《Computer Law & Security Review》：Designing the technological and legal fabric of digital sovereignty for critical governmental data and essential services extraterritorially: The “data embassy” model
编辑推荐：
在欧洲数字主权辩论重新升温之际，本文反直觉地质疑了支撑法律学术研究和政策制定的一个隐含假设——即主权只能在一国领土内有效实现。本文认为，可以借助对国际法的创造性调整和创新的技术，在一国领土之外有效行使数字主权。讨论聚焦于爱沙尼亚新颖的数据大使馆（data em
在欧洲数字主权辩论重新升温之际，本文反直觉地质疑了支撑法律学术研究和政策制定的一个隐含假设——即主权只能在一国领土内有效实现。本文认为，可以借助对国际法的创造性调整和创新的技术，在一国领土之外有效行使数字主权。讨论聚焦于爱沙尼亚新颖的数据大使馆（data embassy）模式，包括在卢森堡境内建立数据中心，以托管和运行爱沙尼亚的关键政府数据集和基本服务。尽管最初被视为“异类”，这种数字主权模式在国际实践中正获得越来越多的关注。爱沙尼亚相对于卢森堡保持对其数据中心的主权控制的法律手段，是建立一种赋予该数据中心外交地位的特别（sui generis）双边条约机制。该分析批判性地评估了双方关于中心运作、不可侵犯性和保护以及中心内容和通信保护的各项权利与义务；为此，依据外交法和欧盟（EU）网络安全法分析了双方的协议。此外，本文还就第三国根据外交法、国际人道法和主权原则在保护该数据中心免受物理和网络干扰方面所承担的义务提供了新见解。该分析指出了实施数据大使馆模式所涉及的某些法律关切，并为各国及其他行为体在法律确定性的前提下应对法律障碍铺平了道路。
**“数据大使馆”模型与域外数字主权：一项法律与技术整合解读**
**研究背景与问题提出**
欧洲联盟（EU）对其数字主权的讨论持续加强，2025年《欧洲数字主权宣言》将数字主权界定为“欧盟及其成员国自主行动并自由选择自身解决方案的能力”，强调法律框架的制定与执行。然而，现有法律学术与政策长期隐含一个假设：主权只能在一国领土内有效实现，且将数据集中于本国境内是控制数据的最佳方式。这一假设限制了法律和技术想象力。与根植于领土控制的传统主权不同，数字主权需依托数字基础设施、软件与法律治理来行使。本文旨在挑战这一领土假设，论证国际法的创造性运用和创新技术可支持在一国领土之外有效行使数字主权。
**研究目的与意义**
研究人员以爱沙尼亚的数据大使馆（data embassy）模式为核心：爱沙尼亚在卢森堡境内建立数据中心，托管并运行关键政府数据集和基本服务。尽管该模式最初被视为“异类”，但已获多个国家和国际组织采用，包括摩纳哥、欧盟委员会、北大西洋公约组织（NATO）、国际红十字委员会（ICRC）等。然而，相关法律问题在学术界和国家实践中仍未被充分探讨。本文通过系统解析其技术与法律框架，为各国及其他行为体在实施数据大使馆模式时提供法律确定性。
**主要研究方法与关键技术**
研究人员采用规范性法律分析方法，深入解读《维也纳外交关系公约》（VCDR）、《欧盟网络与信息安全指令》（NIS2指令）等法律文本，并结合爱沙尼亚与卢森堡双边协议、卢森堡与ICRC协议以及多国网络行动立场进行案例与比较研究。技术层面，研究剖析了爱沙尼亚政府私有云和基于无密钥签名基础设施（KSI）的区块链镜像技术，解释其如何支撑数据冗余、防篡改和连续运行。研究不涉及样本队列。
