随着大数据、互联网、云计算、物联网的发展，数据尤其是个人数据在越来越便利地收集和传输的同时，也面临着新的威胁^[1]。个人数据的独特之处在于它将人的尊严与有价值的经济财产结合在一起^[2]，因此个人数据也成了当前经济全球化中重要的生产要素，是当今全球数字经济的核心。个人数据在全球范围内的跨境转移正在以不同形式和手段在全球范围内广泛出现。

在世界反兴奋剂领域，运动员个人数据的跨境转移也逐渐成为了反兴奋剂国际合作的一种重要手段。世界反兴奋剂条例（World Anti-Doping Code，WADC）第6.8条规定:“无论是否事先通知，世界反兴奋剂机构（World Anti-Doping Agency，WADA）可在任何时候自行决定实际占有实验室或反兴奋剂组织拥有的任何样本及相关检测数据或信息。应 WADA 的要求，拥有该样本或数据的实验室或反兴奋剂组织（anti-doping organizations，ADOs）应当立即准许 WADA 获取该样本并使其能够实际占有该样本或数据。”根据此条款的规定，必要时，实验室或反兴奋剂组织应当协助 WADA 确保收取的样本和相关数据在离开相关国家时不受延迟^[3]。此外，第22.2条还规定 “各国政府应当制定法律、法规、政策或行政措施，以便:与反兴奋剂组织合作和共享信息; 依照 《条例》的规定在反兴奋剂组织之间共享数据; 不受限制地传送尿样和血样以确保其安全性和完整性。”该条款明确表达了 WADA 对于实现反兴奋剂个人数据在各国之间自由转移和共享的期望，虽然 WADC 的要求本身没有法律效力，但其可能会促使各国立法者通过具有法律约束力的措施^[4]。

根据 《欧盟基本权利宪章》（Charter of Fundamental Rights of the European Union） 第8条和 《通用数据保护条例》 （General Data Protection Regulation，GDPR）第6条的规定，对于个人数据的处理必须以 “数据主体同意”和 “法律例外规定”为合法性基础，否则便不得对个人数据进行处理。而 WADC 第 6.8 条和第 22.2条实现了在运动员个人数据跨境转移中对运动员个人同意的 “豁免”，即无需运动员同意，只要符合法律例外规定，WADA 就可以将数据转移给境外第三方或其他国际组织。

与普通个人数据不同，由于运动员具有主体特殊性和客体特殊性，因而具有高度敏感性^[5]。反兴奋剂领域中的运动员数据还包括行踪信息、 DNA 和基因组图谱等，经过数据处理可分析出某一国家的保密单位、种族基因等信息，这可能危害国家主权安全。因此，有必要通过 WADC 和GDPR 的相关规定对 WADA 数据跨境转移进行法律分析，以寻求在数据保护和反兴奋剂目标之间的平衡。

1 WADA 数据跨境转移的可行性及潜在风险

数据转移一般包括境内转移和跨境转移。目前，国际奥委会 205 个成员国大部分都签署了 WADC，且 WADC 第 22.2 条的目的是实现反兴奋剂数据在不同国家之间的转移，本研究中的 WADA 反兴奋剂数据的转移特指跨境转移。与境内转移相比，跨境转移对运动员个人数据和国家数据主权侵犯的潜在风险更大。因此，WADA 进行反兴奋剂数据跨境转移时，必须出于必要目的，且符合转移国和接收国的法律法规和相关国际公约。

1.1 WADA 数据跨境转移的可行性

1.1.1 合理性

合理性，即 WADA 进行数据跨境转移应当出于正当且合理的目的。一般来说，国际反兴奋剂规则建立的价值目标主要包括:保持公平竞争的体育环境、保护运动员的身体健康、维护体育精神^[6]。WDAC 第1条明确规定了其宗旨，即保障运动员参加无兴奋剂的体育运动的基本权利，从而增进世界范围内运动员的健康、公平与平等，以及确保在预防使用兴奋剂方面，在国际和国家层面上形成协调、一致、有效的反兴奋剂体系，包括教育、遏制、发现、执行、法治等。

