论坛·原创 | 挑战与治理：数智时代的数据主权安全

原创

周茂雄
周茂雄

中国信息安全

2026年10月15日 17:33
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

周茂雄

福建警察学院

当前，单边数据管制、数据攻击等现象频发，严重冲击了全球数据治理秩序，给国家安全带来了严峻挑战。在此背景下，系统研究数据主权风险治理，既是应对现实风险的迫切需要，也是推进国家安全体系和能力现代化的题中应有之义，更是把握发展机遇、塑造竞争优势、参与全球治理的战略举措。

一、数据主权的理论阐释

国家安全以政治安全为根本，而国家主权是政治安全的重要组成部分。纵观人类文明演进史，每一次技术范式的革命性变迁，都深刻重塑国家权力的形态、疆域的意涵与安全的内涵。从农耕文明的土地控制，到工业时代的海洋与空天疆域拓展，主权概念始终在技术、空间与权力的动态交织中不断被定义与再定义。16世纪和17世纪，土地测量、划界勘测与地图绘制技术兴起，将领土、主权和国家具象化地联结在一起。随着航海技术的发展和地理大发现的推进，国家将主权的认知拓展到海洋。20世纪初，航空技术的进步又将天空纳入国家主权划界的范围。20世纪中叶，太空探索活动的兴起又催生外层空间主权的新议题。20世纪后期，互联网技术的革命性发展使网络空间主权迅速成为当代主权理论不可忽视的重要领域。主权每一次向新空间的延伸，本质上是对人类新兴活动领域及其蕴含的国家利益作出法律确认和权利宣示。

随着数字技术的不断发展，5G、人工智能、物联网、区块链等新一代信息技术深度融合、协同聚变，推动数据生成、汇聚与跨境流动呈现出前所未有的规模与速度。数据日益成为当代至关重要的生产要素。《经济学人》2017年5月社论栏目的文章《世界上最有价值的不是石油，而是数据！》（The World's Most Valuable Resource Is No Longer Oil, but Data）曾将数据比喻为“21世纪的石油”。2013年6月6日，美国“棱镜门”事件唤醒了国家数据主权意识。各国纷纷加快数据立法，强化个人隐私和数据权利保护，推动数据本地化，加强对数据跨境流通的限制，捍卫数据主权安全。

数据主权是指国家在数字空间有效行使并稳固捍卫其最高治权，使其免受内外部的侵害，从而实现数据自由和数据安全。数据主权关注的不仅是国家“有权做什么”，更是国家“有能力确保什么不受侵害”。按照传统国家主权理论，主权包含管辖权、独立权、平等权、自卫权等内容。数据主权作为传统国家主权在数据领域的延伸，亦内在地包含这些权利要素。

数据管辖权是指一国对本国疆域范围内产生和存储、传输的数据及相关物理设备、服务等享有维护、管理和利用的权利。这直接体现为国家在数字空间的法律权威塑造与秩序执行能力。数据管辖权包括立法管辖权、司法管辖权和执法管辖权。

数据独立权是指一国对其境内产生、存储、处理和使用的数据拥有完全控制权，排除他国随意干涉本国数据设施、数据资源的权利。数据独立权的本质，是国家对自身数字疆域的主权宣告，也是确保数字空间“领土完整”的基础。保障数据独立权，关键在于国家具有数据资源的管控能力与数字技术的自主能力。

数据平等权是指在数据跨境合作与交流过程中，各国平等获取合法数据资源、平等参与国际数据事务的权利。在国际实践中，数据主权平等表现在以下两个方面。一方面，数据资源享有的平等。在不损害其他国家及人民利益的前提下，任何国家均享有自由使用数据的权利，且不受歧视。另一方面，数据规则制定的平等。各国在全球数据治理体系中地位平等，应在规则制定过程中倡导合作，避免侵害相关国家利益。

