毛欣娟，中国人民公安大学国家安全学院教授，博士生导师
任珈炎，天津市公安局民警
引言
数据主权安全概念、内涵与外延
保障“数据主权安全”是响应各国家在大数据时代维护国家主权和独立的需求，数据主权安全的多层次内涵使得该领域问题变得重要而复杂。在数据主权安全问题丛生的背景下，其概念的确立及内涵与外延的明晰十分必要。
（一）数据主权的起源
数据主权概念应与国家主权理论的含义及内涵要求相符合，应以网络空间安全为现实基础，根据技术发展和现实情况，不断完善和扩展国家主权的概念和内涵。国家主权理论将一国主权分为两部分，对外独立和对内自主，具体表现为四个部分：独立权、管辖权、平等权、自卫权。以此为基础，数据主权应该是国家对其所管辖地域范围内的数据具有最高权力，即能够对内控制、管理和保护本国数据信息的生成、存储、流动、分析和利用，以及对外参与国际合作和不受其他国家和组织干扰的独立性和自主性。
（二）数据主权安全的概念、内涵与外延
数据主权安全的内涵主要包括两个方面内容：数据管辖权安全和数据所有权安全。数据管辖权安全主要是指国家对其管辖范围内的数据所进行的生成、存储、流动、分析和利用等一系列活动拥有管理权，以及对于数据领域所发生的纠纷情况拥有司法管辖权，相对来说这些权力是处于无威胁状态；数据所有权安全是指国家对其管辖范围内的数据所采取的保护措施权力相对处于不受威胁的状态，即保护其数据免受更改、篡改、破坏、盗窃或泄露的威胁。
在全球科技前沿技术不断发展和创新的背景下，在全球各方利益新的战略平衡中，衍生了一系列新概念。21世纪，欧盟连续发布了一系列战略性文件，包括《欧洲的数字主权》研究报告、《欧洲数据战略》，明确提出了“技术主权”概念及“数字主权”等概念，欧盟在该领域的战略方针主要为争夺规则的制定权。由此可见，数据主权安全延伸概念呈现不断演化的趋势，但数字主权安全及技术主权安全仍以数据主权安全为核心和基础。
我国数据主权安全面临的挑战与风险
（一）第一维度：数据生成与存储风险
大数据时代数据所涉及的对象、主体及利益呈现出多元化、多维度特征。据国际数据公司、中商产业研究院整理的数据显示，作为人口基数庞大的国家，我国数据产生量约占全球数据产生量的23%。然而不断涌现的新技术使得数据的“位置”与数据的“归属”两个重要属性更模糊，数据的生成与存储存在着安全隐患。
1.数据对象被过度采集
2.数据主体被违规存储
（二）第二维度：数据跨境流入与流出风险
“数据跨境流动”是指“在一个国家以电子方式产生的信息记录，由他国的个人或公权力机关读取、储存、使用或‘处理’”。数据自由流动是大势所趋，也是数据主权产生的先决条件之一，但前提必须是保障国家及公民的安全。然而随着数据价值的不断提升，跨境数据能否安全、有序、自由地跨境流动，潜藏了国家数据主权安全隐患。
1.防范数据跨境“取”
2.防范数据跨境“出”
（三）第三维度：数据分析与利用风险
在数据主权范畴下，数据风险越发呈现隐匿化、复杂化趋势，如何在合理的范围内对所掌握的数据进行有限度的分析与利用，不单单是跨国互联网与科技公司层面需注重的难题，更是在国家层面亟待解决的关键性问题。
1.数据技术发展落后
数据作为技术产物，数据主权面临着技术发展带来的挑战。在国家层面，核心基础技术自主可控具有重要意义，我国国家数据主权安全面临着技术性风险。近些年来，虽然我国数据产业取得了一定进展，但也存在着数据技术落后、企业创新能力较弱等“数据核心”的制约因素。当今网络空间，发达国家提供信息基础设施和关键应用，发展中国家只能作为互联网的使用者。在该领域的发展中，全球互联网的基础技术受美国主导，尤其在数据传输方面，美国已经显示出其作为技术大国的绝对优势。美国政府已控制了互联网域名的空间分布，在域名系统、根服务器系统、互联网协议地址等领域占据了绝对控制权。例如在国际顶级域名主服务器领域，我国未能掌握这一关键性资源，只能在美国服务器的控制下，与其他国家网络的“域名”之间进行数据传输。美国《澄清合法使用境外数据法案》的实质物质基础，还是依据美国网络运营商在世界各地的网络设施和数据中心。理论上，只通过封锁美国根服务器上的中国域名，我国的国家顶级域名网站就能立即被从网络上删除。在数据活动的其他环节，我国也存在着与发达国家的数据技术差距，以及在数据领域缺乏竞争力的难题。
