馬 光 卜小翠
內容提要:在國際貿易法框架下,金融信息傳送規(guī)則中最核心的“金融信息傳送”條款源起于烏拉圭回合一攬子協(xié)定中《關于金融服務承諾的諒解》中的“信息傳送和信息處理”條款,后在各FTA中也相繼出現(xiàn)。數(shù)字經濟背景下,對跨境數(shù)據(jù)流動規(guī)制的關注開始集中于電子商務和數(shù)字貿易領域,“金融信息傳送”條款也因此在近年來的FTA中被電子商務或數(shù)字貿易的跨境信息傳送規(guī)則所吸收。然而一體化規(guī)制方法仍然存在許多基礎性問題待解決,應當謹慎看待?,F(xiàn)階段,“金融信息傳送”條款已經發(fā)展出了“金融信息傳送自由原則+個人數(shù)據(jù)、個人隱私、個人記錄和賬戶機密性例外+有限度的監(jiān)管例外”的基本結構,并在數(shù)據(jù)本地化問題下衍生出了“金融服務計算設施所在地規(guī)則”。中國應在堅持數(shù)據(jù)主權立場的基礎上,升級FTA金融信息傳送規(guī)則,從國際規(guī)則遵守者向國際規(guī)則制定者轉變,以期維護本國在金融服務領域和數(shù)字科技領域的進攻利益。
全球數(shù)字化背景下,跨境數(shù)據(jù)流動成為推動全球經濟發(fā)展的重要力量。麥肯錫全球研究院2016年的報告指出:“實物商品和資金的流動曾是20世紀全球經濟的標志,但如今這些流動已經趨于平緩或下降。21世紀的全球化越來越被數(shù)據(jù)和信息流所定義。數(shù)據(jù)和信息流幾乎支撐了傳統(tǒng)貿易中的所有跨境交易,同時在世界各地傳遞著思想和創(chuàng)新?!?1)See Mckinsey Global Institute,Digital globalization: The new era of global flows,Report(Feb.24,2016),available at https://www.mckinsey.com/business-functions/mckinsey-digital/our-insights/digital-globalization-the-new-era-of-global-flows,last visited on May 2,2022.跨境數(shù)據(jù)流的驚人增長和潛在經濟效益已經引起了全球監(jiān)管者對跨境數(shù)據(jù)流動規(guī)制的廣泛關注。從實踐來看,國際社會目前的共識是:貿易協(xié)定是管理跨境數(shù)據(jù)流的適當場所。因為當信息跨境流動時,這些流動似乎基本上與貿易相關。(2)See Susan Ariel Aaronson, Data Is Different,So Policymakers Should Pay Close Attention to Its Governance,in Mira Burri ed.,Big Data and Global Trade Law,Cambridge University Press,2021,p.342.
國際貿易法對跨境數(shù)據(jù)流動的關注最早出現(xiàn)在電信、金融等特定服務部門。其中,以烏拉圭回合一攬子協(xié)定中《關于金融服務承諾的諒解》(以下簡稱為《諒解》)(3)值得說明的是,《諒解》與《服務貿易總協(xié)定金融服務附件》(以下簡稱為《GATS金融服務附件》)為兩個不同的法律文件,《GATS金融服務附件》屬于GATS的一部分,而《諒解》不是GATS的一部分,但被附加到烏拉圭回合的最后文件中。中國未簽署《諒解》。的“信息傳送和信息處理”條款最為典型。根據(jù)《諒解》,以經濟合作與發(fā)展組織(以下簡稱OECD)成員國為主的34個世界貿易組織(以下簡稱為WTO)成員自愿作出更高水平的金融服務開放承諾,且此類承諾按照最惠國待遇適用于所有WTO成員。(4)See Chantal Thomas,Globalization in Financial Services—What Role for GATS, 21 Annual Review of Banking Law 323,324(2001),轉引自楊幸幸:《〈美墨加協(xié)定〉金融服務規(guī)則的新發(fā)展——以GATS與CPTPP為比較視角》,載《經貿法律評論》2019年第4期。隨著電子商務和數(shù)字貿易的日漸興起,一方面,由于WTO在制定規(guī)則以應對世界經濟中與數(shù)據(jù)相關的變化上停滯不前,世界主要經濟體逐漸轉向以自由貿易協(xié)定(以下簡稱為FTA)作為規(guī)則升級的主要平臺,《諒解》金融信息傳送條款也隨之被眾多高標準FTA所吸收;另一方面,自《美國—韓國FTA》首次在電子商務章節(jié)納入跨境信息流動條款后,對跨境數(shù)據(jù)流動規(guī)制的關注開始集中于電子商務和數(shù)字貿易領域,并在近年來的FTA中呈現(xiàn)了跨境信息傳送一體化規(guī)制的趨勢。(5)《澳大利亞—新加坡數(shù)字經濟協(xié)定》(以下簡稱為ASDEA)、《美國—日本數(shù)字貿易協(xié)定》(以下簡稱為USJDTA)及《WTO電子商務談判合并文本》(以下簡稱為《合并文本》)、《歐盟—澳大利亞/新西蘭貿易協(xié)定》談判中歐盟方面提交的初始文本皆采取了此種安排。由此提出的問題是:金融信息傳送是否還有單獨規(guī)制的必要。
當前,除《區(qū)域全面經濟伙伴關系協(xié)定》(以下簡稱為RCEP)外,中國已簽署的16個FTA皆未規(guī)定金融信息傳送條款。(6)中國與毛里求斯、韓國、澳大利亞、新加坡、智利的FTA中單設電子商務章節(jié),但電子商務章節(jié)也未設置信息傳送相關條款。關于我國已簽訂FTA金融信息傳送規(guī)則設置情況請參見表1。就文本而言,這些FTA仍有較大完善空間。鑒于我國已基于RCEP條款承諾金融信息傳送,跨境金融數(shù)據(jù)流動議題也已在不同程度上為各處于磋商階段的區(qū)域及雙邊經貿協(xié)定所觸及,深化對該條款的探究,提出關于中國在該議題上的主張的建議具有突出現(xiàn)實意義。
表1 中國已簽訂FTA金融信息傳送規(guī)則設置情況匯總表
有鑒于此,本文將分析梳理FTA金融信息傳送規(guī)則的發(fā)展脈絡,進而結合各國治理動向,揭示各國數(shù)據(jù)治理日漸趨同的現(xiàn)象,并深入探析金融信息傳送規(guī)則的邏輯構建。在此基礎上,本文將根據(jù)中國的基本立場,詳細擘畫中國應采取何種條款表達。
