隨著數(shù)字經(jīng)濟(jì)的迅速發(fā)展，數(shù)據(jù)呈現(xiàn)爆發(fā)式增長并且海量集聚，對經(jīng)濟(jì)發(fā)展、社會治理、人民生活都產(chǎn)生了重大而深刻的影響，數(shù)據(jù)安全已成為事關(guān)國家安全與經(jīng)濟(jì)社會發(fā)展的重大挑戰(zhàn)。美國近期在外國投資安全審查制度改革中重點(diǎn)關(guān)注了數(shù)據(jù)安全風(fēng)險(xiǎn)并進(jìn)行了針對性制度設(shè)計(jì)。本文將對美國外資安全審查改革中的數(shù)據(jù)安全審查規(guī)定做一梳理，以期為我國數(shù)據(jù)安全審查制度的構(gòu)建提供有益參考。

　　一、美國外資安全審查制度及近期改革概述

　　美國是世界上最早對外國投資實(shí)施國家安全審查制度的國家。1988 年，美國頒行《1988 年綜合貿(mào)易與競爭法》。該法授權(quán)美國總統(tǒng)可以為了國家安全調(diào)查外國主體收購、兼并、接管或入股美國企業(yè)，并在必要時(shí)可以阻止相關(guān)交易。之后，美國通過 2000 年《伯德修正案》和 2007 年《外國投資與國家安全法》，逐步形成了以美國外國投資委員會（CFIUS）為審查機(jī)構(gòu)的外資安全審查制度。

　　美國外國投資委員會是直接受命于美國總統(tǒng)的一個(gè)跨部門委員會，由美國財(cái)政部部長擔(dān)任主席，協(xié)助美國總統(tǒng)審查外國對美經(jīng)濟(jì)直接投資的國家安全風(fēng)險(xiǎn)，美國總統(tǒng)根據(jù)該委員會的審查建議可以做出暫停或禁止交易的決定。傳統(tǒng)的美國外資安全審查的管轄范圍僅包括可能導(dǎo)致外國主體“控制”美國商業(yè)的交易。根據(jù)美國上述法律的規(guī)定，“控制”是指“確定、指導(dǎo)或決定受影響主體重要事項(xiàng)的直接或間接的權(quán)力”；“美國商業(yè)”是指不論控制人的國籍如何，任何在美國從事跨州商務(wù)的實(shí)體。

　　2018 年 8 月，美國總統(tǒng)特朗普簽署了《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》（Foreign Investment RiskReview Modernization Act of 2018，F(xiàn)IRRMA）。該法增強(qiáng)了美國外國投資委員會（CFIUS）的授權(quán)和現(xiàn)代化，以更加有效地應(yīng)對國家安全關(guān)切。在美國此次外國投資安全審查改革中，重點(diǎn)之一就是關(guān)注和應(yīng)對外國投資交易中高風(fēng)險(xiǎn)敏感數(shù)據(jù)對國家安全的影響。對此，美國《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》主要從兩方面進(jìn)行了制度設(shè)計(jì)：一是界定影響國家安全的高風(fēng)險(xiǎn)敏感數(shù)據(jù)的范圍；二是將涉及這些高風(fēng)險(xiǎn)敏感數(shù)據(jù)的外國非控制性投資納入外資安全審查范圍。

　　二、審查要素增列了敏感個(gè)人數(shù)據(jù)的國家安全風(fēng)險(xiǎn)

　　美國《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》認(rèn)為，外資安全審查應(yīng)該增加考慮“受管轄交易直接或間接可能暴露美國公民個(gè)人可識別信息、基因信息或其他敏感數(shù)據(jù)的范圍”，原因在于“這些信息可能被外國政府或外國主體獲取，并以威脅美國國家安全的方式挖掘利用”。例如，通過數(shù)據(jù)聚合分析，可能會發(fā)現(xiàn)某些關(guān)鍵崗位人員的財(cái)務(wù)或健康狀況，以此威脅、利誘這些人員實(shí)施危害國家安全行為。