反兴奋剂数据跨境转移主要有3个目的，对于反兴奋剂活动都正当合理。①兴奋剂管制。对职业体育赛事中运动员的兴奋剂管制是 WADA 最主要也是最重要的目的，通过数据跨境转移，不同国家反兴奋剂组织之间可以对运动员的尿液、血液、DNA 或基因组图谱等样本进行对比分析，从而判断运动员是否存在兴奋剂违规问题，实现对兴奋剂的管制。② 反兴奋剂教育。 WADC 第18.1条规定: “所有签约方应当在其职责范围内相互合作，依照 《教育国际标准》的要求，计划、实施、监督、评估和提升教育项目。”在反兴奋剂教育目的中，数据跨境转移能够为各签约方提供样本检测程序、注册检查库、反兴奋剂案例宣传等帮助。③反兴奋剂研究。除科学、医学、检测、统计和生理学调查外，反兴奋剂研究范围还涉及社会学、行为学、法学和伦理学等其他领域，通过 WADA 协调反兴奋剂研究至关重要。WDAC 第19.3条规定: “在尊重知识产权的前提下，应当将反兴奋剂研究成果提供给 WADA，并在适当情况下与相关签约方、运动员和其他利益相关方共享研究成果。”

1.1.2 合法性

保护个人数据权利是当代一项基本权利，在欧洲宪法传统中已经被提升为基本权利的典范。 《欧盟基本权利宪章》第8条规定:“数据必须根据额定目的和有关人士的同意或法律规定的其他合法依据，公平处理。”GDPR 第5章专门规定了向第三国或国际组织转移个人数据的相关规则，其中第49条规定了当转移数据是为重要的公共利益所必要的时候，可以例外将个人数据转移到第三国或国际组织，但这种公共利益应当被欧盟法律及数据控制者所属的成员国法律所认可。在WADC 第22.2条对运动员同意进行 “豁免”后，符合法律例外规定就成了 WADA 进行数据跨境转移合法性的关键，即 WADA 进行数据跨境转移是否符合公共利益。 “公共利益”这一概念在所有的法律概念中属于典型的不确定概念，被形容为 “普罗透斯的面孔”。

反兴奋剂的公共利益已达成全球共识，从国际范围内探讨反兴奋剂公共利益有助于拓宽公共利益的研究视角^[7]。兴奋剂严重损害运动员身体健康和体育精神也是各国反兴奋剂组织的共识。 WADA 在新修订的 《隐私和个人信息保护国际标准》 （International Standard for the Protection of Privacy and Personal Information，ISPPPI）中增加了 “公共利益”作为数据处理的合法理由^[8]。WADA 通过反兴奋剂数据跨境转移进行反兴奋剂管制、教育、研究等活动是符合公共利益的，且被国际社会认可。因此，WADA 进行反兴奋剂数据跨境转移符合 GDPR 第 49条的例外规定，具有合法性基础。

1.2 WADA 数据跨境转移的潜在风险

结合运动员身份特殊性和数据跨境转移特殊性来看，WADA 数据跨境转移的潜在风险主要表现在2个方面。

一是对运动员个人数据的侵犯风险。WADA 进行反兴奋剂管制收集的样本主要包括运动员的尿液、血液、DNA 或基因组图谱以及行踪信息等，而这些数据都属于 GDPR 第4条所明确规定个人数据，甚至大部分都属于高度敏感数据。欧盟一直以来特别重视对个人数据的保护，并于2000年正式将公民的基本权利和自由编入 《宪章》，这也标志着个人数据保护权的诞生^[9]。个人数据蕴含着个人人格尊严和自由意志，通过对反兴奋剂数据的分析，就可以识别出特定运动员的 “数据人格”，一旦被不法分子假借反兴奋剂之名转移，或在转移过程中发生数据泄露，会严重影响运动员的个人数据权和隐私权。如 2016年曾发生过一起泄露事件，一个代号为 “魔幻熊 ”（Fancy Bear）的黑客组织入侵了 WADA 数据库，并在网上公布了部分运动员的档案文件。

