数字革命撞上法律高墙：从“代码即法律”到“法律驯服代码”

1996年2月8日，约翰·佩里·巴洛（John Perry Barlow）站在虚拟的国会山前，以诗意的语言发布了《网络空间独立宣言》（A Declaration of the Independence of Cyberspace），宣称：“我们正在创造一个世界：你们（ Governments of the Industrial World）不能进入，也不得进入的世界。……网络空间是无国界的。”这一宣言浓缩了互联网早期的乌托邦梦想：一个由代码自治、超越物理主权、自由开放的数字新大陆。然而，历史总爱开玩笑。不到四分之一世纪，巴洛笔下“不受物理权力约束”的数字疆域，已被法律的长臂、平台的铁腕和国家的利剑切割得支离破碎。曾经被视为“代码即法律”（code is law）的自治神话，如今正经历“法律驯服代码”（law taming code）的残酷现实。为什么数字空间的无国界梦想，撞上了法律有主权的现实高墙？这场碰撞如何重塑我们的权利认知？本章将穿越互联网乌托邦的幻灭现场，以“长臂管辖”和“平台封禁总统”等标志性事件为棱镜，折射出数字时代法律与代码之间永不停歇的动态博弈，为全书奠定“法律与代码持续对话”的基调。

互联网乌托邦的黄金时代：当代码成为 sovereign {#utopia-era}

20世纪90年代，互联网从学术网络走向大众视野，伴随着一种近乎狂热的乐观主义。技术精英、黑客和理想主义者们相信，他们正在建造一个全新的社会形态——赛博空间（cyberspace），这里没有政府的压迫、没有 borders、没有传统法律的束缚，一切由透明的技术规则（即代码）治理。这种信念的核心是“代码即法律”：技术架构本身决定了数字世界中什么是可能的、什么被禁止，它比任何成文法更高效、更中立，因为它内嵌于系统之中，自动执行。

巴洛的《网络空间独立宣言》是这一思潮的巅峰之作。他写道：“在互联网上，我们（公民）正在建立一个全新的社会契约，它不受你们（工业世界政府）的旧法律约束。”他 envisioned 一个由“共识”和“技术协议”维系的共同体，其中言论自由、隐私和匿名是默认状态，因为代码设计使其成为可能。例如，加密技术（如PGP）让通信无法被窃听，开源协议（如早期TCP/IP）让网络去中心化，避免单点控制。这种技术决定论的乐观，忽略了代码本身也是人类设计的产物，必然反映设计者的价值观、商业利益甚至政治倾向。

这一时期的重要理论奠基来自哈佛法学院教授劳伦斯·莱西格（Lawrence Lessig）。1999年，他出版《代码及其他网络空间法律》（*Code and Other Laws of Cyberspace*），系统阐述了“代码即法律”的概念。莱西格指出，网络空间的规制并非缺失，而是以代码形式存在。代码像建筑的结构一样，规定了你能走进哪个房间、能否看到窗外——它“规制”行为，且往往比法律更隐形、更强大。例如，一个电子商务网站的设计（代码）决定了你是否能匿名购物、你的数据是否被追踪；一个社交平台的算法（代码）决定了谁能看到你的帖子。莱西格警告，如果代码由私营公司控制，而缺乏民主问责，数字空间可能变成“数字专制”，由少数技术精英 silent 统治。

然而，早期的乌托邦主义者往往选择性忽略了莱西格的警告。他们沉浸在技术能自动带来自由的迷思中，认为互联网的“本质”就是自由、开放、无国界。这种心态部分源于互联网的军事和学术起源：ARPANET设计时强调去中心化和抗毁性，本意是避免单点故障，而非政治自由。但文化挪用使其被赋予了解放意义。1993年《连线》杂志封面故事“赛博空间独立”将这种情绪推向高潮，吸引了大量投资和用户涌入。