数据防卫权是指一国可以采取必要的防护和打击手段进行自我防卫，保护本国数据基础设施、数据资源不受攻击，或者避免本国数据基础设施、数据资源陷入瘫痪的权利。数据防卫权是在数据主权平等的基础上延伸出来的，旨在保障国家在面对外部数据威胁时能有效地保护自身数据资源和信息系统。

二、数据主权面临的风险挑战

当前，国际数据主权博弈不断加剧。然而，受数字技术水平、文化传统与价值理念差异等因素的影响，各国数据治理路径分歧突出，全球数据治理体系呈现碎片化、对抗化特征，数据主权安全由此遭遇多重现实挑战。

（一）数据管辖权

在传统物理空间，领土的有形性、固定性使管辖范围具有明确的地理界定，各类法律关系的产生、变更与消灭均与特定地域形成稳定关联，为管辖权行使提供了坚实的事实与法律依据。然而，在大数据、云计算、人工智能等数字技术的驱动下，数据的存在形态与流动方式发生了根本性变化。传统管辖权体系赖以存在的物理基础被彻底解构，属地管辖原则在数字空间陷入适用困境，进而引发数据管辖权边界的模糊与消解。

在数据跨境流动消解传统属地管辖边界的同时，部分数字技术优势国家为维护其数字霸权和国家利益，大力推行单边数据管制政策。例如，美国出台了《存储通信法案》《爱国者法案》《外国情报监视法》《澄清域外数据合法使用法案》等一系列法律，扩张域外数据管辖权。微软爱尔兰数据中心案就是一个典型的数据管辖权冲突例子，表明了美国对他国数据管辖权的潜在威胁。

（二）数据平等权

以美国为代表的数字空间优势国家，在意识形态配合下持续引导国际网络发展走向，主导了《跨太平洋伙伴关系协定》（TPP）、《全面与进步跨太平洋伙伴关系协定》（CPTPP）等一系列国际贸易协定，主张数字空间属于全球公域，反对数据本地化存储。这导致后发国家在参与数字规则制定时，面临严峻挑战。优势国家凭借其专业人才储备、智库支持和非政府组织网络，能够在多边谈判中提出系统性的立场文件和规则草案，而许多后发国家由于数字治理能力建设滞后，往往只能被动应对或简单附和。此外，后发国家在多边机制中关于数字规则制定的代表性存在不足。例如，《塔林网络战国际法手册》（The Tallinn Manual on the International Law Applicable to Cyber Warfare）虽名义上由“国际专家组”完成，但从专家构成、评审人选到援引的国家实践，均具有鲜明的西方背景。

这种不平等并非偶然现象，而是资本主义全球扩张逻辑在数智时代的延续与深化。数据殖民主义是资本主义演进至数字资本主义阶段所呈现的一种新型殖民形态。其表现为资本家以看似温和合理，实则采取更具强制性的手段获取与控制新的生产要素，形成一种概念化的数据治理模式。在这个过程中，发展中国家作为数据资源的生产地，却无法分享数据增值带来的利益，反而要承受数据泄露、隐私侵犯、产业被控制等诸多风险，陷入“数据贫困”的恶性循环。

（三）数据独立权

在数字空间，技术优势可直接转化为权力优势，谁掌握了技术制高点，谁就拥有了数据的控制权。因此，数字技术的自主性成为国家独立行使数据主权的前提条件。在国家间数字竞争中，数字技术自主体现为一国因独占先进数字技术而形成支配他国的知识优势。掌握先进数字技术的国家，往往采取多种手段维持其技术优势。一方面，利用专利制度强化技术垄断，使其他国家对其形成技术依赖；另一方面，通过技术封锁打压他国的科技发展，防止他国的技术追赶与技术反超。以美国为例，美国政府以所谓的国家安全为借口，禁止向华为等中国公司出售高端芯片，试图扼杀其发展势头。