二是对数据转移国和接收国国家数据主权的侵犯风险。传统的国家主权指一个国家在对本国管辖区域内所拥有的至高无上的、排他性的政治权力。随着互联网和信息技术的发展，主权概念逐渐衍生至网络领域并诞生了 “数据主权”概念，即一国对其管辖下的数据享有最高权力，能够独立自主占有、处理和管理本国数据并排除他国和其他组织干预^[10]。一直以来，我国就强调数据主权是国家主权中网络主权的重要组成部分^[11]，并在2010年 《中国互联网白皮书》中提出 “中华人民共和国境内互联网属于中国主权管辖范围”，2015年国务院 《促进大数据发展行动纲要》更是从官方层面对数据主权作出表述，要求增强网络空间数据主权保护能力，此后 《民法典》《网络安全法》《数据安全法》等法律规范更进一步强调了我国的数据主权。WADA 作为国际非政府组织，可以通过 WADC 第6.8条规定直接占有甚至转移各国反兴奋剂组织或实验室中的样本和数据，无疑对各国数据主权的安全构成了挑战。此外，反兴奋剂数据中的血液、DNA 或基因组图谱等的转移也会威胁种族安全，甚至可能被不法国家和组织利用，成为研究基因武器的工具。

2 GDPR 在 WADA 数据跨境转移中的适用

根据 WADC 第14.4条的规定，WADA 似乎将自己定义为世界范围内与反兴奋剂活动有关的 “信息交换中心”，并且可以通过反兴奋剂管理系统（anti-doping administration and management system，ADAMS）实现这一目标。进行反兴奋剂数据跨境转移仅仅符合公共利益的要求还不够，还应当符合法律关于数据转移的其他规定。1970年 《黑森数据保护法》（世界上最早的数据保护法）之父Spiros Simitis认为，“对公共利益的模糊暗示是不够的”，必须由希望进行相关数据转移的数据控制者证明其转移符合法律规定，法律基础是合格的^[12]。GDPR 作为全球示范性的数据保护法，对向第三国或国际组织转移个人数据作出了详细的规定，并且其可因广泛的域外效力和长臂管辖原则影响全球^[8]。GDPR 在 WADA 数据跨境转移中的适用，是通过其地域管辖范围实现的。根据GDPR 第3条的规定，无论数据处理行为是否发生在欧盟境内，只要数据控制者、数据处理者的其中一环处于欧盟境内，即可适用 GDPR。例如，美国的 ADOs在美国境内获取第三国运动员的反兴奋剂数据后转移至欧盟境内的检测机构进行检测，就可适用 GDPR; 又如欧盟的 ADOs获取运动员反兴奋剂数据后欲移交至欧盟境外的第三国进行检测，同样受GDPR 的管辖。因此，可以通过GDPR 在 WADA 数据跨境转移中的适用，寻求 WADA 数据跨境转移的法律规范模板。根据GDPR 第5章 “向第三国或国际组织转移个人数据”的规定，GDPR 对于 WADA 数据跨境转移的适用主要包括以下2种方式。

2.1 在充分条件基础上的转移

在向第三国或国际组织转移个人数据中，GDPR 设计了 “充分性认定地位”（the basis of an adequacy decision）制度，即欧盟委员会应当对数据转移第三国或者国际组织的法律规则、监管机构、缔约的国际协定等进行评估，判断其是否具备对数据和隐私的充分保护条件。该制度的法律效果在于:一旦第三国或国际组织被欧盟作出了充分性保护认定，就可以被欧盟纳入内部数据 “市场”，在进行数据转移时无须提供进一步的保障措施或获得其他授权。需要注意的是，第三国或国际组织获得的充分性保护认定并非是永久有效的，必须接受欧盟委员会至少每4年一次的定期检查。GDPR 数据转移的充分性保护认定的实质是评估第三国或国际组织的法治建设、人权保障以及监管机构执法能力等相关因素，其目的是正式确认第三国或国际组织是否基本上达到欧盟的数据保护水平^[13]。到目前为止，欧盟委员会仅授予了12个国家充分性保护认定。

