2024年全球数据跨境流动政策分析：审慎弹性型政策占比达59.28%

数据跨境流动已成为推动全球数字经济发展的关键引擎。根据世界贸易组织(WTO)统计，2023年全球数字服务贸易规模已突破4.25万亿美元，过去五年年均增速接近11%，在全球服务贸易中占比过半，其中大部分增长来自数据跨境流动的贡献。国际商会(ICC)预计，到2025年底数据跨境流动对全球GDP的贡献将增长至11万亿美元。然而，各国在数据主权、数据产权等方面的政策差异，导致全球数据跨境流动规则呈现碎片化趋势。世界互联网大会数据工作组最新研究报告显示，全球136个国家和地区、国际组织及贸易协定中，截至2024年底共发布了194份涉及数据跨境流动的政策文本。这些政策在促进数据自由流动与保障国家安全、个人隐私之间寻求平衡，形成了三种主要政策范式：框架内便利型、审慎弹性型和约束限制型。

一、全球数据跨境流动政策呈现三大范式分化

通过对194份政策文本的系统分析，全球数据跨境流动政策可划分为三种基本范式：框架内便利型(Framework-based Facilitation Approach)、审慎弹性型(Prudent and Flexible Approach)与约束限制型(Restrictive Approach)。这三种范式在政策机制、工具选择和适用场景上存在显著差异。

框架内便利型政策采用"原则+问责"机制，依托企业负责制和事后问责简化流程。这类政策通常允许数据较为自由地跨境流动，典型特征是依靠企业自我监管和公共部门事后问责机制来规范数据跨境流动。企业在数据跨境传输前无需满足特定的审批或前置条件，显著降低了数据流动的初始成本与复杂性。代表性政策包括美国《联邦贸易委员会法案》《加州消费者隐私法案》、中国《中华人民共和国网络安全法》、加拿大《阿尔伯塔省个人信息保护法》等。国际组织的政策文件和区域贸易协定如联合国《全球数字契约》、OECD《隐私和跨境个人数据流动保护指南》、《区域全面经济伙伴关系协定》(RCEP)、《全面与进步跨太平洋伙伴关系协定》(CPTPP)等也多遵循这一范式。

审慎弹性型政策推行"评估+工具"模式，通过充分性评估匹配合规工具，平衡数据流动与隐私保护。这类政策要求数据持有方在实施跨境数据流动之前，需通过充分性评估机制确认境外接收方具备足够的数据保护能力。如无法确认，数据持有方可通过签署合同条款或制定具有法律约束力的公司内部规则等替代方案，实现数据的合规跨境传输。欧盟《通用数据保护条例》(GDPR)、中国《促进和规范数据跨境流动规定》、英国《英国通用数据保护条例》、新加坡《个人数据保护法》等是这一范式的典型代表。区域性多边安排如东盟的《东盟个人数据保护框架》(ASEAN PDP Framework)、欧洲委员会的《第108号公约+》(Convention 108+)、亚太经合组织(APEC)的《隐私框架》等也采用了这一范式。

约束限制型政策实施"审批+限流"策略，以严格事前审批及区域禁令强化全流程管控。这类政策通常要求数据必须通过政府部门主导的前置审查才能出境，或完全禁止针对特定地区的数据流动。在不满足充分性评估的情况下，唯一可行的方式是由相关公共部门进行事前审批。美国《"应对外国对手获取美国公民敏感个人数据"的最终规则》《14117行政令》、俄罗斯《批准确保对个人数据主体权利进行充分保护的外国名单》、哈萨克斯坦《第94-V号法律"关于个人数据及其保护"》等都属于这一范式。

从全球分布来看，审慎弹性型政策占主流，在所有数据跨境政策中占比约为59.28%，框架内便利型政策占比约为26.29%，而约束限制型政策占比最低，约为14.43%。这种分布反映了各国在促进数字经济发展与保障数据安全之间寻求平衡的普遍倾向。

二、政策工具日益丰富但限制性措施占比仍低

随着数据跨境流动治理的深入发展，各国采用的政策机制及工具包日益丰富，呈现出多样化、组合化的特点。从政策工具的使用情况来看，数据主体知情权作为通用条件，在71.79%的政策中均有涉及，体现了对个人数据权益保护的普遍重视。

