近日，International Data Privacy Law（《国际数据隐私法》）第16卷第3期刊发了我院张金平副教授的论文“Certifying cross-border data flows: China’s dual-level approach beyond the GDPR and CBPR models”（《数据跨境流动认证：不同于GDPR和CBPR模式的中国双层路径》）。该文属于数字法学领域的前沿研究，是中国法学会关于研究阐释党的二十届四中全会和中央全面依法治国工作会议精神专项课题“数据跨境流动监管制度型开放的法治保障体系研究”的最新研究成果，有利于研究阐释党的二十届四中全会和中央全面依法治国工作会议精神、向国际社会推介我国数据跨境流动认证制度，并为我国推进数据跨境流动国际互认提供参考。
该文指出，数据跨境流动治理面临国家主权、数据同等保护与制度可行性的“三难困境”：一是数据合法跨境的前提是境外接收方确保能够提供与数据输出国有关个人信息的同等保护水平，但境外接收方所在国的个人信息保护水平往往被假定为低于数据输出国；二是数据输出国的国家主权往往止于边境，而境外接收方却在其领土管辖范围之外运营；三是数据输出国的数据出境监管制度的实施可行性很大程度上取决于该制度设计本身，如直接监管对象设为本国境内数据提供方，则其具备更大的可实施性；相反，直接监管境外接收方则难以施行。
在这个“三难困境”框架下，认证机制作为一种相对新兴的市场化工具，被用于缓解跨境数据治理中的信息不对称问题。当前，两种模式正检验着认证机制的实际效能。欧盟《通用数据保护条例》（GDPR）要求对境外数据接收方进行域外核查以保障基本权利，但这引发了关于监管主权和实际操作可行性的担忧。相反，亚太经合组织《跨境隐私规则》（CBPR）体系采用低门槛认证以提升可行性，却可能导致数据主体对实际保护水平产生误解。
在借鉴GDPR与CBPR模式经验的基础上，该文指出中国的双层认证框架为摆脱上述三难困境提供了一种新路径：在国家层面，中国的数据出境认证机制通过认证境内数据出境方而非境外接收方，将监管权力限定在领土主权范围内，从而体现了主权平等原则，相比之下，GDPR模式选择直接认证境外接收方，与数据进口国国家主权容易产生直接冲突；在区域层面，粤港澳大湾区建立了符合当地监管要求的高标准认证互认框架，相比之下CBPR则采用数据保护低标准进行认证互认，且限制参与互认国家或地区监管数据跨境流动的权力。中国的这两种认证机制相互独立运行，分别适用于不同的场景。
最后，该文主张，对于寻求建立兼顾主权的国家级认证机制或推动互惠性数据跨境流动的区域互认安排的国家（例如巴西、马来西亚）而言，中国的框架提供了另一种可供参考的模式。
