2022-04-21 11:09:59
作者：鄭曦,北京外國語大學(xué)法學(xué)院教授、博士生導(dǎo)師。本文來源《法律科學(xué)》2022年第2期
基于國際刑事司法協(xié)助的需要，刑事數(shù)據(jù)出境不可避免，但目前我國的研究和立法對此問題都缺乏足夠的關(guān)注。事實上，刑事數(shù)據(jù)出境涉及主權(quán)、安全、權(quán)利保障等諸多重要法益，在處理國家主權(quán)與司法協(xié)助、數(shù)據(jù)安全與數(shù)據(jù)自由流動、常態(tài)開放與個案請求三組關(guān)系時，應(yīng)堅持國家主權(quán)為本、數(shù)據(jù)安全優(yōu)先、個案請求為主的要求。在此前提下，刑事數(shù)據(jù)出境應(yīng)以刑事數(shù)據(jù)分類分級為基礎(chǔ)，堅守必要性原則與目的限制原則，兼顧平臺利益和公民的權(quán)利，并依此確立刑事數(shù)據(jù)出境的請求與接受、安全評估、安全保障和權(quán)利救濟等具體規(guī)則。
一、問題的提出：刑事數(shù)據(jù)出境的特殊性及規(guī)制需求
數(shù)據(jù)具有自由流動的天然屬性，往往跨越實體之疆界而形成數(shù)據(jù)的跨境流動。數(shù)據(jù)的跨境流動包括數(shù)據(jù)入境和數(shù)據(jù)出境兩方面。從維護數(shù)據(jù)的國家安全、商業(yè)機密或個人隱私等角度考量，日本《個人信息保護法》、歐盟《通用數(shù)據(jù)保護條例》(GDPR)和《關(guān)于域外適用和數(shù)據(jù)跨境流動條款適用問題的指南》、美國《澄清境外數(shù)據(jù)的合法使用法案》(又稱《云法案》CLOUD Act)都對數(shù)據(jù)出境規(guī)則加以規(guī)定。我國《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》、國家網(wǎng)信辦《數(shù)據(jù)出境安全評估辦法(征求意見稿)》《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例(征求意見稿)》、質(zhì)檢總局《信息安全技術(shù)數(shù)據(jù)出境安全評估指南(征求意見稿)》對于數(shù)據(jù)出境也有相關(guān)規(guī)定，尤其是《個人信息保護法》第三章的6個條文對個人信息出境規(guī)則作出了較為細致的規(guī)定，從三個維度構(gòu)建了個人信息出境規(guī)則的基本框架，足見國家對此問題的重視。與數(shù)字時代人類社會生活中的其他任何領(lǐng)域一樣，刑事犯罪在網(wǎng)絡(luò)空間留下證據(jù)，這些證據(jù)往往以電子數(shù)據(jù)的形式存在，于是針對網(wǎng)絡(luò)犯罪的追訴活動不得不超越國境，偵查機關(guān)或刑事司法中的其他公權(quán)力需要跨境調(diào)取這些主要以電子數(shù)據(jù)形式呈現(xiàn)的網(wǎng)絡(luò)犯罪證據(jù)，由此產(chǎn)生了刑事數(shù)據(jù)入境和出境的問題。
刑事數(shù)據(jù)與刑事司法的運作密切相關(guān)，從刑事證明之行為意義看，刑事數(shù)據(jù)是推動刑事司法發(fā)展的動力。在司法實踐中，刑事數(shù)據(jù)十分常見，例如包含犯罪嫌疑人或被告人身份信息、定位信息的數(shù)據(jù)，被害人的生物識別數(shù)據(jù)、金融賬戶數(shù)據(jù)等等。需要注意的是，刑事數(shù)據(jù)不同于刑事執(zhí)法數(shù)據(jù)或刑事司法數(shù)據(jù)，所謂刑事執(zhí)法數(shù)據(jù)或刑事司法數(shù)據(jù)是指在刑事執(zhí)法、司法活動中形成的數(shù)據(jù)，雖與刑事數(shù)據(jù)一樣都與刑事司法密切相關(guān)，但刑事執(zhí)法、司法數(shù)據(jù)往往產(chǎn)生于刑事案件偵查完成之后的刑事訴訟活動中，故不具有與刑事案件的同步性，而且其內(nèi)容主要是對刑事司法活動的記錄，亦不具有對案件事實本身的證明價值。
由于刑事數(shù)據(jù)的自身特征，且因其身處刑事司法這樣一個相對封閉、秘密的空間，刑事數(shù)據(jù)出境具有相較于其他類型數(shù)據(jù)出境的顯著特征：第一，刑事數(shù)據(jù)出境帶有強烈的公權(quán)力色彩，相較于其他類型數(shù)據(jù)出境的場景下對平臺或公民意志的關(guān)注，刑事數(shù)據(jù)出境主要是國家公權(quán)力行使的結(jié)果，是國家意志的體現(xiàn)，平臺或公民個人在此過程中鮮有發(fā)言權(quán)或者其作用微乎其微；第二，刑事數(shù)據(jù)出境直接涉及國家主權(quán)和國家間司法協(xié)助問題，因此往往受一國主權(quán)觀念和國際政治關(guān)系等因素影響，刑事數(shù)據(jù)出境時必須極其審慎地考慮可能給國家主權(quán)帶來的影響；第三，刑事數(shù)據(jù)出境與國家安全利益關(guān)系較為密切，刑事數(shù)據(jù)直接影響刑事案件的處理，其中涉及敏感案件的刑事數(shù)據(jù)，例如涉及危害國家安全案件、恐怖活動案件等數(shù)據(jù)，直接關(guān)系一國的核心安全利益，事關(guān)重大；第四，刑事數(shù)據(jù)出境還會對公民權(quán)利造成重大影響。作為出境對象的刑事數(shù)據(jù)往往由大量敏感個人數(shù)據(jù)構(gòu)成，常包含個人種族、身份、宗教信仰、政治理念、生物識別、行蹤軌跡、金融賬戶等信息，一旦被非法處理可能對公民個人的人格尊嚴、財產(chǎn)安全甚至人身安全造成危害。除此之外，刑事數(shù)據(jù)出境直接指向打擊犯罪之目標，其目的即在于對特定人進行刑事追訴，因此刑事數(shù)據(jù)出境對公民的個人權(quán)益影響甚大。
由于存在上述特殊性，針對刑事數(shù)據(jù)出境制度確立專門的規(guī)則實屬必要。歐美、俄羅斯等對于刑事數(shù)據(jù)出境制度已有一些規(guī)定。如由歐盟主導(dǎo)、目前已有60多個國家加入的《網(wǎng)絡(luò)犯罪公約》第32條、美國的《云法案》規(guī)定等。盡管歐盟GDPR第2條關(guān)于該條例不適用于刑事司法的規(guī)定使其第五章的數(shù)據(jù)出境規(guī)則無法直接適用于刑事數(shù)據(jù)，但專門適用于刑事司法的歐盟第2016/680號指令要求在對個人數(shù)據(jù)給予高水平保護的前提下為其出境提供便利，并在第五章中設(shè)定了具體規(guī)則。相較于歐美，俄羅斯對于刑事數(shù)據(jù)出境則態(tài)度保守，盡管其也有數(shù)據(jù)出境“白名單”制度，但2014年頒布的《關(guān)于信息、信息技術(shù)和信息保護法》修正案等相關(guān)法律從“數(shù)據(jù)主權(quán)”出發(fā)，在數(shù)據(jù)本地化制度的基礎(chǔ)上對數(shù)據(jù)出境進行極為嚴格的監(jiān)管，2019年頒布《主權(quán)互聯(lián)網(wǎng)法》嘗試建立區(qū)別于因特網(wǎng)的俄式互聯(lián)網(wǎng)，包括刑事數(shù)據(jù)在內(nèi)的數(shù)據(jù)本地化要求進一步提升，使得刑事數(shù)據(jù)出境受限重重。
