上合组织数据流通法律基础及建议有哪些？

在数据跨区域流通大趋势下，上合组织可以先行先试，探索区域性数据要素流通市场的建设经验。

1.通过区域化数据保护承诺，趋平个人信息保护水平

上合组织 9 个成员国、3 个观察员国及14 个对话伙伴国所处政治、地理、经济和历史环境均不相同，映射至国内个人信息保护立法时更是差别巨大。放眼全球，不管是欧盟还是英国GDPR，都对数据跨境传输的“对等保护”提出了严格的要求，“对等保护”体现在了基于充分性决定的白名单国家传输，以及提供适当保障措施的传输等方式。上合组织相关成员国，也不乏制定了对等保护的个人信息保护原则。 我国数据出境安全评估以及个人信息出境安全评估也提出，必须评估“境外接收方所在国家或地区的网络和数据安全法律法规情况”，这些评估须进一步考虑到更多因素，包括该国家或者地区现行的个人信息保护法律法规及普遍适用的标准，加入的区域性或者全球性的个人信息保护方面的组织，以及所做出的具有约束力的国际承诺，以及该国家或者地区落实个人信息保护的机制，如是否具备个人信息保护的监督执法机构和相关司法机构等。

基于我们对上合组织相关国家的调研排摸，部分国家未有统一数据立法、相关国家未设置专门的数据保护主管部门，个人信息保护水平难以达至同一水平。因此，上合组织可以通过会谈形成上合组织数字经济伙伴关系协定等类似区域性国际承诺，承诺对个人信息实施严格保护。

2.制定区域数据传输标准合同，破除绝对本地化限制

2023 年 5 月 10 日至 12 日，联合国在日内瓦召开并发布“如何让数据为《2030 年可持续发展议程》服务”的报告，报告称“过去三年，在疫情的影响下，跨境数据流动加速增长。在此背景下，各国正在制定更多关于数据流动的政策，以实现国家政策目标。然而，国家设法控制跨境数据流动可能导致互联网碎片化，从而大大削弱数据共享对发展和实现《2030 年议程》的潜在益处。”在这种国际大形势大背景下，我国“数据二十条”的提出可谓十分应景，其要求积极参与数据跨境流动国际规则制定，探索加入区域性国际数据跨境流动制度安排，推动数据跨境流动双边乃至多边协商，推进建立互利互惠的规则等制度安排，鼓励探索数据跨境流动与合作的新途径新模式。 目前，区域性的数据跨境合作正在势能之外，包括非洲联盟数据政策框架及《网络安全和个人数据保护公约》，亚太经济合作组织（APEC）提出的《互联网和数字经济路线图》，东南亚国家联盟关于跨境数据流动示范合同条款等专题的倡议，并于2021 年1月东盟首届电子部长会议（ADGMIN）上批准东盟数据管理框架（DMF）和跨境数据流通模范合同条款（MCCs），以及拉丁美洲促进使用数字技术的数字议程。此外，APEC 通过 2015 年修订的《APEC 隐私框架》指导亚太地区的数据跨境自由流动，而OECD（经济合作与发展组织，简称经合组织）在 1980 年就发布了《关于保护隐私和数据跨境流动的准则》，这是国际第一套商定的隐私原则，是全球第一个提出数据跨境流动原则的国际组织。由此可见，虽然数据完全本地化对国家安全有强大吸引力，但相比于全球经贸发展，以保护个人隐私为由，限制数据的自由流动始终不是明智之举。

在数据传输标准合同之上，欧盟和英国已修订并进一步细化了不同主体性质下所适用的 SCCs 类型，中国也于2023 年2 月发布个人信息出境标准合同办法及标准合同示范文本。这些数据传输标准合同有利于各国锚定数据传输标准合规体系，让全球数据治理标准趋于同一保护水平。上合组织在加大经贸和科技领域融合合作之际，也可以寻求制定上合组织区域性数据传输标准合同并由各国实现预批准，从而破除数据绝对本地化的“魔咒”，这更能加强中国在数据领域全球规则和标准制定的国际话语权地位。

3.建立上合组织大数据交易中心，助力数字丝绸之路

2023 年 1 月，中国国家发改委、商务部发布《关于深圳建设中国特色社会主义先行示范区放宽市场准入若干特别措施的意见》，指出“放宽数据要素交易和跨境数据业务等相关领域市场准入……探索建设离岸数据交易平台，以国际互联网转接等核心业态，带动发展数字贸易、离岸数据服务外包、互联网创新孵化等关联业态，汇聚国际数据资源，完善相关管理机制。”在数据交易所市场的建设经验中，从2015 年至今，我国地方数据交易所（中心）如雨后春笋般建立，截至2022 年底，全国数据交易机构共计约 80 余家。2023 年 4 月24 日，国际数商合作交流会（Data Eco-system Partnership Conference）在新加坡举办，上海市在会上宣布上海数据交易所国际板已启动建设。区域性数据交易中心的筹备建设，是跨境数据传输落地的第一步。上合组织基于数据交易市场建设经验、组织成员国参与意愿等多重因素考虑下，在中国西部地区或者国家现有区域级数据交易所建立上合组织大数据交易中心，以此探索区域化数据交易的经验。