金融服務的提供與金融信息密不可分。系統(tǒng)來看,F(xiàn)TA對金融信息傳送問題的規(guī)制主要包括三部分。
一是以金融服務定義條款為基礎的金融信息傳送承諾。涉及金融服務內容的FTA大多沿襲了GTAS對金融服務的范圍界定:“金融服務包括提供和傳送其他金融服務提供者提供的金融信息、金融數(shù)據(jù)處理和相關軟件的活動?!币布?,如有關國家在金融服務類別下進行了承諾,則須保證相應的金融信息傳送可實現(xiàn)。如《新西蘭—新加坡更緊密經濟伙伴關系協(xié)定》規(guī)定:“跨境提供模式的承諾僅限于:提供和傳送上文(k)段所述的金融信息和金融數(shù)據(jù)處理……不包括中介服務?!薄俄n國—新加坡FTA》承諾:“外國銀行的新加坡分行可以將數(shù)據(jù)傳送到其總部和姐妹分行進行處理,前提是存在適當?shù)目刂拼胧?,?shù)據(jù)/信息的完整性和保密性得到保障,并且允許新加坡金融管理局在處理數(shù)據(jù)/信息的地方現(xiàn)場訪問數(shù)據(jù)/信息?!蔽覈谥许n、中澳等多個FTA中承諾了“跨境提供”方式下開放“提供和傳送金融信息、金融數(shù)據(jù)處理以及與其他金融服務提供者有關的軟件”。美國在與新加坡、智利等國的FTA中也都承諾了此類信息傳送。
二是專門以金融信息處理和傳送為內容的條款,也即本文重點探討的金融信息傳送條款。除《諒解》以外,《新加坡—澳大利亞FTA》最早采納了類似的明確規(guī)定:“任何一方均不得阻止信息傳送,包括通過電子方式傳送數(shù)據(jù),保護個人數(shù)據(jù)的限制除外?!薄睹绹录悠翭TA》也納入了這一規(guī)定的軟化版:“根據(jù)任何一方的要求,金融服務委員會應考慮與以下事項有關的任何事項:(a)金融機構以電子或其他形式將信息轉入或轉出一方的領土,如該等數(shù)據(jù)處理是日常經營所需的;(b)在處理和傳播個人數(shù)據(jù)方面保護個人隱私,以及保護個人記錄和賬戶的機密性。”《印度—新加坡全面經濟合作協(xié)定》《哥倫比亞—歐洲自由貿易聯(lián)盟成員國FTA》《日本—瑞士FTA》及其后的諸多雙邊、多邊FTA都在金融服務規(guī)則部分設置了該條款。
三是作為限制的“特定信息的處理”條款。該條款以傳統(tǒng)金融信息保密要求為基礎。比較典型的如《以色列—哥倫比亞FTA》規(guī)定:“本協(xié)定中的任何內容均不得解釋為要求一方披露與個人數(shù)據(jù)、個人客戶事務和賬戶有關的信息,或公共實體擁有的任何機密或專有信息?!鳖愃频兀陡鐐惐葋啞湍民RFTA》規(guī)定:“1.本章的任何規(guī)定均不要求一方披露或允許訪問:(a)金融機構或跨境金融服務提供者的個人客戶的財務和賬戶相關信息;或(b)披露可能會妨礙遵守法律或以其他方式違反公共利益或損害特定公司的合法商業(yè)利益的任何機密信息。2.在不影響雙方監(jiān)管機構簽署的諒解備忘錄的情況下,為合并監(jiān)管目的,雙方承諾不禁止子公司及在其境內設立的子公司將信息傳遞給母公司所在地監(jiān)管機構。前款所稱信息包括反映子公司或子公司財務狀況的信息,包括其資產、風險管理和公司治理情況的信息?!薄都幽么蟆n國FTA》《新加坡—澳大利亞FTA(升級版)》《歐盟—墨西哥現(xiàn)代化全球協(xié)定》也都包含了禁止要求披露保密信息的規(guī)則。
從特別承諾到金融信息傳送條款的發(fā)展可以視作金融信息傳送領域的負面清單化,反映了全球數(shù)字化經濟語境下的貿易規(guī)則調適。同時,在這一背景下仍然可以看到金融發(fā)達國家與金融欠發(fā)達國家間金融開放水平的巨大差異:約有71個FTA文本包含金融信息傳送相關內容,而明確設有信息處理或信息傳送條款的不到半數(shù),且締約方主要為美國、歐盟、新加坡、澳大利亞、加拿大、日本、韓國。(7)參見瑞士盧塞恩大學對貿易協(xié)定中電子商務和數(shù)字貿易條款數(shù)據(jù)庫的粗略統(tǒng)計,載https://www.unilu.ch/en/faculties/faculty-of-law/professorships/managing-director-internationalisation/research/taped/#:~:text=The%20TAPED%20dataset%20has%20been%20created%20under%20the,is%20sponsored%20by%20the%20Swiss%20National%20Science%20Foundation,最后訪問時間:2022年5月2日。此外,盡管歐盟和美國通常被視為跨境數(shù)據(jù)流動規(guī)制的兩大規(guī)則制定者,但在金融信息傳送領域,新加坡似乎脫穎而出,這也與新加坡高度依賴國際金融的發(fā)展模式相符。
1.現(xiàn)有FTA金融信息傳送條款結構演變
FTA金融信息條款的規(guī)則結構演變,分為金融服務規(guī)則內單獨規(guī)制和跨境信息傳送一體化規(guī)制兩個階段。
第一階段單獨規(guī)制以《全面與進步跨太平洋伙伴關系協(xié)定》(以下簡稱為CPTPP)、《美國—墨西哥—加拿大協(xié)定》(以下簡稱為USMCA)、RCEP三大多邊FTA為代表?!墩徑狻贰靶畔魉秃托畔⑻幚怼睏l款確立了“金融信息傳送自由原則+個人數(shù)據(jù)、個人隱私、個人記錄和賬戶機密性例外”的基礎規(guī)則結構。CPTPP金融服務附件的“信息傳送”條款在此基礎上增加了“基于審慎考慮,要求一金融機構事先獲得相關監(jiān)管機構的授權,以指定一特定企業(yè)作為此類信息的接收方”的國家監(jiān)管權內容。USMCA金融服務章節(jié)的“信息傳送”條款將“日常經營所需”限定改為“在許可、授權或注冊范圍內從事經營”限定,增強了規(guī)則明確度,并在實質上進一步增加了國家監(jiān)管權的內容。但CPTPP及USMCA均未在“信息傳送”條款中明確提及國家監(jiān)管權,盡管“例外”條款包含“審慎監(jiān)管例外”,但文本表達限定較多,因而在金融信息傳送問題上還是呈現(xiàn)私主體本位的高度自由化理念。
