跨境数据请求一份要求，必须在磁盘所在地变成一份命令，否则它就只是一封信。

这个市场常挂在嘴边、却从不解释的说法

读得多了，你会在这个行业里反复遇到同一种说法的两个相反版本。一种说，服务器放在境外就简单地够不着了。另一种说，这些都无关紧要，反正他们总能拿到数据。两种说法都是猜测，而它们所猜测的对象，其实有名字、有流程、有排队顺序，也有一份完整的文书记录。

一名调查人员身处一国，想要另一国某公司持有的记录，可选择的路线并不多—往宽了算也就五条。其中只有一条，是人人挂在嘴边、却没人说得清楚的那份条约。有两条比条约更快，依据的是一项与硬件所在地毫无关系的判断标准。而最快的那几条路线，根本就不属于法律范畴，而这，才是真正会终结一个网站的部分。

跨越国境的五条路线

它们的区别在于：送达对象是谁、谁有权拒绝，以及案卷是否会经过法官过目。大致按速度从快到慢排列，而这个顺序，也几乎正好是每一条路线分量高低的反序。

五条路线中有三条，最终都是由当地人送达当地文书，这句话正是这张表里最值得记住的一点。另外两条，则是要求一家公司依据一份在其所在地毫无效力的文件行事。“离岸”这个词究竟有没有意义，几乎完全取决于一家服务商，面对这另外两条路线时会怎么做。

司法协助究竟是什么

MLAT 是两国之间的一份条约，彼此承诺在刑事事务上提供协助：证据、证言、记录、文书送达。这类条约有数百份，几乎全部是双边条约；仅美国一国，就已缔结六十多份。它们之所以存在，是因为检察官在境外没有权力，而法院命令又是一种纯粹的国内文书。条约给予请求国的，不是触及能力，而是一个排队的位置。

这个队列，要经过一系列被称为中央机关的指定机构，请求是一站接一站地传递下去的，而不是点对点直接送达。在美国，这个机构是司法部下属的国际事务办公室；在其他地方，通常就是司法部本身。这条链条，在几乎所有地方都是同样的形状：

1. 调查人员按照条约规定的格式起草请求，写明涉嫌的罪行与所需的记录，然后将其提交给本国的中央机关。
2. 该机关核实这份请求是否落在条约范围之内，然后将其转交给被请求国的中央机关。许多请求，正是在这一步因表述含糊而被退回，而且为数不少。
3. 接收方机关会依照本国法律对其进行审查，然后将其交给当地检察官或预审法官。
4. 这位检察官会向当地法院申请一份国内命令，做法与办理一起纯国内案件时完全相同，依据的也是国内的法律理由。
5. 法院或准许，或拒绝。若获准许，一份国内命令便会送达该公司—在它自己的国家，用它自己的语言，依据它自己的法律。
6. 凡是被提交出来的内容，都会沿着同一条链条原路返回，每一步都要重新排一次队。

嘱托书走的是同一段旅程，只是脚下没有任何支撑：由一国法院向另一国法院发出请求，通过外交渠道送达，是基于国际礼让、而非条约义务而获批准的。它用在不存在条约的地方，而且比人们已经在抱怨太慢的那套机制还要更慢。

一份请求必须闯过的四道关卡

这些都不是走过场的形式。它们正是请求被层层削减之处，而四道关卡中的三道，是由与这起调查毫无利害关系的人来把关的。

1. 双重犯罪原则。大多数条约都允许在所述行为并非被请求国法律所定之罪行时拒绝提供协助。一个国家的法律若不承认某种行为构成犯罪，也就没有什么可以指示本国法院去做的了。
2. 特定性。请求必须把所需内容说得足够具体，具体到当地法官能够据此签发一份命令。“与本网站相关的一切”，不是一个法治国家的法院会为之签发命令的对象。
3. 被请求国自身的法律。最终送达的命令，是一份国内命令，因此必须满足国内的各项要求—比例原则、数据保护，而在欧盟境内，还有 GDPR 第48条，它规定第三国的要求，只有在有一项国际协议作为支撑时，才能被承认。
4. 记录必须确实存在。没有任何条约能强迫一家公司交出它并不持有的东西，也没有任何法院会命令它去重新制造一份出来。

