上合组织各国数据领域立法现状如何？

以下梳理了上合组织各国进在数据保护立法、执法，以及跨境数据流通中的现实状况。

1.上合组织成员国数据领域的立法现状

1.1 中华人民共和国

基于中国庞大的人口基数，以及近10 年来移动互联网的迅速普及与应用，中国互联网用户的规模得以迅速增长，相关互联网产业规模、平台企业数量也呈现出蓬勃发展的态势。根据中国互联网信息中心的数据显示，截至 2022 年 12 月，中国网民规模已达10.67亿，互联网普及率达 75.6%，同比增长 2.6% 1。近年来，中国陆续制定并实施了《网络安全法》《数据安全法》《个人信息保护法》，并以此为数据治理的“三驾马车”，标志着数据领域的顶层制度设计初步形成。同时配套政策、法律、规章、实施细则等，共同构成中国数据治理的大厦。 2022 年 12 月 2 日，中共中央国务院公布的《关于构建数据基础制度更好发挥数据要素作用的意见》（“数据二十条”）是中国构建数据基础制度的顶层设计文件。意见指出要探索数据产权结构性分置制度，建立公共数据、企业数据、个人数据的分级分类确权授权制度。建立数据资源持有权、数据加工使用权、数据产品经营权等分置的产权运行机制，推进非公共数据按市场化方式“共同使用、共享收益”的新模式，为激活数据要素价值创造和价值实现提供基础性制度保障。

在促进数据跨境流通方面。近年来，伴随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。2017 年 6 月 1 日，《网络安全法》正式实施，其中第37 条明确规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。随后，配套法规《个人信息和重要数据出境安全评估办法（征求意见稿）》和配套标准《信息安全技术数据出境安全评估指南（草案）》相继出台，但均未正式公布实施。2019年《数据安全法》正式施行。数安法在网安法的上述关于本地存储规定的基础上，进一步对其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理进行了授权性立法。同时根据数安法第 36 条的规定，境内组织、个人向外国司法或执法机构提供储存于中华人民共和国境内的数据，需经主管部门批准。2021年11月 1 日，《个人信息保护法》施行，该法第38 条中规定了个人信息处理者向中华人民共和国境外提供个人信息应当具备的条件。在上述法律的基础上，相应配套法规、标准的制定颁布也有条不紊地开展，相继颁布制定了《数据出境安全评估办法》（及申报指南等）、《个人信息保护认证实施规则》、《个人信息出境标准合同办法》等。

1.2 印度共和国

印度共和国（简称“印度”）数字经济的腾飞，最初开始于2006 年 5 月 18 日 通 过 的 “ 国 家电子政务计划”( NationaleGovenance Plan，NeGP)，该计划由电子和信息技术部（MeitY）负责，其使命旨在促进电子治理并增强公民权能，加强印度在互联网治理中的作用，通过数字服务提高效率并确保安全的网络空间。印度目前尚无专门的数据监管机构（DPA），有关数据的事项由印度政府电子和信息技术部（MeitY）主管，在涉及安全事件的事项中由 MeitY 组建的印度计算机应急响应小组（“CERT”）充当接收和响应所有违规通知的节点机构。2022 年出台的《2022 年数字个人数据保护法案》草案提出了“中央政府应设立印度数据保护委员会”作为数据治理机构的想法。

在数据跨境流动规则中，印度对数据本地化，长期坚持较为严格的限制性态度。2019 年，20 国集团大阪峰会中，印度是唯一拒绝签署《大阪数据经济宣言》关于数据跨境自由流动宣言的参与国。直至 2022 年，印度仍然决定不参与《印度洋-太平洋经济框架（IPEF）》中关于跨境数字经济和贸易的谈判。针对政务数据，印度早在 20 世纪90 年代便予以了关注，1993年的印度《公共记录法》（The Public Records Act, 1993）即禁止在未经中央政府事先批准的情况下将公共数据记录转移出印度领土，除非此类转移是出于官方目的。在“Government of India's GI Cloud”计划 (“Meghraj”计划)，针对政务类云服务提供商的硬性要求即包括“数据中心设施以及物理和虚拟硬件应位于印度境内”，印度科技部已于 2012 年 3 月发布的《国家数据共享和访问政策》（NDSAP）为政府相关数据的本地化要求提供了另一种手段，NDSAP 规定要求共享印度政府不同部委和机构使用公共资金生成的所有非敏感数据。因此，就政府记录和来自政府来源的公共资助数据而言，相关法律和政策已经规定了全面的数据本地化要求。

