《反間諜法》修訂背景下企業(yè)的相關合規(guī)范式
作者：曾崢 陳伊韜 2023-06-07十四屆全國人大常委會第二次會議在2023年4月26日表決通過了新修訂的《反間諜法》，將于2023年7月1日起施行。而據(jù)相關媒體報道，近日凱盛融英[1]、美思明智[2]、貝恩咨詢[3]和某日本藥企的員工[4]受到我國執(zhí)法機關調(diào)查，該一系列案件引發(fā)了國際商業(yè)界的廣泛關注。修訂后的《反間諜法》有哪些內(nèi)容和規(guī)定？企業(yè)在從事咨詢項目時對信息的收集、處理、出境過程中應該注意哪些刑事合規(guī)風險？這些問題都引發(fā)外資企業(yè)的廣泛關注。
一、中國的《反間諜法》是什么？
《反間諜法》系我國為加強反間諜工作，防范、制止和懲治間諜行為，維護國家安全，保護人民利益所制定。該法主要規(guī)定了以下幾個方面：
（一）間諜活動的定義和范圍。該法將間諜活動定義為“為境外組織、機構或者個人提供國家秘密、情報或者協(xié)助其從事危害中華人民共和國國家安全和利益的活動”。該法還將“投靠”間諜組織及其代理人、針對國家機關、涉密單位或者關鍵信息基礎設施等網(wǎng)絡攻擊等行為明確為間諜行為。
（二）反間諜工作的主體和職責。該法規(guī)定，國家安全機關是負責反間諜工作的主管部門，其他有關部門和單位應當按照職責分工配合做好反間諜工作。該法還規(guī)定了各級人民政府、黨政機關、企事業(yè)單位、社會團體、公民等在反間諜工作中的職責和義務。
（三）反間諜工作的措施和手段。該法授權國家安全機關采取必要的措施和手段，依法查處間諜活動和其他危害國家安全的活動。這些措施和手段包括：調(diào)查取證、傳喚訊問、搜查扣押、監(jiān)視居住、限制出境等。
（四）反間諜工作的保障和監(jiān)督。該法規(guī)定，國家應當加強對反間諜工作的投入和保障，提高反間諜工作的能力和水平。同時，加強對國家安全機關工作人員的監(jiān)督，明確國家安全機關應當執(zhí)行內(nèi)部監(jiān)督和安全審查制度，明確個人、組織有權對國家安全機關及其工作人員超越職權、濫用職權和其他違法行為進行檢舉和控告。
二、此次修訂關注的要點有哪些？
全國人大常委會法工委刑法室主任王愛立在媒體采訪中表示，“當前，反間諜斗爭形勢較為嚴峻，傳統(tǒng)安全威脅與非傳統(tǒng)安全威脅相互交織，各類間諜情報活動的主體更加復雜、領域更加廣泛、目標更加多元、手法更加隱蔽。”因此，本次修訂中的一個重要改動是堅持問題導向，聚焦現(xiàn)行反間諜法實施中存在的間諜行為范圍較窄、安全防范制度不健全、行政執(zhí)法賦權不足等重點難點問題，完善相關法律規(guī)定[5]。換言之，如何有針對性地處理覆蓋范圍更廣，定性更靈活的“非傳統(tǒng)安全威脅”將成為立法和執(zhí)法關注的新重點，這無疑對《反間諜法》提出相關認定及執(zhí)法原則性和靈活性的新問題。近年來陸續(xù)出臺或修訂的刑法修正案、《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》、《個人信息保護法》，也從不同維度和層面對相關義務進行了明確，因此企業(yè)在數(shù)據(jù)信息的收集、處理及跨境時需要尤其注重敏感性和合規(guī)性。
（一） 完善間諜行為的定義
新修訂的《反間諜法》將“投靠間諜組織及其代理人”、“針對國家機關、涉密單位或者關鍵信息基礎設施等實施網(wǎng)絡攻擊等行為”明確為間諜行為。根據(jù)實踐中的情況，適度擴大相關主體竊密的對象范圍，將“其他關系國家安全和利益的文件、數(shù)據(jù)、資料、物品”納入保護。增加針對第三國的間諜行為，危害中華人民共和國國家安全的，同樣適用本法。可以看到，新法的修訂從間諜行為、竊密對象以及適用范圍等方面進行了全方面的擴張。
