数据跨境流动政策认知与建议|网络法律评论王融腾讯研究院资深专家在当前网络空

看官辛苦啦！傻大方小编知道你找“数据跨境流动政策认知与建议|网络法律评论”这篇文章很久了，是否有种踏破铁鞋无觅处，得来全不费功夫的感脚呢？

数据跨境流动政策认知与建议|网络法律评论--王融腾讯研究院资深专家在当前网络空间治理政策中，没有哪类议题能够像数据跨境流动一样，包含如此之复杂的讨论面向：数据主权、隐私保护、法律适用与管辖、乃至国际贸易规...---傻大方资讯防抓取设置

王融腾讯研究院资深专家在当前网络空间治理政策中，没有哪类议题能够像数据跨境流动一样，包含如此之复杂的讨论面向：数据主权、隐私保护、法律适用与管辖、乃至国际贸易规...

王融腾讯研究院资深专家

在当前网络空间治理政策中，没有哪类议题能够像数据跨境流动一样，包含如此之复杂的讨论面向：

数据主权、隐私保护、法律适用与管辖、乃至国际贸易规则。特别是在2013年斯诺登事件后，随着安全担忧情绪的蔓延，各国政府引入了形式多样的本地化要求，更增加了人们对数据跨境流动政策的困惑与误解。

本文通过对美国、欧盟等最具有代表性的数据跨境流动政策的详细对比，提炼共性与差异，以澄清有关该政策的基本认知。并基于欧盟制度改革中对数据跨境流动政策的反思，提出相关政策完善建议。

此外，基于中、美、欧对全球网络空间治理规则的影响力，本文分析了全球数据跨境流动政策的基本走向，以及其对数字经济全球化运营可能带来的深度影响，并面向企业提出相关建议。

对于身处复杂政策框架下的企业来说，不仅需关注不同规制要求，积极寻求多样化合规渠道，更需从长远建立全球化与本土化相结合的竞争战略。

关于讨论前提的两点澄清

(一) 数据跨境流动政策与数据本地化措施的关系：本地化并不意味着绝对禁止数据跨境流动

数据跨境流动政策是指一国（或地区）政府针对数据通过信息网络跨越边境的传输、处理活动所采取的基本立场以及配套管理措施的集合[1]。

尽管信息网络对数据的传输边际成本极低，互联网基础协议能够确定网络任意两点之间传输数据包的最快路径，也并不以地理边境为界，但各国出于隐私、安全等考虑，对从技术上完全可实现的“数据自由流动”现象从政策层面作出不同程度的干预。

“数据跨境流动政策”这一表述本身是中性且广义的，它包含了从开放到保守不同立场倾向的政策类型。

它既可以针对数据流出境内的场景（如欧盟对于个人数据转移到欧盟以外的管理框架）；也可以适用于数据流入境内的场景（如出于保护公共利益需要，对于儿童色情、侵害知识产权等数据，采取措施禁止本国居民通过网络访问获得[2]）。

相比之下，数据本地化措施从概念本身则狭义许多。

它是指：出于本国公民隐私保护、国家数据安全，以及执法便利等目的，要求数据在境内存储、处理的管理要求集合。

当然，数据本地化措施也可以包含宽严程度不同的类型，通常有：

（1）

仅要求在当地有数据备份，而并不对跨境提供作出过多限制[3]；

（2）

数据留存在当地，且对跨境提供有限制[4]；

（3）

要求特定类型的数据留存在境内[5]；

（4）

数据留存在境内的自有设施上[6]，等等。

因此，尽管“数据本地化”措施正在成为当前全球网络空间治理中的一股潮流，但它仍然仅代表了数据跨境流动政策的一种方向。而且鉴于“数据本地化”政策的丰富类型，本地化并不意味着绝对禁止数据的跨境流动，有相当部分的数据本地化政策仍然给出了很多例外。