第四道关卡，是唯一一道客户能够施加影响的关卡，因此，也是唯一值得为之花钱的一道。清单上的其他几项，走的都是别人的程序。记录里究竟有什么，取决于服务提供商早在请求到达之前多年就已作出的决定，也取决于你自己在选择应用程序要写下什么时所作的决定—这正是你自己的网站会记录读者哪些信息这篇指南所要谈的内容。

为何它要耗费这么长时间

这条链条上的每一道环节，都是一张积压着待办事项的办公桌，各种延误只会不断叠加，而不会相互重叠抵消。一份司法协助请求从提出到完成，通常被引用的数字接近十个月，而这个数字并非来自这个行业本身：美国自己的情报与通信技术审查小组曾在2013年报告过这一数字，欧盟委员会在为下文两节所述的机制进行辩护时，也曾引用过相近的数字。此后再没有什么，让这个时长明显缩短过。

十个月，既不是一个技术性的细枝末节，也不是一个可以放松警惕的理由，把它当作其中任何一种，都是一种误解。这是一个包含六道排队环节的流程所固有的结构性事实，也正因如此，才会有数据保留请求的存在：这是一份简短的文书，在第一天就会送出，要求让今天已经存在的记录停止被删除，好让那套缓慢的机制得以运转。保全，恰恰是人们在考虑时限时最容易忽略的部分。一份历时一年都毫无结果的要求，仍有可能早在第一天下午，就已经冻结了某些内容—前提是当时确实有什么东西可供冻结。

CLOUD Act 针对的是公司，而不是国家

2013年，美国向微软送达了一份搜查令，要求提供存放在都柏林的电子邮件。微软辩称，一份国内搜查令的效力到不了爱尔兰。这起案件一路打到了最高法院，而2018年3月，国会通过 CLOUD Act，使这一争议失去了继续存在的意义。

这部法案所做的事，一句话就能说清，而这句话，正是这个市场本该读懂却没读懂的一句。它修订了《存储通信法》—18 U.S.C. §2703—要求受美国管辖权约束的服务提供商，交出处于其占有、保管或控制之下的数据，无论这些数据是否存放在美国境内。

现在，再看看它没有说的部分。它对服务器身处何地，完全只字未提。磁盘所在的位置，已经不再是问题所在；这部法案唯一要问的问题，是持有这块磁盘的公司，能否被美国法院所触及。一家在法兰克福设有数据中心的美国公司，属于管辖范围之内。一家在美国没有业务存在的公司，则不属于管辖范围，即便磁盘就放在弗吉尼亚州，也不会改变这一点—对于这种情况，美国仍要退回到前文所述的那套排队机制之中。

这部法案还开辟了第二条路线：美国与符合条件的外国政府之间签订行政协定，据此，双方的机关都可以直接向对方境内的服务提供商送达命令。英国于2019年签署了第一份此类协定，并于2022年生效；澳大利亚随后跟进。这类协定，只能触及签约政府所能掌控范围内的服务提供商，此外别无他人，本质上仍是同一项检验标准，只是换了一副面孔。

2026年8月，欧洲发生了什么变化

欧盟也构建了属于自己的一套直接路线，并已于2026年8月18日起开始适用—时间新近到这个市场里的大多数页面都还没跟上。欧盟第 2023/1543 号条例创设了欧洲调取令与欧洲数据保留令：一个成员国的机关可以签发命令，并直接送达给在欧盟境内提供服务的服务提供商，而无需像司法协助那样，经过第二国的机关这一环节。

与之配套的欧盟第 2023/1544 号指令，才是真正让这一切得以运转的部分。在欧盟境内提供服务的服务提供商，必须在某个成员国指定一个营业机构或一名法定代表人，专门用于接收此类命令。这项指定，正是问题的关键所在，本质上是把 CLOUD Act 的那套判断标准，换成了欧洲的写法：这份文书所能触及的，是那些因在当地运营，而已表示同意可被触及的对象。

最后一行，恰恰是被引用得最不准确的一行。布达佩斯公约，全称为网络犯罪公约—欧洲委员会第185号条约（ETS 185），于2001年开放签署，如今其缔约范围早已远远超出欧洲—该公约在第29条中规定了加急数据保全，在第31条中规定了针对已存储数据的司法协助，并在第35条中要求每个缔约方都设有一个 24 小时可联络的联络点。人们常常引用第32(b)条，将其当作一项一般性的远程访问权力，但它实际上只允许在数据已公开，或依法有权披露数据的人表示同意的情况下访问。这是一扇很窄的门，而且不是一扇后门。