與上述兩個美式多邊FTA不同,RCEP金融服務附件“信息傳送與信息處理”條款轉向了國家本位的數(shù)據(jù)主權理念。該條首先明確了尊重各國國內監(jiān)管要求的條約立場,其規(guī)則結構可以概括為“符合國內法要求的金融信息傳送自由”。目前明確列出的兩項要求包括傳統(tǒng)的“保護個人數(shù)據(jù)、個人隱私,以及個人記錄和賬戶機密性”及頗受爭議的“遵守與數(shù)據(jù)管理、存儲和系統(tǒng)維護、保留在其領土內的記錄副本相關的法律和法規(guī)”。但從條約解釋角度,國家可采取的監(jiān)管要求并不限于該兩項,因此給各締約國留下了較大空間。究其原因,一方面,RCEP作為目前全球最大的FTA,因為各締約方金融開放程度差異較大,所以在信息傳送條款上也呈現(xiàn)出包容性特征。另一方面,以國家傳統(tǒng)主權邊界為中心的網絡主權與數(shù)據(jù)主權論近年來得到愈來愈多的支持?!吨袊獤|盟關于建立數(shù)字經濟合作伙伴關系的倡議》提出,“在考察各國法律與社會實際基礎上,充分尊重網絡主權”,“推動建立多邊、民主、透明的全球網絡空間命運共同體”。網絡主權理論的興起,在國際政治格局上,以后發(fā)國家在網絡空間的話語權提升為背景,在當代國際法上,則顯示出國家主權在國際社會治理中的絕對核心地位仍不可撼動。在此演化趨勢下,網絡空間的數(shù)據(jù)已經轉變成為一種戰(zhàn)略資源,并將構成一種全新的國家權力要素。(8)See Brad Brown,Michael Chui & James Manyika,Are you Ready for the Era of “Big Data”,4 McKinsey Quarterly 24,34(2011),轉引自沈逸:《全球網絡空間治理與金磚國家合作》,載《國際觀察》2014年第4期。有學者在對亞太地區(qū)的研究中指出:“(信息)國際傳送限制在某些方面可以支持國內經濟發(fā)展,同時也可以作為復雜貿易談判和地緣政治定位的杠桿?!?9)See Clarisse Girot,Mark Parsons & Olga Ganopolsky,Data Transfers After Schrems II: Reflections from the Asia Pacific,Cross-border Data Forum(Jan.21,2021), available at https://www.crossborderdataforum.org/data-transfers-after-schrems-ii-reflections-from-the-asia-pacific/,last visited on May 7,2022.
跨境信息傳送一體化規(guī)制以ASDEA為代表。全球數(shù)字競爭格局下,美歐之外的經濟體也開始在國際經貿規(guī)則變革中發(fā)力。ASDEA將金融信息跨境傳送納入第23條“以電子方式跨境傳送信息”條款中統(tǒng)一規(guī)制,不再單列。第一,該條首先承認各締約方對信息傳送有其各自的監(jiān)管要求,融合了國家本位的規(guī)制理念。第二,該條以跨境信息傳送總體自由為原則(包括個人信息跨境傳送自由),同時沿襲了主流“目的限定”而非USMCA“經營范圍限定”的做法。第三,該條對國內監(jiān)管進行了嚴格的手段和限度限定:“各國為實現(xiàn)公共政策目標,有權采取或維持與前款要求不一致的措施,但該措施必須:(a)未以構成任意或不合理歧視手段或變相限制貿易的方式實施;以及(b)不會對信息傳送施加超過實現(xiàn)目標所需的限制?!辈豢煞裾J,實際上監(jiān)管例外能夠符合上述所有條件并非易事。(10)參見馬光:《論國際法上網絡安全的定義和相關國際規(guī)則的制定》,載《中國政法大學學報》2019年第3期。因此,ASDEA第一款雖然與RCEP表達類似,但效果完全不同,僅是一種調和式的立場宣示。而對于傳統(tǒng)的“個人數(shù)據(jù)、個人隱私,以及個人記錄和賬戶機密性”內容,ASDEA單列了“個人信息保護”條款進行保護,并將其置于“以電子方式跨境傳送信息”條款之前,從而將個人信息保護提高到與跨境信息傳送同等地位,不再作為例外事項。
2.現(xiàn)有FTA金融信息傳送條款呈現(xiàn)的問題
總體來看,當前諸FTA金融服務規(guī)則異質化程度高,金融信息傳送條款用語不統(tǒng)一,(11)當前國際層面“數(shù)據(jù)”與“信息”的內涵差異尚未完全厘清。大部分FTA使用“信息傳送”作為條款名稱,但也存在一些FTA使用“數(shù)據(jù)處理、數(shù)據(jù)跨境流動”等表述,目前沒有條款對金融信息、數(shù)據(jù)流動或信息傳送等用語進行法律界定,不同的用語是否會引起規(guī)制范圍不同從而使法律效果不同還有待觀察。規(guī)制邏輯也尚未完全梳理清晰,在數(shù)據(jù)本地化與金融信息傳送的關系處理上尤是如此。自USMCA在“金融信息傳送”條款后一條設置了“計算設施的位置”條款后,USJDTA、ASDEA、《英國—日本全面經濟伙伴關系協(xié)定》(以下簡稱為UKJCEPA)、《合并文本》也都引入了這一規(guī)則。計算設施所在地條款可以看作自由主義理念“禁止數(shù)據(jù)本地化”追求下的規(guī)則軟化處理,與雷曼兄弟破產案后美國財政部、聯(lián)邦證券交易委員會等金融監(jiān)管機構考慮在FTA中保留金融數(shù)據(jù)存儲和處理本地化要求的政策空間和美國金融產業(yè)界追求數(shù)據(jù)自由流動利益間的沖突博弈不無相關。(12)參見前引〔4〕,楊幸幸文。曾有解讀指出,USMCA的規(guī)定與CPTPP類似,但未規(guī)定可出于審慎考慮要求事先獲得監(jiān)管機構授權,以指定特定信息接收方。(13)參見朱雋:《CPTPP規(guī)則解讀之四:金融服務規(guī)則》,載微信公眾號“國際經濟法評論”,2021年9月22日。該觀點顯然忽視了“金融信息傳送”條款與“計算設施所在地”條款的緊密關聯(lián),CPTPP的注釋中明確指出:一方可采取或維持不違反本協(xié)定的措施,包括符合“例外”條款的任何措施,例如一項措施要求一金融實體事先獲得金融監(jiān)管機構的授權,指定特定企業(yè)作為該信息的接收人。但從另一個方面,這也是FTA金融信息傳送條款邏輯不清的例證。歐盟—澳大利亞、歐盟—新西蘭貿易協(xié)定談判中,歐盟提交的初步文本(以下簡稱為《初步文本》)對此呈現(xiàn)得更為明顯:一體化規(guī)制趨勢下,《初步文本》同樣未在“服務與投資”章下的金融服務一節(jié)納入信息傳送條款,而在“數(shù)字貿易”一章中統(tǒng)一規(guī)制,但其“跨境數(shù)據(jù)流動”條款卻以大篇幅闡明禁止本地化要求,根據(jù)該條規(guī)定,“締約方承諾確保跨境數(shù)據(jù)自由流動,以促進數(shù)字經濟中的貿易”,“為此,雙方之間的跨境數(shù)據(jù)流動不應受到以下限制:a)要求在締約方境內使用計算設施進行處理,包括強制使用在締約方境內認證或批準的計算設施;b)要求在締約方境內對數(shù)據(jù)進行本地化,以便存儲或處理;c)禁止在另一方境內儲存或加工;d)根據(jù)締約方境內計算設施的使用情況或締約方境內的本地化要求,進行跨境數(shù)據(jù)傳送”。該條款的邏輯性值得商榷。