　　從上述邏輯出發(fā)，該法將對于國家安全造成威脅的高風(fēng)險(xiǎn)敏感數(shù)據(jù)界定為“敏感個(gè)人數(shù)據(jù)”，并明確將敏感個(gè)人數(shù)據(jù)列為外國投資安全審查時(shí)評估國家安全風(fēng)險(xiǎn)的要素之一。需要指出的是，這里的“敏感個(gè)人數(shù)據(jù)”并不是常說的“個(gè)人敏感數(shù)據(jù)”或“個(gè)人敏感信息”，這里的“敏感”并不是強(qiáng)調(diào)相關(guān)主體個(gè)人權(quán)益的保護(hù)，而是強(qiáng)調(diào)對美國國家安全的威脅。《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》的實(shí)施細(xì)則，從兩方面界定了影響國家安全的敏感個(gè)人數(shù)據(jù)：

　　一是界定了可識別數(shù)據(jù)，其是指“可用于區(qū)分或追蹤個(gè)人身份的數(shù)據(jù)，包括個(gè)人身份標(biāo)識符”。如果交易一方具備使聚合數(shù)據(jù)分解、匿名數(shù)據(jù)去匿名化的能力，那么聚合數(shù)據(jù)和匿名數(shù)據(jù)也是可識別的。實(shí)施細(xì)則列出了 10 類個(gè)人可識別數(shù)據(jù)，分別是：個(gè)人財(cái)務(wù)狀況數(shù)據(jù)，消費(fèi)者信用報(bào)告數(shù)據(jù)，保險(xiǎn)申請相關(guān)數(shù)據(jù)、個(gè)人身體、精神或心理健康狀況數(shù)據(jù)，非公開的電子通信數(shù)據(jù)，地理位置數(shù)據(jù)，生物識別數(shù)據(jù)（包括面部、聲音、視網(wǎng)膜/虹膜和手掌/指紋），州或聯(lián)邦的個(gè)人身份證數(shù)據(jù)，政府工作人員安全審查狀況相關(guān)數(shù)據(jù)，政府工作人員安全審查申請或公眾信任職位申請。此外，個(gè)人的基因檢測結(jié)果包括基因測序數(shù)據(jù)，也構(gòu)成可識別數(shù)據(jù)，但應(yīng)該排除美國政府維護(hù)的數(shù)據(jù)庫為了研究目的定期向私營部門提供的基因檢測結(jié)果數(shù)據(jù)。

　　二是界定了“對國家安全的風(fēng)險(xiǎn)性”。細(xì)則規(guī)定被投資的美國商業(yè)應(yīng)具備下列情形之一：目標(biāo)或定制產(chǎn)品或服務(wù)是針對負(fù)有情報(bào)、國家安全或國土安全職責(zé)的美國行政機(jī)構(gòu)或軍事部門，或者針對這些機(jī)構(gòu)或部門的工作人員和承包商；在交易完成或者提交書面通知或申報(bào)之前 12 個(gè)月內(nèi)的任一時(shí)間節(jié)點(diǎn)，曾經(jīng)持有或者收集超過 100 萬人的可識別數(shù)據(jù)；其已證明的商業(yè)目標(biāo)，是持有或者收集超過 100 萬人的可識別數(shù)據(jù)，且這些數(shù)據(jù)屬于所投美國商業(yè)的主營產(chǎn)品或服務(wù)不可分割的一部分。由此可知，只有所投資的美國商業(yè)持有或收集的個(gè)人可識別數(shù)據(jù)不是來自上述美國政府部門或人員，并且數(shù)據(jù)量沒有達(dá)到 100 萬人的門檻，該筆投資才不屬于美國外資安全審查的范圍。

　　三、審查擴(kuò)大至涉及敏感個(gè)人數(shù)據(jù)的非控制性投資

　　相較于之前美國外資安全審查僅可管轄外國主體對美國商業(yè)的“控制性”交易，《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》授權(quán)美國總統(tǒng)和外國投資委員會可以審查某些針對特定領(lǐng)域美國商業(yè)的外國非控制性投資，這些特定領(lǐng)域美國商業(yè)是指涉及關(guān)鍵技術(shù)、關(guān)鍵基礎(chǔ)設(shè)施和敏感個(gè)人數(shù)據(jù)（CriticalTechnologies, Critical Infrastructure, SensitivePersonal Data，TID）的商業(yè)，簡稱“美國 TID 商業(yè)”。

