欧美个人数据保护政策及对我国数据保护的启示

点击上方“高科技与产业化”可以订阅哦

数据已成为第四次工业革命时期重要的生产要素和市场资源，数据是资产、数据有价值逐渐成为社会的共识，数字经济日益成为我国经济增长和社会发展的重要驱动力。2017年以来，我国陆续出台《关于构建更加完善的要素市场化配置体制机制的意见》《关于新时代加快完善社会主义市场经济体制的意见》等文件，围绕培育发展数据要素市场展开密集部署。2020年3月颁布实施的《关于构建更加完善的要素市场化配置体制机制的意见》明确了数据的市场价值和社会价值，此后以数字化知识和信息为关键生产要素的数字经济迅速发展。2022年1月，国务院印发《“十四五”数字经济发展规划》，指出“加强数字基础设施建设，完善数字经济治理体系”^[1]。根据《中国数字经济发展报告（2022年）》，2021年我国数字经济规模已达45.5万亿元，占GDP比重达39.8%^[2]。

在数字经济飞速发展的同时，数据管理各流程中行业规则的不统一、法律政策的不完善，阻碍了数字产业化和产业数字化进程，急需加强多主体参与的数据管理和数字化治理。据美国最大的通信提供商Verizon发布的《2022年数据泄露调查报告》显示，82%的违规行为涉及人为因素，凭证窃取、网络钓鱼、漏洞利用和僵尸网络是主要威胁^[3]。面对严峻的数据管理现状，学术界重点关注个人隐私信息保护^[4,5]、政府公共数据公开利用^[6,7]、数据跨境流通及境外管辖^[8-10]、应用程序等网络信息规范等问题，探究理论发展和实践经验。同时，面对数据安全监管现状和数据经济发展需求，美国和欧盟陆续推出数据战略，意图在构建基础性法律体系的基础上，通过出台行业准则、针对性指令、实操性指南，以及设立执法部门等来探索数据保护途径。不少学者通过战略部署总结^[11,12]、法律体系建构分析^[13]、重要政策文件解读^[14-17]等方式展开研究，以期为我国数据保护提供建议。

本研究聚焦欧美数据战略中的个人数据保护法律框架构建，通过分析国内外法律条例、政策指令、公约计划中个人数据保护体系的内容、理念和演变特征，强调个人数据保护与公民安全、国家安全、数字经济、网络技术等领域的关联和影响，探讨个人数据保护对保护公民隐私、促进政府数据开放、支持数据市场运行、维护数据主权、保障网络基础设施等问题的基础性作用，从而为我国数据战略中平衡个人数据保护和数据利用提供参考和建议。

欧盟个人数据保护相关政策法规

欧洲早在20世纪50年代就开始关注个人隐私信息的保护，针对政府的个人信息收集和利用进行严格监管，实现对个人信息的利用方式、权利赋予、数据分类等明确规范。欧盟数据战略侧重构建内部统一的数据治理框架，致力于推进成员国的“统一立法”和消除执法障碍，以期克服欧盟内部市场分散化的问题，提升欧盟整体的全球地位（如表1）。

表1 欧盟个人数据保护相关政策法规

1995年10月，欧洲议会和理事会发布《关于个人信息处理保护及个人信息自由传输的95/46/EC指令》^[18]，旨在推动个人信息基本权利尤其是隐私权保护在各成员国的贯彻落实。该指令是欧盟个人信息保护法和数据保护法发展的重要节点，对其成员国具有直接约束力。该指令的实施也使得公共数据收集效率和利用途径受限，2003年11月欧盟通过PSI指令^[19]，意图消除公共部门信息重用的阻碍；后于2019年修订为《开放数据指令》，规定了公共数据开放重用原则。

2016年4月欧盟发布《一般数据保护条例》^[20]， 旨在赋予欧盟公民个人信息保护的基本权利，核心是提高个人数据收集、存储和使用的透明度和管控力，重点关注个人数据收集的主体同意、数据控制者与数据处理者的划分和责任、欧盟内部数据流动和第三国个人数据转移条件这三个核心问题的原则设立和规范确认。条例对欧盟和欧洲经济区具有直接约束力和适用性，是多国的法律典范。

