开放科学(资源服务)标识码(OSID)：
National security concerns are a primary factor influencing countries' decisions regarding the facilitation of data flows. Consequently, understanding how this governance dilemma affects international scientific collaboration has become a core issue for scholars. This study focuses on the bottlenecks caused by value conflicts and regulatory fragmentation and their impact on the efficiency of scientific collaboration. Specifically, it examines how tensions between open science and national security impede scientific data flows and explores whether differentiated governance approaches should be applied to data exchanges with countries at varying levels of strategic trust. Existing studies have shown that different regulatory models exert a significant influence on data flows, yet discussions remain insufficient regarding comprehensive governance mechanisms that balance security and development. Accordingly, this paper conducts in-depth research on this issue based on governance theory, creatively integrating a multi-stakeholder perspective into the field of data flow governance, alongside comparative legal analysis.
This study selects the regulatory frameworks of the European Union, the United States, and China as the primary objects to identify and analyze their governance models and legal rules. It ultimately provides a comprehensive analysis of their core legal texts and policy documents. The study verifies the arguments by defining core concepts and constructing a theoretical framework for governance. To further validate the arguments, typical scenarios are used to re-examine practical challenges and analyze the internal mechanism through which regulatory frameworks influence the efficiency of scientific collaboration.
The results show that the governance dilemma of cross-border scientific data flows, reflected in value conflicts and regulatory fragmentation, has a significant negative correlation with research efficiency, and governance challenges can hinder the progress of international collaboration. At the macro-level, an excessively broad definition of national security leads to the weakening of the open science principle, which also reduces the significance of collaboration in policymaking. At the micro- and meso-levels, legal uncertainty and high transaction costs exert an increasingly significant negative impact as regulatory requirements become more stringent, which to a certain extent verifies the chilling effect of over-regulation on international scientific activities.
