信息主权：数据隐私、主权权力与法治 平装

反思传统法律思维，再造网络时代的“主权”概念 

重新理解网络时代权利、权力与秩序之间的关系 


 

拉迪姆•波尔卡克（Radim Polčák），捷克马萨里克大学法学院教授，法律与技术研究所主任。
丹•杰克尔•B.斯万特松（Dan Jerker B. Svantesson），澳大利亚邦德大学法学院教授，兼任斯德哥尔摩大学瑞典法律和信息学研究所研究员。他们的主要研究方向为信息技术领域的国际法律制度。
郑智航为山东大学法学院教授、院长，雷海玲为天津社会科学院助理研究员，于江磊为山东大学法学院博士研究生。

本书以“信息主权”概念重构个人隐私与国家主权之间的理论联系，揭示了二者在事实基础、规范结构和价值目标上的内在相似。个人对信息的自主支配权与国家对网络空间的规范权力，分别构成私人信息主权与国际信息主权的两个维度，共同奠定数字时代国际信息秩序的法治基础。这两个维度在实践中的碰撞与互动，集中体现于数据跨境流动、网络安全防御、跨境执法等当代数字法治领域颇具挑战性的议题之中。围绕这些议题，本书系统论证了不干涉、礼让、审慎、不造成损害等法律原则在全球数据治理中的适用逻辑。针对传统国际法过度依赖属地原则确定数据管辖权的思维路径，本书则提出了富有启发性的批判，并试图提供一种更符合信息网络本质的替代方案。

前言
致谢
缩略词
法律依据表
第一章 引言
1.1 引言
1.2 一个非常重要的发展领域
1.3 用户指南（如何阅读此书）
第二章 “波将金法”
2.1 叶卡捷琳娜大帝的“应当”
2.2 维纳的“是”
2.3 善的规则
2.4 善的事实
2.5 命令太阳下山
2.6 空间范式
2.7 控制数据
2.8 结论——信息法的否定本体论
第三章 国际信息主权
3.1 引言
3.2 监管还是不监管，不再是一个问题
3.3 国际法律体系：国际公法与国际私法
3.4 管辖权
3.5 利用线下世界的类比和隐喻
3.6 属地管辖权和域外管辖权
3.7 主权
3.8 主权、主权国家和它们的“神”
3.9 不干涉义务
3.10 国际礼让
3.11 审慎义务与不造成损害原则
3.12 同意——其中心地位被高估了
3.13 我们将去向何方
第四章 私人信息主权
4.1 隐私的世纪
4.2 被置于不顾
4.3 安宁权
4.4 隐私的边界
4.5 信息隐私与信息主权
4.6 第一层含义——隐私的独立存在
4.7 第二层含义——限制或正当的侵犯
4.8 第三层含义——从其他概念中剥离出来
4.9 第四层含义——同意
4.10 超越隐私——个人数据
第五章 “马法”文化
5.1 信息法，抑或无名之法
5.2 一个新的法律传统
5.3 传统法律的终结
5.4 法律人对效率导向的制约
5.5 无须等级秩序的法律体系
5.6 弗洛伊德的前进之路
5.7 方法论困境
第六章 解决主权冲突的可能方法
6.1 引言
6.2 合法利益和实质性联系——二者的共同来源和相似性
6.3 实质性联系
6.4 合法利益
6.5 利益平衡
6.6 适用于数据隐私的拟议框架
6.7 结语
第七章 “刺猬”式网络安全
7.1 虚拟化安全
7.2 私营化安全
7.3 非本地化安全
7.4 国内还是国外
7.5 领土和数据之间没有直接联系
7.6 有体物本位或过程本位
7.7 勤勉的主权者
7.8 选择信息主权
7.9 审慎义务
7.10 狐狸和刺猬
第八章 “刺猬”式执法
8.1 引言
8.2 当前环境的特点
8.3 管辖权：何种类型，及于何物
8.4 痴迷于单因素检验是无益的
8.5 属地性束缚
8.6 执法数据获取的管辖权框架
8.7 推动变革——我们共同的责任
第九章 “刺猬”式跨境数据传输
9.1 引言
9.2 数据隐私法如何处理跨境数据流动
9.3 欧洲通过全球移除链接令推行数据殖民化
9.4 结语
第十章 结论
参考文献
索引

