近些年来,跨境电商的个人信息保护问题不绝于耳。先是GOOGLE在德、法等欧盟国家因滥用其居民个人数据被罚、FACEBOOK在欧洲因同样原因遭到联名起诉、中国的小米手机在港、台涉嫌将当地手机用户信息传输回大陆总部而遭到港台隐私保护当局的介入调查。接下来,欧盟最高法院于2015年10月宣布运行15年之久的欧美“安全港”框架失效,影响到“港”内的5500多家美国企业,个人信息保护问题上升到双边经贸关系层面。2015年10月,备受亚太经济体瞩目的TPP协议在12国范围基本达成一致,其中第14章“电子商务”专门制定了针对个人信息保护的条款,“个人信息保护”(14.8)和“非应邀商业电子信息”(14.14),意味着个人信息保护问题也成为多边经贸谈判的内容之一。近些年,欧美等经济大国非常重视个人信息保护问题。欧盟于2012年1月提出对1995年颁布的“个人数据保护指令”进行重新修订,并将其升格为条例,以替代先前的28部法律。据悉,欧盟机构于2015年底刚刚通过了“通用数据保护条例”(GDPR),该条例最终将使得欧盟区域的个人数据保护法律实现完全统一。美国则一直在APEC平台上积极推进其主导设计的“跨境隐私规则”,并在它同样主导的TPP协议中希望参与国加入该规则。经济大国如此重视个人信息保护问题,其实是在争夺个人数据使用规则的话语权。进入数字经济时代,个人数据成为商业活动不可或缺的组成部分,个人数据的收集、存储、利用、加工和传输都应遵循一定的规则,这个规则反映的就是个人信息保护的内容。在未来的商业竞争中,谁能把握个人信息保护规则的制定权,谁就占有优势,并且可以以此来限制竞争对手的发展,因此欧美等经济大国都热衷于个人信息保护规则的制定。近年来,许多区域经济组织都在积极推动区域内个人信息保护规则的建设。欧洲委员会于2012年提出修订1981年颁布的“有关个人数据自动化处理的个人保护公约”(Convention 108),拟向“现代化”和“国际化”两个方向发展。OECD于2013年对其1980年颁布的“个人数据跨境流动保护指南”进行了修订,突出了全球视野,提高了国际兼容性。APEC于2012年推出了“跨境隐私规则”(CBPR),邀请成员经济体及其企业加入。非洲、拉丁美洲的国家以及东盟十国在区域经济组织的带领下,近年来颁布了很多部个人信息保护法律。各区域经济组织为何都在近些年积极制定、修订个人信息保护规则?而且有的已经显示出把区域性规则发展成为全球性规则的意愿,比如欧洲委员会和OECD。非洲、拉美和东盟的区域经济组织为何都在积极推动成员经济体的个人信息保护立法进程?区域经济组织的使命主要是促进内部市场的统一,增强对外的竞争力。如果各国个人信息保护法律存在很多差异,就会对个人数据的跨境流动形成障碍,不利于区域经济的发展。因此,区域经济组织承担起了这个多边协调的任务,制定一个统一的个人信息保护规则,并倡导成员经济体根据规则制定本国的个人信息保护法律,以提高区域法律的协调性,从而促进区域内跨境电商的发展。从上述各种现象可以看出,个人信息保护问题与跨境电子商务密切相关,其影响已经从企业个体上升至双边甚至多边的经贸关系层面;经济大国和区域经济组织越来越重视个人信息保护问题,并且在争夺规则制定的话语权。跨境电子商务中的个人信息保护问题究竟包括哪些本质性的问题?无外乎就是个人信息的使用规则与立法问题、个人信息保护法律的管辖权问题、隐私保护的国际协调机制问题和国际标准问题。个人信息的收集、存储、利用、加工、传输、披露都应遵循一定的规则,各国的个人信息保护法律以及区域经济组织制定的框架和指南其实都是在对个人信息的使用规则做出规定。法律都有管辖权的规定,个人信息保护法律也不例外。然而,个人信息比较特殊,它在跨境电子商务中经常会进行跨境流动,给法律的管辖权问题带来了不少困扰。跨境电商的发展需要个人信息的自由跨境流动,但是各国的个人信息保护法律在原则、内容、保护程度以及管辖权规定等方面存在诸多差别,会对个人信息的跨境流动形成障碍,不利于跨境电商的发展。