USJDTA、ASDEA兩個數(shù)字經濟協(xié)定對金融信息傳送條款的性質及其規(guī)則結構進行了重構。傳統(tǒng)金融信息傳送條款置于金融服務章節(jié),其定性和范圍仍然限于“服務”;USJDTA、ASDEA將金融信息傳送納入數(shù)字貿易、數(shù)字經濟章節(jié),并將范圍限于“通過電子手段”,此時金融信息傳送不再作為“金融服務”的內容,而是“信息/數(shù)據(jù)流動”的內容,服務和商品的定性界分被模糊,承諾的范圍形式、法律后果都較傳統(tǒng)WTO語境不同。當前國際社會較普遍地認為數(shù)字經濟協(xié)定是經濟聯(lián)盟的新趨勢或新階段,(14)See Yaroslav Lissovolik,Digital Economy Agreements: The New Phase in Economic Alliances,Valdai Discussion Club(Feb.10,2021),available at https://valdaiclub.com/a/highlights/digital-economy-agreements-the-new-phase/,last visited on May 7,2022; Shen Yi, Digital Agreements: New Trends in International Alliances, Valdai Discussion Club(Apr.27,2021),available at https://valdaiclub.com/a/highlights/digital-agreements-new-trends-in-international-all/,last visited on May 7,2022.但目前尚缺乏對核心概念的一致定義,不同協(xié)定使用的術語及涉及的方面也不同。ASDEA、DEPA使用“數(shù)字經濟”,USJDTA、USMCA使用“數(shù)字貿易”,CPTPP、RCEP則使用“電子商務”。(15)目前世界上尚無普遍得到認可的電子商務和數(shù)字貿易定義,實際上兩個概念在多數(shù)情況下得以混用。例如,從美國所發(fā)起或簽訂的FTA 來看,USMCA 之前的FTA 均采用了“電子商務”的用詞,而在USMCA 中,在內容幾乎相同的情況下,“電子商務”章節(jié)名稱更名為“數(shù)字貿易”。參見馬光:《國際數(shù)字貿易規(guī)則的主要議題研究》,載《四川行政學院學報》2020年第2期。此外,在“信息/數(shù)據(jù)”項下,協(xié)定對數(shù)據(jù)分類和平臺類型予以進一步考量,監(jiān)管中國內各部門間的協(xié)調、國家安全和敏感性問題、對文化敏感的解釋和適用問題以及國內登記和分類問題也都值得進一步思考。與之相比,《合并文本》和《初步文本》直接將現(xiàn)有信息傳送條款的內容合并至電子商務章節(jié)的做法則更欠缺邏輯性。UKJCEPA未改變“金融信息傳送”從屬于“金融服務”的定性,并將條款名稱改為“金融信息”,在其中納入“金融信息傳送自由原則”“個人數(shù)據(jù)、個人隱私以及個人記錄和賬戶機密性例外”“金融服務計算設施所在地規(guī)則”的處理方式是目前為止保守路徑下最完善且邏輯自洽的做法。最新FTA金融信息傳送條款設置情況的對比請參見表2。
表2 最新FTA金融信息傳送條款設置情況對比
1.美、新、英追求金融信息傳送自由化
美國、新加坡、英國在金融信息傳送自由化立場上旗幟鮮明,基本都遵循“金融信息傳送自由原則+個人數(shù)據(jù)、個人隱私、個人記錄和賬戶機密性例外+嚴格受限的監(jiān)管例外+計算設施本地化規(guī)則”的規(guī)制邏輯。這與保護本國金融行業(yè)進攻利益的需求不謀而合。根據(jù)2021年9月24日發(fā)布的第30版全球金融中心指數(shù)報告,紐約在各金融城中位列第一,倫敦位列第二,香港第三,新加坡第四。前20中共有6座美國城市。(16)See The Global Financial Centres Index 30,p.4.就英國而言,金融服務業(yè)一直是其老牌支柱產業(yè):英國是世界第二大投資管理中心、歐洲最大的保險和長期儲蓄提供商,每14名英國勞動者中就有1人從事金融和相關專業(yè)服務工作。英國脫歐后,在金融監(jiān)管上擁有了更大的自主權和靈活度,并有機會重新審視其數(shù)據(jù)流動規(guī)制方案。2020年11月9日,時任英國財政大臣里?!ぬK納克在下議院發(fā)表聲明稱希望“恢復英國作為世界卓越金融中心的地位”。(17)See Rishi Sunak,A New Chapter for Financial Services,July 2021,available at https://www.gov.uk/government/publications/a-new-chapter-for-financial-services,last visited on May 7,2022.目前英國政府已經與新加坡達成新的金融服務伙伴關系以確保更大的信息共享,并與美國成立了金融監(jiān)管工作組,在歐洲經濟區(qū)國家的金融服務監(jiān)管中授予了一系列等價保護決定。可以預見,在金融業(yè)數(shù)字化轉型中,美、新、英三國將會有更緊密和深入的合作。
