二○二○年七月二日，欧洲议会智库发布一份研究报告《欧洲的数字主权》，阐述了欧盟提出数字主权的背景和加强欧盟在数字领域战略自主权的新政方针，并明确了二十四项可能采取的具体措施；无独有偶，七月三十日，欧洲对外关系委员会（ECFR）发布《欧洲的数字主权：中美对抗背景下从规则制定者到超级大国》，阐述了欧盟不能继续满足于通过加强监管来捍卫欧盟数字主权，毕竟裁判永远无法赢得比赛，欧盟现在不仅要做规则制定者，还要直接下场踢球，在中美科技对抗的夹缝中，成为数字领域的超级大国。
两份报告虽非欧盟的官方文件，但结合欧盟最近几年在大数据、人工智能等领域的立法和政策，欧盟的数字主权战略在逐步建立。能否踢赢比赛不得而知，但战略意图和具体措施已经非常清晰。欧盟数字主权涉及大数据、人工智能、5G、物联网以及云计算等内容，由于大数据不仅关涉个人隐私，同时也是人工智能、5G、物联网以及云计算的基础，并且已经对欧盟造成潜在的安全风险，因此数字主权的核心实际上是数据主权。下面我的论述仅关注欧盟数字主权中有关数据主权的部分，亦在相同的意义上使用数字主权和数据主权。显然，两份报告虽然均以数字主权作为标题，并且均以中美作为主要的竞争对手，但如果通读两份报告，欧盟数字主权真正指向的不是中美两国本身，而是“非欧盟科技公司”，尤其是在欧盟占据垄断地位的美国科技公司，如谷歌、脸书、推特、亚马逊等。也就是说，欧盟实际上是在向“非欧盟科技公司”主张数据主权。
在我们传统的认知中，主权一定是国与国之间的，无论是领土主权、领海主权，抑或货币主权、经济主权，一定是针对其他国家而言的，但欧盟数据主权主要不是指向其他国家，而是指向非欧盟科技公司，这标示着主权理论与实践的一种新趋向。这些科技公司掌握着海量的数据，威胁着欧盟的个人隐私和数据保护，威胁着欧盟的数字经济与创新潜力，威胁着欧盟建立安全可靠的数字环境。而之所以指向这些非欧盟科技公司，还因为这些科技公司与其总部所在国的利益并非完全一致，甚至对其总部所在国的数据主权同样构成威胁。也就是说，这些数据科技公司对所有传统主权国家的数据主权均构成潜在的威胁。由此带来的问题是，数据主权是一种什么样的主权？科技公司是否是数据主权者？
传统主权概念，往往主张主权的绝对性、最高性、排他性，但这些主张在大数据上都不再适用，这首先与大数据自身的物理属性有关。数据被视为二十一世纪的石油，但这一比喻仅仅凸显了数据的重要性，数据不仅与石油不同，也与土地和其他生产要素完全不同。数据的特殊性主要表现在：第一，数据是不断地生成的，不会越用越少，而会越用越多，并且可以重复使用。数据的珍贵性不是来自稀缺性，而是来自丰富性；第二，数据可以无限复制，可以轻易地聚合和分割，因此数据可以同时为多人占用和使用，在实际占有和使用上，数据不具有排他性；第三，数据是在人类使用网络过程中不停地生成的，甚至可以说，未来人类的大部分行为都将数据化，但这些数据的所有权往往是不明确的，绝大部分数据，包括个人数据，掌握在政府公共机构和科技公司手中，传统的所有权理论在大数据上不敷使用；第四，数据可以快速在网络空间流动，并且可以分散存储在不同的地方，由于云计算和存储技术的发展，大量数据被分散地存储在全球不同的数据中心，因此数据往往与数据的生产者、使用者等在物理空间上是分离的。
