要点

数字时代海外利益保护的根本变化，是保护对象从稳定、有形、属地化的财产转向流动、无形、平台化与多重管辖的数据利益与数字资产。现行制度的主要问题并非监管不足，而是防御与保护的失衡，为此须积极完成相应转型。

党的二十届四中全会审议通过的《中共中央关于制定国民经济和社会发展第十五个五年规划的建议》明确提出“加强海外利益保护”，而数据利益与数字资产正是数字时代中国海外利益的新型重要形态，系统探讨其法治保护路径，是将海外利益保护向数字领域纵深推进的关键一环。当前，中国涉外数字法治正经历一场方向明确的扩容，但扩容呈现出明显的单向性。2026年4月7日，国务院发布《中华人民共和国反外国不当域外管辖条例》（以下简称《条例》），确立了不当域外管辖措施识别机制、“恶意实体清单”与禁执令制度，并于第十四条赋予受害中国主体停止侵害、赔偿损失的民事诉权。2026年5月，商务部发布《阻断外国法律与措施不当域外适用办法》（以下简称《阻断办法》），实施五年来的首份阻断禁令，阻断美国对五家中国炼化企业的涉伊朗石油制裁；当月，司法部会同商务部等部门首次依据《条例》作出识别认定，认定欧盟在《外国补贴条例》调查中向中国实体跨境索取广泛的、非必要的境内信息构成不当域外管辖措施。这是条例施行后的首例认定，所指向者正是跨境的信息与数据索取。

“向内防御”的工具箱密集扩容，但中国主体已置于境外的数据利益一旦遭遇外国调取、强制剥离、冻结或没收，在国内法上既无可主张的地位，亦无可执行的救济。三组事实为证：2026年1月，抖音海外版（TikTok）美国数据安全合资公司正式成立，字节跳动虽保留算法知识产权并以许可方式提供，但仅持股19.9%，美国用户数据保护、算法安全与内容审核职能整体交由合资公司承担，东道国审查由此从准入限制升级为对数据控制权与治理结构的强制重构；2025年10月，美国司法部就127271枚比特币提起民事没收之诉，该批资产可追溯至具有中国背景的矿池，涉案主体其后由柬埔寨移交中国并被追究刑责，同一批数字资产遂同时落入两国追缴程序，而中国法上既无请求权基础，亦无犯罪资产跨境返还与分享的可操作规则；美国第14117号行政令及司法部据以制定的数据安全规则对涉华敏感数据交易施加系统性禁令，外国执法机构还可依据《‌澄清境外数据的合法使用法‌》的“数据控制者标准”绕开司法协助直接调取。

由此可见，中国虽已初步建成“反域外管辖”的规范体系，但尚未建成“海外数据利益保护”的规范体系。前者是管辖权的防御性对冲，解决“外国管辖不得进来”的问题；后者是权益的建构性保护，解决“我方权益如何出去主张”的问题。防御是保护的必要前提而非充分条件，保护能力的本质不在规则数量，而在可主张性与可执行性。

一、保护客体的规范界定

保护的前提是明确保护什么。海外数据利益与数字资产已溢出传统海外利益的范畴，若沿用有形财产的界定工具，保护对象始终模糊，其后的权利配置与救济设计亦无所依循。

（一）传统海外利益概念的失灵

传统海外利益保护围绕公民人身、境外投资、股权、不动产与合同债权展开，其共同前提是客体唯一、可占有、有确定所在地。数据与数字资产则不然：可复制性使复制并不当然消灭原控制人的利益，“占有—所有”的推定链条由此断裂；分布式存储使客体不具唯一所在地，属地连接点无从锚定。

传统海外利益概念在海外数据利益和数字资产上的失灵甚至及于“海外”本身的判定：采用存储地标准，则存储于境内却被外国依控制者标准调取的数据被排除在外；采用控制地标准，则境外主体控制的涉华数据可能被不当纳入。笔者建议采取以主体国籍与真实联系为主导、兼顾存储地与控制地的综合立场。根源在于数据主权与数据控制权的分离：主权以领土为界，控制关系却随技术架构全球分布。