不過,正如前述,盡管都持金融信息傳送自由化立場,英國的規(guī)制路徑又較美新更為保守。從近年簽訂的FTA來看,美新都意圖在數(shù)字經濟領域的規(guī)則制定上先發(fā)制人,金融信息問題作為數(shù)字經濟中信息/數(shù)據(jù)問題的一部分,其所蘊含的國內政策導向是金融領域的全面數(shù)字化。也即,相較于金融業(yè)這一國民經濟部門,美新都更關注數(shù)字經濟這一發(fā)展模式。而英國目前看來,依舊專注于金融業(yè)本身。英式FTA(UKJCEPA及英國在WTO電子商務談判中提供的規(guī)則文本)在“金融服務計算設施所在地規(guī)則”下增加了相當務實的“外部云服務企業(yè)同等適用”規(guī)則,增加這一規(guī)則的背景是英國本土乃至歐洲都缺乏有競爭力的云服務提供者,歐洲企業(yè)、公共當局大多采用美國云服務提供者為其提供數(shù)據(jù)服務。但明確設置“外部云服務企業(yè)同等適用”規(guī)則也不免傳達出這樣一種信號:相較于擔憂本國缺乏有競爭力的本地云服務提供者,英國更關心如何使本地云服務提供者的缺乏不至影響其跨境金融服務的競爭力。
2.歐盟在構建數(shù)據(jù)競爭力目標下的立場變化
與美、新、英不同,歐盟并未對金融領域及金融信息傳送特別關注。較早的兩個FTA中的金融信息傳送條款設置完全體現(xiàn)了歐盟在個人權利保護上的突出立場?!稓W盟—韓國FTA》在金融服務分節(jié)的“數(shù)據(jù)處理”條款中特別約定:“各方重申其保護個人基本權利和自由的承諾,應采取適當?shù)谋U洗胧┍Wo隱私,特別是在個人數(shù)據(jù)傳送方面?!辈⑦M一步注明,這一承諾所保護的個人基本權利和自由是指《世界人權宣言》、聯(lián)合國《計算機處理的個人數(shù)據(jù)文檔規(guī)范指南》以及OECD《隱私保護與個人數(shù)據(jù)跨國流通指南》中規(guī)定的權利和自由?!稓W盟—加拿大全面經濟貿易協(xié)定》規(guī)定:“各方應有充分的保障措施,以保護隱私,尤其是在個人信息傳送方面。如果金融信息的傳送涉及個人信息,則此類傳送應符合傳送發(fā)起方所在地區(qū)的個人信息保護立法?!睔W盟的人權敘事在數(shù)據(jù)規(guī)制議題上搶占了先機,但負面影響也顯而易見。一個簡單的等式是:數(shù)據(jù)越多,算法就越智能。對個人數(shù)據(jù)保護的偏重將不可避免地限制金融機構在經營分析、精準營銷等方面的智慧化能力,從而影響歐盟區(qū)銀行業(yè)數(shù)字化轉型步伐。(18)參見李夢宇:《國際金融業(yè)數(shù)據(jù)治理特征與啟示》,載《清華金融評論》2021年第5期。
2020年,歐盟接連發(fā)布《歐洲數(shù)據(jù)戰(zhàn)略》《歐洲數(shù)字主權》等文件,以期構建歐洲數(shù)字單一市場,維護其全球經濟影響力和地緣政治影響力。在《歐洲數(shù)據(jù)戰(zhàn)略》的導向下,歐盟在《歐盟—英國貿易與合作協(xié)定》及其他正在談判的經貿協(xié)定中均將跨境數(shù)據(jù)流動內容統(tǒng)一放到了獨立的電子商務章節(jié)(過去歐盟FTA習慣將電子商務和服務章節(jié)放在一起),并從強調個人信息保護轉向強調禁止數(shù)據(jù)本地化。這一轉向不可謂不突兀。事實上,施雷姆斯第二案(19)歐盟法院在本案中認為美國的監(jiān)控立法違反了《歐盟基本權利憲章》,也沒有為歐盟個人提供有效的司法救濟,因此歐美之間的“隱私盾”協(xié)議無效。詳細案件內容可參見https://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=en。后,歐盟內部本地化趨勢大大加強,歐洲數(shù)據(jù)保護委員會于2020年11月11日發(fā)布的兩份文件《歐洲監(jiān)督措施基本保證草案》和《補充措施建議》都招致了數(shù)據(jù)傳送規(guī)則過于嚴苛的批評,被認為“將導致嚴格的數(shù)據(jù)本地化,給歐盟和美國的企業(yè)帶來許多重大問題”(20)Testimony by Peter Swire at the U.S.Senate Commerce Committee Hearing “The Invalidation of the EU-U.S.Privacy Shield and the Future of Transatlantic Data Flows” on December 9,2020,available at https://www.crossborderdataforum.org/testimony-by-peter-swire-at-the-u-s-senate-commerce-committee-hearing-on-the-invalidation-of-the-eu-u-s-privacy-shield-and-the-future-of-transatlantic-data-flows/,last visited on Nov.11,2021.。另外,歐盟委員會于2020年9月發(fā)布的關于《金融部門數(shù)字運營彈性監(jiān)管的草案》區(qū)分了在歐盟設立的信息通信技術(以下簡稱為ICT)服務提供者和在歐盟沒有商業(yè)存在的ICT服務提供者,并對使用此類第三國ICT提供商提出若干限制,如歐盟的金融實體不得使用在歐盟沒有商業(yè)存在的公司為其提供關鍵的ICT服務。2021年歐盟各國的數(shù)據(jù)保護監(jiān)管機關還啟動了多起關于歐盟機構繼續(xù)使用美國云服務和軟件服務是否合法的調查,并暫停了部分合作。雖然歐盟的對外立場不斷呈現(xiàn)出向自由化靠攏的趨勢,但考慮到數(shù)據(jù)自由流動將進一步拉大其與美國的數(shù)字差距,歐盟似乎正在積極尋求國內監(jiān)管手段以平衡該等態(tài)勢。