目前，世界上绝大部分体育组织都在欧洲设立，WADA 要想实现反兴奋剂数据的跨境转移，就必须符合 GDPR 中充分保护性认定的要求。在WDAC 中，对于数据隐私的规定主要为原则性、概括性规定，如第5.5条运动员行踪信息、第14.6条数据隐私，无法全面有效实现对反兴奋剂数据及运动员个人数据权利的保护。为了实现与GDPR 相适应和统一，WADA 于2020年9 月15日通过了进一步修订的ISPPPI，其反映了许多GDPR 的原则性规定，进一步提高了反兴奋剂领域的个人信息保护标准^[14]。

从ISPPPI 文本来看，WADA 在充分保护水平方面作出了很大的努力，主要表现在以下几个方面:与GDPR 统一了个人数据和隐私方面的定义（ISPPPI， Part1，3.3）; 明确了反兴奋剂组织对运动员个人数据的管理规定 （ISPPPI，Part2，4.0-10.0）; 增加了数据主体对个人数据及隐私的权利（ISPPPI，Part2，11.0） ^[15]。由上述内容发现，GDPR 对 WADA 的数据保护产生了深刻的影响。

2.2 遵守适当保障措施的转移

有学者认为，充分性保护认定非常复杂耗时，已经成为转移数据的瓶颈^[16]。于是，GDPR 第46条规定，在缺乏保护水平的充分性认定时，数据控制者或处理者只有在提供了适当的保障措施并且满足数据主体能行使权利、能获得有效的法律救济的条件时，才能将个人数据向第三国或国际组织转移。WADA 仅需提供具有法律约束力和执行力的文件、符合欧盟标准的数据保护条款、符合欧盟标准的审查监管条款等文件，即可满足该条款要求。新修订的ISPPPI 在定义和绝大部分条款上都与GDPR 保持了一致，并且在监管和运动员权利等方面都有所增强。

因此，WADA 可以适用 GDPR 第46条的规定，通过遵守适当保障措施实现反兴奋剂数据的跨境转移。与在充分条件基础上的转移相比，该转移方式具有程序便捷、耗时少等优点，但其缺点也显而易见，即判断适当保障措施仅仅是对第三国或国际组织所提交的法律文件进行审查，无法了解这些适当保障措施的实际情况，可能发生 ADOs监管不力、运动员权利无法得到有效救济等问题。但不可否认，通过遵守适当保障措施的转移是目前 WADA 适用 GDPR 进行反兴奋剂数据跨境转移最有效、最便捷的途径。

3 对 WADA 数据跨境转移的限制

3.1 数据跨境转移机制的限制

2020年11月10日，欧盟数据保护委员会（European Data Protection Board，EDPB）发布了 《关于补充传输机制以确保符合欧盟个人数据保护标准的建议》，在该建议中，EDPB 建立了 “六步走”的数据转移机制，以实现对第三国或国际组织的评估和确定额外的保障措施^[17]。第1 步，了解向第三国或国际组织转移个人数据的情况; 第2步，核实进行数据跨境转移的依据; 第 3步，评估第三国或国际组织的法律和实践是否可能会影响某一具体转移的有效性; 第4步，确定并采取必要的补充措施，以达到实质等同的保护水平; 第5步，根据采取的补充措施完成相应的正式程序步骤; 第6步，适当定期重新评估第三国的数据保护水平，并监测是否有或者将有任何可能影响到数据保护水平的情况发生。目前，该建议已于2021年6月18日发布了2.0版本。