2020年2月欧盟发布《欧盟数据战略》^[21]，概述未来五年实现数字经济所需的政策措施和投资策略，目标是确保欧盟在数字经济浪潮中成为领导者。2022年2月公布的《数据法案》草案是欧盟数据战略的关键部分，旨在确保数据经济参与者间数据价值分配的公平性，促进跨部门的数据共享^[24]。法案重点关注非个人的工业数据和物联网数据，面向互联网产品制造商、数据服务提供商和数据用户等主体，指出未来经济将具有高度信任、安全、保密、消费者选择的特点。

美国个人数据保护相关政策法规

美国“民主自由”的制度理念以及近代国际贸易的迅猛发展，使其较早关注公共数据的开放利用。完善的隐私法案是当前美国政府开放数据实践成果良好的保障因素^[17]。美国构建了成熟的管理体制来提升开放政府的质量和效率，并积极引入私营部门进入公共数据的组织、流通和应用。进入21世纪，美国继续推动数字经济领域前沿技术发展和数据工程方向的创新创造，致力于提升数字经济活力。

2018年3月美国发布《总统管理议程》，将数据作为战略资源来支持和实施全面的联邦数据战略。2019年6月美国发布第一个政府层级的数据战略《联邦数据战略》^[25]，旨在挖掘数据驱动的潜力，支持稳健的数据治理并保护数据安全、个人隐私和信息机密性，2020年的行动计划更体现了对数字治理、技术创新和信息时代的高度重视。

2019年11月，针对数据跨境流动风险、跨国科技公司数据收集行为等问题，美国参议员提交《国家安全与个人数据保护法》提案[^26]，明确规定外国投资委员会应当对持有或收集公民个人敏感数据，且这些数据可被用于威胁国家安全的美国公司投资予以审批。

除了联邦层面，美国各州也出台了各种数据保护措施。如在2020年1月正式生效的《加州消费者隐私法案》^[27]，旨在通过规范企业数据收集、处理和使用行为保护加州公民隐私权和消费者权利，并于2020年11月通过《加州隐私权法案》对其进行修改和扩展，以应对大量新兴互联网企业层出不穷以及数据泄露、隐私侵犯等问题。

同时，美国也积极参与多边国际规则设立，与加拿大、日本、韩国等国家于2021年4月建立全球跨境隐私规则的论坛发表声明，旨在通过多边合作促进可信的全球数据流动，促进互操作性并帮助弥合数据保护和隐私保护的监管不同的问题^[28]。

表 2 美国数据保护相关政策法规

欧盟个人数据保护政策

欧盟的个人数据保护经历了由个人信息保护到个人数据保护，再到非个人数据保护的演化历程，隐私泄露风险、个人数据采集条件、个人数据主体权利、跨境数据流动等问题被列入首要考虑的范畴。突出对个人数据流动的限制和保护，可降低信息泄露给个人和公众利益造成的破坏，但同时也会影响数字经济环境下数据流动的自由度。

1. 以个人隐私保护为起点和基础

与美国更看重数据流动带来的产业利益和经济活力不同，欧盟更注重鼓励数据流动和个人数据保护的平衡，这种倾向源自二战期间产生的个人数据危机意识。欧盟早期的数据保护将个人信息作为人格权的范畴进行保护。欧洲理事会于1950年11月签署的第一个区域性国际人权条约《人权和基本自由欧洲公约》被认为是欧洲第一代个人信息保护法。1981年1月欧洲委员会签署了108号公约，也是全球第一份关于个人数据保护的约束性公约^[29]。

2. 以各成员国数据保护立法为基础

欧盟的数据立法始于各成员国的立法。1970年德国黑森州通过《个人资料保护法》，成为全球首个关于数据保护的法律，为1977年《联邦数据保护法》的发布提供重要基础。1973年瑞典颁布世界上第一部国家级数据保护法《瑞典数据法》。此后各国相继颁布《数据保护法》，对获取数据类型、数据收集目的、数据使用权利等进行规范。

