各国数字产业发展失衡，发达国家聚集的数据资源远多于发展中国家，带来的风险之一是助长数据霸权，并强化单边主义，导致全球经济发展的失衡状态加剧、发展中国家对发达国家的经济依附增强。因此，从维护本国数据主权和国际地位的角度出发制定数据出境监管制度实属必要。

维护国家安全和数据主权立场的典型代表国家是俄罗斯。俄罗斯早期数据立法——如《关于信息、信息技术和信息保护法》（第149号法令）、《俄罗斯联邦个人数据法》（第152号法令）对信息拥有者和信息系统运营者的义务作出规定，并对个人信息的跨境转交提出同等保护要求。“棱镜门”事件（或称“斯诺登”事件）暴露了美国安全部门利用本国互联网公司收集和调取全世界数据的内幕。为预防和应对本国的网络、数据受到美国政府的监控和侵害，加之维护国家安全的历史传统，俄罗斯采取严格的数据监管政策，运用数据本地存储的立法模式严格限制数据 出境。

第二，促进自由贸易立场。对数据的采集、分析、加工等处理行为已经成为互联网驱动企业获得竞争优势的关键条件之一，基于对商业数据的采集和分析所形成的行业研判报告作为数据控制企业智力和劳动的成果，亦可为生产者创造经济价值，伴随跨国企业、跨境电子商务平台以及B2C、C2C等新型贸易形式的兴起，数据在主权国家之间的流动日益频繁，为了促进国际贸易发展，部分国际贸易规则允许、鼓励数据自由流动。

美国以促进自由贸易为核心立场，秉持商业利益优先原则，采用相对宽松的数据出境监管政策推动数据自由跨境流动，并将该理念渗透至部分国际条约中。比如，《美韩自由贸易协定》（United States-Korea Free Trade Agreement）第15.8条规定“成员方应努力避免对跨境电子信息流动施加或维持不必要阻碍”，《全面与进步跨太平洋伙伴关系协定》（CPTPP，Comprehensive and Progressive Agreement for Trans-Pacific Partnership）的“电子商务”部分规定，各缔约方应当允许以开展商业活动为目的而通过电子形式跨境传输包括个人信息在内的信息，不得将计算设施本地化要求作为企业在本地开展商业活动的必要条件。

第三，尊重公民个人隐私立场。国际贸易活动使得个人数据在全球范围内流动，数据主体将面临隐私泄露、个人信息被滥用的风险，为防止过度追求商业利益而侵害个人权益，部分国际贸易规则中规定了个人信息保护的例外条款。尊重公民个人隐私纬度背后的人权观分为传统人权观和数据人权观。其中，传统的人权观以个人信息或个人隐私为对象，保护与自然人相关的数据，其背后的价值理念是尊重自然人的人格尊严和个体自由。“数字人权”旨在应对数字社会的道德风险，强调人在科技应用时的自主性价值，期待将人权作为道德自律伦理依据，激发企业的社会责任感，促进政府在制度设计中平衡人权保障和技术创新的关系，并对数字弱势群体进行倾斜性保护。

将个人隐私保护置于数据跨境流动监管首要立场的典型代表是欧盟。为了实现对个人数据的保护，欧盟先后制定《有关个人数据自动化处理的个人保护公约》（Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data）、《关于涉及个人数据处理的个人保护以及此类数据自由流动的第95 /46 /EC号指令》（Directive 95/46/EC， Directive 95/46/EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data），以及《通用数据保护条例》（GDPR，General Data Protection Regulation）等法律规范。

（二）跨境电商平台数据出境监管的价值立场冲突分析

对价值立场的选择反映出主权国家在国际贸易规则制定、数据全球治理中的较量与话语权争夺。将价值立场的选择回归至立法原理层面加以分析可以发现，发生价值立场冲突和立法模式差异的深层逻辑在于数据出境监管立法的多种价值目标之间的冲突，上述价值立场蕴含三类数据出境监管立法价值目标，即“法在公共领域的安全价值和秩序价值”“法在经济领域的效率价值”以及“法在私人领域的安全价值和人权价值”，由于不同价值目标所内涵的价值准则和固有观念存在冲突，加之政策制定者对价值目标的认知存在偏差，使得各个价值目标之间发生冲撞，进而引发价值立场和立法模式之争。因此，明确数据出境监管价值立场的必要条件之一是理顺每种价值立场背后的价值目标，分析并解决价值目标间的冲突。