除了这些独特的物理属性，数据的真正价值不在于数据本身，而在于对数据的挖掘和利用，因此不能被计算的数据实际上是没有价值的。随着移动互联网的发展，每个使用智能设备的人都在不停地生产数据，这些数据通常被科技公司收集、占用和使用。即便是政府公共部门掌握的大量数据，要想真正发挥出数据的价值，也需要开放给科技公司使用。这些公司不仅通过掌控海量数据赚得盆满钵盈，而且威胁着个人的隐私和国家的安全。即便有各类隐私和数据保护的法律法规，但由于数据挖掘往往会带来意想不到的结果，各种看似不相关的数据聚合在一起，可能会挖掘出单体数据中完全不存在的信息，因此大数据聚合和挖掘存在一种潜在的未知风险，这正是世界各国试图控制敏感个人数据和重要数据出境的重要原因。
因此数据主权并非主张对数据的所有权或绝对的排他性控制，国家并不掌握全部的数据，也没有能力挖掘全部的数据，数据世界的实际支配者是数据科技公司，数据主权首先是针对数据科技公司的，其次才是针对数据科技公司实际控制者所在国家的。数据主权主要主张对隐私与安全的保护，当这种保护要求没法通过一般性的法律监管实现时，主权国家就会主张对数据的实际控制，比如本地化存储、数据信托、跨境流动管制等。但无论具体措施如何，隐私与安全是数据主权的正当性基础。
先来看隐私。科技公司通过收集用户在网上的行为数据，对用户进行精准画像，然后再定向推送广告，从广告中获取巨额收益。谷歌、脸书这样的平台公司大部分利润来源于广告，而这些广告正是建立在对用户数据的收集和分析之上的。不仅推送广告无孔不入，随着算法技术的成熟，科技公司实际上控制着我们所接触的信息，为我们编造一个个信息茧房。而各种可穿戴设备和物联网的运用，更使得科技公司有可能通过“情感分析”绘制人的内心世界，进而控制人的意识。二○一九年一月哈佛商学院教授肖沙娜·朱伯夫（Shoshana Zuboff）出版的新书《监视资本主义时代》（The Age of Surveillance Capitalism），即揭示了大型科技公司如何通过监视用户的行为数据，获取巨额利润，并进而主导资本主义社会，重新构筑权力体系。二○二○年九月Netflix基于朱伯夫的著作，推出纪录片《社交困境》（The Social Dilemma），以更直观的方式展现了数据科技公司对用户隐私的监视和滥用。在虚拟空间中，我们每一个人，都是毫无隐私的透明人，我们仅仅是一个被系统所分析的对象而已。
再来看安全。二○一三年斯诺登披露了美国国安局的绝密电子监听项目“棱镜计划”，国安局和联邦调查局可以直接进入美国网际网络公司的中心服务器，挖掘数据、收集情报，包括微软、雅虎、谷歌、苹果等在内的九家科技公司参与其中，由此引发了各国对数据本地化和数据主权的广泛关注。其实安全问题并不限于主权国家之间的秘密监听，科技公司带来的安全风险同样不容小觑。二○一六年美国总统大选期间，八千七百万脸书用户数据被从事政治咨询的剑桥分析公司抓取，分析的结果用于支持特朗普的竞选。西方民主社会突然意识到一个严重的问题，所谓的自由民主选举，有可能被科技公司所操控。二○一九年八月，剑桥分析公司联合创始人克里斯托弗·怀特出版《心智操控》（Mindf*ck:Cambridge Analytica and the Plot to Break America），向公众揭露社交媒体的数据如何被利用来操纵二○一六年的美国大选和英国脱欧，并向公众提出警示：那些控制信息的当今世界上最强大的科技公司，正在以过去无法想象的方式操控大众的思想。二○二○年美国总统大选期间，以推特和脸书为代表的网络平台公司谨小慎微，试图保持政治中立，但这反而意味着，它们在大选中能起的作用，已经不亚于选民，甚至可以在一定程度上左右着选民。