盡管不同國家對刑事數(shù)據(jù)出境采取不同的態(tài)度，但對其需要設(shè)置規(guī)則加以規(guī)制的認識是一致的。我國法律法規(guī)中對于刑事數(shù)據(jù)出境規(guī)則也缺少規(guī)定，與數(shù)據(jù)安全保護相關(guān)的《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》以及相關(guān)法規(guī)、指南，均無針對刑事數(shù)據(jù)出境問題的規(guī)定，2018的《國際刑事司法協(xié)助法》對此問題亦未提及。面對刑事數(shù)據(jù)出境的現(xiàn)實需求及其特殊性，立法的空白和學(xué)術(shù)研究的不足使得實踐中無據(jù)可依、做法混亂，因此有必要展開對刑事數(shù)據(jù)出境的研究并確立相關(guān)規(guī)則。
二、確立刑事數(shù)據(jù)出境規(guī)則需處理的關(guān)鍵問題
刑事數(shù)據(jù)出境事關(guān)重大，需要妥善處理好國家主權(quán)與司法協(xié)助、數(shù)據(jù)安全與數(shù)據(jù)自由流動、常態(tài)開放與個案請求這三組關(guān)系，從而解決確立刑事數(shù)據(jù)出境規(guī)則中的基礎(chǔ)性關(guān)鍵問題，確保其基石穩(wěn)固。
(一)國家主權(quán)為本
刑事數(shù)據(jù)出境涉及國家主權(quán)與國家間司法協(xié)助的需要，處理好這二者的關(guān)系是確立刑事數(shù)據(jù)出境規(guī)則的基礎(chǔ)。針對維護國家主權(quán)和促進國家間司法協(xié)助的兩種目的，可以假設(shè)存在一個坐標軸，在坐標軸的一端是基于絕對的維護國家主權(quán)的立場而禁止刑事數(shù)據(jù)出境，另一端則是基于極端的司法協(xié)助立場允許刑事數(shù)據(jù)不加限制地自由出境。顯然在數(shù)據(jù)處理的真實世界中，任何一個國家都不會選擇該坐標軸的任一端，而只能在兩端之間有傾向性地平衡二者的關(guān)系。
處理國家主權(quán)與司法協(xié)助需要之間的關(guān)系，落實在刑事數(shù)據(jù)跨境流動層面上，實際應(yīng)當做的是對刑事數(shù)據(jù)的“出”與“入”進行利益衡量。各國從自身打擊犯罪的利益出發(fā)，面對與網(wǎng)絡(luò)犯罪相關(guān)的數(shù)據(jù)常存儲在其他國家的現(xiàn)實，天然地希望更便捷、快速、大量地從境外調(diào)取數(shù)據(jù)。例如2016年最高人民法院、最高人民檢察院、公安部頒布的《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》第9條，明確規(guī)定對于原始存儲介質(zhì)位于境外或者遠程計算機信息系統(tǒng)上的電子數(shù)據(jù)，可以通過網(wǎng)絡(luò)在線提取。但問題在于刑事數(shù)據(jù)的“出”與“入”是一個硬幣的兩面，任何一個國家都不可能只“取”而不“予”,因此基于國家間刑事司法協(xié)作的需要，要想有效獲得境外數(shù)據(jù)，不免也要對其他國家的執(zhí)法司法機關(guān)調(diào)取存儲在本國境內(nèi)的刑事數(shù)據(jù)作出必要的許可。
在刑事數(shù)據(jù)出境問題上對國家主權(quán)與司法協(xié)助需要之間關(guān)系的處理，本質(zhì)上是基于國家利益選擇的結(jié)果。就我國而言，針對刑事數(shù)據(jù)出境問題，維護國家主權(quán)應(yīng)是根本需求，在滿足維護國家主權(quán)的基礎(chǔ)上也可以兼顧國家間司法協(xié)助之必要。面對某些國家在數(shù)據(jù)領(lǐng)域的霸權(quán)行為，例如通過數(shù)據(jù)技術(shù)優(yōu)勢實施“棱鏡門”等秘密監(jiān)控項目以非法收集存儲在其他國家的數(shù)據(jù)，我國從維護數(shù)據(jù)主權(quán)的目標出發(fā)，在《網(wǎng)絡(luò)安全法》第37條、《數(shù)據(jù)安全法》第31條均對數(shù)據(jù)出境作出了較為嚴格的限制；但是另一方面，我國對于數(shù)據(jù)領(lǐng)域的國際交流合作又持有積極態(tài)度，愿意在保障國家主權(quán)和平等互惠的基礎(chǔ)上促進數(shù)據(jù)的跨境流動。
遵照此種處理國家主權(quán)與司法協(xié)助需要之間關(guān)系的基本原則，刑事司法領(lǐng)域的數(shù)據(jù)出境問題一方面應(yīng)當根據(jù)被稱為中國版“封阻法令”(blocking statute)的《數(shù)據(jù)安全法》第36條、《個人信息保護法》第41條、《國際刑事司法協(xié)助法》第4條第3款之規(guī)定，禁止未經(jīng)主管機關(guān)同意而向外國提供刑事數(shù)據(jù)，并在必要時參考商務(wù)部《阻斷外國法律與措施不當域外適用辦法》的思路禁止外國法律的適用和外國措施的遵守；另一方面可以按照平等互惠的原則、通過個案審查的方式開展刑事數(shù)據(jù)方面的國際刑事司法協(xié)助，促成必要合理的刑事數(shù)據(jù)出境。
(二)數(shù)據(jù)安全優(yōu)先
禁止數(shù)據(jù)自由流動、構(gòu)建“數(shù)據(jù)孤島”,不但有違數(shù)字時代數(shù)據(jù)處理的規(guī)律，而且往往成本過高甚至難以實現(xiàn)?；趯?shù)據(jù)自由流動的基本要求，許多法律文件都肯認數(shù)據(jù)自由流動的基本原則，即便在數(shù)據(jù)出境問題上，自由的數(shù)據(jù)跨境流動仍是其核心要旨之一。我國《數(shù)據(jù)安全法》第11條即明確表態(tài)：“國家積極開展數(shù)據(jù)安全治理、數(shù)據(jù)開發(fā)利用等領(lǐng)域的國際交流與合作，參與數(shù)據(jù)安全相關(guān)國際規(guī)則和標準的制定，促進數(shù)據(jù)跨境安全、自由流動?！钡?，數(shù)據(jù)的自由流動特別是跨境自由流動也會帶來安全風險，除了上文所述對國家主權(quán)和國家安全所帶來的威脅之外，還會給商業(yè)安全以及公民的個人數(shù)據(jù)安全帶來不利影響。例如2017年即有媒體爆料稱一個名為CosmicDark的供應(yīng)商在暗網(wǎng)售賣優(yōu)酷的數(shù)據(jù)庫，該數(shù)據(jù)庫包括了100759591條優(yōu)酷用戶賬戶信息，這不但損害了優(yōu)酷公司的商譽，也損害了優(yōu)酷個人用戶的數(shù)據(jù)安全。如此看來，不但國家安全在數(shù)據(jù)出境的場景下可能受到影響，商業(yè)機構(gòu)也可能因數(shù)據(jù)出境導(dǎo)致商業(yè)機密泄露而遭受商業(yè)利益方面的損失，而公民個人更可能因為數(shù)據(jù)出境過程中的非法獲取、利用或篡改、破壞、泄露，遭受隱私、財產(chǎn)甚至人身安全的威脅。
刑事數(shù)據(jù)出境更為敏感復(fù)雜。刑事數(shù)據(jù)往往與國家安全關(guān)系緊密，且常包含個人敏感數(shù)據(jù)，無論出于他國追訴刑事犯罪之需要或其他目的出境，都可能帶來數(shù)據(jù)安全方面的風險，此種風險既可能針對國家，也可能直接指向企業(yè)或公民個人，因此考慮刑事數(shù)據(jù)出境問題時應(yīng)當以數(shù)據(jù)安全為先，兼顧數(shù)據(jù)自由流動的需求。