在間諜行為上，“投靠”一詞較為模糊，但作為新增條款，應有別于原先的“參加間諜組織”行為。事實上，在《反間諜法實施細則》中，已經(jīng)對“資助”、“勾結”行為進行了詳盡的規(guī)定。考慮到間諜行為屬于我國《刑法》所嚴懲的犯罪行為，可以理解為未正式參與間諜組織，但表現(xiàn)出單方面的合作意向或準備。而“針對國家機關、涉密單位或者關鍵信息基礎設施等實施網(wǎng)絡攻擊、侵入、干擾、控制、破壞等活動行為”，不需要明確的目的或動機，或達成某種危害結果，只要與境內(nèi)外間諜組織及代理人勢力相關，即可以認定為間諜行為。一方面，網(wǎng)絡攻擊手段隨著技術的發(fā)展日益常見，也被予以重視，另一方面，該條款也與《國家安全法》第25條，《網(wǎng)絡安全法》第5條相呼應，是否達到了侵害國家安全以及網(wǎng)絡安全的程度，能夠有法可依。
在竊密對象上，在國家秘密或情報基礎上新增“其他關系國家安全和利益的文件、數(shù)據(jù)、資料、物品”，根據(jù)最高院《關于審理為境外竊取、刺探、收買、非法提供國家秘密、情報案件具體應用法律若干問題的解釋》第一條，刑法第一百一十一條規(guī)定的“國家秘密”，是指《中華人民共和國保守國家秘密法》第二條、第八條以及《中華人民共和國保守國家秘密法實施辦法》第四條確定的事項。
刑法第一百一十一條規(guī)定的“情報”，是指關系國家安全和利益、尚未公開或者依照有關規(guī)定不應公開的事項。因此，“其他關系國家安全和利益的文件、數(shù)據(jù)、資料、物品”可以被理解為“情報”的擴大解釋，即包含“情報”內(nèi)容的其他載體形式。此次報道中披露的凱盛融英即是在承擔涉外咨詢項目時，頻繁聯(lián)系接觸我黨政機關、重要國防科工等涉密人員，并以高額報酬聘請行業(yè)咨詢專家之名，非法獲取我國各類敏感數(shù)據(jù)，對我國家安全構成了重大風險隱患。
在適用范圍上，新增針對第三國的間諜行為，簡單來說，即發(fā)生在我國領域內(nèi)的，或是利用我國公民、組織或者其他條件開展的針對其他國家的間諜活動，如果對我國國家安全產(chǎn)生危害的，同樣會被認定為間諜行為。也即除了在我國領域外，不依靠我國公民、組織所開展的針對第三國的間諜活動，且未對我國國家安全造成危害以外，其他間諜活動都受到我國《反間諜法》的管轄。
（二） 完善反間諜調(diào)查處置措施
此次修訂反間諜法，在“調(diào)查處置”一章中，增加查閱調(diào)取數(shù)據(jù)、傳喚、查詢財產(chǎn)信息、不準出入境等行政執(zhí)法職權；明確國家安全機關執(zhí)法規(guī)范要求，嚴格審批程序，實現(xiàn)規(guī)范化執(zhí)法；增加對發(fā)現(xiàn)的網(wǎng)絡安全風險等的通報和處置措施；增加對國家秘密、情報的鑒定評估機制；增加行刑銜接的規(guī)定。
如果將即將實施的新《反間諜法》定義的六種間諜行為與《刑法》的相關罪名進行比較分析可以看出，《反間諜法》對間諜行為的定義范圍比《刑法》要更加擴大，但是相應的，其調(diào)查處置措施除了常見的刑事偵查手段以外，還可以采取技術偵察措施和身份保護措施。
（三） 完善法律責任
新修訂的反間諜法擴大行政處罰的適用情形，對涉及間諜行為的輕微違法行為明確規(guī)定罰款、拘留等行政處罰；增加約談、通報批評等處罰種類；明確對幫助他人實施間諜行為的法律責任。同時做好與相關法律的銜接。
1、對個人的行政責任
新《反間諜法》第五十四條規(guī)定，行為人實施間諜行為，尚不構成犯罪的，予以警告或者處十五日以下行政拘留及罰款；
第六十條規(guī)定了行為人存在影響、阻礙反間諜調(diào)查工作，但尚不構成犯罪的違法行為的行政責任，予以警告或者處十日以下行政拘留；