(二) 数据跨境流动政策适用的数据类型：主要围绕个人数据

关于数据跨境流动政策的讨论最早始于个人数据保护法律领域。

个人数据保护的国际纲领性文件——1980年经合组织《关于保护隐私和个人数据跨境流动指南》，内容主要分为“国内适用的基本原则”及“国际间适用的基本原则”。后者解决的即是个人数据跨境流动问题[7]。进入“后斯诺登”时代，新一轮的数据跨境流动政策对数据类型有所扩展。但从各国政策的总体观察而看，政策对象仍以个人数据为主①，在有限的案例中扩展至其他数据[8]。

国内关于数据跨境流动政策的部分研究文献将政府数据纳入，并基于政府数据类型，提出相应的跨境流动管理策略。此类认知需予以澄清。

实际上政府数据中涉及国家秘密乃至安全的部分，在属性上已经提出了更高保密性要求，禁止跨境流动本就是应有之义；不涉及国家秘密的部分，如果具备公开属性，则应纳入政府数据开放调整范围，也不牵涉跨境数据管理问题。

而

归根结底，

政府数据无论是否具有保密属性，都具有在本地存储的天然特点，绝大部分也不具有跨境流动的商业化需求。因此，在数据跨境政策讨论中，提出政府数据类别，对于认知数据跨境流动政策并无特别意义。

综上，本文聚焦于各国针对经贸往来中，基于商业目的的数据跨境流动政策分析。

美欧数字跨境政策发展概况及差异

数据跨境流动是经济全球化与数字化的伴生物。

美、欧基于各自政治、经济、法律传统等因素考量，在不同的历史背景下，发展出特色鲜明的数据跨境流动政策。

(一) 美国数据跨境流动政策主要由贸易利益驱动

美国在克林顿政府时期，就已形成对数据跨境流动问题的初步策略。

1997年《全球电子商务框架》②提出：“只有当个人隐私和信息自由流动带来的利益取得平衡时，全球信息基础设施才可能兴旺起来。美国支持为用户提供恰当的隐私保护，以提升用户使用互联网服务的信心，但各国在公民隐私保护方面迥然不同的政策，有可能会形成非关税贸易壁垒。”

对此，美国采取以下策略：

（1）

依据个人隐私保护基本原则[9]会同其主要贸易伙伴推进符合市场需求的个人隐私政策；

（2）

继续与欧盟进行对话讨论以解决数据流动问题；

（3）

通过双、多边讨论以及地区性论坛[10]，就跨境流动问题展开对话。

二十年来，美国在以上三方面取得不同进展。首先，

尽管与欧盟在个人数据保护路径上存在明显分歧，2015年欧洲法院甚至废除了美欧执行已逾15年的欧美安全港，但不可否认的是，二者之间的政策分歧从未实质性影响跨大西洋数据流动。

直至2016年新隐私盾协议的达成，也仍旧为欧美实现数据流动提供了积极机制③，目前包括Google ,Facebook, 微软等2500家美国公司的跨境数据传输仍依赖于该机制；

其次，双、多边贸易协议已成为美国推进其数据流动政策的主要渠道。

2012年《美-韩自由贸易协定》，第一次在贸易协定电子商务章节中规定了跨境数据流动规则。TPP谈判尽管美国已退出④，但由其提出的跨境数据流动规则已成为不少国际协定电子商务章节的范本[11]；

此外，美国通过亚太合作组织（APEC），积极推进《APEC跨境隐私规则体系》（CBPRs），该体系倡导数据治理规则的实用性，对于通过CBPR认证的企业，被认为满足了隐私保护要求，可以在APEC区域内实现自由的跨境数据传输[12]。

(二) 欧盟在人权项下考虑数据跨境流动政策

与美国将数据跨境政策与贸易政策深度捆绑不同，欧盟更多是从个人权利保护项下考虑数据流动。

欧盟1995年《关于个人数据处理保护与自由流动指令》规定：欧盟公民的个人数据只能向那些与欧盟数据保护水平相同的国家或地区流动。如果数据接收国的法律水平没有达到欧盟委员会认可的标准，有两种替代方式也可实现转移：