基于此種思路，具體應(yīng)當考慮以下幾方面問題：一是刑事數(shù)據(jù)出境對象國的情況，包括該對象國與本國是否存在刑事數(shù)據(jù)出境的平等互惠關(guān)系、其法治水平和對數(shù)據(jù)安全的保護程度等。美國《云法案》“適格外國政府”審查和俄羅斯的“白名單”制度均包含對上述因素的考慮。我國亦可依據(jù)這些因素作出平衡，即認為與我國有平等互惠關(guān)系、法治水平較高和數(shù)據(jù)安全保護能力較強的國家可以對出境刑事數(shù)據(jù)提供較好的安全保障時，刑事數(shù)據(jù)出境的自由性可相對較高。二是欲出境的刑事數(shù)據(jù)的類型。刑事數(shù)據(jù)也應(yīng)當以數(shù)據(jù)分類分級為基礎(chǔ)設(shè)置不同的出境規(guī)則，根據(jù)其與國家安全或個人數(shù)據(jù)安全的關(guān)系，輕其所輕、重其所重地作出安排(下文詳述)。三是可能采取的安全保障措施。若對于欲出境的刑事數(shù)據(jù)已做安全性、保密性的處理，或針對出境過程或出境后的數(shù)據(jù)處理行為有充分之安全保障機制，則此種刑事數(shù)據(jù)出境的自由度也應(yīng)有所提升。通過考慮上述因素，在刑事數(shù)據(jù)出境問題上平衡數(shù)據(jù)安全與數(shù)據(jù)自由流動關(guān)系后，可以實現(xiàn)保障數(shù)據(jù)安全、兼顧數(shù)據(jù)自由流動之效果。
(三)個案請求為主
除了處理好國家主權(quán)與司法協(xié)助、數(shù)據(jù)安全與數(shù)據(jù)自由流動這兩組關(guān)系外，針對刑事數(shù)據(jù)出境，還需要妥善協(xié)調(diào)基于常態(tài)開放與個案辦理目的這兩種數(shù)據(jù)出境。實踐中一些國家之間或某些國家針對特定類型的刑事案件構(gòu)建起了常態(tài)性的刑事數(shù)據(jù)跨境流動開放機制。例如歐盟2016/680號指令第35條即試圖在作出必要的限定之外盡可能促成歐盟成員國之間構(gòu)建一種相對自由的刑事領(lǐng)域個人數(shù)據(jù)出境制度。再如《網(wǎng)絡(luò)犯罪公約》第32條關(guān)于一方可未經(jīng)另一方授權(quán)即可通過其境內(nèi)的計算機系統(tǒng)訪問或接收存儲在另一締約國的計算機數(shù)據(jù)的規(guī)定，實際上是針對網(wǎng)絡(luò)犯罪這一特定犯罪類型確立了常態(tài)化的、開放數(shù)據(jù)邊境的刑事數(shù)據(jù)出境機制。
除了常態(tài)化的刑事數(shù)據(jù)出境形態(tài)外，司法實踐中更為常見的情況是基于個案的辦理需要而通過司法協(xié)助途徑完成刑事數(shù)據(jù)出境。例如我國已與美、英、法、澳等數(shù)十個國家簽訂了刑事司法協(xié)助雙邊條約或協(xié)定，其中均有協(xié)助調(diào)取證據(jù)之規(guī)定，如我國與巴西的《刑事司法協(xié)助條約》第10條第1款規(guī)定“被請求方應(yīng)當根據(jù)本國法律并依請求，調(diào)取證據(jù)并移交給請求方”,所言協(xié)助調(diào)取之證據(jù)自然包括電子數(shù)據(jù)。根據(jù)這些雙邊條約或協(xié)定、以“請求-調(diào)取并移交”方式而實現(xiàn)的刑事數(shù)據(jù)出境顯然是依據(jù)個案辦理的具體需求而進行的。
常態(tài)開放式與個案請求式的刑事數(shù)據(jù)出境方式各有利弊。常態(tài)開放式的刑事數(shù)據(jù)出境，其最大的優(yōu)點在于高效，如根據(jù)《網(wǎng)絡(luò)犯罪公約》第32條任一締約國對于存儲在其他締約國境內(nèi)的可公開獲得(開放源碼)的數(shù)據(jù)可以調(diào)取、對于其他數(shù)據(jù)亦可在取得合法自愿同意后調(diào)取，此種刑事數(shù)據(jù)出境無須經(jīng)由數(shù)據(jù)存儲國授權(quán)即可完成。相較于常態(tài)開放，個案請求式的刑事數(shù)據(jù)出境方式顯然效率較低，其間包含大量的文書工作、審批流程，一次刑事數(shù)據(jù)出境的請求可遲至數(shù)月甚至經(jīng)年方可完成。但是個案請求式的刑事數(shù)據(jù)出境，其優(yōu)勢在于數(shù)據(jù)存儲國對于刑事數(shù)據(jù)的出境有最終決定的權(quán)力，可以根據(jù)本國利益考慮是否允許刑事數(shù)據(jù)出境以及在何種程度上或以何種方式進行刑事數(shù)據(jù)出境。
由此可見，常態(tài)開放式與個案請求式的刑事數(shù)據(jù)出境方式，從本質(zhì)上看二者最大的區(qū)別在于刑事數(shù)據(jù)出境的主動權(quán)由何方掌控這一點上。常態(tài)開放式的主動權(quán)主要在從他國境內(nèi)取得數(shù)據(jù)的一方手中，而個案請求式的主動權(quán)則牢牢地由數(shù)據(jù)存儲國所掌握。就我國而言，基于便利國際司法合作、打擊跨國網(wǎng)絡(luò)犯罪的需要，可以在平等互惠的原則下開展有限的常態(tài)開放式刑事數(shù)據(jù)出境方式的嘗試與探索，提升刑事數(shù)據(jù)跨境流動以服務(wù)刑事訴訟活動的效率。但是，如上文所述針對刑事數(shù)據(jù)出境問題維護國家主權(quán)乃是首要需求，因此考慮保障數(shù)據(jù)主權(quán)和數(shù)據(jù)安全的現(xiàn)實需要，個案請求式的刑事數(shù)據(jù)出境方式由于主動權(quán)由我國所掌握，相應(yīng)的風險較小，且已有大量刑事司法協(xié)助雙邊條約或協(xié)定之規(guī)定為基礎(chǔ)，較易被接受，因此應(yīng)成為我國刑事數(shù)據(jù)出境的主要方式。
三、確立刑事數(shù)據(jù)出境規(guī)則的基本要求
(一)以刑事數(shù)據(jù)分類分級為基礎(chǔ)
根據(jù)數(shù)據(jù)的不同屬性以及被非法處理可能導(dǎo)致的后果，可以對數(shù)據(jù)進行分類分級。數(shù)據(jù)分類與數(shù)據(jù)分級之間存在緊密關(guān)系，但亦有差別。數(shù)據(jù)分類是以數(shù)據(jù)的屬性為標準的，這些屬性包括內(nèi)容、來源、特征、作用等，凡按照某一標準判斷而具有相同屬性的數(shù)據(jù)即可歸為一類，例如根據(jù)數(shù)據(jù)所處之行業(yè)與領(lǐng)域，可以將數(shù)據(jù)劃分為金融、交通、能源、醫(yī)療健康、電子政務(wù)等不同領(lǐng)域的數(shù)據(jù)。
