（来源：《民主与法制》周刊2026年第40期,原题：“制度型开放与数字贸易规则”系列报道之二 | 数据跨境流动复合型风险的法律应对）
在数字经济全球化背景下，数据跨境流动成为数字贸易创新、跨国产业协作、全球资源配置的重要支撑。跨境数据流转场景广泛、规模庞大、品类多样，人工智能更是进一步放大了数据流动带来的各类效应。如何妥善处置数据跨境流动引发的复合型风险，成为全球数字治理亟待回应的核心议题之一。
数据基础设施化与数据跨境流动的新型风险
当前，数字技术迭代升级，数据流动日益脱离传统零散化的商业交易模式，向着更具整体性的基础设施化运行形态演进。在“数据即基础设施”的运行逻辑下，数据已不再仅仅是市场交易对象，而是兼具经济价值与公共属性的国家基础性资源。依托硬件设备、软件系统、算法模型与规范机制，作为基础设施的数据具备全域体系性、公共关联性、双向开放性与权力支配性四大特征，深刻改变了数据跨境流动的运行逻辑、应用场景与风险边界。其中，全域体系性，指数据跨境流动突破地域、行业与市场限制，由孤立的商事行为转变为嵌入数字系统的结构性活动，风险呈现链式传导、全域扩散的特征；公共关联性，指数据跨境流动同时牵涉不同国家的公民个人权益、产业安全与公共治理，单一市场规则难以实现多元法益平衡；双向开放性，决定了数据跨境流动治理必须统筹自由流通与安全管控，摒弃片面的自由化或绝对化规制思维；而权力支配性，指的是掌握算力、算法、传输通道与标准话语权的国家或平台主体，能够重构数据底层运行规则，催生传统治理体系难以充分应对的隐性捕获风险。
基于监控-捕获二元模型，数据跨境流动风险可表现为两类核心形态。两者在风险机制、侵害渠道与治理困境方面各有不同，成为当下全球数字治理需要回应的关键问题。其中，监控风险属于传统的显性外部风险，源于域外主体的非法窥探、网络入侵与数据窃取，表现为域外“长臂监管”、无差别数据监控、跨境数据批量泄露与窃取等问题，直接侵害个人信息权益、企业商业秘密与国家数据主权。长期以来，监控风险是各国乃至全球数字治理的核心规制对象之一。如欧盟《通用数据保护条例》（GDPR）、《电子隐私条例》等围绕知情同意、数据最小化、隐私防护、反域外监控等事项，搭建起一套较为完备的管控框架。但这套依靠惩戒威慑驱动的合规模式，很难解决平台数据内部流动、人工智能技术复用带来的新问题。捕获风险则是数据基础设施化与人工智能发展催生的新型隐性风险，源于数字平台内部治理失序。跨国数字平台凭借算力、算法、跨境基础设施的垄断优势，自主重构数据采集、流转与复用的底层规则，在形式合规的掩盖下完成跨境数据的规模化捕获、跨域复用与商业化利用，进而引发数据垄断、算法偏见、数字市场权力失衡等深层问题。相较于显性监控风险，捕获风险具有极强的隐蔽性与持续性。传统管控型合规模式往往忽视经营主体的内在价值认同，加剧了合规抵触与隐性违规行为，进一步推动了捕获风险的扩散与异化。
就如何应对数据跨境流动风险，中、美、欧规制模式在治理目标、利益取舍、监管逻辑上存在本质差异。欧盟采用人权优先的强监管路径，针对显性监控风险形成完备法制，但缺乏对隐性捕获风险的规制；美国实行产业优先的宽松自律模式，便利数据自由流动，却难以遏制监控泛滥、平台隐性垄断与数据滥用；我国坚持安全与发展并重，显性风险治理框架已基本成型，但对人工智能算法引发的数据滥用、底层规则垄断等新型捕获风险，相关规范尚待完善。三大法域规制体系存在较大差异，叠加域外“长臂管辖”的不断扩张，形成同一跨境数据行为面临多重管辖、多重标准、多重追责的监管冲突，大幅增加了跨国企业的合规成本，催生大量合规悖论与经营风险。值得注意的是，在多边规则层面，2026年世界贸易组织第十四届部长级会议通过《电子商务协定》临时实施安排，就全球数字贸易便利化规则达成了基本共识。但是，数字贸易治理仅是全球数字治理的一部分，且前者尚未就数字贸易自由化，特别是如何实现跨境数据自由流动形成共识。随着捕获风险问题日益突出，各国越来越倾向于将此类事项排除在贸易规制领域之外。由此导致在捕获风险的治理方面，缺乏全球性机制和统一规则。