一类是例外场景

，如取得了数据主体的明确同意，或该转移是为了履行与数据主体之间的协议所必需等；另一类是企业能够证明已采取了充分的保障措施情形

[13]。

此外，欧盟也通过在全球积极推广其个人数据保护制度，不断扩展可以实现数据自由流动的地区。

1981 年，欧洲理事会各成员国签署欧洲《有关个人数据自动化处理之个人保护公约》（欧洲第108号公约）。加入公约，意味着要建立与欧盟相似的个人数据保护立法，将被视为满足欧盟跨境数据流动“充分性保护”标准的重要参考。特别自2010年以来，欧盟加速推进公约的全球化进程，目前已有46个国家加入公约⑤。

与美欧相比，中国、巴西等国家更多从维护网络安全和数据主权为目的出发，制定跨境数据流动政策。

包括中国、越南、巴西等在内的发展中国家，也包括澳大利亚、加拿大等发达国家在不同程度均提出了数据本地化措施。此类措施对服务贸易全球化可能带来消极影响⑥，但却能在一定程度上保障国家信息安全，特别是从执法层面，为国家行使司法主权提供依托。

(三) 美欧数据跨境流动政策的具体实施机制有较大差异

美国在国际上推行宽松的数据跨境流动政策，首先需要本国示范。

因此在美国一般立法中,难以观察到禁止或者限制数据跨境流动的明确要求[14]。

例如：美国针对外国投资安全审查中，可以与外国投资者签订安全协议，而安全协议可能包括相关的数据本地化要求。关于数据本地化要求的执行落地，也通常会由CIFUS指定的特定政府部门来负责监督执行。

欧盟数据跨境转移政策主要体现在个人数据保护制度中，相应地，其实施机制也依附于个人数据保护执法体系。

如上述，欧盟数据控制者[15]实施个人数据跨境流动活动时，有三种合法方式：（1）

（2）

（3）

“充分性认定”是一个白名单机制。

充分保障措施主要体现为“标准合同文本”机制（Standard Clauses Contract，SCC）和“有约束力公司规则”机制（Binding Corporate Rule，BCR）。

“有约束力的公司规则”

由于通过充分性认定的国家总是少数，因此充分保障措施机制实质是欧盟各国数据保护机构在跨境数据流动管理中最为主要的抓手。

数据跨境政策面临的共性问题

及对中国的参考建议

尽管在政策目标上具有明显差异，但美欧在数据跨境流动政策中也面临最为基础的共性问题——如何在全球化的数字经济中有效达成数据跨境流动监管目标？特别是在数据跨境流动成为普遍趋势的背景下，对数据跨境活动的干预愈深，这一问题带来的挑战就愈大。

美国凭借其在技术、产业优势以及灵活的监管制度优势，在数据跨境伴生而来的隐私保护、数据安全问题并无特别担忧，因此仅建立了个案式的、事后监管机制，此类机制最大程度的避免了对数据跨境流动的干预，同时也能有效赢得美贸易利益和安全利益的双赢。

美国面临的困境是在全球推行数据自由流动时，难以提出对“数据本地化”进行限制的合理标准，毕竟国际贸易规则中将安全和公共利益作为了基本例外⑧。

而对于中欧来说，对安全和隐私的担忧却是真实存在的，

(一) 欧盟数据跨境流动政策的困境与改良

欧盟2012年启动个人数据保护立法改革时，曾全面梳理了现有的个人数据保护制度呈现出的种种缺陷。其中最为突出的问题即是：日益增长的全球数据流动与现有监管制度之间的不适应。

正如批评意见认为：欧盟对个人信息的跨境转移设置严格条件类似于虚幻假象，因为它假象欧盟的标准能覆盖到除欧盟以外的全球各处，但实际情形并非如此?。的确，欧盟跨境数据转移管理的三类方式均已捉襟见肘。

1.明确禁止各成员国不得以许可方式管理跨境数据流动。

2.增加了充分性认定的对象类型。

3. 扩展“标准合同条款”，

4. 发挥行业协会等第三方监督与市场自律作用。

(二) 欧盟经验对中国的参考意义

1.中国数据跨境流动政策发展概况

2016年11月出台的《网络安全法》首次以国家法律形式明确了中国数据跨境流动基本政策。

中国数据跨境流动政策更多是在斯诺登事件后，基于国家网络安全视角而提出。但实际上这种政策视角在2013年前已显露雏形。

如2011年中国人民银行发布的《关于银行业金融机构做好个人金融信息保护工作的通知》已要求个人金融信息的储存、处理和分析应当在中国境内进行；2013年《征信业管理条例》规定征信机构对在中国境内采集的信息的整理、保存和加工，应当在中国境内进行。

