大数据时代,随着云计算、5G技术的发展和智能通讯设备的普及,“互联网+”商业模式深入全球各个产业,各国开始面临现行立法难以适应数字经济发展的规制难题。无论是国家间的政治博弈,还是数据企业的对外布局和发展,亦或是个人线上购物,都不可避免地存在个人数据的跨境传输需求,个人数据跨境流动越发高频、数据异地处理越发便捷,个人数据权益和国家数据安全面临着严峻的威胁,亟需各国数据保护立法对此进行有效的管辖和规范。一国法律的地域适用范围一般以主权国家的地理疆域为限,当受本国法规制的主体、标的等要素本身溢出了法律意义上的国家管辖范围,域外管辖规则为保障国家主权权力的实现应运而生。由于个人数据跨境流动的虚拟性、无界性、复杂性,数据主体和数据控制者之间的权益冲突加剧、公权力部门的跨国监控侵犯个人隐私、“数据本地化”政策阻碍个人数据的自由流动,全球性的个人数据跨境争议频发,传统管辖原则显得水土不服。这些问题促使各国进行域外数据管辖以加强对国内数据主体的保护、维护国家数据主权,从而更有效地促进个人数据的共享与流动。在实践过程中,各国为改变传统管辖规定无法有效保护公民数据权利和国家安全的窘境,充分发展现有国际管辖权理论的内涵与外延,逐渐在本国数据保护立法中确立了域外管辖权规则。通过“设立机构标准”、“目标意图标准”、“数据控制者标准”等巧妙立法设计所发展出的域外数据管辖权,本国数据保护立法对个人数据处理行为的管辖范围得到极大扩展。依据“设立机构标准”,只要数据控制者或者处理者在欧盟境内设立了机构,那么欧盟法就可以管辖其在设立机构经营活动的场景下所实施的任何个人数据处理行为,即允许成员国管辖境内机构的境外数据处理活动,明确了GDPR的域外管辖边界。“目标意图标准”利用个人数据跨境活动对本国境内数据主体已经或将要产生一定影响这一特性,引入效果原则实现对境外数据控制者的域外管辖,此后英国、巴西、日本、中国等国家也都纷纷效仿。但该标准的广泛采用容易引起各国管辖权的冲突,难以达成有效的海外司法合作和执行机制,数据主体的权利保障难以在域外得到真正实现。具有技术优势的美国在微软案中意识到“数据存储地标准”的缺陷,通过云法案明确“数据控制者标准”的适用,加重数据控制者的法律义务,将调取国内数据企业存储于境外的个人数据合法化,此种境内外数据管辖的非对等标准招致诸多不尊重国家主权平等的质疑,加剧了国家间法律管辖权的冲突。各国扩大管辖范围的数据保护立法如火如荼地进行,为维护我国数据主权,形成并完善符合我国国情的个人数据跨境流动规制体系势在必行。2021年11月1日,《中华人民共和国个人信息保护法》正式生效,以个人数据处理活动是否发生在我国境内为依据,引入效果原则建立起具有我国特色的域外数据管辖权制度,但其仍具有适用上的不确定性,尚未在司法实践中真正落地施行,难以形成有效的法律抗衡。本文从比较法角度分析主要域外管辖标准的优劣,结合我国国情,提出完善我国个人数据跨境流动域外管辖规则的建议。就地域管辖范围条款而言,我国应增强对“目标意图标准”的释明,弱化对“信息处理活动发生地”的审查,借鉴GDPR引入“设立机构”能使我国《个人信息保护法》域外管辖的边界更加明晰,以增强法律适用的确定性;执法实践中我国应注意域外管辖权行使的尺度,认可实质联系原则限制下他国域外管辖权的行使能更好地缓解各国之间的管辖权冲突。此外,我国应重视国际合作,共同努力构建数据跨境流动领域统一长效的国际规则,通过与其他主权国家签订有关数据的司法协助条约建立起数据执法领域的互通互信机制,为全球数字治理贡献中国方案。