2.法律规制有待完善
（四）第四维度：数据域外管辖与强国霸权风险
数据主权作为国家主权的延伸与扩展，在世界各国对全球数据支配力强弱不均的情形下，承载着通过制定数据规则来抵制数据霸权、捍卫国家安全的重要使命。随着国际社会日益认识到数据域外管辖权的重要性和影响，世界各国意识到数据主权安全对国家安全的巨大意义，对此纷纷布局并出台各国的数据规则。
1.数据多种管辖冲突
近十年来，数据的主导权成为各方争夺数据资源的焦点。在数据所有权的博弈中，明确数据主权是确定一国对某一数据是否具有所有权力的前提。由于数据生成地与储存地之间的分割，数据所有者、存储者与使用者在地理上的分离，以及世界各国缺乏全面和统一的治理规则，因此极易导致在数据控制权和所有权方面的主权争端。
为维护和扩展本国利益、建立法理权威，各个国家和地区在抢占国际数据规则制高点的数据主权治理上选择了不同的模式与进路。美国和欧洲的数据主权战略属于“进攻型”，通过打造自身离岸“长臂管辖权”，允许跨越一国传统地域主权限制获取境外数据，将执法范围扩大到国界之外；中国、俄罗斯等新兴经济体的数据主权战略属于“防守型”，侧重于本地化解决冲突。由于发展中国家对国际贸易市场的过度依赖，欧盟和美国凭借自身技术、资源优势主导了贸易体系中的数据流动规则。“长臂管辖”在很大程度上改变了全球数据主权博弈的规则，同时也加剧了与他国在数据执法权及管辖权方面的冲突。这种制度安排不利于数据的双向流动和国家间的双边合作，也使得全球数据流通治理方面受到了约束。目前，我国数据主权制度的域外规制力较弱，数据管辖多限于单边管控，对强权国家和发达国家的管辖主张不足以进行有效应对。同时我国也缺乏区域间数据联合协作机制的保障，在数据域外管辖中容易遇到冲突和壁垒。
2.强国数据霸权
在新兴的数字技术领域的发展下，近年来迅速扩张的美国霸权已成为他国数据主权安全的首要风险源。在美国掌握着相对数据垄断的权力下，在全球呈现出数据强国与其他国家之间权力不平衡。全球互联网用户多数分布于发展中国家，然而美国实行“单边主义”，利用其自身掌握的关键技术、优质资源及在数据流动中所产生的连锁效应，其影响力和吸引力在全球战略中极大扩增。从数据主权角度来看，美国推行数据霸权政策早在小布什执政时期就已开启，以“应对间谍活动”为由利用网络和卫星监控全球数据流，追踪特定目标并收集其他国家的情报，著名的“棱镜门”事件就是典型例证，严重侵犯他国的数据主权与安全。2018年美国颁布《澄清合法使用境外数据法案》，将美国“单边主义”数据主权模式延伸至全球范围，并通过输出意识形态带偏他国社会思潮来推行“网络霸权”，满足其数据治理主张。在美国网络霸权不断扩张背景下，美国数据权力依靠其保障而形成数据霸权，对全球他国的数据主权安全造成严重威胁。
构建和完善我国数据主权安全保障的建议
整体而言，在建立国家数据主权治理体系方面，一些重要环节还存在不足和安全隐患。基于国际政策框架和我国的实际需要，从我国数据主权安全面临的四个维度风险，来探讨数据主权安全保障对策，更有针对性地完善我国数据主权建设体系，捍卫数据主权安全。
（一）构建数据领土，保障数据生成与存储安全
在大数据时代的巨变中寻求发展和安全，需要广泛借鉴国际社会经验，数据主权国家应当积极建立新战略和新思维，秉持“对内建设数据强国，对外构建数据空间命运共同体的战略理念与政策主张”的目标。
考虑域外效应，注重同他国的规制体系衔接。在构建“数据领土”进行本地化存储的同时，还需要新思维和新的国家战略，既要考虑到国内数字经济的发展，也要对美欧数据主权战略加以掌握，兼顾到与国际规则相协调。尤其是在数据存储方面，在坚持数据本地化的基础上，我国应当充分考虑域外效应，注重同美欧等国数据管理规制体系的衔接、融合，以保障经济、技术发展和国际合作，提升我国在数据治理体系中的域外治理能力和话语权。
