1. 引言
2022年生效的《区域全面经济伙伴关系协定》(RCEP)，创新性提出“多元共治”理念，构建“自由流动为原则、安全例外为补充”的规制框架，为发展中国家参与数据治理提供新路径。我国作为RCEP核心成员国与全球数据产出大国，2023年跨境数据流动规模占全球25.3%，但现行法律体系与RCEP规则仍存在理念衔接不充分、制度细节待完善等问题。
2. 文献综述
随着RCEP的生效与数字经济的深度融合，RCEP框架下的数据跨境流动治理已成为学术界关注的焦点领域，相关研究围绕规则解读、国际比较、实践影响等维度展开，形成了多元观点流派，但仍存在明显的研究缺口，为本文的研究提供了空间。本文以RCEP为研究视角，通过对比分析国际主流数据跨境流动规制范式，系统梳理RCEP规则的核心内涵与制度创新，进而从规制理念、数据分类分级、区域协作三个维度，剖析我国数据跨境流动法律体系与RCEP的适配性差距，最终提出“理念协同–制度细化–区域联动”的优化路径，为我国平衡数据安全与自由流动、提升国际数据治理话语权提供理论支撑与实践参考。
2.1. 主要观点流派梳理
规则解读与优势分析流派：该流派以蒋慧(2024)、王慧(2023)为代表，聚焦RCEP数据跨境流动规则的文本内容与创新特征。蒋慧在《RCEP背景下国际数字贸易规则的比较、挑战与中国因应》中指出，RCEP第12章(电子商务)中“禁止强制数据本地化”“安全例外条款”等内容，突破了欧盟“充分性认定”与美国“利益优先”的二元范式，为区域内数据要素自由流动提供了制度基础[1]。王慧通过对比RCEP与CPTPP数字贸易规则，认为RCEP“多元共治”理念兼顾了发达国家与发展中国家的差异，尤其是为老挝、柬埔寨等发展中国家设置的5~8年缓冲期，降低了其参与区域数字贸易的门槛[2]。此外，张怡梦(2023)在《数字贸易规则：全球发展与中国应对》中进一步强调，RCEP通过“软法”性质的联合委员会机制，为成员国解决数据跨境流动争端提供了灵活路径，避免了刚性规则可能引发的贸易摩擦[3]。
国际范式比较与借鉴流派：熊嘉豪(2025)、邓博琳等(2024)是该流派的核心研究者，其研究重点在于将RCEP置于全球数据治理格局中，对比分析不同规制范式的差异与适配性。熊嘉豪在《RCEP的数字贸易规则对中日贸易的影响研究》中，通过实证分析指出，相较于欧盟GDPR的高合规成本与美国CBPRs的“最低限度保护”，RCEP规则更符合东亚区域经济一体化特征，2023年RCEP成员国间数字贸易额同比增长18.7%的实践数据，印证了该规则对区域数字经济的促进作用[4]。邓博琳等在《临港新片区对标高水平国际数字贸易规则研究》中，将RCEP与CPTPP、USMCA规则对比后发现，RCEP在数据跨境流动的“安全与流动平衡”上更具包容性，但其规则的“柔性”特征也导致实施效果依赖成员国间的协作意愿[5]。
对中国实践的影响与挑战分析流派：崔日明等(2024)、夏君宁(2023)侧重探讨RCEP规则对中国数据跨境流动法律体系的冲击与适配性问题。崔日明等在《区域贸易协定的数字贸易规则对出口国内增加值的影响》中，通过量化研究发现，中国“数据本地化 + 出境安全评估”的制度模式与RCEP“自由流动原则”存在一定张力，可能增加中国企业参与区域数字贸易的合规成本[6]。夏君宁指出，中国现行数据出境评估制度中“境外接收方保护能力”的审核标准，与RCEP“非歧视性监管”要求存在差距，可能被部分成员国视为“隐性贸易壁垒”，影响中国与东南亚国家的数字贸易合作[7]。
2.2. 已有研究的不足之处
尽管现有研究已对RCEP数据跨境流动规则进行了多维度探讨，但仍存在三方面明显不足，难以充分满足实践需求：研究层面偏重规则解读，缺乏实践适配性的深入分析：多数研究停留在规则文本的对比与解读，聚焦于“RCEP规则是什么”，而对“RCEP规则与成员国国内法律体系如何适配”“企业在实践中面临哪些具体障碍”等问题缺乏深入探讨。例如，现有研究未系统剖析中国《数据安全法》《个人信息保护法》与RCEP“安全例外条款”“自由流动原则”的具体适配差距，也未结合企业案例分析数据本地化、出境评估等制度在实践中的运行效果，导致研究结论对实践的指导价值有限。
