1. 引言
跨境电商现在已经成为了国际贸易产业链中的重要一环，推动着数字贸易和经济全球化的发展。在提出“一带一路”政策之后，我国跨境电商的贸易规模逐渐增长。《中国电子商务报告(2022)》显示，2022年，我国跨境电商进出口2.11万亿元，同比增加9.8%，跨境电商经济发展持续向好。但在跨境交易的过程中，各大跨境电商平台和经营者为了提升自身的竞争力，保证自己的销售增长从而实现针对性的推广，必然会大量搜集具备必要“经济价值”的消费者个人信息和数据，这俨然成为了电商交易中的“正常”现象。因此，在个人信息跨境传输和流动的过程中，如何进一步保护消费者的个人信息，不仅关系着跨境贸易的健康持续发展，更是一个国家信息安全和数据主权的重要体现[1]。我国应当立足于现有的法律制度，不断完善个人信息保护的法律体系，加强与国际之间的贸易合作，在促进跨境经济发展的同时，也逐步构建起具有中国特色的个人信息保护制度。
2. 我国跨境电商中个人信息的保护现状
2.1. 法律上的保护现状
要进一步在跨境电商交易过程中保护我国公民的个人信息，就必须要优先审视我国目前对于跨境电商中个人信息的保护现状。当前，我国《宪法》《民法典》中对自然人人格尊严、隐私和个人信息法律上的保护，从宏观层面上为跨境电商中个人信息的保护提供了法律基础。我国《民法典》中也对个人信息的概念做了充分的规定1，从理念层面上对保护个人信息作出了解释。
我国的《网络安全法》和《电子商务法》以命令性规范和禁止性规范的形式明确了经营者和网络运营者在收集、使用消费者个人信息过程中的原则、义务和法律责任，从经营者和电商平台的角度进行限制从而对消费者的个人信息进行有效保护。
而2021年施行的《中华人民共和国个人信息保护法》是我国第一部关于个人信息保护的专门立法，其中第三章规定了个人信息跨境提供的规则，也为我国消费者在跨境电商交易中个人信息的传输提供了必要性的指导与规制。至此，我国跨境电商中的个人信息保护体系从制度层面上初现雏形。
从行政性文件的层面上来看，2022年国家互联网信息办公室出台的《数据出境安全评估办法》进一步明确了数据出境的详细标准，也规定了要对出境数据的目的、范围、种类以及个人信息权益维护的渠道是否通畅等进行合理有效地评估。
2.2. 行业上的保护现状
仅仅依靠强硬的法律手段来对跨境电商中的个人信息进行保护，难以应对在跨境电商中复杂多变的贸易环境，还需有必要的行业自律机制参与协调，才能够使跨境电商中的个人信息保护制度成为一个完整的体系。
目前，我国参与到个人信息保护的机构主要包括中国互联网协会、中国消费者协会、中国电子商务协会等等，这些机构所发布的文件也在一定程度上承担着保护个人信息的职责。如中国互联网协会所发布的《中国互联网行业自律公约》第二章第八条就对消费者个人信息的保护进行了规定2。除此之外，行业自律机制还包括了第三方的认证机构，即由相应的职能部门对信息安全的等级进行风险的评估从而保护消费者的个人信息安全，如公安部的信息安全等级保护评估中心等[2]。
3. 域外跨境电商中个人信息保护的立法检视
对于跨境电商中个人信息的保护，美国和欧盟均已经基本形成了一套较为完善的保护体系，但采用的是两种截然不同的保护模式。因此，通过检视美国和欧盟不同的个人信息保护立法模式，对构建和完善我国跨境电商中个人信息保护体系具有巨大的借鉴意义。
3.1. 美国：相对自由的分散式保护模式
美国是典型的法律保护与行业自律相互结合的国家，其目前暂时没有一部统一的法典来规制个人信息保护，而是散见于各领域内的法律法规。比如，1978年制定的《金融隐私权法》、1986年制定的《电子消费者保护法》等，以隐私为基础保护个人信息。
除了这种有限、分散的立法之外，美国还采取较为成熟的行业自律机制来保护跨境电商中的个人信息。一直以来，美国都强调要在行业之中形成自律机制，以行业自身的监督和管理来促进本行业的健康发展，所以对于跨境电商贸易而言，也应当尽量避免政府的过多干预。在美国立法者看来，如果对跨境电商贸易中的个人信息实施严格的保护措施，不利于与他国的电商贸易而影响到本土企业的商业开发与扩张。