实际上，在数字空间，真正掌握数字权力规则的，往往不是主权国家，而是那些控制先进技术和海量数据的数据寡头。这些寡头处于数字权力结构的顶层，导致主权国家可能受到它们的制约。2021年，澳大利亚颁布了《新闻媒体和数字平台强制议价法》，要求Meta等互联网巨头向新闻机构支付内容使用费。Meta随即采取反制措施，宣布下架澳大利亚境内所有新闻内容。在社会舆论的强大压力下，澳大利亚被迫修订法案。从风险演化视角看，数据寡头侵蚀国家主权遵循从技术依赖到数据依赖、最终走向权力依附的递进逻辑。最初，国家为融入数字经济、提升治理效能，不得不依赖数据寡头的技术与平台，形成技术依赖。随后，技术依赖导致本国数据资源持续向平台汇聚，形成数据依赖，而数据资源的流失又进一步加剧了技术依赖。最终，技术与数据的双重依赖形成叠加效应，使国家在数据规则制定、治理决策输出等核心领域受制于数据寡头，陷入实质性权力依附困境。

（四）数据防卫权

在技术迭代加速、攻击手段日益复杂的背景下，数据防卫权正面临严峻挑战。数据攻击是数智时代的产物，是指利用数字通信系统存在的漏洞与安全缺陷，针对系统或资源所进行的攻击，实现篡改、窃取、伪造或使对象失去功能等目的。360数字安全集团于2026年1月29日发布的《2025全球高级持续性威胁（APT）研究报告》显示，2025年，中国遭受1300余起APT攻击活动，攻击来源主要集中于南亚、东南亚、东亚及北美等地区。相较于传统武力侵犯，数据攻击呈现高技术性、跨地域性与隐蔽性等特征。部分国家利用数据攻击的特点，将数字空间作为新的战略博弈场。他们组建以技术精英为核心的网络部队，吸纳黑客力量，研发网络武器，对他国实施大规模数据入侵、操控数字设备，甚至渗透政府管理、财政、公共服务及军事等关键信息系统，窃取机密数据并扰乱通信网络的正常运行。

数据攻击的跨境性、隐蔽性、非对称性与技术复杂性等特点，使国家在面对此类侵害时，常常陷入“知道被攻击，却不知道谁攻击、为何攻击、如何精准反击”的困境。以爱沙尼亚网络战为例，由于攻击源头分散且涉及多国，爱沙尼亚不仅难以锁定真正的攻击者，甚至无法确定攻击的主使方，最终只能通过临时切断部分国际网络连接缓解危机。当前，国内外学术界围绕数据攻击溯源技术已展开大量研究，网络安全知识库与框架、知识图谱等方法也被引入该领域。尽管新技术与模型不断涌现，但自动化攻击溯源仍未取得实质性突破。

三、维护数据主权安全

如前所述，数据主权风险不是单一维度的挑战，而是技术漏洞、制度缺失、地缘博弈、经济竞争与社会文化渗透等多重因素交织的结果。诚如美国法学家哈罗德·J.伯尔曼于1974年发表的著作《法律与宗教》指出：“无论在哪里，综合——二元论的克服——都是开启新型思维的钥匙；这种新的思维乃是我们正在进入的新时代的特色。”因此，基于数据主权风险生成原因，可从数据主权治理能力出发，构建“制度—技术—话语”三维框架（见图1），以制度治理回应管辖权与独立权的规则需求，以技术治理夯实独立权与防卫权的硬件基础，以话语治理塑造平等权的国际认同环境。

图1 维护数据主权的“制度—技术—话语”框架

数据主权治理能力是指国家为有效行使并维护其对本国数据的最高权威，通过一系列管理活动确保数据安全和有效利用的能力。数据主权体现为国家对境内数据的有效管辖、对国际数据规则的平等参与、对核心数字技术的自主可控、对数据安全威胁的有效防卫。因此，数据主权治理能力主要由数据管控能力、数据防卫能力和数据规则主导能力构成。数据管控能力是指当国家间就同一数据主体、数据行为、数据及数据设施的管辖权产生主张分歧时，一国能够依据自身意志与规则行使管辖，而不受制于他国意志及规则。数据管控能力集中体现于一国的法律制度体系。数据防卫能力是指国家依托网络军事力量、数据基础设施、数字技术等手段，防范数字空间合法权益遭受侵害、降低损害风险，并在遭遇攻击时能够快速响应、遏制攻击态势、追踪攻击源头。数据防卫能力集中体现于一国数字技术的整体实力。数据规则主导能力则指国家在跨境数字贸易、跨国网络犯罪等活动中，当与他国规则适用产生分歧时，能够基于自身的核心利益，主动创设并灵活运用相关数据规则处理事务，推动本国主张的规则成为国际普遍遵循的规范。数据规则主导能力集中体现于一国在数字领域的制度性话语权。

