从法律角度解读‘沐雨柔案’：跨境取证与平台责任

引言

近年来，随着数字经济的全球化发展，跨境数据流动与网络平台责任问题日益成为法律实务中的焦点。“沐雨柔案”作为一起引发广泛关注的典型案例，不仅涉及个人信息保护与网络侵权的实体争议，更在程序法层面提出了跨境取证与平台法律责任认定的双重难题。本文将从法律视角系统剖析该案的取证困境与平台责任边界，以期为类似案件的司法实践提供参考。

案件背景与法律争议焦点

“沐雨柔案”的核心事实为：原告沐雨柔（化名）指控某境外社交媒体平台（以下简称“平台”）未经其同意，将用户生成的含有人脸信息的照片传输至境外服务器，并用于算法训练，导致其隐私权与肖像权受损。原告通过国内法院提起诉讼，要求平台承担侵权责任，并请求法院调取存储在境外的后台数据作为证据。然而，平台以“数据存储于境外服务器”为由，主张中国法院无管辖权且跨境取证程序复杂，拒绝提供相关日志。

该案暴露出三大法律争议：第一，中国法院对境外平台的属地管辖权如何认定？第二，跨境电子数据的取证应遵循何种法律程序？第三，平台对于用户数据的保护责任是否延伸至域外传输环节？这些问题的回答直接关涉数字时代权利的周延保护。

跨境取证的法律框架与困境

国际司法协助的既有路径

跨境取证的传统方式主要依赖于《海牙取证公约》或双边司法协助条约。根据公约，请求国需通过中央机关提交请求书，由被请求国法院执行取证。然而，该程序耗时漫长且成本高昂，对于电子数据这类易灭失、易篡改的证据而言，往往难以满足诉讼的及时性要求。在“沐雨柔案”中，平台运营主体位于美国，而数据可能存储在爱尔兰或新加坡的服务器，若完全依赖公约途径，证据可能被覆盖或删除，导致原告举证不能。

我国法律的特殊规定：直接取证的突破与限制

为应对数字经济时代的挑战，我国最高人民法院于2016年颁布了《关于互联网法院审理案件若干问题的规定》，其中第11条首次明确：“当事人通过电子商务平台签订或者履行电子合同，其以电子数据形式提交的证据，互联网法院应当采信。”但该条款仅适用于电子合同，未涵盖侵权类证据。此后，2020年《关于民事诉讼证据的若干规定》进一步细化了电子数据的审查规则，但跨境取证的“属地壁垒”仍未根本解决。

值得关注的是，我国《数据安全法》第36条建立了“数据出境安全评估”制度，要求核心数据的出境必须经过国家网信部门评估。若原告要求平台将境外服务器中的数据直接传输至中国法院，这项行为本身即可能构成数据出境，需要履行安全评估程序——这在实践中几乎无法在诉讼周期内完成。

跨境取证中的“中间人”困境

平台作为数据的控制者，通常处于“上下两难”的境地：一边是中国法院的取证令，一边是境外法律（如欧盟GDPR、美国云法案）对数据出境的严格限制。例如，若平台将存储于欧盟的用户数据提供给中国法院，可能违反GDPR第44条关于个人数据向第三国转移的禁止性规定，面临巨额罚款。这种“法律冲撞”使得平台宁可抵制中国法院的取证要求，也不愿承担双重违法风险。

平台责任的法律认定与边界

通知-删除规则在跨境场景下的适用性

我国《民法典》第1194条及《电子商务法》第42条确立了网络服务提供者的“避风港原则”（通知-删除规则）。在“沐雨柔案”中，原告曾向平台发送侵权通知，要求删除涉事照片。平台虽在收到通知后24小时内删除了链接，但辩称：数据已先期传输至境外服务器进行训练，删除仅针对公开展示内容，不涉及后端训练集。

法院在审理中需要回答：平台有无义务删除已用于算法训练的后台数据？从文义解释看，《民法典》第1195条规定的“采取必要措施”是否包含“要求算法回退”或“从训练数据集中删除”？目前司法实践倾向于认为，只要平台已尽到合理的技术删除义务（如断开链接、屏蔽访问），即不构成继续侵权。但对于利用数据进行再加工的模型，若数据已成为模型参数的一部分，实际上不可逆删除，此时平台是否需承担数据治理不力的责任？尚存争议。

平台作为“数据处理者”的域外保护义务

根据《个人信息保护法》第38条，个人信息处理者向境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估、经专业机构认证、按照标准合同与境外接收方约定权利义务等。在“沐雨柔案”中，平台既未进行安全评估，也未与用户签订数据出境协议，直接传输出境，属于违法数据处理行为。