大选之后，推特以煽动暴力为由永久删除特朗普账号，引起轩然大波，欧盟受到了非常强烈的刺激。默克尔说垄断信息传播的网络平台公司是“有问题的”，法国财长勒梅尔说“数字寡头是悬在所有国家和民主制度头上的威胁之一”，欧洲议会最大跨国党团“欧洲人民党”主席韦伯说，“欧盟一定不能任由脸书和推特来决定其平台（内容）可接受范围”。虽然推特创始人杰克·多西坚持认为推特的做法是正确的，因为网上的煽动性言论，会造成现实中即刻且危险的暴力活动，但他也承认，推特“开创了一个很危险的先例，个人或企业所拥有的权力已凌驾于一部分全球公共对话之上”。科技公司对于信息和言论的控制，已经成为悬在自由民主选举头上的达摩克利斯之剑。
因此，当欧盟主张数字主权时，欧盟实际上主要针对的是在欧盟占据垄断地位的科技公司，欧盟已经意识到，严格的监管固然重要，但美国科技公司对欧盟网络空间的渗透和控制，已经到了监管不能彻底解决问题的地步。我们不去讨论欧盟的数字主权战略能否最终成功，因为这取决于诸多因素。更值得讨论的是由此带来的数据主权的新内涵以及对主权概念的新理解。
这个问题涉及，我们应该如何理解这些掌控着海量数据的科技公司的性质？这些公司无疑是跨国私营公司，但与传统的跨国公司如可口可乐、大众汽车等完全不一样，这些跨国私营公司在一定意义上已经成为新的主权者或治理者，已经成为一种新类型的“国家”：从“领土”上看，它们虽然不占据物理空间，但却占据着网络空间，并且基本上都是全球性的，超过任何单一国家的领土范围；从“人口”上来看，脸书有二十二亿用户，Whats App有十九亿用户，You Tube有十八亿用户，均超过中国和印度的人口，并且还在继续增长；从财富上来看，完全可以说富可敌国，苹果的年收入排名世界所有国家中的第二十五位，并且苹果还可以合理合法地征收“苹果税”；从法律上讲，这些平台可以制定自己的规则并自己执行，管控着平台上所有人的言行，推特可以依据自己制定的规则将美国总统的账号永久删除，并且还不违法；从意识形态上讲，这些平台公司管控着全球的信息传播和言论自由，以自己的意识形态塑造着用户的意识形态。除此之外，随着数字货币的发展，这些公司可以发行自己的数字货币，如脸书的Libra/Diem，从而获得铸币权，当年脸书提出Libra计划时，甚至连美国都感到震惊和恐惧。
如果说人类在大地、海洋、太空之外，发展出网络空间，那么这些科技公司无疑是网络空间的超级玩家。随着网络空间逐步从虚拟走向了现实，这些科技公司基于在网络空间中获得的巨大权力，开始塑造着现实空间，逐步成为现实空间中新的主权者。我们来看看这些科技巨头的自我认知，脸书的创始人扎克伯格说，在很多方面，脸书更像是一个政府而非公司，因为脸书可以制定政策。而微软的前总裁史密斯则说，这些科技巨头更应该被视为“数字瑞士”，数字瑞士意味着什么？首先意味着一个主权独立的国家，当然不是传统意义上的国家，而是一种新形态的国家；其次意味着这个新型的国家，在其他传统主权国家之间是中立的，因此是超国家的国家。这些说法听起来骇人听闻，但如果我们摒弃对国家和主权的传统认知，这些说法非常具有预见性。这些新形态的“国家”虽然不是传统意义上的国家，但基于它们对现实世界决定性的影响，它们可能比那些弱小的传统国家具有更大的现实性权力。即便这些公司不是主权者，至少也是新的治理者（the new governors），是传统主权国家不得不面对和接受的新治理者。
