专栏名称: 新技术法学

究新技术法理，铸未来法基石

匡梅：长臂管辖背景下的数据主权保护

新技术法学 · 公众号 · · 2025-01-24 09:06

正文

。

作者： 匡梅

西南政法大学行政法学院讲师

来源： 《法律科学》2025年第1期

引言

一、长臂管辖的形成与本质

二、数据长臂管辖的两种模式

三、长臂管辖对数据主权的挑战

四、数据主权的保护策略

结语

摘要： 随着管辖依据从“实际存在”转变为“虚拟存在”，美国民事司法管辖中的“最低限度联系”原则得以确立，长臂管辖发端于此。在数据主权博弈的新常态下，以美国、欧盟为代表的国家和地区逐渐将长臂管辖从物理空间扩张到网络空间。美国数据长臂管辖采用“控制者模式”，欧盟采用“保护者模式”，两种模式都对他国数据主权保护带来了严峻挑战。数据长臂管辖在理论上必然导向数据主权“否定论”，形成数据霸权。反制数据长臂管辖、保护数据主权的策略主要包括三部分：一是明确数据主权的治理要素，即数字领土、数字人口与数据活动；二是区分数据主权的“软”“硬”复合属性及其具体权能；三是探索数据主权的实现路径，理想方案是打造“多国法律的世界”图景，现实方案是遵循程序主义的数据主权观。

关键词： 长臂管辖；数据主权；数据流通；主权协作

引言

随着全球化进程的加快，以领土为界限的传统管辖机制难以应对日益复杂的涉外纠纷。以美国为代表的西方国家逐渐将管辖“长臂”伸至域外，不断扩大管辖权辐射范围，降低适用门槛。在数字时代，数据成为重要战略资源，越来越多的国家和地区欲图借助长臂管辖对具有虚拟、流动和无界特征的数据进行跨国控制和资源汇集，争夺数据管辖权。长臂管辖虽然有利于实现对跨境数据的控制，但对内容易增加监管负担，对外则会侵犯他国主权，引起国家间的对抗和冲突。主权是国家存在的根本标志，是国家安全的核心。数字时代的到来使国家安全面临更加严峻的挑战，夯实数据主权是维护国家安全的必然要求。在促进全球数据互联互通的同时，如何有效监管跨境数据、抵御恶意管辖是一个重要的时代课题，也是维护数据主权和国家安全的关键。习近平总书记强调：“要坚持统筹推进国内法治和涉外法治，按照急用先行原则，加强涉外领域立法，进一步完善反制裁、反干涉、反制‘长臂管辖’法律法规，推动我国法域外适用的法律体系建设。”本文将探究长臂管辖的形成及其本质，归纳以美国和欧盟为代表的国家或地区针对跨境数据采取的不同管辖模式，分析数据长臂管辖对国家主权带来的挑战，在此基础上探索保护数据主权的方案、策略。

一、 长臂管辖的形成与本质

（一）长臂管辖的形成过程

1.长臂管辖的确立：管辖依据从“实际存在”到“虚拟存在”

长臂管辖（long - arm jurisdiction）发端于美国民事诉讼。长臂管辖产生之前，美国法院的一般管辖规则是对人管辖，管辖权行使以被告在法院地的“实际存在”（physical presence）为基础。“实际存在”的理论依据是“权力支配”原则，1877年的“彭诺耶诉内夫案”确认了该原则。该案中，美国联邦最高法院指出，联邦各州拥有独立的州主权，可以对其境内的人、事、物行使排他管辖权，并且该权力的行使受到宪法约束。联邦各州在行使州主权时要尊重其他州的主权，不得打破正当程序边界。相应地，各州法院的属人管辖权以其对被告人身或财产的实际支配力为基础。只有被告实际出现在法院地时，才会受到法院判决约束。若要对未实际出现在法院地的外州被告行使管辖权，须由该被告所在地的法院履行司法协助程序义务。然而，州际司法协助的冗长程序会增加诉讼成本。到了20世纪，美国一跃成为世界头号经济强国，经济、贸易的快速发展对跨州乃至跨国商业交往的便利程度提出了更高要求。若涉诉的外州居民没有实际出现在法院地，法院便无从行使管辖权，以“权力支配”为原则的传统普通管辖规则的局限开始凸显。在解决跨州纠纷中，扩大司法管辖的范围、提高司法管辖的灵活度，具有迫切必要性。于是，美国联邦最高法院在1945年“国际鞋业公司诉华盛顿州案”中确立了“最低限度联系”（minimum contacts）原则，即法院能够以外州居民在本州的“虚拟存在”（virtual presence）为依据对其行使管辖权。本案中，国际鞋业公司成立于美国特拉华州，其在华盛顿州聘用本地公民担任公司推销员，却不为员工购买失业保险，华盛顿州政府要求公司为员工补缴失业救济金。国际鞋业公司为规避法院管辖，声称其未在华盛顿州设立营业机构，故缺乏民事诉讼中“实际存在”的管辖依据之事实。联邦最高法院认为，国际鞋业公司虽未实际存在于华盛顿州，但只要与华盛顿州之间具有足够（sufficient）联系，诉讼就不会违反公平和实质正义的理念，法院能够对其行使管辖权。国际鞋业公司雇用华盛顿州居民长时间在该州进行销售等商业活动，因此获取大量利益，且受到本地法律保护。这些事实足以证明，国际鞋业公司和华盛顿州之间具有“最低限度联系”。由此，依托于“虚拟存在”的“最低限度联系”原则取代了以“实际存在”为基础的“权力支配”原则，成为新的司法管辖依据。美国长臂管辖制度发轫于此。

