数据在当今世界具有鲜明的时代特性,且具有更加天然的流动优势,在全球化时代,数据随着流动而不断增值。1980年,《关于保护隐私与个人数据跨境流动的指南》中首次提出数据跨境流动的含义,但当时仅只包括个人数据。本文所指的数据主要包括个人信息和重要数据。近年来,全球范围内的数据跨境流动飞速增长,我国作为数据大国,数据跨境流动带来了诸多方面的效益与价值,但同时也凸显出了令人担忧的风险。因此研究数据跨境流动规则问题迫在眉睫。2017年6月1日施行的《中华人民共和国网络安全法》(以下简称《网络安全法》),是我国首次明确对数据跨境流动进行的综合性立法,并作了较为明确且统一的规定。随后,其配套措施也相继出台,形成了“一法、两标准、三办法”的数据跨境流动体系,确立了我国的数据跨境流动规则。我国的数据跨境流动体系是由《网络安全法》构建的,并由其他相关配套措施予以配合,主要内容则是针对数据出境进行安全评估。数据出境由《网络安全法》进行原则上的规定,主要实施措施现行有《个人信息和重要数据出境安全评估办法(征求意见稿)》和《个人信息出境安全评估办法(征求意见稿)》两部办法,目前正在征求意见当中。两部办法对于我国的个人信息和重要数据出境进行了规定,但是时隔两年,内容上却又很大的不同。与《网络安全法》相比,二者将数据出境的义务主体范围由“关键信息基础设施的运营者”扩大至了“网络运营者”,在这一点上,二者没有不同,但是,在评估主体、评估流程、重点评估内容、数据主体的同意、评估周期以及持续监管方面都有些许不同。可以发现,我国现存数据出境规则立法主要转变集中于三个方面,第一,我国的数据出境评估义务主体范围扩大,第二,我国拟引入“标准合同条款”,第三,数据立法从数据完全本地化到开始初显域外效力。首先,《网络安全法》中对于“关键信息基础设施的运营者”没有明确其具体范围和保护措施,只是授权国务院规定。国家网信办发布了《关键信息基础设施安全保护条例(征求意见稿)》,其中规定了应当纳入关键信息基础设施保护范围的网络设施和信息系统类别。欧盟GDPR中所规定的义务主体是数据控制者与数据处理者,并规定了详细的责任和义务。对比欧盟,并考虑到当前我国的立法需求,有必要对数据出境安全评估义务主体的扩大展开合理性探讨。其次,《个人信息出境安全评估办法(征求意见稿)》中出现了欧盟GDPR“标准合同条款”的影子,“标准合同条款”是欧盟个人数据出境路径选择之一,且有着较长的历史沿革。“标准合同条款”,是将法律规定的法定义务和责任转化为合同义务和违约义务,尤其是转化为合同双方对作为第三方的数据主体的合同义务和违约责任。但是我国是否能够在数据出境规则中引入“标准合同条款”,考虑到我国的国情和立法、司法环境,有必要做出一番利弊分析。再次,与《个人信息和重要数据出境安全评估办法(征求意见稿)》相比,《个人信息出境安全评估办法(征求意见稿)》中出现了域外效力的影子。在此之前,我国关于数据方面的立法具有明显的本地化存储倾向。办法中对于境外个人信息接收者的责任与义务进行了规定,做了合同上的“束缚”,这与之前的立法相比,是前所未有的创新。不过与我国相比,欧盟GDPR和美国云法案对于数据方面的立法更具明显的域外效力。本文结合上述内容,分为四章进行阐述。第一章阐述数据跨境流动与数据出境。第一节讨论数据出境在数据跨境流动中的重要地位,内容主要包括确定数据与数据跨境流动的概念,以及论证数据跨境流动中重点规制数据出境的必要性。第二节则是探讨我国数据跨境流动规则的立法理念与制度框架,其中,立法理念是数据本地化存储,而制度框架则是以数据出境为主要内容。第二章讨论我国数据出境规则内容与问题。其中第一节主要分析我国数据出境规则内容,并研讨了我国数据出境第一案。第二节则是通过对比分析数据出境的相关法规,再予以评析,并总结出我国数据出境立法亟待讨论的问题。第三章探讨了我国数据出境规则立法转变,并进行研究。第一节是关于数据出境义务主体范围的扩大,通过比较法,对欧盟的立法进行了分析,进而论证了我国立法的合理性。第二节首先对我国数据出境中“标准合同条款”的初现进行了阐述,然后对于欧盟“标准合同条款”的历史沿革与基本逻辑进行了研究,最后对于我国数据出境规则中引入“标准合同条款”的利弊予以了分析。第三节是对比美国的云法案与欧盟的GDPR,探讨我国数据跨境流动规则中的域外效力。第四章在前三章的基础上对于我国的数据出境规则的完善提出建议。首先是需要正确实施数据本地化的立法政策,并明晰数据出境义务主体范围及定义,对于“网络运营者”的定义,可以借鉴欧盟GDPR中对于数据控制者与处理者概念的立法规定;其次是建议对于“标准合同条款”不能僵硬引进,而是需要对其进行优化,进行中国本土化设计;最后本文提出,一方面需要完善法律的域外性,另一方面,也要变革国际司法协助体系,推进双边或多边协议的签订,只有如此,才能不断发挥我国的数据规则引导力,实现由我国主导的数据跨境流动体系。