第六十一條規(guī)定行為人非法持有國家秘密或非法生產(chǎn)、銷售、持有、使用專業(yè)間諜器材，尚不構成犯罪的，予以警告或者處十日以下行政拘留及罰款。
可以看到，新法視在間諜活動中發(fā)生的違法行為形式的不同對行政處罰做出了區(qū)分，第五十四條填補了輕微間諜行為的處罰空白，第六十條和六十一條適當下調(diào)了處罰幅度（從十五日減少為十日）。
2、對企業(yè)的行政責任
新《反間諜法》第五十六條規(guī)定，國家機關、人民團體、企業(yè)事業(yè)組織和其他社會組織未按照本法規(guī)定履行反間諜安全防范義務的，國家安全機關可以責令改正；未按照要求改正的，國家安全機關可以約談相關負責人，必要時可以將約談情況通報該單位上級主管部門；產(chǎn)生危害后果或者不良影響的，國家安全機關可以予以警告、通報批評；情節(jié)嚴重的，對負有責任的領導人員和直接責任人員，由有關部門依法予以處分。
修訂內(nèi)容明確規(guī)定了單位不履行反間諜安全防范義務的不作為責任。這里的反間諜安全防范義務，除了配合國家安全機關工作人員開展反間諜調(diào)查工作之外，比較突出的是第三十六條規(guī)定的：國家安全機關發(fā)現(xiàn)涉及間諜行為的網(wǎng)絡信息內(nèi)容或者網(wǎng)絡攻擊等風險，應當依照《中華人民共和國網(wǎng)絡安全法》規(guī)定的職責分工，及時通報有關部門，由其依法處置或者責令電信業(yè)務經(jīng)營者、互聯(lián)網(wǎng)服務提供者及時采取修復漏洞、加固網(wǎng)絡防護、停止傳輸、消除程序和內(nèi)容、暫停相關服務、下架相關應用、關閉相關網(wǎng)站等措施，保存相關記錄。情況緊急，不立即采取措施將對國家安全造成嚴重危害的，由國家安全機關責令有關單位修復漏洞、停止相關傳輸、暫停相關服務，并通報有關部門。
在涉及間諜行為的網(wǎng)絡信息內(nèi)容方面，《網(wǎng)絡安全法》第三十七、三十八、四十七條，《數(shù)據(jù)安全法》第三十一、三十二、三十三條，規(guī)定了在關于重要數(shù)據(jù)的收集、處理、出境管理的的相關要求，且《網(wǎng)絡安全法》第六十六條、六十八條規(guī)定關鍵信息基礎設施運營者在境外存儲網(wǎng)絡數(shù)據(jù)，或者向境外提供網(wǎng)絡數(shù)據(jù)的，或網(wǎng)絡運營者拒不停止發(fā)布或者傳輸?shù)男畔⑽赐Ｖ箓鬏敗⒉扇∠忍幹么胧⒈４嬗嘘P記錄的，處罰款、責令暫停相關業(yè)務、停業(yè)整頓、關閉網(wǎng)站、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照等行政處罰。《數(shù)據(jù)安全法》第四十六條規(guī)定對向境外提供重要數(shù)據(jù)的，可以處罰款以及責令暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照等行政處罰。
在涉及間諜行為的網(wǎng)絡攻擊方面，《網(wǎng)絡安全法》第76條明確將“網(wǎng)絡安全”界定為“通過采取必要措施，防范對網(wǎng)絡的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡處于穩(wěn)定可靠運行的狀態(tài)，以及保障網(wǎng)絡數(shù)據(jù)的完整性、保密性、可用性的能力”，“網(wǎng)絡安全”概念本身就包括了“網(wǎng)絡數(shù)據(jù)的完整性、保密性、可用性”。且《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》都對“風險監(jiān)測預警機制”、“應急處置機制”、“缺陷、漏洞等風險補救和安全事件報告”做出了規(guī)定。