2022年7月，滴滴全球股份有限公司(在開曼群島注冊成立，于美國紐約證券交易所上市)被罰80.26億元。這不僅是中國《個人信息保護法》頒布以來首次開出高額罰單，也是該法首次對境外主體發揮效用，追究境外實際控制主體在中國境內業務所負的法律責任。

中國《個人信息保護法》第三條規定，“以向境內自然人提供產品或者服務為目的”或者“分析、評估境內自然人的行為”，均適用該法。雖然上述域外適用規定在較大程度上借鑒了歐盟《通用數據保護條例》(General Data Protection Regulation，簡稱GDPR)，但尚未能如GDPR產生全球性的域外適用效力。

首先，中國與歐盟對個人數據的法律定位有較大差異。歐盟將個人數據權利公法化，視為“基本權利”，從公法角度施以強有力的行政監管。中國對個人信息的保護主要依賴私法體系，公權力對個人信息的保護介入程度有限。《民法典》第111條、第999條等條款確立了“個人信息”的法律定位，納入人格權編，將個人信息作為一種“人格權權益”加以保護。

其次，雖然《個人信息保護法》第66條補充了新的行政責任形式，明確了高管等責任人員的行政責任，引入了“限制從業”，并將處罰標準提升至上一年度營業額的5%，但不同于歐盟，中國未設立專門的數據監管機構。現行監管體系中，國家互聯網信息辦公室的職責主要是落實互聯網信息傳播方針政策、互聯網信息內容管理、查處違法網站等，通常情況下，仍由市場監督管理、證券監督管理等部門按照各自監管原則，分頭監管各領域的數據保護問題，監管模式較分散。

再者，GDPR通過“充分性保護白名單”、數據保護委員會等機制，向其他國家輸出其監管框架工具，擴大了GDPR保護標準在全球市場的影響力。中國相關配套合作機制相對匱乏。

為進一步擴大《個人信息保護法》域外適用效力，有必要從兩個方面繼續完善配套機制。一是建立統一的個人信息監管部門，搭建常態化的行政監管機制，加快數據安全認證等各項數據治理實施細則的落地實施，提供可預期的規則指引;二是借助《區域全面經濟伙伴關系協定》(RCEP)以及申請加入《數字經濟貿易伙伴協定》(DEPA)的契機，推動“充分性保護白名單”、跨境數據調取等國際合作機制的建設，搭建數字經濟合作伙伴關系。在推進區域數字經濟貿易的同時，掃除中國參與國際數據治理時域外司法及執法中的障礙。(黃楚芳 應品廣)

關鍵詞： 個人信息保護法 滴滴被罰80 個人數據權利 數字經濟貿易