2.长臂管辖的原则奠基：“最低限度联系”的州际适用

在“国际鞋业公司诉华盛顿州案”之后，美国各州立法机关进一步细化了“最低限度联系”原则，纷纷颁布了长臂管辖法令（long－arm statute），为各州法院对非居民被告的管辖权行使提供了成文法依据。各州的长臂管辖法令主要包括两种方式：一是列举式。伊利诺伊州率先于1955年出台法令罗列了管辖非本州居民的四种诉因依据。该立法方式由于较为简单明确，被美国大多数州以及统一州法律全国委员会所采用。二是概括式。采用概括式立法的州只抽象地将符合宪法第十四修正案正当程序条款（due process clause）以及效果原则的争议纳入长臂管辖法令的适用范围。总体而言，列举式法令因更具操作性而被各州广泛采用，但它只适用于有限的争议类型，如商业交易、侵权行为等，会对法院管辖权的行使产生一定限制。司法实践中，各州法官在判断争议是否属于法令调整的范围后，通常还需参考联邦最高法院关于正当程序原则的判例，以检验管辖是否符合正当程序原则。联邦最高法院在特定案件中对“最低限度联系”的解释与限定，一定程度上决定了州长臂管辖法令的效力范围。在“国际鞋业公司诉华盛顿州案”中，法院对“最低限度联系”的判断主要取决于，被告是否在法院所在地进行持续的商业活动以及原告的诉因是否源于此。1958年，美国联邦最高法院在“汉森诉丹克拉案”中对“最低限度联系”原则作出更严格限定，将“有目的地利用”（purposeful availment）作为其认定标准之一。被告与法院所在地的“联系”并非基于偶然因素，而是被告在作出涉诉行为之前为谋求自身利益而有意识建立的，旨在充分利用法院所在地为其从事某种活动所提供的有益条件。1980年，联邦最高法院在“世界大众汽车公司诉伍得森案”中进一步对“最低限度联系”原则加以限制：一是将“可预见”作为“最低限度联系”的认定标准，即被告需具备实施涉诉行为的预期，能够预见其行为后果可能发生于法院所在地，且可能在该地被起诉；二是适用正当程序原则来判断管辖权行使公平与否，即法院需对行使管辖权可能给被告造成的负担以及法院所在地在审理案件中的利益、原告获取方便救济的利益等因素进行综合考量。

3.长臂管辖的滥用：国际化与刑事化

长臂管辖在早期发展过程中，只被运用于美国各州，属于美国国内的民事法议题，且各州法院对宪法正当程序条款的尊重，基本保证了长臂管辖的合法性，在一定程度上精简了司法程序，降低了诉讼成本。然而，美国长臂管辖自产生之日起就没有确切定义，也未在联邦层面形成统一的长臂管辖法；再加上“最低限度联系”原则本身具有模糊性，需要法官根据个案具体情况判断该原则是否适用，不同法官对“足够联系”“有目的利用”“可预见”以及“公平”等标准的认识存在差异，这些因素为长臂管辖的滥用提供了条件。这些滥用主要表现在两方面：

第一，长臂管辖的国际化。最初各州法院为解决跨州管辖问题而衍生出长臂管辖，后因维护国家利益的需要，美国逐渐将其管辖“长臂”延伸至领土范围之外，扩张适用于国际层面。根据《联邦民事诉讼规则》（Federal Rules of Civil Procedure），联邦法院可通过借用州长臂管辖法令或基于联邦成文法授权行使长臂管辖权。反托拉斯法、证券法等涉及长臂管辖权的联邦成文法被适用于域外。例如，《证券交易法》（Securities Exchange Act）授权联邦法院对由外国人在境外实施但在境内产生可预见后果的违法证券交易行为实施管辖。部分联邦立法虽然未明确自身的域外效力，但通过法院解释也可被适用于域外行为。在涉外语境中，“最低限度联系”原则仍是长臂管辖的理论基础，此时法院将国家视为一个整体，考虑的是涉诉被告与美国全境而非某个特定州之间的联系。换言之，发生于域外的行为只要与美国产生“最低限度联系”，且美国法院基于此种效果行使管辖权不会产生明显不合理的情形，那么不论行为人是否具有美国国籍或住所，法院都可根据此种联系对案件进行管辖。

第二，长臂管辖的刑事化。与美国宪法正当程序条款对长臂管辖州际适用的“硬约束”相比，国际法方面的“软约束”难以有效抑制美国长臂管辖的域外扩张。长臂管辖最初只被适用于美国国内的民事诉讼，但随着实践发展，逐步扩张至涉外刑事诉讼领域，适用于涉及出口管制、反腐败、国家安全等刑事案件。例如，依据经过多次修订（尤其是1998年修订）之后的《反海外腐败法》（Foreign Corrupt Practices Act），美国可对与贿赂行为有联系的任何外国人或外国公司的雇员提起刑事诉讼。民事域外司法管辖与刑事域外司法管辖存在较大差别。从价值角度看，与重在化解私人纠纷的民事管辖相比，刑事管辖权的行使会对国家主权以及公共秩序的维护产生更大影响。从程序角度看，民事域外司法管辖一般只以域外立法管辖为先决条件，而刑事域外司法管辖还需与域外执法管辖相结合，以满足法院对控制犯罪嫌疑人的实际需求。国家在境外通常不具备执法权限，域外执法管辖权比立法管辖权会受到更多限制，国家在境外行使权力须获得所在国同意或国际法上的特定授权。

