■澳门科技大学法学院国际法2022级博士研究生 束梦婷

在当今科技飞速发展引发的信息爆炸时代，金融数据的跨境流动逐渐增多。然而，金融数据的跨境流动意味着个人数据不受数据主体拥有管辖权的国家监管，数据主体有权就金融数据泄露寻求补救。此外，各国之间金融数据跨境流动的不同规则也给企业在境外收集金融数据带来了挑战。本文从金融数据跨境流动的背景入手，通过对欧美立法模式的分析进行探讨，提出问题并探究应对方案，为金融数据跨境流动法律问题的研究提供参考。

一、金融数据跨境流动的背景

随着国际金融的日益发展，金融信息与数据已成为国际竞争与合作新的重要方面。金融服务全球化、资本市场国际化和跨国公司成长，使得金融数据跨境流动成为提高数字经济发展质量、保障全球互联互通的重要途径。金融数据的跨境流动可以最大程度释放数据红利，提高经济效率。据麦肯锡预测，数据流量每增加10%，将导致国内生产总值（GDP）增长0.2%。到2025年，全球数据流对经济增长的贡献预计将达到11万亿美元。此外，各行业数据流对利润增长的平均提升率为10%，数字平台、金融等行业可达32%。金融数据跨境流动在带来巨大经济效益的同时，也蕴藏着诸多风险。由于跨境数据往往具有规模大、敏感度高、出境频繁等特点，一旦发生重大数据泄露或重要数据资产丢失，将对国家的安全构成威胁。

金融信息跨境流动中的监管问题主要有全球数据治理规则的监管难度大，法律法规不健全，数据安全事件频频触发等。这些问题应通过制定法律、加强整个数据库的管理和跨境信息的分级管理、加强跨境监测数据的国际合作来解决。首先，金融信息跨境传输的管理问题表现在法律法规不健全。目前，我国有关金融信息跨境传输的法律法规尚不完善，存在一些模糊性和不确定性。例如，对安全评估、标准合同和安全认证的标准尚不清楚，这增加了数据流动的监管和合规成本。

二、金融数据跨境流动的规制模式

（一）美国模式——自由监管策略

美国作为重要的世界金融中心，在金融跨境数据流动中采取自由监管措施。在国际法层面，以美国为首的许多国际条约往往对金融单据跨境穿越采取特殊规定和“例外原则”，其中规定了承包商确保自由的义务。金融援助领域的信息流动，但也允许各方根据某些目的限制信息流动。如《全面与进步跨太平洋伙伴关系协定》（CPTPP）第十一章金融服务章节就专门规定缔约方可以基于公共政策目的，采取保护个人数据、个人隐私及个体记录和账户机密的相关措施，并可能出于公共政策目的审慎管理要求金融机构选择公司作为信息接收者。

美国对国际条约和国家法律出现二元化现象，即在提出自由监管的同时，仍注重内部个人隐私的保护。一方面，美国继续反对对自由信息的严格控制。美国商务部曾在中国入世合规文件中批评中国的跨境数据管理举措，指责中国向包括美国企业在内的外国企业发布本地数据，导致美国企业难以进入中国市场。另一方面，美国对包括金融交易在内的重要行业的信息跨境传输采取了严格的规定，阻止信息离开美国。但美国法律的特点或多或少体现了自由监管的内核，联邦政府未设立影响跨境数据交易的特殊规定，其目的是保护消费者隐私。而国家的“精准监管”，也体现了数字经济发展与消费者隐私保护之间的作用和联系。

在联邦层面，美国法律对数据控制者规定了明确的责任。《金融消费者隐私权法》概述了金融机构保护消费者隐私的法律责任。《格雷姆-里奇-比利雷法》（GLB法案）增加了金融机构在为消费者处理金融信息时必须遵守的义务，包括通知、选择、营销、安全和使用等这些方面。金融机构如果有向第三方披露客户或委托人的非公开个人信息的，必须通知客户或委托人，通知中必须告知客户隐私政策，并给予客户选择权。除了金融业的法律外，美国还在其外国投资国家安全法规中设定了跨境规定。美国《外国投资与国家安全法》（FINSA）和《外国投资风险审查现代化法案》（FIRRMA）授权美国外国投资委员会（CFIUS）审查美国公民敏感个人信息的收集情况。投资私人信息可能会损害美国的安全。如果相关投资可能涉及不当使用美国公民个人信息，相关投资一般会被CFIUS拒绝。