This study integrates governance theory, comparative legal analysis, and research findings in the field of scientific collaboration. It takes the governance of cross-border scientific data flows as the research object, enriching research on the security-development nexus in this specific domain. Unlike previous literature, this study introduces a novel tiered cooperation model into the external governance perspective for theoretical and policy analysis, thereby expanding upon classic data governance models. The logical analysis supports the study's conclusions and strengthens the theoretical foundation of data governance research. The findings also carry practical implications for the formulation of data governance policies. Governance should evolve from coarse control to refined management: clarifying legal concepts such as legitimate purpose and public interest in research, establishing granular classification rules for scientific data, optimizing security assessment mechanisms for research projects, and exploring a dual-list management model combining negative lists and exemption lists to provide more stable and predictable legal expectations for scientific activities.
开放科学(资源服务)标识码(OSID)：
科学研究作为人类拓展知识边界的重要活动,正以前所未有的深度和广度呈现数据密集型研究范式。从应对全球气候变化的协同观测,到攻克公共卫生危机的基因序列共享,再到基础物理学领域的大科学工程合作,科学数据的跨境自由流通既是提升研究效率、加速创新突破的内在要求,也是践行开放科学理念的关键基础[1]。然而,全球性科研攻关的挑战日趋严峻,迫切呼唤更加紧密的国际科研协作与数据共享,同时,逆全球化下地缘政治博弈现象加剧,数据主权和数据安全被提升至国家战略的重要位置,各国纷纷收紧数据跨境流通的闸门,全球数据治理呈现出显著的碎片化态势[2]。
作为推动人类文明进步的公共产品,科学数据蕴含巨大的社会与科学价值,同时,其涉及国家安全、关键基础设施、生物安全乃至个人隐私等高度敏感领域,具有极高的战略价值。这种价值与风险的高度交织,使得科学数据的跨境流通治理成为全球数据治理领域中最为复杂和棘手的议题之一。近年来,主要经济体围绕数据展开的规则博弈日趋白热化。欧盟凭借《通用数据保护条例》(GDPR)构建起基于个人权利的数据壁垒,并于2024年实施全球首部《人工智能法》以强化其规则影响力。美国在现有基础上突出强调安全审查,赋予政府强大的域外数据调取权[3]。2024年2月28日美国总统签署第14117号行政令,明确限制包括基因组数据、健康数据在内的个人敏感数据向部分国家传输。中国构建了以网络安全法、数据安全法、个人信息保护法为核心的安全型治理框架,并正式施行《促进和规范数据跨境流动规定》,在严守安全底线的前提下探索更为灵活和便利化的数据流通机制。
当前,全球科研合作正面临前所未有的挑战,如法律规则中存在的模糊性、各国监管模式的差异与冲突以及“长臂管辖”的滥用,桎梏科研活动开展。高昂的交易成本和潜在的法律风险不仅滞缓国际合作项目进展,更在科研界引发寒蝉效应,导致一些研究机构对开展国际数据交换望而却步。这种因制度性障碍引发的科研效率损失,最终会损害全球科研协作与创新潜能。因此,本文尝试结合当前科学数据跨境流通现状,通过厘清核心概念,剖析当前全球治理格局下科学数据跨境流通面临的多重问题,在此基础上提出构建兼顾安全与发展、国家主权与开放理念的中国科学数据跨境流通治理体系。
1980年,经济合作与发展组织(OECD)发布的《关于隐私保护与个人数据跨境流通指引》首次对数据跨境流通概念作出界定,将其描述为“个人数据跨越国界的流动”。从早期定义可以看出,国际社会的关注焦点是个人数据。随着互联网普及、数字经济蓬勃发展以及数据作为关键生产要素价值的日益凸显,数据跨境流通的客体范围迅速扩展至工业、商业等其他领域[4],并涵盖本文聚焦的科学数据。尽管具体定义各异,但是学术界和各国法律实践已普遍形成共识,即数据跨境流通涵盖物理与逻辑两个层面[4-5]。
(1)物理层面的数据跨境传输,这是数据跨境流通的直观表现形式。申言之,是指数据通过网络通信、存储介质转移等方式,在物理上从一国或司法管辖区的地理边界内被传输至另一国或司法管辖区的地理边界内并进行存储或处理。如中国科研机构通过互联网将一些研究的原始数据发送给境外合作伙伴,或者将实验数据备份在由境外服务商运营的云服务器上,此类行为均构成物理意义上的数据跨境传输。这种形式的流通是全球分布式计算和国际项目协作的基础。