数据印证了这种狂热：全球互联网用户从1995年的约1600万[^1]飙升至2000年的4亿以上[^2]，.com域名注册如爆炸式增长。 dot-com 泡沫背后，是市场相信一个没有法律摩擦的全球市场即将诞生。风险投资家们谈论“摩擦less commerce”，认为传统法律（如合同法、消费者保护法）在数字世界冗余，因为智能合约和 reputational systems 会自动执行正义。这种信念在“硅谷意识形态”中根深蒂固：技术解决一切，监管只会扼杀创新。

但乌托邦的基石从一开始就存在裂缝。代码并非中立，它早已被商业利益和国家安全需求悄悄“驯化”。1996年，美国国会通过《通信规范法》（Communications Decency Act, CDA），试图将部分色情内容从网络屏蔽，尽管其大部分条款在1997年被最高法院以违反第一修正案为由推翻（*Reno v. ACLU*），但这标志着政府首次大规模尝试用传统法律规制网络内容。CDA的失败并未阻止后续立法，如1998年《儿童在线隐私保护法》（COPPA）强制网站保护儿童数据，显示法律主权正在寻找切入点。

更早的迹象来自国际冲突。1999年，法国消费者团体起诉雅虎（Yahoo!），指控其美国网站允许出售纳粹纪念品，违反法国法律（禁止展示纳粹物品）。2000年，法国法院命令雅虎采取措施阻止法国用户访问相关拍卖，否则每日罚款。雅虎美国总部抗辩，声称法国法院无管辖权，但最终在压力下部分妥协。此案（*LICRA v. Yahoo!*）成为经典：它揭示了即使服务器在美国、公司在美国，只要网站可被法国用户访问，法国法律就可能“长臂”触及。技术上的“无国界”遭遇了法律上的“有主权”。雅虎案不是终点，而是序曲——它证明数字空间并非法律真空，而是主权争夺的新战场。

乌托邦的黄金时代在2000年互联网泡沫破裂时遭遇第一次现实冲击。投资者发现，没有法律框架，跨境交易、知识产权保护、消费者 dispute 解决成本极高。市场自发需要规则，而规则往往以平台条款（Terms of Service）形式出现，这些私人制定的代码规则，实际上扮演了“法律”角色，但缺乏透明度和制衡。例如，早期eBay的纠纷解决机制、亚马逊的评论政策，都是私营立法。这引出一个悖论：逃避政府法律的结果，是创造了更不民主的私人权力。代码作为法律，但它的立法者不是民选代表，而是工程师和产品经理。

至此，“代码即法律”的理想，已从解放叙事滑向权力分析。数字空间从未真正脱离物理世界的法律高墙，只是法律以更复杂、更隐蔽的方式渗透其中。而真正让乌托邦幻灭的，是21世纪几个标志性事件：法律主权的全面进攻（长臂管辖）和平台权力的惊人暴露（封禁总统）。它们共同宣告：代码必须受法律规制，而法律也在被代码重新定义。

长臂管辖的利剑：法律如何跨越数字边界 {#long-arm-jurisdiction}

如果雅虎案是法律长臂的初次试探，那么进入21世纪，尤其是2010年代后，长臂管辖已成为数字时代的 standard weapon。传统长臂管辖（long-arm jurisdiction）指一国法院基于“最低联系”（minimum contacts）原则对外国被告行使管辖权，源于美国国际鞋业公司案（*International Shoe Co. v. Washington*）。数字时代，数据跨境流动使“联系”无处不在：一家爱尔兰注册的公司，其网站可被美国用户访问，其服务器可能存储在美国，其广告收入来自全球——这足够构成美国法院管辖的“最低联系”吗？美国司法实践回答：是的，而且越来越 aggressive。