3. 建设数字单一市场

欧盟成员国的协调统一和内部市场可持续发展一直是欧盟数据安全的核心追求。1957年发布的《欧盟运作条约》和1991年发布的《欧盟条约》共同构成欧盟法律基础，成为约束各成员国的主要方式^[31]。随着数据驱动经济发展和跨境数据流动需求的激增，欧盟意识到大数据时代对于高质量数据资产、专业人才培养及留存、网络基础设施普及、数据自由流动法律框架等方面的迫切需求与短板，开始推进建立欧盟数据公共空间和数字单一市场，努力消除欧盟内部数据流动壁垒。

美国个人数据保护政策

与欧盟的个人数据保护综合性立法不同，美国在不同层级、各类成文法、不同领域分类设定保护规则，区分一般数据的通用保护和敏感信息的特殊保护。与欧盟注重统一数据保护立法不同，美国更倾向于行业监管和领域自律作用的发挥，通过行业主要机构针对联邦法律实施提出的指导建议和行为准则来具体践行公正民主等原则。

（1）重视个人隐私保护和政府数据公开

美国数据保护以“民主自由”为核心理念，重视社会赋予个人的权利和对政府权力的限制，围绕政务信息管理、个人隐私保护、公共数据公开、信息安全等颁布了系列法律法规和行政命令。1967年7月发布的《信息自由法》赋予公众访问任何联邦机构记录的权利，拉开了公民获取信息权利和个人隐私保护的序幕^[32]。此后法律框架日趋成熟，并设立多元主体以强化隐私保护及数据安全，强化数据收集和信息公开透明度^[33]，提升数据安全管理能力。

（2）采用多层级的分散立法模式

美国在联邦层面并没有类似欧盟GDPR的统一立法，而是针对联邦及各州、不同行业领域、各类法律类型等设立多种数据保护立法。如在联邦《信息自由法》颁布后，美国50个州陆续制定当地信息自由法，且各州法律有较大差异。美国联邦政府还对通讯、金融、贸易、健康、教育等众多领域都分别设立了数据保护法。

（3）全面部署推进数字战略

进入二十一世纪后，美国作为数字技术研发与产品服务应用的策源地一直居于全球领先地位，同时不断发布数字转型相关的法律法规、计划措施和政府报告等，为激发数据自由流动的经济利益、国家各方面数据解决方案的效率等消除制度障碍 ；同时还通过稳定迭代和动态完善的政策计划，不断适应国家立法制度要求、满足利益相关者及用户需求、符合新兴技术发展及演变的轨迹。

我国个人数据保护政策法规是从2017年6月起实施的《中华人民共和国网络安全法》，包括总则、网络安全支持与促进、网络运行安全、网络信息安全、监测预警与应急处置、法律责任和附则共七章，对于建立和完善网络安全等级保护制度、关键信息基础设施保护制度、数据跨境流动监管制度、个人信息保护制度等有着重要意义。

2021年1月实施的《中华人民共和国国民法典》，对隐私保护、个人信息保护、数据保护进行区分和阐释。个人信息保护更关注信息收集和利用的行为规范，实现信息流通和权利保护的平衡^[33]。第127条从财产权保护方面创造性提出“法律对数据、网络虚拟财产的保护有规定的，依据其规定”。数据和个人信息可相互转化，数据包含的内容和价值通过个人信息、商业秘密、知识产权等进行保护。

2021年9月正式实施的《中华人民共和国数据安全法》是我国数据安全领域的基础性法律，对数据、数据处理、数据安全做出了明确定义和具体解释。这里的数据安全既包含传统的静态安全，即数据质量相关的完整、保密和可用性；也包括信息时代下数据主权安全，即数据跨境流动和应用过程中涉及的个人、公共和国家利益。该法案创新性地确立了数据分级保护制度、数据安全应急处置机制、数据安全审查制度等一系列举措，为数据安全监管、信息安全保护和数字经济发展提供法律支持^[34]。

2021年11月《中华人民共和国个人信息保护法》正式施行，旨在保护个人信息权利主体的合法权益，重点在第四章构建了公民数据权利体系，规定了知情权、决定权，以及更正补充、删除、解释说明、查阅、复制等权利。该法所规定的个人数据权利继承了GDPR中的权利保护框架，并要求配套法规和具体实施考虑针对性和可操作性，切实保护个人数据权利。