(2)逻辑层面的数据跨境访问,这是基于新技术发展背景下的一种内涵更新。特别是随着云计算和远程协作技术发展,数据可以在未离开其初始存储国的情况下,被授予境外组织或个人访问、调取、使用、下载或采用其他方式处理[6]。此种基于权限转移的流通模式,实质是数据控制权或处理权的跨国延伸。如德国马克斯·普朗克研究所可以通过远程登录方式,访问与分析存储在其他国家服务器上的实验数据。根据主流的法律解释,这一行为也构成数据跨境流通。
中国也明确采纳上述两个层面的界定。国家互联网信息办公室就《数据出境安全评估办法》相关问题回答记者提问时指出,“《办法》所称数据出境活动主要包括:一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外。二是数据处理者收集和产生的数据存储在境内,境外的机构、组织或者个人可以访问或者调用”。这也显示出,数字时代数据流通的本质在于数据处理活动是否跨越了司法管辖边界,而非仅关注数据存储的物理位置。
科学数据跨境流通为复合性概念,首先需明晰界定科学数据,然后再探讨跨境流通的特殊属性。
1.2.1 科学数据概念辨析
在庞杂的数据类型中,科学数据因其独特的产生背景、核心价值和潜在风险,需进行专门识别与界定。国内多数学者认为,科学数据是科技活动中产生的反映客观世界规律的基础性数据及衍生的数据产品。如有学者将其定义为“在科技活动中通过其他方式所获取的反映客观世界的本质、特征、变化规律等的原始基本数据,以及根据不同科技活动需要进行系统加工整理的各类数据集”(司莉等,2023)。这一定义强调了其来源为科技活动、内容反映客观世界规律的本质要求[7]。国外对科学数据的定义主要来自科研机构或国际组织,且突出强调数据作为科学研究证据的功能属性。如经济合作与发展组织(OECD)将科学数据定义为“科学研究的主要来源并被科学界普遍接受作为验证研究结果必要条件的事实记录”[8];美国国立卫生研究院(NIH)认为“科学数据是在特定条件下进行的观测结果”。在更广泛的政策文件中,NIH采纳了类似OECD的观点,认为科学数据是“科学界普遍接受,用于验证和复制研究发现、记录的事实材料”[9]。
从规范层面看,《中华人民共和国科学技术进步法》是我国科技领域的基础性、综合性法律,为科学数据管理与共享提供了顶层设计和原则性指导;2018年3月,国务院办公厅发布的《科学数据管理办法》是当前我国科学数据管理领域最核心、最全面的规范性文件,其系统性回答了“什么是科学数据”“如何管理科学数据”等问题。在科技进步法和《科学数据管理办法》的具体框架下,相关部门规章进一步落实了管理要求,而各类机构内部规定、技术标准,则对科学数据的分类、汇交、安全管理等作出了更细化的规定,共同构成了多层次的规范体系(见表1)。同时,在科学数据管理专门规范之外,我国数据跨境流动的法律法规为科学数据跨境流动制定了须遵循的合规准则(见表2)。
表1 我国科学数据管理领域的相关法规及标准体系
Table 1 China's scientific data management: regulations and standards
法规/文件名称发布机构发布/实施时间《中华人民共和国科学技术进步法》全国人民代表大会常务委员会2022年1月1日《科学数据管理办法》国务院办公厅2018年《中国科学院科学数据管理与开放共享办法(试行)》中国科学院2019年《高能物理科学数据汇交管理办法(2020版)》国家高能物理科学数据中心2020年《中国科学院战略性先导科技专项科学数据汇交管理实施细则(试行)》中国科学院2022年《科学数据 数据安全分类质量评价指标》(T/CIIA 025-2022)中国信息协会2022年《科学数据安全分类分级指南》(GB/T 43705-2025)国家市场监督管理总局、国家标准化管理委员会2025年《科学数据安全要求通则》(GB/T 43708-2025)国家市场监督管理总局、国家标准化管理委员会2025年《科学数据溯源元数据》(GB/T 43707-2025)国家市场监督管理总局、国家标准化管理委员会2025年《科学数据安全审计要求》(GB/T 43710-2025)国家市场监督管理总局、国家标准化管理委员会2025年
表2 涉及科学数据跨境流动的法规及政策
Table 2 Relevant laws, regulations, and policies regarding the cross-border flow of scientific data
法规/文件名称发布机构生效时间与科学数据相关的核心内容《中华人民共和国网络安全法》全国人大常委会2017年6月1日从事科学研究的机构若被认定为关键信息基础设施,其数据出境将受到严格监管该法是涉及所有数据出境活动的根本大法之一《中华人民共和国数据安全法》全国人大常委会2021年9月1日科学研究中产生的数据(如人类遗传资源、地理空间信息)会被识别为“重要数据”,其出境必须通过国家网信部门的安全评估《中华人民共和国个人信息保护法》全国人大常委会2021年11月1日生物医药、社会科学等领域的科学研究常涉及个人信息(如临床受试者数据、基因数据、调研问卷),其跨境流通必须满足该法的严格要求《数据出境安全评估办法》国家互联网信息办公室2022年9月1日处理重要数据或达到规定数量门槛的科学数据出境,必须遵循此办法进行申报《个人信息出境标准合同办法》国家互联网信息办公室2023年6月1日对于中小型国际科研合作项目,若涉及的个人信息数量有限,采用标准合同是高效合规的选择《促进和规范数据跨境流动规定》国家互联网信息办公室2024年3月22日为开展国际学术合作所必需的个人信息出境、非敏感个人信息在特定数量(如年内累计不满10万人)下出境等,均被纳入豁免或简化程序范围,极大便利了常规的国际科研交流自贸试验区相关试点政策各相关地方政府位于自贸区的科研机构可以利用先行先试政策,在清单范围内实现更便捷的科学数据跨境流通
