中國在網(wǎng)絡(luò)安全領(lǐng)域構(gòu)建長臂管轄機(jī)制之思考

□ 文 鄧紀(jì)璇

在互聯(lián)網(wǎng)時代，物理國界已經(jīng)被打破，國家間的信息數(shù)據(jù)多是通過網(wǎng)絡(luò)連接實現(xiàn)跨境傳輸，網(wǎng)絡(luò)安全關(guān)系到國家的根本利益。近年來，各國政府紛紛通過構(gòu)建國內(nèi)法律規(guī)定中的相關(guān)涉外機(jī)制來擴(kuò)大國家的管轄權(quán)，從而到達(dá)維護(hù)網(wǎng)絡(luò)秩序和保障國內(nèi)信息安全的目的。歐盟于2018年通過最新修訂的《一般數(shù)據(jù)保護(hù)條例》（簡稱GDPR）；巴西《通用數(shù)據(jù)保護(hù)法》于2020年2月正式生效。在此背景下，中國也應(yīng)該順應(yīng)網(wǎng)絡(luò)發(fā)展趨勢，在網(wǎng)絡(luò)安全領(lǐng)域構(gòu)建適當(dāng)?shù)拈L臂管轄機(jī)制。

1 概念厘定：長臂管轄實質(zhì)上是一種域外管轄

國際法上的“長臂管轄”指的是當(dāng)非法院地居民與法院地之間存在某種限度的聯(lián)系，并且原告提起的訴訟又產(chǎn)生于這種聯(lián)系時，法院對于被告所主張的管轄權(quán)。這一概念最初起源于美國民事訴訟領(lǐng)域，本質(zhì)上是一種司法管轄權(quán)。根據(jù)國務(wù)院新聞辦公室2018年9月24日發(fā)布的《關(guān)于中美經(jīng)貿(mào)摩擦的事實與中方立場》白皮書，“長臂管轄”指的是國家或者地區(qū)依據(jù)其國內(nèi)法規(guī)管轄境外實體。而這一文件出臺的背景，正是近年來美國不斷擴(kuò)張其管轄“長臂”，從國內(nèi)州際民事爭端擴(kuò)展到涉外民事侵權(quán)、金融投資、反壟斷、出口管制、網(wǎng)絡(luò)安全等眾多領(lǐng)域。美國此種強(qiáng)硬要求他國企業(yè)或個人服從其國內(nèi)法律規(guī)定，動輒對他國企業(yè)或個人發(fā)出民事、刑事、貿(mào)易等制裁的行為顯然已經(jīng)超出“長臂管轄權(quán)”的原本內(nèi)涵，本質(zhì)上屬于一種“域外管轄”。

域外管轄權(quán)可以分為立法管轄權(quán)、司法管轄權(quán)和執(zhí)法管轄權(quán)，它指的是國家行使立法管轄權(quán)，制定域外管轄規(guī)則的權(quán)力，以及國家通過執(zhí)法管轄權(quán)和司法管轄權(quán)適用這類規(guī)則的權(quán)力。具體而言，一國通過立法權(quán)確立國內(nèi)法的域外效力，為國內(nèi)法的域外適用提供依據(jù)，再通過司法機(jī)關(guān)和執(zhí)法機(jī)關(guān)的職權(quán)行為保證國內(nèi)法得到域外適用。而國內(nèi)法的域外適用指的是國家將具有域外效力的法律適用于其管轄領(lǐng)域之外的人、物和行為的過程。因此，域外管轄權(quán)是國內(nèi)法域外適用的前提，國內(nèi)法域外適用是國家行使域外管轄的過程和結(jié)果。此外，域外管轄權(quán)是主權(quán)國家在實踐中發(fā)展出來的一種行使管轄權(quán)的具體方式，而并非一種獨立的管轄權(quán)類型。

2 中國在網(wǎng)絡(luò)安全領(lǐng)域擴(kuò)張管轄權(quán)的必要性

近年來，國際上的網(wǎng)絡(luò)安全事件頻發(fā)，這表明互聯(lián)網(wǎng)安全問題日益突出，中國也面臨著嚴(yán)重的網(wǎng)絡(luò)安全威脅，與此同時，這些威脅也在挑戰(zhàn)著中國的互聯(lián)網(wǎng)主權(quán)。國家的互聯(lián)網(wǎng)主權(quán)是國家主權(quán)在網(wǎng)絡(luò)空間的拓展和延伸，是國家主權(quán)的重要組成部分。然而，對主權(quán)國家來說，網(wǎng)絡(luò)空間的全球性導(dǎo)致傳統(tǒng)管轄區(qū)域的界限變得模糊，網(wǎng)絡(luò)空間的不確定性也使得傳統(tǒng)的管轄基礎(chǔ)難堪重任。因此，在中國網(wǎng)絡(luò)空間領(lǐng)域構(gòu)建長臂管轄權(quán)已經(jīng)成為亟待解決的重要議題。在網(wǎng)絡(luò)空間適度擴(kuò)張管轄權(quán)，不僅有利于維護(hù)中國的互聯(lián)網(wǎng)健康與發(fā)展，而且有助于彰顯中國的國家主權(quán)，提升中國在國際規(guī)則制定中的對外話語權(quán)。