跨境数据合规保障机制
为减少数据跨境流动风险，各国基于自身规制理念与治理需求，逐步构建起五类主流跨境数据合规传输机制，共同构成跨境数据有序流动的制度保障体系。
充分性认定机制。该机制以对等数据保护标准为核心原则，由各国公共监管机构统一评估第三国数据保护立法水平与监管实效，对保护标准等同于本国的国家与地区，允许符合条件的数据跨境流动。欧盟GDPR构建了全球最为完善的充分性认定体系，由欧盟委员会统一开展评估与动态复核，目前共有17个国家与地区取得欧盟数据保护充分性认定，同时欧洲专利局作为国际组织也纳入清单。
标准合同条款机制（SCCs）。作为全球适用范围最广的合规机制，标准合同条款由监管机构统一拟定标准化合同模板，供经营主体直接套用，明确数据进出口双方的合规义务、保护标准与风险责任划分，保障跨境数据传输合规可控。欧盟2021年更新SCCs条款，旨在适配数据保护专员诉脸书爱尔兰有限公司案（Schrems II案）后的合规要求，一定程度上弥补了隐私盾框架废止后的制度空白，适配绝大多数跨境数据流转场景。我国2023年落地的《个人信息出境标准合同办法》，正式确立本土化标准合同合规路径，重点覆盖中小微企业轻量化跨境合规场景。
约束性公司规则（BCRs）。该机制为大型跨国企业专属的内部合规机制，由企业自主制定全域数据流转合规规则，经监管机构审批备案后生效，主要适用于同一企业集团内部跨司法管辖区的数据传输。目前欧盟、英国、巴西、新加坡等多国认可该机制，头部跨国企业普遍依托BCRs搭建全球隐私合规体系。
跨境认证机制。以亚太经合组织跨境隐私规则系统（APEC CBPR）为核心，是当前全球唯一落地运行的跨境数据专项认证机制，通过独立第三方机构认证企业合规资质，确认企业符合跨境数据保护标准。目前九个亚太经合组织CBPR体系经济体参与，为亚太区域跨境数据流转提供重要合规支撑。
用户知情同意机制。作为兜底性合规机制，它要求跨境数据传输必须获取用户明确、自愿、知情的授权同意，适用于无充分性认定、无标准合同、无企业内部规则的特殊场景，是欧盟GDPR、《电子隐私条例》与我国个人信息保护法的基础规则。
现行跨境数据合规保障机制的局限
从监控-捕获二元模型角度考察，当前五类主流合规机制与各国数字治理体系，整体呈现监控规制冗余、捕获规制空白、合规激励失衡、区域协同不足、新技术适配缺失、追责体系失灵的结构性短板，无法适配数据基础设施化与人工智能时代的复合型风险治理需求。
规制维度严重失衡，捕获风险与人工智能新型风险规制缺位。现行合规机制与监管规则主要围绕传统监控风险设计，主要目标在于防范外部数据泄露、域外监控、非法窃取等显性风险，未能覆盖数据主动捕获、底层规则重构、算法无序复用、隐性数据垄断、人工智能衍生数据滥用等新型捕获风险。五类合规机制仅规范跨境数据传输的外部流程合规，不调整平台依托基础设施与算法优势主动攫取、滥用数据的内部行为，导致新型捕获风险长期处于无制度约束、无监管规制的真空状态。
合规激励机制单一，主体自主合规动力不足。全球各国数字治理体系均过度依赖控制性合规机制，以行政处罚、业务限制、违规惩戒为主要监管手段，忽视经营主体的价值认同与自主合规培育。欧盟高额处罚模式、我国安全评估的刚性管控、美国事后追责机制，均以惩戒威慑为核心，仅能短期约束显性合规行为，无法化解数据保护与数据利用的固有价值冲突，易引发主体隐性违规、监管规避等行为，难以实现长效治理。