**研究结果**
**第2节：在境外备份关键政府数据并运行基本服务——数据大使馆模型及其国际实践**
该节界定了关键基础设施、关键政府数据和基本服务的概念，指出数据大使馆定义为设于外国的物理或虚拟数据中心，用于存储关键政府信息系统数据并镜像基本服务应用。通过早期外交邮袋运送磁带和当前卢森堡数据中心的演进，以及乌克兰遭导弹攻击数据中心导致单点失效的案例，论证了分散化、域外运行的现实必要性。
**第3节：使能数据大使馆与数字主权的技术和法律组件**
该节从三项关键组件展开：第一，爱沙尼亚自建政府私有云，避免商业云服务带来的第三方控制风险；第二，设计KSI区块链技术，通过哈希锚定和镜像机制实现数据完整性与高可用性；第三，法律治理框架受爱沙尼亚国内法及欧盟《通用数据保护条例》（GDPR）约束，控制器与处理者角色划分清晰。这些安排使数字主权保障强于欧盟内常见的商业主权云方案。
**第4节：国际法下爱沙尼亚数据中心的运营框架**
该节是论文核心，通过分析双边协议，结合外交法和欧盟网络安全法进行批判性评估。
**4.1 数据中心的功能运行场所**
卢森堡有义务提供完全可用的场所（premises），涵盖物理空间、电力、冷却、网络设备等。依据NIS2指令，数据中心作为关键实体须落实网络安全风险管理措施，包括物理与环境安全、供应链安全、事故处理等。
**4.2 数据中心的不可侵犯性**
协议规定数据中心场所不可侵犯，但比VCDR更明确地设定了例外：在火灾或其他需要紧急保护措施的危险情况下，推定同意进入。远程网络操作是否构成对不可侵犯性的侵犯存在争议，主流观点认为未经同意的远程侵入可视为对场所的侵入。
**4.3 保护数据中心**
**4.3.1 双边协议下卢森堡的保护义务**：卢森堡须采取一切适当措施保护场所免受侵入或损害，措施需与保护自身设施的水平相当；若其知悉网络行动即将发生，应尽力阻止。依NIS2指令，卢森堡还须就重大事件向爱沙尼亚履行通知义务。
**4.3.2 国际人道法下的数据中心作为攻击目标**：数据中心作为物理分离且仅存民用数据的设施，具备民用物体地位，原则上不得攻击。但数据本身是否属于“物体”在IHL中未达共识，存在三种观点：多数认为仅物理物体；部分国家将民用数据视为受保护物体；另有观点区分内容数据与非内容数据。爱沙尼亚的十类关键数据集应属受保护民用数据。
**4.3.3 针对数据中心的网络行动是否侵犯主权**：若网络行动造成实质性物理损害或永久功能丧失，卢森堡的领土主权更可能被侵犯，爱沙尼亚较难主张，除非行动后果干扰其固有政府职能。但若行动针对选举、税务、养老金等政府职能，爱沙尼亚则可依据“干预固有政府职能”主张主权被侵犯。总体而言，爱沙尼亚在前两种场景处于劣势，第三种场景可形成有力论据。
**4.4 数据中心内容作为档案保护**
协议将数据中心内存储的数据和信息系统视为爱沙尼亚档案，享有不可侵犯性。保护范围包括数据库、系统日志、存储介质等。与外交法不同的是，该保护仅适用于“场所内”处于静态的数据，在途数据保护存在缺口。此外，设备与许可享有豁免法律程序的保护。
**4.5 保护出入数据中心的通信**
卢森堡须给予数据中心官方通信与外交使团同等的待遇，允许使用任何密码和加密，不得审查或干涉。电报、邮袋和外交信使等传统通信渠道亦受保护，但第三国义务仅在其本身受外交法约束时成立。实际中可通过明显外部标识（如电邮地址、签名）识别并保护通信。
**总结讨论与结论翻译**
论文总结指出，这一双边协议作为赋予数据中心外交地位的特别制度，总体上符合外交法，但有三点差异：一是明确紧急例外