3 中國在網(wǎng)絡(luò)安全領(lǐng)域構(gòu)建長臂管轄機(jī)制的措施

3.1 完善立法：明確網(wǎng)絡(luò)安全相關(guān)法律的域外效力

3.1.1 《網(wǎng)絡(luò)安全法》

《網(wǎng)絡(luò)安全法》第二條確立了屬地管轄為基本原則。第七十五條體現(xiàn)出一定的域外效力，在屬地管轄原則的基礎(chǔ)上，如果“關(guān)鍵信息基礎(chǔ)設(shè)施”位于中國境外，這項規(guī)則的連接點既是以保護(hù)管轄為基礎(chǔ)，也是以客觀屬地管轄為基礎(chǔ)，甚至是以“效果原則”為基礎(chǔ)。

《網(wǎng)絡(luò)安全法》的配套法規(guī)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》的第二章對關(guān)鍵基礎(chǔ)設(shè)施的認(rèn)定做出了較為詳細(xì)的規(guī)定。主要認(rèn)定要素有三：第一，“對本行業(yè)、本領(lǐng)域關(guān)鍵核心業(yè)務(wù)的重要程度”；第二，“一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露可能帶來的危害程度”；第三，“對其他行業(yè)和領(lǐng)域的關(guān)聯(lián)性影響”。上述要素均采用了較為寬松和富有彈性的表述，實際上給執(zhí)法部門留下不小的解釋空間。而遺憾在于仍然缺少明確該法規(guī)的域外效力的相關(guān)條款?？梢越梃b歐美國家的做法，明確規(guī)定一旦被識別為該條例中規(guī)定的“關(guān)鍵信息基礎(chǔ)設(shè)施”，即使該基礎(chǔ)設(shè)施位于中國境外，也應(yīng)受到《網(wǎng)絡(luò)安全法》的管轄。

3.1.2 《個人信息保護(hù)法》

新近發(fā)布的《個人信息保護(hù)法》第三條明確了該法的域外效力。其中的許多條款與歐盟GDPR都有著極大的相似性，但進(jìn)一步對比兩部法律的有關(guān)措辭，可以發(fā)現(xiàn)該法第三條與GDPR第三條規(guī)定的域外管轄范圍仍然存在不小的差別。

GDPR采用“經(jīng)營場所所在地標(biāo)準(zhǔn)+目標(biāo)指向標(biāo)準(zhǔn)”共同確立了其域外適用范圍。觀察《個人信息保護(hù)法》第三條，其適用范圍分為兩種情形：第一種是在中華人民共和國領(lǐng)域內(nèi)實施個人信息處理的行為，第二種是信息處理行為雖未發(fā)生在中華人民共和國領(lǐng)域內(nèi)，但以向中華人民共和國領(lǐng)域內(nèi)的數(shù)據(jù)主體提供商品、服務(wù)為目的，或涉及對境內(nèi)數(shù)據(jù)主體的分析和評估行為?？梢姡覈捎玫氖恰疤幚硇袨榘l(fā)生地標(biāo)準(zhǔn)+目標(biāo)指向標(biāo)準(zhǔn)”。GDPR一經(jīng)發(fā)布，即被評為“史上最嚴(yán)的個人數(shù)據(jù)保護(hù)條例”，其他國家或地區(qū)紛紛效仿，擴(kuò)大本國或本地區(qū)內(nèi)個人信息保護(hù)的域外適用范圍。目前我國創(chuàng)新采用“處理行為發(fā)生地”標(biāo)準(zhǔn)，其適用范圍相比“經(jīng)營場所所在地”標(biāo)準(zhǔn)是否更寬泛，是否會出現(xiàn)法律漏洞情形，導(dǎo)致境外信息處理者利用此點“鉆法律的空子”，這些問題有待實踐檢驗。