追责体系存在结构性缺陷，非物质损害救济不足。以欧盟为代表的全球责任规制体系存在重大短板，《产品责任指令》《人工智能责任指令》均聚焦物质、金钱损害赔偿，未能充分考虑到算法歧视、隐私侵害、声誉受损、信息误导等人工智能跨境数据滥用引发的非物质、社会性损害。同时，追责程序举证门槛过高，未全面落实举证责任倒置，普通用户难以完成技术、因果关系举证，大量隐性权益损害无法获得司法救济，难以约束平台的隐性数据捕获与算法滥用行为，形成违规成本低、维权成本高的治理乱象。
区域治理碎片化严重，全球规则协同不足。价值层面，中、美、欧数字治理范式缺乏共识，导致全球合规机制难以统一互认。操作层面，充分性认定、标准合同、跨境认证等核心机制的国别标准差异极大，无法实现全球互通互认。同时，WTO《电子商务协定》仅在贸易便利化层面达成了初步共识，关于贸易自由化的全球规则仍有待形成。
新技术场景适配不足，算法衍生风险与环境风险规制空白。现行合规体系成型于传统数据流动时代，制度设计未适配人工智能、数字孪生、大数据仿真等新型技术场景，对算法衍生数据跨境复用、算法偏见固化、智能数据批量捕获、人工智能能耗污染等新型风险，缺乏明确的规制规则与合规标准。
我国数据跨境流动风险的治理路径
分层规制二元风险。借助监控-捕获二元模型的洞见，我国应在防范传统监控风险的基础上，高度重视数据基础设施化所引发的捕获风险，建立相应的规制体系。
一是持续优化监控风险防控体系，夯实传统合规治理基础。严格落实数据出境安全评估、标准合同、跨境认证三大核心合规路径，细化个人信息、敏感政务数据、核心产业数据的跨境传输管控规则，精准防范域外非法监控、数据窃取、多重管辖冲突等显性风险。主动对标WTO《电子商务协定》全球规则，动态优化数据本地化管控尺度，平衡安全刚性管控与要素自由流通，规避过度管控引发的合规冗余与流通阻滞问题。二是积极构建针对捕获风险的规制体系，填补治理空白。为此，应明确数字平台基础设施控制权、算法规则制定权的合法边界，出台跨境数据智能采集、算法复用、跨场景流转的专项规制细则，限制平台依托算力、算法、基础设施优势无序捕获跨境数据、变相垄断数据资源。针对人工智能算法衍生数据，应确立源头授权、全程溯源、复用受限、权责明晰的合规原则，明确跨境算法建模、数字仿真、二次衍生复用的授权条件与责任边界，精准规制算法偏见、隐性数据滥用等新型风险。同时，建立跨境数据垄断常态化排查机制，将底层规则垄断、隐性数据资源掠夺纳入反垄断与数据监管范畴，约束跨国平台的隐性市场支配行为。此外，增设人工智能跨境数据处理环境管控规则，明确模型训练、算力运行的能耗与碳排放标准，填补智能技术生态风险规制空白。
平衡强制管控与自主合规。为在风险防范和经济发展之间寻求动态平衡，我国应积极构建刚性约束+柔性激励+全面追责的复合型合规体系，增强经营主体自主合规的内生动力。
一是完善分层合规机制，适配差异化经营主体需求。优化现有标准合同、安全评估制度，简化中小微企业跨境合规流程、降低合规成本，助力中小主体便捷合规；针对大型跨国企业，强化约束性公司规则的落地应用，鼓励企业搭建全域、全流程内部合规体系，实现精准化、差异化监管。二是建立自主合规激励机制，对合规体系完善、风控机制健全、无违规记录的企业，给予合规备案简化、常态化监管豁免、政策资源倾斜等激励，培育企业内在合规价值认同，推动经营主体向主动合规、自觉合规转型。三是健全多元追责与权利救济体系，补齐非物质损害规制空白。突破传统物质损害赔偿局限，将算法歧视、隐私侵害、声誉受损等非物质损害纳入跨境数据合规追责范围。优化举证规则，针对人工智能跨境数据滥用、隐性捕获风险落实举证责任倒置，由平台举证自身合规、无算法缺陷、无数据滥用行为，降低用户维权门槛。完善多元化救济机制，除金钱赔偿外，增设算法整改、业务禁令、产品召回、合规审计等非金钱惩戒措施，从源头防范新型跨境数据风险。