此后，出于数据安全目的，本地化要求进一步被写入网络监管立法中，

中欧均对日益增长的数据跨境流动采取干预措施，欧盟所积累的政策经验与教训对中国而言具有重要参考价值。

其一，“许可”等事前监管机制已被证明固有的局限性。

当然，在国内此前公布的数据出境文件征求意见稿中，监管机构已然关注到了这一问题，引入了企业自评估机制，并体现出将政府评估作为事中、事后监管的思路。

其二，要为“合理有序的数据流动”提供尽可能丰富的合法渠道。

这也是欧盟在对数据跨境流动机制进行改革时，重点落脚于增加有效渠道的根本原因。

2. 中国可借鉴的有益做法

我国目前初步建立的数据跨境流动政策，如将数据出境安全评估作为单一合规机制，在现实中恐难以适应海量数据跨境管理需求。建议参考欧盟及其他国家经验，设立符合我国国情需要的多样化合法流动机制，例如：

（1）建立白名单机制。

考虑到短期内各国无法形成相互协调的数据流动政策体系，因此，数据跨境流动政策将深度嵌入双、多边的贸易投资谈判。在国与国之间、区域与区域之间体现出多样性、灵活性，形成不同解决方案?。

如我国近邻日本、韩国，已分别启动与美欧的数据跨境流动双边谈判[21],预计在2018年之前，日韩将分别与欧洲达成充分性保护互认协议，同时，由于日韩均已加入美国主导的APEC跨境数据流动CBPR机制，日韩与美国的数据流动也具备顺畅渠道。预计此类区域性的数据流动协议在未来将成为解决数据流动的主要途径之一。

（2）根据安全评估的主要标准，

建立指引性的数据跨境流动协议范本，

（3）鼓励行业协会及其他自律组织参与安全评估。

（4）对不同性质的数据采取分类管理方法。

综上，在信息通信技术与经济全球化深度耦合背景下，应当承认：数据的跨境流动是绝对的，而对数据流动的限制是相对的

。

复杂的数据流动政策对跨境业务的影响

基于中美欧政策之间的巨大鸿沟，在全球范围内形成协调一致的跨境数据流动政策还很遥远?。

首先，包括本地化在内的各类数据跨境流动政策，对依赖全球数据聚合的业务带来影响。

换言之，物联网、云计算、大数据应用在技术上完全可实现全球数据资源的汇集、并通过对数据汇集的加工分析，创造出新的经济价值，而全球割裂的数据跨境流动政策将直接影响着此类业务的效率，甚至是业务模式本身能否持续开展。

其次，相比于大型企业，中小企业受到冲击更大。

其政策门槛削弱了中小企业对跨境业务的参与度和市场创新能力。

再次，“数据本地化”政策对没有本地化需求的跨境业务带来负担。

但不容否认，仍有大量业务场景并不需要考虑这一因素，反而更关切因为数据本地化带来的负担成本。

例如：面向境外用户提供旅行产品订购的网站，在初创期可能并不需要考虑在服务本地部署数据中心；又或者一些数据容灾备份的安全服务，对数据传输响应速度并无特殊需求，也往往并不需要将数据部署在本地。

数据跨境流动合规建议

当前，不仅金融、电信、互联网等跨境服务离不开数据跨境传输支撑，包括制造业、医疗健康乃至农业生产等更多传统产业也产生了大量的数据跨境需求。

例如：飞机制造商波音公司通过其遍布全球的飞机和航线服务，建立了全面的数据收集系统，用于发现和诊断问题航班。我国重型机械生产制造企业三一重工也通过对装备运行信息的实时采集，提供远程跨境诊断服务。涉及数据跨境流动企业需要建立完善的合规体系，为业务开展提供法律基础保障。

