張 勇

一、問(wèn)題提出

二、數(shù)據(jù)安全刑事合規(guī)及正當(dāng)根據(jù)

（一）數(shù)據(jù)安全刑事合規(guī)的內(nèi)涵界定

基于以上分析，所謂數(shù)據(jù)安全刑事合規(guī)，是指為了保障數(shù)據(jù)安全，企業(yè)、政府部門(mén)、司法機(jī)關(guān)等所進(jìn)行的企業(yè)內(nèi)外部合規(guī)治理活動(dòng)，其中，企業(yè)作為刑事合規(guī)的主體，針對(duì)數(shù)據(jù)獲取、存儲(chǔ)、流通和使用過(guò)程中的刑事風(fēng)險(xiǎn)，制定和實(shí)施數(shù)據(jù)合規(guī)計(jì)劃；政府部門(mén)和司法機(jī)關(guān)運(yùn)用法律手段懲治和預(yù)防危害數(shù)據(jù)安全的違法犯罪。數(shù)據(jù)安全刑事合規(guī)可以分為事前合規(guī)和事后合規(guī)，前者是指企業(yè)經(jīng)營(yíng)管理活動(dòng)中建立內(nèi)部風(fēng)險(xiǎn)控制制度，防止企業(yè)實(shí)施涉及數(shù)據(jù)安全的犯罪或自身遭受侵害；后者是指企業(yè)觸及數(shù)據(jù)安全刑事風(fēng)險(xiǎn)后所做的整改補(bǔ)救措施，以預(yù)防再次犯罪的發(fā)生。就數(shù)據(jù)安全企業(yè)合規(guī)而言，刑事法律是企業(yè)必須遵守的基本法律，也是保障自身權(quán)益的法律武器，因而刑事合規(guī)可謂最具有強(qiáng)制力的法律標(biāo)準(zhǔn)；由數(shù)據(jù)安全行政法律法規(guī)所規(guī)定的行政合規(guī)同樣也是企業(yè)必要履行的法律義務(wù)，兩者在合法性標(biāo)準(zhǔn)、主體義務(wù)內(nèi)容及法律后果等方面存在差別。此外，企業(yè)合規(guī)還包括有關(guān)數(shù)據(jù)安全的諸多國(guó)家標(biāo)準(zhǔn)、行業(yè)規(guī)范，這些“軟法”對(duì)企業(yè)的合規(guī)標(biāo)準(zhǔn)和義務(wù)要求作出了更為細(xì)致、全面的規(guī)定，可稱(chēng)之為行業(yè)合規(guī)。相比較而言，行政合規(guī)與行業(yè)合規(guī)對(duì)于企業(yè)預(yù)防刑事風(fēng)險(xiǎn)來(lái)說(shuō)顯得更為重要。然而，企業(yè)合規(guī)意味著高成本投入。數(shù)據(jù)安全刑事合規(guī)如同雙刃劍，作為一種底線標(biāo)準(zhǔn)，刑事合規(guī)是任何企業(yè)都必須要求達(dá)到的，積極履行刑事法律義務(wù)，可以獲得司法機(jī)關(guān)的量刑激勵(lì)；反之，如果違反了刑事合規(guī)的義務(wù)要求，侵犯了他人數(shù)據(jù)權(quán)益，甚至危及數(shù)據(jù)安全，所帶來(lái)的是比違反行政合規(guī)更為嚴(yán)厲的刑事處罰。

（二）數(shù)據(jù)安全刑事合規(guī)的正當(dāng)根據(jù)