（二）概念的二元界分

海外数据利益，指中国主体基于合法的数据收集、生成、持有、处理、使用或经营活动，在境外形成、存储或实现的利益关系束，偏重公法与战略维度。数字资产，指能通过数字技术被识别、控制、利用或产生收益的数字化权益，偏重私法与财产维度，涵盖经营数据与训练数据集、数据产品、算法与模型参数、境外平台账户与经营信用、加密货币与代币化现实世界资产等。

界分的意义在于分流保护路径：数据利益更多诉诸管辖权配置与公法救济，数字资产则主要依托确权、合同与私法请求权。混同处理，或以公法逻辑吞没私法救济，或以私权话语稀释安全关切。属性之争亦须正视：物权说难安放可复制性，债权说无法解释链上资产，属性不确定直接制约救济规则的生成。

（三）保护基础的转换：“合法数字利益”

保护不必也不能以确立排他的“数据所有权”为前提。同一数据由个人提供原始信息，企业收集整理，平台提供环境，开发者形成衍生产品，任何单一主体难以主张完整排他的所有权。分析框架应从“数据归谁所有”转向“何种主体基于何种行为形成何种合法利益”。

以“合法数字利益”为判断标准是可行路径，其要素有六：合法取得；投入资金、技术、劳动或经营资源；有可证明的持有、访问、控制、加工或经营权限；有可识别的独立经济或竞争价值；他人行为已经或可能破坏其控制、利用或收益能力；不违反中国法、东道国法及国际法基本原则。满足者可解构为持有访问、加工使用、经营收益、排除他人非法利用、请求返还迁移等一束具体权益。以境外店铺账户被封禁为例，企业无须证明对交易数据“享有所有权”，只需证明合法的控制与经营收益利益，即可主张恢复访问、数据迁移与赔偿。该路径可避免“无所有权即无保护”的困境，并与“数据二十条”的探索相衔接。前述合资安排中算法知识产权与数据控制权的分离，恰恰说明数字权益本可分层配置、分别归属。

二、现行保护体系的三重缺口

客体虽可界定，保护却未随之生成。困境并非无法可依，而是有法难用：管辖调取、审查剥夺、制裁与私权力、合规失控四类风险已现实发生，现行法的回应却止步于境内管制；反域外管辖新制长于阻断而短于追偿，保护重心呈现三重失衡；支撑救济的理论供给与协同机制亦有欠缺。三者层层递进，指向同一后果：境外数字权益既无可主张的法律地位，也无可执行的救济通道。

（一）四类风险与现行法回应的错位

第一，管辖型风险。美国《‌澄清境外数据的合法使用法‌》以“数据控制者标准”取代“数据存储地标准”，使外国执法机构有权要求受其管辖的服务提供者交出存储于任何地方的数据；欧盟《通用数据保护条例》的“市场地”标准又叠加多方管辖，同一批数据可能同时落入美国的调取命令、欧盟的保护义务与中国的出境管制中。现行法的回应是《中华人民共和国数据安全法》（以下简称《数据安全法》）第36条“非经主管机关批准，不得向外国司法或者执法机构提供存储于境内的数据”，但审批主体、标准、时限与后果均未细化，该条遂成只设义务、不供程序的条款，未为夹缝中的企业提供出路。

第二，审查剥夺型风险。美国第14117号行政令及配套规则将特定类别的数据交易本身作为管制对象，管制逻辑已从《‌澄清境外数据的合法使用法‌》转向“能否与特定国别主体交易”；前述合资安排则是审查升级为控制权重构的样本。比特币没收案更展示了域外程序对数字资产的规模化剥夺——以“资产涉罪”启动，举证责任事实上倒置，对第三方权利人尤为不利。相较之下，中国主体在外国没收程序中的参与、异议与返还通道几乎为零，跨境犯罪资产的返还与分享亦缺乏可操作规则。