在兼顾安全与发展的政策目标下，充分性评估成为最常用的机制，占比45.64%。这种评估主要表现为对数据接收方保护能力的系统性验证与持续监督，要求第三国或国际组织通过法定评估程序证明其数据保护标准与输出国实质等效。企业合同条款和标准合同条款的应用率分别为38.46%和30.26%，很多政策允许这三种机制和工具组合使用，为数据跨境流动提供多重保障。

合同条款主要包括标准合同条款和企业合同条款两种类型。标准合同条款由国家行政部门统一制定，用于规范向位于其他国家的持有方传输数据的活动，如中国《个人信息出境标准合同办法》和欧盟《通用数据保护条例》的相关规定。企业合同条款则是在不符合标准合同使用情境的情况下，要求企业依照数据出境国及接收方所在国的相关法律规定自行拟定签署的合同条款，如加拿大《个人信息保护与电子文件法》的相关要求。

事后问责制(35.38%)与企业负责制(28.72%)也有较广泛的应用。事后问责制通过强化事后监管与惩罚机制来规范数据跨境流动行为，通常以"知情同意"为前提，不设跨境数据传输的其他前置审批条件，如墨西哥《联邦个人数据保护法》、澳大利亚《联邦隐私法》的相关规定。企业负责制则强调企业可依靠自身合规管理及行业自律标准，自主决定其运营数据及非个人数据的跨境传输，如美国《加州消费者隐私法案》、韩国《个人信息保护法》的相关条款。

值得注意的是，限制性政策工具的应用比例相对较低。事前审批和受管辖国家(地区)限制规则在政策中的采用比例分别为8.72%和6.15%，表明这类限制性政策工具在过去的数据跨境政策中并不属于主流。然而，2016年后事前审批及地域限制规则的使用有所增加，2024年对国家(地区)的限制达到了新的高峰，反映了地缘政治因素对数据治理的影响正在加深。

受限/豁免清单("白/黑名单"制)和约束性企业规则(BCRs)被政策采纳的比例则相对较低，均在5%以下。受限/豁免清单通过明确界定数据类型或交易类别的限制或豁免来规范或促进数据跨境流动，如中国《促进和规范数据跨境流动规定》、欧盟《通用数据保护条例》的相关规定。约束性企业规则则适用于跨国公司内部数据跨境流动，要求跨国集团在各国子公司之间共享数据时须遵守统一的法律义务和补救措施，以欧盟《通用数据保护条例》的相关要求为典型代表。

三、不同政策范式的适用场景与优劣势分析

三种数据跨境流动政策范式各有其适用场景和优劣势，企业需要根据数据类型、业务需求和目标市场特点选择合适的合规路径。

框架内便利型政策以规则适配性强、合规成本低及促进创新为优势，适用于高频非重要数据流动场景与区域合作。这类政策通过减少前置审批程序和行政障碍，减轻企业在数据合规方面的经济成本和管理负担，进而提升数据资源在全球范围内的配置效率。典型应用场景包括跨国电商平台的用户行为数据流动、云计算服务的运维数据跨境、跨国企业的内部管理数据共享等。然而，这类政策也存在监管松散、规则碎片化等不足，可能导致数据保护水平参差不齐，增加数据滥用风险。

审慎弹性型政策兼顾数据流动与数据保护，规则兼容性较高，适用于重要高价值数据跨境场景，依赖数据产业成熟的国家之间的合作。这类政策通过适度的监管安排在促进数字经济发展与数据安全保护间找到平衡点，使企业既能从数据流动中获益，也要承担相应的风险防范责任。典型应用场景包括金融机构的客户数据跨境、医疗健康数据的国际研究合作、智能制造领域的工业数据共享等。不过，这类政策受限于高合规成本与程序复杂性，可能对中小企业和初创公司形成准入壁垒，且评估标准的差异性可能导致国际互认困难。

约束限制型政策侧重国家安全、本土数字产业及隐私保障，适用于涉及国家安全的重要数据、本土数字产业培育早期。这类政策的隐含逻辑在于将数据视为重要的战略资产，通过严格的事前审批防止其外流至不受信任的司法管辖区，以规避国家安全风险。典型应用场景包括政府敏感数据、关键基础设施运营数据、国防工业数据等。然而，这类政策可能抑制数字经济发展、抬高企业成本并削弱国际互信，长期来看不利于全球数字经济的深度融合。