(一) 关注本地数据跨境流动政策目的及严苛程度

各国数据跨境流动政策目标决定了其严格程度和具体要求上的差别。

(二) 积极寻求多样化合规渠道

对于我国企业来说，面临两类基本的数据跨境合规问题

对于第一类问题，

而有越来越多的出海企业将面临第二类问题。

在欧盟新的数据保护立法GDPR在2018年5月生效之前，中国企业可以利用的合法传输机制仍然相当有限。

例如：“标准合同文本”和“有约束力公司规则”仍很难为中国企业所利用。相比较而言，作为中国企业的竞争对手——美国企业（特别是中小企业）则可以利用“美欧隐私盾”更方便的实现数据合法转移[22]，而日韩企业也有望在2018年后通过政府与欧盟达成的充分性保护互认协议实现高效的转移数据。

若采取例外情形中的“用户同意”模式，

对于具有一定实力的中国企业，

在欧盟市场面临的问题，也将在其他效仿欧盟建立跨境流动机制的国家体现

而在美国以及APEC国家地区，

(三) 应对数据本地化带来的管辖冲突

事实上，尽管根据不同国家数据跨境流动政策可以选择不同的合规方案，但最终无法回避管辖冲突问题。

进一步加剧了管辖冲突。

例如：各国通过数据本地化立法，来解决法律适用和本地执法问题，但从美国相关案例，典型如微软诉美国司法部案中[23]，司法部门认为其无论数据存储在哪里，都具有其管辖权，使得企业处于进退两难境地?。实际上，这不仅是大型跨国公司面临的问题，伴随互联网服务的全球化趋势，一些初创企业也将面临。

针对法律适用和管辖，政府部门和司法机构可以有不同的主张，

当前阶段，司法管辖冲突更多体现为个案式的。

考虑到国家间的司法协助条约（MLAT）[24]进展缓慢，

因此，对于面向全球提供服务的企业而言，在法律适用冲突中较为安全的选择是将所服务的不同国家的公民个人数据，存储在不同国家(或该国政策认可的其他地区），当然这无疑产生了新的巨大成本，且仍会面临复杂的管辖竞合问题，亟待通过国际层面达成协调机制。

(四) 建立全球化与本土化相结合的竞争战略

对于全球化的平台企业而言，则需要以“全球化”和“本土化”相结合的视角，破解数据管辖冲突困境。例如：欧盟没有直接提出数据本地化要求，理论上企业可以选择多种渠道实现跨境流动。但微软公司却已在尝试更深度的本地化解决方案。微软于2016年底与德国电信合作运营数据中心，专门向欧盟客户提供服务。根据合作安排，德国电信的子公司 T-Systems 扮演数据中心“受托人”角色，负责管理微软在德国的数据中心。

正是考虑到在全球政策层面，短期内无法提供数据安全及管辖冲突的协调方案，跨国企业已开始着眼于本地化模式的调整，包括从技术架构、商业模式等多方面进行改进优化，通过整合本地化模式，使之既符合当地监管要求，同时也形成更为强大的全球竞争力。

注释：

[1]这一界定基本符合当前数据跨境流动政策讨论需要，也具有概念定义的连续性。关于“数据跨境流动”相关概念最早正式出现于1980年OECD 《关于隐私保护与个人数据跨国流通指南》，其中对个人数据的跨境流动做了简单解释，个人数据的跨境流动是指个人数据跨越国界的运动。（“trans-border flows of personal data” meansmovements of personal data across national borders.);1982年联合国跨国公司中心对跨境数据流动（Trans-border DataFlow）的界定是：跨越国界对存储在计算机中的机器可读的数据进行处理、存储和检索。我国信息化专家周宏仁在其专著《信息化论》中也将跨境数据流表述为数据通过计算机通信系统跨越边境的运动。

[2]考虑到本文旨在讨论“数据本地化措施”潮流之后的数据跨境政策走向，因此也将更多着眼于针对数据“流出”场景的政策分析。

[3]例如俄罗斯在数据本地化执法初期，曾一度澄清只要机构在俄境内存有数据副本，则个人数据可自由传输至境外。见http://www.law360.com/articles/698895/3-things-to-know-about-russia-s-new-data-localization-law