《數(shù)據(jù)安全法》第四十五條規(guī)定對開展數(shù)據(jù)處理活動過程中拒不履行數(shù)據(jù)安全保護義務并造成嚴重后果的，可以處罰款以及責令暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照等行政處罰。若違反國家核心數(shù)據(jù)管理制度，危害國家主權、安全和發(fā)展利益的，處罰款，責令暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照，構成犯罪的依法追究刑事責任。
三、企業(yè)在開展涉信息的咨詢類業(yè)務過程中應注意哪些刑事合規(guī)義務？
如前文所言，涉間諜行為的相關犯罪：如間諜罪，為境外竊取、刺探、收買、非法提供國家秘密、情報罪，非法生產(chǎn)、銷售專用間諜器材、竊聽、竊照專用器材罪，背叛國家罪，投敵叛變罪，資助危害國家安全犯罪活動罪均為社會危害性較大的嚴重犯罪。一旦實施了相應行為，無論是否造成危害后果均構成犯罪。因此，雖然修訂部分特別規(guī)定了行刑相接條款，但由于刑事立案追訴標準事實上與行政處罰標準重合，理論上來講出罪空間僅在于《刑法》十三條情節(jié)顯著輕微危害不大不認為犯罪的但書規(guī)定。從構成要件上看，《反間諜法》作為全國人大常委頒布的國家規(guī)定性質(zhì)文件，在此次修訂后極大擴張了監(jiān)管范圍，哪些客觀行為能夠被認定為進行間諜活動，前文已經(jīng)釋明。而在主觀方面是否存在明知的認識，對于從事該類業(yè)務的企業(yè)及業(yè)內(nèi)決策層、高管、技術及業(yè)務人員而言，也很難以此來脫罪。因此，對于這一類犯罪，從合規(guī)角度來看，事前及時防范、整改的重要性遠大于事后救濟。近期執(zhí)法機關接連對數(shù)家咨詢公司進行調(diào)查便是很好的印證。在開展業(yè)務過程中，需要嚴格按照《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》、《數(shù)據(jù)出境安全評估辦法》以及《關鍵信息基礎設施安全保護條例》等法律的相關規(guī)定，在數(shù)據(jù)的收集、處理及出境過程中特別注意相關合規(guī)義務。
當然，作為近期的監(jiān)管熱點，相關企業(yè)及從業(yè)人員在評判刑事風險時，除上述一些比較明確的間諜行為之外，秉持全面合規(guī)原則，也應考慮到其他可能涉及的風險。
（一）為境外竊取、刺探、收買、非法提供商業(yè)秘密罪
除國家秘密之外，通過不正當手段不法獲取商業(yè)秘密的，同樣也有構成刑事犯罪的可能。刑法修正案十一增設第二百一十九條之一規(guī)定:為境外機構、組織、人員竊取、刺探、收買、非法提供商業(yè)秘密的，處五年以下有期徒刑，并處或者單處罰金;情節(jié)嚴重的，處五年以上有期徒刑，并處罰金。這一條規(guī)定了一個全新的罪名，為境外竊取、刺探、收買、非法提供商業(yè)秘密罪。在《刑法修正案（十一）》出臺后，《刑法》刪除了侵犯商業(yè)秘密罪中原法條中對于商業(yè)秘密的概念性說明，而這同樣適用于本罪。該改動意味著司法實踐中對商業(yè)秘密的判定需要參照《反不正當法》第九條規(guī)定，即不為公眾所知悉、具有商業(yè)價值并經(jīng)權利人采取相應保密措施的技術信息、經(jīng)營信息等商業(yè)信息，一定程度上擴大了商業(yè)秘密的解釋范圍。現(xiàn)今已然打響了以知識技術為核心的國際新型戰(zhàn)爭，商業(yè)秘密的內(nèi)涵和外延已然發(fā)生了改變。在時代背景下，商業(yè)秘密與國家秘密的界限更為模糊，商業(yè)秘密同時也是國家秘密，守護商業(yè)秘密安全也是保衛(wèi)國家安全。雖然目前在司法實踐中還未有本罪的判例參考，但隨著新《反間諜法》的施行，相信司法實踐中可能進一步凸顯。