　　只要對美國敏感個(gè)人數(shù)據(jù)商業(yè)的非控制性投資使得外國主體取得了以下權(quán)利，該投資就屬于審查范圍：取得該美國商業(yè)重大非公開技術(shù)信息的訪問權(quán)限；取得該美國商業(yè)董事會或同等管理機(jī)構(gòu)的成員或觀察員權(quán)利，或者有權(quán)指定他人進(jìn)入董事會或同等管理機(jī)構(gòu)任職；除了股份投票權(quán)外，取得該美國商業(yè)有關(guān)敏感個(gè)人數(shù)據(jù)業(yè)務(wù)實(shí)質(zhì)性決策的參與權(quán)，包括決定使用、開發(fā)、獲取、保管或發(fā)布其持有或收集的美國公民的敏感個(gè)人數(shù)據(jù)。因此，如果外國主體針對持有或收集美國公民敏感個(gè)人數(shù)據(jù)的美國商業(yè)投資，并且能夠取得上述權(quán)利，例如參與“美國公民個(gè)人敏感數(shù)據(jù)的使用、開發(fā)、獲取、保管或發(fā)布”業(yè)務(wù)的決策等，該外國主體對美國商業(yè)的投資就應(yīng)納入美國外資安全審查的范圍。

　　當(dāng)然，如果外國主體對持有或收集個(gè)人可識別數(shù)據(jù)的美國商業(yè)的投資達(dá)到了“控制”程度，那么不論這些數(shù)據(jù)是否涉及上述有關(guān)國家安全的部門和人員，只要外國主體能夠獲取大量的個(gè)人可識別數(shù)據(jù)，也有可能會納入美國外資安全審查范圍。2020年 3 月，美國總統(tǒng)特朗普基于美國外國投資委員會的審查發(fā)布行政命令，要求北京石基公司在 120天內(nèi)剝離其收購的美國 StayNTouch 公司的所有權(quán)益。StayNTouch 提供云端酒店管理軟件，獲取和存儲美國公民的酒店入住數(shù)據(jù)，2018 年石基公司收購了其 100% 股權(quán)。從行政命令“可能損害美國國家安全”以及要求石基公司完成撤資前“不得通過StayNTouch 訪問酒店客人數(shù)據(jù)”的表述來看，大量個(gè)人可識別數(shù)據(jù)對國家安全的威脅是禁止該交易的主要考慮。

　　相較于之前交易當(dāng)事方自愿申報(bào)的程序，《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》規(guī)定了強(qiáng)制申報(bào)程序，對于美國敏感個(gè)人數(shù)據(jù)商業(yè)的投資應(yīng)適用強(qiáng)制申報(bào)程序：外國政府直接或間接擁有實(shí)質(zhì)利益的外國主體，其投資交易如果會導(dǎo)致該主體直接或間接獲得美國敏感個(gè)人數(shù)據(jù)商業(yè)的實(shí)質(zhì)利益，那么該交易就應(yīng)當(dāng)向美國外國投資委員會申報(bào)。對于何為“實(shí)質(zhì)利益”，根據(jù)目前實(shí)施細(xì)則，外國政府對于外國主體擁有的“實(shí)質(zhì)利益”，是指外國政府直接或間接擁有 49% 或以上的投票權(quán)；外國主體獲得美國敏感個(gè)人數(shù)據(jù)商業(yè)的“實(shí)質(zhì)利益”，是指外國主體直接或間接獲得 25% 或以上的投票權(quán)。交易當(dāng)事方應(yīng)當(dāng)在完成交易之前的 30 天提交申報(bào)。由此，外國政府控制的國有企業(yè)等對涉及敏感個(gè)人數(shù)據(jù)的美國商業(yè)的部分投資，必須進(jìn)行申報(bào)。