美国《云法案》：数据存储地的终结

2018年，美国通过《澄清域外合法使用数据法案》（Clarifying Lawful Overseas Use of Data Act，简称《云法案》），彻底改变了游戏规则。此前，美国执法机构调取境外数据需通过 Mutual Legal Assistance Treaties（MLAT），过程冗长（平均需10个月以上）。2014年微软拒绝提供存储在爱尔兰服务器上的邮件，与美国政府对抗，案件*Microsoft Corp. v. United States*上诉至最高法院，但国会通过《云法案》使案件 moot。新法授权美国执法机构根据美国法律（如《存储通信法》）直接要求任何美国公司（无论数据存储地）提供客户数据，只要该公司“受美国控制”（controlled by United States）。同时，它允许美国与“合格外国政府”签订协议，相互直接调取数据。

《云法案》的核心逻辑是：管辖权基于公司注册地或总部所在地，而非数据物理位置。这实质上将美国法律效力扩展到全球任何使用美国公司服务的用户。例如，一个德国公民使用谷歌Gmail，其邮件即使全存储在德国数据中心，谷歌（美国公司）仍可能被要求向美国FBI提供。这引发了欧盟的强烈反弹，认为它侵犯欧盟数据保护法（GDPR）和基本权利。欧盟随后推动“数据主权”，要求欧盟公民数据存储在欧盟境内（数据本地化），并限制向美国等“不充分保护水平”国家传输数据。一场数据冷战悄然上演。

数据支撑：根据电子前沿基金会（EFF）报告，2016-2020年间，美国政府通过《存储通信法》向科技公司发出的用户数据请求数量年均增长超过20%[^3]。微软2020年透明度报告显示，其收到的美国执法数据请求中，约40%涉及非美国用户数据[^4]。这凸显了长臂管辖的域外影响。

欧盟GDPR：权利保护主义的全球扩张

美国从执法便利出发扩张管辖权，欧盟则从基本权利出发，构建了同样具有域外效力的 GDPR（《通用数据保护条例》）。GDPR第3条规定，只要满足以下条件之一，即适用：① 在欧盟境内设立机构处理数据；② 不在欧盟设立，但向欧盟境内数据主体提供商品或服务（无论免费），或监控其在欧盟的行为。后者是“靶向条款”——它不要求公司有实体存在，只要求其“意图”服务欧盟用户。例如，一家中国电商网站有英文界面、接受欧元支付、向欧盟发货，即落入GDPR管辖，无论其服务器在何处。

GDPR的域外效力在2018年生效后立即显现。首个重大案例是2019年法国数据保护局（CNIL）对谷歌罚款5000万欧元，理由是谷歌向欧盟用户提供个性化广告时未充分告知和获得有效同意。谷歌上诉，但法国法院维持罚款。此案确立了GDPR可追诉任何向欧盟用户提供服务的公司，即使其欧洲实体仅负责销售。随后，爱尔兰DPC（因谷歌欧洲总部在爱尔兰）对谷歌和Facebook展开调查，涉及跨大西洋数据传输。2020年，欧盟法院在“Schrems II”案中 invalidated 隐私盾框架（允许美欧数据流动的协议），要求欧盟企业向美国传输数据时采取补充措施，否则违法。这迫使全球公司重新评估数据架构：要么将欧盟数据存储在欧盟，要么确保美国法律保护达到欧盟标准（几乎不可能）。

GDPR的罚款力度惊人：最高可达全球年营业额的4%或2000万欧元（较高者）。2021年，亚马逊因GDPR违规被卢森堡监管机构罚款7.46亿欧元，创纪录。这些罚款不区分公司所在地，只要业务触达欧盟即适用。结果，GDPR事实上成为全球数据保护的“标杆”，许多国家（如巴西、日本、韩国）立法时参考其条款。这被欧盟视为“布鲁塞尔效应”——通过市场力量将欧盟规则 export。