研究视角聚焦宏观影响，缺乏微观机制的细化探讨：现有研究多从宏观层面分析RCEP对区域数字贸易、中国数字经济的整体影响，而对数据跨境流动治理的微观机制，如“数据分类分级如何与RCEP规则衔接”“数据出境评估的流程与标准如何优化”“成员国间评估结果互认机制如何构建”等问题，缺乏系统性研究。
2.3. 本文的研究缺口与理论贡献
基于上述研究不足，本文的研究缺口在于：填补RCEP规则与中国国内法律体系“实践适配性”的研究空白，从规制理念、数据分类分级、区域协作三个维度，系统剖析二者的适配差距，并提出可操作的优化路径。
本文的理论贡献主要体现在两方面：
丰富RCEP数据治理的实践研究维度：突破现有研究“重规则、轻实践”的局限，通过引入中国金融科技企业、跨境电商平台的具体案例(如某头部金融科技公司数据出境评估案例、某跨境电商平台本地化存储案例)，结合合规成本、审批周期、业务损失等定量数据，首次系统揭示中国数据跨境流动法律体系与RCEP规则的具体适配障碍，为后续研究提供“规则–实践”双向分析的范式参考。
完善发展中国家数据治理的理论框架：现有研究多以欧盟、美国等发达国家为核心，探讨数据跨境流动的规制范式，而对发展中国家如何在RCEP框架下平衡数据安全与自由流动的研究不足。本文以中国为研究样本，提出“理念协同–制度细化–区域联动”的优化路径，不仅为中国提供实践参考，也为其他发展中国家参与区域数据治理提供理论借鉴，有助于完善发展中国家数据治理的理论体系。
3. 数据跨境流动规制的国际范式比较
当前全球数据跨境流动治理形成以欧盟、美国为代表的两大主导范式，RCEP的出现打破二元格局，构建第三条规制路径。三种范式在价值取向、制度设计与适用效果上存在显著差异，直接影响不同发展水平国家的利益分配。
3.1. 欧盟“监管例外型”范式：以严格保护为核心
欧盟基于个人数据保护传统与数据维护战略，形成“内部自由流动、外部严格管控”的二元规制模式，其制度核心体现为《通用数据保护条例》(GDPR)构建的“充分性认定 + 适当保障措施”双层框架。
充分性认定规则：作为欧盟数据跨境流动的“准入门槛”，GDPR第45条明确，非欧盟国家或地区需经欧盟委员会评估，证明其数据保护水平与欧盟“充分等效”，方可获得数据自由流动资格。截至2024年5月，仅13个国家和地区通过认定，包括日本、新西兰等。该规则设置四年复审期，欧盟可基于保护水平变化撤销认定，如2020年欧盟以“数据保护不足”为由，宣布美欧《隐私盾协议》无效，体现极强的域外管辖权。
适当保障措施：针对未通过充分性认定的主体，GDPR第46条提供替代方案，包括标准合同条款(SCCs)、有约束力的公司规则(BCRs)等。其中SCCs为欧盟预制标准化条款，企业需严格遵守数据传输范围、安全保障义务等内容，2021年欧盟更新的SCCs新增“数据主体权利救济”“第三方传输限制”等条款，进一步提高合规门槛。BCRs则适用于跨国企业内部数据传输，但审批流程复杂，截至2023年底，全球仅87家企业获得BCR授权，主要集中于科技巨头。
欧盟范式虽有效保障个人数据权益，但过高的合规成本对发展中国家形成“制度壁垒”。据欧盟委员会统计，发展中国家企业为符合GDPR要求，平均需额外投入年营收的3%~5%用于数据合规，显著增加数字贸易参与难度。
3.2. 美国“开放流动型”范式：以利益优先为导向
美国依托其跨国科技企业优势，推行“市场主导、行业自律”的开放规制模式，通过双边与多边协定输出“禁止数据本地化”理念，实现数据资源的全球获取。
域外数据获取的开放性：美国未制定统一联邦数据保护法，而是通过《加州消费者隐私法》(CCPA)等州级立法与行业准则，构建分散化保护体系。在国际层面，美国主导亚太经合组织(APEC)跨境隐私规则(CBPRs)，要求参与方认同“最低限度保护”原则，不得因数据保护限制企业跨境数据流动。截至2024年，23个经济体加入CBPRs，但其保护标准远低于欧盟，如未要求企业获得数据主体明确同意，仅需“事后告知”。