当前，追求数据出境监管立法在公共领域的安全价值和秩序价值是主权国家的共识性选择。特别强调国家安全的价值立场，以及该价值立场之下形成的严格本地化立法模式，实则是以法在公共领域的安全价值和秩序价值为根基，追求社会的安定、有序状态，以保障社会成员在生活安排上的连续性和互动关系中的有序性。同时，以安全价值和秩序价值作为数据出境监管立法的价值根基，可有效防止政权的稳定性受到冲击和动摇，并保持公权力对社会进步和人类发展的保障能力。这种对法在公共领域的安全价值和秩序价值的强调，与法在私人领域的安全价值和人权价值并非是割裂的，在一定程度上，前者甚至是对后者的支持和强化。以俄罗斯早期的实践为例，俄罗斯自20世纪90年代开始酝酿其网络空间安全战略，在此期间，政策制定者已经意识到，保护国家和个人信息资源安全是维护网络空间安全的重要内容，相关立法除了明确信息资源的法律地位之外，还将公民的信息自由权和隐私权，以及网络作品的版权，纳入法律保护范畴。从数据立法价值目标的选择来看，在独立之初，俄罗斯大力倡导保护获取和使用信息的自由，互联网领域的法律规范对于法在经济领域的效率价值并不排斥。近年来，面对持续的网络攻击、数据泄露，以及“颜色革命”和恐怖主义利用互联网所制造的威胁，加之“棱镜门”事件的发生，使俄罗斯意识到过度的互联网自由将给国家安全和公共秩序带来威胁与风险。同时，因20世纪末、21世纪初期的经济萎靡和政局不稳，俄罗斯错失信息产业发展机会。乌克兰危机之后，欧美发达国家对俄罗斯信息产业的制裁不断深化，美国网络安全战略由以防为主转向以攻代防，这都在一定程度上加剧了俄罗斯的信息安全和国家安全风险。因此，为了对抗境外压力、维护本国安全尤其是政治利益安全，俄罗斯逐渐强化数据跨境流动管理，相关立法的价值目标选择也明显偏向法在公共领域的安全价值和秩序价值。

在实践中，较为明显的价值目标冲突通常发生在法在经济领域的效率价值与法在私人领域的安全价值和人权价值之间。其原因之一在于，两类价值目标所包含的价值准则和固有观念难以融合。法在经济领域的效率价值被各类数据经济促进法、科技进步促进法所吸收。然而，与技术飞速发展相伴随的是对个人信息的汇聚、储存、扩散，以某种合法的方式对个人信息的无限制公开和利用极有可能威胁信息主体对自身信息的控制，进而损害人性尊严和体面、阻碍人的自由发展。因此，为制止因商业动机、医疗、科研等活动伤害个人的人格完整和心灵安宁，数据出境监管立法运用法在私人领域的安全价值和人权价值平衡甚至抑制法在经济领域的效率价值。