但长臂管辖也引发冲突。美国《云法案》与GDPR在跨境数据调取上直接碰撞：美国要求公司提供数据，可能违反GDPR对向第三国传输的限制。解决方案是“冲突条款”：美国公司若依《云法案》提供数据，可能同时违反GDPR，面临欧盟罚款。企业陷入两难：违抗美国可能被 contempt of court，违抗欧盟可能被巨额罚款。2020年，美国司法部起诉爱尔兰法院，试图阻止其阻止Facebook向美国传输数据（*United States v. Facebook, Inc.*），显示司法对抗升级。

对全球科技公司的冲击：割据式合规

长臂管辖的现实，迫使跨国公司实行“割据式合规”（patchwork compliance）——根据不同司法管辖区定制规则。例如，Meta（Facebook母公司）在全球运营，但必须为欧盟用户启用GDPR强化的隐私设置（如更清晰的同意弹窗、数据可携权），为美国用户遵守相对宽松的加州消费者隐私法（CCPA），为中国用户遵守网络安全法要求的数据本地化和内容审核。同一功能（如广告个性化）在不同地区有不同实现，工程师需编写 region-specific 代码。这大幅增加开发成本，也导致用户体验碎片化。

长臂管辖还催生“监管套利”：公司可能将敏感业务放在监管较松地区。例如，一些AI训练数据存储在东南亚，以规避欧盟对数据使用的严格限制。但《云法案》和GDPR的域外效力使这种套利越来越难。最终，许多公司选择“就高不就低”——

（接上文）

**“最低联系”的数字化重定义：从物理存在到虚拟足迹**

传统“最低联系”原则在数字时代面临根本性挑战。在*International Shoe*案中，法院要求被告必须有意“利用”法院地市场，并预见可能在此被诉。但一家外国网站仅仅可被本地用户访问，是否算“有意利用”？早期判例如1997年*Zippo Manufacturing Co. v. Zippo Dot Com, Inc.* 案提出了著名的“滑动标尺”（sliding scale）测试：网站越“互动”（如允许交易、用户生成内容），越可能构成管辖依据；纯信息网站则较难。但“互动”的界限在Web 2.0时代变得模糊——几乎所有网站都有评论、登录或个性化功能。

2010年代后，法院越来越倾向扩大管辖。在*Gucci America, Inc. v. Duan*（2015）案中，中国网站销售假冒Gucci商品，尽管无美国实体、服务器在中国，但法院认为其通过互联网“主动”向美国销售，构成足够联系。类似地，在*Alpine Investments BV v. Ministry of Finance*（欧盟法院，2015），欧盟法院认定一家荷兰公司通过网站向比利时投资者提供金融建议，即使公司未在比利时设点，也受比利时监管。这些判决显示，全球性商业活动本身即被视为“最低联系”的充分证据。

更激进的是“效果原则”（effects doctrine）：如果外国行为在本国产生“实质性效果”，即可管辖。这在反垄断和网络安全领域尤为常见。美国在*United States v. Alcoa*（1945）首次使用，但数字时代被扩大。2014年，美国司法部起诉中国公司新疆安信美德（前身为天合光能）窃取美国公司太阳能技术商业秘密，尽管部分行为发生在中国，但因损害美国企业，美国法院行使管辖。这为“数字间谍”和“数据窃取”案件提供了模板。

**数据本地化：法律主权的物理堡垒**

面对长臂管辖，各国反击的利器是数据本地化（data localization）——强制要求特定数据存储在境内。这不仅是隐私保护，更是主权宣示：数据是新时代的石油，必须控制在国境内。

俄罗斯是激进先驱。2014年《数据本地化法》要求所有涉及俄罗斯公民的个人数据必须存储在俄罗斯服务器。2015年，LinkedIn因拒绝将俄罗斯用户数据迁至本地服务器被俄罗斯法院封锁。中国《网络安全法》（2017）和《数据安全法》（2021）构建了复杂的数据分类分级体系：关键信息基础设施运营者（CIIO）必须将个人信息和重要数据存储在境内；重要数据出境需安全评估。这实际创建了“中国数据圈”，与美国云服务商形成隔离。