2024年3月我国施行的《促进和规范数据跨境流动规定》为科学数据的跨境流通提供了便利通道,明确在不包含个人信息或重要数据的前提下,将“为开展国际科技合作”产生数据的情形列为豁免申报数据出境安全评估、订立标准合同等程序的具体场景。但是此豁免也带来新问题,即如何区别科学数据与个人信息、重要数据与商业秘密等存在交叉但又有区别的场景。
科学研究特别是生命科学、医学和社会科学研究,不可避免地涉及大量个人信息。如一项流行病学研究需要收集和分析包含个人健康状况、生活习惯等数据集。此时,该数据集既涵盖科学数据,也包含个人信息。二者存在交叉关系,而非简单的等同或包含关系,其核心区别见表3。商业秘密与科学数据间可由经济利益要件的介入或剥离而相互转化,如在科研成果产业化过程中或由企业资助的研究项目中,部分科学数据因能带来经济利益而成为商业秘密。重要数据与科学数据则是一组在数据范畴下分类角度不同但存在交叉关系的概念。其中,重要数据为《网络数据安全管理条例》中的核心概念,是指特定领域、特定群体、特定区域或者达到一定精度和规模,一旦遭到篡改、破坏、泄露或者非法获取、非法利用,可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。部分科学数据因内容敏感、影响重大,会被认定为重要数据。如我国特有的人类遗传资源信息、关键地区的高精度地理空间信息、涉及国家战略性矿产资源的勘探数据等。
表3 科学数据与其他数据的概念区分
Table 3 Conceptual distinction between scientific data and other core data
分类内涵界定标准法定渊源与科学数据的关系典型示例科学数据在科学活动中产生或获取的,用于科学研究活动的原始数据及其衍生数据目的性标准:是否因科学研究目的而收集、处理、使用《科学数据管理办法》气候模型模拟数据、高能物理对撞数据个人信息以电子或者其他方式记录,且与已识别或者可识别自然人有关的各种信息可识别性标准:能否单独或结合其他信息识别特定自然人《中华人民共和国个人信息保护法》《中华人民共和国民法典》科学数据中常见的嵌入类型临床试验受试者数据、社会调查问卷原始数据商业秘密不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息三性标准:秘密性、价值性、保密性措施《中华人民共和国反不正当竞争法》《中华人民共和国民法典》科学研究过程中的阶段性、非公开成果新材料配方、未发表的算法模型、药物分子式重要数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用,可能危害国家安全、经济运行、公共利益等的数据危害性标准:对国家安全、公共利益等造成严重危害《中华人民共和国国家安全法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》当科学数据的规模、精度、敏感性可能影响国家安全或公共利益时,转变为重要数据人类遗传资源信息、关键领域地理空间数据
通过以上辨析可见,科学数据是一个复杂的集合体,可能同时包含个人信息、商业秘密、重要数据等多种数据类型,因而存在法律属性上的叠加。这种叠加性和情境依赖性,要求科学数据的治理体系必须摆脱“一刀切”的粗放式管理,转向更精细化、场景化的分类分级治理模式[10]。科学数据在跨境流通中表现出的特殊性,其根源于自身固有、区别于其他数据类型的内在属性。
1.2.2 科学数据跨境流通属性
(1)公益性与战略价值。科学数据流通是基于其客体本身属性。一方面,大量科学数据产生于公共财政资助的研究项目,其根本目标是增进全人类福祉;另一方面,科学数据拥有重要的战略价值,如人类基因组数据被视为严格管控的敏感数据。面对全球性科研攻关项目,需要科学数据共享。中国将科学数据共享视为国家科技创新的重要战略部署。这种公益性与战略价值之间的内在张力,使得科学数据的跨境流通从一开始就面临开放共享与安全可控的平衡问题[11]。
(2)高度的复杂性与异构性。与结构相对规整的商业交易数据或个人身份信息不同,科学数据表现出极高的复杂性和异构性。如描述生物多样性的信息采用Darwin Core标准,描述地理空间的信息采用ISO 19115标准,而气候预测领域则广泛使用NetCDF格式及CF元数据约定。这种固有的复杂性与异构性,使得科学数据的可用性依赖于完备的元数据(metadata)。没有准确、标准化的元数据,原始数据可能只是一堆无法解读的“天书”。因此,实现科学数据跨境流通的技术核心之一就是建立和遵循通用的元数据标准以及领域内特定的元数据规范,以实现数据互操作性。这直接导致科学数据的跨境流通不仅是数据本身的传输,而且是包含复杂上下文、描述信息和技术规范等在内的整个知识体系迁移,其技术门槛远高于一般数据的跨境流通。
(3)对可复用性与可验证性的追求。科学的生命力在于其可重复验证,这一基本原则决定了科学数据必须具备高质量的可复用性和可验证性。一次性、即时性的数据价值远不如长期、可信赖的数据价值[12]。为了实现这一点,科学数据在产生和流通过程中必须附带详尽的“数据家谱”(Data Provenance),即记录从数据采集、处理、分析到发布的全生命周期信息。这种对过程透明和结果可信的追求,使得科学数据的跨境流通不仅是数据内容的交换,而且是科学诚信和研究范式的传递。国际合作方需要能够依据共享数据和元数据,完整复现对方研究过程和结果。这与许多商业数据侧重于即时业务洞察而对长期可复用性要求不高的特点形成鲜明对比。
(4)跨境流通中的混合性需求。科学数据的跨境流通监管呈现出安全性与公益性并重的混合模式[13]。一方面,当科学数据涉及个人隐私时,必须无条件遵守个人信息保护相关规定。另一方面,由于科研本身服务于公益目的,在满足伦理审查和去标识化的前提下,有较高概率在数据跨境审批中获得比纯商业利用途径更宽松的许可条件。如何在保障其他法定权利的同时最大化数据的科研价值,已经成为各国面临的共同难题。