我国的个人数据立法起源较晚且保护框架尚未完善，多以欧盟和美国等较成熟的法律为依托，在概念解释、主体权利、保护举措等方面多有继承和再发展，寻求数据保护立法的国际化接轨。同时我国数据立法更注重信息安全风险防范、个人信息保护和国家安全维护、国家统筹下的数字经济发展模式，实现以信息安全为前提的市场化探索。

1. 建立信息安全风险防范的立法思路

互联网的普及和数字技术发展，改变了数据处理速度和数据产生规模，我国个人信息泄露和侵权案件层出不穷。基于以上现实背景的问题挑战和迫切要求，以及国际各国数据立法的先验经验，我国在推动数字经济转型的同时开始探索数据保护的立法模式和监管路径。目前数据保护立法主要是从信息安全风险防范的出发进行考量，个人信息安全和权利、网络诈骗及信息披露、数据跨境流通及国家安全等成为首要关注的问题。

2. 推进政府数据开放和公共利益数据访问

公用事业、管理部门以及社会资助的学术研究等产生的数据具有巨大的再利用潜力，有利于提升社会 公共服务质量、应对环境污染及气候变化、激发科学研究新活力^[36]。但目前我国的公共数据开放存在法律规范缺失、程序及监管不明确、获取渠道及利用方式有限等问题。基于欧美立法和实践经验，应特别关注与公共利益密切相关的高价值数据集，如交通、气象、地理空间等数据，建立相应优先访问和有序开放的机制^[12]，实现低成本、易访问、程序透明和格式规范，鼓励数据重用。

3. 坚持数据流动和数据主权维护的平衡

随着全球化趋势下产业分工和资源配置方式的转变，数据作为重要资源进入市场配置促使数据跨境流动、数据定价及交易、数据开放共享成为迫切需求。应当坚持在数据安全和数据主权前提下，保持市场开放并积极参与国际合作，通过加强信息基础设施建设和数据市场监管制度类促进数据安全、有序、公平、合法的利用，发挥数据要素的经济价值和社会价值。

4. 培养数据专业人才和提升数据安全技术

个人数据保护需要加强数据专业人才培养、构建新的技术安全框架。伴随企业服务模式革新，精准化和个性化服务加速了用户信息的采集和利用，隐私泄露和非法使用等风险剧增。面对现实需求和挑战，隐私计算等技术提供了保障数据传输私密性、提升数据资产安全的解决方案，涉及安全多方计算、联邦学习、机密计算等技术。因此，应当加大培养数据专业人才、指导数据安全技术研发和应用，在隐私保护和风险防范基础上推进个人数据在金融、医疗、物流、政务等多领域的价值利用。

5. 构建数据伦理规范框架和重视新技术安全风险

人工智能、深度学习、区块链等新技术正对数据伦理和道德体系造成冲击，数据泄露、算法歧视、媒体操纵、政治引导等问题显现，需要制定安全、可靠、透明的数据伦理原则和指南，以保障公众福祉和社会责任，平衡新技术创新和个人隐私保护。如英国政府中央数字和数据办公室2018年发布《数据伦理框架》、 美国联邦总务署2020年发布《数据伦理框架草案》对数据全生命周期提出基本原则和实践指南。国内尚未形成完整的数据伦理框架，应汲取国外成熟经验，立足技术创新需求和个人数据保护困境，构建数据伦理框架以规范数据采集、处理、存储、传输、利用和共享。

构建个人数据保护的法律框架，是数据基础设施建设的关键环节，完善的法律政策体系首先能够保障公民安全和生活稳定、规范企业和政府数据利用行为，进而提升消费者对企业的隐私信任、构建公平透明的政府形象，最终将促进公共部门数据开放利用以及数据市场的稳定运行。欧美在早期就建立起较完善的个人信息安全和公共信息利用的法律体系和指令规范，并在此后长期的实行中不断补充应用场景，为数据治理提供了理论支撑和实践经验。习近平总书记在2021年10月中共中央政治局第三十四次集体学习时指出，围绕数字经济的未来发展趋势要充分发挥海量数据和丰富应用场景优势，促进数字技术与实体经济深度融合^[36]。我国要在全球数字经济发展中的地位，一方面需与国际规则接轨，参与数据跨境流动的规范制定和实践进程；另一方面需继续完善国内法律体系，适应特定应用场景与不同数据分类，推动数据安全保护和数据主权维护，从而完善数据治理全周期的监管体制，服务于数字经济中各利益主体的数据需求，激发我国数字经济发展活力。