想象一下互联网是一片海洋。鉴于互联网和海洋都将世界联系在一起，这个类比并不牵强。事实上，如前所述，我们不止一次看到有人呼吁把互联网视为公海，即把互联网视为类似于公海、外层空间和南极洲这样的又一个国际性空间。
如果我们将互联网视为海洋，那么将互联网巨头或者说互联网之“神”（如谷歌、脸书、微软和推特）比作控制海洋的神可能是恰当的。在希腊神话中，是指波塞冬；在罗马神话中，人们会提到海神尼普顿；而在北欧神话中，则指尼奥尔德。
乍一看，这个类比可能显得很幼稚。然而，就像那些能够以某种方式控制海洋之神（波塞冬、尼普顿、尼奥尔德等）的国家或民族，可以间接控制海洋本身一样，那些能够控制互联网之神（谷歌、脸书、微软等）的国家或民族，在很大程度上也可以控制互联网。同时，任何这些“神”被任何特定国家过于严格地控制或关联，都不符合其利益。毕竟，如果国家或民族觉得海洋之神偏袒他国，他们很可能放弃那个神而选择自己的新神。在互联网背景下，我们已经看到某些国家偏向于支持国内的搜索引擎、国内的社交媒体和国内的操作系统，而非美国的“互联网之神”提供的服务。
这个类比的用处并没有到此为止。维京时代的斯堪的纳维亚人皈依基督教（放弃海神尼奥尔德、美神芙蕾雅、雷神索尔等）的一个关键原因，是加入基督教世界所带来的贸易利益。同样，国家和人民可能会受益于采用美国互联网之神，因为他们的影响力几乎遍及全球。在社交媒体领域，这一点或许显而易见：通过加入庞大的脸书网络建立跨境社交网络的可能性比加入一个小国的本地社交媒体网络要大得多。类似的推理也适用于其他场景。例如，谷歌搜索引擎上的广告可能会给你带来地理范围更广泛的曝光，这是本地搜索引擎上的广告无法实现的。
从这一切中，我们开始看到相关各方的利益矩阵——也看到了一个生态系统。在这个生态系统中，国家主权已不再像过去那样拥有绝对的控制力。
此外，上述结论表明，尽管各国对允许使用外国互联网巨头提供的服务有重大利益，但这种利益将与确保其独立性的需求相冲突。因此，与互联网服务来源国关系较弱、对其信任程度较低的国家更有理由阻止访问该服务，或者至少鼓励或开发该服务的替代品。在这里，我们可以指出一些国家出于对某些其他国家的硬件产品可能被设置用于制造商所在国的情报收集活动的担忧，而选择避免使用这些硬件的决定。
在此背景下，我们可以有效地回顾上文介绍的主权概念。重要的是，由于相关技术——包括技术能做什么和不能做什么等基本问题——在很大程度上掌握在技术开发者手中，而不是掌握在各个主权国家手中，只有那些政治决心极强且不关心本国公民无法使用某些在线设施的国家，才能够对互联网技术进行相对高度的控制。例如，它们通过将国际互联网通信限制在本国政府控制的通道内、屏蔽外国内容以及禁止部分技术来实现这一点。
开放的民主国家在控制互联网技术方面要困难得多。劳伦斯·莱斯格在其广受欢迎的著作《代码：网络空间中的法律》中，引起了人们对互联网不仅通过法律而且通过技术发展而被监管这一事实的关注，并增加了对此的理解；但他的许多主张在更早的文章中就已被提出：
我认为，我们可以将现实空间中的监管理解为四种约束的集合——法律、规范、市场以及我称之为“现实空间的代码”（real space code）的东西。我们可以用同样的方式理解网络空间的监管。网络空间的监管也是类似约束的集合，也即法律、规范、市场以及“代码”这四种约束。
尽管莱斯格概述了四种监管机制，但在这里只有法律代码和计算机代码之间的关系是相关的。在将架构称为“代码”时，莱斯格指出：
一旦明了代码可以取代法律，那么代码编写者的背景就变得至关重要。代码本质上成为一种替代性的主权者——因为它本质上是一种替代性的监管结构。但谁来编写这种主权权威？他们有什么合法性？
从这个意义上说，互联网确实挑战了主权。一个国家可能能够通过诸如限制某些类型的技术（包括硬件）的进口，来控制在其境内使用的大多数技术；但在互联网的情况下，各国被迫接受现成的技术，而不能在更大程度上影响它。从某种意义上说，这说明了一种情况：为了从互联网技术中获得它们认为有用的好处，国家也必须接受那些它原本希望通过行使主权而排除的部分。
…………