第三，制裁与私权力型风险。单边制裁下数字资产的冻结与链上执行具有技术不可逆性；平台封号、下架、断服等“私人征收”的加害主体并非国家，传统以国家为加害主体的框架难以涵盖等。在“境内禁止＋境外备案许可”的二元结构下，经合规通道在境外持有的数字资产，其国内法上的财产地位仍未廓清，私法请求权无从生成。

第四，合规型风险。依合规路径出境的数据被境外接收方转让、再处理乃至被第三国政府调取时，中国的出境管制已鞭长莫及，合同救济又因举证与执行困难形同具文，实质是将法域冲突的成本转嫁给个体企业。

（二）反域外管辖新制的限度与三重失衡

《条例‌》无疑是重要进步，然其限度同样清晰：条例的规范对象限于境内“执行或者协助执行”的行为，功能是阻断而非追偿。逐环节考察第十四条诉权即见其落空：被告须是执行或协助执行者，而典型海外侵害的加害人是外国政府机关、外国法院或境外平台，前者受国家豁免保护，后者在境内既无营业机构亦无可扣押财产；即便管辖确立，域外送达动辄经年；即便作出缺席判决，在加害人财产所在地获得承认执行的概率亦趋近于零。阻断是盾而非剑，该诉权恰在最需要它的场景中无法运转。

这一限度是保护重心偏移的缩影。其一，重出境监管而轻出境后保护。随着《个人信息出境认证办法》2026年1月1日起施行，出境前的管制路径已趋完备；2026年7月1日起施行的《国务院关于对外投资的规定》又首次在行政法规层面将跨境数据流动纳入对外投资监管。然而，出境后的风险监测、召回、违约追偿与境外投诉处置仍近乎空白。其二，重国家数据安全而轻企业财产经营利益。一般经营数据未必构成商业秘密，被复制后原主体仍持有数据，传统损失难以证明，遂成“有经济价值但无请求权基础”的悬空状态。其三，重行政规制而轻私法救济。行政监管与反制不能当然恢复企业账户、数据控制与商业关系。三者实为同一逻辑的三面：立法者始终站在“防止数据危害安全”的立场，未系统地站到“帮助权益人恢复权益”的立场。

（三）理论供给不足与机制脱节

规范失衡的根源在于理论供给不足。属地管辖以物理连接点为前提，数据的分布式存储使前提落空；《‌中华人民共和国涉外民事关系法律适用法‌》第37条以物之所在地法确定动产物权准据法，对无唯一所在地的链上资产无从适用；私钥的技术控制与法律权属错位，冻结裁定即便作出亦难落地。更深的缺口在于请求权基础的缺失：返还请求权以占有为基础，侵权请求权以绝对权为前提，而数据与数字资产二者皆无。比较法上，美国以扩张管辖，欧盟以规则外溢延伸保护半径；保护能力由域外适用规则、执行支撑与国际协调网络三者构成，中国的短板在后两项——移植美式长臂管辖既承受合法性成本与报复风险，又缺乏美元清算体系那样的执行支点。

理论问题的落地障碍在于机制。主管机关认定外国措施构成不当域外管辖后，该认定能否作为民事诉讼的免责事由、企业能否据此获得补偿，均无下文；《条例》第六条虽为确需执行的企业设置了申请豁免通道，却未与《数据安全法》第36条的审批机制相衔接，《条例》第十九条又将数据安全事项交由专门法律法规调整，衔接规则于是悬空。企业合规义务与国家保护责任边界模糊，既造成企业过度期待，也造成国家介入的不可预期；数据领域双边司法协助安排匮乏，既有投资协定亦未将数据与数字资产纳入“受保护投资”。防御性管制范式以阻断为功能，以境内为场域，以国家安全为重心，自洽而封闭，破解之道在转换而非修补。