今天的主权概念，是伴随着现代国家的诞生而形成的，在现代主权概念中，国家是主权的主体。但在现代国家诞生之前，主权仅仅意味着管辖权，领主对领地享有管辖权，自治城市对城市事务享有管辖权，教会组织在教会内部享有管辖权，这些管辖权的重要体现是，它们可以各自制定法律，并建立各自的法庭。因此，在现代国家诞生之前，主权的主体是多元的，皇帝、国王、教会、诸侯、领主以及自治城市等都享有一定意义上的主权，也正因为如此，主权也就不是绝对的、最高的和排他的，不同的主权管辖不同的事务，当然其中会有冲突与竞争，但可以达成一定的平衡。按照哈罗德·伯尔曼在《法律与革命》中的说法，近代早期法治在西方的萌芽，正是因为这种多元主权的状况，使得任何一个主权者都无法主张绝对性和最高性，因此彼此妥协共同遵循法律之下的治理。
今天的世界，虚拟空间已经不再是完全虚拟的，技术的发展使得我们每一个接入网络的人，都是虚拟空间中现实的数字人，虚拟空间完全实现了数字化管理，是很现实的；而由于虚拟空间对现实社会的侵入，现实空间反而可能是虚拟的，我们的偏好、意识和自主，很可能是系统操控的结果。总之，我们今天已经生活在一个现实与虚拟相互构造的新世界中，在这个新世界中，我们似乎又将迎来多元主权的时代。至少可以说，传统的主权观念开始瓦解了，我们需要新的主权观。
打个比方，今天的数据科技公司有点类似于中世纪的教会组织。教会主要掌控着精神领域，有自己的信徒、财富、法律以及组织体系，教会与世俗的治理者并存，但又超越每个具体的世俗治理者。这个格局的形成，是因为精神领域与现实领域是两个不同的空间，虽然相互构造，但却可以容纳两类不同的主权者。今天的数据科技公司主要掌控着虚拟空间，有自己的用户、财富、规则、意识形态以及组织体系，同样因为虚拟空间与现实空间是不同但相互构造的空间，数据科技公司可以并且事实上已经成为与传统主权国家相互竞争的新的主权者。
主权既是一个规范性概念，也是一个现实性概念，不仅要问谁应该成为数据主权者，还应该问谁事实上掌控着数据并行使着管辖权，那么谁就是事实上的数据主权者。当然，认为数据科技公司在某种意义上是数据主权者，并不是因此要赋予其权利或免除其义务，而是要提出对数据公司更严格的公法规制和义务。比如对于人的尊严和人权的尊重、可问责性、透明度等。也就是说，数据科技公司不但在私法上要承担对用户的私法义务，还要在公法上承担更多的公法责任，新的主权者也必须是法治之下的主权者。
其实，对于每一个个体而言，多元主权并不一定是坏事，多元主权之间的相互对抗和竞争，很可能会给个体更多的保护。不同主权者之间的相互竞争，使得任何一个主权者都不享有绝对的权力，并且为了获得更多人民/用户的支持，要提供更好的社会公共产品。
这种迹象，今天已经出现。苹果公司在最新的隐私政策中，要求开发者在向苹果App Store提交应用或应用更新审核时，必须主动汇报该应用对用户隐私的收集情况，并将隐私收集信息明细呈现在App Store的应用下载页面。谷歌在最新的隐私政策中，将在Chrome浏览器中推出一项类似于仪表板的功能，向互联网用户提供更多有关哪些cookie（储存在用户本地终端上的数据）正在跟踪用户的信息，并提供封锁这些cookie的选项。这些新的隐私政策，将在一定程度上减少对用户数据的追踪和监控，但这不是天上掉下的馅饼，而是数据主权者之间相互斗争和竞争的结果，包括主权国家与数据科技公司之间的斗争，以及数据科技公司的相互竞争。谁能提供更高的隐私和安全标准，谁才能留住更多的用户，谁才能在竞争中立足。
总而言之，我们当下处于现实与虚拟相互构造的新空间中，数据主权不像领土主权、领海主权甚至货币主权等传统主权，发生在传统的现实空间中，数据主权诞生于新的空间中，空间变了，空间中的主权者及其法律，自然也会变化。在这个新的空间中，围绕数据的主权之争，必然会呈现出一种多元主权竞争性共生的新秩序。
来源：《读书》