本土数据出口的限制性：与开放的域外获取政策相反，美国对本土敏感数据出口实施严格管制。《出口管理条例》(EAR)将人工智能算法、医疗健康数据等纳入“受控技术”，企业需经商务部产业与安全局(BIS)审批方可出境；2023年出台的《保护美国人敏感数据法案》进一步规定，社交媒体平台不得向“外国对手”传输用户生物识别数据，体现“宽进严出”的双重标准。
美国范式本质是服务于其数字霸权，通过规则输出推动全球数据向美国集中。据斯坦福互联网观察站数据研究发现，2023年全球70%的跨境数据最终流向美国服务器，其中发展中国家数据占比超50%，加剧数据资源分配失衡。
3.3. RCEP“多元共治型”范式：以平衡协调为目标
RCEP作为涵盖15个成员国的区域贸易协定，兼顾发达国家与发展中国家差异，构建独具特色的规制框架，其核心创新体现在“理念–制度–实施”三个层面。
多元共治理念：突破欧美单一主导模式，RCEP第12章(电子商务)明确“成员国平等参与、利益平衡”原则。一方面，允许日本、韩国等发达国家推动数据自由流动，另一方面为柬埔寨、老挝等发展中国家设置5~8年缓冲期，使其有时间完善国内数字法律体系。此外，RCEP不强制要求成员国统一数据保护标准，仅规定“不得采取不合理歧视措施”，赋予各国监管自主权。
自由流动与安全例外的平衡：RCEP第12.14条规定，成员国不得强制要求企业进行数据本地化存储，不得阻碍商业目的的数据跨境流动；同时第12.15条设置“基本安全利益例外”与“公共政策目标例外”，允许成员国在维护国家安全、公共健康等情形下，采取必要限制措施。与欧盟相比，RCEP不设置“充分性认定”门槛；与美国相比，其安全例外条款为发展中国家提供数据保障，如马来西亚可基于公共卫生安全，限制疫情相关数据出境[8]。
柔性实施机制：RCEP设立联合委员会，负责协调成员国数据跨境流动争端，但委员会决议不具有法律约束力，需通过成员国协商解决。这种“软法”模式降低实施难度，如2023年中澳因电商平台数据传输产生分歧，最终通过联合委员会调解达成妥协，避免贸易摩擦升级。RCEP范式的实践价值在于，既推动区域内数据要素自由流动，又为发展中国家提供制度缓冲，避免陷入“保护不足”或“过度规制”的困境。
4. 我国数据跨境流动法律体系与RCEP的适配性分析
我国已构建以《网络安全法》《数据安全法》《个人信息保护法》为核心的“三法并行”体系，形成“数据本地化 + 出境安全评估”的基础制度，但与RCEP规则相比，仍存在理念、制度与实践层面的适配性差距。
4.1. 规制理念：安全优先与多元共治的衔接不足
RCEP以“数据自由流动”为基本原则，强调安全与流动的动态平衡；我国法律体系则更侧重数据安全保障，呈现“安全优先”的价值取向。
我国的安全主权理念：《数据安全法》第1条明确“维护国家数据安全”的立法目的，《个人信息保护法》第38条将“国家安全”作为数据出境的首要考量因素。实践中，关键信息基础设施运营者(如电信运营商、金融机构)收集的个人信息与重要数据，需强制本地化存储，仅在“业务必需且通过安全评估”时方可出境，导致企业跨境数据流动的合规成本较高。据中国信息通信研究院调研，2023年我国大型企业数据出境合规投入平均达120万元/年，中小企业因难以承担成本，被迫放弃部分跨境业务[9]。
与RCEP的理念差距：RCEP倡导“非歧视性监管”，而我国现行规则对境外接收方设置较高评估门槛。例如《数据出境安全评估办法》要求，境外接收方所在国需具备“完善的数据保护法律体系”，否则难以通过评估。这种“对等保护”要求与RCEP“多元共治”理念存在差异，可能被部分成员国视为“隐性贸易壁垒”，如2023年印尼以“评估标准不透明”为由，限制我国电商平台数据入境。需注意的是，我国理念与RCEP并非完全冲突。《全球数据安全倡议》提出“互利共赢、安全与发展并重”，与RCEP价值取向一致，为理念衔接提供基础。
《数据安全法》第1条明确“维护国家数据安全”的立法目的，《个人信息保护法》第38条将“国家安全”作为数据出境的首要考量因素。实践中，关键信息基础设施运营者(如电信运营商、金融机构)收集的个人信息与重要数据，需强制本地化存储，仅在“业务必需且通过安全评估”时方可出境，导致企业跨境数据流动的合规成本较高[10]。
