“数据主权”一词随着互联网的发展逐步得到各国重视，当前新一代信息技术快速应用，数据迅速成为兼具商业、社会与战略价值的关键资源，成为国际政治经济战略竞争中的重要变量，各国纷纷将网络主权的关注焦点延伸至数据领域，“数据主权”由此成为数字时代的重要国际话语之一。物联网的发展，极大地扩大了数据获取的范围，尤其是物联网终端设备分布在全球各个国家和地区，通过大数据、云计算等技术对相关数据进行管理和处理，促使数据主权问题日趋紧迫。物联网发展带来的不仅仅是技术、工程和商业模式的变革，还显著挑战了传统数据治理模式，是各国在设计数据主权制度时重点考虑的一个因素。

物联网发展带来数据治理的特殊性

主权是一个政治和法律范畴的术语，但随着技术的发展，其内涵不断扩展。例如，在数百年前，造船技术和航海技术的发展，让主权疆域跨出自身领土范围；航空航天技术发展，使主权疆域扩大到领空和太空中，形成新的主权争夺范围。随着新一代信息技术发展，尤其是人工智能、大数据、云计算、物联网等技术普及，虚拟的数据成为主权争夺的新领域。

在新一代信息技术影响下，“主权”的的边境不再是物理国界或口岸，还有大量虚拟的网络连接点。数据主权的边界呈现出多重交织、动态流变的形态，难以如界碑或围墙般清晰标示。判断标准趋向“实质重于形式”，需综合考量数据接收方的国籍、所在地、设备位置、数据存储地、处理实体的法律归属、员工国籍，以及数据是否可被境外访问及其权限范围等因素。数据主权边界灵活多变，随着国家战略目标与技术掌控能力的变化而不断被调整。如我国《数据出境安全评估申报指南》规定，数据出境不仅指数据被直接传输至境外，还包括“数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出”等情形。再如，欧盟GDPR中的“边界”也是由数据主体（即欧盟公民）的所在地和数据处理活动的位置来定义。

《环球法律评论》杂志2025年第4期发表文章《数据主权的博弈与理论重构》中提出，数据主权的实施原则是各国行使数据主权的基础，也是全球数据治理博弈的核心领域，并总结出四方面原则，即数据所在地原则、效果原则、行为发生地原则和数据控制者原则，由于各国在数据治理目标、经济利益和安全需求上的差异，这些原则在实际应用中引发了广泛的分歧与博弈，加剧了全球数据治理的碎片化。

对照数据主权相关理论，基于物联网的数据主权可以说是在物联网环境下，对数据（包括数据的生成、采集、传输、存储、处理及使用）的归属、控制权、管辖权及合规管理权。由于物联网数据具有海量、跨地域、多主体（包括设备、平台、用户、企业）等特征，数据主权问题变得极为复杂，涉及法律、技术、商业和治理等多个维度。

物联网环境下数据治理的特殊性包括：

一是数据归属争议，因为物联网数据由终端设备或传感器生成，但由于这些终端涉及多个主体，包括设备所有者、数据收集者（平台）、数据使用者（企业）及最终用户。目前尚无统一的物联网数据所有权模型，业界普遍倾向于数据生成者（如设备所有者或用户）拥有数据的归属原则，但实际中常受限于商业协议与平台条款。

二是管辖权与合规边界的争议，这是由于物联网数据常跨越多个司法管辖区，如物联网产品出海会形成一定程度的跨境云存储，不同国家的数据本地化法规和跨境数据流动限制，使得数据主权的法律适用和管辖权界定面临挑战。

三是网络主权与传输主权争议，这方面主要伴随着物理AI的发展，如联网汽车、机器人的跨国移动，数据在传输过程中网络层的合规与主权问题日益凸显，需协调不同国家的网络运营商和基础设施。

因此，物联网环境下数据主权面临一系列挑战，包括监管环境演变，即各国数据法规收集，例如数据本地化、隐私保护要求趋严，企业需应对不同司法辖区的合规要求，隐性跨境数据传输（如云备份、容灾）易引发合规风险；数据跨境与流动存在明显的风险，主要表现在数据在终端、网关、云平台间流转，云服务商的跨区域数据备份、第三方服务商的跨境业务，使得部分企业无法准确掌握数据流动的路径；另外，数据价值与利益分配机制尚不清晰，数据作为战略资产，各参与方对数据价值的诉求不同，数据共享与隐私保护之间的平衡难以把握，易引发数据滥用和隐私泄露风险。

全球物联网部署下的数据主权

目前，全球物联网连接数已达到数百亿规模，物联网产品出海和跨境移动不可避免，在这一背景下，数据主权设计尤为重要。物联网数据主权是法律合规问题，但对于每一家具体企业来说，更多是企业物联网架构设计、数据治理和商业模式重构的核心考量，需要在技术架构、商业规则与法律合规之间寻求动态平衡。

知名物联网媒体IoT Business News主编撰文指出，企业可以立足数据主权构建系统架构，但不存在能够满足所有监管要求的通用架构。较为常用的方案主要包括：

一是尽可能实现数据本地留存。例如，依托区域化云部署方案，在欧洲采集的数据可存储于欧洲境内的数据中心，而非被自动传输至其他地区。

二是边缘侧数据处理。在数据产生的就近位置开展分析，企业既能降低带宽需求，也可减少传输至集中式云平台的敏感数据体量。

三是采用联邦式平台架构。部分企业不再运营单一的全球化物联网平台，而是部署多个区域实例，仅交换实现全局可视所需的数据。

四是依据敏感等级对数据进行分类。并非所有数据集都需要同等程度的防护。厘清哪些数据受到监管约束、哪些不受约束，有助于机构落实恰当的管控措施。

五是强化加密机制与访问管控。无论基础设施部署于何处，客户管理加密密钥、健全的身份管理体系以及完整审计追踪，均可构筑额外一层安全防护。

值得注意的是，上述诸多架构方案除满足合规要求外，还能带来运营层面的收益。例如边缘处理可降低时延，区域部署能够提升容灾能力，清晰的数据治理通常也会简化安全管理工作。

不过，数据主权面临的一大核心挑战在于监管环境持续演变，一套当前符合规范要求的部署方案，未来或将需要调整——各国政府会出台新的数据本地化规则，或是收紧跨境数据传输相关限制。企业应当重点关注几个方面：由云备份、监控系统或灾难恢复流程引发的隐性跨境数据；第三方服务商自有基础设施或分包商可能在不同司法辖区开展业务；AIoT应用日益广泛，随之产生诸多问题，如模型在何处训练、遥测数据如何留存，以及敏感运营数据是否流出获批区域需要高度关注；政府调取数据请求，其执行规则差异巨大，具体取决于云服务商总部所在地以及数据存储地点。

随着物联网部署规模持续扩大、布局日趋全球化，数据主权将愈发深刻地影响全球化解决方案的设计思路。企业若能在设备部署、平台扩容之前提前应对相关问题，在监管规则不断演变的环境中将占据更有利的地位。