印度数据原则上强制本地化的问题也引发了其国内较大的争议和讨论，在由 B.N.Srikrishna 法官主持的专家委员会报告（AFreeand Fair Digital Economy Protecting Privacy, EmpoweringIndians）中，详细列示了建议将个人数据本地化的详细理由，最后提出了“除关键个人数据外，个人数据的跨境数据传输将通过包含关键义务的示范合同条款进行，转让人应对受让人的任何违规行为对委托人造成的损害负责。”的立法建议。也正是基于这些诸多讨论，不同于 2019 年的《数字个人数据保护法案》法案草案提出的“每个数据受托人应确保在位于印度的服务器或数据中心上存储至少一份本法适用的个人数据副本”规则，2022 年的《数字个人数据保护法案》法案草案采取了与欧盟 GDPR 类似的充分性认定，即不再要求数据绝对本地化存储，不再一刀切限制敏感和关键数据在印度境外的传输和存储。而是允许数据受托人在满足印度政府规定的条件下，可在获通知后，将个人数据转移到可信赖的国家或地区，这标志着印度对数据本地化的强硬立场的放松。

1.3 哈萨克斯坦共和国

在中亚国家中，哈萨克斯坦共和国（“哈萨克斯坦”）数字经济起步最早，发展也最快。2020 年，哈萨克斯坦电商市场交易规模超过 1.2 万亿坚戈（合 29 亿美元），较上年几乎翻了一番。预计未来 5 年哈电商市场将继续保持增长态势，预计2022 年将达1.9万亿坚戈（合 45 亿美元），2025 年达到 3.5 万亿坚戈（和82 亿美元）1。2018 年 11 月，中哈双方签署了《中华人民共和国国家发展和改革委员会与哈萨克斯坦信息和通信部关于加强数字经济合作的谅解备忘录》，双方将加强在智慧城市、电子政务、大数据等领域的合作，共同推动中哈“数字丝绸之路”建设。2019 年9 月，中哈双方还签署了《中华人民共和国和哈萨克斯坦共和国联合声明》，约定“加强跨境电商合作，建立电商合作机制，打造合作新业态和新模式，促进两国‘数字经济’发展规划对接”。哈萨克斯坦对个人数据的立法保护，主要体现于宪法纲领性条款和《个人数据法》及其修正案。该国《宪法》第18 条规定国家保障保护公民个人信息与数据不被侵犯的权利。2013 年，哈萨克斯坦通过了《个人数据及其保护法》（On Personal Data andtheirProtection，No.2013 年 5 月 21 日的第94-V 号法令），用31个条款明确了个人信息保护框架，包括个人数据的收集和处理、个人数据的保护、数据主体权利、处理者权责以及哈萨克斯坦共和国政府职权等条款。2022 年 5 月，哈萨克斯坦共和国政府还颁布了关于保护儿童权利、教育、信息和信息化的一些立法法案的修正和补充法，也称为网络欺凌法或《保护儿童权利法》。根据 2020 年 6 月对哈萨克斯坦《个人数据及其保护法》的修订，哈萨克斯坦数字发展、创新和航空航天工业部（MDD）已成为个人数据保护领域的授权机构。在此之前，该国没有单一的数据保护机构。MDD 的主要职责包括在监管领域执行和实施国家政策，确保信息化领域的安全，实现数据及其保护领域的国家政策，形成和发展信息和通信价值、测量制图和地面数据、国家科技发展、通信服务市场的快速发展和影响，并参与在个人数据及其保护领域国家政策的实施。

在跨境数据流通规则上，哈萨克斯坦原则上提出了数据本地化规则，其法律要求个人数据应由所有者和/或运营商以及第三方存储在位于哈萨克斯坦共和国境内的数据库中。但是，数据保护法也明确，在确保第三国能够根据哈萨克斯坦法律保护个人数据的情况下，仍可以将个人数据跨境转移到外国领土。目前，哈萨克斯坦数据保护立法没有考虑数据传输协议的作用，监管机构也没有批准任何跨境传输行为的先例。在哈萨克斯坦实践中，企业可以借助知识产权法保护数据库。

