反观中国，如麦迪逊一般更动宪法原意的事例尚属鲜见。

(13)刑事责任的分配也因此必须兼顾报应和预防的双重需求。与此直接相关的就是第33条第1款第2句，初次违法且危害后果轻微并及时改正的，可以不予行政处罚。

(55)这种三阶层论能够为行政处罚所参照，首先因为其包含了法律保留、法益保护和责任主义的法治国意涵。(17)这种观念尝试弥合预防原则和责任主义之间的张力，强调即使要将刑事政策价值纳入刑法体系，也要使其在刑法的罪刑法定和责任主义原则下展开，而避免责任主义因为预防性刑事政策而被架空或悬置。(55)参见李晴《犯罪论体系对应受处罚行为的可参照性》，载《法学》2022年第4期。对于应当减轻或从轻处罚的事项，《行政处罚法》第32条列举的情形包括：(一)主动消除或者减轻违法行为危害后果的。但行政领域却有大量处罚规范指向的就是明确的自损行为。

若这些因素都符合，在行政处罚中就应认为行为人的违法性认识错误不可避免。在当事人存在违法性认识错误，尤其是该错误根本无法避免时，仍旧对其科以惩罚，导致的只能是责任主义的悬置和架空。多年来，美国利用自身数据和算法的优势，长期对其他国家政府进行类似棱镜门的监视，根据他国贸易数据、供应链数据发起精准的贸易战和经济制裁，甚至扰乱他国社会稳定。

对于非重要数据、非关键信息基础设施运营者处理的个人信息和中小规模个人信息的出境需求，则由《个人信息出境标准合同办法》和《个人信息保护认证实施规则》作出规范。这就导致安全评估与标准合同、安全认证的适用关系出现瑕疵，未来应当基于数据主权理论明确安全评估单列且优先适用的法律地位，且只有在数据出境行为及境外数据处理活动会对国家安全产生危害时才能触发。在美国于2017年宣布退出TPP后，原11个成员国宣布将TPP改名为《全面与进步跨太平洋伙伴关系协定》（CPTPP），保留了原TPP的大部分内容，同样支持跨境数据流动、反对数据本地化。后者则是将个人信息保护认证和个人信息跨境认证合二为一的第三方规制行为，相较于企业的自我规制和政府的行政规制，可以有效克服市场与政府的双重失灵，从而通过独立于被规制对象的专业机构依据一定的标准和技术规范形成个人信息保护社会化服务体系。

因此，美国倾向通过事后救济的方式来进行风险规制，并将自由贸易认定为国家和社会发展的主要目标之一，在社会中已经形成了较为广泛的市场话语体系。在重要数据的识别上，应当基于国家数据主权制度的前提和基础，先从类别内容上做出区分再根据重要数据的类别内容做出等级划分，充分考虑各行业场景的共通性与特殊性，通过定量与定性相结合的方式来进行动态识别。

但是，与数据自由贸易理论相似，数据权利保护理论同样存在缺陷，主要表现为欧盟认为保障公民的个人数据权利具有极高的价值位阶。在这种文化背景下，全球被美国视为一个开展自由贸易的大市场，数据是全球市场上的一种商品，而数据自由跨境流动则被视为自由贸易的重要前提条件。国际上的数据跨境将迎来新一轮的合作高峰，从而在全球经济低迷的时代背景下促进国际贸易的复苏，提升各国经济发展，同时给中国社会经济的发展带来机遇和启示。作为同样关注数据出境引发的国家安全、数据安全等问题的制度，安全审查与安全评估之间的关系如何、是否平行适用、在机制上如何配合等问题目前尚不明确。

从法理逻辑上看，安全评估与标准合同的评估内容应当有所区别。例如，经过网络安全审查或科技部审查的数据出境，是否还需要再申报安全评估？审查内容或评估内容是否在一定程度上重复并增加了数据处理者的合规成本？上述问题还需要进一步予以明确，以便为数据处理者提供更加清晰的指引，从而既有利于其高效率、高质量地合规，也有利于及时有效地保障中国的国家安全与数据安全。例如：在医疗卫生行业，其基础资源数据与业务资源数据包括医疗卫生机构的人员配置数据、重要医疗设备和信息平台的安保数据、特定药品的供应与规划数据、重要科研成果数据等，通过大数据技术对上述数据进行分析，就能够较为容易地获得一个国家的医疗政策和医疗能力变化情况。此外，国家安全与利益同样也是欧盟数据跨境制度的重要考量因素之一，第二次世界大战的阴霾使得个人基本权利被欧盟视为国家安全与利益的基石，没有对公民基本权利的保护，国家安全也将无从谈起。