欧盟虽未全面本地化，但通过GDPR变相推动。GDPR允许数据跨境仅当目的地提供“充分保护水平”（如日本、韩国等被认定充分），或采取约束性 corporate rules（BCRs）或标准合同条款（SCCs）。但Schrems II案后，SCCs因美国法律（如《云法案》）可能被美国政府访问数据而受质疑，企业被迫使用“补充措施”（如端到端加密），实际上增加了在欧盟境内存储的激励。

印度、越南、印尼等国也相继推出数据本地化要求，理由包括国家安全、执法便利和本土产业发展。据联合国贸发会议（UNCTAD）统计，2023年全球有超过60个国家实施某种形式的数据本地化，较2015年增长三倍[^5]。这形成了“数据 Balkanization”风险，增加全球数字贸易成本，但也催生了本地云服务市场（如俄罗斯的Yandex Cloud、中国的阿里云）。

**长臂管辖的代价与反制：一场没有硝烟的贸易战**

长臂管辖不仅是法律工具，更是经济武器。美国利用其科技巨头和金融体系的全球 dominance，将法律作为制裁手段。最典型的是“次级制裁”（secondary sanctions）：即使交易不涉及美国，只要使用美元结算或通过美国系统，就可能被美国切断。2018年，美国以违反制裁为由，要求汇丰银行移交华为财务总监孟晚舟资料（后经加拿大引渡案），并禁止美国公司向华为出口芯片，导致华为手机业务萎缩。这展示了法律如何直接干预全球供应链。

欧盟的反制武器是“阻断法案”（blocking statute）。1996年，为对抗美国对伊朗、利比亚的域外制裁，欧盟通过《阻断法案》，禁止欧盟公司遵守美国域外制裁，并允许欧盟公司索赔因美国制裁遭受的损失。2018年，欧盟重启该法案应对美国退出伊朗核协议后的制裁。但欧盟执行乏力，因担心违抗美国而失去市场，实际效果有限。

更直接的是罚款对抗。2021年，欧盟对苹果应用商店规则调查，可能罚款数百亿；美国司法部对谷歌搜索垄断诉讼，可能要求 divestiture。这些案件不仅是反垄断，更是争夺数字市场规则制定权。长臂管辖在此演变为“规则输出战”：谁能将本国规则强加于全球平台，谁就主导未来数字经济。

平台权力的觉醒：当代码成为 gatekeeper 与 executioner {#platform-power}

如果说长臂管辖是国家对数字空间的“外力入侵”，那么平台权力的崛起则是数字空间内部自生的“利维坦”。早期互联网的“去中心化”神话在平台化（platformization）过程中破灭。Facebook、Google、Twitter、亚马逊等平台成为用户进入数字世界的 gatekeeper，控制信息流通、商业机会甚至政治表达。它们的规则——即代码——成为实际法律，而“封禁总统”事件将其权力暴露无遗。

**从《通信规范法》第230条到“世界最危险推特用户”**

美国平台权力的法律基石是1996年《通信规范法》第230条（Section 230），其核心是：① 平台不视为信息发布者（publisher），对用户内容不承担侵权责任（除非明知且未移除）；② 平台可善意删除“冒犯性”内容而不失免责。这一条款被广泛视为互联网的“自由基石”，它允许平台大规模托管用户内容而免于诉讼，促进了UGC（用户生成内容）爆炸式增长。但230条也给了平台几乎不受约束的 content moderation 权力——它们可以以任何理由（或无理由）删除内容、封禁账户，且几乎不受司法审查，因为这是“私营行为”，不涉及第一修正案（仅约束政府）。

这一保护伞在2021年1月6日国会山骚乱后遭遇最严峻考验。特朗普作为在任总统，长期使用Twitter发表争议言论，平台此前仅有限标记（如“事实核查”标签）。但骚乱后，Twitter以“进一步煽动暴力风险”为由，永久封禁其@realD