制度治理在维护数据主权中发挥基础性作用。作为一种新兴的主权形态，数据主权的内涵、边界范围与行使方式并非先验存在，而是有赖于法律制度予以明确。通过制定完善的数据主权制度，国家能够将数据领域的主权意志转化为具有普遍约束力的规则体系，明确各类主体在数据活动中的权利与义务，规范数据采集、存储、处理、传输、利用等数据生命周期行为，确保数据主权的行使符合法治原则。例如，俄罗斯出台的《个人数据法》强制要求本国公民信息境内存储，阻断美国法律对俄罗斯境内数据的域外穿透，以立法划定数字空间司法管辖权边界；欧盟通过《网络与信息安全指令》（NIS2）细化跨境网络袭击的跨国司法协作条款，确保关键服务在面临数据攻击时能持续。

技术是应对数据主权内生性风险的重要手段。内生性风险源于技术架构、协议标准、系统实现等环节的固有缺陷，其诱因深嵌于技术演进的全过程，具有较强的隐蔽性与顽固性。任何技术体系都存在原生性缺陷，唯有依托技术创新、架构优化与迭代升级，从技术源头构建安全防御体系，才能有效应对这类风险。2026年6月，欧盟委员会公布“欧洲技术主权一揽子方案”，提出加强人工智能、半导体、云计算等领域能力，减少结构性外部依赖，增强欧洲数字自主性与韧性。

话语不仅是观点的表达，更是权力运作的方式。其通过概念界定、叙事建构、议程设置与共识塑造等方式，深刻影响国际社会对数据主权相关议题的认知导向、态度倾向与政策抉择。任何一项数据治理政策，无论是国内层面的监管举措，还是国际层面的规则主张或倡议，均需获得广泛认同与支持，即具备合法性基础。美欧作为发达经济体的代表，在跨境数据治理领域积淀深厚，已分别构建起相对独立且具有广泛影响力的话语体系，并由此形成了“个人数据权利保障”和“数据自由流动”两种代表性治理范式。

制度、技术与话语三者并非彼此割裂的独立要素，而是相互关联、协同作用的有机整体。制度治理为全局划定规则底线、明确权责边界，构成数据主权风险治理的基石；技术治理是应对技术源性风险的关键手段，能弥补因制度更新滞后而产生的治理真空，为筑牢数据主权安全防线提供硬核支撑；话语治理则为治理实践凝聚共识，为制度与技术治理营造有利的内外环境，提升治理的合法性与影响力。

四、数据主权风险治理的基本遵循

坚定不移地贯彻总体国家安全观，并将其全方位、全过程地贯穿于数据主权风险治理的实践，是应对数据主权风险这一时代挑战的根本遵循。

（一）坚持战略思维，构建数据主权风险治理生态体系

战略思维的本质是把握根本性、全局性、长远性问题，从事物发展的总体趋势和方向上进行系统性思考和谋划。

从全球化视角审视，树立命运与共的治理观。数据天生具有流动性和无界性，数据主权风险本质上是全球性挑战。任何国家都无法在“数字孤岛”中实现绝对安全，单边主义、保护主义的数据政策最终可能引致反噬，加剧“数据巴尔干化”和“数字铁幕”风险，损害全球数字经济活力。因此，必须从全球化视角进行深刻审视，超越狭隘的国家利益算计，树立命运与共的治理观。