我國在跨境數(shù)據(jù)流動問題上的立場轉向以2016年《網絡安全法》的出臺為分界線。2016年之前,我國對于跨境數(shù)據(jù)流動問題關注不多,且對金融監(jiān)管持絕對審慎態(tài)度,2011年1月《中國人民銀行關于銀行業(yè)金融機構做好個人金融信息保護工作的通知》明確確立了個人金融數(shù)據(jù)原則上禁止出境的基本方向。2016年后,尤其是近兩年來,隨著數(shù)據(jù)價值的不斷凸顯,我國內外政策都開始向促進數(shù)據(jù)自由流動方向發(fā)展。國內法層面,《個人信息保護法》《數(shù)據(jù)安全法》、國家互聯(lián)網信息辦公室《數(shù)據(jù)出境安全評估辦法》已經確立了金融數(shù)據(jù)“滿足數(shù)據(jù)安全監(jiān)管要求即可出境”的監(jiān)管框架。具體到金融相關立法,2020年修訂的《中國人民銀行金融消費者權益保護實施辦法》(以下簡稱《實施辦法》)刪除了原第33條對“向境外提供境內個人金融信息”的限制性規(guī)定。2020年《中國人民銀行關于發(fā)布金融行業(yè)標準做好個人金融信息保護技術管理工作的通知》(以下簡稱《通知》)的附件《個人金融信息保護技術規(guī)范》第7.1.3條(d)項雖然載明“因業(yè)務需要,確需向境外機構(含總公司、母公司或分公司、子公司及其他為完成該業(yè)務所必需的關聯(lián)機構)提供個人金融信息的,應當滿足四項具體要求”,但《個人信息保護法》并不禁止關鍵信息基礎設施運營者向境外提供個人信息,且其第38條還特別明確“中華人民共和國締結或者參加的國際條約、協(xié)定對向中華人民共和國境外提供個人信息的條件等有規(guī)定的,可以按照其規(guī)定執(zhí)行”。因此《個人金融信息保護技術規(guī)范》第7.1.3條(d)項更應被理解為管理性規(guī)范而非對“境外機構”范圍的限制性規(guī)范。
國際法層面,簽署RCEP、申請加入CPTPP已經向全球經濟體傳達出中國支持金融信息自由傳送的立場。實踐層面,當前全球數(shù)字經濟格局中,中美兩國參與數(shù)字經濟并從中受益的能力最強。(21)聯(lián)合國2021年數(shù)字經濟報告顯示,從參與數(shù)據(jù)驅動的數(shù)字經濟并從中受益的能力來看,美國和中國脫穎而出。全世界的超大規(guī)模數(shù)據(jù)中心有一半在這兩個國家,它們的5G普及率最高,它們占過去五年人工智能初創(chuàng)企業(yè)融資總額的94%,占世界頂尖人工智能研究人員的70%,占全球最大數(shù)字平臺市值的近90%。從發(fā)展數(shù)據(jù)來看,在金融服務領域,我國主要金融中心的發(fā)展前景良好,且在金融科技指數(shù)上表現(xiàn)強勁,但在營商環(huán)境上的競爭力并不強。(22)See The Global Financial Centres Index 30,pp.8-10.在云服務領域,阿里云非常適合處理中國或東南亞客戶的云優(yōu)先數(shù)字業(yè)務工作負載,有望成為印度尼西亞和馬來西亞等新興云市場所青睞的區(qū)域提供商;騰訊云是唯一在俄羅斯擁有業(yè)務地域并擁有核心基礎設施能力(計算、存儲和網絡)的超大規(guī)模云提供商,而且在網絡領域的能力尤為突出。但中國云服務廠商普遍全球發(fā)展動力不足。(23)See Raj Bala,Bob Gill,Dennis Smith,Kevin Ji & David Wright,Magic Quadrant for Cloud Infrastructure and Platform Services(Jul.27,2021),available at https://www.gartner.com/doc/reprints?id=1-271OE4VR&ct=210802&st=sb&_ga=2.98959896.742444110.1644673015-722388850.1644673015,last visited on Feb.13,2022.因此,從各個層面來看,確立金融信息傳送自由原則都有其現(xiàn)實必要性。
數(shù)據(jù)本地化與跨境數(shù)據(jù)流動間的關系一直頗有爭議。境內產生的數(shù)據(jù)在境外云服務器存儲必然伴隨著數(shù)據(jù)出境,因此允許境內產生的數(shù)據(jù)在境外存儲即意味著允許跨境數(shù)據(jù)流動,但反之并不亦然,要求數(shù)據(jù)在本地存儲并不妨礙境內主體將數(shù)據(jù)傳送給境外機構。目前國外學者對數(shù)據(jù)本地化措施的范圍界定還包含保留本地副本等間接或事實的本地化要求,(24)See James M.Kaplan & Kayvaun Rowshankish,Addressing the Impact of Data Location Regulation in Financial Services(May.22,2015),available at https://www.cigionline.org/static/documents/no14_web_0.pdf,last visited on May 7,2022;IRSG report,How the trend towards data localisation is impacting the financial services sector(December 2020),available at https://www.irsg.co.uk/assets/Reports/IRSG_DATA-REPORT_Localisation.pdf,last visited on May 7,2022.進一步增強了數(shù)據(jù)本地化與數(shù)據(jù)跨境流動的可切割性。數(shù)據(jù)本地化要求與數(shù)據(jù)出境審核等國內監(jiān)管要求類似,屬于邊境后措施,而當前各FTA除USMCA及ASDEA外,對跨境金融數(shù)據(jù)流動自由化的承諾僅覆蓋到邊境措施。且從現(xiàn)實來看,越來越多的國家和地區(qū)正在針對更多的數(shù)據(jù)類型實施不同程度的本地化政策。從2017年到2021年,制定數(shù)據(jù)本地化政策的國家數(shù)量從35個增加到62個,全球數(shù)據(jù)本地化政策的總數(shù)從67個增加到144個(未包括正在制定的數(shù)十個)。