在缺乏普遍认可的国际规则背景下，国际法主体依循自身价值观与综合国力，建立起不同的跨境数据治理体系。其中，美国、欧盟、俄罗斯和中国所形成的治理模式较为典型。分析大国数据治理的不同形态及其背后的法治逻辑，是数字时代发展必须面对的议题，深刻影响着全球数字秩序的未来走向。（一）美国的数据控制者模式早先美国对数据的管辖权主要依据物理存储位置来确定，这主要源于互联网发展初期数据存储与处理活动通常限于一国境内。例如在美国诉纽约银行案中，加利福尼亚州法院指出：“这些记录可以被感知……通过磁化点等记录形式物理地存在于介质上，并且可以通过计算机设备被读取、理解和使用。”在此背景下，对位于本土的数据行使管辖权，构成了美国当时法律实践的根本前提。正因如此，1986年美国国会通过的《存储通信法》（Stored Communication Act）未考虑跨境数据规制及法律域外效力等问题。随着互联网技术的快速发展和个人计算机的普及，数据跨境流动成为常态，这使得以物理储存位置为基础制定的《存储通信法》难以应对。法律框架与现实需求间的矛盾在微软诉美国案中彻底爆发。该案中美国执法部门要求微软提供储存于爱尔兰的用户数据，微软则依照《存储通信法》以“数据储存地”作为抗辩理由，主张位于爱尔兰的数据不属于美国执法部门可直接调取的数据，应通过双边司法程序获取。案件陷入僵持，就在等待美国联邦最高法院审理时，美国国会迅速通过了《澄清域外合法使用数据法》（Clarifying Lawful Overseas Use of Data Act，下称《CLOUD法》），《CLOUD法》规定只要数据控制者在美国运营或受美国管辖，即使数据存储在境外，美国执法部门也有权调取，联邦最高法院因此驳回了该案件。《CLOUD法》的出台，标志着美国正式确立了以“数据控制者”为核心的数据管辖模式。该模式的特征体现在以下三点：第一，在管辖权确定上，主要依据属人原则，将管辖对象锚定于“数据控制者”而非数据本身的地理位置。这意味着美国凭借其市场优势，通过对微软、谷歌等掌握数据的中间服务商进行规制，便能将海量跨境数据纳入其管辖范围。同时，美国对中间服务商进行管辖的依据是“最低限度联系原则”，该原则在国际鞋业公司诉华盛顿州案中被确立下来，法院仅须确保境外企业与美国存在“充分联系”，就可以进行管辖，无论境外企业是否在管辖区域设立了实体。在后续的司法实践中，“最低限度联系原则”的适用呈现出不断拓宽的趋势。例如，服务器位于美国、利用美元交易或使用美国互联网基础设施等行为，均可能被解释为与美国司法管辖区存在“充分联系”，这让美国规制的数据范围进一步拓宽。第二，因《CLOUD法》将美国对数据管辖的触角延伸至境外，为体现管辖的合理性及礼让原则，《CLOUD法》设立了双向跨境机制，即针对外国政府数据开放及数据控制者提交数据义务的免除制度。首先是针对“适格外国政府”的数据开放。《CLOUD法》对“适格外国政府”设置了一系列条件，其中包括：该国为2001年在布达佩斯签署的《网络犯罪公约》（Convention on Cybercrime）的缔约国，或该国国内法规定了与公约第一章、第二章相一致的内容，包括充分保障人权、遵循法治和非歧视原则等。是否能够成为“适格外国政府”至关重要，这决定了外国政府能否省略漫长的司法协助程序直接向美国企业发出调取数据的命令。但遗憾的是，包括中国在内的大多数国家并不是《网络犯罪公约》的缔约国，在其他方面也难以符合“适格外国政府”的评估标准，美国却可以通过向其国内的互联网企业施压而轻松地获得境外数据。从这个角度来说，这并不是一个对等的制度安排。第三，在拓宽执法权限的同时，《CLOUD法》也设置了若干制约程序。面对美国执法部门发出的数据披露指令，互联网服务提供者可以提出撤销或更正的动议，具体而言，需要符合三个条件：一是服务对象并非美国人且不在美国居住；二是披露相关数据会存在违反“适格外国政府”国内法的风险；三是法院须遵循案件总体情况和司法公正来决定是否驳回搜查令。