三、建构性保护的法理重构

上述问题并非可以逐条修补的技术缺陷，而是同一范式的产物：只要保护体系仍以阻断为功能，以境内为场域，以国家安全为唯一重心，规则的增设便只能加固防线，无从生成可主张、可执行的救济。因此重构须自法理入手：范式向何处转，以何种法益逻辑为内核，受何种原则与边界约束。

（一）范式转换的三个面向

防御性管制的逻辑是划界与阻断，成功标准是“守住”；建构性保护的逻辑是确权与救济，成功标准是“要回”。转换沿三个面向展开：目标上从单一安全导向转向安全与发展并重；方法上从单边阻断转向单边、双边与多边工具协同；主体上从国家中心转向国家、企业与行业组织协同——企业是第一责任主体，国家的角色在于制度供给与兜底保障而非结果担保，《条例》第十六条已为行业协会商会留出空间。

（二）多层次法益与合理保护义务

范式转换的理论内核，是从数据主权的单一逻辑转向多层次法益保护逻辑。海外数字利益至少含个人、企业、产业与国家四个法益层次，各有其隐私、经营财产、供应链与战略安全面向。统一纳入国家安全逻辑则弊病有二：安全资源有限，泛化动用将稀释对重大威胁的应对能力；商业纠纷一旦被安全化，反为东道国以对等为由设限提供口实。与此相应，国家保护应定位为“合理保护义务”而非结果保障：企业先行承担风险调查、合同安排与合规经营义务，国家则提供制度与公共服务、国别风险预警及外交与司法协助。唯当企业已尽合理注意，私法救济明显不足，且侵害具有歧视性、系统性或危及重大公共利益时，公共保护的介入才更具正当性。

（三）四项原则及其边界表达

四项原则各划定一重边界。真实联系原则解决“能否管”的问题：域外适用须以权益主体、行为或结果与中国之间真实、稳定的联系为连接点，这既是与长臂管辖划清界限的基础，也是国际可接受性的前提，《条例》第四条以“适当联系”所表达的正是同一立场。比例原则解决“管多少”的问题，其反面表达即三个“不得”：不得将企业商业风险国家化，不得以数字资产保护否定个人信息权益，不得将东道国正常监管一概认定为侵害。对等互惠原则解决“如何管外国”的问题：反制强度与范围以对方措施为参照。可执行性优先原则解决“管得了”的问题：无执行支点的规则只是象征性立法。

四、法治路径的三层构造

法理重构须落实为可操作的制度安排，否则仍止于主张。笔者建议，路径构建亦分三层：以私法救济回应请求权基础的缺失，以国家公共保护回应阻断有余而救济不足的情况，以国际规则协调回应执行支点与协调网络的短板。三者之间有明确的主次与先后关系。

（一）私法救济主线：企业尽责、确权与请求权体系

私法救济应成为基本路径，其起点是企业的自我保护。跨境数字合同应重点约定数据来源与控制权限、衍生数据的权益分配、算法模型与输出的归属、外国政府调取时的通知—异议—最小披露义务、合同终止后的数据返还删除与可携带安排；对平台以格式条款排除返还责任、任意关闭账户者，应强化司法审查。面对外国调取命令，企业宜遵循“合法性审查—冲突评估—法定报告—异议或豁免申请—最小必要披露—全程留痕”的流程，并由主管部门以合规指引确立。

私法救济的前提是确权。应在《中华人民共和国民法典》财产权体系内严格区分“禁止交易”与“否认财产属性”：境内对虚拟货币及代币化业务的禁止属于市场准入与金融秩序层面的管制，不应被解释为对相关资产财产属性的整体否定。若混同二者，经备案通道在境外合法持有的数字资产遭外国非法没收时，将因“国内不承认其财产属性”而丧失一切请求权基础。唯有承认其财产地位，返还与赔偿请求才有基础，对外交涉才有依据。还应明确，确认财产属性并不等于赋予交易合法性，境内禁止性监管政策的效力不受动摇。