（二）长臂管辖的含义及本质

理解长臂管辖的含义需从“管辖”（jurisdiction）入手。“管辖”概念首次出现于14世纪初，是一个国际法概念，与国家主权概念紧密相连。管辖既是国家主权的权能表现，亦是国家主权的实现方式。《牛津法律大辞典》指出，国家要能对特定领土及领土之上的居民行使法律上独立的管辖权，这样才能成为国际法意义上的主权国家。作为主权权能的具体体现，国家管辖权的行使通常被限定在特定地理区域内，与主权的领土界限保持一致。因此，狭义层面的管辖权大多被界定为主权国家在本国领土范围内对所有人、事、物进行管辖的专属权力。实践中，当管辖权的行使超越国家领土范围的时候，便引发了域外管辖（extraerritorial jurisdiction）的问题。根据实施范围的不同，管辖权可分为域内管辖（territorial jurisdiction）与域外管辖两种类型。域内管辖指国家对本国领土范围内的人、事、物行使绝对和排他的管辖权，这是领土主权的直接体现。域外管辖则指国家将其管辖权扩张至领土范围以外。域内管辖和域外管辖都属于广义上的管辖权范畴，均可被细化为立法管辖、司法管辖和执法管辖。基于国家主权的领土属性，域内管辖具有法理上的正当性，但域外管辖的合法性需要合理的证明。如果没有国际法上的特别理由，国家不得随意行使域外管辖权。因此，域外管辖在逻辑上构成了域内管辖的例外。在概念运用中，域外管辖经常与国内法的域外适用（extraterritorial application）混同，国内法的域外适用只包括执法管辖和司法管辖，主要涉及公法领域，产生公法效果，而域外管辖可能涉及民商事领域，产生私法效果。

就概念而言，管辖与长臂管辖之间是包含关系，长臂管辖对管辖作了“长臂”（long－arm）限定，是管辖的一种特殊类型。由于外州居民与法院所在地之间具有“最低限度联系”，当原告基于此种联系而起诉被告时，法院就有权管辖并对被告作出有约束力的判决，这是一种将法律适用的效力扩展到国内其他司法区域的特殊司法管辖。因此，在学理意义上，长臂管辖是一种域内管辖，而且属于民商事领域的司法管辖。后期，美国长臂管辖经历了从州际到国际、从民事领域到刑事领域、从司法管辖到执法管辖的扩张过程。至于在国际交往与外交辞令中使用的长臂管辖，多数是对管辖权滥用的指称，是一个国家单方面将其国内法“长臂”伸至国外的霸权主义行为。例如，我国国务院新闻办公室出版的《关于中美经贸摩擦的事实与中方立场》白皮书将长臂管辖定义为“依托国内法规的触角延伸到境外，管辖境外实体的做法”。

梳理长臂管辖的形成过程可以发现，长臂管辖的法理意义与实践滥用具有本质区别：前者是法律发展过程中形成的一种关于法律适用的技术手段，而后者主要是全球化过程中国际关系领域的管辖权滥用。管辖兼具权利（rignt）与权力（power）的双重属性：作为权利，其规范性源于主权的正当理论话语；作为权力，其约束力则源于主权的事实支配力量。无论是应然层面的规范性，还是事实层面的约束力，管辖都从属于主权概念。然而，一旦管辖的“长臂”延伸到主权的领土范围之外，失去了主权赋予的正当性，法理困境就会随之产生。厘清长臂管辖的形成过程和内涵，有助于理解本文所探讨的数据长臂管辖，即传统管辖权在全球数据流通领域的扩张与滥用。

二、 数据长臂管辖的两种模式

美国长臂管辖的早期实践可被视为长臂管辖的1.0版本，而对数据跨境流通的规制则是长臂管辖的2.0版本。在数据主权博弈的状态下，美国、欧盟等国家和地区国际组织逐渐将其管辖权从物理空间扩张至网络空间，企图利用长臂管辖实现对域外数据及相关主体的直接或间接控制，将其纳入本国管辖范围，并形成了两种不同的数据长臂管辖模式。

（一）美国的“控制者模式”

1986年，美国国会公布《存储通信法》（Stored Communication Act），以填补美国宪法第四修正案在保护电子通信时的空白。《存储通信法》主要保护被临时存储起来而非处于传输状态的通讯信息，使其免受政府不合理的干预。由于该法案以数据的实际存储位置来确定国家对数据的管辖范围，此种管辖模式也被称为“数据存储地”模式。换言之，在《存储通信法》创建时，个人电脑的使用尚未普及，几乎所有数据都被存储于国内，国家可以对数据拥有确定的管辖权。随着云计算等技术快速发展，人们越来越多地“生活”于网上，在线互动的范围不断扩大，数据证据在执法中的重要性日渐上升。但数据证据却很可能存储在位于其他司法管辖区的服务器上，或在不同国家间流动。如果在行使数据管辖权时采用严格的“数据存储地”模式，则会降低执法效率。

2013年的“微软公司诉美国案”（简称“微软案”）挑战了“数据存储地”管辖模式。美国纽约南区地方法院根据《存储通信法》签发了一项授权令，以便联邦调查局搜索并没收由微软控制的特定电子邮件帐号的相关数据，从而获取与一起毒品案件相关的关键证据。微软辩称，依据《存储通信法》所签发的搜索令只能适用于存储在美国境内的数据，但与本案相关的电子邮件通信却存储在微软位于爱尔兰的数据中心，不在《存储通信法》规定的授权范围内。微软坚持“数据存储地”原则，认为美国要获取存储于爱尔兰境内的数据，需签署相关司法互助协定，因此主张废除该搜索令，并拒绝服从美国法院管辖。由于《存储通信法》本身对于数据搜索令是否具有域外效力含糊不清，微软和美国政府各执一词，该案久拖不决。2018年，基于自身的经济利益诉求以及对数据资源的控制需要，美国国会通过了《澄清域外合法使用数据法案》（Clarifying Lawful Overseas Use of Data Act，简称《云法案》）。《云法案》允许执法部门收集存储在境外的数据以协助刑事调查，简化获取境外数据的流程，不再依赖司法互助协定。《云法案》强调数据由谁控制而非其存储位置，确立了域外数据管辖的“控制者模式”，突破了数据管辖的领土界限，将美国的数据支配力延伸至全球，建立起了数据跨境流通的长臂管辖规则。《云法案》出台后，美国联邦最高法院对“微软案”进行了终审裁决，以争议的法律问题已不复存在为由，将案件予以驳回。