[4]如中国《网络安全法》第三十七条针对关键信息基础设施运营者的数据本地化要求

[5]如澳大利亚2012年《个人控制的电子健康记录法》。规定除非特定的例外情况，禁止健康数据转移到国外。第77条第一款规定：“……相关主体不得(a)在澳大利亚境外持有、获取该数据；（b)在澳大利亚境外处理或处置与该数据相关的信息；（C）致使或者允许他人在澳大利亚境外持有、获取该数据，或在澳大利亚境外处理与该数据相关的信息。

[6]如中国对外资开放的部分电信业务中关于设施本地化的要求。

[7]指南要求：成员国不得不合理的限制数据在本国和另一成员国之间的流动。

[8]例如：俄罗斯2014年新修订的《关于信息、信息技术和信息保护法》中规定，“自网民接受、传递、发送和（或）处理语音信息、书面文字、图像、声音或者其他电子信息六个月内，互联网信息传播组织者必须在俄罗斯境内对上述信息及网民个人信息进行保存。这一规定不以个人信息为限，但仍与网民的活动信息相关。

[9]主要指美国合理使用信息原则（FairInformation Practice Principle ,FIPP）它是美国在消费者隐私保护与个人信息保护监管中所应用的重要原则。

[10]包括：如亚太经济合作(APEC)论坛、美洲首脑会议(the summit for Americas)、北美自由贸易协定(NAFTA)等机制。

[11]其14.11条规定了通过电子方式进行的跨境信息传输。第1款指出“各缔约方认识到每一缔约方对于通过电子方式跨境传输信息可能有各自的监管要求”。第2款规定“当通过电子方式跨境传输信息是为所涵盖的主体执行其业务时，缔约方应允许此跨境传输，包括个人信息”。同时，本条第3款指出“本条不得禁止缔约各方为实现合法公共政策目标而采取或维持与第2款不符的措施，前提是该措施：（1）其实施并未构成任意或不合理的歧视或构成对贸易的变相限制；及（2）对信息传输所施加的限制并未超过为实现合法目标所必需的限度。”

[12]截止目前，APEC成员美国、墨西哥和日本进入了加入CBPR体系的不同阶段，加拿大表示即将启动加入程序。

[13]欧盟1995年《个人数据保护指令》第5 章，第25，26 ，27 条的规定

[14]如前文明确，国家秘密及政府数据不在本文讨论范围，因此本文不讨论美国《出口管制条例》中涉及的美国技术秘密部分的数据管理要求，以及联邦政府数据安全管理框架Fedramp .此处所介绍的美国数据跨境政策，主要指向经贸往来中，商业目的的数据跨境流动政策。

[15]数据控制者是欧盟数据保护法规范的主体，是指独自或者与他人一起决定个人数据处理的目的和方法的自然人、法人、公共机关、机构或其他组织。

[16]欧盟委员会目前已认可以下国家达到了欧盟的“充分性保护”标准，包括：安道尔，阿根廷，加拿大（商业组织），法罗群岛，根西岛，以色列，马恩岛，泽西岛，新西兰，瑞士和乌拉圭

[17] Available athttp://ec.europa.eu/justice/data-protection/international-transfers/transfer/index_en.htm

[18]例如规定：数据主体因合同双方违反数据保护义务而造成的损害，有权向合同双方获得损害赔偿。合同双方同意，只有在证明任何一方对该条款的违反均没有责任的情况下，才能免除双方的赔偿责任。

[19] Available athttp://ec.europa.eu/justice/data-protection/international-transfers/binding-corporate-rules/bcr_cooperation/index_en.htm

[20]例如：2017年4月27日，马来西亚公布个人信息传输的白名单（草案），其中包括中国在内的23个国家和地区，认定为准许接收跨境个人数据的目的地。See :Malaysia publishes draft "White List" for personaldata exports,available at:https://www.hoganlovells.com/en/publications/malaysia-publishes-draft-white-list-for-personal-data-exports

[21] EU aims for data transfer deal with Japan, South Korea，available at https://ec.europa.eu/newsroom/document.cfm?doc_id=41157

[22] Lisa J. Sotto and Christopher D. Hydak，The EU-US Privacy Shield: A How-To Guide，July 19, 2016，Hunton &Williams lawyer insights