该建议对 WADA 数据跨境转移影响较大。首先，当 WADA 作为数据转移者时，必须对数据接收者情况进行调查，核实其进行跨境转移的依据和相应的保障措施，并定期对数据接收者的数据保护水平进行评估; 其次，当 WADA 作为数据接收者时，WADA 应当确保自身具有对个人数据保护的保障措施，并且数据保护水平应当达到进行数据转移的 ADOs的实质水平; 最后，无论 WADA 作为数据转移者还是数据接收者，都必须完善对数据保护的相关规定、明确运动员个人数据保护的权利、建立相应的监管机制和救济机制。实质上 “六步走”数据转移机制是对 GDPR 第45条 “在充分条件基础上的转移”和第46条 “遵守适当保障措施的转移”所作的具体补充，一定程度上弥补了 GDRP 现行数据跨境转移规则的缺陷，有助于对 WADA 数据跨境转移进行有效限制。

3.2 最小范围原则的限制

GDPR 第5条确定了个人数据的处理必须遵循的最小范围原则（data minimisation），即对个人数据的处理应当是适当的、相关的，并且限于数据处理目的最小范围内。欧美国家将最小范围原则作为公平信息实践中的一项原则。美国联邦贸易委员会（Federal Trade Commission，FTC）认为其有助于减少两方面的风险:一是数据越少，对数据窃取者的吸引力越小，会相应减少数据泄露的风险; 二是数据越少，数据处理者实施违背数据主体合理期待的行为时，其行动能力越低，有助于减少因此受损的风险^[18]。目前，我国也确立了该原则，2021年8月20日通过的 《个人信息保护法》第6条规定:“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”

最小范围原则在 WADA 数据跨境转移中的限制从 2 个维度展开。一是必要性维度，即 WADA 跨境转移的数据必须是出于反兴奋剂管制、研究或教育的目的，且数据的转移与目的之间要有必然的、密切的联系，能够有助于特定目的的实现。同时，WADA 数据转移必须具有合比例性，即应当考量数据转移所带来的公共利益是否大于其可能侵犯的运动员的权利，根据二者之间的比例作出数据转移的决定^[19]。二是最小性维度，即 WADA 数据跨境转移的范围应当严格限制在特定目的内，若缺乏该数据，便无法实现特定目的。在当下的反兴奋剂活动中，存在着严重的过度收集运动员数据的问题，因此 WADA 数据跨境转移必须通过最小范围原则加以严格限制。

3.3 告知义务的限制

在个人数据领域，“知情同意”原则是处理个人数据的一项重要原则。 “知情”即数据处理者必须向数据主体告知处理数据的目的、方式和范围，“同意”即数据处理者必须征得该数据主体或其监护人的明确同意才能对其个人数据进行处理，并且应当严格遵守所告知的目的、方式和范围。在同意豁免的情况下，WADA 更应当注重对运动员的告知义务，在最新修订的ISPPPI 中也体现了这一点。ISPPPI 第7条明确规定了 ADOs的告知义务，告知内容包括:①ADO 及负责人的信息，个人数据处理的类别、目的、权利救济、储存期限等; ②若告知可能会危及反兴奋剂调查或破坏反兴奋剂程序的完整性，则告知可以适当暂停或延迟，但必须将延迟的理由记录在案; ③ADO 必须通过书面、口头等通俗易懂的方式进行告知。除此之外，ISPPPI 第 11.5 条还明确了当运动员认为个人数据权利受到侵犯时，有权通过向 ADO 申诉或 WADA 投诉的方式获得救济。此外，运动员还面临丧失数据被遗忘权，无法因不同意 WADA 进行数据跨境转移而要求其删除个人数据。因此，应当注重 WADA 数据跨境转移中的告知义务。