2.上合组织观察员国数据领域的立法现状

2.1 伊朗伊斯兰共和国

由于长期受到国际制裁，伊朗的数字经济起步相对较晚，但这也为伊朗独立发展数字化提供了机会。伊朗有受过良好教育的年轻一代，他们对互联网非常感兴趣、非常努力发展数字化。在数据立法层面，在伊朗没有一个全面的数据隐私法的情况下，数据隐私的法律框架将来自处理隐私和数据保护以及其他事项的法律法规。伊朗伊斯兰共和国宪法第 25 条保护个人信息的隐私。宪法隐私权通过多项法律法规得到部分实施，其中主要的是LPAD、2004 年电子商务法和 2009 年网络犯罪法。《电子商务法》规范电子信息交换，包括适用于此类交换的数据隐私和保护规定。伊朗没有单一的数据隐私机构负责跨部门执行拼凑的隐私法律法规。根据 LPAD，委员会由几位政府部长以及议会和司法机构的代表组成，对 LPAD 下数据保护规则的执行负有监督责任。此外，公开可用的隐私法案草案要求设立一个监督委员会，负责执行隐私法案的数据保护条款。伊朗中央银行('CBI')（针对银行系统）、伊朗中央保险公司 ('CII')（针对保险业）和SEO（针对资本市场）等行业监管机构负责执行数据各自部门内的隐私规则1。

2.2 白俄罗斯共和国

近年来，白俄罗斯国家信息基础设施领域取得显著成就，建立了国家信息体系和资源，政府各部门间实现了文件电子化流转，统计部门开始进行统计数据自动化传输，电子票据、税务登记系统、电子商品标签等广泛运用到国家和商业等各领域。截至2023年初，白俄罗斯共有 827 万互联网用户，互联网普及率达86.9%，移动电子支付普及率达 69.3% 1。2021 年 2 月 2 日，白俄罗斯开始实施《2021-2025 年白俄罗斯数字化发展》国家规划，旨在引进信息通讯和先进生产技术等，《规划》确定该领域的政府牵头部门为白俄罗斯信息和通信部 2。 中国和白俄罗斯在数字经济领域达成合作共识，在上海合作组织成员国元首理事会第二十二次会议期间中白双方发表了《中华人民共和国和白俄罗斯共和国关于建立全天候全面战略伙伴关系的联合声明》。

白俄罗斯规范个人数据保护的基础性法律是2021 年5月7日颁布的第 99-3 号《个人数据保护法》（PDP 法），这是白俄罗斯第一部专门针对个人数据保护问题的法律。此外，作为EAEU 成员国，白俄罗斯受到欧亚经济联盟框架内实施法案的约束，例如2014年5月29 日《欧亚经济联盟条约》附件 3《欧亚经济联盟内信息和通信技术及信息互动议定书》。国家个人数据保护中心NPDPC 作为白俄罗斯的数据保护机构，其主要任务是采取措施保护个人信息主体处理其个人数据的权利，并组织有关个人数据保护问题的培训。此外，白俄罗斯共和国总统下属的业务和分析中心（“OAC”）和白俄罗斯共和国通信和信息化部也可能参与监管数据和数据保护问题4。

就数据跨境而言，根据 PDP 法规定，白俄罗斯一般禁止将个人数据跨境传输到个人数据保护措施不充分的国家（白名单由NPDPC确定），但是在告知可能存在的风险并征得个人信息主体的同意或取得 NPDPC 签发的跨境传输个人许可证的情况下，允许传输到不在白名单中的司法管辖区。此外，白俄罗斯共和国国家保护个人数据中心主任发布的第 114 号命令补充了向白名单以外的地区传输数据的例外情况，包括：为履行立法规定的职责（权力）所必需；当国家机构、国家组织以及白俄罗斯共和国或拥有股份（法定资本股份）的行政领土单位可以决定这些商业实体作出的决定时，有关其在全球计算机网络互联网中的活动的信息1。

