《反間諜法》修訂背景下企業的相關合規范式
作者：曾崢 陳伊韜 2023-06-07十四屆全國人大常委會第二次會議在2023年4月26日表決通過了新修訂的《反間諜法》，將于2023年7月1日起施行。而據相關媒體報道，近日凱盛融英[1]、美思明智[2]、貝恩咨詢[3]和某日本藥企的員工[4]受到我國執法機關調查，該一系列案件引發了國際商業界的廣泛關注。修訂后的《反間諜法》有哪些內容和規定？企業在從事咨詢項目時對信息的收集、處理、出境過程中應該注意哪些刑事合規風險？這些問題都引發外資企業的廣泛關注。
一、中國的《反間諜法》是什么？
《反間諜法》系我國為加強反間諜工作，防范、制止和懲治間諜行為，維護國家安全，保護人民利益所制定。該法主要規定了以下幾個方面：
（一）間諜活動的定義和范圍。該法將間諜活動定義為“為境外組織、機構或者個人提供國家秘密、情報或者協助其從事危害中華人民共和國國家安全和利益的活動”。該法還將“投靠”間諜組織及其代理人、針對國家機關、涉密單位或者關鍵信息基礎設施等網絡攻擊等行為明確為間諜行為。
（二）反間諜工作的主體和職責。該法規定，國家安全機關是負責反間諜工作的主管部門，其他有關部門和單位應當按照職責分工配合做好反間諜工作。該法還規定了各級人民政府、黨政機關、企事業單位、社會團體、公民等在反間諜工作中的職責和義務。
（三）反間諜工作的措施和手段。該法授權國家安全機關采取必要的措施和手段，依法查處間諜活動和其他危害國家安全的活動。這些措施和手段包括：調查取證、傳喚訊問、搜查扣押、監視居住、限制出境等。
（四）反間諜工作的保障和監督。該法規定，國家應當加強對反間諜工作的投入和保障，提高反間諜工作的能力和水平。同時，加強對國家安全機關工作人員的監督，明確國家安全機關應當執行內部監督和安全審查制度，明確個人、組織有權對國家安全機關及其工作人員超越職權、濫用職權和其他違法行為進行檢舉和控告。
二、此次修訂關注的要點有哪些？
全國人大常委會法工委刑法室主任王愛立在媒體采訪中表示，“當前，反間諜斗爭形勢較為嚴峻，傳統安全威脅與非傳統安全威脅相互交織，各類間諜情報活動的主體更加復雜、領域更加廣泛、目標更加多元、手法更加隱蔽。”因此，本次修訂中的一個重要改動是堅持問題導向，聚焦現行反間諜法實施中存在的間諜行為范圍較窄、安全防范制度不健全、行政執法賦權不足等重點難點問題，完善相關法律規定[5]。換言之，如何有針對性地處理覆蓋范圍更廣，定性更靈活的“非傳統安全威脅”將成為立法和執法關注的新重點，這無疑對《反間諜法》提出相關認定及執法原則性和靈活性的新問題。近年來陸續出臺或修訂的刑法修正案、《網絡安全法》、《數據安全法》、《個人信息保護法》，也從不同維度和層面對相關義務進行了明確，因此企業在數據信息的收集、處理及跨境時需要尤其注重敏感性和合規性。
（一） 完善間諜行為的定義
新修訂的《反間諜法》將“投靠間諜組織及其代理人”、“針對國家機關、涉密單位或者關鍵信息基礎設施等實施網絡攻擊等行為”明確為間諜行為。根據實踐中的情況，適度擴大相關主體竊密的對象范圍，將“其他關系國家安全和利益的文件、數據、資料、物品”納入保護。增加針對第三國的間諜行為，危害中華人民共和國國家安全的，同樣適用本法?？梢钥吹?，新法的修訂從間諜行為、竊密對象以及適用范圍等方面進行了全方面的擴張。
在間諜行為上，“投靠”一詞較為模糊，但作為新增條款，應有別于原先的“參加間諜組織”行為。事實上，在《反間諜法實施細則》中，已經對“資助”、“勾結”行為進行了詳盡的規定?？紤]到間諜行為屬于我國《刑法》所嚴懲的犯罪行為，可以理解為未正式參與間諜組織，但表現出單方面的合作意向或準備。而“針對國家機關、涉密單位或者關鍵信息基礎設施等實施網絡攻擊、侵入、干擾、控制、破壞等活動行為”，不需要明確的目的或動機，或達成某種危害結果，只要與境內外間諜組織及代理人勢力相關，即可以認定為間諜行為。一方面，網絡攻擊手段隨著技術的發展日益常見，也被予以重視，另一方面，該條款也與《國家安全法》第25條，《網絡安全法》第5條相呼應，是否達到了侵害國家安全以及網絡安全的程度，能夠有法可依。