《云法案》主要从两个方面进行数据长臂管辖的制度设置。（1）美国政府有权获取域外数据。《云法案》要求电子通信服务或远程计算服务的提供者向美国政府披露其拥有、监管或控制的数据，不论该数据是否存储于美国境内。该规定可被细化为如下三点：第一，《云法案》优先适用属人管辖而非属地管辖，其管辖对象是包括电子通信服务和远程计算服务提供者在内的“数据控制者”，涵盖范围较广。第二，对互联网服务提供者的管辖依据是“最低限度联系”原则。不论上述两类服务提供者是否在美国本地设有实体机构，只要其在营业活动中与美国产生充分“联系”，就会受到美国法院管辖。服务提供者在美国上市、用美元进行交易或其服务器位于美国等都属于与美国存在“联系”。更有甚者，只要使用了美国的网络都可被判定为与美国存在“联系”。第三，《云法案》要求服务提供者披露的内容是由其拥有、监管或控制的数据，这就隐蔽地将境外个人数据纳入其管辖范围，回避了个人数据权利的保护问题。当然，《云法案》对数据搜索的授权令做了一定程度的限制，规定了服务提供者可提出撤销或变更法律程序动议的两个条件：一是服务提供者的服务对象（被搜查的对象）并非美国公民且未居住在美国；二是数据披露会导致服务提供者面临违反适格外国政府法律的实质性风险。然而，上述抗辩条件非常严苛，需服务提供者自行承担证明责任，且由美国法院单方面对抗辩作出最终裁量。（2）外国政府可有条件地获取由美国所持有的数据。《云法案》赋予美国行政部门与“适格外国政府”签订数据共享执行协议的权力，从而为符合条件的外国政府提供能够避开烦琐司法协助程序的数据移交渠道。虽然该规定有助于外国政府与美国共享数据，但对“适格外国政府”的认定设置了较高标准：第一，“适格外国政府”的法律须在实质和程序两方面对网络犯罪和电子证据作出充分规定，且该国必须是《网络犯罪公约》（Convention on Cybercirme，以下简称《公约》）的缔约方，或者该国国内法和《公约》第1、2章的规定相吻合。第二，“适格外国政府”须尊重法治和不歧视原则。第三，“适格外国政府”须尊重国际基本人权，既能够为个人隐私提供保护，又可以维护公民的表达自由。第四，“适格外国政府”须具有完备的数据共享程序和机制，并积极支持数据自由流通。现实中符合该判定标准的国家寥寥无几，包括中国在内的大多数国家都无法被认定为《云法案》意义上的“适格外国政府”。可见，执行协议在适用和评估方面存在不对等的问题。《云法案》为美国政府访问外国政府数据设置了宽松条件，但执行协议却严格限制外国政府向美国发出的数据请求。

综上，美国数据长臂管辖为本国调取境外数据创造了便利条件，降低了境外数据进入美国的门槛，扩大了美国对境外数据的管辖权力；同时，设立了一套严密的数据防御体系，未赋予“适格外国政府”平等获取美国境内数据的权力。美国数据长臂管辖措施将互联网服务提供者打造为国家利益的载体，通过系紧美国政府和服务提供者之间的纽带，借由科技力量实现数据资源汇聚，同时削弱其他国家和地区按照自主意愿管辖跨境数据的权力。

（二）欧盟的“保护者模式”

2012年，谷歌向西班牙国家高等法院提起诉讼，要求撤销西班牙数据保护局（Agencia Espa ñ ola de Protecci ón de Datos ）作出的删除网上相关个人信息的裁决，该案随后被移至欧盟法院，此即“谷歌诉西班牙数据保护局案”。本案中，谷歌主张数据处理是由谷歌公司位于美国的总部而非其在西班牙设立的分支机构进行的，因此不受欧盟法院管辖。但欧盟法院认为，谷歌位于西班牙的分支机构所提供的广告服务与发生于美国的数据处理之间存在经济联系，以此为由主张管辖权并最终裁定支持西班牙数据保护局的决定。由于欧盟法院未明确该裁决的适用范围，谷歌仅从www. Google. es 等国家域名删除了相关信息。 2016年，法国数据保护委员会（Nationale de I' Informatique et des Libert és ）以谷歌未在全球域名“ www. Google.com ”中删除相关个人信息为由对其处以10万欧元罚款，谷歌不服并向法国最高行政法院提起上诉，该案随后也被移至欧盟法院，此即“谷歌诉法国数据保护委员会案”。本案中，谷歌主张一个国家不应将其规则强加于他国公民，在全球范围执行“被遗忘权”会违反国际法，信息审查制度也会对获取数据自由造成威胁。欧盟法院虽然最终作出支持谷歌的判决，但同时指出，欧盟各成员国的数据监管机关和司法机关有权在特定情形下要求运营商从全球域名中删除相关信息，即在全球范围内执行被遗忘权。

