全球数据跨境流动规则对国内企业出海的影响

我国数字企业出海将面临越来越多的数据合规风险，我国数字产业发展面临数据封锁困境，我国数字贸易面临较高的政策不确定性。

当前，各国加快构建符合自身发展利益的数据跨境流动制度体系，各国数据跨境流动规则主张趋向“数据重商主义”，全球数据跨境流动规则呈现多样化、复杂化、差异化、行业精细化特征。一方面，美西方国家正在基于信任关系构建排除我国的数据跨境流动自由圈，数据主权、数据安全、隐私保护等核心问题仍然制约着数据跨境流动全球治理与规则形成。在此趋势下，我国数字企业出海将面临越来越多的数据合规风险，我国数字产业发展面临数据封锁困境，我国数字贸易面临较高的政策不确定性。

另一方面，我国于 2021 年正式申请加入 CPTPP 和 DEPA，目前正在积极推进谈判进程。加入 CPTPP 和 DEPA 将为我国数字企业出海、数字产业合作、数字贸易发展营造稳定制度环境。但 CPTPP 和 DEPA 在数据跨境流动议题上的开放标准较高，我国仍需进一步借助自贸试验区、自贸港等高水平开放平台，对标高标准规则，开展先行先试和压力测试。

1. 我国数字企业出海将面临数据合规风险

当前，我国数字企业正处于加速成长、出海拓展的关键时期，阿里速卖通、Shein、Temu、Tiktok 等一批数字平台企业加速出海，数据合规成为未来数字企业拓展海外市场的“必修课”。

一方面，美西方国家泛化安全问题，我国出海数字企业面临越来越多的数据合规风险。当前美西方国家正在主导建立基于信任关系的数据跨境流动自由圈，而我国作为“不受信任国家”被排除在外。近年来，美国针对我国应用程序的数据安全性审查持续不断。2023 年 4 月 14 日，美国美中经济安全审查委员会(US China Economic and Security Review Commission，简称“USCC”）45发布《Shein， Temu 和中国电商：数据风险、货源违规和贸易漏洞》专项调查报告，提出 Shein 利用用户数据和搜索历史，通过 AI 算法预测时尚趋势，但Shein 缺乏有效的用户数据保护措施。纽约州于 2022 年对 Shein 的母公司 Zoetop 处以 190 万美元的罚款，原因是个人数据处理不当导致 3900 万个账户的用户数据泄露。中国出海社交媒体平台 TikTok 更因数据存储安全和算法推荐操纵的问题受到美国制裁，目前美国蒙大拿州众议院已通过全面禁止 TikTok 的法案。

在欧洲方面，自 2018 年欧盟 GDPR 正式落地实施以来，欧盟针对跨国数字平台企业数据合规的执法力度正在逐步加强，据统计 2021 年欧盟数据保护监管机构针对 GDPR 违规的罚单总金额约 10 亿欧元，2022 年 GDPR 罚单总金额达到 16.4 亿欧元。如近年爱尔兰数据保护委员会对 Meta 分别处以 4.05 亿欧元、3.9 亿欧元、12 亿欧元的巨额罚款，卢森堡数据保护委员会对亚马逊平台处以 7.46 亿欧元罚款。而目前我国不在欧盟 GDPR 数据保护充分性认定白名单中。我国出海数字平台均涉及大量用户数据，随着我数字平台企业在欧美市场的竞争力和影响力逐步增强，未来美欧势必不断泛化数据安全问题，对我国数字企业进行打压，未来我国数字企业出海如何规避数据合规风险成为亟需解决的难题。

另一方面，我国申请加入 CPTPP 和 DEPA 等高标准数字经济协定，将为我国数字企业开拓海外市场降低数据合规成本、提供稳定的制度保障。2021 年，我国正式提出申请加入 CPTPP 和 DEPA。目前，在我国签署的贸易协定中，仅 RCEP 涉及“电子方式跨境传输信息”规定，代表了我国在数据跨境流动议题上最高开放水平。DEPA 和 CPTPP 比 RCEP 在数据跨境流动方面标准和要求更高，这要求我国对标高水平数字经济规则，依托自贸试验区、自贸港等高水平开放平台进行先行先试和压力测试。

近期，国家网信办就《规范和促进数据跨境流动规定（征求意见稿）》，向社会公开征求意见。该意见赋予自贸试验区可自行制定“负面清单” 的权力，我国数据跨境流动监管将迎来新突破。从我国数字企业在全球数据价值链中的地位来说，我国拥有阿里巴巴、腾讯、滴滴、拼多多、TikTok 等全球性数字平台，在全球数据价值链中占据重要地位。加入CPTPP 和 DEPA 将为我国数字企业进入东盟、日本等特定市场提供良好的制度保障和便利的数据跨境流动机制，将降低数字企业数据合规成本，符合我国数字企业的发展诉求。

2. 我国数字产业发展的数据壁垒可能加深

目前我国关键数字产业面临着核心技术受制于人的困境，高端芯片、操作系统、工业设计软件等均是我国被“卡脖子”的短板。而我国关键数字产业实现突破创新将面临数据封锁困境。