科学数据跨境流通治理的核心源于不同价值间的碰撞与冲突,如开放科学倡导的无边界知识共享与国家安全要求的属地化数据管控。开放科学是一种旨在使科学研究过程及成果对全社会透明、可及的全球性运动,其核心理念根植于科学公共性和知识积累性,认为科学发现应是全人类的共同财富。FAIR原则(Findable, Accessible, Interoperable, and Reusable)作为开放科学的行动纲领,明确要求科学数据应当易于发现、访问、互操作和重用,这一理念在全球性挑战日益严峻的今天显得尤为重要。无论是应对突发公共卫生事件、追踪病毒变异,还是模拟气候变化、预测极端天气,亦或是开展引力波探测、探索宇宙起源,都离不开全球范围内科学家的协同合作和海量数据的汇聚分析。阻碍科学数据的自由流动,无异于割裂全球科研事业的“神经网络”,阻碍人类应对共同挑战的进程。
随着数字时代的到来,数据被视为继土地、劳动力、资本、技术之后的第五大生产要素,并成为国家战略性资源。“数据主权”概念应运而生,其强调国家对其境内数据的产生、收集、处理、存储和流动拥有最高管辖权[14]。从国家安全角度,数据的重要性被提升到前所未有的高度。一方面,特定类型的科学数据本身就具有直接的战略价值,例如高精度的地理遥感数据可用于军事侦察、人类基因组数据可用于研发针对特定人群的生物武器、关键材料性能数据则关乎国防工业的核心竞争力。另一方面,通过聚合海量、多维度的科学数据,利用大数据分析和人工智能建模,可以揭示关乎国计民生、经济运行乃至社会心态的未来发展趋势,从而构成潜在的国家安全风险。因此,各国政府将数据安全,特别是关键领域数据安全置于优先地位。
如果说开放科学与国家安全间的矛盾是结构性的,当前日趋激烈的市场竞争则成为激化这一矛盾的催化剂。尤其是大国博弈已从贸易、科技领域延伸至数据领域,数据治理成为国家间规则竞争与战略博弈的重要议题[15]。部分国家将数据流动政策与特定的价值观标准以及“可信赖网络”等相挂钩,推动构建具有排他性倾向的数据合作安排。这种以安全为由收紧数据流动边界的做法,在客观上冲击了正常的国际科研合作,也进一步加剧了全球数据治理的对立与碎片化。
价值冲突是内在动因,规则层面的碎片化则是这种冲突固化为现实障碍的直接体现。全球数据治理领域并未形成如WTO贸易规则的统一多边框架,而是呈现出主要经济体各自为政、规则壁垒高砌的碎片化状态。
2.2.1 美国:“基本研究豁免”开放与精准管控并行
美国的规制模式总体上鼓励科学数据自由流动,特别是对于有公共资助的基础科学研究,其核心逻辑是通过豁免机制保障学术自由和知识传播,利用出口管制对可能危害国家安全的特定技术数据进行精准管控。如美国商务部工业与安全局(BIS)实施的《出口管制条例》(EAR)针对学术发展和科学研究设置了基本研究豁免规则(Fundamental Research Exemption, FRE)。根据该规则,在科学、工程或数学领域,若研究成果被广泛发布和共享,且研究人员未接受任何限制发布或传播的协议,则该研究过程中产生的技术或数据可不受上述条例的出口管制。这意味着符合豁免条件的研究数据可以自由地向海外合作者传输,境外研究人员在美国参与此类研究项目也无需申请许可。但是如果研究项目依赖于资助方或第三方提供且受出口管制的专有数据,则研究数据使用和流通依然会受到条例约束[16]。
美国能源部(DOE)的142.3A号令撤销了此前对高等教育机构进行基础研究的广泛豁免,要求对访问其设施、信息或技术的外国公民进行更严格的事先审批。虽然美国国立卫生研究院(NIH)的政策鼓励数据共享并要求大部分受其资助的项目提交数据共享计划以促进科学知识传播和再利用,但是NIH的共享政策仍受出口管制法规的限制。
2.2.2 欧盟:以基本权利为核心的个人/非个人数据双轨制
欧盟的规制模式根植于对基本权利的尊重,特别是《欧盟基本权利宪章》中明确规定的个人数据保护权。在此基础上,欧盟构建了以《通用数据保护条例》(GDPR)为核心、严格的数据治理框架,旨在对个人数据的跨境流通实施有效监管。在GDPR的架构下,所有包含可识别或可关联到自然人信息的科学数据,原则上均受到GDPR的管辖。为了平衡数据保护与科研自由,GDPR在第89条中专门设立了“科学研究豁免”。不过,GDPR对科研数据的规制是一种“受限的自由”,即仅当“使研究目的的实现变得不可能或严重受损”时,同时采取必要的技术和组织保障,才可适度放宽对数据主体权利的约束,如数据最小化、假名化、匿名化以及遵循公认的伦理标准。此外,鉴于《通用数据保护条例》将具体实施规则授权给各成员国,导致各国执行标准存在显著差异。在欧盟内部,法国和芬兰采取了比GDPR更严格的监管,而爱沙尼亚则相对宽松。这种碎片化治理可能催生监管套利空间。
对于不含个人信息的数据,欧盟最初通过《非个人数据自由流动条例》,旨在促进其在欧盟境内的自由流通。之后的立法则开始对非个人数据向欧盟境外地区传输施加新限制。如《数据法案》要求数据处理服务提供商采取合理措施,防止因与第三国法律冲突而导致非法数据传输;《数据治理法案》则对受保护的公共部门数据向第三国再利用转移设置了严格条件,要求接收国的知识产权和商业秘密保护水平与欧盟国家“基本相同”。这表明欧盟国家正在将“充分性保护”理念从个人数据领域延伸至具有战略价值的非个人数据领域[17]。
2.2.3 中国:“三法一例”下的清单管理模式
中国的监管体系主要由网络安全法、数据安全法、个人信息保护法和《数据出境安全评估办法》等法律法规构成。该体系的核心在于数据分类分级管理,具体划分为一般数据、个人信息、重要数据、核心数据。数据类别决定其出境路径。如大规模的人类遗传信息、特定地理测绘数据和关键领域临床试验数据一般被认定为“重要数据”,因而受到最严格的监管。根据数据分类结果,科学数据出境主要遵循3种法定路径:第一,由国家网信部门组织安全评估。重要数据或个人信息达到法定数量门槛的数据处理者,其数据出境必须通过国家互联网信息办公室组织的安全评估。第二,签订个人信息出境标准合同。对于未达到上述门槛的个人信息处理者,可通过与境外接收方签订标准合同并向所在地区省级网信部门备案的方式出境。第三,通过个人信息保护认证实现出境。近年来中国在自贸试验区实施了清单管理模式,该模式核心是“法无禁止即可为”,即凡是未被列入“负面清单”的数据在满足基本合规要求后可以相对自由地流通,无需经过上述严格的申报评估程序。中国多个自贸区已发布针对特定行业的清单。如上海临港新片区发布“一般数据清单”,将临床试验、药物警戒等常见场景纳入清单,允许满足条件的数据自由流动;北京则发布“负面清单”,规定特定规模或精度的基因数据、累计超过一定数量的临床试验受试者个人信息等在负面清单内,必须通过规定路径出境。