2016年，欧洲议会为强化对跨境数据的管辖，通过了《一般数据保护条例》（General Data Protection Regulation）。该条例于2018年正式生效，取代了1995年欧盟通过的《数据保护指令》（Data Protection Directive）。《数据保护指令》采取“数据存储地”的管辖模式，将设立于成员国领土上的控制机构所进行的个人数据处理行为纳入管辖范围，若控制机构不在成员国领土内，则须依据国际公法或通过判断该机构在处理个人数据时是否使用了位于成员国领土内的自动化或其他设备来确定是否将案件纳入管辖范围。“谷歌诉西班牙数据保护局案”的判决对该规定作了扩大解释，结合经济联系等因素来判断管辖范围。《一般数据保护条例》则打破了“数据存储地”管辖模式，确立了欧盟的数据长臂管辖规则。（1）《一般数据保护条例》规定设立于欧盟境内的数据控制或处理者的个人数据处理行为将受其管辖，无论该行为是否发生于欧盟境内。（2）《一般数据保护条例》将未设立于欧盟境内的数据控制或处理者所进行的如下三类个人数据处理行为纳入管辖范围：一是无论是否向数据主体收取费用，数据控制或处理者有意向欧盟境内的数据主体提供商品或服务；二是数据控制或处理者监控数据主体在欧盟境内的活动；三是依据国际公法适用欧盟成员国法律的数据控制者进行的个人数据处理活动。

与美国强调数据由谁控制不同，欧盟在规制跨境数据时侧重于数据主体的权利保护，由此形成了数据长臂管辖的“保护者模式”。首先，扩大个人数据及其处理行为的范围。《一般数据保护条例》规定，任何已识别的或可识别的自然人相关信息都可被视为个人数据，收集、记录、提取、存储等任何对个人数据的操作行为（无论该行为是否通过自动化方式进行）都属于个人数据处理行为。其次，明确数据主体的访问权、更正权、被遗忘权等基本数据权利，并将数据主体的“明示同意”设定为个人数据合法处理的前提条件之一。通过扩大个人数据及其处理行为的外延，明确数据主体的权利内容，《一般数据保护条例》增强了域外数据侵权行为与欧盟的关联，加大了国外公司在进入欧盟市场时的数据合规风险，但欧盟内部的统一数据保护规则却降低了欧盟公司的合规成本，创造了更有利于欧盟公司的竞争环境。再次，通过“充分性认定”和“适当保障措施”等明确数据接收国家或地区以及数据控制或处理者的权利保护责任，提高欧盟内部个人数据输出的审查标准。“充分性认定”主要是对数据接收国／地区施加的限制，符合判定标准的数据接收国／地区可被纳入欧盟数据流通的“白名单”，欧盟有权定期审查、监管数据接收国／地区的数据保护水平。“适当保障措施”主要是对数据控制或处理者施加的限制，可通过公共机构或主体之间有法律效力的文件、由欧盟委员会通过或批准的“标准合同条款”、公司内部的“约束性企业规则”、经监管机构批准的行为守则和认证机制等方式证明。根据《一般数据保护条例》的规定，数据控制或处理者只有在提供了适当保护措施并向数据主体提供了可强制执行的权利和法律救济时，才可向未获得充分性认定的国家或地区传输数据。最后，在欧盟成员国设立独立的监督机构，赋予其调查权、纠正权、咨询权、罚款权等职权，以有效执行《一般数据保护条例》，保护个人数据权利。

综上，《一般数据保护条例》在个人数据权利保护方面确立了严格的“欧盟标准”，通过扩大个人数据及其处理行为的范围、明确数据权利的内容等措施，将域外数据侵权行为域内化，扩大管辖权适用范围。同时，《一般数据保护条例》通过实施“充分性认定”和“适当保障措施”，推动“欧盟标准”的全球适用，为数据长臂管辖寻求正当基础，实现对域外数据的有效控制。

（三）两种数据长臂管辖模式的异同

有关数据的长臂管辖，美国采用的是“控制者模式”，欧盟采用的是“保护者模式”，两种模式各有侧重点，形成了不同的跨境数据规制路径。从价值层面来看，美国强调自由利益，欧盟则强调权利正当，由此呈现出“市场话语”与“权利话语”之间的差异。具体而言，美国基于技术优势在实施数据长臂管辖时秉持“效率”理念，通过“控制”数据控制者，对云服务数据、技术数据等进行重点规制，直接授予执法机构单边调取域外数据的权力，以有效获取数据。欧盟基于规则优势在实施数据长臂管辖时秉持“权利”理念，通过事先制定完备的数据保护标准，保护数据主体可跨境主张的数据权利。

无论“控制者模式”还是“保护者模式”，本质都是对跨境数据流通的“长臂管辖”。两种模式的相同点主要包括三个方面：一是都突破了传统的“数据存储地”管辖模式。相比于以“实际存在”为基础的“数据存储地”管辖模式，数据长臂管辖以“虚拟存在”为基础，依据“最低限度联系”原则将虚拟数据及相关主体纳入管辖范围。二是都以单边立法的方式确立数据长臂管辖的规则体系，属于管辖权的单方扩张和滥用。三是都试图打造一套全球适用的规则体系，将本国数据管辖权延伸至其他国家和地区，开拓“数字疆域”。

三、 长臂管辖对数据主权的挑战

当前，国际层面尚未形成统一有效的数据流通机制和规则体系，规制空白的现状为部分国家和地区将管辖触角延伸到域外提供了机会，数据长臂管辖愈演愈烈，对他国数据主权造成了严峻挑战。

（一）理论挑战：数据主权“否定论”

美国和欧盟以数据及相关主体的“虚拟存在”为依据，将数据管辖权扩张至全球范围，意图实现对数据资源的垄断支配。在此背景下，数据主权“否定论”应运而生，主要包括去主权的“自治说”和超主权的“公域说”两种观点。

