2018年5月，經過兩年時間緩沖的《一般數據保護條例》（General Data Protection Regulation，GDPR），在歐盟范圍生效。這部條例的目標是非常清楚的，就是嘗試構建有效的制度屏障，通過實現對網絡空間個人信息的強力保障，在保障個人隱私權利的優先考慮下，有效規制以超級媒體平臺為代表的互聯網企業在用戶數據收集和使用的全生命周期內的相關行為。在權利主體、責任主體、執法權限、罰則等技術性細節方面，GDPR的設計是相當完善的；從其遵循的原理看，就是充分實踐了國家主權原則，授權主權國家（歐盟成員國司法機構）以及得到主權讓渡的機構（歐盟立法-司法機構）使用司法管轄權，以個人隱私權利保護為壓倒性優先目標，實施對網絡空間數據的強制性保護。

一如歐洲當年有人說過的，英國擁有海洋，法國擁有陸地，只有在夢想中的空中王國，德意志皇帝的權威才是至高無上的。從網絡空間的整個圖景看，中國、美國與歐盟，可謂各具特色。歐盟的《一般數據保護條例》，體現了歐盟嘗試占據全球網絡空間治理道德與價值高地，以保障人權為理由，強化國家主權在網絡空間實施強制性司法管轄的合理性，并嘗試用制度化的方式，在全球網絡空間的治理實踐中，將歐盟對于普世價值與人權的理想化追求予以具象化的映射。這種理想當然是非常美好的，但對網絡時代數據使用和個人權利保障的機械理解，從一開始就決定了GDPR難以成為具有可操作性和可實踐性的標準配置。

其一，GDPR的制定者沒有能夠準確地將互聯網發展與個人隱私保障有機地統一起來，而是簡單地采取了機械兩分、二元對立的方式將個人隱私保障理解為要魚還是要熊掌的問題。

網絡的本質，就是用戶進行數據、信息和價值的創造、生產、交換以及消費的新場域。網絡空間需要的是可執行、可承受、可拓展、可復制的個人隱私保障，而不是用退回到沒有網絡的傳統年代，或者退回到互聯網發展早期的方式，去迫使網絡服務的提供者以及使用者，在便利和隱私之間進行簡單的“二選一”。

這是歐盟在“人權高于主權”問題上系列有偏差的認知在網絡空間的延續與投射，一如當初將人權和國家主權人為對立起來導致的后果是人道主義干涉通常導致更大的人道主義災難，現在這種機械兩分思路指導下的GDPR，設計的越是細致、越是完備，帶來的負面沖擊與后果，就可能越大。

其二，GDPR在歐盟特定的政治-經濟-社會生態體系中確實是有可以存活的土壤，但其發展不具備可持續性。

歐盟在全球信息革命中的位置相對滯后，沒有形成歐盟本土的超級互聯網平臺，或者對網絡空間相對自由的數據流動有特殊需求的大型企業，是導致GDPR得以用現有的價值觀為導引得到細化完善并落實生效的主要原因。如果從WTO倡導的自由貿易原則出發，那么GDPR在很大程度上可以看做是歐盟試圖在網絡空間建立一套由歐盟主導并掌握最終解釋權的非關稅壁壘，以抵制來自其他行為體的在網絡空間安全與經濟發展領域的擴張。順著這個思路，GDPR為網絡服務提供者設置的各項規定，從形式上看，體現了對個人隱私權利的高強度保護，但從實際內涵看，這種保護因為無視了兩者之間的微妙的辯證關系，所以通常會趨于無效。除開一些比較特殊的案例，其他國家和地區任何試圖機械復制GDPR的努力多數將因為無法順利地簡單移植，而最終趨于失敗。

其三，GDPR將提升主權壁壘對全球網絡空間進行實質性分割的風險。盡管GDPR將個人權利保護的重要性提升至新的高度，但本質上GDPR能夠產生影響，源于國家所具有的主權；GDPR的罰則能否生效，取決于主權國家對相關案例的受理與審判，這是各國司法主權的范圍。從這個意義上說，GDPR確實具有非常特殊的意義，因為他標志著有行為體開始嘗試解決長期以來引發人們關心和困擾的問題；從另一個方面來看，GDPR本質上通過賦予保護個人信息安全方式以新內涵的模式，賦予國家對網絡空間個人數據進行司法管轄的合法性，這會在實際上引發某種競爭性的學習和仿效。這種學習的結果，必然產生非常深遠和深刻的影響。

GDPR正式生效之后的代表性反應非常耐人尋味：一方面，在歐盟成員國長期從事個人隱私保護的非政府組織立刻試圖援引GDPR起訴谷歌等超級媒體平臺對數據的濫用；另一方面，部分美國媒體公司直接關閉了歐盟用戶的訪問許可。這當然說明了在以人權和個人隱私保護為職業的行為體來看，GDPR提供了對抗超級媒體平臺的有效工具；同時美國媒體的反應，說明在如何維護用戶和市場之間相對穩定的關系方面，仍然有很長的路要走，要完善很多細節。

對于中國這樣的后發者來說，準確吸取發達國家經驗，避免陷入不必要的二選一的難題，進而為世界貢獻出比GDPR在觀念和實踐層面都更加完善的建設性的解決方案，應該最重要和優先的任務。

（作者系復旦大學網絡空間治理研究中心主任、副教授）

“逸思”是復旦大學網絡空間治理研究中心主任沈逸主筆的專欄，聚焦網絡信息安全，從互聯網維度思考大國關系。