解决这个矛盾需要国际协调机制的介入,包括双边和多边协调机制。除了法律规制以外,行业自律也可以起到提高企业隐私保护水平的辅助作用。先进的技术标准和管理标准可以迅速提高企业的隐私管理水平,从流程上杜绝隐私泄露的隐患,并且能够起到协调国际行业水平的作用。为了研究清楚上述四个核心问题,本文根据不同的研究模块采用了多种研究方法:文献研读法、统计分析法、访谈法、研讨法、比较研究法、跨领域研究法、归纳法以及网络资源搜索法。研究得出以下6个主要结论:1、截止2015年1月,全世界已经颁布了至少109部全域性的个人数据保护法律,其中包括95个主权国家和14个独立司法管辖区。从地域分布来看,欧洲国家的法律数量占到总数的将近一半。新法颁布的速度不断提高,平均每年新增5.8部法律,而且今后的增量主要来自于广大亚非拉国家。从世界隐私保护立法格局中可以推断出4个特点:?欧洲个人数据保护法律对世界各国具有重要影响;?区域经济组织在推动成员国个人数据保护立法进程中起到了重要作用;?大部分国家采取统一立法的形式并覆盖公私两个领域;?大部分已立法国家或地区有独立的数据保护当局。2、通过对与我国经贸关系较为紧密的10个国家的个人数据保护法律进行比较研究,发现这些法律都围绕个人数据的使用规则制定相关条款,所有法律都对个人数据的收集、准确、安全、访问、修改、删除的具体要求做了规定;6部法律对敏感信息的保护做了规定;所有法律都直接或间接地对个人数据的跨境流动做了规定;5部法律规定依法建立独立的数据保护当局,并对其权力进行了详细规定。3、关于网络隐私保护法律的管辖权问题,目前有三种理论导向:继续适用传统法律的管辖权理论、创建全新的网络管辖权理论和网络自治。创建全新的管辖权理论从长期看也是有可能的,但是目前仍需要尽可能挖掘传统管辖权理论的潜力。传统的管辖权理论主要基于“属人”原则和“属地”原则,以及欧盟指令中提出的“设备所在地”原则。“属人”原则可以演化为个人数据所属国法律对于隐私侵权案件具有管辖权,但是很多国家不愿意接受外国法律的管辖,因此经常发生冲突。“属地”原则需要选择卖方所在地还是消费者所在地,前者不利于保护消费者的利益,后者把电商企业置于更多的法律风险中。“设备所在地”原则规定数据加工设备所在国的法律具有管辖权,但是却无法解决云计算的问题。云计算“飘忽不定”的特性给传统的法律管辖权理论提出了最大的挑战,建议以“属人”管辖原则为主、改限制存储地点为限制向第三方披露、要求云服务商对个人数据做加密处理。4、目前存在的双边协调机制主要有法律互助机制、合同约定机制和行业自律机制。多边协调机制的发展路径分为机构化路径和非机构化路径,前者只有欧盟可以做到,自上而下地强制各国根据“个人数据保护指南”颁布本国法律。后者形式多样,更具有普遍意义,包括欧洲委员会的“有关个人数据自动化处理的个人保护公约”、oecd的“个人数据跨境流动保护指南”、apec的“隐私框架”以及“跨境隐私规则”、联合国的“关于计算机化个人资料的处理指南”、国际性和区域性的数据保护当局专业大会及组织。隐私保护的国际多边协调机制有以下三个发展趋势:难以形成全球统一的多边协调机制、非机构化的多边协调机制更为重要、专业化的协调机制正在形成。5、区域性的个人数据保护规则体系是多边协调机制的产物,也是立法协调方式的替代产物。目前,多边的区域个人数据保护规则体系仅有两个:apec的“跨境隐私规则”与欧盟的“约束性公司规则”。两套规则有相同之处,又在参与方、适用范围、申请程序和监管机制等方面存在诸多差异;各有优劣,又殊途同归,并且正在谋求对接和互认。6、隐私保护的国际标准主要分为技术标准和管理标准。管理标准从20世纪60年代开始至今已经经历了三个阶段的发展,分别是“公平信息实践”、“隐私影响评估”和“隐私保护设计”。隐私保护的国际标准具有以下四个发展趋势:从技术标准向管理标准发展、从单一标准向综合标准发展、DPA开始主导标准的设计、标准与法律实现了结合。