吴帝标

（浙江大学外国语言文化与国际交流学院 浙江杭州 310028）

一、两大体系对立与统一 ——GDPR与CBPR

（一）对立中的两大体系：价值取向与问责方式。对于数据流动，美欧体系存在着自由流动和保护隐私的规制范式。欧盟人权公约规定了“隐私及家庭生活受到尊重的权利”，这也构成欧盟在跨境数据流动规制上普遍严格的价值观。而GDPR中的个人信息保护，更倾向于狭隘保护隐私权。与欧盟将数据权作为基本人权，并通过硬法保护不同，CBPR认为过度立法会限制贸易发展，因而CBPR奉行以市场为主导，以行业自律为中心的个人数据保护政策。

两大体系对跨境数据流动采用不同的规制方法，GDPR是以地理区域为基准的充分性保护原则，进行事前防范；CBPR则是以组织机构为基准，对违规行为事后问责。欧盟的规制途径对于欧盟内部和外部的数据流动采用了统一标准，只要同欧盟公民的个人数据发生关联，GDPR均有权利加以管制；GDPR限制数据传输到地理层面上的欧盟外部，要求提供充分性的数据保护。非欧盟国家可以选择：1.制定与GDPR同等的限制；2.接受约束性公司规则（BCRs）；3.在特定的商业交易中使用标准合同条款（SCC）[2]。这样的数据隐私政策会对全球数字和服务贸易带来阻力，增加合规成本以及公司运营成本，进而抑制企业的创新能力。CBPR在促进数据流动的目的下，采用行业自律的办法。要求企业执行四步走确保数据安全：企业内部评估→代理机构评估→认证符合标准→隐私保护机构问责处罚（违反相关条款的企业）[3]；……