推动内外规则协同。为消解全球数字治理碎片化格局，我国应统筹推进国内制度优化与国际规则协同。国内层面，参照《国家数据基础设施建设指引》（发改数据〔2024〕1853号），细化跨境数据传输、数据安全、个人信息保护、人工智能跨境数据处理的配套实施细则，统一国内监管标准，缩小与国际通用规则的差异，从源头降低合规冲突风险。建立域外长臂管辖冲突应对机制，明确我国数据主权边界与司法管辖范围，精准应对欧美单边“长臂监管”、双重标准约束，切实维护我国企业跨境经营的合法权益。国际层面，我国应深度参与全球数字规则塑造，推动国际规则协调与协同。具体包括积极推动我国跨境标准合同、认证机制与欧盟SCCs、APEC CBPR等国际主流合规机制对接互认；积极推动我国监管标准适配欧盟《电子隐私条例》、人工智能监管的核心合规要求，降低企业跨国合规成本。
搭建技术治理体系。适配数据基础设施化与人工智能技术发展趋势，构建制度规制+技术赋能的双重治理体系，以技术创新破解复合型风险隐蔽化、扩散化、溯源难的治理痛点。
一是搭建跨境数据全流程溯源监管平台，依托区块链技术实现跨境数据采集、传输、复用、销毁的全程留痕、可追溯、可核验，精准界定各方权责，高效排查隐性数据滥用、违规流转、人工智能算法违规复用等行为，破解捕获风险隐蔽性强、监管难度大的问题。二是健全人工智能算法全链条审查机制，建立跨境算法备案、风险评估、合规审查、环境核查常态化制度，定期排查算法偏见、数据过度复用、智能无差别监控、高能耗污染等新型风险，规范人工智能跨境数据处理行为。三是强化国家数据基础设施安全防护能力，升级跨境数据传输、存储、复用的安全技术体系，补齐技术防护短板，缩小与发达国家的数字基建差距，缓解全球数字发展不平等问题。推动跨境数据加密技术、安全传输协议、隐私计算技术的标准化落地，构建自主可控、安全高效的跨境数据安全技术体系，从技术层面抵御域外监控、数据窃取、隐性滥用、算法侵权等复合型风险，实现制度治理与技术治理的深度融合、协同发力。
数据基础设施化转型与人工智能技术的深度赋能，深刻改变了跨境数据的运行逻辑与风险形态，传统单一维度的监控风险治理模式，已无法适配当前系统化、复合型、隐蔽化的跨境数据风险格局。监控-捕获二元模型，可以清晰区分数据跨境流动当中显性的外部监控风险与隐性的内部捕获风险，精准揭示全球跨境数据治理存在着重监控、轻捕获，重惩戒、轻认同的结构性困境。该模型同样契合人工智能时代衍生的算法数据滥用、非物质权益受损、环境风险等新型治理挑战，为系统拆解各类复合型法律风险、健全数字治理体系提供重要理论工具。为统筹推进数据安全战略与数字经济对外开放，一方面，我国跨境数据治理应突破传统单一管控思维，转而以二元风险分层治理为核心，重点补齐隐性捕获风险、人工智能衍生数据风险规制空白；另一方面，我国可依托多边合作平台深度参与全球数字治理规则塑造，规避欧美区域规则垄断与碎片化弊端，推动区域与全球规则协同互认，为化解全球数字治理碎片化危机、构建安全有序、开放包容、互利共赢的全球数字治理新秩序提供中国方案。
〔本文为国家社科基金项目“‘数字丝绸之路’跨国法律秩序建构研究”（25VRC048）的阶段性成果。〕