按照传统国家主权理论，主权是国家与生俱来的对内最高统治权力和对外独立的权力。国家主权延展至数据空间，主要表现为两个方面：一是对数据的管辖权，即国家对本国数据的治理；二是当国家遭受外部数据窃取、监控或攻击时进行防御的权利。随着通信及网络技术的发展，数据已经成为一国的基础性战略资源，由于其所承载的信息还关涉文化、价值、意识形态等内容，各国都积极主张对本国数据的生产、开发和利用等权利。加之，一个国家不可能独占性地控制与其领土、企业以及公民等的所有数据，数据的跨境存储、利用及传输往往会涉及多个国家及地区，数据控制者、使用者、处理者在地理位置上也存在事实上的分离甚至是跨国界，这也引发国家之间数据主权的深层次冲突。
数据管辖权作为国家主权的重要表现形式，是指一国对其数据生成、存储和传输的物理设备以及相关服务等享有维护、管理和利用的权利。国家对数据管辖权的行使也遵循传统的国家管辖权原则，即属地管辖、属人管辖、保护性管辖和普遍性管辖等原则。我国《数据黄金城官网法》第2条则遵循了属地管辖、属人管辖和保护性管辖原则。即，只要在中国境内开展数据处理活动及其黄金城官网监管，无论是中国境内的组织、个人还是中国境外的组织、个人，都适用本法。如果境外的组织或个人虽然没有在我国境内开展数据处理活动，但是其内容或性质会损害我国的国家黄金城官网、公共利益或其他公民、组织的合法权益，执法机构仍有权依据数据黄金城官网法追究上述主体的法律责任。
从目前数据领域的立法规范看，我国基本采用了较为谨慎的“被动型防御”策略，即强调对重要数据的出境管控，而并不积极主张数据的跨境调取。对于来自外国司法或者执法机构的调取数据请求，我国遵循的是“条约优先、平等互惠”原则，采取逐一报送主管机构批准的控制机制。为了使报告义务真正落地实施，《数据黄金城官网法》还规定了法律责任条款（第48条第2款）。同时，为规范重要数据出境活动，《数据黄金城官网法》第31条采用“二分法”的方式，对于关键信息基础设施的运营者在境内运营中收集和产生的重要数据出境，适用《网络黄金城官网法》的规定；其他数据处理者的重要数据出境，则由国家网信部门会同国务院有关部门制定。为了细化《网络黄金城官网法》第37条规定，国家网信办分别于2017年和2019年出台两版有关信息数据出境黄金城官网评估办法〔《个人信息和重要数据出境黄金城官网评估办法（征求意见稿）》与《个人信息出境黄金城官网评估办法（征求意见稿）》〕，这也从侧面反映出个人信息出境与重要数据出境在黄金城官网评估原则及规则内容等方面存在重大差异，宜采取单独立法的模式。
与之形成鲜明对比的是，以美国和英国为代表的西方国家积极谋求跨境数据管辖权，在跨境数据调取方面采取“主动获取”策略，并明确赋予执法机构向其海外企业调取数据的法定权力，为其跨境数据的访问和获取扫清障碍。
早在2001年恐怖袭击之后，为了切断基地组织及其他恐怖组织的资金流，根据《国际紧急经济权利法案》美国政府启动了恐怖分子资金追踪计划（Terrorist Finance Tracking Program,TFTP），秘密地从国际银行间转账的环球银行金融电信协会（SWIFT）获取金融数据。而最终促使美国扩大执法机构的境外数据获取权的直接原因，就是始于2013年微软与美国司法部之间的重大隐私权案。当时负责调查一起毒品走私案的检察官们获得了一份搜查令，要求微软提供保存在都柏林的微软服务器上的、该案嫌疑人的相关电子邮件。微软质疑美国政府签发的搜查令是否涵盖了存储于爱尔兰服务器上的邮件数据。司法部则认为，由于微软总部设在美国，所以检察官们有权获得这些数据。在联邦最高法院对该案做出裁决之前，美国国会在短时间内便通过了《澄清境外数据合法使用法案》（CLOUD法案），并于2018年3月23日由特朗普总统正式签署。