由此可见，无论是“适格外国政府”的认定标准，还是数据披露的免除，主动权都掌握在美国手中。美国在“低门槛”获取跨境数据的同时，又设置了一系列严密的防御制度，限制外国政府获得美国境内数据。总的来说，以《CLOUD法》为核心的治理模式虽然在美国境内获得了大部分的支持，但在国际社会的反响一般，普遍认为这是美国权力在国际社会的延伸。其主要原因在于超半数的互联网巨头在美国，此种情况下美国执法部门能够通过微软、谷歌、亚马逊等企业轻而易举地获得境外数据，同时也带来侵犯他国数据主权和公民权利的风险。尽管《CLOUD法》中包括与外国政府共享数据和程序制约条款，但此举也并没有提升美国模式的国际认可度。究其本质，这些制度仍然只是技术霸权下的形式平等，能够获取美国数据的国家可能受限于技术等原因，对数据开放利用的程度远不能与美国相比，制度上的平等难以掩盖实力不对等带来的利益失衡。（二）欧盟的权利保护模式与美国倚重技术优势、主张“谁控制数据即管辖数据”的模式不同，欧盟的数据治理模式将重点放在了保护主体权利上，在跨境数据管辖上以权利保护为出发点，围绕《通用数据保护条例》（GDPR）第3条形成了对内和对外的双向权利保护机制。对内，欧盟通过扩大解释“存在”并引入“目标指向原则”将更多的企业纳入管辖范围。对外，欧盟凭借单一市场的谈判力迫使瞄准欧盟市场的境外互联网企业将数据治理标准与欧盟对齐，增强了欧盟数据治理标准的全球穿透力。基于对权利的全面保护，欧盟在1995年《数据保护指令》（Data Protection Directive，下称95年指令）中就确立了相应的域外适用条款，即域外数据控制者在处理数据时若使用了欧盟境内的设备（equipment）也应当受到约束，除非该设备仅用于过境传输（transit）。2018年生效的GDPR承袭于95年指令，其第3.1条明确行使管辖的核心依据在于数据控制者是否在欧盟境内构成一定形式的“存在”，从而与欧盟建立起真实、有效的联系。GDPR没有明确给出“存在”的定义，但可以从释义中得知欧盟倾向于更加弹性的解释：“通过稳定的安排与欧盟建立有效和真实的联系……是否属于分公司或子公司，并非判断的决定因素。”具体而言，在欧盟范围内进行了稳定的人力或技术投入，即可被视为满足管辖联系要求。与此同时，GDPR第3.2条的目标指向原则更是明确了即使数据控制者在欧盟未设立机构，但存在以下两种情形也应当受到GDPR的约束：（1）向欧盟境内的数据主体提供商品或服务，无论是否存在对价；（2）对欧盟境内的数据主体活动进行监控。以目标指向来确定管辖实质是判断数据控制者进入欧盟市场提供商品或服务的意图，以所保护的数据主体权利作为联系扩大适用范围。欧盟还进一步扩大“数据处理行为”的范围，任何能够直接或间接识别特定自然人的信息均构成个人数据，与此相关的收集、记录、检索、存储等各类操作，无论是否通过自动化手段实施，均属于个人数据处理行为。对于境外企业而言，进入欧盟市场即意味着须直面高标准、全方位的个人数据保护要求。根据GDPR相关规定，未能满足其数据保护标准的企业最高可能面临2 000万欧元或全球年营业额4%的罚款。对于境内数据向外流动的情况，欧盟建立了分级分类的数据跨境传输机制，旨在确保欧盟数据主体的权利即便在境外也能获得与其境内实质相当的保护水平。GDPR第45条规定的“充分性认定”是欧盟对外传输数据最高效的路径。欧盟委员会通过综合评估目标国家或地区（包括特定行业或国际组织）的数据保护法律体系、独立监管机构设置、司法救济及国际承诺等因素，整体裁定其保护水平是否与欧盟“实质相当”。一旦通过认定，数据即可向该地自由流动，无须再获取额外授权。截至目前，共有16个司法管辖区通过了欧盟的充分性认定。评估以欧盟自身为衡量标准，具有主观性和不透明性。