而數(shù)據(jù)分級則是以后果為標準進行的，根據(jù)數(shù)據(jù)承載的法益大小以及被非法處理后可能導(dǎo)致的危害結(jié)果大小進行級別劃分。數(shù)據(jù)分類分級是構(gòu)建數(shù)據(jù)處理規(guī)則的必要前提，根據(jù)不同類型、不同級別的數(shù)據(jù)規(guī)定不同的處理規(guī)則、采取不同的安全保護措施，可以有效地避免平均用力而舍重取輕。具體而言，第一種最簡單的分類方式即是根據(jù)數(shù)據(jù)所處的訴訟階段以及由哪個機關(guān)所掌握，將刑事數(shù)據(jù)區(qū)分成偵查數(shù)據(jù)、檢察數(shù)據(jù)和審判數(shù)據(jù)等，此種分類可以探究數(shù)據(jù)因其所處階段的秘密性、封閉性差異而應(yīng)采取的不同處理規(guī)則；第二種分類方式是根據(jù)取得數(shù)據(jù)的方式將刑事數(shù)據(jù)分為秘密取得的數(shù)據(jù)、通過公開途徑取得的數(shù)據(jù)和經(jīng)同意取得的數(shù)據(jù)，不同方式取得的數(shù)據(jù)在傳輸、共享、公開等方面有不同的限制；第三種分類方式是根據(jù)數(shù)據(jù)的內(nèi)容將刑事數(shù)據(jù)分為身份數(shù)據(jù)和行為數(shù)據(jù)，其中行為數(shù)據(jù)對于認定案件事實和定罪量刑有重要的意義。就數(shù)據(jù)分級而言，參考《數(shù)據(jù)安全法》第21條的思路，刑事數(shù)據(jù)亦可分為國家核心數(shù)據(jù)、重要數(shù)據(jù)和一般數(shù)據(jù)三個級別：刑事數(shù)據(jù)中與國防、外交、社會經(jīng)濟核心秘密相關(guān)的，由于一旦被非法處理可能危及國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益，因而屬于國家核心數(shù)據(jù)；其他對國家安全、公共利益、個人合法權(quán)益有重要意義的數(shù)據(jù)則是重要數(shù)據(jù)，其中最為典型的即是生物識別數(shù)據(jù)、特定身份、金融賬戶等敏感個人數(shù)據(jù)；除國家核心數(shù)據(jù)與重要數(shù)據(jù)之外的刑事數(shù)據(jù)則被歸入一般數(shù)據(jù)。盡管《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例(征求意見稿)》第73條規(guī)定執(zhí)法司法數(shù)據(jù)屬于重要數(shù)據(jù)，但如上文所述，刑事數(shù)據(jù)與執(zhí)法司法數(shù)據(jù)概念之內(nèi)涵不同，筆者認為刑事數(shù)據(jù)仍應(yīng)做國家核心數(shù)據(jù)、重要數(shù)據(jù)、一般數(shù)據(jù)的三級劃分。
刑事數(shù)據(jù)分類分級制度是其出境制度之基礎(chǔ)，對于確立刑事數(shù)據(jù)出境規(guī)則有著重要的指導(dǎo)意義，具體體現(xiàn)在兩個方面：其一，應(yīng)根據(jù)刑事數(shù)據(jù)的分類對不同類型的刑事數(shù)據(jù)設(shè)定不同的出境限制。例如按照刑事數(shù)據(jù)的取得方式不同，對于通過公開途徑取得的刑事數(shù)據(jù)，或已為新聞媒體所公開報道、或被追訴人自行公開的數(shù)據(jù)，出境的限制應(yīng)較少，甚至可以如《網(wǎng)絡(luò)犯罪公約》第32條之規(guī)定不加限制；但對于系秘密取得之數(shù)據(jù)，由于其自身內(nèi)容尚未公開、是否與國家安全或社會公共利益等法益相關(guān)尚未可知，則需經(jīng)歷較為嚴格的安全審查；對于經(jīng)作為數(shù)據(jù)主體的犯罪嫌疑人、被告人或被害人等同意而取得的刑事數(shù)據(jù)，在數(shù)據(jù)出境問題上還需再考慮數(shù)據(jù)主體的意愿，因為此前數(shù)據(jù)主體之同意僅指向數(shù)據(jù)收集行為而不涉及數(shù)據(jù)出境。其二，應(yīng)根據(jù)刑事數(shù)據(jù)的分級對不同級別的刑事數(shù)據(jù)規(guī)定不同的出境規(guī)則。對于一般數(shù)據(jù)，因其承載法益及非法處理之后果相對較小，因而應(yīng)有較高程度的自由流動性，通常應(yīng)允許其出境；對于重要數(shù)據(jù)，因其重要性及被非法處理后的嚴重后果，則需進行嚴格的安全評估、并在有充分安全保障的前提下方可出境，例如對于敏感個人數(shù)據(jù)需考慮其出境后被使用之目的、方式、后果等因素，以防止對公民個人的合法利益造成不合理的損害；對于刑事數(shù)據(jù)中關(guān)系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益等的國家核心數(shù)據(jù)，從維護國家主權(quán)和保障數(shù)據(jù)安全的要求出發(fā)，一般不應(yīng)允許其出境。
(二)堅守必要性原則與目的限制原則
必要性原則的要旨在于，當公權(quán)力有多種行使方式之選擇均得以實現(xiàn)其目的時，應(yīng)選擇對公民權(quán)利侵害最小的方式，因此又被稱為最小侵害原則。早至1980年經(jīng)濟合作與發(fā)展組織《關(guān)于保護隱私和個人數(shù)據(jù)跨境流通的指南》中提出的“數(shù)據(jù)質(zhì)量原則”即包含必要性原則的內(nèi)容，歐盟自1995年的《個人數(shù)據(jù)保護指令》至2016年的GDPR中均有“相關(guān)”“必要”等原則性要求。我國《數(shù)據(jù)安全法》《個人信息保護法》中也包含必要性的要求，例如《個人信息保護法》第5條明確規(guī)定“處理個人信息應(yīng)當遵循合法、正當、必要和誠信原則”。刑事數(shù)據(jù)處理同樣有必要性之原則要求，歐盟2016/680號指令第4條第1款要求“相關(guān)且不過度”,我國《刑事訴訟法》在涉及個人數(shù)據(jù)收集的偵查一章中多次用“必要”一詞對偵查行為加以限制，2016年《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》及2019年《公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》中也有必要性的規(guī)定。就刑事數(shù)據(jù)出境問題而言，必要性原則提出了三方面的要求：第一，刑事數(shù)據(jù)出境需經(jīng)過必要性之評估。國家網(wǎng)信辦2021年《數(shù)據(jù)出境安全評估辦法(征求意見稿)》第8條將必要性評估作為數(shù)據(jù)安全評估之重點內(nèi)容，刑事數(shù)據(jù)出境同樣如此，經(jīng)過評估確有必要出境應(yīng)成為刑事數(shù)據(jù)出境的必要條件。第二，出境的刑事數(shù)據(jù)應(yīng)遵循最小化的要求。既然必要性原則要求盡可能減小對公民權(quán)利的影響，則在刑事數(shù)據(jù)出境的問題上，應(yīng)以滿足出境目的為限度，盡量避免不必要或過度之刑事數(shù)據(jù)出境。第三，若出境之必要性消失，應(yīng)及時停止刑事數(shù)據(jù)出境。例如，在實踐中存在一國向數(shù)據(jù)存儲國提出刑事數(shù)據(jù)出境的請求后又因種種原因放棄對該案的刑事追訴，或該國在此種刑事數(shù)據(jù)出境之前就完成了刑事訴訟程序之情形，在出現(xiàn)此等刑事數(shù)據(jù)出境目的不復(fù)存在之情形時，應(yīng)及時停止刑事數(shù)據(jù)的出境。