此外，立法者对数据立法价值目标的认知差异和选择偏好，也在很大程度上加剧了两种价值立场的冲突。以欧盟和美国为例。欧盟的数据跨境流动法律规制围绕“权利话语”（rights talk）展开，法律规范所保护的“数据主体”是公民，这种权利话语是战后欧洲公民身份的核心组成部分，具有宪法保护的性质和最高效力。而美国则将处于充斥欺骗与不公的市场环境中的消费者视为需要政府保护的数据主体，并围绕“市场话语”（marketplace discourse）开展对消费者隐私的保护。显然，在面对法在经济领域的效率价值和法在私人领域的安全价值和人权价值的冲突时，两大法律体系对“数据利益主体”和数据立法价值目标的选择存在巨大分歧，这种差异或偏好受到历史和现实的双重影响。二战时期，欧洲国家遭受法西斯主义和纳粹主义带来的痛苦，故而在战后吸取教训，十分注重对人类尊严的保护。在欧盟的基本权利体系中，数据保护是一项根植于尊严、人格与自决的基本权利，对个人数据的处理被视为是对人类基本权利构成重大风险的行为。尽管出于构建欧盟内部个人数据市场的目的，个人数据可在成员国之间互相流动，但相关的数据处理行为必须符合统一的高标准数据法律规范。当获取信息的权利、言论自由和新闻自由等与个人数据保护发生冲突时，欧盟法院在进行经济效益和欧洲权利框架下的尊严、隐私及个人数据（隐私）保护的重要性比较时，会优先选择后者。美国的选择则恰恰相反，政策制定者长期被科技企业的积极经济影响所吸引，并期待和保护这种增长态势，处于市场框架下的隐私法追求法在经济领域的效率价值，将数据隐私保护对象聚焦于“消费者”范畴，将规制场景嵌入特定市场环境及特定消费者关系之中，这种隐私法律框架不似欧盟般具有宪法性质，而是一种市场交易管理类法律规范。从立法者角度分析，消费者是自由交易的参与者、是技术创新的获益者，个人信息可作为一种商品进行交易，人类社会是否繁荣在很大程度上取决于个人在交易中的利益需求得到满足的程度。因此，在市场框架之下的数据法应该保护并促进个人数据交换过程的公平性。

（三）跨境电商平台数据出境监管的“三层价值阶梯”

按照上文的分析，追求数据出境监管立法在公共领域的安全价值和秩序价值是主权国家的共识性选择。在构建更高水平开放型经济新体制、主动对接国际高标准经贸规则的背景下，在贸易规则框架下思考跨境电商平台数据出境监管制度应充分考虑法在经济领域的效率价值，以相对宽松的监管立法鼓励数据自由流动、促进国际贸易发展，并以参与全球数据治理为契机，提高我国在国际经贸规则制定中的话语权。然而，从美国的经验分析，法在经济领域的效率价值影响下所形成的立法以促进经济发展、保护各类经济利益为主要目标，关注投入与产出、成本与收益的关系，期待以最少的消耗获得最大的效果，为促进国际贸易和数据经济的快速发展，社会的安定秩序可能在一定范围内、一定时期内被打破。客观地说，我国数字经济尚处于发展初期，与欧美国家相比，数据保护实践经验相对不足，数据法律基础相对薄弱，国际合作机制相对滞后，加之后疫情时代国际环境纷繁复杂，国际贸易摩擦不断，故而从两类价值目标的比较来看，当前的数据出境监管立法仍然应优先考虑法在公共领域的安全价值和秩序价值。

通常情况下，法在公共领域的安全价值和秩序价值与法在私人领域的安全价值和人权价值并无明显冲突，国家维护社会的安定有序，可以为人的生存和发展提供良好的社会环境与制度基础，以法在公共领域的安全价值和秩序价值为指引所形成的数据出境监管立法亦可有效保护公民个人信息及相关的人格利益。自然权利理论认为，个人是高于国家的自然生命体，人权具有的自然属性意味着人权不可被国家剥夺和侵犯，因此，国家保障功能和个人对国家保护的需求并不代表主权必然高于人权，或法在公共领域的安全价值和秩序价值绝对优先于法在私人领域的安全价值和人权价值。相反，唯有在保障人权的制度性条件的功能意义上，“主权高于人权”才能成立。比如，在战争、惩戒犯罪、紧急状态、权力监督、公共卫生事件等场景中，出于对公共利益和公民基本权利的保护，数据立法可在特定地域范围、特定时间内对个人自由做出必要的限制。