作者贡献说明 

魏伟珍：数据保护政策调研与文献调研，撰写论文初稿； 

陈启梅：提出研究方向，确定研究主题，设计论文整体架构，论文审阅及修改； 

张冬荣：选题讨论，分析指导。

作者简介 

第一作者：魏伟珍（出生年 -1999 年），女，籍贯：河北省，汉族，硕士研究生学历，研究方向：用户研究与信息服务，通讯地址：北京市海淀区中关村街道中关村北一街13号，联系电话：15732886272，电子邮箱：weiweizhen@mail.las.ac.cn。

参考文献

[1] 中华人民共和国中央人民政府 . 国务院关于印发“十四五”数字经济发展规划的通知 [EB/ OL].(2022-01-12)[2022-08-30]. http://www.gov.cn/zhengce/zhengceku/2022-01/12/ content_5667817.htm. 

[2] 中国信息通信研究院 . 中国数字经济发展报告（2022 年）[R]. 北京 : 中国信息通信研究院， 2022. 

[3] Verizon. 2022 Data Breach Investigations Report[EB/OL].(2022-05-23)[2022-08-30]. https://www.verizon.com/business/resources/reports/dbir/#resources. 

[4] 刘云 . 欧洲个人信息保护法的发展历程及其改革创新 [J]. 暨南学报 ：哲学社会科学版 , 2017, 39(2):13. 

[5] 奕扉 , 王协舟 . 突发公共卫生事件中欧美个人信息保护法律政策的经验及启示 [J]. 情报资料工 作 , 2022, 43(3):9. 

[6] 周文泓 , 吴琼 , 田欣 , 钟瑞玲 . 美国联邦政府数据治理的实践框架研究——基于政策的分析及启 示 [J]. 现代情报 ,2022,42(08):127-135. 

[7] 东方 , 邓灵斌 . 政府数据开放的法律规制 : 美国立法与中国路径——基于美国《开放政府数据法》 (OGDA) 的思考 [J]. 情报资料工作 ,2021,42(05):50-57. 

[8] 张茉楠 . 跨境数据流动正成为大国战略博弈新焦点 [J]. 金融与经济 , 2021(2):1. 

[9] 许多奇 . 个人数据跨境流动规制的国际格局及中国应对 [J]. 法学论坛 ,2018,33(03):130-137. 

[10] 陈咏梅 , 张姣 . 跨境数据流动国际规制新发展 : 困境与前路 [J]. 上海对外经贸大学学报 , 2017,24(06):37-52. 

[11] 杨楠 . 美国数据战略 ：背景、内涵与挑战 [J]. 当代美国评论 ,2021,5(03):76-92+123. 

[12] 魏凯 , 闫树 . 美欧发布数据战略对我国的启示 [J]. 信息通信技术与政策 , 2020(4):3. 

[13] 李丽 . 美国数据立法研究 [D]. 湖南师范大学 ,2021. 

[14] 曹博 . 浅析欧盟《数字市场法》——兼评我国立法借鉴 [J]. 2021. 

[15] 吴沈括 , 胡然 . 数字平台监管的欧盟新方案与中国镜鉴——围绕《数字服务法案》《数字市场法 案》提案的探析 [J]. 电子政务 ,2021(02):111-120. 

[16] 杨晶 , 康琪 , 李哲 . 美国《联邦数据战略与 2020 年行动计划》的分析及启示 [J]. 2021(2020- 9):150-156. 

[17] 肖燕珠 , 傅文奇 . 欧盟《数字化单一市场版权指令》解读 [J]. 图书馆论坛 , 2018, 38(4):6. 