[23] 2013 年12 月，美国纽约南区联邦地区法院助理法官James C. Francis签发搜查令，要求微软公司协助一起毒品案件的调查，将一名用户的电子邮件内容和其他账户信息提交给美国政府。对此，微软认为，美国政府申请的搜查令只在美国境内有效，存放电子邮件内容的微软爱尔兰数据中心，不归美国政府管辖。而美国司法部认为：微软是美国公司，应当服从美国法律和司法部门的执法要求。即使其服务器存放在爱尔兰，仍然是该服务器的所有者，可以对该服务器进行操作。

此案经过微软两次上诉后，法院裁定：FBI 的搜查令不具域外效力（Extra territorialEffects）；要获取境外数据，应通过双边司法协助条约（MutualLegal Assistance Treaty）方式。

[24] Mutual Legal Assistance Treaty相互法律协助条约，是两个或者两个以上国家之间的签署的协议。根据国际法为各国政府在刑事调查和起诉中相互援助方面承担义务。执法人员在需要帮助的情况下运用MLAT，以便在另一国司法管辖范围内获得证据。

参考文献：

① Anupam Chander，DATA NATIONALISM，2015，Emory Law Journal，64 Emory L.J. 677

② The Framework for GlobalElectronic Commerce， available at https://clintonwhitehouse4.archives.gov/textonly/WH/New/Commerce/index.html,accessed in Aug 19, 2017.

③贾开，跨境数据流动的全球治理：权力冲突与政策合作——以欧美数据跨境流动监管制度的演进为例，《汕头大学学报》，2017年第5期；

④何波，国际贸易规则体系下跨境数据流规则梳理与我国应对分析，《汕头大学学报:人文社会科学版》 , 2017 (5) :53-56

⑤ Convention for the Protection of Individualswith Regard to Automatic Processing of PersonalData,source:http://www.coe.int/en/web/conventions/full-list/-/conventions/treaty/108

⑥]MatthiasBauer Hosuk Lee-Makiyama，THE COSTS OF DATALOCALISATION:FRIENDLY FIRE ON ECONOMIC RECOVERY，ECIPE OCCASIONAL PAPER ? No. 3/2014

⑦ EU Working Party on the Protection of Individuals with regard tothe Processing of Personal Data Working Document DG XV D/5025/98 WP 12，Working Document Transfers of personal data to third countries :Applying Articles 25 and 26 of the EU data protection directive Adopted by theWorking Party on 24 July 1998

⑧Shin-yi Peng & Han-wei Liu，The Legality ofData Residency Requirements:

How Can the Trans-Pacific PartnershipHelp?Journal of World Trade, Volume 51, Issue 2.

⑨TATEVIK SARGSYAN，DataLocalization and the Role of Infrastructure for Surveillance, Privacy, andSecurity，International Journal of Communication 10(2016), 2221–2237

⑩ European Commission - Press release，Commissionproposes a comprehensive reform of data protection rules to increase users'control of their data and to cut costs for businesses，25 January 2012

?Christopher Kuner，Reality and Illusion in EU Data Transfer Regulation Post Schrems Universityof Cambridge Faculty of Law Legal Studies Research Paper Series，PAPER NO. 14/2016，MARCH 2016

?王融，《从美欧安全港框架失效看数据跨境流动政策走向》，中国信息安全, 2016 (3) :73-73

?SusanAriel Aaronson, George Washington University，Why Trade Agreements arenot Setting Information Free The Lost History and Reinvigorated Debate overCross-Border Data Flows, Human Rights and National Security

? Reuben Binns, Dr. David Millard, Data Havens, or Privacy SansFrontières? A Study ofInternational Personal Data Transfers,WebSci'14 Proceedings of the 2014 ACM conference on Web science Pages 273-274

?JenniferDaskal，Law Enforcement Access to Data Across Borders:TheEvolving Security and Rights Issues，SEPTEMBER 6, 2016， Journal of National Security Law & Policy

赞赏

长按二维码向我转账

受苹果公司新规定影响，微信 iOS 版的赞赏功能被关闭，可通过二维码转账支持公众号。