非洲大陆自由贸易区数字贸易协议下的跨境数据传输：中国—非洲数字商务面临的监管碎片化与合规挑战

《Computer Law & Security Review》：Cross-border data transfers under the AfCFTA Digital Trade Protocol: regulatory fragmentation and compliance challenges for China-Africa digital commerce

　　

摘要

跨境数据传输构成了数字商务的基础设施层，然而管辖此类数据传输的不同监管体制之间的结构性差异正日益阻碍跨境数字贸易。本文对《非洲大陆自由贸易区数字贸易议定书》(DTP)及其2025年《跨境数据传输附件》(CBDT-Annex)项下的跨境数据传输规则与中国以《个人信息保护法》、《数据安全法》和《网络安全法》为核心的数据出境监管体制进行了比较法律分析。文章运用一个涵盖义务性质、数据保护标准、数据本地化、出境评估机制、敏感数据规则和执行六个维度的分析框架，识别出一个碎片化格局，其中四个维度存在结构性冲突，而两个维度在实质层面具有兼容性但缺乏将其制度化的程序性基础设施。碎片化的根源不在于保护水平的高低差异，而在于根本对立的监管取向：非洲大陆自由贸易区体制以数据自由流动为常态、以限制为例外，而中国体制则以管控为常态、以许可为例外。本文将这些监管差距转化为中非数字商务经营者的具体合规挑战，并基于现有法律条文提出三条互操作性路径，包括依据CBDT-Annex第19(2)条实现充分性认可、标准合同条款互操作性以及金砖国家数据治理合作作为制度桥梁。

引言

跨境数据传输构成了数字商务的基础设施层。超越单纯的技术连接性，它决定了数据驱动商业模式能否实现跨司法管辖区的有效要素配置。核心商业功能——用户画像、支付清算、供应链协调、平台运营——均依赖于跨境数据流动，任何对数据流动的法律限制都转化为市场准入壁垒和合规成本[1]。各司法管辖区围绕跨境数据传输构建的监管框架，在规制数字贸易的国际法律秩序中属于最具争议性的议题之一。

非洲大陆在全球监管格局中处于一种矛盾性地位。非洲数字经济是全球增长最快的之一，然而各国数据保护立法呈现出显著碎片化。截至2024年，超过三十五个非洲国家已颁布数据保护法，但在保护范围、执行机制和跨境传输条件方面存在实质性差异，整个大陆缺乏统一的数据治理基线[2,3]。这种不协调提高了同时在多个非洲国家开展数字商务的企业的合规成本。2014年在非盟层面通过的《马拉博公约》旨在建立大陆级数据保护框架，但其获得批准的国家极为有限；其在推动立法趋同方面的规范效力远未达到制度设计预期[4]。

《非洲大陆自由贸易区数字贸易议定书》(AfCFTA DTP)的通过标志着应对这种不协调迈出了结构性的一步。该议定书于2024年2月经非洲联盟第37届普通会议通过，但尚未生效。DTP首次在区域贸易协定层面为跨境数据传输建立了积极义务框架。本文的文本分析基于已通过文本，应被理解为对所通过规范框架的审查，而非对操作层面法律的描述。第20(1)条要求各缔约方"允许"以电子手段进行跨境数据传输，将数据流动从国家法律的自由裁量领域提升至多边纪律层面。2025年2月非盟第38届普通会议进一步通过了《跨境数据传输附件》(CBDT-Annex)作为DTP第四部分数据治理的操作性补充，建立了一个涵盖个人数据保护原则和标准、跨境传输便利化机制以及一般例外规则的规范体系[5]。DTP和CBDT-Annex代表了非洲数据治理的关键转折点——从碎片化的国家立法向大陆监管趋同转变。

现有学术文献已分析了DTP对非洲内部监管趋同的贡献，并考察了非洲国家数据保护法之间的差异和协调路径[6]。在此研究议程中存在一个显著盲点：几乎所有现有文献都将其视角局限于非洲内部制度协调，而未涉及这些新兴非洲区域规则与非洲主要大陆外贸易伙伴的数据治理体制之间是否存在结构性冲突。跨境数据传输监管已形成多个竞争范式[7]，它们之间的制度张力已获广泛讨论，但DTP的监管逻辑尚未在此比较框架内得到审视。选择中国作为比较对象需要简要说明。欧美非数据保护体制之间的监管接口已获得越来越多的学术关注，这在很大程度上得益于GDPR与许多非洲数据保护法之间的结构亲缘性[8,9]。相比之下，中非监管接口尽管其商业重要性日益增加，却基本未被审视。这一差距尤其具有后果性，因为中国的数据出口体制与欧盟模式的差异不仅体现在严格程度上，更体现在监管取向上——这种分歧产生了欧盟-非洲分析所无法涵盖的独特合规挑战。未来研究可将本文开发的六维度框架有效扩展为涵盖欧盟、中国和非洲大陆自由贸易区体制的三方比较。中国作为非洲最大贸易伙伴，其数字经济企业遍布整个大陆，涵盖移动设备制造、移动支付、电商平台和智慧城市基础设施[10]。这些运营产生的跨境数据流动受到双重监管叠加：在非洲一侧，中国企业在当地运营的数据处理受东道国数据保护法的管辖，而非洲大陆自由贸易区缔约方预计将本国法律与DTP和CBDT-Annex标准相一致；在中国一侧，此类数据的出境传输受以《个人信息保护法》(PIPL)、《数据安全法》(DSL)和《网络安全法》(CSL)为核心的中国数据出口管控框架管辖。DTP作为非洲缔约方之间的区域贸易协定，并不直接对中国或中国企业施加义务；相反，其纪律塑造了这些企业在非洲各市场运营中的国内监管环境。此处有必要澄清范围。本文比较DTP的监管框架与中国的数据出口体制，以识别影响同时受两套体系管辖的企业之间结构性兼容与冲突。本文并不假定DTP所采用的大陆内数据流动模式将自动在非洲国家与大陆外伙伴之间的双边或多边贸易安排中被复制。非洲国家在多边数字贸易谈判中已采取不同立场，包括在WTO电子商务联合倡议中，其对外FTA战略可能与大陆层面的承诺相异[11]。尽管如此，此处所进行的比较仍然是合理的，因为DTP确立了非洲国内法律预计将趋同的监管基线，正是这一基线塑造了在整个大陆拥有本地数据运营的外国企业的运营环境。这两套体系在传输义务性质、保护标准、本地化要求和审查机制等维度上的结构性差异尚未得到系统比较，然而这种制度不一致正是中非数字商务参与者合规不确定性的根源[12]。