2023年10月21日，英美数据桥（UK-US Data Bridge）生效，届时将允许组织通过《欧美数据隐私框架》的英国扩展进行美英之间数据跨境传输，英国的组织将能够将个人数据传输到获得《欧美数据隐私框架》的英国扩展认证的美国组织，而无需采取进一步的保护措施，以实现英美相关组织之间的数据自由流动。在内容优化上，《数据出境安全评估办法》将数据出境安全评估申报的条件落脚在历史上曾经处理过的个人信息数量或出境的个人信息数量上，即根据历史数据处理量来判断该数据处理者的数据出境活动将给国家安全、社会安全和个人信息主体权益可能带来的风险，这虽然具有一定的合理性，但是在实际落地中却暴露出了较大的短板与缺陷。

当前，数字经济的快速发展以及百年未有之大变局形势为中国的发展提供了历史机遇，两个一百年奋斗目标和中国式现代化的推进需要我们不断做优做强数字经济，数据的跨境流动是数字经济发展的重要内容，只有充分释放数字红利，才能让人民群众真正受益。没有绝对安全，要立足基本国情保安全，避免不计成本追求绝对安全，那样不仅会背上沉重负担，甚至可能顾此失彼。

(三)协调衔接国际规则2023年7月10日，欧盟和美国达成了继安全港和隐私盾之后的新的《欧美数据隐私框架》（EU-US Data Privacy Framework），设立独立法庭以审查美国情报机构数据收集工作，保障在此框架下个人数据可以自由、安全地流动，被称为欧美双方为了维系7.1万亿美元的跨大西洋经济关系的重要举措。例如，基于《个人信息保护法》和《数据出境安全评估办法》，设计直观易懂的评估问卷或手册，快速排查具体业务场景的合规风险，自动生成风险矩阵，可视化追踪风险处置进度及持续改进计划，构建发现、评估、整改、优化的管理闭环，自动化生成符合规范要求的数据出境风险自评估报告或个人信息影响评估报告，全方位展示最终评估结果和风险处置过程。根据《规范和促进数据跨境流动的规定（征求意见稿）》第5部分和第6部分的规定，预计一年内向境外提供不满1万人个人信息的，不需要申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。最后，利用北京两区、上海自贸区、海南自贸港、粤港澳大湾区等区域的制度创新优势，开展跨境数据流动试点，形成数据跨境规则的特区或监管沙盒，在容错机制环境下探索建立数据跨境流动的正面清单或负面清单，既能便利中国企业的数据走出去，也能让外国企业的数据走进来。由于安全评估针对的是重要数据和大规模个人信息出境对国家安全以及社会公共利益所产生的风险，其重点关注的是数据出境活动的安全面向，需要国家公权力的介入并进行实质审查，通过外部审批和问责的方式确保将风险降到最低，数据出境的实现需要让位于国家安全的保障。就中国目前申请加入的CPTPP和《数字经济伙伴关系协定》（DECP）而言，在数据跨境流动的促进与限制方面与中国国内目前的制度之间存在着较大的原则性分歧。

进入专题： 数据跨境制度 。可以看出，CPTPP和DECP规定了较高水平的数据跨境流动措施，同时对限制数据跨境的行为设定了极为严苛的条件。

此外，前三套标准合同是在执行欧盟《数据保护指令》（Data Protection Directive），第四套标准合同则主要是落实GDPR的产物，可以预见，未来欧盟还将继续更新GDPR背景下的标准合同，更进一步促进数据的自由流动，为欧盟数字统一市场的建立提供支撑。首先，中国应以更主动进取的姿态参与数据跨境流动国际规则的构建，在经贸、投资以及其他相关专题谈判中启动数据跨境流动谈判，做好国内制度与国际规则的衔接工作，加强国际合作与协调，促进各国之间的互信和合作。

因此，相较于美国的数据自由贸易和欧盟的数据权利保护，中国应当基于利益平衡体系下的数据主权理论建构数据跨境制度，强调安全与发展兼顾、既要又要的风险规制进路。基本权利保障是第二次世界大战后欧洲国家创造欧洲公民身份计划的重要组成部分，是在法西斯主义和纳粹主义的毁灭性经历中，欧洲国家领会到的保护人类尊严的血泪教训。

