一、问题聚焦：我国个人信息保护法域外效力边界的划定 承载个人信息的相关数据在经济社会发展中的作用毋庸置疑。在线搜索、通信、医疗、教育、零售和金融服务等领域的发展皆依赖对个人信息的收集、存储、处理和利用。当下，互联网和云计算的全球性意味着个人信息能够以数据形式跨境流动。这种跨境数据流已然成为全球价值链形成的推动力，并在提升经济效率方面发挥重要作用。但是，个人信息的跨境流动也引发了侵害个人信息权利和公共利益的风险。为化解上述风险，实践中对个人信息跨境流动的规制，主要存在个人信息跨境传输禁止模式与跨境传输个人信息行为者问责模式。①但上述两种模式均不足以解决个人信息跨境流动与个人信息安全的利益冲突，《欧美隐私盾协议》在2020年被欧洲法院宣告无效即为典型例证。② 与此同时，国际社会并无专门规范个人信息跨境流动的全球性多边条约，国际贸易和投资领域有关个人信息保护的条约法规则体系化程度也较为有限。尽管世界贸易组织(以下简称世贸组织)上诉机构和专家组试图在国际贸易规则的适用中平衡数据跨境流动与个人信息保护利益，但要求世贸组织对涉及政治敏感方面的个人信息问题做出决断。这显然对正处于危机中的世贸组织争端解决机制要求过高。并且，当前国际贸易法规则仅限制数据来源国家提供数据服务及进行数据贸易的自由而对数据目的地国不课加实质性义务的实践，在政治上也是不可持续的。③但是，一国在国内立法中采取数据本地化政策并完全禁止个人信息跨境流动的做法亦不现实。特别是，在无法实现个人信息跨境流动的情形下，往往需要以自然人的跨境流动取代相关数据的跨境流动，进而产生诸多高昂成本。④一国采取数据本地化政策不仅会面临经济遭受损失、数字创新受阻和言论自由受限的风险，也将导致国家依据该政策制定的相关立法形成“互联网的巴尔干化”。⑤这也是近年来在互联网领域反对赋予国内法域外效力的观点日渐式微的重要原因之一。⑥ 可见，规制个人信息跨境流动需要相关国内法的域外适用。这也使得各国纷纷彰显其赋予乃至扩张本国个人信息保护法域外效力⑦的立场，并将之作为一种规制相关数据跨境流动的优先政策选择。在此情势下，2021年施行的《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)第3条第2款赋予该法域外效力的做法，回应了我国合理规制个人信息跨境流动的现实需求，不仅有助于达成维护本国个人信息安全的目的，也有利于强化相关部门承担个人信息权利保护的国家义务。就此意义而言，《个人信息保护法》作为我国网络数据法律体系中的基本法，其域外效力的边界问题无疑应受到重点关注。《个人信息保护法》第3条第2款的解释和适用，自然成为当下我国推进个人信息跨境保护工作面临的一个重要议题。 在加快推进中国法域外适用的法律体系建设之要求下，赋予并积极扩张包括《个人信息保护法》在内的国内法之域外效力，似成不言自明的政策选择。受此影响，鲜有学者系统阐述《个人信息保护法》域外效力的实效性，以及在其影响下该法域外效力条款的解释问题。⑧应该说，《个人信息保护法》域外效力的实现，归根结底仍需兼顾与外国立法管辖权的协调，并仰赖该法涉外执法效能的提升。上述问题本质上均与《个人信息保护法》地域效力范围的划定紧密相关。在当前中国法域外适用的法律体系建设已初显成效之情势下，无疑应进一步聚焦相关国内法域外效力的边界问题。由此也就需要明确我国适度限缩该法域外效力的理据，并以此强化我国所作相应政策选择的正当性。 二、划定边界之缘由：限缩我国个人信息保护法域外效力的理据 (一)个人信息权利的性质对我国个人信息保护法域外效力的影响 关于《个人信息保护法》域外效力的边界问题，首先需要厘清个人信息权利的性质及其对该法域外效力的影响。《中华人民共和国民法典》(以下简称《民法典》)总则编和人格权编关于个人信息保护的规定紧密围绕自然人对其个人信息享有的权益而展开。《民法典》将自然人的个人信息作为一种民事权益和人格权益而非公法权利和财产权益予以保护。并且，自然人对其个人信息享有的人格权益被视为一种不同于隐私权、姓名权、肖像权的具体人格权。⑨尽管包括我国在内的诸多国家均采用刑法、行政法等公法机制保护自然人的个人信息，但无碍于将个人信息权作为一种民事权利的基本属性。⑩显然，我国将个人信息权利定性为私法权利，并将《个人信息保护法》视为承载保护私人权利功能的私法，那么基于国家间私法的等价性和互换性，该法自然具有相当宽泛的域外效力。在一个信息技术几乎支配我们生活各方面的时代，将个人信息权作为一种民事权利的同时，国家面临的主要任务是，在相互联系的世界中赋予自然人个人信息权利以基本权利的地位，并对数字世界中的自由需求、发展机遇和潜在风险保持敏感。这就意味着我国不宜将个人信息权利仅作为一种纯粹的消费者权利或一般民事权利加以保护。从比较法上看，欧盟将《欧盟通用数据保护条例》(以下简称《条例》)视为一种基本权利法，这也使得该法的域外适用在很大程度上取决于欧盟关于基本权利的法律文件的域外效力范围。(11)并且，欧洲人权法院在以《欧洲人权公约》为核心法源的实践中积极扩张人权法规范的域外效力。(12)应该说，作为一个立法管辖权问题，只要发生在国家领域外的行为产生之影响触及其领土范围，各国就有极大自由来制定用于规范境外相关行为的法律。(13)尤其是就宪法规定的基本权利之地域效力范围而言，除非案件所有因素都发生在一国领域内，否则此类基本权利的适用本身就具有域外性。(14)就此而言，依据《中华人民共和国宪法》制定的《个人信息保护法》，是我国网络数据法律体系中保障个人宪法性权利之基本法。(15)该法域外效力条款的适用，有利于强化我国承担的保护个人信息权利之国家义务，达成维护本国个人信息安全的目的。《个人信息保护法》承载保护个人基本权利的功能，无疑强化了该法被赋予宽泛域外效力的正当性，并有助于在个人信息权利的保护上最终形成公法和私法的双重进路。