在面对法在经济领域的效率价值和法在私人领域的安全价值和人权价值选择时，参考美国模式还是欧盟模式，是我国跨境电商平台数据出境监管立法要思考的主要问题。追求效率价值的美国将隐私保护法置于市场监管法之下，将保护对象聚焦于消费者群体，并在交易环境中规制个人信息交易行为。按照上文对数据出境监管四类国内法制度基础的分析，我国的隐私权保护对象是全体公民，对隐私权的保护场景不仅限于市场交易中，还涉及社会成员的日常生活场景和国家机关的社会治理活动。另外，从《民法典》的规定来看，隐私权作为人格权的组成部分，与人身自由和人格尊严密切相关，属于基本权利，这与欧盟的做法是一致的。因此，从内容上看，我国数据出境监管立法的价值立场与欧盟一致，即当两类价值目标发生冲突时，优先选择法在私人领域的安全价值和人权价值。按照上文阐释，欧洲国家在二战期间遭受法西斯和纳粹的伤害，人类的尊严遭到践踏，故而战后十分注重对人类体面、自由的保护，以重塑欧洲公民身份，加之输出“民主、人权、法治”价值观和抢占国际数据治理话语权的需要，欧盟的价值选择明显倾向法在私人领域的安全价值和人权价值。诚然，从结果上看我国与欧盟做法相似，但作出相同的价值目标选择并非是照搬西方经验，而是由我国客观现实所决定。法的人权价值旨在保障个人体面的、有尊严的生存，这是一种最低限度的生存标准，其基础性意味着人权的神圣不可侵犯，对于人权的剥夺或者克减应该受到严格的限制。社会主义的最高使命是人的普遍而全面的发展，社会主义法将社会主义原则与权利本位理念相结合构造出新型的权利本位法，中国特色社会主义法治道路的要求之一是坚持以人民为中心，并将法律的制定和实施视为保障人民权益的有效手段，唯有“以保护人权为己任，社会主义法治才能得到深厚的合法性基础”。因此，包括数据出境监管立法在内的全部法律规范均应遵循人道主义要求，不得为了追求高效经济发展而侵犯人权，故而在效率与人权两类价值目标发生冲突时，应将法在私人领域的安全价值和人权价值置于法在经济领域的效率价值之前。

基于此，（如表一所示）跨境电商平台数据出境监管的价值坐标应内涵“法在公共领域的安全价值和秩序价值”“法在私人领域的安全价值和人权价值”以及“法在经济领域的效率价值”，并将安全价值、秩序价值、人权价值置于效率价值之前，在价值立场选择时应立足维护国家安全和数据主权立场，并在尊重公民个人隐私的前提下促进自由贸易。在个别的、极端的情况下，为了维护重大公共利益或更好地保障人权，可在短时期内、有限度的范围内将法在公共领域的安全和秩序价值置于法在私人领域的安全价值和人权价值之前，允许尊重公民个人隐私立场在一定时间和空间范围内让位于维护国家安全和数据主权立场。但这种限制并非是对人权的克减，而是通过限制与人权相关的法定权利的内容和行使，达到更好地保障人权的效果。

 

四、跨境电商平台数据出境监管的“四级”标准框架

 

跨境电商平台数据出境监管标准框架属国内数据立法范畴。按照数据法治的“良法”要求，为保持中国特色社会主义法律体系的完整性、体系性和逻辑性要求，标准框架应以“三层价值阶梯”为价值引领，协同四类国内数据监管立法和相关国际条约。在具体内容上，构建标准框架应遵循数据分类分级保护原则，将跨境电商平台数据分类分级标准和数据出境限制条件恰当衔接。

（一）从“三层价值阶梯”到“四级标准框架”

在冲突状态下，跨境电商平台数据出境监管立法的价值目标选择呈现出“三层价值阶梯”样态，即以法在公共领域的安全价值和秩序价值为首要价值目标，将法在私人领域的安全价值和人权价值置于法在经济领域的效率价值之前。“三层价值阶梯”内含数据出境监管立法的基本原则，将其运用于具体制度的制定中，需要借助数据利益区分理念和比例平衡原则，在数据出境的具体场景中，明晰与三类价值目标相对应的、因数据出境而面临损害风险的利益，并以相应的“权利”或“新型利益”为中介，将“三层价值阶梯”与数据出境限制条件有机衔接。在此过程中，立法者对比例平衡原则的运用不仅是对多种价值目标的选择，更重要的是，在数据出境的微观场景中，判断各类利益的潜在损害风险，并以此为基础勾勒出三类价值目标所对应的利益及其边界，将其具体为数据权益或某种确定的法定权利，从而对跨境电商平台数据出境行为做出差异化限制与监管。