第一，去主权的“自治说”。“自治说”认为，由地理区域所决定的法律无法适用于网络空间。物理空间的领土边界划定了不同法律规则的效力区域，可保障国家在特定区域内的统治权威，获得疆域内受法律约束个体的同意，法律规则因行政区域不同而产生的差异很容易被识别。相比而言，网络空间中难以确定交易者的物理位置与数据的具体流向，网络空间的架构使用户能够绕过或规避领土监管，有形领土边界的缺失使得交易者无从知晓其活动，或何时会在特定司法管辖区产生影响。网络空间与物理空间呈现出二元对立的样态，网络空间为用户提供了基于同意的规则“选择机制”，使用户可以在不同规则集间自由选择，这在领土边界与物理空间中是难以实现的。因此，国家应“服从网络空间参与者的自我监管”。

第二，超主权的“公域说”。“公域说”主张，不能将主权推定适用于网络空间治理，应当采用全球公域模式替代传统的区域治理模式。网络空间运作和不同设备间的连接离不开全球普遍遵守的数据通信协议，该协议具有公共产品性质，其实施无须得到许可。互联网协议创造了一个即时通信、全球连接的网络空间，即类似于公海、外层空间等领域的“全球公域”。在全球兼容的网络空间里，唯有对全部网络基础设施和协议享有至高权威地位的“全球主权国家”才能垄断网络空间的管辖权，且“全球主权国家”的权力行使须得到网络空间所有用户的同意。在“公域说”看来，主权理论与此种开放的全球网络空间格格不入，主权原则不利于数据自由流通，因而应将网络“全球公域”定义为不受任何主权国家管辖的公共空间。在作为“全球公域”的网络空间中，国家行为体和非国家行为体没有明确区别，前者不得凌驾于后者之上，应当超越国家层面寻求政府、私营部门与民间团体的多方合作，制定可普遍接受的共同行为准则。

无论是“自治说”还是“公域说”，都极力推崇数据自由流通的价值，强调网络空间与物理空间的“二元对立”，主张创设一套可以排除主权国家干预的网络空间自治秩序。劳伦斯·莱斯格（Lawrence Lessig）曾将去主权的“自治说”与“没有法律的世界”（the no law rule）相对应，将超主权的“公域说”与“一国法律的世界”（the one law rule）相对应。他认为，构建一个“没有法律的世界”是早期互联网发展的理想，而“一国法律的世界”即仅用一个国家的法律来规制互联网领域，则是日益清晰的现实。互联网发展早期，“自治说”对技术创新和数据流通起到了推动作用，极大地促进了网络普及和繁荣。但网络空间并未成为互联网激进人士鼓吹的自由天堂，“没有法律的世界”很快被证明只是一种“乌托邦式的愿景”，互联网不受规制的理想随即转变为互联网的世界主义理想。然而，“一国法律的世界”同样存在极大隐患，对于网络空间的全球治理，世界主义与无政府状态一样不切实际。实践表明，美国、欧盟在行使数据长臂管辖时所秉持的正是数据自由流通理念，即通过否定数据主权，基于一种所谓的世界主义理想，在“超主权”的网络公域上建立一套符合自身利益需要的数据霸权规则。可见，数据主权“否定论”是长臂管辖扩张至全球数据流通领域的必然结果。

（二）实践挑战：数据霸权破坏国际秩序

第一，“最低限度联系”原则的滥用。一方面，数据长臂管辖将“最低限度联系”原则从物理空间移植到网络空间，根据该原则，任何数据活动只要与某主权国家存在轻微联系便可能成为该国的监管对象。另一方面，世界上超过一半的人口已加入网络空间，且人数还在以每年3％－5％的速度增长，这种无限交互的范围和规模在历史上是前所未有的。在此双重背景下，主权国家可以轻松将跨境数据对本国造成的任意影响判定为具备“最低限度联系”，从而对数据流通主张管辖权。“最低限度联系”原则就像气球：侵权等跨国纠纷在其表面产生小摩擦时，整个系统相对稳定；但如果发生大规模摩擦，产生的热量将势不可挡，气球就会爆炸。在“万物皆互联，无处不计算”的时代，“最低限度联系”原则已超出其原初适用范围，极易产生“不合理的责任”和“不可预见的后果”。被滥用的“最低限度联系”原则给予了美国、欧盟等国家和地区宽泛恣意的自由裁量权，充当了数据霸权国家扮演“世界警察”和“世界法官”角色的理论帮凶。

第二，网络公域中的隐蔽控制者。基于《云法案》和《一般数据保护条例》等法律，美国和欧盟在网络全球公域打造“美国标准”和“欧洲标准”，试图将其上升为跨境数据法律规制的“全球标准”。但与太空、公海等公域不同，网络空间不是自然领域，而是一种人造物。网络空间的基础设施实际存在于某个特定的地理位置，并由某个特定的实体拥有、运营和维护；数据并非在真空中流通，而是在早已有所归属的政治空间中流通。虽然数据全球化导致国家间相互依赖程度加深，但不同国家对数据资源的掌控能力存在差异，致使此种依赖具有不对称性。美国、欧盟在全球数据资源体系中居于主导地位，与处于技术劣势、规则劣势的国家之间存在“数字鸿沟”。美国和欧盟在塑造普遍管辖规则以规制数据跨境流通时，并未摆脱物理空间中的主权者意志，打着维护数据自由流通的“幌子”，将本国的数据管辖规则强行适用于域外。这种破坏主权独立与平等的规则扩张行径，旨在巩固发达国家或地区业已建立的技术优势和规则优势，维系国家间不平等的数据竞争格局，基于对全球公域的控制以实现数据霸权。有学者指出，对全球公域的控制是全球化时代美国霸权的关键支撑力量。虽然凭借技术优势和规则主导地位的“软”侵蚀，不像军事干预等“硬”打压那般明显，但其影响更为深远，且不容易被数据主权受到侵害的国家所察觉并及时采取相应的反制措施。网络空间由于存在隐蔽的控制者，未脱离主权国家的管辖范围，因此很难被视为全球公域。