3.1.3 《數(shù)據(jù)安全法》

在《網(wǎng)絡(luò)安全法》與《個人信息保護(hù)法》均規(guī)定域外效力的背景下，《數(shù)據(jù)安全法》作為配套法律，其域外效力規(guī)定仍有較大的完善空間。該法第二條通過“數(shù)據(jù)活動在中國境內(nèi)開展”和“數(shù)據(jù)活動開展在境外，但損害中國國家安全、公共利益或者公民權(quán)益”兩個層次的規(guī)范模式，堅持了屬地原則——以數(shù)據(jù)活動發(fā)生于境內(nèi)為適用標(biāo)準(zhǔn)，附加效果原則——境外組織和個人開展的數(shù)據(jù)活動損害國家安全和公共利益的做法。采用屬地原則+效果原則的判斷標(biāo)準(zhǔn)明確并在一定程度上擴(kuò)充了該法的域外效力。但是仔細(xì)推敲第二條的措辭，可以發(fā)現(xiàn)這一規(guī)定仍然存在兩個問題：首先，結(jié)合第二條的兩款規(guī)定，不難看出其適用范圍仍然漏掉了一種情形——境內(nèi)的組織或個人在境外開展數(shù)據(jù)活動，也就是說，假如主營業(yè)地點在境內(nèi)的某公司，利用其境外的分支機(jī)構(gòu)和相關(guān)設(shè)備，在境外開展數(shù)據(jù)活動的，只要無法證明其損害了國家安全或社會公共利益，《數(shù)據(jù)安全法》無法得到適用。對此，建議將第一款修改為“在中華人民共和國境內(nèi)的個人或組織開展數(shù)據(jù)活動，無論該數(shù)據(jù)活動是否發(fā)生在中華人民共和國領(lǐng)域內(nèi)，適用本法?！逼浯危诙钜?guī)定僅宣誓性地規(guī)定了“依法追究法律責(zé)任”，但在“法律責(zé)任”一章中，并未規(guī)定相對應(yīng)的法律責(zé)任，這將大大削弱該法域外適用的實際效果，也不利于發(fā)揮法律的威懾作用。建議參考?xì)W盟GDPR或其他國家或地區(qū)在數(shù)據(jù)立法中設(shè)置的法律責(zé)任和處罰幅度。

3.1.4 《阻斷辦法》

商務(wù)部于2021年1月9日發(fā)布《阻斷外國法律與措施不當(dāng)域外適用辦法》（簡稱《阻斷辦法》），旨在阻斷外國法律與措施不當(dāng)域外適用對中國的影響，維護(hù)國家主權(quán)、安全、發(fā)展利益，保護(hù)中國公民、法人或者其他組織的合法權(quán)益?！蹲钄噢k法》主要就五項制度安排作出規(guī)定：及時報告、評估確認(rèn)、發(fā)布禁令、司法救濟(jì)和處罰制度?！蹲钄噢k法》與歐盟《阻斷法令》的主要規(guī)定是相似的，但存在以下差別仍值得我們注意。首先，從該《阻斷辦法》第二條規(guī)定的適用范圍來看，我國并非“一刀切”地阻斷外國法律和措施的域外適用，而是反對境外法律和措施的不當(dāng)域外適用，而“不當(dāng)”的具體評估因素則規(guī)定于第六條。而就適用范圍而言，第二條并未明確在中國境內(nèi)不同實體之間的交易受到他國法律或措施限制時，是否適用該辦法。其次，禁令的適用主體，即《阻斷辦法》所稱的“當(dāng)事人”，是否包括境外企業(yè)尚存爭議，從條文中也無法得出明確的答案，但有實務(wù)工作者指出，傾向性認(rèn)為境外企業(yè)并不受禁令制度的約束，理由有二：一是根據(jù)第八條之規(guī)定，申請豁免遵守禁令的主體為中國公民、法人或其他組織，如果禁令適用主體包括境外企業(yè)，則申請豁免遵守禁令的主體就不應(yīng)當(dāng)僅限于中國公民、法人或其他組織；二是境外企業(yè)由于違反禁令而遭到主管部分警告或罰款面臨著執(zhí)行難的問題，如果禁令適用主體包括境外企業(yè)，違反禁令的處罰措施幾乎形同虛設(shè)。再次，相關(guān)制度規(guī)定仍然比較模糊。如第九條雖然規(guī)定了追償制度，但并未對賠償范圍、追償對象、追償手段、追償適用的法律等問題設(shè)置具體規(guī)范；而第十一條規(guī)定政府有關(guān)部門可對遭受重大損失的公民、法人或其他組織提供必要支持，但“必要性”如何界定，具體包括哪些支持措施等問題均未明晰。這類籠統(tǒng)性規(guī)定一方面賦予了法官較大的自由裁量權(quán)，另一方面也有待在后續(xù)司法和執(zhí)法實踐中加以明確。最后，除了制度上的具體操作問題需要進(jìn)一步細(xì)化規(guī)定之外，相比歐盟采用的“條例”的形式進(jìn)行阻斷立法，中國《阻斷辦法》屬于部門規(guī)章，法律效力層級較低。這種立法模式符合現(xiàn)階段中國國情，未來隨著實踐的不斷推進(jìn)，或許有望實現(xiàn)《阻斷辦法》到《阻斷法》的蛻變升級。