一方面，数据跨境流动规则的政治化、阵营化和行业精细化趋势，使我国数字产业发展面临数据封锁困境。芯片作为现代工业的基础、数字经济的引擎，已经深深嵌入到汽车、通信、能源、国防等许多行业的数字化进程中，也影响着人工智能、5G、边缘计算等关键数字技术的发展，决定了数字产业发展的未来。而芯片行业是资本、知识、技术密集型行业，是高度全球化和各国发挥比较优势分工协作的结果。全球芯片供应链具有高度复杂性、如欧盟在芯片设计环节的核心知识产权领域和制造环节的生产设备领域具有优势，但在先进芯片制造环节依赖亚洲（如韩国等），芯片设计工具依赖美国。欧美等国基于产业利益和数据主权制定“数据重商主义”色彩浓厚、附带意识形态偏见、针对高科技敏感行业进行封锁的数据跨境流动规则，将阻碍我国融入全球开放创新生态和贸易投资网络，切断我国重要数字产业的供应链，可能会阻碍我国数字产业升级发展,导致关键数字产业难以突破底层核心技术，数字产业安全风险增加。

另一方面，我国申请加入 CPTPP 和 DEPA，有利于同东盟国家探索数字产业合作机会。当前我国积极参与 WTO 电子商务谈判，同时申请加入 CPTPP、DEPA 等区域贸易协定，正在为构建一个凝聚更多共识、尊重各方利益的数字贸易治理规则框架而努力。东盟是我国第一大贸易伙伴,同时包括新加坡在内的东盟大部分国家都是 RCEP、CPTPP 成员国，新加坡是 DEPA 的主要成员。

加入 CPTPP 和 DEPA，有利于我国数字产业在被欧美打压的情况下，同新加坡为代表的东盟国家开展更多有益合作，挖掘新的产业增长点。如新加坡是亚太地区数据中心、各类先进数字技术试验地和各类新兴业务的发源地，是全球数据流动、数字技术应用创新的重要枢纽和节点。此外，新加坡以鼓励投资和创新为导向，对加密货币、金融科技、人工智能等领域持开放包容的监管态度，构建数字技术创新发展生态。未来我国可以同新加坡在人工智能、金融科技、数字货币等领域探索开展更多数字产业合作和政策对接，形成互惠互利的合作模式，打造中新数字产业开放创新生态。

3. 我国数字贸易面临较高的政策不确定性

当前，数据跨境流动规则所呈现出的碎片化、动态化、政治化、阵营化等趋势,导致出口企业面临的贸易政策不确定性显著增强,制约我国数字贸易创新发展。

一方面，数据跨境流动规则所呈现的碎片化、动态化、多样化等趋势,导致出口企业面临的贸易政策不确定性增强。目前各国基于自身利益诉求及监管目标制定本国数据跨境流动规则。如美国对数据跨境流动保持“宽入严出”的政策。欧盟制定“内松外紧”政策，在个人隐私和个人权益得到保证前提下允许数据自由流动。目前欧盟 GDPR 构建了多层次的个人数据跨境传机制(充分性认定､SCCs 与 BCRs 等其他额外数据保障措施), 但大多数国家并未制定与之互认的传输机制。我国基在《网络安全法》《个人信息保护法》《数据安全法》顶层立法及配套实施细则、指南的规制下，建立了严格的数据出境安全制度。

虽然我国一定程度上借鉴了 GDPR 的 SCCs 和认证机制等,但仍坚持着严格的事前监管原则(数据出境安全评估机制等)。严格且具有差异性的数据出境安全管理制度一定程度上造成了数字贸易发展壁垒，给数据密集型的跨国数字企业带来高昂的制度成本。主要国家对数据跨境流动监管的差异性将带来数字贸易政策的不确定性，监管政策的动态发展也会扰乱出口企业对未来收益与损失情况的权衡，提高企业面临的不确定性，阻碍我国数字贸易发展。

另一方面，我国申请加入 CPTPP 和 DEPA，对标高标准数字经济规则，在区域内探索形成便利的数据跨境流动机制、可互操作的贸易便利化措施、以及稳定的数字贸易环境，将有利于我国数字贸易发展。就数据跨境流动议题而言，CPTPP 和 DEPA 均强调促进各国个人信息保护制度的兼容和可互操作。如 CPTPP、DEPA 列举了可能的兼容性机制：对监管结果的互认、更广泛的国际框架、对各自法律框架下数据保护可信任标志或认证框架的互认。由于新加坡国内建立了数据保护可信任标志，因此在 DEPA 中推进数据保护可信任标志的互认。目前我国在数据保护可信认证方面尚处于探索阶段，通过对标高标准数字经济规则，加快推进我国数据保护可信认证落地实施并与主要经济体互认，将有利于构建便利化的数据跨境流动机制，促进我国数字贸易发展。

本文摘编自上海数据交易所发布的《全球数据跨境流动规则全景图》。

加入数治网院iDigi AIGC+X 赋能成长计划，人均选用育留支出有望降低 20%-40%，技能升级 40%-60% ！5人组团开课，￥999 /人起开启数据治理、安全以及合规等自主学习、素养测评、实践认证一体升值通道，详情下载：