本文提出两个相互关联的研究问题：非洲大陆自由贸易区DTP的跨境数据传输规则与中国数据出口体制之间存在哪些结构性兼容与碎片化？这些制度分歧对中非数字商务参与者提出了哪些合规挑战？在方法论上，本文采用比较法律分析，以逐条文本分析为核心工具，从六个维度比较两套体制：(i)数据传输义务的性质与范围，(ii)个人数据保护标准，(iii)数据本地化要求，(iv)出口审查与认证机制，(v)敏感数据的特殊规则，(vi)执行、监督与争端解决。分析侧重于文本-制度层面的结构性比较，而非动态实施效果，旨在提供一个分析框架，供后续实证研究和政策分析在此基础上展开。

本文结构如下。第2节将"监管碎片化"操作化并建立六维度比较框架。第3节和第4节沿该框架分别解构非洲大陆自由贸易区DTP/CBDT-Annex项下的跨境数据传输规则和中国数据出口体制的相应要素。第5节为核心章节，逐维度比较两套体制并识别碎片化的表现形式和程度。第6节将制度碎片化转化为具体合规挑战。第7节基于现有法律文本中的制度接口提出桥梁路径。第8节总结主要发现和研究局限。

章节片段

分析框架：界定监管碎片化与比较维度

本文将"监管碎片化"定义为这样一种状态：两个或多个监管同一类别数据活动（此处为跨境数据传输）的司法管辖区，因在法律基础、保护标准、传输机制和执行架构方面的结构性分歧而产生制度缺口，致使商业参与者无法通过单一合规路径满足所有适用要求。这种跨体制的不兼容性构成了监管碎片化。

制度定位与范围

《非洲大陆自由贸易区数字贸易议定书》(DTP)于2024年2月经非洲联盟第37届普通会议通过(大会决议Assembly/AU/Dec.935(XXXVII))。其专门功能是在非洲大陆自由贸易区法律框架内为数字贸易建立多边纪律体系，根据《非洲大陆自由贸易区协定》第23条需经22个缔约方批准方可生效[16]。截至撰写本文时，DTP和CBDT-Annex均尚未生效。

立法架构与数据分类

中国的数据出境体制建立在《个人信息保护法》(PIPL)、《数据安全法》(DSL)和修订后的《网络安全法》(CSL)之上，三者在跨境数据传输中承担着功能互补的分工[24]。PIPL通过许可机制规范个人信息的跨境提供，设有四条合法出境路径：安全评估、标准合同、保护认证和国际条约。DSL

维度(i)：数据传输义务的性质与范围

非洲大陆自由贸易区DTP与中国的数据出境体制在跨境数据传输义务的监管取向上存在分歧。DTP/CBDT-Annex以积极传输义务和NT/MFN非歧视纪律为核心，以数据流动为常态。中国体制则将安全评估、标准合同和认证作为前置许可条件，以管控为常态。在规制数字贸易的国际法律秩序中，

义务不对称所引发的挑战（维度i）

第5节所识别的传输义务分歧在商业层面转化为不对称的合规格局——中国企业在非洲的数据流动受益于DTP的积极传输义务，但数据传输回中国则必须满足前置许可条件：安全评估、标准合同或认证。对于依赖集中式跨境数据处理的商业模式的企业而言，这种不对称造成了显著的运营

迈向监管互操作性的路径

在探讨具体路径之前，有必要将此分析置于监管互操作性的更广泛理论文献中。Weber[47]将协调、相互认可和监管合作区分为实现跨司法管辖区监管分歧弥合的不同模式，指出在监管目标存在差异但制度接口可以实现功能等效的情况下，完全的协调既非必要也不切实际。Mishra[15]

结论

通过六维度比较框架，本文系统地比较了非洲大陆自由贸易区DTP/CBDT-Annex与中国的数据出境体制，识别出"四高两中"的碎片化分布格局。在四个维度存在结构性冲突：传输义务性质、数据本地化、出境审查机制以及执行与争端解决。两个维度——个人数据保护标准和敏感数据规则——在实质层面具有高度可比性。

伦理考量

根据国家及机构指南，本研究无需获得伦理审批，因为研究不涉及人类参与者、人类数据、人类组织或动物。本研究完全基于对公开可获得法律文本、政策文件和二手文献的分析。

资助

本研究未获得公共、商业或非营利领域任何资助机构的专门拨款。

严少
四川大学法学院，成都，610000，中国