结合四类国内法制度基础分析三类价值目标所对应的数据利益，法在公共领域的安全和秩序价值与国家利益和重大公共利益相关，法在私人领域的安全价值和人权价值与个人的隐私权和人格权益相关。法在经济领域的效率价值与国家、企业和个人的经济利益相关。按照比例平衡原则的要求，为防止泛国家安全化阻碍国际贸易、妨害个人自由，在数据出境监管视角下强调法在公共领域的安全价值和秩序价值应以维护国家政治利益和重大公共利益为必要限度，并在其中包含对公民人格权益的保护。法在私人领域的安全价值和人权价值主要用于保护公民的隐私权，以及与知情同意、修改、被遗忘（或删除）等相关的人格权益。法在经济领域的秩序价值旨在保护与国家安全和重大公共利益无关的国家经济利益、企业经济利益，以及与信息采集、携带等相关的个人经济利益，结合“三层价值阶梯”所蕴含的评价标准，当国家、企业与个人发生经济利益冲突时，应优先保护国家经济利益。

按照四类国内法制度基础的相关内容，与国家政治利益和重大公共利益相关的数据为核心数据，应遵循数据本地化原则在中国境内存储，不得出境。与其他国家利益和公共利益相关的数据为重要数据，跨境流动受到相对严格的限制，在申报数据出境安全评估后方可出境。与企业和个人的经济利益相关的数据如若不影响国家利益和公共利益，可归为一般数据，允许自由跨境流动。当个人信息达到100万人以上，或者自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息时，相关数据应被视为重要数据，需要申报数据出境安全评估、签署个人信息出境标准合同，并通过个人信息保护认证，如若数据处理者符合《促进和规范数据跨境流动规定》第5条所规定的情形，则其所处理的个人信息可作为一般数据而自由出境。由此，可进一步形成跨境电商平台数据出境监管的四级标准框架（见表二），即按照“国家政治利益和重大公共利益——公民人格利益——国家经济利益——企业和个人经济利益”的顺序，将数据划分为四个等级。其中，一级数据与国家政治利益和重大公共利益相关，为核心数据，禁止出境。按照人格利益优先保护的原则，将不属于《促进和规范数据跨境流动规定》第5条所规定的个人信息列为二级数据。将与其他国家经济利益相关的数据列为三级数据，两类数据均为重要数据，对其出境监管的程度和方式应同等严格，在完成法定的安全评估程序后方可出境，与企业和个人经济利益相关的数据为一般数据，可作为四级数据而自由流动。

（二）跨境电商平台数据出境监管的“七类+四级”标准框架

按照数据分类分级保护原则，秉持促进数据经济发展的理念，参照数据归集管理相关的标准，即数据的取得方式或数据来源，可将跨境电商平台数据分为外部数据和内部数据。外部数据是跨境电商平台为持续经营而从外界获取的数据，包括用户数据、物流数据和市场数据，用户数据由注册信息、身份凭证、浏览记录和支付信息构成，物流信息涉及物流单号、运输轨迹、清关文件及仓储环境记录，市场数据相对广泛，包括与行业前景、市场供需、竞品情报和价格波动相关的数据。内部数据是跨境电商平台在运营过程中所形成的数据，包括与人力资源、组织架构、财务审计和其他合规事项紧密相关的管理数据，与商品描述、实时库存量、动态定价策略及用户评价相关的商品数据，与平台访问量、用户活跃度、商品上下架日志、平台功能升级和安全维护相关的平台运营数据，以及涵盖全渠道订单信息、交易细节信息和售后服务信息的交易数据。