平台抗辩称：其用户协议中已包含“数据可能传输至全球服务器”的概括性条款，且用户注册时点击同意，即构成知情同意。但《个人信息保护法》第14条要求“在充分知情的前提下自愿、明确作出同意”，这种一揽子条款往往被认定为无效。法院最终认定平台未尽到充分告知义务，需承担违法处理个人信息的行政与民事责任。

算法黑箱下的举证责任分配

该案的特殊性在于：用户无法证明自己的照片确实被用于算法训练，因为模型的内部逻辑是不透明的。此时应当适用《个人信息保护法》第69条：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担侵权责任。”该条确立了过错推定原则，举证责任倒置。因此，平台若无法提供其未将照片用于训练的证据（如系统日志、审计记录），则应承担不利后果。

域外证据的采信规则与实务

证据形式的多样性要求

域外电子数据通常表现为服务器日志、IP地址记录、API调用记录等形式。根据《关于民事诉讼证据的若干规定》第15条，域外形成的证据应当经所在国公证机关证明，或者履行我国与该国订立的有关条约中规定的证明手续。但对于电子数据这种可远程获取的证据，是否仍需公证认证？实务中存在分歧。

在“沐雨柔案”中，原告尝试通过技术手段直接抓取平台公开的API返回数据，并申请了时间戳认证。法院经审查认为：虽然该证据未经过域外公认证，但因其来自于平台公开接口且已通过区块链存证，符合《最高人民法院关于互联网法院审理案件若干问题的规定》第11条中“通过可信时间戳、哈希值校验等证据收集、固定和防篡改技术手段能够证明其真实性的”情形，予以采信。这标志着我国法院对技术自证证据的开放态度。

举证妨碍规则的适用

当平台无正当理由拒绝提供境外存储的关键证据时，法院可依据《民事诉讼法》第114条认定其构成举证妨碍，从而推定原告主张成立。在“沐雨柔案”一审中，平台仅提交了部分脱敏后的日志，未能提供完整的数据流转链条。法院据此作出对平台不利的推定，确认其存在违法传输行为。这一裁判思路有效解决了跨境取证的僵局，但也引发了对程序正义的担忧：若平台确实因境外法律障碍无法提供，法院的推定是否过于严苛？

对我国跨境数据治理的启示

完善跨境取证的双边/多边合作机制

“沐雨柔案”暴露出传统司法协助机制的滞后性。建议我国积极推动与主要数据存储国（如美国、欧盟成员国）签订专门的电子数据取证双边协定，明确数据请求的快速通道与豁免条件。例如，可以参照美国《澄清境外合法使用数据法案》（CLOUD Act）中的“服务提供商直接向外国政府提供数据”机制，但需附加严格的用户权利保障条款。

细化平台数据出境的合规标准

当前我国《数据出境安全评估办法》仅适用于“重要数据”和“个人信息达到一定量级”，而“沐雨柔案”中涉及的单一用户照片是否达到申报门槛？实践中存在模糊地带。建议国家网信部门出台更具体的分类分级指南，明确日常用户生成内容（如照片、评论）在何种情况下需启动安全评估，避免平台与用户都处于不确定状态。

推动技术中立与平台责任的协调

法院在认定平台责任时，应区分“数据控制者”与“算法服务提供者”的不同角色。当平台仅提供存储和传输通道，而未主动利用数据进行算法训练时，不应承担过重的审核义务；反之，若平台将数据用于商业化开发，则必须落实从收集到删除的全生命周期合规。此外，可引入“数据影响评估”制度，要求平台在部署算法前评估对用户权益的潜在影响，并留存相关记录以备司法核查。

结语

“沐雨柔案”不仅是一起普通的网络侵权纠纷，更是数字时代法律如何回应技术发展的缩影。该案从程序与实体两个维度，提出了跨境取证制度变革与平台责任重构的迫切需求。唯有通过完善法律法规、强化国际合作、引入技术自证机制，才能在保护个人权益与促进数据流通之间取得动态平衡。对于法律从业者而言，该案也提示我们：在全球化与数字化的交织中，传统“属地主权”思维亟需让位于“数据主权与个人权利并重”的新范式。

未来，随着《国际刑事司法协助法》的修订以及《数据跨境流动安全评估指南》的细化，我们有理由期待一个更加清晰、高效的跨境取证与平台责任法律体系。