其中,采取金融領域數(shù)據(jù)本地化措施的例子有:(1)盧森堡金融業(yè)監(jiān)管委員會2012年12/552號通知規(guī)定,除非獲得明確同意,金融機構必須在盧森堡境內處理數(shù)據(jù);(2)2013年2月21日俄羅斯銀行第397-P號條例“關于電子數(shù)據(jù)庫的創(chuàng)建、維護和存儲程序”要求所有“信用機構”將所有數(shù)據(jù)存儲在本地;(3)土耳其銀行監(jiān)管局2020年發(fā)布《銀行信息系統(tǒng)條例》,加強了銀行和金融服務機構將其主要(實時/生產數(shù)據(jù))和次要(備份)信息系統(tǒng)保留在國內的規(guī)定;(4)印度證券交易委員會2020年發(fā)布了一份與網絡安全相關的通知,要求金融機構確保對關鍵系統(tǒng)的完整保護和無縫控制,同時將關鍵數(shù)據(jù)保持在印度的法律框架內;(5)韓國2016年修訂了《電子金融交易監(jiān)管條例》,允許金融公司使用云服務,但金融服務委員會特別要求在位于韓國的服務器上維護此類數(shù)據(jù);(6)智利金融監(jiān)管機構2020年發(fā)布了銀行業(yè)標準的更新匯編,要求在智利保存“重要”或“戰(zhàn)略性”外包數(shù)據(jù)。(25)See Nigel Cory & Luke Dascoli, How Barriers to Cross-Border Data Flows Are Spreading Globally,What They Cost,and How to Address Them(Jul.19,2021),available at https://itif.org/publications/2021/07/19/how-barriers-cross-border-data-flows-are-spreading-globally-what-they-cost,last visited on May 7,2022.因此,對跨境金融數(shù)據(jù)流動自由化的承諾今后不可能大范圍延及數(shù)據(jù)本地化禁止,與ASDEA類似的對國內監(jiān)管進行手段和限度限定的做法更有可能成為主流。
我國現(xiàn)行的金融數(shù)據(jù)本地化要求包括《網絡安全法》第37條,國務院《征信業(yè)管理條例》第24條,《保險公司開業(yè)驗收指引》第三(九)4條,《通知》的附件《個人金融信息保護技術規(guī)范》第7.1.3條,中國人民銀行《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》第7.3.2條等。這些從法律到金融行業(yè)標準的規(guī)則基本確立了金融數(shù)據(jù)全面本地化的態(tài)度。但《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》同時也指出,1級數(shù)據(jù)為公開數(shù)據(jù),原則上無保密性要求,2級數(shù)據(jù)應優(yōu)先考慮業(yè)務需求,對于非重要數(shù)據(jù)可以考慮放松本地化要求。
當前,主要經貿協(xié)定都轉向采取跨境數(shù)據(jù)流動一體化規(guī)制方案。就我國而言,除2011年《中國人民銀行關于銀行業(yè)金融機構做好個人金融信息保護工作的通知》第6條外,國內現(xiàn)行各金融相關立法中已無直接規(guī)范跨境數(shù)據(jù)流動的條文。我國在2021和2022年相繼出臺了《個人信息保護法》《數(shù)據(jù)安全法》、國家互聯(lián)網信息辦公室《數(shù)據(jù)出境安全評估辦法》,顯示出將數(shù)據(jù)問題進行統(tǒng)一規(guī)制、而非部門化處理的傾向??缇硵?shù)據(jù)流動一體化規(guī)制方案下,數(shù)據(jù)以個人信息及非個人信息數(shù)據(jù)劃分,而不以具體行業(yè)數(shù)據(jù)劃分。在與金融領域類似的領域如工業(yè)和信息化領域,工業(yè)和信息化部《工業(yè)和信息化領域數(shù)據(jù)安全管理辦法(試行)》2022年征求意見稿刪除了2021年征求意見稿中“核心數(shù)據(jù)不得出境”的表述,并增加了“根據(jù)國際條約、協(xié)定處理外國提供數(shù)據(jù)請求”及“非經批準不得向外國執(zhí)法機構提供本地數(shù)據(jù)”等內容,以與《個人信息保護法》《數(shù)據(jù)安全法》的規(guī)定相統(tǒng)一。目前電信和互聯(lián)網行業(yè)、汽車行業(yè)相關數(shù)據(jù)管理規(guī)定/標準也都在制定階段,其中有關數(shù)據(jù)出境的內容應當也會與《個人信息保護法》《數(shù)據(jù)安全法》的規(guī)定相統(tǒng)一。另外,與美、新一致,我國的著眼點也在于數(shù)字經濟這一發(fā)展模式,《中華人民共和國國民經濟和社會發(fā)展第十四個五年規(guī)劃和2035年遠景目標綱要》高頻次提及全領域數(shù)字化,其中當然包括金融機構數(shù)字化轉型。因此,從國內視角來看,采取跨境數(shù)據(jù)流動一體化規(guī)制方案似乎與我國更為契合。但從條約層面來看,也存在以下問題:第一,現(xiàn)行“數(shù)字經濟”/“數(shù)字貿易”/“電子商務”協(xié)定多通過指明“影響通過電子方式交付或提供服務的措施同樣需遵守投資及服務章節(jié)相關條款所包含的義務”來處理與傳統(tǒng)“服務貿易”的范圍重疊,但這并未根本解決其在貿易法中的體系定位問題,將金融信息規(guī)則并入是否會引起金融開放承諾的擴張尚不可知。第二,各國對一般商貿信息和金融信息的敏感度不同,“數(shù)字經濟”/“數(shù)字貿易”/“電子商務”協(xié)定中的信息傳送條款通常較金融服務章節(jié)更為嚴格,如CPTPP即對電子商務章節(jié)“通過電子方式跨境傳送信息”條款下締約方可采取的例外措施施加了手段和限度限制,而金融服務章節(jié)的“信息的傳送”條款未設置此等限制。第三,各國在“數(shù)字經濟”/“數(shù)字貿易”/“電子商務”上分歧明顯,從名稱到具體內容,如數(shù)據(jù)本地化、源代碼等問題,都存在較大談判難度。
