主权和数据本地化（英）-哈佛大学肯尼迪学院-2021.7-34页_1mb

总结：数据主权与数据本地化

核心内容

本文探讨了数据主权和数据本地化政策在新兴技术背景下的重要性及其对全球治理的影响。随着人工智能、云计算和5G等技术的发展，数据已成为国家竞争力和安全的重要组成部分。各国通过数据本地化政策试图加强对其公民数据的控制，但这些政策往往带来负面影响。

主要观点

• 数据主权的定义：数据主权是指国家对本国公民数据的控制权，通常通过法律手段实现。这种控制权在新兴技术背景下显得尤为重要，因为这些技术依赖于大量数据的存储和处理。
• 数据本地化政策的类型：
  1. 本地唯一存储、传输和处理：要求数据必须存储在本国境内，限制跨境数据流动。
  2. 本地副本要求：要求企业在本地服务器或数据中心保留数据副本，便于本地执法。
  3. 更狭窄的有条件限制：仅在满足特定条件时允许数据跨境传输。
• 数据本地化政策的局限性：
  • 技术层面：本地存储并不能提高数据安全性，反而可能增加成本并限制创新。
  • 经济层面：数据本地化增加了市场进入壁垒，抑制了经济全球化带来的增长机会。
  • 法律层面：如美国的CLOUD Act所示，数据本地化无法阻止外国政府对数据的访问请求，因为美国法律适用于其境内公司，无论数据存储在哪里。
• 数据本地化政策的动机：
  • 技术担忧：包括数据安全、防止外国干涉、简化执法流程等。
  • 价值担忧：涉及对外国技术主导的担忧（如“数字殖民主义”）、对外国政府的信任缺失以及对失去控制的恐惧。

关键信息

1. 数据本地化政策的负面影响

• 数据本地化政策未能有效提升数据安全性，反而增加了监管复杂性和经济负担。
• 多数国家的数据本地化政策未能解决技术风险，同时可能阻碍全球数据流动，影响经济增长。
• 本地存储不能阻止外国政府对数据的访问，如CLOUD Act表明，美国执法机构可对任何存储在其境内公司服务器上的数据提出访问请求。

2. 全球数据本地化政策案例

• 俄罗斯：要求所有个人数据必须存储在本国境内。
• 中国：要求关键信息基础设施运营者存储重要数据和个人信息于中国境内。
• 印度：允许在满足特定条件时将敏感数据转移到国外。
• 欧盟：通过GDPR对数据跨境传输设置严格条件，如接收国需提供足够的数据保护。
• 巴西：要求数据传输需符合特定标准，如接收国需有适当的数据保护机制。

3. 美国的应对策略

技术层面

• 制定联邦隐私法：以统一标准向全球展示美国对数据隐私和安全的重视，减少外国对美国科技公司的担忧。
• 行业隐私与安全框架：鼓励行业制定明确的隐私与安全承诺，如AWS对CLOUD Act的法律挑战承诺。
• 加强网络安全投资：提升美国在数据保护和网络安全领域的竞争力，确保其在技术领域符合民主价值观。
• 推动多边协议：利用CLOUD Act框架与盟友签订双边协议，以解决数据访问和执法问题。

价值层面

• 国际合作与技术共享：与盟友合作，推动技术发展，确保其符合自由、民主和人权等核心价值。
• 反对数字殖民主义：通过公开承诺反对数据剥削，增强发展中国家对美国技术合作的信任。
• 增强透明度：通过明确的政策和法律框架，减少因数据主权问题带来的误解和不确定性。

结论

数据本地化政策虽旨在维护国家主权，但其实际效果有限，且对全球技术发展和经济合作构成障碍。美国应通过制定联邦隐私法、加强行业隐私框架、投资网络安全以及推动多边协议，以更有效、更可持续的方式应对数据主权挑战，同时维护全球数据流动的自由与安全。