我国个人信息保护法域外效力

何明鑫

随着数字经济的发展，数据已成为与土地、劳动力、资本、技术并称的生产要素，而个人数据是数据的重要组成部分[1]。由于各国数字产业发展水平的不同，对个人信息保护的价值取向不完全相同。许多法域的个人信息保护法为维护其数据利益、强调本国个人信息保护的价值观、弥补国际法维权失灵或者引领国际法的构建，对域外效力作了规定。美国2018年发布的《澄清域外合法使用数据法》（Clarifying Lawful Overseas Use of Data Act，下文简称CLOUD法）赋予美国政府调取本国企业在境外存储的个人信息的权力，无需经过他国同意即可在他国主权范围内适用。欧盟的《一般数据保护条例》（General Data Protection Regulation，下文简称GDPR）第3条规定：“本条例适用于设立在欧盟境内的控制者或处理者的场景下对个人数据的处理行为，无论该处理行为是否发生在欧盟境内；本条例适用于对欧盟境内的数据主体的个人数据处理，即使控制者和处理者没有设立在欧盟内，其处理行为：（a）发生在向欧盟境内的数据主体提供商品或服务的过程中，无论此项商品或服务是否需要数据主体支付费用；或（b）是对数据主体发生在欧盟境内行为的监控；本法适用于设立在欧盟之外，但依据国际公法欧盟成员国法律可适用地的控制者对个人数据的处理。”此规定赋予GDPR在欧盟境外的效力。欧盟认为个人数据和隐私的保护是一项基本权利，应该用高标准达到一个可信赖的数字经济或者贸易发展[2]，GDPR体现了欧盟对个人信息的上述理解。……