而目的限制原則要求公權(quán)力的行使方式需以其目的為指向，即行為方式的選擇需符合行為目的完成之需要。目的限制原則對數(shù)據(jù)處理提出了兩個階段的要求：一是在數(shù)據(jù)收集階段，要求在收集數(shù)據(jù)之前即已有特定合法之目的；二是在數(shù)據(jù)的后續(xù)使用階段，要求對數(shù)據(jù)的使用應(yīng)受到收集目的之限制，即對該數(shù)據(jù)的處理不得違背最初的目的。我國《個人信息保護法》第6條規(guī)定“處理個人信息應(yīng)當具有明確、合理的目的，并應(yīng)當與處理目的直接相關(guān)”。刑事司法領(lǐng)域針對數(shù)據(jù)處理的目的限制原則是指對數(shù)據(jù)的收集使用不得用于刑事訴訟之外的其他目的，而只能用于《刑事訴訟法》第152條第3款所言之“對犯罪的偵查、起訴和審判”。就刑事數(shù)據(jù)出境問題而言，一方面，目的限制原則要求刑事數(shù)據(jù)出境有合法之目的支撐，即一國向數(shù)據(jù)存儲國提出刑事數(shù)據(jù)出境請求時即應(yīng)告知此種出境之目的，例如我國與巴西的《刑事司法協(xié)助條約》第4條第2款規(guī)定：“請求應(yīng)當包括以下內(nèi)容：……(三)對于請求提供的協(xié)助、協(xié)助的目的以及與案件相關(guān)性的說明……”我國與其他國家簽訂的雙邊司法協(xié)助協(xié)定或條約中亦有類似規(guī)定。另一方面，根據(jù)目的限制原則，從數(shù)據(jù)存儲國出境的刑事數(shù)據(jù)通常需經(jīng)過該國同意后方可用于有別于提出請求時所說明的其他目的，如我國與澳大利亞的《刑事司法協(xié)助條約》第8條第3款規(guī)定：“未經(jīng)被請求方事先同意，請求方不得將根據(jù)本條約所獲得的資料或者證據(jù)用于請求所述之外的目的?！?/span>
(三)兼顧平臺利益和公民權(quán)利
盡管無論常態(tài)開放式的刑事數(shù)據(jù)出境還是我國主要采取的個案請求式刑事數(shù)據(jù)出境，其本質(zhì)皆在于國與國之間的博弈，主要涉及各國之間公權(quán)力的互動關(guān)系。然而出境的刑事數(shù)據(jù)中相當一部分是個人數(shù)據(jù)，對其的相關(guān)處理必然影響公民個人利益，直接關(guān)系該公民的生命、自由、財產(chǎn)等核心法益。既然與公民利益攸關(guān)，在刑事數(shù)據(jù)出境的問題上關(guān)注國家利益的同時，也不能不重視對公民的權(quán)利保障，以實現(xiàn)國家與公民數(shù)據(jù)權(quán)利的互動。數(shù)據(jù)產(chǎn)業(yè)平臺亦在刑事數(shù)據(jù)出境中扮演重要角色，刑事司法中的公權(quán)力機關(guān)調(diào)取欲出境之刑事數(shù)據(jù)，不免通過平臺完成，例如曠日持久的美國訴微軟案即是一例，因而其中的平臺利益亦需納入考慮范疇。
刑事數(shù)據(jù)出境因其“公”的屬性，針對公民權(quán)利的保護需基于有限的特殊場景，具體而言主要包括三方面內(nèi)容：第一，在必要情形下適度保障作為數(shù)據(jù)主體的公民在刑事數(shù)據(jù)出境問題上的知情與決定的權(quán)利?！案嬷?同意”原則體現(xiàn)了對數(shù)據(jù)主體自由意志之尊重，在刑事數(shù)據(jù)出境中仍有適用空間。對此需要注意：一是知情與決定權(quán)利的行使需以不妨礙刑事案件的辦理為前提，例如在符合法定證據(jù)開示條件時，方可告知并取得同意；二是對于不同主體的知情與決定權(quán)的保障力度不同，例如被害人的相應(yīng)權(quán)利宜受較多保護，但犯罪嫌疑人、被告人的此種權(quán)利即需嚴格限制，通常應(yīng)限于該數(shù)據(jù)系以任意偵查方式取得之情形。第二，在符合前述知情條件的前提下，應(yīng)允許公民就出境的刑事數(shù)據(jù)出境行使更正和反對的權(quán)利。更正權(quán)在刑事司法中的適用障礙較小，涉及刑事數(shù)據(jù)出境時數(shù)據(jù)主體可以就出境之個人數(shù)據(jù)中的不準確或不完整的的情形提出更正或補充的請求；反對權(quán)在其中的適用難度較大，通常需根據(jù)證據(jù)排除的規(guī)定主張此種權(quán)利。在刑事數(shù)據(jù)出境制度中，當數(shù)據(jù)主體發(fā)現(xiàn)此種刑事數(shù)據(jù)系以非法手段取得，例如其取得方式屬于我國《刑事訴訟法》第56條所規(guī)定的“不符合法定程序”“可能嚴重影響司法公正”且不能“補正”或“作出合理解釋”的情形，則可以提出反對該數(shù)據(jù)出境的主張。第三，當刑事數(shù)據(jù)出境的目的不復(fù)存在或已然完成時，應(yīng)許可公民主張刪除或封存相關(guān)數(shù)據(jù)。刑事數(shù)據(jù)出境的目的不復(fù)存在的情形例如因已有確鑿證據(jù)證明被追訴人無罪或不應(yīng)承擔刑事責任而放棄對其的刑事追訴；刑事數(shù)據(jù)出境的目的已然完成的情形例如刑事定罪已經(jīng)完成且執(zhí)行完畢或無罪判決已經(jīng)作出，可以根據(jù)案件情形許可對相關(guān)數(shù)據(jù)的刪除或封存。
在刑事數(shù)據(jù)出境的場景下對平臺利益的兼顧亦受限制。在美國訴微軟案中，微軟依據(jù)數(shù)據(jù)存儲地標準主張數(shù)據(jù)存儲國對數(shù)據(jù)擁有管轄權(quán)，其背后乃是基于商業(yè)利益之考慮，而美國政府依數(shù)據(jù)控制者標準主張對美國公司所掌控的數(shù)據(jù)的管轄權(quán)，是對國家主權(quán)的擴張理解，這一案件充分體現(xiàn)了在刑事數(shù)據(jù)跨境流動中的國家主權(quán)與平臺商業(yè)利益的沖突。面對此種沖突，需明確以下幾點以實現(xiàn)刑事數(shù)據(jù)出境中對平臺利益的適當兼顧：第一，在刑事數(shù)據(jù)出境的場景下，對平臺利益的保障以不損害國家主權(quán)、數(shù)據(jù)安全等利益為前提。在保障上述利益的前提下，在調(diào)取平臺數(shù)據(jù)、實施刑事數(shù)據(jù)出境的過程中亦應(yīng)按照必要性、目的限制等原則避免公權(quán)力的過度運用損害平臺利益。第二，為刑事數(shù)據(jù)出境而從平臺調(diào)取數(shù)據(jù)應(yīng)嚴格遵循法定程序。在西方國家，從平臺調(diào)取數(shù)據(jù)需申請法官簽發(fā)令狀。而在我國，雖無令狀制度，但從平臺調(diào)取數(shù)據(jù)仍有嚴格的內(nèi)部審批規(guī)定。參考《刑事訴訟法》對技術(shù)偵查的要求，應(yīng)“經(jīng)過嚴格的批準手續(xù)”,經(jīng)國際刑事司法協(xié)助的執(zhí)行機關(guān)辦案部門提出申請、制作《呈請調(diào)取數(shù)據(jù)報告書》,由設(shè)區(qū)的市一級以上執(zhí)行機關(guān)負責人批準后，開具《調(diào)取數(shù)據(jù)通知書》,注明需要調(diào)取的刑事數(shù)據(jù)的相關(guān)信息，通知平臺提供。第三，應(yīng)為平臺就刑事數(shù)據(jù)出境問題提供必要的救濟途徑，對此下文詳述。
四、我國刑事數(shù)據(jù)出境的具體規(guī)則構(gòu)想