除管理数据和用户数据之外，其他数据均可参照四级标准框架，划分至第一、第三和第四级数据中。其中，一级数据与国家政治利益和重大公共利益相关，不得出境。三级数据与国家经济利益相关，可在安全评估后出境。四级数据则与跨境电商平台的企业经济利益相关，该类数据如若不影响国家利益和公共利益，则可自由出境。由于管理数据中的人力资源数据和用户数据包含个人信息，故而两类数据在出境时需区分情况处理。通常情况下，用户和员工的个人信息出境需要按照二级数据的要求，申报数据出境安全评估、签署个人信息出境标准合同，并通过个人信息保护认证，如若存在《促进和规范数据跨境流动规定》第5条规定的情形，即按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的、为订立、履行个人作为一方当事人的合同确需向境外提供个人信息，则可免除上述程序而作为四级数据直接出境。

在实践中，“七类+四级”标准框架的运用因场景的不同而有所区别。比如，在平台与消费者的“履约”场景中，出境数据是用户数据，监管者需在法在经济领域的效率价值和法在私人领域的安全价值和人权价值之间作出选择，并按照消费者个人信息数量的多少将其列入二级或四级数据。一般情况下，平台日常运营管理或第三方技术服务场景中出境的数据是商品数据、平台运营数据和交易数据，该类数据大多与企业经济利益相关，不涉及国家政治利益、重大公共利益、消费者和劳动者的人格利益，因而不存在明显的价值目标冲突，通常无需进行价值选择。当平台受到境外数据合规监管时，进入境外公权力机关控制范围的数据可能包括与劳动者人格利益相关的管理数据，与国家经济利益或重大公共利益相关的物流数据和市场数据。因此，在境外数据合规监管场景下，出境数据需被区分为四个等级，并受到差异化限制。

 

结 语

 

制定跨境电商平台数据出境监管标准框架需思考三个具体问题，即跨境电商平台数据分类分级标准、跨境电商平台数据出境限制条件，以及二者的衔接路径。在数据法治的整体框架下思考上述问题，应以跨境电商平台数据出境监管的价值坐标为指引，保持国内数据出境监管立法的稳定状态，并对接数据跨境流动规制相关的国际高标准经贸规则。

从表层看，构建跨境电商平台数据出境监管的价值坐标需对维护国家安全和数据主权、尊重公民个人隐私和促进自由贸易三种维度或立场进行权衡，从立法原理上剖析价值坐标的内核，实则是对法在公共领域的安全价值和秩序价值、法在私人领域的安全价值和人权价值，以及法在经济领域的效率价值进行选择与排序。按照法的价值理论，当发生法的价值目标冲突时，协调三者之间的关系应考虑我国当下社会经济发展现实条件和数据出境监管立法的现实需求，并关注人的生存与发展。据此，跨境电商平台数据出境监管价值坐标应将法的安全价值、秩序价值和人权价值置于效率价值之前，特殊情况下，可在一定时间和地域范围内，允许人权价值让位于安全价值和秩序价值。由此形成的“三层价值阶梯”直接决定数据出境监管的立场选择，即立足国家安全和数据主权，在尊重公民个人隐私的前提下，促进自由贸易发展。

跨境电商平台数据出境关涉国家利益、公共利益和个体（组织和个人）利益，将“三层价值阶梯”应用于跨境电商平台数据出境监管的微观场景中，遵循促进数据经济理念，按照数据归集管理相关的分类标准，可将跨境电商平台数据分为两大类、七小类，结合数据利益标准、数据的重要程度标准和数据被非授权性处理后的危害程度标准，可将数据出境限制条件嵌入分类分级标准中，并最终形成跨境电商平台数据出境监管的“七类+四级”标准框架。“七类+四级”标准框架以我国当下数据经济发展情况、数据出境监管立法资源与需求为基础，但这种分类分级标准或方式并非一成不变，无论是从法的价值理论进行分析，还是借鉴国际社会经验，我国跨境电商平台数据出境监管的价值选择和实践立场都应与时俱进，随着现实条件的变化而调整。如若进一步细化该标准框架，可将视角拓展至企业内部数据管理，在“三层价值阶梯”和“七类+四级”标准框架中思考个人其他合法权益、组织商业秘密和组织其他合法权益的先后排序。（作者：张志铭为华东师范大学文科资深教授；钟欣为上海对外经贸大学讲师）