在此基础上应按侵害类型构造请求权体系：对非法获取与使用数据，赋予停止处理、删除复制物与赔偿损失请求权；对平台违法关闭账户，赋予恢复访问、数据迁移与赔偿请求权；对算法模型与数据产品被窃用，遵循商业秘密与知识产权路径救济。金钱赔偿往往并非最优救济，恢复控制与保障迁移更为要紧。冲突法与程序法亦须跟进：准据法可借鉴国际统一私法协会《数字资产与私法原则》，确立意思自治优先、辅以最密切联系的规则；数据侵权不宜机械适用服务器所在地法，宜综合考量控制者所在地、主要处理活动地与主要损害发生地；程序上宜明确涉外数据案件的管辖，配套境外取证、行为保全与禁诉令。

（二）国家公共保护：从阻断闭环到分级介入

其一，出台《数据安全法》《中华人民共和国个人信息保护法》域外适用的司法解释。以真实联系为核心设置主体国籍、实际控制地与境内影响等连接点，使域外适用从宣示走向可用。

其二，打通《条例》第六条的豁免申请与《数据安全法》第36条的调取审批，形成“申报—审查—授权—免责”的统一闭环，并探索由国家出具法律冲突证明，明确企业善意遵守不可避免的外国强制命令时的责任减免，使其脱离“双重违法”的夹缝。

其三，将阻断反制闭环向境外救济延伸。以对等安排打通《条例》第十四条诉权在境外的管辖、送达与执行，并将《阻断办法》第十一条的“必要支持”具体化为可预期的补偿规则，使反制成本由国家与企业分担——欧盟阻断条例长期执行不畅，症结正在于成本几乎全部由企业承担。

其四，确立分级介入标准。一般商业纠纷交由企业协商、诉讼或仲裁解决；当外国措施具有明显歧视性、涉及大规模中国主体权益或关键数据与核心技术时，依风险等级递次采取信息服务、行政协调、领事协助、司法合作、外交交涉直至阻断反制。该标准宜以部门规章公布，并配套跨部门风险监测预警与政企信息通报机制。

（三）国际规则协调：构建可执行的保护网络

双边层面，推动数据跨境流动安排与司法协助条约的现代化，以合作调取替代单边调取，并就跨境犯罪资产的返还与分享形成规则。区域与多边层面，在《数字经济伙伴关系协定》（DEPA）加入谈判与《全面与进步跨太平洋伙伴关系协定》（CPTPP）对接中经营数字条款策略。推动《全球数据安全倡议》从政治宣示向可执行规则转化。投资保护层面，在双边投资协定与自贸协定中明确数据与数字资产构成“受保护投资”，写入禁止歧视性强制剥夺、政府调取须符合合法性与必要性并具备程序保障的条款。以上措施的目标不是排除东道国的合理监管，而是限制任意、歧视与不成比例的数据措施。中国香港已为法币稳定币建立发牌制度并以“LEAP”框架统一监管数字资产，可依托其牌照体系搭建内地与中国香港之间确权、托管与争议解决的“制度接口”，借“一国两制”优势对接国际规则。

私法救济、国家保护与国际协调由此构成“主线—保障—支撑”的结构：国内法承认的权益方能成为条约保护的客体，条约标准又反过来强化国内救济的可信度。

数字时代海外利益保护的根本变化，在于保护对象从稳定、有形、属地化的财产，转向流动、无形、平台化与多重管辖的数据利益与数字资产。现行制度的主要问题并非监管不足，而是防御与保护的失衡：中国已初步建成以阻断与反制为内核的“反域外管辖”体系，却尚未建成以确权与救济为内核的“海外数据利益保护”体系。为此须完成三项转型：从抽象所有权争论转向具体权益束的确认，从单一行政规制转向公私法与国际法的协同，从国家事后介入转向企业预防、私法救济、国家保障与国际合作的结合。随着生成式人工智能扩散，训练数据跨境流动、模型参数域外保护与算力资产争议将带来新的客体形态，“合法数字利益”框架可为这一前沿提供起点。