案例1：某头部金融科技公司(A公司)数据出境评估实践
A公司为RCEP成员国提供跨境支付与风险管理服务，2023年因向新加坡子公司传输5万用户交易数据申请出境评估：
成本构成：组建合规团队(律师 + 数据安全专家)耗时2个月，人力成本80万元；编写评估报告、升级加密系统投入60万元；因“境外接收方保护能力材料不足”两次补充材料，额外产生15万元费用，累计成本155万元。
流程障碍：审批周期长达3个半月，错过与某东南亚电商平台的合作窗口期(损失潜在收益约300万元)。
企业应对：将非核心数据(如市场调研数据)在境内完成分析后仅传输结果；联合10家金融科技企业推动行业协会制定《跨境数据合规指引》，统一材料标准，缩短申请准备时间40%。据中国信息通信研究院调研，2024年我国大型企业数据出境合规投入平均达120万元/年，中小企业因难以承担成本，30%放弃跨境业务。
数据来源：结合国家统计局报告及金融科技公司(A公司)官网数据整理。
4.2. 数据本地化制度：与RCEP安全例外条款的适配性
RCEP允许成员国基于“基本安全利益”采取本地化措施，我国制度虽符合该例外情形，但在适用范围与操作细节上仍需完善。
我国本地化制度的现状：《网络安全法》第37条规定，关键信息基础设施运营者的个人信息与重要数据需境内存储；《数据安全法》进一步扩展至“关系国家安全、国民经济命脉”的核心数据。实践中形成“显性 + 隐性”双重模式：显性层面为法律明确规定的本地化要求，隐性层面体现为企业自评估时的“保守倾向”——因重要数据界定模糊，企业为规避风险，常将非重要数据也纳入本地化存储范围。2024年第一季度，我国企业数据本地化存储比例达68%，其中非必要存储占比23%。
与RCEP的适配性分析：从RCEP“基本安全利益例外”的构成要件来看，我国制度符合“目的合法性”——本地化存储旨在保护国家安全与公共利益；但在“手段必要性”上存在不足：一是重要数据界定缺乏统一标准，《数据安全法》仅原则性规定“可能危害国家安全的数据”，未出台全国统一的重要数据目录，导致地方执行差异大，如上海将“人工智能训练数据”纳入重要数据，而广东暂未列入；二是例外情形适用不透明，企业申请数据出境时，监管部门对“业务必需”的认定标准不明确，审批周期平均长达3个月，影响数据流动效率。
案例2：某跨境电商平台(B平台)本地化存储困境
B平台业务覆盖RCEP12个成员国，需存储用户信息、商品数据与交易记录。
隐性成本：因“重要数据”无统一标准，将商品评价、浏览记录等非核心数据(占比25%)也纳入本地化，2024年存储成本同比增加40% (多支出120万元)。
合作障碍：泰国供应商要求实时访问商品库存数据以调整供货，但因本地化限制，数据传输延迟超24小时，导致3次供货断链，损失订单500万元。
企业应对：参考上海、广东地方目录，制定内部《数据分类清单》，将数据分为“核心(支付信息)–重要(交易数据)–一般(评价数据)”，仅对前两类本地化，存储成本降低22%。
数据来源：结合国家统计局报告及跨境电商平台(B平台)官网数据整理。
4.3. 数据出境安全评估：与RCEP公共政策目标例外的协同性
RCEP“公共政策目标例外”要求措施需符合“目的合法、手段适度、非歧视”，我国数据出境安全评估制度在框架上符合要求，但存在审查重叠与范围模糊问题。
我国评估制度的框架：根据《数据出境安全评估办法》，数据出境分为三种路径：重要数据与大量个人信息(超10万人)需通过国家网信部门安全评估；中等规模个人信息(1~10万人)可选择评估、标准合同或认证；少量个人信息(不足1万人)仅需企业自评估。2023年我国共受理数据出境安全评估申请1237件，通过率82%，主要集中于金融、科技领域。
与RCEP的协同性差距：一是审查内容重叠，安全评估、标准合同与认证均要求审核“境外接收方保护能力”，企业需重复提交材料，增加合规负担；二是范围界定模糊，《个人信息保护法》未明确“大量个人信息”的具体标准，实践中部分企业因担心“踩线”，即使涉及5万人信息也选择申请安全评估，导致评估资源紧张；三是国际协同不足，我国未与RCEP其他成员国建立评估结果互认机制，企业向不同成员国传输数据时，需重复接受评估，如某跨境电商向日本、泰国传输数据，需分别通过中国、日本、泰国的三次评估，耗时超6个月。
