Wereldwijde grensoverschrijdende datagovernance verschuift naar toegangscontrole: het institutionele innovatie-experiment van Shanghai Lin-gang

De infrastructuur van de mondiale digitale economie ondergaat een geruisloze maar verstrekkende machtsverschuiving. Grensoverschrijdende datastromen zijn niet langer louter een technische kwestie van datapakketten die landsgrenzen overschrijden, maar zijn uitgegroeid tot een cruciaal strijdtoneel voor de machtsspelen rond datasouvereiniteit tussen staten en de mondiale strategische positionering van bedrijven. Terwijl de meeste multinationals hun aandacht nog richten op de goedkeuring van data-uitvoer en lokale opslag, is de slinger van de mondiale regelgeving doorgeslagen naar een nieuwe dimensie: wie heeft toegang tot gegevens, hoe wordt die toegang verkregen, en wie controleert die toegang.

Achtergrond: van 'mag het het land uit?' naar 'mag het worden benaderd?'

Traditioneel draaide grensoverschrijdend databeheer om de vragen of gegevens het land uitgaan, of ze lokaal worden opgeslagen en of ze een veiligheidsbeoordeling doorstaan, waarmee een beheerparadigma ontstond met fysieke datastromen en territoriale jurisdictie als kern. Op basis van dit kader heeft China een beheerssysteem opgebouwd dat gericht is op data-uitvoer, met een compleet arsenaal aan institutionele instrumenten, waarmee stabiele verwachtingen worden geboden voor een veilige en ordelijke datastroom.

Er vindt echter een fundamentele verandering plaats: de kernknelpunten waar multinationals in hun mondiale operaties tegenaan lopen, zijn verschoven van 'mogen gegevens legaal het land uit?' naar 'mogen buitenlandse gegevens, systemen, diensten en rekenkracht continu worden benaderd, stabiel worden aangeroepen en langdurig worden gebruikt?'. Handelingen zoals externe toegang, cloudbeheer, API-aanroepen en systeembesturing worden de nieuwe aandachtspunten en beperkingsobjecten van toezichthouders. Het mondiale beheer van grensoverschrijdende gegevens verschuift van 'transportcontrole' naar 'op machtigingen gebaseerde toegangscontrole'. Dit is niet alleen een technische aanpassing, maar een alomvattende herstructurering van het regelsysteem, de jurisdictielogica en de risicobeoordeling.

De drie trajecten van de VS, de EU en China: toenemende regelgevingsconcurrentie

Tegen deze achtergrond vertonen de Verenigde Staten, de Europese Unie en China sterk uiteenlopende institutionele logica's.

De Verenigde Staten hebben op basis van Uitvoeringsbesluit 14117 en de relevante regels van het ministerie van Justitie een model voor nationale veiligheid opgebouwd met 'toegangscapaciteit' en 'doordringing van de controleketen' als kern. Via 'subjecten van zorg' wordt een volledige dekking van buitenlandse gelieerde partijen gerealiseerd; niet alleen de gegevens zelf worden aan beperkingen onderworpen, maar vooral ook de toegangsrechten en controlebevoegdheden. Het geheel is sterk gepolitiseerd.

De EU gebruikt de AVG (GDPR) als uitgangspunt en vormt samen met de Data Governance Act, de Data Act en de 'Cyberbeveiligingswet 2.0' het strengste en meest invloedrijke regelsysteem ter wereld. Via het mechanisme van 'leveranciers met een hoog risico' voert de EU markttoegangstoezicht uit, richt zij zich vooral op niet-technische risico's zoals 'beïnvloeding door derde landen' en blijft zij haar toezichtnormen wereldwijd exporteren.

China heeft op basis van de Cyberbeveiligingswet, de Dataveiligheidswet en de Wet bescherming persoonsgegevens een veiligheids- en ordesysteem opgebouwd dat gericht is op data-uitvoer, waarbij de toegang vanuit het buitenland tot binnenlandse gegevens onder uniform toezicht wordt gebracht en de nadruk ligt op territoriale grenzen en voorafgaand toezicht. Wat echter de institutionele respons betreft op beperkingen van buitenlandse zijde jegens China en op verstoringen van diensten, valt er nog veel te verbeteren.

