一场没有硝烟的管辖权博弈
目录导读
- 引言：一条跨境调取指令引发的“主权地震”
- 概念拆解：数据主权为何成为数字时代的“领土线”
- 冲突焦点：跨境取证与数据主权的三大碰撞面
- 1 直接调取与主权豁免的对抗
- 2 云服务所在地与数据控制者所在地的错位
- 3 国家安全审查与个案司法效率的失衡
- 全球实践：从《云法案》到《数据安全法》的规则赛跑
- 中国立场：如何在“开放司法协助”与“守住数据边界”间寻找公约数
- 实操指南：企业合规与司法协助的双轨应对策略
- 从“零和博弈”走向“规则共商”
引言：一条跨境调取指令引发的“主权地震”
2023年，美国依据《澄清合法使用境外数据法案》（CLOUD Act）直接向微软调取存储于爱尔兰服务器的邮件数据，尽管微软一度上诉，但最终败诉，中国某法院在审理一起网络诈骗案时，需要调取位于新加坡云服务器上的聊天记录，却因“数据主权”条款被对方拒绝——耗时18个月的国际司法协助流程,让案件陷入停滞。
这两起典型案例揭示了一个核心悖论：跨境取证越便捷，数据主权越敏感；数据主权越强化，跨境取证越艰难。 当执法人员点击“提取证据”按钮时，他触碰的不是比特流,而是一个国家数字疆域的主权神经。
概念拆解：数据主权为何成为数字时代的“领土线”
数据主权（Data Sovereignty）指一个国家对其管辖范围内的数据生成、存储、传输、处理拥有最高管辖权，并能排除他国干预,它包含两个维度：
- 对内最高权：本国政府有权决定数据如何使用、由谁访问；
- 对外独立权：未经本国允许,外国机构不得直接获取境内数据。
这一概念在云计算的推动下被急剧放大，传统取证中“证据在哪国，就在哪国调取”的物理逻辑，被“数据流动无国界”彻底打破。数据存储位置的可选择性、数据控制者的多元性，使得“谁的数据”“谁的领土”难以界定，正如美国学者杰克·戈德史密斯所言：“数据主权是网络空间的领土化，反制的是数据殖民主义。”
冲突焦点：跨境取证与数据主权的三大碰撞面
1 直接调取与主权豁免的对抗
双边司法协助条约（MLAT）本是跨境取证的“秩序通道”，但耗时长（平均12-24个月）、程序繁琐，促使部分国家绕道“单边直接调取”，美国《云法案》赋予执法机构直接调取境外数据（只要属于“美国实体控制”），这实质上将主权豁免原则架空——他国数据未经本地司法审查就被“远程提取”。
2 云服务所在地与数据控制者所在地的错位
一个澳大利亚用户的WhatsApp消息，可能存储在美国AWS的东京节点，被印度执法机构调查，如果按“存储地原则”，需走日本司法协助；按“控制者原则”，需走美国《云法案》；按“用户国籍原则”，又涉及澳大利亚。这种多重管辖权的叠加，让取证方无所适从，也给了数据控制者“选择性合规”的空间。
3 国家安全审查与个案司法效率的失衡
数据中往往混合着个人信息、商业秘密与国家安全敏感数据，他国的一次“普通取证”，可能连带获取关键基础设施运行数据，各国普遍将跨境取证纳入国家安全审查范畴——但由此带来的延迟与变数，又让大量国际刑事案件（如电信诈骗、洗钱、恐怖主义融资）因证据不足而搁浅。
全球实践：从《云法案》到《数据安全法》的规则赛跑
| 国家/地区 | 立法路径 | 核心逻辑 | 对跨境取证的态度 |
|---|---|---|---|
| 美国 | CLOUD Act（2018） | 数据控制者属人管辖 | 与外国政府签署行政协议后，可互调数据；但未签署国不可调美企数据 |
| 欧盟 | 《通用数据保护条例》+《电子证据条例（提案）》 | 数据保护+本地化 | 要求指定法定代表，禁止向无充分保护水平国家传输 |
| 中国 | 《数据安全法》第36条、《个人信息保护法》第41条 | 数据主权+安全审查 | 未经中国主管机关批准，不得向外国提供存储于中国境内的数据 |