4 对我国反兴奋剂数据跨境转移的启示

4.1 推进反兴奋剂数据转移立法

目前，我国关于数据跨境转移的相关规定零散分布于 《个人信息保护法》《网络安全法》《数据安全法》中，并未有专门性法律文件或专门章节对数据跨境转移作出规定。因此，我国首先应当完善数据跨境转移的相应立法，形成覆盖刑法、体育法、国务院行政法规、政府部门规章、行业规则的完善的反兴奋剂法律法规体系，为反兴奋剂工作提供有力支撑，以保障我国的数据主权安全。其次，应当借助体育法修改的契机，通过体育立法进一步确保反兴奋剂政策与国际反兴奋剂政策的一致性^[21]。我国的反兴奋剂规范主要为 《反兴奋剂条例》《反兴奋剂管理办法》《反兴奋剂规则》，但在这些规范中，更多的是强调反兴奋剂的管制工作，仅在 《反兴奋剂规则》第 62条对 WADA 的数据占有权和第157条对个人信息保护作出了规定，而这些都是原则性、概括性的规定，缺乏具体操作的空间。因此，我国亟需推进反兴奋剂数据立法，增加反兴奋剂数据跨境转移的相关条款，完善对运动员个人数据权利的保护，根据最新的 WADC 及ISPPPI 等国际规则及时进行调整。

4.2 完善反兴奋剂数据行业规范

中国反兴奋剂中心作为我国的反兴奋剂管理机构，承担着反兴奋剂管制、科研、教育的重要职能。由于我国人口基数大、注册运动员数量多（仅足球单项就多达711235人），兴奋剂检查数量庞大。中国反兴奋剂中心公布的数据显示，仅 2021年实施检查数量就达26320例。在此背景下，我国反兴奋剂数据保护行业规范需要进一步完善。一方面，要完善运动员数据保护的规范。在结合我国 《个人信息保护法》 《数据安全法》 等法律法规的基础上借鉴 WADC 和ISPPPI 等文本，制定符合我国反兴奋剂实践的运动员数据保护规范。另一方面，要建立反兴奋剂组织数据处理的内部审查和监管机制，包括对反兴奋剂组织整体的系统安全状况评估、对信息的管理利用及合规情况监管等，尤其是要完善ISPPPI 要求反兴奋剂组织设立的合规证明制度、处理记录制度和数据保护官制度^[14]。

4.3 规范反兴奋剂执法程序

推进反兴奋剂数据跨境转移立法和完善反兴奋剂数据行业规范，目的在于从立法层面使我国达到 “充分保护条件”，然而充分保护条件的认定存在一定的局限性，容易成为区别对待第三国或国际组织的工具。我国除了从立法层面对相关规范进行完善之外，还应当保证这些规范的法律约束力和执行力，完善反兴奋剂执法程序，遵守适当保障措施。一方面，要遵守反兴奋剂的执法程序，在获取反兴奋剂数据的过程中，遵守 WADC、ISPPPI 等对反兴奋剂数据的规定，如遵守数据分析的目的、原则、标准等程序; 另一方面，要保障反兴奋剂执法中数据主体的权利，充分尊重运动员在反兴奋剂检查过程中的合法权益，特别是当侵害发生后，应当为数据主体提供切实有效的法律救济条件。

4.4 加强反兴奋剂领域国际合作

世界反兴奋剂法治体系是由国家政府、体育组织构成的 “公—私伙伴关系”，国家与国际层面、政府与非政府组织的合作协调是反兴奋剂全球治理的关键^[22]。从 WDAC 第 22 条看，WADA 也在鼓励、支持、争取与各国政府的国际合作。习近平总书记提出，要统筹推进国内法治和涉外法治，协调推进国内治理和国际治理。在全球治理和推动构建全球命运共同体的背景下，我国应当积极加强反兴奋剂领域的国际合作，通过国际合作促进世界反兴奋剂规则的发展，用实际行动为世界反兴奋剂事业作出表率，努力从国际反兴奋剂规则的参与者转变为制定者，构建反兴奋剂领域的中国话语权。

5 结语

WADA 数据跨境转移不仅关系着运动员个人数据的保护，还关系着国家数据主权安全。数据全球化是不可逆的趋势，在这一过程中机遇与挑战并存，我国应当主动迎接挑战、把握机遇，既要从 GDPR、WADC、ISPPPI 等文本中借鉴相关规则，完善我国反兴奋剂领域的相关立法，也要严格规范执法，保证法律约束力和执行力，有效保障数据主体的权利，构建具有中国特色的反兴奋剂数据保护制度。

参考文献