3.2 積極司法：加強(qiáng)國內(nèi)法院在長臂管轄中的作用

前述立法雖然可以為中國在網(wǎng)絡(luò)安全領(lǐng)域構(gòu)建長臂管轄機(jī)制提供國內(nèi)法依據(jù)，但是中國法院對外行使長臂管轄權(quán)的態(tài)度仍然過于謹(jǐn)慎。有了確立國內(nèi)法域外效力的規(guī)則，保證長臂管轄權(quán)的實施就要依靠司法管轄權(quán)和執(zhí)法管轄權(quán)。對此，中國法院要學(xué)會擅于適用法律規(guī)定的長臂管轄基礎(chǔ)，以此為依據(jù)，主動在網(wǎng)絡(luò)安全領(lǐng)域行使司法管轄權(quán)。而且，可以結(jié)合中國司法實踐的慣常做法——由最高法發(fā)布指導(dǎo)性案例，為法院將“網(wǎng)絡(luò)運營者”或“信息處理主體”等法律術(shù)語做擴(kuò)大解釋的做法提供司法依據(jù)，從而保證《網(wǎng)絡(luò)安全法》和《個人信息保護(hù)法》等法律的域外實施效力。

3.3 強(qiáng)化執(zhí)法：轉(zhuǎn)變行政機(jī)關(guān)舊有管轄方式

強(qiáng)化行政機(jī)關(guān)在網(wǎng)絡(luò)安全領(lǐng)域的執(zhí)法管轄權(quán)也是保證國內(nèi)法域外實施效力的必要手段。傳統(tǒng)的行政執(zhí)法觀念認(rèn)為行政機(jī)關(guān)只對本國的人、物或行為具有管轄權(quán)。因此，行政機(jī)關(guān)必須充分意識到國際法賦予自身實施域外管轄時的廣闊空間，在法律法規(guī)的框架下解釋相關(guān)連結(jié)點和抽象概念，追求在執(zhí)法過程中實現(xiàn)域外適用的目標(biāo)。其次，行政機(jī)關(guān)要適時行使自由裁量權(quán)，比如擴(kuò)大解釋“網(wǎng)絡(luò)運營者”或“信息處理主體”的適用范圍，認(rèn)為法律并未將這兩者的范圍限制于中國境內(nèi)等。

4 結(jié)束語

網(wǎng)絡(luò)安全關(guān)系主權(quán)國家的根本利益，網(wǎng)絡(luò)空間主權(quán)是國家主權(quán)的重要組成部分。國家在不違反國際法的前提下，可以行使長臂管轄權(quán)。中國可以借鑒國外經(jīng)驗，同時結(jié)合國情，從立法、司法和執(zhí)法三個方面，在網(wǎng)絡(luò)安全領(lǐng)域構(gòu)建適當(dāng)?shù)拈L臂管轄機(jī)制?！毒W(wǎng)絡(luò)安全法》已于2017年開始實施，但其域外適用的規(guī)定不明確導(dǎo)致實踐中難以發(fā)揮實際的域外管轄作用?！稊?shù)據(jù)安全法》與《個人信息保護(hù)法》都已頒布，域外適用范圍仍然存在規(guī)定模糊或者有所遺漏的問題。上述三部法律是構(gòu)建我國網(wǎng)絡(luò)安全、數(shù)據(jù)主權(quán)與個人信息保護(hù)的重要支柱，將對我國數(shù)字經(jīng)濟(jì)發(fā)展、個人信息保護(hù)以及互聯(lián)網(wǎng)法治等方面產(chǎn)生深遠(yuǎn)影響。因此，要構(gòu)建中國在網(wǎng)絡(luò)空間的長臂管轄，首先要在這些與網(wǎng)絡(luò)安全密切相關(guān)的法律中明確域外效力，為實現(xiàn)域外管轄構(gòu)建合理的法律基礎(chǔ)。與此同時，有關(guān)部門和相應(yīng)機(jī)關(guān)要做到積極司法和強(qiáng)化執(zhí)法，充分發(fā)揮司法機(jī)關(guān)和行政機(jī)關(guān)在網(wǎng)絡(luò)安全領(lǐng)域行使長臂管轄權(quán)應(yīng)有的作用。