美国的行业自律形式主要有三种：其一是倡议性的行业指引。通过研究、制定满足个人隐私保护需要的隐私自律指引，倡议成员实行隐私自律[3]。其二是技术保护模式。采取一定标准的个人信息隐私保护软件，给用户提供是否同意收集其个人信息的选择[4]。其三是网络隐私认证计划。通过张贴特定的隐私认证标志，以便于网络用户识别，使其具有更高的信誉[5]。
3.2. 欧盟：严格规定的统一式保护模式
欧盟一直以严格的个人信息保护著称，欧洲大部分国家以国家立法的模式来达到对个人信息的保护。并且，欧盟是将个人信息视为主体的人格权利而加以保护，在1995年颁布的《个人数据保护指令》中对个人信息跨境传输做出了详细规定，明确当第三国能够对欧盟成员国内的个人信息提供充分保护时，即第三国具备“充分保护水平”时，才可以进行个人信息的跨境转移，而该规定对于个人信息在境内的流动并无限制[6]。此外，该指令还规定了若欧盟委员会认为第三国不能确保其能提供“充分保护水平”，则成员国应采取必要措施以防止任何相同类型的数据转移到有关的第三国。
随着时代的发展和变迁，欧盟于2016年通过，2018年施行的《一般数据保护条例》取代了原有的《数据保护指令》。《一般数据保护条例》提升了个人信息保护的立法层级，采取了统一的立法模式，效力更高，范围更广，不仅包括欧盟境内的行为，还包括在欧盟境内设立而在境外进行处理的个人数据的行为。并且还对“充分保护水平”的标准作出了具体客观的规定，进一步强化了对欧盟境内个人信息的保护。
欧盟的这种保护模式在立法上突破了传统属地或属人管辖的限制，根据信息内容进行管辖划分和认定。并且在个人信息主体的权利方面，引入了创新性的“被遗忘权”和“数据携带权”。这意味着当个人信息不再用于其最初收集的目的，或者信息控制者在没有合法理由的情况下继续保留这些信息时，信息主体有权要求删除这些信息，并且可以要求信息控制者提供对其个人信息的访问[7]，这极大地加强了信息主体对其信息的控制。
综上，美国这种相对宽泛的个人信息保护模式保证了跨境电商交易中的个人信息流畅传输和转移，同时也能够灵活地应对在跨境电商交易过程中的各种突然性问题，从而有效地推动数字经济的发展。但是这种模式由于缺乏必要的立法规制和有效的监督机制，个人信息的安全难以得到全面有效地保障。而欧盟采纳的这种较为严格的个人信息保护框架，通过国家层面的顶层设计实施规范，确保了成员国之间在数据保护标准上的一致性，消除了数据在成员国内自由流通的障碍。然而，这种高标准的保护措施也对数据从欧盟流向境外构成了限制，对国际贸易，尤其是跨境电子商务行业带来了额外的约束，这可能会抑制企业的创新能力，增加合规成本，进而影响国际贸易的发展[8]。
因此，要构建和完善我国跨境电商个人信息保护体系就必须吸取域外有关制度的精华部分，并根据我国跨境电商发展的特点，赋予其本土的内容，使其成为我国跨境电商个人信息保护体系中的有益部分。
4. 我国跨境电商中个人信息保护的困境探究
尽管在2021年施行的《中华人民共和国个人信息保护法》为我国跨境电商中的个人信息保护提供了一个更为明确的规定和指引，但快速发展的跨境电子商务仍然指出了我国个人信息保护制度的许多问题，具体包括以下几个方面：
4.1. 个人信息保护所面临的法律法规不完善
首先，现有的个人信息保护法律体系尚显落后。尽管《中华人民共和国网络安全法》和《中华人民共和国个人信息保护法》为我们提供了基本遵循，但这些法律法规在针对跨境电商业务中的个人信息保护方面的规定还不够详尽，难以全面适应跨境电商业务的复杂性和多样性。
其次，对于个人信息的直接规制，虽然有一些部门颁布了相关法律文件，但这些文件往往属于推荐性标准而非强制性标准，不能直接作为执法依据，导致实际约束力不强，使得跨境贸易企业在是否采用这些标准上拥有较大的自主选择空间，这可能造成法律规定在实际执行中存在“真空地带”。
最后，在执行国家安全审查的过程中，国家网信办主要聚焦于审查我国个人信息数据向境外流动的情况，以确保数据安全和个人隐私保护。但对于境外数据流入国内的审查要求，在《网络安全法》中却没有明确的规定[9]。这可能会导致某些境外的不良信息和数据被我国的不法分子不正当使用而影响到我国的网络安全和经济发展。
4.2. 跨境电商中的行业自律机制不成熟