[18] DATA P O F P. Directive 95/46/EC of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data[J]. Official Journal L, 1995, 281(23/11): 0031-0050. 

[19] European Commission. Directive 2013/37/EU of the European Parliament and of the Council of 26 June 2013 amending Directive 2003/98/EC on the re-use of public sector information Text with EEA relevance[EB/OL].(2013-06-27)[2022-08-30]. https://eur-lex. europa.eu/legal-content/FR/ALL/?uri=CELEX:32013L0037. 

[20] European Commission. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)[EB/OL].(2016-04-27)[2022- 08-30]. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02016R0679- 20160504&qid=1532348683434. 

[21] European Commission. European data strategy[EB/OL].(2020-02-19)[2022-05-15]. https:// ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/european-datastrategy_en. 

[22] European Commission. Shaping Europe's digital future [EB/OL].(2020-02-19)[2022-05-15]. https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/shapingeurope-digital-future_en. 

[23] European Commission. White Paper on Artificial Intelligence: a European approach to excellence and trust [EB/OL].(2020-02-19)[2022-05-15]. https://ec.europa.eu/info/ strategy/priorities-2019-2024/europe-fit-digital-age/shaping-europe-digital-future_en. 

[24] European Commission. Experts say privately held data available in the European Union should be used better and more [EB/OL].(2020-02-19)[2022-05-15]. https://digitalstrategy.ec.europa.eu/en/news/experts-say-privately-held-data-available-europeanunion-should-be-used-better-and-more. 

[25] Office of Management and Budget. Federal Data Strategy[EB/OL]. (2019-06-04)[2022-05- 15]. https://strategy.data.gov/background/. 

[26] Congress of the United States. National Security and Personal Data Protection Act of 2019[EB/OL].(2019-11-18)[2022-05-15]. https://www.congress.gov/bill/116th-congress/ senate-bill/2889/text?q=%7B%22search%22%3A%5B%22National+Security+and+Perso nal+Data%22%5D%7D&r=1&s=2 

[27] State of California Department of Justice Office of the Attorney General. California Consumer Privacy Act (CCPA)[EB/OL].(2018-06-28)[2022-05-15]. https://oag.ca.gov/ privacy/ccpa. 

[28] 美国商务部 . 全球跨境隐私规则声明 [EB/OL].(2022-04-21)[2022-05-15].https://www. commerce.gov/global-cross-border-privacy-rules-declaration. 

[29] 林梓瀚 . 基于数据治理的欧盟法律体系建构研究 [J]. 信息安全研究 , 2021, 7(4):7. 

[30] 肖燕珠 , 傅文奇 . 欧盟《数字化单一市场版权指令》解读 [J]. 图书馆论坛 ,2018,38(04):126-131. 

[31] Office of Information Policy. Freedom of Information Act Statute [EB/OL]. [2022-05-15]. https://www.foia.gov/foia-statute.html. 

[32] Office of Privacy and Civil Liberties. Privacy Act of 1974[EB/OL]. (2021-04-30)[2022-05-15]. https://www.justice.gov/opcl/privacy-act-1974. 

[33] 任愿达 . 《民法典》个人信息保护规定与数据资产治理观念的协调路径 [J]. 西南民族大学学报（人 文社会科学版）,2022,43(6):114-123. 

[34] 商浩文 , 张萌 . 数据安全刑法保护的路径选择——以 2021 年《数据安全法》颁行为契机 [J/OL]. 西北工业大学学报 ( 社会科学版 ):1-9[2022-06-28].http://kns.cnki.net/kcms/detail/61.1352. C.20220415.1509.008.html 

[35] European Commission.From the Public Sector Information (PSI) Directive to the Open Data Directive[EB/OL].(2022-06-07)[2022-08-30]. https://digital-strategy.ec.europa.eu/en/ policies/psi-open-data. 

[36] 中共中央党校（国家行政学院）. 习近平在中共中央政治局第三十四次集体学习时强调 把握 数字经济发展趋势和规律 推动我国数字经济健康发展 [EB/OL].(2021-10-19)[2022-08-30]. https://www.ccps.gov.cn/xtt/202110/t20211019_150923.shtml