第三，持续存在的主权竞争与冲突。数据跨境往往会受到多个非合作的司法管辖区约束，不同管辖区之间存在“盲区”（blindness）。某一行为在特定管辖区虽然合法，在其他地区却可能不合法。例如，在“谷歌案”中，法国试图在全球范围内确立数据主体的“被遗忘权”，迫使谷歌将全球域名相关链接删除，但这项权利在美国可能会被裁定为违宪；在“微软案”中，美国则单方授予其执法机构在未经他国许可情况下调取域外数据的权力。伴随着数据长臂管辖的泛化，不同国家可能会对同一跨境数据提出不同诉求，国家管辖权行使溢出疆土的现象屡见不鲜，管辖权重叠加剧了主权国家之间的竞争和冲突。

四、数据主权的保护策略

数据长臂管辖是美欧等国家和地区为抢占全球数据资源、保护自身数据利益而推行的制度，必然导向否定数据主权的数据帝国主义立场，强制推行单边规则的数据霸权行径对各国主权和国际秩序造成严重侵害。探索数据主权的保护策略，反制数据长臂管辖，维护主权独立平等，这是数字时代的重大理论和实践议题。

（一）明确数据主权的治理要素

传统国家主权奠基于《威斯特伐利亚和约》的签订和近代民族国家的崛起，经由让·博丹（Jean Bodin）、胡果·格劳秀斯（Hugo Grotius）等思想家的论述，逐渐确立了对内至高和对外独立的基本原则。第一，主权对内具有最高权威。主权是一个由立法权、行政权、司法权、战争权、管辖权等一系列重要权力所构成的“权力束”，国家在特定领土边界内享有这些权力。第二，主权对外具有独立性和平等性。独立是平等的前提，平等是独立的体现。如果主权国家没有独立性，就不可能与其他主权国家建立平等关系；相反，如果主权国家之间不平等，说明处于弱势地位的国家不具备独立自主性。独立性与平等性意味着，无论面积大小、实力强弱，主权国家之间应当相互尊重彼此的主权，主权国家的内部事务不受他国干预，在此意义上主权是一个防御性概念。概而言之，主权是一个国家相对于其他国家的独立自主权（外部主权）和在本国领土内的最高支配权（内部主权），一个国家只有在同时满足内部（internal）主权和外部（external）主权两个条件时才具备主权。主权内部和外部的区分主要以领土为边界，领土边界划分了主权的存在场域。诚如安东尼·吉登斯所言，主权国家“是拥有边界的权力集装器”。国家享有对领土边界范围内的人、事、物进行管辖的绝对权力，同时可以对来自领土边界外的侵害进行防御，但国家权力的行使如果超出领土边界，就会失去主权所赋予的正当性，对他国主权造成侵害。

传统国家主权的本质是领土边界内的独立至高权威，然而一旦将数据要素纳入主权的治理要素，该定义就会面临困境。随着云存储等技术的发展，高速、隐蔽的数据流通无法被束缚在固定领土边界内，动态存储的数据难以与特定地理位置保持恒定联系。超地域化、全球化的数据流通冲击了传统主权的地域性、国别性特征，从根本上挑战了领土边界的划定，模糊了主权国家的地理疆域和制度边界，“这里”和“那里”的区分变得困难，仅仅依靠基于地域的传统主权无法对数据进行有效规制。例如，在“微软案”中，美国联邦调查局需要调取的涉案数据存储于美国境外；“谷歌案”中，法国数据保护委员会发布的删除命令涉及全球域名。新的数字环境催生出具有开放性质的数据主权。一方面，数据主权是传统主权在数字领域的延伸。在数字时代，数据主权演变为国家主权的一个关键维度，国家主权的维系离不开数据主权的充分实现。另一方面，数据主权是传统主权在数字时代的发展。过分主张传统主权在数字时代的延续，或直接将传统主权的效力强加于数据流通领域，很容易形成数据长臂管辖和数据霸权主义。因此，有必要明确数据主权的治理要素，确定其管辖对象。

第一，数字领土的拟制。国家主权的效力与领土边界密切相关，但领土的范畴并非一成不变，而是随着时代变化在不断拓展。19世纪的海洋开采、勘探等技术催生了“领海”概念，20世纪的航空航天技术催生了“领空”概念，21世纪的信息网络技术催生了“领网”概念。从“领土”到“领海”“领空”再到“领网”，国家主权的效力范围扩展到网络空间。网络空间拓展了疆域的范围，也为国家主权开辟了新的实践场域。数字领土是传统领土概念的扩展和主权管辖领域的延伸，既包含对领土的传统理解，也具备“网络领土”的属性，是一种“a－领土”（a－territorial）。“数字领土”可被拟制为领网（虚拟空间）和信息基础设施（物理技术）的结合，其边界划定并非简单的地理分隔，而取决于定位、追踪、标识、过滤等技术手段和拟制方式。传统主权以属地原则为基础，强调领土边界的重要意义，而划定领网边界的手段主要为基于IP地址的信息屏蔽和过滤。借鉴国际法上领空的划定方法，领网可被拟制为覆盖一国领陆和领水的所有网络空间，主权国家通过网络监控系统（网络“防火墙”）实现对领网疆界的划定，从而打造“数据边疆”。信息基础设施是数字领土的物理存在依据。数据流通必须依托信息基础设施来完成，因此数字领土的拟制可以视为物理领土的必要延伸。基于属地管辖原则，特定领土范围内的信息基础设施应当被视为主权国家的管辖对象。