（二）侵犯公民個人信息罪
除涉及到國家安全的關鍵信息之外，公民個人信息也是《網(wǎng)絡安全法》中的重點保護對象。需要注意的是，除非法獲取公民個人信息之外，違反國家有關規(guī)定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，也構成犯罪，且屬于從重處罰情節(jié)。《個人信息保護法》第三十八條規(guī)定了個人信息處理者因業(yè)務等需要，確需向中華人民共和國境外提供個人信息的必要條件，同時需保障境外接收方處理個人信息的活動達到法律標準，第七十一條規(guī)定了構成犯罪的依法追究刑事責任。而根據(jù)兩高《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，知道或應當知道接收方將個人信息用于犯罪活動仍提供的，以及非法出售或提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息這一類敏感個人信息，50條以上的即可以入罪。
（三）拒不履行信息網(wǎng)絡安全管理義務罪
在《反間諜法》、《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》中均提到了當出現(xiàn)問題需要整改時，拒不改正的會加重處罰，而《刑法》中對相應行為也有規(guī)定，拒不履行適用單位犯罪，作為消極的不作為犯，本罪曾因入罪的前置條件“不履行法定信息網(wǎng)絡安全管理義務“以及”經(jīng)監(jiān)管部門責令采取改正措施而拒不改正“，與同期《刑法修正案（九）》加入的幫助信息網(wǎng)絡犯罪活動罪相比條件更高，司法適用不是很頻繁。然而，三法落地之后，不僅明確了網(wǎng)絡經(jīng)營者的信息網(wǎng)絡安全管理義務，也為監(jiān)管部門作出行政處罰提供了充分依據(jù)，而拒不履行信息網(wǎng)絡安全管理義務罪也就成為了監(jiān)督涉案企業(yè)合規(guī)整改效果，體現(xiàn)刑罰教育改造的特殊預防功能的事后威懾機制，與幫信犯罪以提供技術支持，作為共同犯罪幫助犯擴張事前或事中刑事合規(guī)風險形成兩套不同的入罪邏輯。企業(yè)更應自覺養(yǎng)成并優(yōu)化履行網(wǎng)絡安全管理義務的合規(guī)意識和合規(guī)文化。
注釋
[1] 上海證券報 上證報記者實探“淪為境外情報機構幫兇”的凱盛融英，https://mp.weixin.qq.com/s/0RnBRDayduM4qqMDoVtEyA，訪問時間：2023年6月5日.
[2] 環(huán)球網(wǎng) 中方關閉美思明智集團北京辦事處并拘留5名中國籍員工？外交部回應，
https://baijiahao.baidu.com/s?id=1761527201988471852&wfr=spider&for=pc，訪問時間：2023年6月5日.
[3] 北京商業(yè)網(wǎng) 世界滾動:美咨詢顧問公司證實中國警方對其上海辦事處員工問話，
http://news.ce5.com.cn/shangye/2023/0428/8221.html，訪問時間：2023年6月5日.
[4] 澎湃新聞 日企高管涉嫌間諜活動被抓，再次給我們提了個醒！，https://m.thepaper.cn/baijiahao_22785389，訪問時間：2023年6月5日.
[5] 環(huán)球網(wǎng) 法工委權威解讀新修訂的反間諜法，六大亮點值得關注，https://baijiahao.baidu.com/s?id=1764289026247870352&wfr=spider&for=pc，訪問時間：2023年6月5日.