我國在刑事數(shù)據(jù)出境問題上應(yīng)當從維護國家主權(quán)和保障數(shù)據(jù)安全的視角出發(fā)，以個案請求式為刑事數(shù)據(jù)出境的主要方式。在此前提下根據(jù)刑事數(shù)據(jù)分類分級的要求，遵循必要性原則與目的限制原則，并兼顧公民的數(shù)據(jù)權(quán)利，可以提出確立我國刑事數(shù)據(jù)出境規(guī)則的具體構(gòu)想。
(一)刑事數(shù)據(jù)出境的請求與接受
由于我國應(yīng)以個案請求式的刑事數(shù)據(jù)出境方式為主，因而當外國向我國提出刑事數(shù)據(jù)出境的請求時，可以參考我國《國際刑事司法協(xié)助法》所規(guī)定的關(guān)于向我國請求刑事司法協(xié)助的一般規(guī)則。但《國際刑事司法協(xié)助法》僅在第四章“調(diào)查取證”第28條規(guī)定外國向我國請求調(diào)查取證時將“獲取并提取……電子數(shù)據(jù)……”作為其內(nèi)容，缺少細化規(guī)定。事實上，根據(jù)上文所述的特點、關(guān)鍵問題和基本要求，我國在確立刑事數(shù)據(jù)出境規(guī)則時需要明確以下兩點。
第一，根據(jù)個案具體情況，對于刑事數(shù)據(jù)出境的請求可以拒絕、延遲或附條件予以協(xié)助。對于外國提出的刑事數(shù)據(jù)出境請求可予以拒絕的情形，可以根據(jù)《國際刑事司法協(xié)助法》第14條關(guān)于拒絕提供刑事司法協(xié)助的規(guī)定，包括根據(jù)我國法律不屬于犯罪、已受我國刑事處罰、政治或軍事犯罪、基于不公平原因或缺乏實質(zhì)性聯(lián)系，等等。但在一些情形下，亦可以接受請求但推遲刑事數(shù)據(jù)出境，例如當被請求的刑事數(shù)據(jù)正在國內(nèi)的刑事訴訟程序中被使用，而其出境將影響國內(nèi)刑事訴訟程序的進行，則可以待國內(nèi)刑事訴訟程序結(jié)束后再完成該刑事數(shù)據(jù)的出境。還有一些情形，可以在接受請求后就刑事數(shù)據(jù)出境附加條件，例如當出境的刑事數(shù)據(jù)屬于重要數(shù)據(jù)或基于例外而允許出境的國家核心數(shù)據(jù)，可以要求請求國提供額外的保密或不得損害我國利益的承諾。
第二，必要時可以將刑事數(shù)據(jù)出境的請求告知作為數(shù)據(jù)主體的公民個人并取得其同意。如上文所述，在刑事數(shù)據(jù)出境的場景下亦有貫徹“告知-同意”之要求而保障數(shù)據(jù)主體的知情權(quán)和決定權(quán)的必要，尤其在數(shù)據(jù)主體是刑事被害人時，此種告知更顯必要。但是此種“告知-同意”需要注意幾個問題。首先，對刑事數(shù)據(jù)出境請求向數(shù)據(jù)主體告知應(yīng)限于特定情形，即此刑事數(shù)據(jù)本身系經(jīng)同意而取得，數(shù)據(jù)主體的同意提供了該刑事數(shù)據(jù)處理的合法性前提，則在對此類數(shù)據(jù)依請求而出境時方有再告知并取得同意之必要。其次，對刑事數(shù)據(jù)出境的告知應(yīng)避免對其請求目的的損害。此種請求的目的一般源自請求國辦理刑事案件的需要，其中相當部分涉及保密性極強的案件，如恐怖主義犯罪、跨國有組織犯罪等，在此種情況下向數(shù)據(jù)主體的告知可能與請求之目的發(fā)生沖突，因此告知應(yīng)在符合請求國與我國法律規(guī)定之證據(jù)開示的條件下方可進行。再次，對刑事數(shù)據(jù)出境的告知應(yīng)征詢請求國意見，請求國若不同意將刑事數(shù)據(jù)出境告知數(shù)據(jù)主體，可以選擇向我國作出保障數(shù)據(jù)主體相關(guān)個人數(shù)據(jù)安全的保證，也可以選擇撤回刑事數(shù)據(jù)出境之請求。
(二)刑事數(shù)據(jù)出境的安全評估
在數(shù)據(jù)出境中維護國家安全和保障數(shù)據(jù)安全的最有效手段之一就是進行數(shù)據(jù)出境的安全評估，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》等數(shù)據(jù)安全領(lǐng)域的基礎(chǔ)性法律和《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例(征求意見稿)》均將安全評估作為數(shù)據(jù)出境的前置條件之一，國家網(wǎng)信辦2021年《數(shù)據(jù)出境安全評估辦法(征求意見稿)》也專門針對這一問題進行規(guī)定。在刑事數(shù)據(jù)出境的場景下，進行安全評估同樣是極其關(guān)鍵的環(huán)節(jié)，但刑事數(shù)據(jù)出境的安全評估基于其自身特點，有幾方面問題需要專門規(guī)定。
第一，刑事數(shù)據(jù)出境均應(yīng)經(jīng)過安全評估。
上述法律法規(guī)基本遵循將安全評估作為數(shù)據(jù)出境前置條件之一并明確必須經(jīng)過安全評估的特殊情形的思路，對安全評估的適用情形加以規(guī)定。在確定必須經(jīng)過安全評估的特殊情形時，相關(guān)法律主要考慮兩個方面的問題。一是出境數(shù)據(jù)的重要性，例如是否包含重要數(shù)據(jù)、是否是關(guān)鍵信息基礎(chǔ)設(shè)施運用者收集的數(shù)據(jù)等。二是數(shù)據(jù)處理者所處理數(shù)據(jù)的數(shù)量，例如《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例(征求意見稿)》第37條和《數(shù)據(jù)出境安全評估辦法(征求意見稿)》第4條都將處理一百萬人以上個人信息的數(shù)據(jù)處理者納入數(shù)據(jù)出境安全評估的范圍。但是《個人信息保護法》第36條規(guī)定國家機關(guān)處理的個人信息確需向境外提供的應(yīng)當進行安全評估。參考這些規(guī)定，筆者認為刑事數(shù)據(jù)出境均需進行安全評估。第一種情形是出境的刑事數(shù)據(jù)中包含國家核心數(shù)據(jù)和重要數(shù)據(jù)，例如涉及國家安全的刑事數(shù)據(jù)、敏感個人數(shù)據(jù)等，由于其涉及利益的重大性，必須經(jīng)過安全評估方可出境。第二種情形是出境的刑事數(shù)據(jù)屬于一般數(shù)據(jù)時，刑事數(shù)據(jù)出境問題上的數(shù)據(jù)處理者主要是國家專門機關(guān)，其因工作需要處理的數(shù)據(jù)極易累計至較高的數(shù)量標準，再參考《個人信息保護法》第36條，宜規(guī)定即便屬于一般數(shù)據(jù)，也需經(jīng)過安全評估方可出境。
第二，刑事數(shù)據(jù)出境安全評估的主體。