第二，数字人口的诞生。人口是国家治理的重要因素，它关乎劳动力、市场规模、资源利用以及社会稳定等诸多方面。国家通过对人口数据的采集、分析和应用，可以了解人口数量、人口结构以及年龄分布等情况，从而制定相应的社会经济发展政策。数字人口不仅是宏观意义上的被统计对象，而且是具体的治理对象。数字时代，个体若想全方位地享受互联网带来的福利，就必须主动融入网络空间，凭借数字身份成为数据主权的微观治理对象。数字身份是个人以数字化方式呈现的身份，是实体社会中自然人身份在网络空间的映射。数字身份囊括自然人的生物信息（如DNA、指纹）、合法证件（如身份证、驾驶证）、使用的软件产品（如电子邮件、社交媒体）和自身行为模式（如访问过的地方、消费习惯）等。任何以电子数据形式存储于电子媒介涵盖个人或组织身份的信息，都是数字身份的一种。数字身份不仅包括法定身份的数字化，还包括“在线身份”，即个体在互联网上使用的身份，这是区分网络用户的标识。尤其随着元宇宙技术的发展，任何一个人进入元宇宙的世界后，就同时具备了一个数字孪生身份。可以说，数字身份造就了网络空间中的“数据人”。因此，数字时代的“人口”不仅包含传统意义上的人口，而且包含网络空间中的“人口”，即数字化的人。

第三，数据活动的拓展。数据主权最核心的要素是数据活动而非静态的数据本身。互联网成为数字社会中人们交往和表达意义的重要方式。越来越多的人主动或被动地融入在线生活，每天在线上和线下之间来回穿梭。无论是日常生活中的微信、QQ在线交流，还是商务往来中的电子邮件信息，现代人已经无法与数据绝对割裂。人类的生产生活与社会交往过程中“纯粹的物理／生物”行为越来越少，多数社会行为由线上与线下共同完成，如经济活动中的线下生产与线上管理销售，文化交往过程中的线下演出与线上传播等等，甚至在线数据活动已经居主导地位。物理空间中的人类行为是以原子形式存在的可被观察的具象活动，网络空间中的数据活动是以比特形式存在的无形数据流，数据活动只有经过专业的技术分析才能转化为可被理解的符号形式。数据活动的范围非常广阔，既包括国家和政府利用数据实行的管理行为，也包括企业利用数据开展的经济活动，还包括公民个人的数据活动与数据隐私关联行为。

（二）区分数据主权的各项权能

数据主权是国家主权在数字时代的延伸，并未完全颠覆传统主权的范畴，与传统国家主权一样，它以“权力束”的形态展现出来，但表现形式更为复杂。一方面，数据主权“否定论”是不可取的，主权国家必须具备对跨境数据的管辖和规制能力，这是数据主权的“硬权力”属性。另一方面，主权独立和平等原则要求反制单方面的数据长臂管辖，主权国家的数据权力扩张必须受到限制和约束，坚决防止数据霸权，这是数据主权的“软权力”属性。依据这种“软”“硬”复合属性，可以将作为“权力束”的数据主权分为硬数据主权和软数据主权（如下图所示）。

第一，硬数据主权。硬数据主权指主权国家对其领土范围内的数据主体所产生的各种数据享有最高管辖权，能够独立自主地占有、使用、传播和处理数据，不受其他国家、组织或个人的干预。数据主权的首要权能是对数据的管辖权，只有具备管辖和控制数据的能力，才能最大限度地挖掘数据蕴藏的价值。然而，数据管辖权有效行使的前提是数据权力的独立以及对不当干预的反制，所以数据独立权和数据自卫权是数据主权的必然内涵。推而论之，硬数据主权主要包括下述三项权能：一是数据管辖权。数据管辖权是主权国家管理和处置本国数据的权力，即对疆域内产生、存储、传输的数据及其相关物理设备及服务等进行维护、管理和利用的权力。管辖权是国家数据主权的最直接体现，可分为立法、执法和司法三个方面，即通过立法制定数字人口和数据活动的行为规范，通过行政监管维护数字领土的空间秩序，通过司法活动解决数据流通的矛盾纠纷。二是数据独立权。主权国家应当具有独立管辖本国数据的权力，包括自主制定数据法律和数据政策，独立处理网络事务，自主选择数据管理模式；领土范围内的网络能够不受外界干扰，国家对使用“防火墙”技术形成的内网具有独立运行权；主权国家之间不得随意实施数据封锁、攻击、渗透、监控和长臂管辖，不得干涉其他国家在网络空间享有的生存、安全与发展的权利；技术强国不得凭借自身的技术优势在分配通用顶级域名等资源时违背公平原则。三是数据自卫权。数据安全是国家安全的重要组成部分，一旦发生数据攻击和网络瘫痪，或者信息基础设施遭受恶意侵入和攻击，国家、企业和网民的利益都将遭受巨大损失，因此主权国家必须时刻防范潜在的数据攻击，确保网络空间的自卫能力。对发展中国家而言，强调数据自卫权是必要的，因为技术优势国家始终维持着自身的网络霸权地位，数据长臂管辖和数据战争是发展中国家随时面临的威胁。当然，主权国家在行使数据自卫权时必须遵循必要性原则和对等性原则，尽可能采取和平的方式。

匡梅：长臂管辖背景下的数据主权保护

正文

请到「今天看啥」查看全文