（二）欧盟模式——严格权利保护

在1995年，欧盟发布《个人数据保护指令》，首次明确数据“充分保护”原则，认为数据权利和隐私权等权利保护优先于数据自由流动。到了2016年，欧盟公布《通用数据保护条例》，实施更为细化和精密的数据保护，把数据权利作为基本人权进行保护，确立了欧盟数据保护的规制体系。相较于美国的自由监管方式不同的是，欧盟将个人数据保护视为一项基本权利保护，利用将人权和隐私保护放在首位的监管框架，在数据跨境流动的问题上采取了接收地信息安全评估模式。这种评估模式也被称为“第三国评估模式”，要求该国在允许信息流向其他国家的个人或组织之前，首先对他国的信息安全进行评估。

以《通用数据保护条例》（GDPR）为核心，确立了严格的个人数据保护标准和原则。要求企业在处理个人数据时必须遵循合法、公平、透明等原则，并赋予数据主体诸多权利。《通用数据保护条例》（GDPR）延续了之前的欧盟法律条款，要求在数据传输中对数据接收国的数据安全保护水平进行充分性的认定，禁止个人数据向未确定的数据保护国家或组织进行流动。安全措施的要点包括：一是数据获取国家或地方的法律水平，如是否有专门的法律来保护个人数据文件；二是在当地有没有存在负责的数据保护机关来维护数据安全；三是国家对于数据保护协议的缔约情况。同时，GDPR还提到了诸多数据权利，并规定控制者应帮助数据主体按照规则行使其权利。数据权利通常分为访问权、更正权、删除权等。

与此同时，欧盟不仅仅在为个人金融信息提供有力保护的方面相当重视，也注重内部自由流动，通过此种方式来支持一体化经济的发展。例如，欧盟在2015年批准的《关于内部市场的支付服务指令（第2015/2366号）》规定，银行应在审慎监管的客户同意下向第三方支付服务提供商开放客户数据，在此条件下，金融服务提供商仍被允许提供跨境服务。

（三）俄罗斯模式——灵活出境限制

二十世纪末以来，俄罗斯颁布了多部数据保护法，如《信息、信息化和信息保护法》、《防止青少年接触有害其健康和发展的信息法》、《知名博主管理法》等。还成立了负责信息工作的国家组织，以倡导政府和社会合作。除此之外，俄罗斯宪法对公民的基本权利和自由进行了保障，包括隐私权等，这为金融数据跨境流动规制提供了根本的法律依据。例如，俄罗斯宪法规定了公民的通信、通话和信件秘密不受侵犯，这在一定程度上可以延伸至对金融数据的保护。

修订后的《信息、信息化和信息保护法》赋予执法机关更多的控制权。为了保护国内数据，俄罗斯对跨境数据实施了严格的控制。俄罗斯官方已经采取了许多法律，将数据分类为灵活数据和受限数据。其中规定为了防止知识产权侵权，其流通必须经过知识产权所有者的授权。《俄罗斯联邦个人数据法》该法是俄罗斯规范个人数据处理的重要法律，明确规定了个人数据的收集、存储、使用、处理和跨境传输等方面的规则和要求。对于金融数据跨境流动，该法强调需获得数据主体的明确同意，并规定了数据处理者的责任和义务，确保金融数据在跨境流动中的合法性、安全性和保密性。

总体而言，俄罗斯在跨境数据管理方面采取了严格而灵活的策略，既保护国内数据安全，又兼顾实际情况和业务需求。未来，随着技术的发展和国际环境的变化，俄罗斯的跨境信息政策可能会有所修改和进一步发展。

（四）中国模式——保守数据流动

作为世界数字经济第二大国，中国有能力支持制定全球统一的信息流动政策。但由于我国在提升跨境数据管理能力方面还存在一些短板，各方对跨境数据带来的安全风险日益担忧。为此，我国创建了保护信息流系统模式。

中国模式的主要特点是：第一，立足实体经济需求，允许信息跨境。中国与澳大利亚、中国与韩国之间的自由贸易协定以及《区域全面经济伙伴关系协定》（RCEP）涉及电子商务问题，它们本质上仍以无纸化贸易、电子认证、海关关税等为议题，以扩大货物贸易为宗旨。第二，对跨境信息保持谨态度。事实上，即使RCEP规定“商事行为”的企业数据流动自由，而我国也已全面履行RCEP义务。但《数据出境安全评估办法》未明确对中国签署协定的跨境流动义务作出明确规定。因此，中国虽然签署了RCEP，但对RCEP缔约国间信息传递协议约定的规则仍未达成一致。这说明我国对证件跨境的行为还是很重视和谨慎的。因此，我国数据出口必须满足网信部相关规定及流程。第三，按照传统的合作理念有序地从国外寻找信息。作为我国网络安全领域的首部基础性法律，《中华人民共和国网络安全法》首次规定了数据出境的安全评估制度，为跨境数据安全流动与数据监管起到了奠基性作用。2021年，我国陆续出台《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，形成了数据分类分级管理的设计框架，为开展数据跨境流动管理提供了法律依据。