三、數(shù)據(jù)犯罪前置法及其濾罪機(jī)能

數(shù)據(jù)犯罪具有典型的法定犯特征，罪狀中包含行政性前置法，即開(kāi)放的構(gòu)成要件。前置性行政法律法規(guī)對(duì)于認(rèn)定數(shù)據(jù)犯罪來(lái)說(shuō)起著十分關(guān)鍵的作用。對(duì)于企業(yè)刑事合規(guī)來(lái)說(shuō)，前置性行政法往往有著比刑事法規(guī)范更為嚴(yán)格細(xì)致、全面具體的規(guī)范義務(wù)內(nèi)容，而企業(yè)承擔(dān)刑事法律義務(wù)是前置性行政法的底線要求。違反了前置性行政法的行為，未必構(gòu)成犯罪，須經(jīng)過(guò)司法機(jī)關(guān)對(duì)其進(jìn)行刑事違法性的實(shí)質(zhì)判斷，即認(rèn)定犯罪的“過(guò)濾”環(huán)節(jié)，從而將一大部分“違規(guī)”“違法”行為排除在犯罪圈之外。為了預(yù)防數(shù)據(jù)企業(yè)的刑事風(fēng)險(xiǎn)，應(yīng)將作為前置法的行政法律法規(guī)作為企業(yè)合規(guī)的一般標(biāo)準(zhǔn)，其具有強(qiáng)制性法律效力，是企業(yè)合規(guī)必須遵守和執(zhí)行的；對(duì)于不具有法律效力的行業(yè)規(guī)范，可以將其作為較高標(biāo)準(zhǔn)予以參照，但不是必須遵照?qǐng)?zhí)行。因此，前置性行政法在刑法規(guī)范與行業(yè)規(guī)范之間，發(fā)揮著承上啟下、銜接協(xié)調(diào)的“過(guò)濾”作用。

（一）數(shù)據(jù)犯罪及其前置法的定位

（二）數(shù)據(jù)犯罪前置法的濾罪機(jī)能

所謂“濾罪”，即“過(guò)濾犯罪”。某種行為被認(rèn)定為犯罪，首先需要被刑事立法評(píng)價(jià)為某種具體罪名，在此基礎(chǔ)上，需要司法機(jī)關(guān)依據(jù)刑事實(shí)體法予以定罪量刑，通過(guò)刑事程序法規(guī)定的不同訴訟階段，最后將該種行為認(rèn)定為有罪或進(jìn)行無(wú)罪處理。對(duì)于法定犯來(lái)說(shuō)，前置法與刑法有著緊密的內(nèi)在關(guān)聯(lián)性，因而具有重要的“濾罪”機(jī)能。對(duì)于企業(yè)刑事合規(guī)來(lái)說(shuō)，數(shù)據(jù)犯罪的前置法在出罪方面的“濾罪”機(jī)能更值得關(guān)注，是企業(yè)刑事合規(guī)計(jì)劃的規(guī)范指引。

四、數(shù)據(jù)安全刑事合規(guī)的濾罪機(jī)制

（一）濾罪內(nèi)容：數(shù)據(jù)安全義務(wù)設(shè)置

需要指出的是，在大數(shù)據(jù)時(shí)代背景下，法律需要協(xié)調(diào)不同主體的利益，合理分配數(shù)據(jù)安全保護(hù)義務(wù)，避免對(duì)有關(guān)組織和個(gè)人的數(shù)據(jù)權(quán)益造成不當(dāng)侵害。目前，我國(guó)數(shù)據(jù)安全立法較多集中于數(shù)據(jù)安全保護(hù)和監(jiān)管義務(wù)設(shè)置，而對(duì)于數(shù)據(jù)流動(dòng)、共享及利用方面的規(guī)定較少，對(duì)相關(guān)主體數(shù)據(jù)權(quán)益的兼顧與平衡仍存在不足。對(duì)此，我國(guó)可以借鑒國(guó)外立法經(jīng)驗(yàn)予以補(bǔ)足。例如，歐盟《數(shù)據(jù)法案（草案）》（Data Act）延續(xù)了GDPR 中的個(gè)人數(shù)據(jù)可攜帶權(quán)的思路，在一定程度上鼓勵(lì)數(shù)據(jù)自由流動(dòng)和多次利用，以避免出現(xiàn)數(shù)據(jù)壁壘和數(shù)據(jù)壟斷，從而實(shí)現(xiàn)數(shù)據(jù)利益的公平分配。又如，GDPR 在嚴(yán)格規(guī)制企業(yè)處理用戶(hù)個(gè)人信息的同時(shí)，限制了企業(yè)主動(dòng)監(jiān)測(cè)、發(fā)現(xiàn)和報(bào)告網(wǎng)絡(luò)兒童色情的活動(dòng)。為了改變這種狀況，2021年歐盟制定條例授權(quán)特定網(wǎng)絡(luò)信息業(yè)者，規(guī)定企業(yè)關(guān)于此類(lèi)用戶(hù)個(gè)人信息處理的活動(dòng)不適用GDPR 的相關(guān)規(guī)定。在此方面，我國(guó)《個(gè)人信息保護(hù)法》在確立知情同意原則的前提下，規(guī)定了妨礙國(guó)家機(jī)關(guān)履行法定職責(zé)等例外情形，這與GDPR 的立法意旨相同，體現(xiàn)了原則性與靈活性的結(jié)合。兼顧各方主體的數(shù)據(jù)權(quán)益，構(gòu)建安全與發(fā)展相結(jié)合的數(shù)據(jù)治理體系，無(wú)疑更有利于數(shù)字經(jīng)濟(jì)的健康發(fā)展。