| 俄罗斯 | 《个人数据法》 | 数据本地化强制 | 严格禁止跨境提供，仅允许基于国际条约 |
微妙之处在于：美国一边通过《云法案》向外延伸管辖权，一边又在《外国情报监视法》中严格限制外国向美国调取数据；中国则通过“数据出境安全评估”建立“正面清单+负面清单”的双向管控。与其说这是法律差异，不如说是数字时代“司法管辖权的地缘政治化”。
中国立场：如何在“开放司法协助”与“守住数据边界”间寻找公约数
中国官方立场明确体现在《数据安全法》第36条：“非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。”中国积极参与联合国网络犯罪公约谈判，主张以多边条约替代单边长臂管辖。
核心策略可概括为三条：
- 主位推动国际规则：通过上合组织、金砖机制等平台，推动制定“跨境数据取证的国际示范法”，确立“存储地许可+控制者协助+用户知情”三重门槛。
- 构建对等互惠制度：与他国签署双边司法协助修订协议，明确“直接调取需双方紧急通道+事后通报+敏感数据过滤”机制,既保障效率又守住安全。
- 设立数据出境“快车道”：在国家安全审查前提下，对于涉及恐怖主义、跨国犯罪等紧急情形，允许通过“指定临时司法联络官”在48小时内完成审批,减少个案拖延。
实操指南：企业合规与司法协助的双轨应对策略
对企业（数据控制者）的建议：
- 建立“数据地图”：明确不同数据存储位置、法律管辖触发条件，避免因“被动配合”而违反母国禁令。
- 设计“双触发”合规流程：当他国执法机构提出调取请求时，同时触发“数据本地法律审查”与“集团总部政策审查”,并保留拒绝记录。
- 善用“数据本地化代理”：在关键司法辖区设立独立的数据托管实体，物理隔离敏感数据，从技术上降低“被迫直接越权”的风险。
对司法协助实务者的建议：
- 优先探索“虚拟听证+证据加密传输”：在互认基础上，采用“一次读取、双方可见、自动销毁”的临时共享机制,降低敏感度。
- 引入“第三方中立专家”评估：对于混合敏感数据的证据，由两国共同指定的技术专家进行“脱敏预处理”,再进入正式程序。
问答环节
Q1：美国《云法案》是否意味着“数据主权已死”？ A：恰恰相反，《云法案》是对数据主权的一种“强权定义”——它把“控制者所在地”作为主权依据，从而将大量别国数据纳入美国主权范围，但该法案也承认“冲突时需考虑外国主权利益”，只是这种考虑以“美国国家安全优先”为前提，数据主权不是消亡，而是进入“竞争性主权”阶段。
Q2：中国企业面对外国法院直接传票（如美国法院）应如何应对？ A：第一步，评估数据存储地及是否受中国《数据安全法》约束；第二步，若涉及境内数据，应书面告知对方“需经中国主管机关批准”，并同步向中国网信部门提交申请；第三步，若对方强行罚款或制裁，可援引“国际礼让原则”抗辩,并寻求中国政府外交部门或行业协会支持。
Q3：跨境取证能否完全脱离“数据主权”框架？ A：短期不能，长期也不应，完全脱离意味着放弃对数据被滥用的防线，这不符合任何国家的根本利益，更务实的方向是“主权豁免的有限让渡”——在明确类型（如严重犯罪）、明确程序（如双方法律审查）、明确过滤（如敏感信息剔除）的前提下,建立快速通道。
从“零和博弈”走向“规则共商”
跨境取证的困境，本质是数字世界的全球公共性与国家治理的属地性之间尚未找到平衡点，单边主义只会制造“证据真空”，而过度封闭则让犯罪逍遥，未来的出路不在于谁的声音更大，而在于能否像《联合国海洋法公约》一样，用“区域性/功能性协商”来划分数字管辖权。
当每一次跨境调取都涉及数据主权，每一次主权声明都关乎司法公正时，我们需要的是“有边界的开放”——边界由对话划定，而非由权力单方面划定,这或许是数字时代国际法治最珍贵的共识。