　　四、美國將數(shù)據(jù)安全風(fēng)險(xiǎn)納入外資安全審查的評析及啟示

　　總結(jié)來看，美國開始關(guān)注和應(yīng)對高風(fēng)險(xiǎn)敏感數(shù)據(jù)帶來的國家安全風(fēng)險(xiǎn)，將這種高風(fēng)險(xiǎn)敏感數(shù)據(jù)主要界定為“敏感個(gè)人數(shù)據(jù)”，并將敏感個(gè)人數(shù)據(jù)風(fēng)險(xiǎn)納入了外資安全審查之中。美國《外國投資風(fēng)險(xiǎn)審查現(xiàn)代化法》及實(shí)施細(xì)則，明確界定了個(gè)人數(shù)據(jù)可能影響國家安全的判定標(biāo)準(zhǔn)：一是數(shù)據(jù)本身就屬于個(gè)人的敏感可識別數(shù)據(jù)，列舉了11 類個(gè)人可識別數(shù)據(jù)；二是界定了數(shù)據(jù)的國家安全敏感性，要么數(shù)據(jù)主體的身份敏感，屬于關(guān)系國家安全的行政機(jī)構(gòu)或軍事部門工作人員等，要么數(shù)據(jù)的體量巨大，目前規(guī)定的下限是 100 萬人的可識別數(shù)據(jù)。這種界定的道理在于，對敏感身份主體可識別數(shù)據(jù)和大體量可識別數(shù)據(jù)集合的利用，都有可能威脅國家安全。上述立法思路和制度設(shè)計(jì)對于應(yīng)對數(shù)據(jù)處理活動帶來的國家安全風(fēng)險(xiǎn)有一定的借鑒意義。

　　當(dāng)然也應(yīng)該看到，外商投資安全審查的初衷是維護(hù)國家經(jīng)濟(jì)安全，審查重點(diǎn)是外國資本控制本國企業(yè)的國家安全風(fēng)險(xiǎn)，審查標(biāo)準(zhǔn)較為模糊、透明度較低，這種僅側(cè)重外國投資控制性的國家安全審查顯然無法涵蓋所有可能影響國家安全的數(shù)據(jù)處理活動。從近期美國的相關(guān)審查實(shí)踐來看，僅從外國投資控制性出發(fā)考慮數(shù)據(jù)安全審查，很容易導(dǎo)致以安全之名干涉正常貿(mào)易，使得安全審查異化成一種政策工具和貿(mào)易壁壘。

　　美國上述制度設(shè)計(jì)對我國構(gòu)建數(shù)據(jù)安全審查制度的啟示在于：一是數(shù)據(jù)安全審查不應(yīng)該不加區(qū)分地針對所有數(shù)據(jù)，應(yīng)該從國家安全高度界定數(shù)據(jù)安全審查的范圍。從我國《數(shù)據(jù)安全法》的規(guī)定來看，在我國就可以將這種關(guān)系國家安全的高風(fēng)險(xiǎn)敏感數(shù)據(jù)認(rèn)定為“重要數(shù)據(jù)”，那么重要數(shù)據(jù)的處理活動才應(yīng)該是數(shù)據(jù)安全審查的范圍。二是針對“數(shù)據(jù)安全”的國家安全審查制度，應(yīng)該形成不同規(guī)范相互配合的制度體系。將數(shù)據(jù)安全風(fēng)險(xiǎn)作為外資安全審查的考慮因素，雖然可以防范和化解一些國家數(shù)據(jù)安全風(fēng)險(xiǎn)，但不足以應(yīng)對所有可能影響國家安全的數(shù)據(jù)處理活動，還是有必要應(yīng)該探索一種基于技術(shù)標(biāo)準(zhǔn)、具有較高透明度的安全審查制度。我國于2020 年頒行的《網(wǎng)絡(luò)安全審查辦法》，在定位上聚焦維護(hù)國家安全，在審查標(biāo)準(zhǔn)上突出供應(yīng)鏈安全，明確將“重要數(shù)據(jù)被竊取、泄露、毀損的風(fēng)險(xiǎn)” 列為關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈國家安全風(fēng)險(xiǎn)評估的考慮因素，并建立了相對透明合理的審查程序，為這種制度探索積累了一定的實(shí)踐經(jīng)驗(yàn)。我國《數(shù)據(jù)安全法》第 24 條進(jìn)一步規(guī)定：“國家建立數(shù)據(jù)安全審查制度，對影響或者可能影響國家安全的數(shù)據(jù)處理活動進(jìn)行國家安全審查。”相信隨著《數(shù)據(jù)安全法》的實(shí)施及其配套立法的完善，我國數(shù)據(jù)安全審查的范圍、方式和程序會進(jìn)一步細(xì)化，我國將逐步建立起適應(yīng)實(shí)踐需求、切實(shí)維護(hù)國家安全的數(shù)據(jù)安全審查制度體系。[本文為國家社科基金重大項(xiàng)目“網(wǎng)絡(luò)空間政策法規(guī)的翻譯、研究與數(shù)據(jù)庫建設(shè)”（20&ZD179）的階段性研究成果]