（2012年，美国）联邦通信委员会调查了一项指控，即谷歌使用一种算法，从街景车漫游区域的无线网络中窃取内容，包括高度敏感的个人数据。谷歌为自己辩护称，这种“嗅探”并非有意为之，因为相关代码是错误地包含在街景汽车系统中的。同时，联邦通信委员会只能证明谷歌汽车在嗅探不安全的 Wi-Fi 网络，而没有证据证明这种行为也发生在安全的网络上。由于大卫·克拉维茨（David Kravets）在《连线》杂志（Wired）上所称的“阻碍调查”，谷歌被罚款 2.5 万美元（约占其当年年收入的 0.00005%）。
在我们看来，谷歌被罚款的原因远非道德上的卑鄙。他们所做的可以被简单地解释为不愿意提供相关文件，就像孩子做了错事，之后必须回答父母提出的令人不安的问题一样。然而，除其他事项外，谷歌还被要求提供一份它通过嗅探无线网络收集到的实际数据的副本。对此，谷歌表示，“任何政府机构为解决此事而检查美国公民的通信和个人信息都是不谨慎或不必要的”。
在这一点上，我们可以先不谈谷歌收集和处理这些数据在多大程度上是“谨慎和必要的”。在信息主权问题上，更重要的是联邦通信委员会根本没有得到这些数据。这在相关案件中并不构成问题，因为谷歌已经在其他国家因隐私和数据保护指控而被定罪，这些国家的调查人员从街景汽车中获取了原始数据。因此，联邦通信委员会可以顺理成章地暗示，当相同的软件在其他地方使用时，很可能在美国也收集到了类似类别的数据。联邦通信委员会的通知没有审查实际数据，而是引用了加拿大、法国和荷兰的数据保护或电信当局的决定。
如果假设其他国家事先没有进行调查，而联邦通信委员会又需要这些数据，谷歌仍有一些选择（除了之前讨论过的简短回复，这并不明智）。例如，谷歌可以将街景车收集到的所有数据以原始形式提供给联邦通信委员会，并声明自己不具备解读这些数据的能力。在这种情况下，联邦通信委员会就只能得到无穷无尽的二进制数据，并需要找人来解读这些数据。第二种选择是，谷歌声称自己已经意识到收集“美国公民的通信和个人信息”违反了法律，并删除了所有信息。这样，联邦通信委员会要么相信谷歌的说法，要么证明谷歌的说法并不属实（通过某种方式证明这些数据确实存在，并且由谷歌持有或控制）。
我们选择这个例子是为了说明两个简单的事实。首先，就数据而言，拥有我们传统上理解的对某些领土或基础设施的主权权力，并不一定意味着对物理上放置在那里的数据拥有控制权。主权国家甚至不可能发现数据是否存在于其领土上和 / 或数据的含义。其次，一个主权国为了对其领土上的数据实施有效控制，可能不可避免地要接受其他主权国的帮助——无论是国际公法上的主权国，还是实际位于其有效管辖范围之外的网络空间的诸神。
有人可能会说，这里的领土主权和信息主权仍然没有真正的区别，因为它们之间仍然存在逻辑上的牵连。当一个国家是领土主权国时，这意味着它对本地化的数据拥有主权权力，因为它最终有能力通过暴力手段强制执行其规范性意志（而且因为所有数据最终都必须存储在有形的东西上，并由人来控制）。荒唐点说，美国政府理论上可以通过炸毁谷歌数据中心或对谷歌官员实施足够长的水刑来行使其主权行政权，迫使他们说出所谓被删除数据的实际位置。
然而，建立主权所需的力量不仅涉及终极暴力，还涉及有效控制。如果一个国家仅凭能够摧毁境内出现的任何东西就宣称对某一领土拥有主权，这是有问题的。这就好比一个司机声称自己控制了汽车，但她能做的只是炸毁这辆汽车，却不能进入汽车或将汽车开到任何地方。在某些情况下，为了建立有效的控制，威胁使用终极暴力可能会奏效，但前提是受到威胁的一方尚未认识到使用终极强制手段的可能性只是理论上的。
以上所述不应给人留下这样的印象，即我们希望要求国家对信息交易拥有完全的控制权，以便宣称它们对其领土内的数据拥有主权。另一方面，当一个国家对这些“在其主权领土内的活动”没有任何控制权，或者它显示其权力的唯一方式（如格劳秀斯所要求的）就是完全摧毁相关物体，即用于存储、处理或传输数据的基础设施时，它这样做是非常有问题的。此外，在这种情况下，如果国家声称拥有主权，而实际控制和管理数据的能力虽然存在但显然是由其他人行使的，那么它们的行为似乎与圣埃克苏佩里笔下的国王类似。
摘自《信息主权：数据隐私、主权权力与法治》第75—78、193—196页。