2021房屋设计图片-三维家

(68)[英]詹姆士·斯蒂芬：《自由·平等·博爱》，冯克利、杨日鹏译，江西人民出版社2016年版，第111页。

[39]参见刘晗：宪法全球化中的逆流：美国司法审查中的外国法问题，《清华法学》2014年第2期，第170—171页。虽然我国的立法机关兼具政治和法律属性，但在从事宪法解释时是在从事法律活动，需要遵循法律逻辑，防止将未经宪法承认的其他价值融入宪法解释。

[57]2022年，在关于香港国安法的解释中，全国人大常委会进一步明确了以文本解释为基础、以原意解释为补充的路径：从我国有关法律规定和全国人大常委会以往释法实践情况看，一般不是脱离法律有关条款就某一特定问题是否符合该法律的立法原意和目的作出回应。就确定宪法精神的含义而言，原旨主义应为首要方法。[45]参见信春鹰：全国人民代表大会常务委员会法制工作委员会关于司法解释集中清理工作情况的报告——2013年4月23日在第十二届全国人民代表大会常务委员会第二次会议上，《中华人民共和国全国人民代表大会常务委员会公报》2013年第3期，第476页。[62]可以说，目前的合宪性审查制度已经在孕育一种宪法原旨解释的路径，至少为其留出了空间和可能性。[20]2.原旨在宪法解释中的效力：严格原旨主义与温和原旨主义原旨主义者大体同意原旨应在宪法解释中扮演重要作用，但就作用的强弱未达成一致，可按不同论者对效力强度的主张分为严格原旨主义和温和原旨主义。

[94]宪法的民族文化特性要求宪法学有着更为自主的知识体系与之匹配。[103]在程序上，八二宪法也依循了五四宪法第29条第1款的规定，即宪法的修改由全国人大以全体代表的三分之二多数通过，体现了修宪权服从于制宪权的原则。对相关概念的澄清与解释是数据出境制度实施的起点。

（一）系统性：未形成完整科学的体系1.存在监管空白从规制对象上来看，安全评估涵盖的范围是对重要数据和大规模个人信息的处理，标准合同针对的是中小规模的个人信息处理活动，保护认证面向的也是个人信息处理活动。由于中国的数据出境通用性制度起步较晚，先前有关数据出境的要求多散见于各行业主管部门制定的法规中。《2022年保护美国人数据免受外国监视法案》（Protecting Americans Data from Foreign Surveillance Act of 2022），旨在防止美国公民敏感的个人数据流入恶意的外国实体。《人口健康信息管理办法（试行）》第10条规定，不得将人口健康信息在境外的服务器中存储。

究其原因，必然是政治、经济、文化、社会、舆论环境、立法技术等多种因素共同影响的结果。第一，实践中，标准合同与保护认证在一定程度上被安全评估所架空。

一方面，CPTPP虽然未明确合法的公共政策目标的具体内容，但是也并没有授权各成员国自行确定，而在中国目前的国内制度中，安全评估、标准合同和保护认证都是对数据出境的限制措施，实施目的仅规定了较为模糊的为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，没有规定明确的公共政策目标且无法说明此类限制的必要性，而金融、医疗等行业中规定的禁止数据出境条款更是在公共政策目标、歧视性限制和必要性方面缺乏具有足够说服力的解释，未来在与CPTPP的衔接中将存在巨大的挑战。自2011年11月13日起，美国开始不断推进并主导APEC的CBPRs，旨在通过区域规则要求缔约方确保数据跨境的自由流动。在标准合同方面，欧盟于2001—2010年先后发布了三套标准合同（SCC2001CSCC2001P、SCC2004C、SCC2010P），并于2021年再次更新发布了第四套标准合同。但其中最本质的因素是，尚未明确能够形塑监管体系的数据出境规制理论或政治道德哲学，从而难以一以贯之地形成稳定、科学和完善的数据出境监管体系。