由于各国或地区管辖条款细节的不同,科学数据跨境流通治理模式的差异从理论分歧演变为现实中的法律冲突[18]。当不同的数据规则在同一个跨国数据处理活动空间交汇时,冲突不可避免。如在美国伊利诺伊北区联邦地区法院审理的“Jose Buan案”中,当地法院的证据开示要求与《中华人民共和国数据安全法》中关于数据出境需经主管机关批准的法律法规相冲突。中国企业若不提供数据,将在美国面临败诉风险和藐视法庭的制裁;若提供数据,则可能违反中国法律,面临行政处罚甚至刑事责任。对于从事国际合作的科研机构而言,可能面临两难困境。
价值冲突和规则碎片化的弊端会传导至科研实践的微观层面,异化为沉重的交易成本和制度性障碍,导致科研效率与安全保障失衡。在科学数据跨境流通过程中,制度性交易成本是指科研机构为了遵循法律规制、完成行政程序而付出的时间、金钱和精力。如国内科研机构将涉及重要数据或大量个人信息的科研数据集传输给境外合作方前,需要经历一系列复杂的出境安全评估流程:首先进行深入的自我评估,撰写数十份风险自评报告,然后提交给省级网信部门进行形式审查,最后再报送国家网信部门进行实质性评估,整个周期可能长达数月甚至更久。在此期间,科研机构需要聘请专业的法律和技术顾问撰写风险自评报告,并与监管部门沟通,这可能会延缓科研项目进展,也会增加项目成本。
相比经济成本,更具破坏性的是法律模糊性带来的“寒蝉效应”。当法律中某关键概念界定不够清晰或者执法自由裁量权弹性过大时,行为主体会倾向于采取保守策略以规避风险[19]。实践中,科研人员如无法准确判断其研究数据是否触碰红线,为规避风险,会禁止所有数据出境,或者在国际合作中避免涉及任何实质性的数据交换。这种收缩行为虽然保护了机构和个人免受法律风险,但牺牲了国际合作机会和潜在科学发现可能。长此以往,易导致本国科研体系内卷化和孤岛化,在全球科技竞争中逐渐丧失前沿阵地[20]。这种难以量化的无形损失远比直接的经济成本影响更深远,最终表现为科研效率下降。在许多前沿领域,科学发现都有窗口期。如在需要全球协作的气候变化模型项目中,如果关键区域的气象数据因审批延迟而无法及时汇入,整个模型的准确性和预测能力都会大打折扣。此种情形下,数据流动的“时滞”将转化为科学发现的“迟滞”。
综上所述,价值理念的冲突、全球规则的割裂与实践成本的负担共同构成当前科学数据跨境流通的桎梏。面对多重困境,需通过制度设计寻求二者间的平衡。
3.1.1 构建数据跨境合作圈层模型
面对全球规则碎片化的现实,采取“一刀切”的对外合作策略并不可行,可以借鉴外交和经贸领域的成功经验,构建差异化的数据跨境合作圈层模型,对不同国家和地区采取不同数据合作策略,具体见图1。
图1 数据跨境合作圈层模型
Fig. 1 Layer model of cross-border data collaboration
核心圈为战略互信区。在该圈层中,合作对象是具有高度政治互信、已签署全面战略协作伙伴关系且在数据安全理念上较为接近的国家,如“一带一路”共建国家、上海合作组织成员国等。与此类国家开展合作,需推动建立数据安全与治理的互认机制,通过双边或小多边协定,形成相互承认的数据保护法律体系和安全标准,并且在科学研究领域具有等效性。在此基础上实现科研数据的“准自由流动”,即仅需在机构层面进行备案或履行简化的通知程序,而无需逐案进行政府层面的安全评估。该合作模式可以提升合作效率,形成紧密的数据合作共同体[21]。
中间圈为规则对接区。该圈层内的合作对象是数据治理模式存在差异但拥有重要经贸与科技合作关系的国家和地区,如欧盟。在该圈层中,合作模式可采取“求同存异、积极对接”策略,核心是寻找法律体系间的最大“公约数”。具体而言,通过加强对话,尝试在基于通用数据规则的标准合同条款(SCCs)框架下加入符合我国个人信息保护法要求的本地化附件,形成双方监管机构都能接受的“SCCs+”版本。如针对气候科学等特定科研领域,可以共同制定数据分类分级和风险评估标准。同时,建立联合专家委员会以解决可能出现的争议。针对该圈层国家或地区的数据输入及输出,则应采取基于合同的强监管模式,即通过法律合同明确数据安全责任,并辅以定期的合规审计。该模式的实施目标不是消除规则差异,而是基于差异搭建规则之桥。
外围圈为风险管控区。在该圈层内,合作对象是可能存在地缘政治竞争、法律法规冲突风险较高的国家。在该圈层中,合作模式应采取“底线思维、技术为主”的审慎策略。与该圈层国家或地区的科研合作必须以数据安全为首要前提[22],数据出境必须经过严格的国家安全评估。具体而言,强制要求合作项目必须在中国境内或双方共同认可的第三方平台上通过可信科研数据空间或联邦机器学习等隐私计算技术进行。换言之,数据本身不出境,仅允许利用经过安全审查的算法和模型进行计算,将脱敏后的结果数据带出。在这种模式下,科学数据跨境流通合作从数据交换转变为计算能力交换,以实现在不损害数据主权和安全的前提下维持与全球科研力量的合作。
3.1.2 充分利用软法与非政府渠道
鉴于硬性法律条约的谈判周期长、难度大,且容易陷入政治僵局,在外部治理中可以充分利用软法和非政府渠道。其一,推广示范合同与行为准则,即由科技部、国家自然科学基金委员会等牵头制定科研数据跨境共享示范合同、科研人员数据伦理行为准则等。此类规范性文件虽然不具备强制性的法律效力,但可以为一线科研人员提供清晰、便捷的合规指引,在降低法律风险的同时,在国际科学共同体中逐渐成为事实上的行为规范[23]。其二,发挥学术共同体的作用,如鼓励国内的大学、协会与国外相关组织及机构建立常态化对话机制。如相关国家的科学院、权威科研机构可以就特定领域的数据共享展开合作,共同发布报告。这种基于科学共同体内部信任的交流,可以自下而上地为政府间谈判积累共识和创造条件。其三,发挥非政府组织和第三方平台作用。第三方的数据治理服务机构可以提供中立的数据合规审计、安全评估认证以及跨境数据信托等服务,以作为政府监管之外的有益补充,并为中小科研机构提供专业服务。