从系统性视角把握，构建整体联动的治理格局。数据主权风险治理必须摒弃“铁路警察，各管一段”的部门化、碎片化思维，建立跨层级、跨地域、跨系统、跨部门、跨业务的高效协同机制，实现政策规划、法律法规、技术标准、产业布局、人才培养、舆论引导等多维要素的有机整合与同频共振。治理体系的设计应能覆盖数据生命周期，贯通预防、监测、预警、响应、处置、恢复、追责等各个环节，形成“党政军民学、东西南北中”一体联动、立体防护的“全国一盘棋”格局。

（二）坚持辩证思维，深刻认识数智时代的一般规律

辩证思维是马克思主义哲学的重要思维方法，其本质在于承认矛盾的普遍性和特殊性，通过分析矛盾双方的对立统一关系，把握事物发展的内在规律。

统筹数据资源开发利用和安全治理。发展和安全犹如硬币的“两面”，二者相互支撑、相互促进，离开发展谈安全，或离开安全谈发展，都不可持续。一方面，要将数据安全理念深度融入发展规划、产业政策、技术创新、标准制定等各个环节，让安全成为数字经济发展的内生变量，而非外部约束。另一方面，要通过科学的监管与治理，破除数据流动的制度性障碍，营造稳定、公平、可预期的数据市场环境，塑造更高质量、更可持续的发展条件。

统筹推进国内数据法治与涉外数据法治。不仅要解决国内数据法治与国际数据法治的良性对接问题，完善国内数据法律制度体系应对国际数据法治变革，更要认真审视国际数据法律规范在我国域内的适用，积极推动国际数据规则的发展演进。同时，还要积极参加和引领国际数据规则制定和改革，提升影响国际数据规则制定的话语权和影响力。

坚持维护和塑造数据主权。动态发展的观点是马克思主义唯物辩证法的重要方法论。数据主权的动态性体现在数字技术是不断发展变化的。这决定了维护数据主权的手段、目标、路径也是动态变化的，要随着时代发展和形势变化不断做出调整。因此，数据主权风险治理必须构建“预测—响应—迭代”的动态机制。

（三）坚持创新思维，探索引入新型数据治理理念

当今时代，数字技术迭代呈现指数级增长态势。在此背景下，坚持创新思维，成为维系数据主权风险治理体系生命力、保障治理效能、掌握战略主动权的必然选择。

在思想层面引入动态治理新思路。数字技术的迭代速度远超传统技术，数据的产生、流动、应用模式持续创新，使数据主权风险的表现形式、影响范围不断演变。因此，应采取积极的动态治理方案，应对高度复杂性、不确定性的数据主权风险。动态治理主张突破僵化体制的桎梏，以快速响应、持续调适与韧性适配为核心逻辑，推动治理能力在动态中升级、在回应中完善。

在方法层面，探索技术赋能治理的新路径。技术赋能治理是数智时代治理现代化的趋势。其核心在于以数字技术为支撑，提升治理的科学化、精细化、智能化水平，实现治理能力与治理效能的跨越式提升。数据主权风险的技术化特征日益突出，算法滥用等风险的技术手段不断升级，对治理能力提出了更高要求。唯有坚持创新思维，以先进技术应对技术风险，方能在治理博弈中掌握主动权。

在机制层面，构建多元协同治理的新格局。国家作为数据主权风险治理的主导者，具有权威性和统筹协调能力，但在技术创新、市场动态把握等方面存在不足；企业作为数据活动的主要参与者，掌握数据资源和技术优势，但存在因逐利性可能导致的安全投入不足问题；社会组织、科研机构等具有专业优势，能够提供技术支持和智力支撑，但缺乏治理的执行力；公众作为数据的产生者和使用者，具有监督积极性，但缺乏有效的参与渠道。只有整合多元主体的力量，构建协同治理格局，才能实现治理效能的最大化。【本文系福建省习近平新时代中国特色社会主义思想研究中心一般项目“总体国家安全观视域下的数据主权研究”（项目编号：FJ2023XZB012）的阶段性研究成果】

（本文刊登于《中国信息安全》杂志2026年第8期）