欧美跨境数据流动规制:冲突、协调与借鉴
——基于欧盟法院“隐私盾”无效案的考察

单文华,邓 娜

(西安交通大学 法学院,陕西 西安 710049)

欧盟是美国重要的数字贸易伙伴,2000—2020年,美国依靠《安全港协议》和《隐私盾协议》实现了欧盟公民个人数据持续向美国流动。多年以来双方之间的数据流动虽然不乏波折,但是总体比较稳定(1)虽然《安全港协议》于2015年10月被欧盟法院判定无效,但是欧美双方很快重新达成了《隐私盾协议》,并于2016年7月生效。。不过,由于欧盟和美国数据法律体系差异较大,双方在数字经济的发展上存在根本利益冲突,所以跨大西洋数据传输机制具有先天的脆弱性。最终,《隐私盾协议》难逃和《安全港协议》同样的命运,于2020年7月被欧盟法院判定无效。通过对《隐私盾协议》无效案的剖析,可以管窥欧美之间数据跨境流动存在的深层问题,了解国际数据保护立法的主要趋势,为我国制定符合国际潮流和现实国情的数据保护及跨境数据流动法律体系、推动国际数据治理提供有益借鉴。

一、欧美跨境数据流动的安排缘起

欧盟数据向外流动主要依赖充分性认定机制。欧盟委员会在评估第三国或地区的法律法规、司法系统、人权保护状况、国防及国家安全体系等因素后,如果认定其数据保护体系强劲有力,能达到与欧盟法“实质等同”(essentially equivalent)、并不要求“完全一样”(identical)的保护水平,欧盟可单方面发布对该国的充分性认定决定,如此则数据可以自由地从欧盟传输至该国境内所有的经济组织,包括私人企业[1]。鉴于欧盟数据保护的高门槛和高标准,能得到“充分性认定”的国家并不多(2)目前得到欧盟充分性认定的一共有13个国家和地区,包括加拿大、日本、阿根廷、安道尔、以色列、新西兰、瑞士、乌拉圭、法罗群岛等。……