（二）完善法律体系，保障数据跨境流动安全
当前，在数字经济全球化的背景下，数据跨境流动成为推动其发展重要途径之一。与此同时，数据在跨境流动的过程中也存在一定的安全风险。法治是数据主权的重要原则，因此应形成更完善的对内与对外规制体系，以明确的、具体的法律法规对我国数据主权的法律地位进行保护，使得抽象、绝对的主权概念转为具体、相对的，保障在司法、执法实践中能够有法可依、有法必依。主要包括三个方面：
一是加强数据主权战略治理体系的顶层设计，积极构建数据主权的国内法体系。采取“由上至下”的视角，全方位审视国家数据主权的权力内容、形式、维度和数据资源类型需求，尽量避免出现问题后再出台法律法规进行弥补的情况，尽早构建适用于我国国情的数据主权战略体系。《网络安全法》《数据安全法》等顶层法律制度的实施，在很大程度上为构建我国数据主权体系做好了奠基，但还欠缺和其相辅相成、互相配合的相应法律条例。
三是形成国际合作“白名单”机制，反制强国的数据霸权行为。我国出台的《个人信息保护法》《数据安全法》和《反外国制裁法》规定了针对境外非法数据转移的法律责任，及应对他国针对我国歧视性的禁止和限制所采取的反制措施。与此同时，上述法律的施行均需要行政法规的配合和落实。此外，可参考国际通行做法，梳理我国跨境公司及企业数据出境的主要目的地和现实场景，形成国际合作“白名单”机制，以防范数据强国通过跨国公司及企业侵犯我国的数据主权安全。
（三）发展核心技术，保障数据分析与利用安全
其次，强化网络技术的应对及防御能力，形成国家数据主权安全防御力量。建立数据安全加密体系，通过各类安全防护手段强化自身能力建设，提升网络保护水平和防御度，推动产业应用，在数据保密、防泄露等安全核心技术领域制定一系列保障措施，提升国家应对数据安全事件的处置能力，维护我国的数据主权安全。
最后，进一步拓展人才培养体系。高精尖的科学技术发展与数据人才的培养密不可分，应当高度重视数据安全领域专门人才的培养，进一步完善大数据及数据安全领域人才的培养机制，满足我国对顶级数据人才的需求。开辟符合数据核心技术的数据采集、处理和挖掘等专业领域，探索和推动中国数据安全领军人才的选拔和培养，发展前沿数据技术，培养复合型网络数据安全的高素质人才。
（四）寻求国际合作，保障全球数据治理环境安全
由于互联网空间具有无边界性的特性，尽管数据主权强调国家在数据层面的绝对性和排他性权力，但是在高度全球化的时代背景下，没有国家能完全独立于其他国家行使自己的数据主权，更不可能独自承担维护世界网络空间有序发展的重要责任。因此，中国作为数据体量增长最快的行为主体之一，应当注重开展广泛的国际对话，形成多边合作关系，破除僵化的单打独斗模式而转化为彼此依赖的网络空间命运共同体的关系。
坚持“数据命运共同体”理念，搭建多方合作框架。针对数据主权安全问题，我国倡导和坚持“数据命运共同体”理念，推动达成全球数据主权安全理念的共识，在与他国达成尊重彼此主权基础上兼顾“多利益攸关方”原则，使各国平等、开放地展开国际合作，促进“一带一路”沿线各国的合作，在经济发展优势下加强多边关系下的国际数据流动合作，在利用数据产业价值的同时保护各国国家数据主权安全。在积极引导建立包括更多主权国家诉求的新网络空间治理框架下，积极宣传并推动“网络命运共同体”“数据主权安全”等公平、规范的立场，反对数据霸权主义，在联合国的框架下尽早构建一个有序、规范、协调的全球数据主权安全保障体系框架。
注重构建新型大国关系，推广数据主权国际合作和安全保障的中国方案。在数字经济的新态势下，针对数据强国抢占国际数据资源以维系数据霸权的动态，我国需对美欧数据主权战略加以掌握。在全球竞争格局重组及数字经济的新态势下，美欧既是我国最大的合作伙伴，也是我国最大的竞争对手。在如今强调合作共赢的非传统安全领域，数据强国基于传统安全思维的单边主义必将受到挑战。我国应当通过首脑峰会等契机，与美国等数据强国建立战略互信，建立成熟、稳效的新型大国关系和国际体系大框架。