综上所述，我国的信息流通政策是基于我国目前国际业务的发展情况，是为了促进我国经济发展业务的发展，但是，基于保守的立场，我国在数字服务贸易领域业务的增长也会受到限制。

三、金融数据跨境流动的规则研究

首先，世贸组织的各项贸易规则中并没有对跨境信息流动作出直接规定。在金融服务的讨论上，发达国家与发展中国家之间存在着冲突。这场纠纷部分是通过调解达成的，部分是通过“特别条款”解决的。总体而言，由于世界贸易组织成员众多，各国服务贸易发展存在显著差异，《服务贸易总协定》（GATS）规定各国必须在基础特殊条件下致力于服务贸易自由。对于金融服务领域，GATS不涉及金融信息的跨境流动，也没有更严格的规则。

其次，区域性协议包括《北美自贸协定》（NAFTA）、《美墨加协定》（USMCA）、《全面与进步跨太平洋伙伴关系协定》（CPTPP）、《美韩自由贸易协定》（KORUS）、《欧盟与日本经济伙伴关系协定》（EPA）、《欧盟与越南贸易和投资协定》（EVFTA）以及《区域全面经济伙伴关系协定》（RCEP）等自贸协定都对金融部门数据的跨境流动做出了相应的规范。其允许金融部门数据跨境自由流动是主流，但同时也规定了例外情形，如成员可出于保护个人数据和隐私等考虑而采取措施限制金融数据跨境流动，但也都明确相关限制措施不能用于规避成员应尽义务。

最后，由于现有国际法的对象相互冲突，不能满足现实需要，大多数国家采用更简单、更快捷的单边式“国内法”来解决跨境金融信息带来的问题。欧盟实施了“充分性保护”认证机制，只有获得欧盟认可的国家或地区才能与其进行数据跨境传输。此外，还制定了标准合同条款，要求接收方必须遵守与欧盟相同的数据保护标准。美国通过制定隐私护盾协议等方式来保障跨境数据传输的安全，并强调行业自律。但事实上，从客观分析，这种不公平的法律模式仍然影响着金融信息的跨境转移。一些国家要求市场主体完全在本地存储和处理数据，这对金融数据的跨境流动造成了一定的阻碍。

结论：个人数据跨境流动增加了个人信息泄露的风险。我们正处于一个快速发展的数字化时代。个人信息跨境流动是跨境电子商务贸易发展的基石，也是全球化驱动的内在动因之一。个人数据具有精神权利和财产属性的双重价值，具有必须受到保护的双重合法权益。保护个人数据跨境流动的安全，能够促进人类的共同利益和安全。在实现个人信息保护的基础上，为促进个人信息跨境流动，各国国家立法和国际合作应当进一步加强。各国只有建立保护个人信息跨境流动的法律规则并积极参与国际合作，公民隐私才能得到有效保护，跨境贸易才能有序进行。随着个人数据跨境流动发展越来越迅速，我国也必须完善相关法律法规，规避数据泄露风险，引领跨境贸易健康蓬勃发展。

参考文献

[1]郭德香，张佳伟.RCEP对金融数据本地化措施的规制及中国因应[J/OL].信，2024，（09）:44-52[2024-10-07].

[2]冯泽华，刘志辉.粤港澳大湾区金融数据跨境流动：现实问题与法治进路[J].金融发展研究，2024，（05）.

[3]许康.我国金融数据跨境流动的法律规制[J].对外经贸，2024，（04）:110-113.

[4]来小鹏，郭子訸.金融数据跨境流动的法律风险量化分析与规制建议[J].金融监管研究，2024，（04）.

[5]刘媛.我国金融数据跨境流动安全的问题审视及应对[J].中国管理信息化，2024，27（06）:150-152.

[6]刘妍，冉从敬.金融数据跨境监管的国际策略与中国进路[J].金融评论，2023，15（04）:109-123+126.

[7]宋瑞琛，冯纯纯.中美数据跨境流动的国际法规制及中国的因应[J].国际贸易，2022，（07）.

[8]彭德雷，张子琳.数字时代金融数据跨境流动的风险与规制研究[J].国际商务研究，2022，13（01）.

[9]马兰.金融数据跨境流动规制的核心问题和中国因应[J].国际法研究，2020，（03）:82-101.

[10]熊院菊.论数字贸易下数据跨境流动国际规制的完善及对我国的启示[D].中南财经政法大学，2019.

[11]JerryZ，Li，InvestinChina：

APracticalGuidetoMergersandAcquisitions，LawPress，China，October（2007）

[12]Gao，Zhongzhi，InvestinChina:

APracticalGuidetoRealEstateLaw，LawPress，China，October（2005）