在美国于2017年宣布退出TPP后，原11个成员国宣布将TPP改名为《全面与进步跨太平洋伙伴关系协定》（CPTPP），保留了原TPP的大部分内容，同样支持跨境数据流动、反对数据本地化。人类遗传资源材料是指含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料，人类遗传资源信息是指利用人类遗传资源材料产生的数据等信息资料。(四)可操作性：成效难达预期徒法不足以自行，即使再好的制度设计也需要得到实践的检验。实践中，虽然大部分申报主体在国家网信办进行审核评估期间仍能继续进行数据出境活动，国家网信办对此也予以默认许可，但是这种潜规则的方式缺乏稳定性和可预期性，不利于市场主体正常开展业务。

近年来，美国长臂管辖权的适用范围不断扩大，从解决美国国内问题发展到介入国际问题、从司法管辖权延伸到立法管辖权和执法管辖权、从民事案件扩张到刑事案件，这种向外扩张的路径难免会与其他国家的利益产生冲突，如美国将中国企业列入实体清单试图遏制中国产业发展，如果核心数据、重要数据或大量个人信息被非法出境，将会出现被外国政府影响、控制、恶意利用的风险。多年来，美国利用自身数据和算法的优势，长期对其他国家政府进行类似棱镜门的监视，根据他国贸易数据、供应链数据发起精准的贸易战和经济制裁，甚至扰乱他国社会稳定。

(二)重构制度体系性与协调性1.安全评估单列且优先适用《个人信息保护法》第38条规定，个人信息处理者向境外提供个人信息的，应当满足安全评估、标准合同和保护认证三个条件之一。正如习近平所指出的：网络安全是相对的而不是绝对的。

(三)利益平衡体系下的数据主权理论美国的数据自由贸易理论虽倾向通过采用事后救济和责任承担的规制进路来促进数字经济的发展，但其背后是以强大的数据霸权和数据殖民主义作为支撑的为此，国家网信办与香港特别行政区政府创新科技及工业局先后签署了《关于促进粤港澳大湾区数据跨境流动的合作备忘录》和《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》，明确除被认定为重要数据的个人信息外，其他个人信息在广东九市与香港之间的跨境流动都可以通过订立标准合同的方式进行，并减少了个人信息保护影响评估的内容，对标准合同的登记备案手续也予以了简化，更为重要的是，降低了对境外接收方的义务要求，极大地促进了数据跨境流动的发展趋势，为相关主体提供了更多的操作空间和便利。最后，基于定量与定性相结合的方式动态识别重要数据。按照《数据安全法》《个人信息保护法》《数据出境安全评估办法》《个人信息出境标准合同办法》的立法精神和立法目的，对于没有风险的数据原则上应当鼓励数据流动，对于可能会带来风险的重要数据以及大规模的个人信息在经过安全评估后仍然可以出境，但是目前有不少行业规定是严格限制甚至禁止某些数据出境的。客观而言，中国现有的数据跨境监管体系暴露出了较多问题，已经对产业的开放发展和数字经济的弯道超车产生了较大阻碍。(四)降低合规成本随着人工智能、大数据等技术的进一步发展，利用法律+科技的手段实现监管与合规的自动化、智能化已经逐渐成为未来的发展趋势。

但是，参与制定或者申请加入国际规则的必备条件之一是需要使国内制度与国际规则相衔接，满足相关国际规则的要求和标准，否则将很难实现标准输出与全面开放的目的。第二，理论上，安全评估与标准合同在一定程度上被保护认证所架空。

2.存在交叉重叠从制度内容上看，安全评估与标准合同在内容上多有重合，二者都规定了安全自评估，且评估内容基本相同。在实践中，缺乏基础理论的指导导致了制度层面的混乱，尤以因过度注重安全而进行一刀切的做法最为显著，安全的边界不断扩张和泛化，从而导致一方面在国际上难以与现有规则体系相衔接，另一方面在国内使得产业界背负巨大的合规压力，反噬并扼杀了数据的创新性利用。

同时，国际规则不仅左右各国之间的利益分配，而且决定一国在国际社会中所能扮演的角色，并对其国际行为合法性进行评判。所以，这也从侧面反映出，数据是新时代的石油或原材料，如果主权国家没有权利管理自身主权范围内的数据，那么数据就会源源不断地流向数字经济发达的国家和地区，数字落后的国家和地区则无法从中获得好处，甚至导致数据殖民主义的产生。