此类现象产生的原因源于两类法规之间的衔接不畅：一方面，数据出境主要制度之间存在空白，安全评估、标准合同和保护认证仅针对重要数据和个人信息作出了规定。在该理论下，安全评估应当处于单列且优先使用的地位，但其适用需要遵循严格的触发条件，即：只有数据出境行为及境外数据处理活动将对国家安全产生危害时才需要进行安全评估，这种规定是国家主权之自保权的体现，当境外数据处理行为危害到本国国家之安全时，国家有抵御外来侵犯之绝对权利，本国对境外数据威胁行为采取防御、处置措施是国家主权作用的当然结果，此为数据保护权。在理论上，中国的数据出境监管制度缺乏成熟的基础理论依据作为指导，导致虽然在总体思路上秉承着平衡安全与发展的大方向，但是在具体制度设计时尚未形成科学的、系统的以及一以贯之的规制路径，难以准确掌握安全与发展的边界，制度之间存在空白重叠且无法有效协调适用。结 语一方面，数据的跨境流动能够催生新模式、新业态和新企业，深刻改变国际贸易和分工格局，并借助其公共产品的特性，使国际经济竞争从零和博弈转向帕累托最优，向自由、开放、合作、共享的方向发展。

《个人信息出境标准合同办法》和《数据出境安全评估办法》评估内容对比，如表1所示。一是基于其自身对业务的了解，认为某些数据的出境将影响数据安全，尤其是量变引起质变后，一旦操作不慎将需要承担法律责任。

在金融领域，Swift系统对接全球超过11000家银行、证券机构、市场基础设施和企业，覆盖200多个国家和地区，年处理金融数据数十亿条，近年来更是被美国用于制裁伊朗和俄罗斯，对伊朗和俄罗斯的金融数据安全乃至国家安全产生了巨大影响。因此，应当尽快完善和明晰数据分类分级制度，通过列举+兜底的方式明确一般数据、重要数据和核心数据的边界与范围，从重要数据的识别到对重要数据的管理，从重要数据安全合规使用到重要数据安全保护，所有安全要求都需要有专业化、自动化工具的支持。

然而，根据笔者的调研结果，目前实践中数据处理者主要采用Excel工作表的形式进行梳理总结并依靠专业人员进行主观评价，效率低、数量大、类别杂，缺少自动化技术手段，且专业人员不仅需要对相关法律法规了如指掌，还需要懂得技术与业务，否则将会很容易出现鸡同鸭讲隔行如隔山的情况，一般的中小企业往往难以负担如此高昂的成本，也缺乏有效完成自评估的能力和现实条件，最终只能放弃申报数据出境而选择暂停业务，更有甚者则选择铤而走险，在未作申报的情况下仍继续开展数据出境活动。三、数据跨境规制的理论逻辑总体而言，中国目前的数据出境制度呈现出以通用规则为主体，以行业规则为补充的思路和格局。

同时，安全评估中要求双方签订的具有法律效力的文件在内容上也与标准合同模板相似，实践中申请安全评估的主体多参照标准合同模板制定或修改双方的法律文件。2023年10月28日，欧盟和日本就跨境数据流达成了协议。但是，由于起步较晚，针对中国网民规模巨大、企业平台众多、产品业态丰富的实际情况，适应法律主体多元、法律关系多样、法律适用场景多变的特点，中国的数据跨境流动无论在理论上还是在实践中，均出现了一些问题与缺陷，尚待进一步完善。第三，通用性制度、行业性制度之间衔接不畅。

例如，北京两区正在策划建设数字贸易港，希望实现与欧盟之间数据跨境流动的特殊安排派驻机构职责正当性的首要挑战在于，它并非经由法律，而是监察委授权、自我衍生的产物，因此民主正当性的链条相对脆弱。

中共中央办公厅2022年印发的《纪检监察机关派驻机构工作规则》也从党内法规的角度在第3条明确规定派驻机构是派出机关的组成部分，与驻在单位是监督和被监督的关系。它有组织意义和功能意义上的双重含义：组织意义上讲，该条款是职权从直接国家行政向间接国家行政转移，大量的间接国家机构（例如各种自治主体）在组织上分化出更多承担国家任务的机关。

《监察法》第12条规定的监察机构、监察专员对派驻或者派出它的监察委员会负责正是这个意义上非独立性的表现。这正是创设机关通过抽象规则赋予间接机关一般性概括职能，通过这一行为，创设了间接机关的独立职能空间。