当前我国的数据安全法规体系已初步建立,但精细度有待提升,特别是对科学研究这一特殊场景的适应性稍显不足。内部治理的核心从以往较笼统、刚性的管控模式转向更具精细化、弹性化的治理模式[24],以期在确保安全底线的前提下为科学探索释放最大空间。
3.2.1 澄清关键法律概念的适用边界
对现有法律中关键概念在科学研究场景下的适用边界进行澄清是内部治理的首要步骤。 一方面,需明确履行合同所必需的判断标准。《中华人民共和国个人信息保护法》第十三条将“为订立、履行个人作为一方当事人的合同所必需”作为个人信息处理和跨境传输的合法性基础之一,但其在科研领域的适用性一直存在争议。建议明确以下两点:关于合同范围的认定,应明确合法签署的国际科研合作协议、多中心临床试验协议、数据共享协议均视为覆盖对象;关于必需性界定,应建立以科研目标为导向的判断标准,即个人信息处理或跨境传输是否对协议中约定的科研目标实现不可或缺,如验证某科学假说、完成特定样本量的统计分析。另外,可由相关领域科学家组成的专家委员会进行评估和出具意见,以供监管部门和司法机关参考,推动科学共同体参与科学问题判断。
另一方面,构建公共利益程序化认定机制。《中华人民共和国个人信息保护法》第十三条规定了在“为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全”以及“为公共利益实施新闻报道、舆论监督”等信息处理情形下,个人信息处理者方可在规定的合理情形下处理个人信息。此条款可以扩展适用于科学研究领域,但认定需符合客观标准。对于涉及公共利益的研究,应明确是由国家级科研基金资助、旨在应对重大公共挑战以及由权威伦理委员会审查通过的非营利性研究,此三类研究原则上被推定为符合公共利益要求。对于希望适用公共利益豁免的数据跨境流动,应建立清晰、高效的申请和认定程序。如由项目牵头机构向其主管部门提出申请,由主管部门组织专家论证后出具认定意见。获得公共利益认定的项目在进行数据出境时,可豁免个人单独同意的要求,同时,在安全评估中可将公共利益认定作为积极考量因素。
3.2.2 完善科学数据出境规则
(1)完善科学数据分类分级规则。在国家层面,应在数据分类分级保护的顶层设计中增设“科学数据”这一特定类别,并根据生物医学、空间科学、环境科学等学科领域,以及敏感程度、开放属性,制定专门的分类分级标准和管理办法。2025年《科学数据安全分类分级指南》正式生效,后续需加速配套实施。另外,推进重要数据目录化与动态化管理,尽快出台生物医药、人工智能、新材料、航空航天等重点科学领域的“重要数据目录”,明确哪些科学数据属于严格管制的重要数据,为科研机构提供清晰的合规指引,消除不确定性。同时,建立目录的动态更新机制以适应科技发展变化[25]。
(2)优化数据出境安全评估机制。针对须进行安全评估的重要科学数据,应优化现有评估机制,提升专业性、工作效率和可预测性。在国家网信部门安全评估的基础上,设立专门面向科学研究项目的评估通道或工作组。该工作组的评估专家需包含来自相关科研领域的科学家和数据专家,以确保准确理解科研活动的真实需求和风险。针对国际多中心临床试验、天文联合观测、气候模型合作等典型科研场景,建议发布详细的评估申请指引和脱敏案例展示,提高申请材料质量,并给予科研机构明确的预期。同时,允许申请机构在评估过程中主动提出与承诺额外的风险缓解措施,如采用隐私计算技术、增加境外合作方的违约赔偿责任、接受定期审计等措施,并以此类措施的承诺行为作为评估获得通过的附加条件。
(3)适用负面—豁免的双清单管理模式。鼓励科学数据开放的同时必须守住安全底线,可探索试点科学数据领域的负面与豁免双清单管理模式。在负面清单层面,由国家安全、保密等部门牵头,联合科技、工信等部门,制定禁止或严格限制出境的科学数据清单。清单内应以最小化为原则,清晰列出涉及国家安全、国防利益、重大社会公共利益的核心敏感数据类别。未被列入负面清单的科学数据,原则上推定为可以出境。这种“法无禁止即可为”模式有利于缓解寒蝉效应[26]。在豁免清单层面,制定有助于简化出境程序的科学数据清单作为负面清单的补充,如将服务于全球的重大公共利益项目、由国际组织发起并有中国机构深度参与的重大项目以及对提升中国科技话语权有显著作用的合作项目所涉及的数据列入豁免清单,其数据出境可享受诸如备案制的简化程序或者在安全评估中享有优先处理权。
当前,科学数据跨境流通面临种种桎梏。宏观层面,开放科学的内在要求与国家安全的绝对优先存在冲突,在地缘政治博弈中进一步凸显;中观层面,不同国家或地区的治理模式存在较大差异,如欧美法律体系的“长臂管辖”在全球范围内引发激烈的司法冲突,并加剧规则的碎片化;微观层面,价值冲突一旦转化为高昂的制度性交易成本,其引发的寒蝉效应会损害整体的科研效率。基于此,本文提出构建安全与发展相平衡的治理范式。在外部治理上,通过构建差异化的数据跨境合作圈层架构,针对不同合作对象采取不同策略,同时,利用软法与非正式渠道凝聚共识、化解分歧。在内部治理上,将治理核心从粗放式管控转向精细化治理,一方面,进一步澄清合同履行所必需、公共利益等关键法律概念在科研场景下的适用边界;另一方面,制定更为精细的科学数据分类分级规则,优化科研项目数据出境安全评估机制,探索负面清单+豁免清单的管理模式,为科研活动提供稳定、清晰的法律预期。
科学数据跨境流通治理的本质,是在不确定性中寻求确定性,在冲突中构建信任。通过外部治理视角的转变与内部治理体系的构建,坚守国家安全底线的同时,最大限度地释放科学数据的创新潜能,推动全球科学合作、增进全人类共同福祉。
[1] 孙瑜晨,郑诗彦.开放共享为导向的科学数据分类分级制度建构:价值旨归与实现路径[J].科技进步与对策,2025,42(12):140-150.