前述法律法規(guī)中所規(guī)定的數(shù)據(jù)出境安全評估主體主要是國家網(wǎng)信部門，國家網(wǎng)信部門不但是《網(wǎng)絡(luò)安全法》第37條規(guī)定的安全評估辦法制定者，也是《個人信息保護法》第40條和《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例(征求意見稿)》第35條所指的安全評估活動的組織者。然而，刑事數(shù)據(jù)出境若僅僅由國家網(wǎng)信部門負責主導(dǎo)或組織進行安全評估，可能存在一些阻礙，因為網(wǎng)信部門不具備刑事司法的相關(guān)專業(yè)知識，也對刑事司法缺少足夠的參與，由其負責主導(dǎo)或組織刑事數(shù)據(jù)出境安全評估并不合理。面對此種情形，一個具有可操作性的思路是回歸2017年《個人信息和重要數(shù)據(jù)出境安全評估辦法(征求意見稿)》第5條的規(guī)定方式，由網(wǎng)信部門“指導(dǎo)行業(yè)主管或監(jiān)管部門組織開展數(shù)據(jù)出境安全評估”。而《國際刑事司法協(xié)助法》關(guān)于國際刑事司法協(xié)助的主管機關(guān)已有明確規(guī)定，根據(jù)其第4條和第6條，國家監(jiān)察委員會、最高人民法院、最高人民檢察院、公安部、國家安全部等部門是國際刑事司法協(xié)助的主管機關(guān)，有同意境內(nèi)機構(gòu)、組織和個人向外國提供證據(jù)材料和司法協(xié)助以及“審查處理對外聯(lián)系機關(guān)轉(zhuǎn)遞的外國提出的刑事司法協(xié)助請求”的權(quán)力。這些部門在網(wǎng)信部門的指導(dǎo)下在各自的職責范圍內(nèi)進行刑事數(shù)據(jù)出境安全評估，既跨越了刑事司法專業(yè)知識方面的鴻溝，又契合其審查處理外國刑事司法協(xié)助請求的權(quán)責要求，同時網(wǎng)信部門又能提供數(shù)據(jù)出境安全評估方面的專業(yè)支持，是較為符合司法實踐現(xiàn)實和既有法律規(guī)定的相對合理選擇。
第三，刑事數(shù)據(jù)出境安全評估的內(nèi)容。
《數(shù)據(jù)出境安全評估辦法(征求意見稿)》對于數(shù)據(jù)出境安全評估之內(nèi)容作了詳細的列舉性規(guī)定，這些規(guī)定可以為刑事數(shù)據(jù)出境安全評估所參考。但基于刑事數(shù)據(jù)的特殊性，應(yīng)著重評估以下三方面內(nèi)容：首先，刑事數(shù)據(jù)出境是否符合國家利益。就此具體需要審查兩個層面的問題：一是刑事數(shù)據(jù)出境本身是否符合國家利益，例如是否侵犯我國的國家主權(quán)、是否系履行國際刑事司法協(xié)助雙邊條約或協(xié)定的要求、是否有利于刑事數(shù)據(jù)跨境流動的長期合作需要等等；二是刑事數(shù)據(jù)出境后一旦被非法處理，例如篡改、破壞、泄露或非法利用等，是否會給我國的國家安全、公共安全等利益造成損害、可能造成何種程度的損害。其次，刑事數(shù)據(jù)出境的目的及其必要性。刑事數(shù)據(jù)出境需堅守必要性原則與目的限制原則，在進行安全評估時亦應(yīng)考慮這兩方面問題：基于必要性原則的要求，需評估此種數(shù)據(jù)出境是否必須以及是否是多種選擇中侵害最小的選擇；基于目的限制原則的要求，需評估刑事數(shù)據(jù)出境措施是否符合國際刑事司法協(xié)助請求中所指明的目的以及有無被超越此種目的而使用的可能。再次，刑事數(shù)據(jù)出境的保障措施。如評估刑事數(shù)據(jù)出境過程中的安全保障措施是否充分、有效，尤其需考慮對象國的數(shù)據(jù)安全保障能力。
(三)刑事數(shù)據(jù)出境的安全保障
保障刑事數(shù)據(jù)出境安全，要求采取必要的措施防止數(shù)據(jù)被泄露、損毀、篡改、濫用等風險，進而確保數(shù)據(jù)安全。在刑事數(shù)據(jù)出境的兩個階段均有安全保障之需，具體而言，一是在國內(nèi)進行的刑事數(shù)據(jù)出境準備階段，二是刑事數(shù)據(jù)出境之后的階段。在國內(nèi)進行的刑事數(shù)據(jù)出境準備階段可能涉及多個部門的分工配合，包括《國際刑事司法協(xié)助法》所規(guī)定的對外聯(lián)系機關(guān)如司法部，主管機關(guān)如國家監(jiān)察委員會、最高人民法院、最高人民檢察院、公安部、國家安全部等，以及辦案機關(guān)。刑事數(shù)據(jù)需經(jīng)過在各個部門之間傳輸?shù)倪^程，可能經(jīng)歷在不同數(shù)據(jù)處理系統(tǒng)間的傳遞，由此產(chǎn)生了被泄露、濫用等風險。針對此種風險，應(yīng)當設(shè)置此階段的安全保障規(guī)則。其一，應(yīng)對相關(guān)刑事數(shù)據(jù)設(shè)置處理權(quán)限。通過運用預(yù)先授權(quán)、系統(tǒng)加密、非法訪問警報、處理留痕等機制，僅允許經(jīng)過數(shù)據(jù)安全培訓(xùn)并獲得預(yù)先授權(quán)的工作人員對此類刑事數(shù)據(jù)進行訪問或處理，以確保數(shù)據(jù)處理者在專業(yè)能力和合規(guī)合法兩個方面上的資質(zhì)可靠。其二，應(yīng)對部分欲出境的刑事數(shù)據(jù)進行加密或匿名化處理。欲出境的刑事數(shù)據(jù)中，可能涉及國家秘密或個人隱私的，例如包含國防外交信息的數(shù)據(jù)、被采取保護措施的證人個人數(shù)據(jù)、性侵案被害人的個人數(shù)據(jù)等，通過加密或?qū)€人數(shù)據(jù)中具有可識別性的符號進行加工而實現(xiàn)無法識別特定自然人的匿名化處理，可以有效防止泄露的可能并降低泄露后可能導(dǎo)致后果的嚴重程度。其三，對相關(guān)刑事數(shù)據(jù)的傳輸過程進行記錄和監(jiān)督。參考2019年《公安機關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》第41條調(diào)取電子數(shù)據(jù)，必要時應(yīng)當采用錄音或者錄像等方式固定證據(jù)內(nèi)容及取證過程的規(guī)定，可以要求刑事數(shù)據(jù)出境準備階段各個部門進行數(shù)據(jù)傳遞時以錄像、拍照、截獲計算機屏幕內(nèi)容等方式記錄相應(yīng)過程，以利于監(jiān)督數(shù)據(jù)傳遞行為的安全性、合法性。
在刑事數(shù)據(jù)出境之后，安全保障的重點則轉(zhuǎn)向?qū)ν鈬幚沓鼍承淌聰?shù)據(jù)行為的持續(xù)追蹤和必要監(jiān)督?！秶H刑事司法協(xié)助法》第19條第2款規(guī)定：“對于中華人民共和國提供刑事司法協(xié)助的案件，主管機關(guān)可以通過對外聯(lián)系機關(guān)要求外國通報訴訟結(jié)果?！边@一條文為刑事司法協(xié)助工作完成之后的持續(xù)追蹤和必要監(jiān)督提供了規(guī)范基礎(chǔ)。事實上，除了通報訴訟結(jié)果之外，我國亦可要求外國通報出境刑事數(shù)據(jù)的處理使用情況。通過此種通報，我國可以了解外國對出境刑事數(shù)據(jù)的處理情況，尤其是該國對相關(guān)數(shù)據(jù)采取的安全保障措施是否足以防止數(shù)據(jù)被泄露、篡改、濫用等以及是否實際發(fā)生此種情況，并向該國提出針對出境刑事數(shù)據(jù)的安全保障方面的建議或要求。除此之外，《國際刑事司法協(xié)助法》第18條還規(guī)定外國請求將通過刑事司法協(xié)助取得的證據(jù)材料用于請求針對的案件以外的其他目的的，應(yīng)由主管機關(guān)作出是否同意的決定。據(jù)此，主管機關(guān)還可以在作出是否同意將出境刑事數(shù)據(jù)用于其他目的決定時審查是否符合數(shù)據(jù)安全保障的規(guī)范，并提出相應(yīng)的建議或要求。