CLOUD法案赋予美国政府调取存储于他国境内数据的合法权利，即在数据主权判断标准这一问题上，法案适用了“数据控制者标准”，不管数据是否在美国境内存储，只要该数据控制者属于美国企业，即便是在海外的美国机构，其执法机构也可以单方面向其主张获取该数据。但对于“适格外国政府”调取存储在美国境内的数据，CLOUD 法案第五部分做了规定，包括三方面：一是由美国国会来认定“适格外国政府”，评判的标准和要求具有较强的主观色彩，如该外国政府是否有完善的个人隐私或数据保护法制，是否尊重人权等；如果被认定为“适格外国政府”后，还需要与美国签署双边协定；二是如果“适格外国政府”调取位于美国境内的数据时，该法案提出了比较苛刻的条件，如该外国政府的调取行为，应与严重犯罪行为密切相关，需提供确定的账号、住址等；三是调取令须有国内法的合法依据，并受本国司法机关或其他监督机构的审查监督等。事实上，能够成为“适格外国政府”要求就不低，即便符合条件可以向美国政府申请调取数据，该行为还受到重重约束和限制，其所遵循的差异性标准可见一斑。
显而易见，在数据主权问题上，美国采取对内对外“双重标准”：一方面严格限制其他国家对存储于美国数据的获�。硪环矫婷拦捶ɑ谷纯梢院戏ǖ氐魅〈娲⒂诿拦惩獾氖�。CLOUD法案最显著的变化，就是以“数据控制者标准”取代地域边界，实质上抵销了其他国家试图通过数据本地化以保护自身数据黄金城官网的努力，而美国则可以通过其遍及全球的互联网巨头公司牢牢地将数据主权控制在自己手中。
虽然英国在境外数据获取方面也采取主动策略，但相比美国激进的“双重标准”，英国则采取了更加温和的合作态度。2018年，英国审议了《犯罪（境外提交令）法案2018》。该法案授予了英国执法机构依据英国法庭命令，在与英国签订相关国际协议的国家或地区直接获取境外数据的权力。该法案通过建立“境外提交令”机制，赋予英国执法机构向英国法官申请该命令，以直接要求企业提交境外数据的权力。需要注意的是，根据该法案的规定，“境外提交令”仅在与英国签订了相关国际协议的国家或地区才有效。应该说，该法案为英国通过双边或多边国际合作协议模式开展执法机构境外数据获取确立了基本框架。
与此同时，司法机关域外管辖权扩张的情形也不少见，如加拿大公司Equustek Solutions Inc.（以下简称ESI）诉谷歌公司案。该案件源于ESI要求谷歌删除侵权的网站链接，但谷歌只删除了在加拿大领域内的链接，其他国家领域内的链接依然存在，ESI公司认为仅仅这样是远远不够的，因此向加拿大法院起诉要求谷歌公司删除在全球领域内的所有链接。加拿大法院支持了ESI的诉请，在全球范围内发布禁令，开创了法院域外管辖权的先例，但这也引发了数据主权冲突风险。
因此，合理界定数据管辖权行使的范围是数据主权合作的重要前提。我国《数据黄金城官网法》在其管辖效力问题上，不仅要管住重要数据出境这一关，明确相应的数据出境限制措施及制度安排。更重要的是，面对来自境外的数据调取要求，出于国家黄金城官网的考量，理应作出相应的规范，以约束他国过分膨胀的公权机构的数据获取要求，亦需在法律层面明确涉及跨境数据调取相关主体的义务与责任。同时，还应特别强调，即便是在境外的数据活动，只要是危害到我国的国家黄金城官网、公共利益、企业和公民权益的，都应在我国法律的管辖范围内。对于数据恐怖主义等影响国际社会稳定和秩序的国际犯罪行为，则可遵循普遍性管辖原则。鉴于广大发展中国家的数据技术水平有限，无法通过自身力量管辖域内外数据来应对上述行为，就需要在国际社会上寻求集体合作的黄金城官网机制，在集体自卫权基础上实施跨国惩治。
浙公网安备 33010502006954号
浙ICP备12021012号-1