2.3 蒙古国

伴随之中国的“一带一路”战略的扶持，蒙古国积极响应，不仅发展采矿业，还引进了现在世界热度较高的区块链技术，从而达到让国内经济飞速发展的目的。蒙古国拥有众多交易所，比如中央政府力推国家交易所--蒙古国国家贵金属区块链交易所。因此，项目在蒙古国发展，商业环境优渥，并且得到法律支持。蒙古国在数据方面的立法较为单薄，相关立法主要体现为《蒙古个人信息保护法(2021)》。该法第三条对个人、法人和非法人实体对个人数据的收集、处理、使用和安全进行了规定。蒙古国有不同的授权组织负责保护个人数据 2。 其一，蒙古国家人权委员会拥有以下保护个人数据的权力：监督个人数据保护立法的实施，组织公众意识和宣传活动，向相关组织提出要求和建议，并对相关法规提出意见；在收集、处理过程中，认为受法律保护的人权和自由受到侵犯或可能受到侵犯的，接受、审查和解决投诉和信息，或自行调查解决、使用和保护个人数据，以及向相关组织提供命令和建议；在敏感数据的收集、处理、使用和保护领域向相关组织提供命令和建议；接收和审查数据控制者提交的关于为消除在收集、处理和使用信息中发现的违规行为及其负面后果而采取的应对措施的报告，并就需要考虑的进一步问题提出建议；提供建议，以防止在使用不受任何人为干预的在线处理技术收集、处理和使用个人数据的过程中侵犯人权和自由；在关于蒙古人权和自由状况的报告中包括有关数据保护活动、侵犯和数据主体权利实施的信息。

其二，负责电子发展和通信的国家中央行政机构可以行使保护电子环境中个人数据的权力，例如：确保个人数据保护立法的实施，增强公众意识，与相关组织合作，并提供专业和方法上的帮助；采用技术安全要求和程序来处理敏感数据、遗传数据和生物特征数据；接收和注册数据控制者提交的关于用于收集、处理和使用个人数据的信息系统的安全故障以及网络攻击的通知，并立即采取适当的行动。蒙古国有关数据跨境的规定体现在《蒙古个人信息保护法(2021)》。根据该法第 14 条第 1 款，“禁止将个人数据传输给个人、法人和国际组织，除非法律和蒙古加入的国际条约有规定，或经蒙古国同意数据主体” 1。 在蒙古国数字交易流通方面，最有代表性的是蒙古国国家区块链数字资产交易所（MDE）。2021 年6 月6 日，以蒙古国国家信用银行为依托的全球支付落地应用系统 MDCP（蒙信资产）上线，同年7月 7 日 MDCP 登陆蒙古国国家区块链数字资产交易所（MDE），成为其重要生态应用组成 2。

3.上合组织对话伙伴数据领域的立法现状

3.1 卡塔尔国

卡塔尔政府重视数字经济发展。卡塔尔政府于2015 年制定了《国家 ICT 规划 2015》，推进数字化进程。该规划分为五个战略重点（提高链接、提升能力、促进经济发展、加强公共服务、提升社会效益）。2014 年，卡塔尔成立了国家通信管理署（CRA），其主要职责是对卡塔尔电信和信息技术、邮政以及数字媒体领域进行监管，鼓励和支持信息和通信技术（ICT）部门提供先进、创新和可靠的通信服务。该部门 2019 年底发布了《CRA 战略2020-2024》，列出了该部门支持卡塔尔向数字国家转型采取的主要措施1。卡塔尔是第一个通过国家数据隐私法的海湾国家，2016年卡塔尔颁布了第 13 号关于个人数据隐私保护法（“PDPPL”）。PDPPL建立了一定程度的个人数据保护，提供了数据主体权利，并为组织在卡塔尔境内处理个人数据规定了指导方针。《个人数据隐私保护法》规定了数据控制者在处理敏感个人数据、数据主体隐私通知、违规通知、数据主体权利和跨境传输等方面的义务。个人数据隐私保护法（PDPPL）适用于卡塔尔境内以电子方式处理或需要处理的所有个人数据，但卡塔尔金融中心自由区除外。卡塔尔金融中心（QFC）位于卡塔尔境内的商务中心，适用于卡塔尔国不同的数据保护法规，QFC 适用的数据立法主要包括数据保护条例（DPL）和数据保护规则（DPR）。总的来说，QFC 的数据立法更符合GDPR 的立场，这有助于国际企业采取相对统一的方法进行数据合规活动。国家网络治理和保障事务局（NCGAA）负责《个人数据隐私保护法》（PDPPL）的实施与监管，可以采取一切其认为合适的措施来执行PDPPL 的规定并监督其遵守情况。此外，国家网络治理和保障事务局（NCGAA）还发布了一系列指南对 PDPPL 做出进一步阐释和补充2。