Analyse van de digitale economie: toegangscontrole hervormt de datawaardeketen

Naarmate het toezicht zich verplaatst van de 'transmissiegrens' naar de 'toegangsgrens', verandert ook de samenstelling van de datawaardeketen. Traditioneel waren het opslaan, verwerken en uitvoeren van gegevens binnen het land een lineair proces. In het nieuwe paradigma van 'toegangscontrole' kunnen gegevens echter in een bepaald land blijven opgeslagen, terwijl ze op afstand worden aangeroepen door systemen over de hele wereld, waardoor een complex toegangsnetwerk ontstaat.Voor multinationale ondernemingen zijn cloudplatforms, API's, sleutels en updateservices de 'levensader' van digitale operaties geworden. Als deze 'toegangspunten' worden beperkt, kan de wereldwijde bedrijfsvoering van het bedrijf verlamd raken, zelfs als de data het land niet verlaten. Dit betekent dat databeheer niet langer louter een compliancekwestie is, maar direct van invloed is op de beveiliging van de toeleveringsketen en de markttoegang van het bedrijf. Een voorbeeld: een Chinese onderneming in slimme auto's, waarvan de wereldwijde after-sales afhankelijk is van externe verbindingen met buitenlandse servers, kan ertoe leiden dat die verbinding zelf onderwerp van toezicht wordt.

Tegelijkertijd verandert toegangscontrole ook de manier waarop de waarde van data wordt beoordeeld. Traditioneel hing de waarde van data af van de hoeveelheid en kwaliteit; onder toegangscontrole worden de 'toegankelijkheid' en het 'onvervreemdbare controlevermogen' van data nieuwe waarderingsdimensies. Platformbedrijven die beschikken over de toegangspoorten tot cruciale data, zien hun onderhandelingspositie verder toenemen.

Businessmodellen: compliancevermogen wordt kerncompetentie

In de nieuwe governanceomgeving wordt compliancevermogen een van de belangrijkste concurrentiebarrières voor multinationale ondernemingen. Een onderneming die tegelijkertijd voldoet aan de toegangscontrole-eisen van meerdere landen, zal lagere operationele risico's en meer marktvertrouwen verwerven dan concurrenten.

De praktijk van het Shanghai Lingang Nieuwe Gebied is op dit terrein representatief. Als frontlinie van de nationale institutionele openstelling heeft Lingang sinds 2024 als eerste in het land een dienstcentrum voor grensoverschrijdende data opgericht, dat one-stop-diensten biedt zoals beleidsadvies, begeleiding, indiening van documenten en ecosysteemkoppeling, en de hele keten bestrijkt: veiligheid en compliance, datatechnologie, infrastructuur, industriële toepassingen en buitenlandse compliance.

Lingang heeft daarnaast meerdere baanbrekende scenario's ontwikkeld: grensoverschrijdende koolstofdata voor groene handel, zichtbaarheid van de mondiale toeleveringsketen in de logistiek, inspectie van internationale zeeschepen, wereldwijde after-sales voor intelligente en verbonden auto's, gecoördineerde interne beheersing bij grensoverschrijdend vermogensbeheer, en geneesmiddelenbewaking in de biomedische sector. Deze scenario's gaan niet om eenvoudig gegevenstransport, maar omvatten diepgaand externe toegang, systeemcontrole en interface-aanroepen – typische toepassingen van het 'toegangscontrole'-paradigma.

Met deze verkenning bewijst Lingang dat veiligheid en openheid hand in hand kunnen gaan, en dat toezicht en gemak in samenhang kunnen worden ontwikkeld. Belangrijker nog: het biedt China een uitvoerbare 'gereedschapskist' voor de herordening van de mondiale dataregels, en brengt beleid van macro-verhaal naar micro-uitvoering.

Marktconcurrentieanalyse: wie profiteert, wie staat onder druk?

Vanuit het mondiale concurrentielandschap zijn de grootste begunstigden van het tijdperk van toegangscontrole waarschijnlijk de techgiganten en cloudproviders met mondiale compliance-infrastructuur. AWS, Azure en Google Cloud zijn bijvoorbeeld al gewend aan meerdere rechtsgebieden en kunnen zich sneller aanpassen aan flexibele nieuwe regels. Daarentegen zullen bedrijven die afhankelijk zijn van één markt en geen grensoverschrijdende compliancecapaciteit hebben, te maken krijgen met hogere drempels.