从时间趋势来看，2005年之后审慎弹性型政策开始集中出台，其中2018年达到峰值，约有28个属于审慎弹性型的政策发布，基本与GDPR的出台有关。框架内便利型政策分别在2010年和2018年左右有增加，此后常有更多审慎弹性型政策跟随发布，但2014到2024年间的平均发布频次较2010年前后有明显下降。约束限制型政策在2016年之前较少被考虑，2016年前后逐渐成为一种选择，美国、俄罗斯、巴西等经济体在2018年后普遍加强安全导向的监管措施。

值得注意的是，各国政策范式并非一成不变。俄罗斯2020年发布的《关于批准确保对个人数据主体权利进行充分保护的外国名单》与美国2024年发布的《"应对外国对手获取美国公民敏感个人数据"的最终规则》都显示出向约束限制型政策的转变；而中国则在近两年的政策调整中适度放松了数据出境的事前审批要求，出台了更多审慎弹性型的政策，反映了不同国家根据数字经济发展阶段和国际形势变化作出的政策调整。

四、国际合作机制呈现"软法为基、弹性治理"特征

在数据跨境流动的国际合作中，多边安排与贸易协定普遍采用框架内便利型和审慎弹性型政策范式，较少涉及强约束性措施，体现出对数字经济全球化背景下政策灵活性与适应性的要求。

多边安排通常以隐私和数据保护为主要议题，其目标是推动国家(地区)间数据跨境流动的协调与互操作。从约束效力上看，可分为强制性安排及非强制性安排。非强制性安排如联合国《全球数字契约》和OECD《隐私和跨境个人数据流动保护指南》基于"软法"原则，鼓励各方采纳数据保护原则；强制性安排如欧洲委员会的《第108号公约+》和APEC《隐私框架》则通过法律约束力确保参与国遵守共同规则。在工具设计上，多边安排侧重引入标准合同条款、分级分类管理、豁免清单、知情同意机制及公共政策例外条款，并强调非本地化存储以保障数据自由流动。

贸易协定虽然主要针对商品和服务贸易，但日益增长的数据交易需求愈发需要通过在贸易协定中专门设置相关条款来进行协调。由于贸易协定往往建立在各方的信任基础上，目的是促进各方贸易合作，因此与数据跨境流动相关的贸易协定通常以框架内便利型范式呈现。《区域全面经济伙伴关系协定》(RCEP)、《全面与进步跨太平洋伙伴关系协定》(CPTPP)、《数字经济伙伴关系协定》(DEPA)等主要贸易协定都确立了数据自由流动原则，禁止缔约方对跨境数据流动施加限制，除非为实现合法公共政策目标实行的非歧视性、必要性的措施。

政策的约束性强弱主要受成员国范围与发展水平以及合作类型影响。成员国覆盖范围广、发展差异大的多边安排通常采用非强制性机制，强调共识建立与制度协调，保留成员国自主调整空间。反之，成员国发展水平相似的多边安排及多边贸易协定因规则统一需求更高，普遍具备较强法律约束力与执行机制。总体来看，当前国际合作呈现出"软法为基、弹性治理、原则趋同"的特征，在增强制度兼容性的同时，逐步构建自主和规范并重的全球数据治理体系。

以上就是关于2024年全球数据跨境流动政策的全面分析。研究表明，全球数据跨境流动政策以审慎弹性型为主流，占比达59.28%，反映了各国在数据自由流动与安全保护之间寻求平衡的普遍倾向。政策工具日益丰富但限制性措施占比仍低，事前审批和地域限制规则合计不足15%。不同政策范式各有其适用场景和优劣势，企业需根据业务需求选择合适的合规路径。国际合作机制则呈现"软法为基、弹性治理"的特征，多边安排和贸易协定普遍倾向于采用灵活的政策框架。

展望未来，随着数字经济的深入发展和地缘政治格局的变化，全球数据跨境流动政策可能呈现以下趋势：一是政策范式可能进一步分化，发达国家倾向于强化数据主权和国家安全考量，发展中国家则更关注数字经济发展和产业保护；二是政策工具将更加智能化和精细化，区块链、隐私计算等新技术将被广泛应用于跨境数据监管；三是国际合作机制将面临重构，区域性的数据流动圈可能加速形成，全球统一规则的建立仍面临挑战。

对企业而言，需要密切关注各国政策变化，建立灵活的数据治理架构，投资于合规技术和人才培养，同时积极参与国际规则制定，为跨境数据流动创造更有利的政策环境。对政策制定者而言，需要在保障国家安全和促进数字经济发展之间找到平衡点，推动建立更加开放、包容、互信的国际数据治理体系。

编辑：666知识控