全球跨境数据治理转向访问控制：上海临港的制度创新试验

全球数字经济的基础设施正在经历一场静默但深远的权力转移。跨境数据流动不再仅仅是数据包跨越国界的技术问题，而成为各国数据主权博弈、企业全球战略布局的关键战场。当多数跨国企业仍将注意力聚焦于数据出境审批与本地化存储时，全球监管的钟摆已摆向一个新的维度：谁能访问数据，如何访问，以及谁在控制访问。

事件背景：从“能否出境”到“能否访问”

传统上，跨境数据治理围绕“数据是否出境”、“是否本地存储”、“是否通过安全评估”展开，形成了以物理流动与属地管辖为核心的治理范式。基于这一框架，中国建立了以数据出境为核心的管理体系，制度工具完备，为数据安全有序流动提供了稳定预期。

然而，一个根本性变化正在发生：跨国企业在全球运营中遇到的核心瓶颈，已从“数据能否合法出境”转变为“海外数据、系统、服务与算力能否被持续访问、稳定调用并长期使用”。远程访问、云上运维、API调用、系统控制等操作正在成为新的监管焦点与限制对象。全球跨境数据治理正从“传输控制”转向“基于权限的访问控制”。这不仅是技术调整，更是对规则体系、管辖逻辑、风险评估的全方位重构。

美欧中三大路径：规则竞争加剧

面对这一趋势，美国、欧盟和欧盟和中国呈现出截然不同的制度逻辑。

美国以行政令14117和司法部相关规则为基础，构建了以“访问能力”和“控制链穿透”为核心的国家安全模式。通过“受关注主体”实现对境外关联方的全覆盖，不仅针对数据本身，更针对访问权限与控制权进行限制，政治化色彩浓厚。

欧盟以GDPR为基准，连同《数据治理法》《数据法》《网络安全法2.0》等，形成全球最严格、最具影响力的规则体系。欧盟通过“高风险供应商”机制实现市场准入监管，重点防范“第三国影响”等非技术风险，并持续向全球输出监管标准。

中国则基于《网络安全法》《数据安全法》《个人信息保护法》，建立起以数据出境为中心的安全秩序体系，将境外对境内数据的访问纳入统一监管，强调属地边界与事前监管。但在针对境外对华主体的限制与服务中断等问题的制度回应上，仍待加强。

数字经济分析：访问控制重塑数据价值链

当监管焦点从“传输边界”转向“访问边界”，数据价值链的构成也在发生变化。传统上，数据在境内存储、处理、出境，是一个线性流程。而在新的“访问控制”范式下，数据可能依然存储在某国境内，但被全球多地的系统远程调用，形成复杂的访问网络。

对于跨国企业而言，云平台、API、密钥、更新服务已成为数字运营的“命脉”。如果这些“访问点”被限制，即使数据并未出境，企业的全球业务也会陷入瘫痪。这意味着，数据治理不再仅仅是合规问题，而是直接影响企业供应链安全与市场准入。例如，一家中国智能汽车企业，若全球售后服务依赖境外服务器的远程连接，那么这种连接本身可能成为被监管的对象。

同时，访问控制也使得数据价值的评估方式发生变化。传统上，数据价值取决于数据量与质量；而在访问控制下，数据的“可访问性”和“不可让渡的控制权”成为新的价值维度。对于那些掌握关键数据访问入口的平台型企业，其议价能力进一步上升。

商业模式观察：合规能力成为核心竞争力

在新的治理环境下，合规能力正成为跨国企业最核心的竞争壁垒之一。一个能够同时满足多国访问控制要求的企业，将获得比竞争对手更低的运营风险和更高的市场信任。

上海临港新片区在这一领域的实践具有典型意义。作为国家级制度开放的前沿，临港自2024年起在全国率先设立数据跨境服务中心，提供政策咨询、业务指导、材料递交、生态对接等一站式服务，覆盖安全合规、数据技术、基础设施、行业应用、涉外合规等全链条。

临港还形成了多个标杆场景：绿色贸易碳数据跨境、全球供应链物流可视化、国际航运船舶检验、智能网联汽车全球售后服务、跨境资产管理内控协同、生物医药药物警戒等。这些场景并非简单的数据传输，而是深度涉及远程访问、系统控制与接口调用，正是“访问控制”范式下的典型应用。

通过这种探索，临港证明了安全与开放可以兼得，监管与便利可以协同发展。更重要的是，它为中国在全球数据规则重构中提供了可落地的“工具箱”，让政策从宏观叙事走向微观执行。

市场竞争分析：谁在受益，谁在承压？

从全球竞争格局看，访问控制时代的最大受益者可能是那些拥有全球合规基础设施的科技巨头和云服务商。例如，AWS、Azure、谷歌云等已习惯了多法域合规，它们能更快适应灵活的新规则。相反，那些依赖单一市场、缺乏跨法域合规能力的企业将面临更高门槛。

中国科技企业出海也将承受更大压力。美国的“受关注主体”机制直接瞄准中国背景企业，欧盟的高风险供应商评估也会对中企产生不利影响。然而，临港的“数据跨境服务”模式若能推广，将成为中国企业的“合规底座”，帮助其以更系统的方式应对海外监管，甚至反过来影响国际规则的形成。

数据与监管影响：中国需要双轨制度体系

长期以来，中国的数据出境监管以“出”为单一焦点，但全球趋势已转向“入”与“访问”。这意味着，中国需要构建“出境+访问”双驱动的治理体系。一方面，继续完善数据出境规则；另一方面，针对境外对中国境内数据的访问建立相应管理框架，同时为“受限制”的国内企业提供法律应对工具。

临港的实践经验表明，通过特定区域先行先试，可以形成一些超越传统条条框框的创新。未来，中国可基于临港经验，加速制定跨境访问治理规则，建设国家级数字合规基础设施，提供统一标准、认证与存证等公共产品，降低企业的全球合规成本。同时，通过积极参与多边与区域规则谈判，提出中国方案，以应对控制链穿透管辖的压力。

全球趋势观察：数据主权与数字全球化并行

从长期看，全球数据治理不会走向完全碎片化，但“有条件的开放”将成为主流。数据主权与数字全球化将并行，而跨国企业必须在两者之间找到动态平衡。

访问控制作为一种新的治理工具，本质上是国家将“权力”延伸到数据的“使用”而非“拥有”。这促使全球数字贸易规则加速演变。未来，跨境数据治理可能像WTO规则一样，形成某种多边框架，而先行者——如上海临港——能够为这种框架提供重要参考。

DigitalEcoNews Insight

全球跨境数据治理的范式转移，本质上反映的是数据作为生产要素的公共属性与商品属性之间的冲突。当数据从“流动”转向“访问”，企业的竞争焦点将从“拥有数据”转向“被允许使用数据”。上海临港新片区的探索提示我们，制度创新可以成为重要的竞争杠杆。与其被动适应他国规则，不如主动提供可复制的解决方案，在规则尚未固化时争取话语权。对于中国企业而言，合规能力不再只是为了降低风险，更是一种开拓全球市场的差异化能力。未来数字经济的胜负手，或许就在于谁能更聪明地在安全与开放之间建立通道。