5. RCEP框架下我国数据跨境流动法律体系的优化路径
基于RCEP规则要求与我国实践需求，应从理念、制度、区域协作三个维度推进改革，实现数据安全与自由流动的平衡，提升我国在区域数据治理中的话语权。
5.1. 理念协同：构建“安全与流动并重”的规制导向
确立数据自由流动的原则地位：参考RCEP“自由流动为原则”的理念，在《规范和促进数据跨境流动规定(征求意见稿)》基础上，明确“非重要数据跨境自由流动”，仅对个人信息与重要数据实施管控。可通过修订《数据安全法》，增设“数据自由流动原则”条款，消除其他成员国对“贸易壁垒”的担忧。
细化安全例外的适用标准：针对RCEP“基本安全利益”与“公共政策目标”例外，出台《数据安全例外情形实施指南》，明确“国家安全”“公共健康”等例外情形的具体范围与认定流程。例如，将“核心数据”限定为“关系国家主权、领土完整的数据”，如地理空间数据、关键基础设施运行数据，避免例外情形滥用。
5.2. 制度细化：完善数据分类分级与出境评估体系
构建科学的数据分类分级制度：这是解决数据本地化“过度保守”与评估“范围模糊”的核心。一是制定全国统一的《数据分类分级指南》，明确三级分类标准：核心数据(禁止出境，特殊情况需国务院批准)、重要数据(出境需安全评估)、一般数据(自由流动)；二是建立动态调整机制，由国家网信部门每两年更新重要数据与核心数据目录，结合数字经济发展新增“人工智能训练数据”“工业互联网数据”等类别；三是推行“负面清单”管理，明确禁止本地化存储的数据类型，如非敏感商业数据，减少企业自评估的“保守倾向”。
优化数据出境评估机制：一是厘清评估、合同与认证的关系，建立“安全评估为主、其他方式为辅”的体系——重要数据与大量个人信息必须通过安全评估，中等规模个人信息可选择标准合同或认证，少量个人信息仅需自评估；二是简化评估流程，将审批周期从3个月缩短至45个工作日，推行“线上申报 + 属地初审”模式；三是推动评估结果互认，与RCEP成员国建立“双边互认协议”，如与新加坡、韩国达成安全评估结果互认，企业通过我国评估后，可直接向两国传输数据。
5.3. 区域联动：深化RCEP框架下的多边协作
参与RCEP数据治理机制建设：积极参与RCEP联合委员会的数据跨境流动工作小组，推动制定《RCEP数据安全合作指南》，明确成员国在数据分类、安全评估、争端解决等方面的协同标准。例如，推动建立RCEP统一的“重要数据识别参考清单”，减少各国界定差异；参与构建RCEP数据安全应急响应机制，在数据泄露、跨境数据滥用等事件中开展联合处置，2023年我国与泰国合作处置跨境电商数据泄露事件，为机制建设提供实践经验。
打造数据流动协作圈：以RCEP为基础，延伸区域协作范围，与RCEP成员国建立数据跨境流动合作机制。一是在自由贸易试验区开展试点，如在海南自贸港探索“数据跨境流动白名单”，对符合条件的企业简化评估流程；二是推动“数字丝绸之路”规则对接，将RCEP“多元共治”理念融入《数字经济国际合作倡议》，与东南亚国家共同制定“数据安全保护示范条款”，提升发展中国家的数据治理能力；三是建立数据治理能力建设平台，为RCEP成员国家提供法律培训、技术支持，如2024年我国为越南、老挝等国举办数据分类分级培训，参训人员超500人次，助力其完善国内制度。
6. 结论
在全球数据治理碎片化的背景下，RCEP“多元共治”范式为平衡数据安全与自由流动提供新方案。我国作为数据大国与RCEP核心成员国，需以规则衔接为契机，推动数据跨境流动法律体系从“安全优先”向“安全与流动并重”转型。通过理念协同、制度细化与区域联动，既保障国家数据安全与公共利益，又降低企业合规成本、提升数字贸易竞争力。我国应进一步发挥RCEP平台作用，推动区域数据治理规则一体化，同时将“中国经验”转化为国际公共产品，如将数据分类分级制度、安全评估互认机制推广至更多多边协定，为构建全球数据治理新秩序贡献中国智慧，最终实现“数据安全、流动自由、利益共享”的数字经济发展目标。