我国的行业自律机制现正处于起步阶段，在电子商务行业，尤其是个人信息的跨境传输和流动方面，许多的行业协会并没有意识到个人信息对于国家网络安全的“数据价值”，所以对个人信息的跨境转移保持一种放任状态。并且，由于我国行业协会成立的时间不够长，在面临新兴的跨境电商发展时，对个人信息的保护没有足够多的经验，也会使得行业协会无法发挥其保护职责。
另外，我国目前的行业自律机制约束力不足。许多行业协会发布的各项文件仅是一种倡导性和建议性的要求，不存在强制的执行力，也没有对违约行为规定相应的制裁措施，很难取得预想的效果。而我国的第三方隐私认证机构也存在着专业水平不够，针对性不强的缺点。
4.3. 个人信息跨境保护的域外合作不深入
在跨境电子商务贸易活动中，往往涉及多国的参与，个人信息的流通可能会跨越多个司法管辖区。这就引发了对信息安全和隐私保护的跨国法律适用和管辖权问题的考量。尽管我国法律已经建立了以保护性管辖权为核心的域外效力规则，但在实际执行中，繁复的程序性规定可能限制了对境外个人信息的有效保护，并且处理不当可能会触及敏感的主权问题。
同时，在全球电子商务的竞争格局中，各国在跨境电商领域的成熟度及其对个人信息保护的重视与实施力度存在差异。因此，制定公平合理的区域性国际规则对于维护国家利益至关重要。目前，中国在跨境信息保护的国际合作方面的参与度尚显不足，这可能对中国公民的个人信息安全和企业在国际市场上的竞争力产生不利影响。
5. 我国跨境电商中个人信息保护的完善路径
5.1. 完善立法，构建起配套的法律规则体系
首先，需要明确《个人信息保护法》中所规定的执行、监督机构及其职责。笔者认为，应当在《个人信息保护法》明确设立一个单独的、不受国家行政机关干扰的专门性的机关来对个人信息的跨境流动进行保护和监督，并且还应当对其中所涉及到信息转移的程序性问题做出具体规定，以保证在跨境电商交易的过程中各平台和经营者能够严格按照法律程序对个人信息进行合理使用。
其次，要补强法律中的强制性规则，尤其是要对国家审查制度进行修补，将境外信息流转至国内的行为纳入审查的范畴，即要对境内流出的信息与境外传入的信息进行双向的监督和管理，以填补法律上的滞后和空白[10]。
最后，还应当细化信息主体在信息受到侵害后的救济方式。特别是在跨境电商交易的前提下，信息主体的个人信息受到侵害后的赔偿或求偿问题。
5.2. 提高公民个人信息自我保护意识，加强行业自律的约束力
一方面，国家相关部门应强化对个人信息保护意识的普及和教育，倡导政府机关和企业加强对处理个人信息的员工进行专业培训，并确保定期更新和维护数据存储系统，以提升数据安全性。同时，消费者在参与跨境电子商务活动时，也应仔细阅读各个电商平台的用户协议和服务条款，避免无意中泄露个人数据。
另一方面，我国可以采纳美国与欧盟的先进经验，创建专门负责评估隐私保护标准的第三方认证机构。在行业组织的引领和推动下，可以构建一套既高效又公正的认证体系和后续监管机制，用以衡量企业在个人信息保护方面的成效。监管机构可依据这些评估结果，对企业采取相应的奖惩措施。同时，应强化行业协会的监督职能，并为其提供必要的权限，以增强行业内部的自我规范和自我管理能力。通过这些措施，可以更有效地保障消费者的信息权益，同时也有助于提高企业在国际市场上的竞争力。
5.3. 加强国际合作，积极参与制定国际规则
为了增强我国跨境电商的国际竞争力，我们需要主动参与国际交流与合作，并与国际个人信息保护标准接轨。一是我们需要通过国际协商，解决个人信息在跨境流通中的管辖权问题。我国可以考虑采纳欧盟的经验，对个人信息的内容进行分类和管辖，以明确跨境电商业务中的个人信息管理范围，并促进与其他国家在信息主权方面的共识[11]。二是我们应在充分考虑和尊重各国跨境电商的发展现状和文化差异的基础上，推动区域内跨境数据流动和个人信息保护规则的建立，以形成一套被多国认可和遵循的个人信息保护标准[12]。
NOTES
1《中华人民共和国民法典》第1034条：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”
2《中国互联网行业自律公约》第2章第8条：“自觉维护消费者的合法权益。保守用户信息秘密；不利用用户提供的信息从事任何与向用户作出的承诺无关的活动，不利用技术或其他优势侵犯消费者或用户的合法权益。”