Chinese technologiebedrijven die internationaliseren, zullen ook meer druk ervaren. Het Amerikaanse mechanisme van 'onderwerpen van zorg' richt zich direct op bedrijven met een Chinese achtergrond, en de risicobeoordeling van hoogrisicoleveranciers in de EU zal eveneens nadelig uitpakken voor Chinese ondernemingen. Maar als het model van 'grensoverschrijdende dataservice' van Lingang kan worden uitgerold, kan het een 'compliance-fundament' voor Chinese bedrijven worden, waarmee ze op een meer systematische manier kunnen omgaan met buitenlands toezicht en zelfs de vorming van internationale regels kunnen beïnvloeden.## Data en regelgevingsimpact: China heeft een tweesporenstelsel nodig

Lange tijd was het toezicht van China op uitgaande datastromen uitsluitend gericht op 'uit', maar de wereldwijde trend is inmiddels verschoven naar 'in' en 'toegang'. Dit betekent dat China een bestuurssysteem moet ontwikkelen dat zowel door 'uit' als door 'toegang' wordt aangedreven. Enerzijds moeten de regels voor datastromen naar het buitenland verder worden verbeterd; anderzijds moet er een beheerskader komen voor toegang van buitenlandse partijen tot data in China, en moeten binnenlandse bedrijven waarvoor beperkingen gelden, juridische handvatten krijgen om hierop te reageren.

De praktijkervaring van Lingang laat zien dat door eerst in specifieke regio's pilots uit te voeren, innovaties kunnen ontstaan die de traditionele kaders overstijgen. In de toekomst kan China, voortbouwend op de ervaringen van Lingang, versneld governanceregels voor grensoverschrijvende toegang ontwikkelen, een nationale infrastructuur voor digitale compliance opzetten en publieke goederen leveren zoals uniforme standaarden, certificering en bewijsbewaring, om zo de wereldwijde compliancekosten voor bedrijven te verlagen. Tegelijkertijd kan China, door actief deel te nemen aan multilaterale en regionale onderhandelingen over regelgeving, een Chinese aanpak voorstellen om de druk van extraterritoriale jurisdictie die via controleketens wordt uitgeoefend, het hoofd te bieden.

Observatie van wereldwijde trends: datasoevereiniteit en digitale globalisering lopen parallel

Op de lange termijn zal het wereldwijde data-bestuur niet volledig versnipperd raken, maar 'voorwaardelijke openheid' wordt de mainstream. Datasoevereiniteit en digitale globalisering zullen naast elkaar bestaan, en multinationale ondernemingen moeten daartussen een dynamisch evenwicht zien te vinden.

Toegangscontrole als nieuw bestuursinstrument houdt in essentie in dat staten hun 'macht' uitbreiden tot het 'gebruik' van data in plaats van het 'bezit' ervan. Dit zorgt voor een versnelde evolutie van de wereldwijde regels voor digitale handel. In de toekomst zou grensoverschrijdend data-bestuur, net als de WTO-regels, kunnen uitgroeien tot een soort multilateraal kader, en koplopers — zoals Shanghai Lingang — kunnen een belangrijke referentie voor een dergelijk kader vormen.

DigitalEcoNews Insight

De paradigmaverschuiving in het wereldwijde bestuur van grensoverschrijdende data weerspiegelt in de kern het conflict tussen het publieke karakter en het goederenkarakter van data als productiefactor. Wanneer data verschuift van 'stromen' naar 'toegang', verschuift de concurrentiefocus van bedrijven van 'het bezitten van data' naar 'het mogen gebruiken van data'. De verkenning van het Shanghai Lingang New Area laat zien dat institutionele innovatie een belangrijke hefboom voor concurrentie kan zijn. In plaats van passief de regels van andere landen te volgen, kan men beter actief repliceerbare oplossingen aanbieden en een stem verwerven zolang de regels nog niet zijn vastgelegd. Voor Chinese bedrijven is compliancevermogen niet langer alleen een middel om risico's te verlagen, maar ook een onderscheidend vermogen om wereldwijde markten te ontsluiten. De beslissende factor in de digitale economie van de toekomst ligt misschien wel bij wie er slimmer een brug weet te slaan tussen veiligheid en openheid.