(四)刑事數(shù)據(jù)出境的平臺利益和公民權(quán)利救濟
“無救濟則無權(quán)利?！币坏┢脚_利益或公民權(quán)利受到侵害，需要為其提供必要的救濟途徑，在刑事數(shù)據(jù)出境的場景下也是如此。數(shù)據(jù)法領(lǐng)域常見的救濟方式是“投訴-指令”模式，即數(shù)據(jù)主體或利益相關(guān)方主張其權(quán)利遭到數(shù)據(jù)控制者或數(shù)據(jù)處理者拒絕或其權(quán)利行使過程中遭遇阻礙時，有權(quán)向特定機構(gòu)提出投訴，由該特定機構(gòu)作出相應(yīng)決定并指令數(shù)據(jù)控制者或數(shù)據(jù)處理者執(zhí)行。歐盟GDPR第58條第2款將此種撥亂反正的權(quán)力稱為矯正性權(quán)力，交由各個監(jiān)管機構(gòu)行使；日本《個人信息保護法》第42條規(guī)定個人信息保護委員會有權(quán)糾正對個人權(quán)利的侵害；我國《個人信息保護法》第65條也規(guī)定：“任何組織、個人有權(quán)對違法個人信息處理活動向履行個人信息保護職責的部門進行投訴、舉報。收到投訴、舉報的部門應(yīng)當依法及時處理，并將處理結(jié)果告知投訴、舉報人?！?/span>
如上文所述，刑事數(shù)據(jù)出境有兼顧平臺利益和公民權(quán)利的必要，一旦前述權(quán)利遭遇侵害，亦可參照“投訴-指令”模式確立權(quán)利救濟機制。然而，針對刑事數(shù)據(jù)出境場景的特點，基于“投訴-指令”模式而構(gòu)建的權(quán)利救濟規(guī)則仍有需進一步明確之處。
第一，刑事司法領(lǐng)域作為“投訴-指令”模式基礎(chǔ)的現(xiàn)有法律規(guī)定。
刑事司法領(lǐng)域已有一些關(guān)于“投訴-指令”的規(guī)定，集中體現(xiàn)在訴訟參與人對于公安、司法機關(guān)侵犯其訴訟權(quán)利行為的申訴、控告權(quán)的規(guī)定上。例如《刑事訴訟法》第49條規(guī)定辯護人、訴訟代理人認為公檢法機關(guān)阻礙其依法行使訴訟權(quán)利的，有權(quán)向同級或者上一級人民檢察院申訴或者控告；第117條規(guī)定當事人和辯護人、訴訟代理人、利害關(guān)系人對于司法機關(guān)及其工作人員的部分訴訟違法行為有權(quán)提出申訴或控告，不服處理結(jié)果的可以向檢察院申訴。這些規(guī)定表明通過申訴、控告實現(xiàn)權(quán)利救濟，已為刑事司法所慣用，因而針對刑事數(shù)據(jù)出境問題采取“投訴-指令”的權(quán)利救濟模式亦順理成章。更值得注意的是，這些條文將接受申訴、控告并糾正公安、司法機關(guān)侵犯平臺利益和公民權(quán)利行為的權(quán)力交給檢察機關(guān)，從而不免引發(fā)刑事數(shù)據(jù)出境審查權(quán)力應(yīng)由哪一機關(guān)行使的思考。
第二，接受投訴和作出指令的部門。
根據(jù)《網(wǎng)絡(luò)安全法》第8條、《數(shù)據(jù)安全法》第6條和《個人信息保護法》第60條的規(guī)定，國家網(wǎng)信部門是最主要的“履行個人信息保護職責的部門”,除此之外公安機關(guān)、國家安全機關(guān)在刑事司法領(lǐng)域內(nèi)亦有數(shù)據(jù)安全監(jiān)管和公民權(quán)利保護的職權(quán)。然而如上文所述，網(wǎng)信部門對刑事司法參與不足、缺少相關(guān)專業(yè)知識，由其針對刑事數(shù)據(jù)相關(guān)平臺利益和公民權(quán)利保護問題接受投訴和作出指令存在困難；而公安機關(guān)、國家安全機關(guān)作為偵查機關(guān)具有強烈的追訴傾向，且自身即是刑事數(shù)據(jù)出境活動最主要的參與者，獨立性不足，也不適宜作為接受投訴和作出指令的部門。相較而言，我國的檢察機關(guān)繼承了大陸法系檢察客觀中立的傳統(tǒng)，且是唯一全程參與刑事訴訟各個階段的機關(guān)，由其作為針對刑事數(shù)據(jù)出境活動接受投訴和作出指令的部門，符合《憲法》第134條規(guī)定之國家法律監(jiān)督機關(guān)的權(quán)責定位，是當下的最佳選擇。至于檢察機關(guān)在數(shù)據(jù)監(jiān)管方面專業(yè)知識的不足，可以通過適當調(diào)整機構(gòu)設(shè)置和人員結(jié)構(gòu)、向網(wǎng)信部門等專業(yè)機構(gòu)尋求協(xié)助、將部分技術(shù)類工作外包給科技企業(yè)等方式予以補齊。
第三，刑事數(shù)據(jù)出境前和出境后不同階段的“投訴-指令”的程序規(guī)則。
在刑事數(shù)據(jù)出境之前，參考《刑事訴訟法》第117條的規(guī)定，作為數(shù)據(jù)主體的公民或涉及其利益的平臺在尋求救濟時可以向國際刑事司法協(xié)助的辦案機關(guān)的同級人民檢察院提出投訴，倘若此時該辦案機關(guān)是檢察機關(guān)的，則可以向上一級人民檢察院提出投訴。接受投訴的檢察院應(yīng)審查此種投訴并向?qū)?yīng)的辦案機關(guān)作出權(quán)利保障方面的指令，由該辦案機關(guān)執(zhí)行。而在刑事數(shù)據(jù)出境之后，由于針對涉及刑事數(shù)據(jù)出境的國際刑事司法協(xié)助的辦案工作已經(jīng)完成，平臺或公民尋求權(quán)利救濟時宜向最高人民檢察院提出申訴，由最高人民檢察院作出指令并交由所涉之主管機關(guān)辦理，從而在最大程度上實現(xiàn)對平臺利益和公民權(quán)利的保障。
五、結(jié)語
從某種意義上看，數(shù)字時代的基石乃是數(shù)據(jù)的自由流動而非數(shù)據(jù)本身，于是在互聯(lián)網(wǎng)、大數(shù)據(jù)等技術(shù)的加持下，數(shù)據(jù)的流動形成了澎湃的時代浪潮。為應(yīng)對新時代犯罪的特點，跨越國境界限而調(diào)取刑事數(shù)據(jù)成為必需，各國都欲獲得存儲在他國的刑事數(shù)據(jù)，也同時要面對他國獲取存儲于本國之刑事數(shù)據(jù)的需求，有所取必有所予，因此刑事數(shù)據(jù)出境不可避免。然而由于刑事數(shù)據(jù)出境不但涉及數(shù)據(jù)安全、公民權(quán)利等法益，而且與國家主權(quán)密切相關(guān)，故不得不以極其審慎的態(tài)度對待之。從保護國家主權(quán)、數(shù)據(jù)安全和公民權(quán)利的立場出發(fā)，宜在國際刑事司法協(xié)助的框架下以個案請求的方式實現(xiàn)刑事數(shù)據(jù)出境，綜合考慮刑事數(shù)據(jù)的分類分級特征、出境的必要性與目的、可能帶來的風險的諸多因素而決定是否允許特定刑事數(shù)據(jù)出境，并按照刑事數(shù)據(jù)出境的請求與接受、安全評估、安全保障和權(quán)利救濟等程序性規(guī)則予以實現(xiàn)，從而避免刑事數(shù)據(jù)出境的不確定性、降低其安全風險，實現(xiàn)刑事數(shù)據(jù)出境的“程序正當”。
《數(shù)字法治》專題由華東政法大學(xué)數(shù)字法治研究院特約供稿。專題統(tǒng)籌：秦前松
編輯：海洋