根据 PDPPL 规定，数据控制者应当在数据主体同意的情况下收集、处理和转移个人数据，除非被认为是控制者或接收个人数据的第三方实现 "合法目的 "所必需。在向数据处理者披露和传输个人数据时，数据控制者必须证明传输是出于合法目的，并且数据传输是根据 PDPPL 的规定进行的。对于数据跨境问题，不同于其他国家的严格限制立场，PDPPL 不仅没有对数据本地化提出要求，同时PDPPL第 15 条还规定了除非违反了本法或者可能对个人数据或个人隐私造成严重损害，否则数据控制者应不能采取任何可能限制跨境数据流动的决定或措施 1。

3.2 沙特阿拉伯王国

沙特阿拉伯王国在 2016 年发布的《2030 愿景国家转型计划》中提到要“为数字化转型及其可持续发展营造良好环境,设定数字经济占国内生产总值的比例由 2017 年的 13%提升至2025 年的19.2%,初创数字企业规模由 2019 年的 10 家提升至2023 年的150 家等目标”。在《国家数据和人工智能战略》提出“扩大数据和人工智能的应用范围,使沙特成为数据和人工智能产品和服务的输出者”2。受新冠疫情的影响，沙特电商得到了爆发式增长的机遇。据媒体报道，沙特某电商平台 2020 年 3 月平均销售额增长200％，平均订单价值和 APP 安装量分别增长 50％和400％，居民对电商消费依赖度大幅提高。政府层面，2022 年，沙特商务部共签发了3万多张电商运营许可 3。同时，直播、网红经济等模式也日益成为沙特互联网消费中的主流。根据研究机构 Tortoise 发布的全球人工智能指数显示，在全球人工智能指数（The Global AI Index）排名中，沙特在阿拉伯世界排名第一位，在全球排名第26 位，其“运营环境”4单项指标居全球第一，“政府战略” 5指标排名全球第三。全球人工智能指数以 143 个指标为基础，这些指标分为七个子项目：人才、基础设施、运营环境、研究、发展、政府战略、商业，关注62个世界主要国家的人工智能发展情况，并综合测算，给出排名6。

沙特阿拉伯王国的有关数据保护的专门立法有《个人数据保护法》（PDPL）（未生效）和国家数据管理办公室（NDMO）发布的《个人数据保护暂行条例》（PDPIR），主要包含对控制者处理个人数据的要求，包括要求在所有处理活动中获得数据主体的同意。PDPIR 和 PDPL 都具有域外效力，适用于在沙特阿拉伯以任何方式对与个人有关的个人数据进行的任何处理，包括沙特阿拉伯以外的任何实体以任何方式对居住在沙特阿拉伯的个人有关的个人数据进行的处理。为解决 PDPL 中未详细说明的一些关键问题，2022年3月沙特阿拉伯数据与人工智能管理局 SDAIA 与国家数据管理办公室NDMO发 布 了 有 关 PDPL 的 执 行 条 例草案（the Draft ExecutiveRegulations）。

PDPL 对沙特的数据跨境设置了严格限制，控制者不得将个人数据传输到沙特境外，除非该数据跨境符合第29 条的规定的以下要求：遵守王国加入的协议；为沙特的最大利益服务；或为了执行条例中规定的其他目的，且同时满足四个条件，即数据传输不得损害国家安全或沙特王国的重要利益；传输实体必须提供足够的保证，以保护将被传输或披露的个人资料，并保持其机密性，以便数据保护标准不低于 PDPL 和行政法规中规定的标准；传输必须限于其目的所需的最低限度的个人数据；主管部门必须批准该传输。对于上述要求，PDPL 及执行条例的草案均设置了具体豁免情形。PDPL 规定主管部门可以根据具体情况在主管部门本身或与其他机构合作，评估个人数据在沙特王国境外将得到足够的保障，且不包括敏感个人数据的传输时免除控制者遵守第 29 条规定的义务。此外，PDPL 执行条例草案第 28 条另外规定了出于公共利益的目的以及为直接向个人提供服务而取得其同意两项豁免情形。在不满足前述例外情况时，数据控制者必须向主管部门申请批准，方可将个人数据传输到沙特王国之外1。

为了实现透明度原则并使王国公民能够访问大量政府数据，沙特阿拉伯王国提出开放数据战略并建立了开放数据共享平台，通过在政府机构开放数据门户上公开传播各部委和政府机构的数据，公民可以查看、下载和使用该国各部委和政府实体生成的数据集1。但目前尚未找到资料显示沙特阿拉伯有明确的官方数据交易平台。