在竊密對象上，在國家秘密或情報基礎上新增“其他關系國家安全和利益的文件、數據、資料、物品”，根據最高院《關于審理為境外竊取、刺探、收買、非法提供國家秘密、情報案件具體應用法律若干問題的解釋》第一條，刑法第一百一十一條規定的“國家秘密”，是指《中華人民共和國保守國家秘密法》第二條、第八條以及《中華人民共和國保守國家秘密法實施辦法》第四條確定的事項。
刑法第一百一十一條規定的“情報”，是指關系國家安全和利益、尚未公開或者依照有關規定不應公開的事項。因此，“其他關系國家安全和利益的文件、數據、資料、物品”可以被理解為“情報”的擴大解釋，即包含“情報”內容的其他載體形式。此次報道中披露的凱盛融英即是在承擔涉外咨詢項目時，頻繁聯系接觸我黨政機關、重要國防科工等涉密人員，并以高額報酬聘請行業咨詢專家之名，非法獲取我國各類敏感數據，對我國家安全構成了重大風險隱患。
在適用范圍上，新增針對第三國的間諜行為，簡單來說，即發生在我國領域內的，或是利用我國公民、組織或者其他條件開展的針對其他國家的間諜活動，如果對我國國家安全產生危害的，同樣會被認定為間諜行為。也即除了在我國領域外，不依靠我國公民、組織所開展的針對第三國的間諜活動，且未對我國國家安全造成危害以外，其他間諜活動都受到我國《反間諜法》的管轄。
（二） 完善反間諜調查處置措施
此次修訂反間諜法，在“調查處置”一章中，增加查閱調取數據、傳喚、查詢財產信息、不準出入境等行政執法職權；明確國家安全機關執法規范要求，嚴格審批程序，實現規范化執法；增加對發現的網絡安全風險等的通報和處置措施；增加對國家秘密、情報的鑒定評估機制；增加行刑銜接的規定。
如果將即將實施的新《反間諜法》定義的六種間諜行為與《刑法》的相關罪名進行比較分析可以看出，《反間諜法》對間諜行為的定義范圍比《刑法》要更加擴大，但是相應的，其調查處置措施除了常見的刑事偵查手段以外，還可以采取技術偵察措施和身份保護措施。
（三） 完善法律責任
新修訂的反間諜法擴大行政處罰的適用情形，對涉及間諜行為的輕微違法行為明確規定罰款、拘留等行政處罰；增加約談、通報批評等處罰種類；明確對幫助他人實施間諜行為的法律責任。同時做好與相關法律的銜接。
1、對個人的行政責任
新《反間諜法》第五十四條規定，行為人實施間諜行為，尚不構成犯罪的，予以警告或者處十五日以下行政拘留及罰款；
第六十條規定了行為人存在影響、阻礙反間諜調查工作，但尚不構成犯罪的違法行為的行政責任，予以警告或者處十日以下行政拘留；
第六十一條規定行為人非法持有國家秘密或非法生產、銷售、持有、使用專業間諜器材，尚不構成犯罪的，予以警告或者處十日以下行政拘留及罰款。
可以看到，新法視在間諜活動中發生的違法行為形式的不同對行政處罰做出了區分，第五十四條填補了輕微間諜行為的處罰空白，第六十條和六十一條適當下調了處罰幅度（從十五日減少為十日）。
2、對企業的行政責任
新《反間諜法》第五十六條規定，國家機關、人民團體、企業事業組織和其他社會組織未按照本法規定履行反間諜安全防范義務的，國家安全機關可以責令改正；未按照要求改正的，國家安全機關可以約談相關負責人，必要時可以將約談情況通報該單位上級主管部門；產生危害后果或者不良影響的，國家安全機關可以予以警告、通報批評；情節嚴重的，對負有責任的領導人員和直接責任人員，由有關部門依法予以處分。
修訂內容明確規定了單位不履行反間諜安全防范義務的不作為責任。這里的反間諜安全防范義務，除了配合國家安全機關工作人員開展反間諜調查工作之外，比較突出的是第三十六條規定的：國家安全機關發現涉及間諜行為的網絡信息內容或者網絡攻擊等風險，應當依照《中華人民共和國網絡安全法》規定的職責分工，及時通報有關部門，由其依法處置或者責令電信業務經營者、互聯網服務提供者及時采取修復漏洞、加固網絡防護、停止傳輸、消除程序和內容、暫停相關服務、下架相關應用、關閉相關網站等措施，保存相關記錄。情況緊急，不立即采取措施將對國家安全造成嚴重危害的，由國家安全機關責令有關單位修復漏洞、停止相關傳輸、暫停相關服務，并通報有關部門。