[2] 冉从敬,何梦婷,刘先瑞.数据主权视野下我国跨境数据流动治理与对策研究[J].图书与情报,2021,41(4):1-14.
[3] 王燕.跨境数据流动治理的国别模式及其反思[J].国际经贸探索,2022,38(1):99-112.
[4] 马涛,刘秉源.数据跨境流动、数据要素价值化与全球数字贸易治理[J].国际经济评论,2024,32(2):151-176.
[5] SOHRABLB,SHAH K,NAWAZB.Bridging the gap: cross-border data flows &data protection harmonization in Pakistan [J].Journal of Social Sciences Development,2024,3(3):232-247.
[6] 王洪亮,叶翔. 数据访问权的构造——数据流通实现路径的再思考 [J]. 社会科学研究, 2023, 45(1): 71-84.
[7] 司莉,刘先瑞.面向开放科学的科学数据治理:概念、框架与展望[J].情报科学,2023,41(9):1-7.
[8] OECD. OECD Principles and guidelines for access to research data from public funding [EB/OL].(2015-11-24)[2025-7-24].http://www.oced.org/sti/sci-tech/38500813.pdf.
[9] HEIKO R. Looking at the Data Governance Act and beyond: how to better integrate data intermediaries in the market order for data sharing[J].GRUR International,2023,72(4):458-470.
[10] 初萌.科技立法基本原则、监管趋势与未来展望 [J]. 科技进步与对策, 2024, 41 (5): 90-98.
[11] OPEN ACCESS 2020. Expression of interest in the large-scale implementation of open access to scholarly journals[EB/OL].(2020-03-31)[2025-7-24]. https://oa2020.org/mission/.
[12] BURNS R,VOGELSTEIN J T,SZALAY A S.From cosmos to connectomes:the evolution of data-intensive science[J].Neuron,2014,83(6):1249-1252.
[13] 张耀南,李茜荣,康建芳,等.美国科学数据发展政策与规划[J].中国科学数据(中英文网络版),2025,10(2):367-385.
[14] 张丽丽,温亮明,石蕾,等.国内外科学数据管理与开放共享的最新进展[J].中国科学院院刊,2018,33(8):774-782.
[15] 李凡.开放共享视野下科学数据权利配置的实现路径[J].中国科技论坛,2025,41(2):19-29.
[16] 盛小平,郭道胜.科学数据开放共享中的数据安全治理研究[J].图书情报工作,2020,64(22):25-36.
[17] 张晓君.数据主权规则建设的模式与借鉴——兼论中国数据主权的规则构建[J].现代法学,2020,42(6):136-149.
[18] 刘语,曾燕.论有偿使用制度推动公共数据开放发展[J].西安交通大学学报(社会科学版),2023,43(4):90-99.
[19] 王顺清,刘超. 欧美个人数据跨境转移政策变迁及对我国的启示[J].行政与法,2017,35(8):96-102.
[20] 田旭.欧盟个人数据保护法的全球影响成因与启示[J].江西财经大学学报,2020,22(4):135-147.
[21] 郭朝先,李婷,罗芳.数据跨境流通规则博弈与中国应对[J].中国流通经济,2024,38(9):27-38.
[22] 程骋,江岚,黄弘毅. 总体国家安全观视阈下科技安全的法律保障 [J]. 科技进步与对策, 2025, 42 (13): 131-138.
[23] 黄小茹,王贝特.道德和价值嵌入:科学家精神实践路径探析[J].自然辩证法研究,2024,40(11):123-130.
[24] 金耀.数据治理法律路径的反思与转进[J].法律科学(西北政法大学学报),2020,38(2):79-89.
[25] 王伟玲.全球数据治理:现实动因、双重境遇和推进路径[J].国际贸易,2021,40(6):73-80.
[26] 沈忱,胡艳. 市场准入管制放松与本地化创新能力——基于市场准入负面清单的准自然实验 [J]. 科技进步与对策, 2025, 42 (23): 116-126.