另一方面，在监管侧，根据《数据出境安全评估办法》，所有申报数据出境安全评估的审查材料都将汇聚到国家网信办进行评估，但是全国数据出境安全评估申报主体数量如此之多，每个申报主体的申报材料内容又十分繁杂，以国家网信办的人员数量要想快速完成如此之大的工作量，十分困难，且国家网信办并非行业主管部门，对于来自各行各业的数据出境业务必定无法全面掌握，在评估目的性、必要性等与业务场景紧密结合的内容时难免在专业性上捉襟见肘，这将极大地延缓审查速度。该协议明确，将取消数据本地化要求，使金融服务、运输、机械、电子商务等多个行业的企业受益，让它们无需进行烦琐且成本高昂的管理即可处理数据。在这一方面，DECP采用了基本相同的条款表述。但是，当前无论理论界还是产业界，均未能明确重要数据的范围、目录以及具备可操作性的识别标准，这也成为目前最重要的行业痛点。

(四)可操作性：成效难达预期徒法不足以自行，即使再好的制度设计也需要得到实践的检验。改革开放以来，党和国家一直坚持不懈地追求和保障人权，将人民对美好生活的向往作为奋斗目标，不断发展全过程人民民主，推进人权法治保障，坚决维护社会公平正义，促进中国人民的生存权、发展权和其他各项基本权利保障不断向前推进。

对相关概念的澄清与解释是数据出境制度实施的起点。数据主权是国家主权的集中体现，是《联合国宪章》中最为核心的原则之一[36]。

目前，世界各国为抢占数字经济繁荣高地，纷纷制定更加宽松开放的数据跨境流动政策法规，力求夺取数字产业发展先机，从激烈的国际竞争中胜出。二是因为安全自评估和申报的成本较大、流程烦琐，如果没有申报的必要反而会浪费大量的人力和物力。

例如，在实际的数据出境安全评估申报中，有些餐饮企业和银行拥有超过100万名用户，但其需要出境的数据并非其用户的个人信息等业务数据，而是其员工个人信息等管理数据，这种拟出境的数据无论从数量上还是敏感程度上都不满足数据出境安全评估的规制目的。在美国，长期以来的冒险精神使得不论政府还是公民都倾向通过多元、宽松的手段追求经济的发展，虽然存在一定的安全风险，但是绝不能为了实现零风险而极大地阻碍甚至扼杀市场经济、科技创新以及全球化竞争。实践中，虽然大部分申报主体在国家网信办进行审核评估期间仍能继续进行数据出境活动，国家网信办对此也予以默认许可，但是这种潜规则的方式缺乏稳定性和可预期性，不利于市场主体正常开展业务。因此，虽然美国联邦层面在数据出境上的整体政策较为宽松，但是美国也并未放松对一些重要数据的管制，对于数据安全问题极为重视。

不同于美国的市场话语和欧盟权利本位的数据跨境理论基础，中国应当基于国情明确利益平衡体系下的数据主权理论建构数据出境制度体系，矫正实践中过度保障安全的规制思路，通过单列安全评估、制定行业性与地方性特殊制度等措施，完善相关制度之间、国内法与国际规则之间的适用衔接，着力降低合规成本，保障制度落到实处。在地方性制度层面，国务院2023年8月13日发布的《关于进一步优化外商投资环境加大吸引外商投资力度的意见》指出：探索便利化的数据跨境流动安全管理机制。

第四，安全评估与安全审查如何适用尚不明确。一方面，中国素无数据霸权的文化传统，反而因为政治、经济、科技实力等原因需要强力保护国家主权与安全，维护公民的相关数据权益。

（一）系统性：未形成完整科学的体系1.存在监管空白从规制对象上来看，安全评估涵盖的范围是对重要数据和大规模个人信息的处理，标准合同针对的是中小规模的个人信息处理活动，保护认证面向的也是个人信息处理活动。但是，这个集成模块涉及文件的层级跨度较大，既包括法律也包括部门规章和规范性文件，在适用关系上存在较大疑问：一方面，在安全评估、标准合同、保护认证之间缺乏明确且清晰的适用逻辑安排，导致三者的适用顺序出现混乱。