在涉及間諜行為的網絡信息內容方面，《網絡安全法》第三十七、三十八、四十七條，《數據安全法》第三十一、三十二、三十三條，規定了在關于重要數據的收集、處理、出境管理的的相關要求，且《網絡安全法》第六十六條、六十八條規定關鍵信息基礎設施運營者在境外存儲網絡數據，或者向境外提供網絡數據的，或網絡運營者拒不停止發布或者傳輸的信息未停止傳輸、采取消除等處置措施、保存有關記錄的，處罰款、責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照等行政處罰?！稊祿踩ā返谒氖鶙l規定對向境外提供重要數據的，可以處罰款以及責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照等行政處罰。
在涉及間諜行為的網絡攻擊方面，《網絡安全法》第76條明確將“網絡安全”界定為“通過采取必要措施，防范對網絡的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網絡處于穩定可靠運行的狀態，以及保障網絡數據的完整性、保密性、可用性的能力”，“網絡安全”概念本身就包括了“網絡數據的完整性、保密性、可用性”。且《網絡安全法》、《數據安全法》都對“風險監測預警機制”、“應急處置機制”、“缺陷、漏洞等風險補救和安全事件報告”做出了規定。《數據安全法》第四十五條規定對開展數據處理活動過程中拒不履行數據安全保護義務并造成嚴重后果的，可以處罰款以及責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照等行政處罰。若違反國家核心數據管理制度，危害國家主權、安全和發展利益的，處罰款，責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照，構成犯罪的依法追究刑事責任。
三、企業在開展涉信息的咨詢類業務過程中應注意哪些刑事合規義務？
如前文所言，涉間諜行為的相關犯罪：如間諜罪，為境外竊取、刺探、收買、非法提供國家秘密、情報罪，非法生產、銷售專用間諜器材、竊聽、竊照專用器材罪，背叛國家罪，投敵叛變罪，資助危害國家安全犯罪活動罪均為社會危害性較大的嚴重犯罪。一旦實施了相應行為，無論是否造成危害后果均構成犯罪。因此，雖然修訂部分特別規定了行刑相接條款，但由于刑事立案追訴標準事實上與行政處罰標準重合，理論上來講出罪空間僅在于《刑法》十三條情節顯著輕微危害不大不認為犯罪的但書規定。從構成要件上看，《反間諜法》作為全國人大常委頒布的國家規定性質文件，在此次修訂后極大擴張了監管范圍，哪些客觀行為能夠被認定為進行間諜活動，前文已經釋明。而在主觀方面是否存在明知的認識，對于從事該類業務的企業及業內決策層、高管、技術及業務人員而言，也很難以此來脫罪。因此，對于這一類犯罪，從合規角度來看，事前及時防范、整改的重要性遠大于事后救濟。近期執法機關接連對數家咨詢公司進行調查便是很好的印證。在開展業務過程中，需要嚴格按照《網絡安全法》、《數據安全法》、《數據出境安全評估辦法》以及《關鍵信息基礎設施安全保護條例》等法律的相關規定，在數據的收集、處理及出境過程中特別注意相關合規義務。
當然，作為近期的監管熱點，相關企業及從業人員在評判刑事風險時，除上述一些比較明確的間諜行為之外，秉持全面合規原則，也應考慮到其他可能涉及的風險。
（一）為境外竊取、刺探、收買、非法提供商業秘密罪