从不经过法官的两条路线

这里是答案中令人不太舒服的那一半。以上每一条路线，都缓慢、正式、可以计数—本页末尾的统计，数的正是它们。而真正终结大多数网站的那些路线，却完全不具备这些特征，读到这里，若你一路跟着条约机制读下来，多半是在担心一个错误的方向。

• 上游运营商。服务提供商向运营商租用传输带宽，向机房租用场地。若投诉直接寄给这些上游方，而不是寄给服务提供商，那么收到投诉的一方，与你毫无关系，对它而言，采取行动也没有任何损失。真正能够回应这种投诉的，是那个拥有这层关系、并且以前就曾拒绝过的服务提供商。
• 注册商。一个域名，是由所在司法辖区的注册局所授予的一项许可，而注册局完全可以在不触碰服务器的情况下暂停一个域名。机器照常运行；只是没有任何东西能够解析到它。这是一个不同的攻击面，另有专门的指南加以说明。
• 支付通道。银行卡收单机构可以仅凭一份投诉，随心所欲地冻结一个账户，既没有什么像样的程序，也没有申诉渠道。这正是本站结算方式仅限链上的主要原因。
• 滥用处理部门。投诉是由另一张办公桌前的人来审阅的，按照另一套时间表，依据的是一份政策，而不是一部法律。谁会审阅针对你的投诉从内部详细描述了这一过程。

上述这些，没有一个是跨境数据请求，而这正是它们理应出现在一篇关于跨境数据请求的指南中的原因。人们购买离岸主机想要解决的那种威胁，往往并不是最终真正找上他们的那一种。

把这一切，用来审视一家主机商的架构

以上所有内容，最终都归结为关于一家公司的几项可以核实的事实，而其中每一项，都可以在你花一分钱之前就先弄清楚。

1. 发票上写的是哪个实体，它又登记在哪里。不是地区，也不是地图上的那面旗帜：而是你正在与之订立合同的那家公司。
2. 是同一个实体，还是每个地区各自一个。一家公司若同时运营八个国家的业务，那就只是一个被告，拥有八个地址，而针对它的一份命令，可以触及其中所有地址。
3. 在你所考虑的那个司法辖区，该集团内部是否有任何东西能被触及。母公司、子公司、办事处、银行账户，皆在此列。这正是 CLOUD Act 式的判断标准，而它的适用范围，远远超出这部法案本身。
4. 面对一份境外命令，服务提供商声称自己会怎么做。要有书面说明，要有明确时限，而且要在真正用得上之前就已公开发布。
5. 事后它又公开了什么。收到了多少、有多少达到了法律门槛、又实际提供了多少，这三个数字缺一不可。第三个数字，是没有人能够令人信服地伪造的一个，因为一旦造假，恰恰就是最尴尬的那个。
6. 究竟有什么东西存在，可供提供。这是最后一个问题，但归根结底，也是唯一真正能决定一切的那个问题。

本集群的架构是八个地区、八家公司，各自登记在其所在国的公司注册处，这正是为何针对其中一家取得的命令，若不在第二个国家重新走一遍整套程序，就无法对另一家强制执行。这是一种成本高昂的经营安排方式，而采用这种方式，理由仅此一点；条款第1条对此有明确说明，实体清单则见关于我们页面。

落到数字上，情况是怎样的

本集群自开业以来，一直按季度公布收到请求的情况。在迄今收到的 164 份执法请求中，54 份达到了法律门槛—即来自对被送达主体拥有管辖权的法院的命令—而 31 份最终确实提供了内容。

真正值得留意的数字，是这中间的差距。共有 110 份请求，占到来件总数的三分之二，始终没能跨过本指南通篇都在谈的那个问题：这份文书，是否由一个真正能够触及被送达公司的法院所发出。这不是一个拒绝率，也不是一种抗拒姿态。它呈现的，是这个问题本身的形状，取样对象仅为一家公司。

第二个数字，则处在另一端。在最终提供了内容的 31 份请求中，所提供的都只是清单式的信息—一个与账户关联的电子邮箱地址、一条链上账本记录—而从来不是磁盘中的内容。这并非因为某条底线被英勇地坚守了下来，而是因为一份从未被创建过的记录，本就无法交给任何人。完整报告见透明度页面，其所统计的流程，则详述于执法政策之中。

人们实际提出的问题

本机房的每一项价格都在同一处完整公开。 查看完整目录