此种认定实则是欧盟将其法规的域外适用以双边互认的方式予以合法化，是“布鲁塞尔效应”在数字领域的典型体现。由于“充分性认定”的严苛标准让许多国家难以企及，在无法适用“充分性认定”这一“绿色通道”时，“适当保障措施”就成为企业证明跨境数据传输合法合规必须通过的证明过程。GDPR第46条列举了可供选择的数据保障措施，如标准合同条款（SCCs）、具有约束力的公司规则（BCRs），前者是指欧盟委员会通过的标准格式合同，后者则多用于跨国公司内部传输数据。但无论选择何种措施都必须确保数据主体享有可执行的权利与有效的法律救济，且保障措施能够弥补第三国法律保护水平的不足。如果说充分性认定是将目标国的法律体系纳入欧盟监管框架进行评价，要求国家或地区修改域内法律以与欧盟同频，那么“适当保障措施”就是通过境外企业作为中介，以一种柔性的方式将域内监管规则嵌入全球企业。综上所述，欧盟在跨境数据的单边治理模式建设方面处于全球较为领先的地位，已形成以权利保护为核心、体系高度完备的治理框架与标准。从全球人权保障视角来看，欧盟标准在一定程度上推动了个人数据保护水平的提升。然而，过于严苛的标准也给众多国家及企业带来了难以承受的适应压力。特别是欧盟通过高额处罚与“充分性认定”等单边手段，持续对外推行其治理模式，这种做法不仅可能抑制跨境数据流动的效率与价值，亦可能进一步加剧全球数据治理格局的碎片化趋势。（三）俄罗斯的严格本地化模式由于长期与西方国家关系紧张，且数字经济并非国民经济的主要支柱，俄罗斯始终保持着严格的数据本地化政策，以维护自身数字主权。俄罗斯严格本地化模式的核心内容是强制本地化储存：2015年《俄罗斯联邦个人数据法》要求所有企业在处理俄罗斯公民个人数据时，其信息记录的“初始”与“主要”集合的物理服务器必须位于俄罗斯联邦境内，并在俄罗斯境内建立数据中心，以便政府监管。强制本地化并不意味着禁止数据跨境流动，俄罗斯对数据采取分级分类管控。在《有关信息、信息技术、与信息保护法》中将信息分为一般可访问的信息和限制访问的信息，以及自由传播的信息、信息主体同意提供的信息、法律提供或传播的信息、在俄境内传播受到限制或禁止的信息。允许传输的数据，只需要在俄罗斯备份后向俄罗斯联邦通信监管局通报即可。通信监管局会对数据接收者进行审查，判断其是否是对个人数据提供充分保护的国家。俄罗斯设置了类似欧盟“充分性认定”式的传输“白名单”，如果是《关于个人数据自动化处理的个人保护公约》（Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data，下称第108号公约）的缔约国则被认为是能够提供充分保护的国家；若并非缔约国，但该国关于处理个人数据时保证数据保密性和安全性的现行法律和措施符合公约规定也可接受来自俄罗斯的数据。近年来，随着地缘政治博弈加剧，俄罗斯在2025年新修订的《个人数据保护法》中进一步收紧了数据本地化要求，严格禁止使用位于俄罗斯境外的数据库进行数据收集、记录等操作，并大幅提高了罚款，违反本地化规定的企业最高可处500万卢布（约43万元人民币）。俄罗斯通过加强对数据资源的控制以应对来自西方国家数据监控和封锁的威胁，短期内强化了国家控制力的同时保护了本土市场，但长远来看并不值得推崇。限制数据跨境自由流动，易使俄罗斯网络空间趋向“数据孤岛”，与国际主流技术生态脱节。这不仅可能降低外资投入意愿，也与开放互联的互联网理念背道而驰，加剧了网络空间的治理分裂。（四）中国的安全与发展平衡模式相比俄罗斯，中国在坚持数据本地化的基础之上，考虑贸易发展从而兼顾了跨境数据流动的需求。两国模式的差异植根于经济结构与战略定位的差异，中国与俄罗斯相比更加融入全球产业链，法治建设也就必须回应高度复杂的国际数据流动需求，因而倾向于构建具备制度弹性的规制体系。