除國家秘密之外，通過不正當手段不法獲取商業秘密的，同樣也有構成刑事犯罪的可能。刑法修正案十一增設第二百一十九條之一規定:為境外機構、組織、人員竊取、刺探、收買、非法提供商業秘密的，處五年以下有期徒刑，并處或者單處罰金;情節嚴重的，處五年以上有期徒刑，并處罰金。這一條規定了一個全新的罪名，為境外竊取、刺探、收買、非法提供商業秘密罪。在《刑法修正案（十一）》出臺后，《刑法》刪除了侵犯商業秘密罪中原法條中對于商業秘密的概念性說明，而這同樣適用于本罪。該改動意味著司法實踐中對商業秘密的判定需要參照《反不正當法》第九條規定，即不為公眾所知悉、具有商業價值并經權利人采取相應保密措施的技術信息、經營信息等商業信息，一定程度上擴大了商業秘密的解釋范圍?，F今已然打響了以知識技術為核心的國際新型戰爭，商業秘密的內涵和外延已然發生了改變。在時代背景下，商業秘密與國家秘密的界限更為模糊，商業秘密同時也是國家秘密，守護商業秘密安全也是保衛國家安全。雖然目前在司法實踐中還未有本罪的判例參考，但隨著新《反間諜法》的施行，相信司法實踐中可能進一步凸顯。
（二）侵犯公民個人信息罪
除涉及到國家安全的關鍵信息之外，公民個人信息也是《網絡安全法》中的重點保護對象。需要注意的是，除非法獲取公民個人信息之外，違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，也構成犯罪，且屬于從重處罰情節。《個人信息保護法》第三十八條規定了個人信息處理者因業務等需要，確需向中華人民共和國境外提供個人信息的必要條件，同時需保障境外接收方處理個人信息的活動達到法律標準，第七十一條規定了構成犯罪的依法追究刑事責任。而根據兩高《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，知道或應當知道接收方將個人信息用于犯罪活動仍提供的，以及非法出售或提供行蹤軌跡信息、通信內容、征信信息、財產信息這一類敏感個人信息，50條以上的即可以入罪。
（三）拒不履行信息網絡安全管理義務罪
在《反間諜法》、《網絡安全法》、《數據安全法》中均提到了當出現問題需要整改時，拒不改正的會加重處罰，而《刑法》中對相應行為也有規定，拒不履行適用單位犯罪，作為消極的不作為犯，本罪曾因入罪的前置條件“不履行法定信息網絡安全管理義務“以及”經監管部門責令采取改正措施而拒不改正“，與同期《刑法修正案（九）》加入的幫助信息網絡犯罪活動罪相比條件更高，司法適用不是很頻繁。然而，三法落地之后，不僅明確了網絡經營者的信息網絡安全管理義務，也為監管部門作出行政處罰提供了充分依據，而拒不履行信息網絡安全管理義務罪也就成為了監督涉案企業合規整改效果，體現刑罰教育改造的特殊預防功能的事后威懾機制，與幫信犯罪以提供技術支持，作為共同犯罪幫助犯擴張事前或事中刑事合規風險形成兩套不同的入罪邏輯。企業更應自覺養成并優化履行網絡安全管理義務的合規意識和合規文化。
注釋
[1] 上海證券報 上證報記者實探“淪為境外情報機構幫兇”的凱盛融英，https://mp.weixin.qq.com/s/0RnBRDayduM4qqMDoVtEyA，訪問時間：2023年6月5日.
[2] 環球網 中方關閉美思明智集團北京辦事處并拘留5名中國籍員工？外交部回應，
https://baijiahao.baidu.com/s?id=1761527201988471852&wfr=spider&for=pc，訪問時間：2023年6月5日.
[3] 北京商業網 世界滾動:美咨詢顧問公司證實中國警方對其上海辦事處員工問話，
http://news.ce5.com.cn/shangye/2023/0428/8221.html，訪問時間：2023年6月5日.
[4] 澎湃新聞 日企高管涉嫌間諜活動被抓，再次給我們提了個醒！，https://m.thepaper.cn/baijiahao_22785389，訪問時間：2023年6月5日.
[5] 環球網 法工委權威解讀新修訂的反間諜法，六大亮點值得關注，https://baijiahao.baidu.com/s?id=1764289026247870352&wfr=spider&for=pc，訪問時間：2023年6月5日.