因此,從實踐角度,將金融信息傳送條款保留在金融服務章節(jié)更有利于現(xiàn)階段的條約談判;而將信息傳送問題統(tǒng)一置入數(shù)字經濟協(xié)定與我國的規(guī)制方向更為契合,但承諾的水平無疑將更高,國內法與國際法的統(tǒng)籌難度也將更高??傮w而言,F(xiàn)TA金融信息傳送規(guī)則構建上應當注意以下幾個問題:第一,協(xié)調我國金融服務開放承諾水平與金融信息傳送自由化水平,如采取跨境數(shù)據(jù)流動一體化規(guī)制方案,則應考慮增加與RCEP中“任何規(guī)定不得解釋為要求一締約方允許與其未作出承諾相關的跨境提供或者境外消費服務”類似的條款。第二,應當明確(金融)信息傳送規(guī)則不適用于由一締約方或以其名義持有或處理的信息,或與該信息有關的措施,包括與收集信息有關的措施,并增加在數(shù)據(jù)獲取上的司法、執(zhí)法合作。第三,保留金融領域的保密性要求,即任何規(guī)定不得解釋為要求一締約方披露與個人客戶相關的事務和賬戶信息,或公共實體擁有的任何機密或專有信息。第四,可考慮接受對國內監(jiān)管例外進行一定的手段和限度限定?!敖鹑跇I(yè)是一個高度全球化的體系,金融機構的跨境支付清算、客戶盡職調查、國際化運營、全球信息技術系統(tǒng)集成、集團化風險管理與境外信息報送等,都離不開數(shù)據(jù)跨境?!?26)李偉:《我國金融數(shù)據(jù)跨境流動規(guī)則建設的思考與建議》,載《中國銀行業(yè)》2020年第1期,第42頁。除明晰的法律指引之外,加強數(shù)據(jù)合規(guī)服務行業(yè)建設,從而降低境內外金融服務商的合規(guī)難度,同樣是擴大金融開放、融入全球金融市場的關鍵步驟。在具體監(jiān)管方案運用方面,依賴數(shù)據(jù)和技術的智能監(jiān)管、有效的內控信息披露、成熟的行業(yè)標準自律和健全的合同執(zhí)行制度或也將為更有效的數(shù)據(jù)監(jiān)管提供有益指引。
“一國在自由貿易協(xié)定下的話語權體現(xiàn)為該國在談判過程中制定規(guī)則的權力,并服務于該國的政治經濟利益。法律輸出正是大國實現(xiàn)自由貿易協(xié)定制度控制以實現(xiàn)其話語權的一種路徑?!?27)王燕:《自由貿易協(xié)定下的話語權與法律輸出研究》,載《政治與法律》2017年第1期,第109頁。20世紀末以來,美國與歐盟成功依靠FTA輸出了國內規(guī)范和核心價值理念,《服務貿易協(xié)定》談判的坎坷則充分顯示了兩大話語權掌控者之間的沖突。在今天,中國也應當積極考慮通過法律輸出路徑提高自身在國際貿易的話語權,以期實現(xiàn)從國際秩序遵守者向國際規(guī)則制定者的轉變。同時,可以看到,F(xiàn)TA金融信息傳送條款并不是一個孤立的規(guī)則,在文本上,它與電子商務規(guī)則、個人信息保護規(guī)則、審慎例外規(guī)則、本地化規(guī)則相交織,在規(guī)制理論上,對其的考量應當從跨境數(shù)據(jù)流動議題,甚至網絡空間治理的全局角度出發(fā),構建框架完整、邏輯統(tǒng)一的理論體系。
2022年初歐盟委員會發(fā)布《歐盟標準化戰(zhàn)略——制定全球標準,支持彈性、綠色和數(shù)字化的歐盟單一市場》提出:“標準是歐盟單一市場和全球競爭力的無聲基礎,在標準化活動中擁有一個強大的全球足跡,并在關鍵的國際論壇和機構中領導工作,對于歐盟保持全球標準制定者的地位至關重要。通過制定全球標準,歐盟可以輸出其價值觀,同時為歐盟公司提供重要的先發(fā)優(yōu)勢?!?28)New approach to enable global leadership of EU standards promoting values and a resilient,green and digital Single Market(Feb.2,2022),available at https://ec.europa.eu/growth/news/new-approach-enable-global-leadership-eu-standards-promoting-values-and-resilient-green-and-digital-2022-02-02_en#:~:text=New%20approach%20to%20enable%20global%20leadership%20of%20EU,within%20the%20Single%20Market%20as%20well%20as%20globally,last visited on May 8,2022.“歐盟及其成員國必須在國際電信聯(lián)盟、國際標準化組織和國際電工委員會以及其他相關的全球伙伴關系、論壇和聯(lián)盟中,推動對國際標準化活動采取更具戰(zhàn)略性的方針,以確保歐盟的全球競爭力、安全和開放的戰(zhàn)略自主權,以及歐盟推廣其價值觀的能力?!?29)Communication From the Commission to the European Parliament,the Council,the European Economic and Social Committee and the Committee of the Regions-An EU Strategy on Standardisation Setting global standards in support of a resilient,green and digital EU single market,p.5.數(shù)字全球化背景下,數(shù)字標準是貫穿各種經濟活動過程的隱形基礎。在金融領域,我國金融標準化技術委員會公布的金融國際標準(截至2021年9月30日)為66項,國家標準(截至2021年12月13日)為83項。隨著數(shù)字化發(fā)展和進一步深入開放,標準的數(shù)量將大幅增加,各科技企業(yè)在國際標準制定中的參與度也將提高。此外,根據(jù)國際慣例,國際金融合作一般也適用《新巴塞爾協(xié)定》、國際證監(jiān)會組織標準、國際保險監(jiān)督官協(xié)會標準等國際金融協(xié)議和監(jiān)管標準。(30)參見云倩:《“一帶一路”倡議下中國—東盟金融合作的路徑探析》,載《亞太經濟》2019年第5期。而我國目前在標準領域尚不發(fā)達,普遍來看,大多數(shù)中國公司都缺乏一種結構化和戰(zhàn)略性的標準化方法,以捕捉其與各種經濟運營的相關性,無論是法律合規(guī)性、市場準入還是一般商業(yè)戰(zhàn)略。同時,隨著如人工智能、數(shù)據(jù)保護或網絡安全等新領域的衍生,對于標準制定能力的挑戰(zhàn)將更大。培養(yǎng)標準化專家、深入國際標準制定或許是一個可以提升我國話語權的路徑。