2017年施行的《中华人民共和国网络安全法》（2025年修正，下称《网络安全法》）第1条明确指出“维护网络空间主权和国家安全”，数据作为网络空间的构成要素，数据主权也就是网络主权的组成部分，是网络环境下国家主权理论的新发展。中国的跨境数据治理模式正是以数据主权安全为核心构建起来的，在保障国家安全、保护个人信息权益的前提下，促进数据依法有序自由流动，服务于数字经济发展和对外开放合作。目前，中国已然形成了以《网络安全法》、《中华人民共和国数据安全法》（下称《数据安全法》）、《中华人民共和国个人信息保护法》（下称《个人信息保护法》）为核心的数据跨境流动法律框架，并辅以《数据出境安全评估办法》（国家互联网信息办公室令第11号）、《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号）在内的一系列规范性文件明确执法要求。中国的跨境数据治理理念经历了一个从相对封闭到开放的过程。《网络安全法》首次明确了数据出境的原则，现行法第39条确立了以“境内储存为主，出境评估为例外”的数据流动框架，但仅限于关键信息基础设施的运营者，体现了我国早期对数据流动的保守态度和制度设计的不完善。2021年出台的《数据安全法》，在《网络安全法》的基础上，对数据出境设有更细化的规定，形成了数据分级分类保护制度，并将数据出境的监管重点放在了“重要数据”上。2021年施行的《个人信息保护法》是我国首部个人信息保护的专门法律，其中第38条明确了个人信息跨境的四条合法路径，包括：（1）通过国家网信部门组织的安全评估；（2）按照规定进行个人信息保护认证；（3）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（4）法律、行政法规或者国家网信部门规定的其他条件。该规定从个人信息保护方面对标国际标准，也为企业提供了灵活的选择。除了一系列宏观立法外，包括《数据出境安全评估办法》在内的下位法又细化了数据跨境流动的规定，明确了数据跨境的具体程序、审查内容和后续义务。其中尤其值得注意的是，根据《促进和规范数据跨境流动规定》，在自贸区、数字经济试验区探索施行负面清单制度，在清单以外的数据可以较为自由地出境。总之，我国对于数据跨境流动监管总体较为严格，特别是涉及国家安全方面，同时也为跨境数据流动设计了多层次的路径，努力在国家安全与全球化发展之间寻求平衡。但与此同时，监管手段的单一性和数字贸易环境的不足，仍是阻碍中国模式获得国际认可亟待解决的问题。
当前困境的根源远非国家间技术或规则层面的表面差异，而在于传统以领土为核心的主权观念难以适配无界的数据空间，以及二战后建立的国际治理架构在应对数字时代系统性挑战时的整体性滞后与失灵。因此，各国都不应执着于某一范式的全面胜出和压制，而是应从真正的多边主义出发进行数据治理领域的理念更新与路径重构。未来的跨境数据治理秩序，应建立在“数据主权谦抑性”的共识之上，承认主权的行使须兼顾跨境数据的全球公共属性与他国合理关切。在实践层面，应致力于在现有规则体系中搭建法律等效、标准兼容的桥梁，而非追求规则的单一化。最后，应构建以WTO平台为核心的对话与争端解决机制，构建更加专业与高效的国际协调机制。值得注意的是，2026年3月30日，全球首个致力于推动数据发展与治理实践的专业性国际组织——世界数据组织（World Data Organization，WDO）于北京正式宣告成立。与以贸易协定为基础的传统治理平台不同，世界数据组织凭借其专业性优势，有望在尊重各国数据主权的前提下，以更加灵活的方式推动全球数据治理规则由单边博弈转向多边协调。当然，该组织能否有效弥合大国间在数据治理理念上的根本分歧，仍有待进一步观察。跨境数据治理协调路径的构建必然是漫长的，中国作为多边规则的倡导者和实施者，应在坚守国家安全与发展权底线的同时，以更具主动性的姿态投身于全球数字治理体系的塑造，推动建立更加公平、开放、包容、有序的跨境数据流动新秩序。