（二）濾罪體系：數(shù)據(jù)合規(guī)刑行銜接

五、結(jié) 論

綜上所述，在數(shù)據(jù)安全企業(yè)合規(guī)方面，應(yīng)當(dāng)堅(jiān)持維護(hù)數(shù)據(jù)安全和促進(jìn)數(shù)據(jù)開(kāi)發(fā)利用并重，以《數(shù)據(jù)安全法》等前置法為依據(jù)，構(gòu)建數(shù)據(jù)安全企業(yè)內(nèi)部管理和外部監(jiān)管的合規(guī)體系。刑事合規(guī)須以刑法規(guī)范為底線標(biāo)準(zhǔn)，以前置行政法為一般標(biāo)準(zhǔn)，以行業(yè)規(guī)范為參照標(biāo)準(zhǔn)；在數(shù)據(jù)安全刑事合規(guī)中，形成以數(shù)據(jù)安全法益識(shí)別為基礎(chǔ)、分類(lèi)分級(jí)為層次、法律義務(wù)為內(nèi)容、刑行銜接為體系的濾罪機(jī)制。經(jīng)過(guò)濾罪過(guò)程，制定和實(shí)施了合規(guī)計(jì)劃的企業(yè)可以獲得量刑從寬乃至出罪事由。刑事合規(guī)不僅僅是企業(yè)自律和內(nèi)部治理活動(dòng)，而且是一種企業(yè)和國(guó)家協(xié)同共治的系統(tǒng)。企業(yè)應(yīng)確立責(zé)任倫理意識(shí)，制定與實(shí)施合規(guī)計(jì)劃，積極履行數(shù)據(jù)安全義務(wù)，與其他參與主體共同承擔(dān)社會(huì)責(zé)任，由“數(shù)據(jù)治理”轉(zhuǎn)向“數(shù)據(jù)共治”。從系統(tǒng)論角度，企業(yè)刑事合規(guī)需確立刑事一體化理念，即從刑法運(yùn)行內(nèi)外協(xié)調(diào)的視角下，在刑法之上、刑法之內(nèi)、刑法之外選擇刑事合規(guī)的根據(jù)、路徑和對(duì)策。“刑法之上”即從法教義學(xué)乃至憲法層面尋求刑事合規(guī)的法理根據(jù)；“刑法之內(nèi)”即在定罪和量刑中選擇刑事合規(guī)的路徑；“刑法之外”即將刑事合規(guī)融入刑事政策和社會(huì)治理當(dāng)中，司法機(jī)關(guān)、政府部門(mén)與企業(yè)形成合力，尋求治本之策。因此，除了當(dāng)前我國(guó)檢察機(jī)關(guān)所試點(diǎn)進(jìn)行的合規(guī)不起訴工作，將來(lái)的企業(yè)刑事合規(guī)改革可以在更廣闊的領(lǐng)域展開(kāi)。當(dāng)然，改革需要于法有據(jù)，只有依靠國(guó)家法律法規(guī)的保障與規(guī)范、引領(lǐng)與推動(dòng)，企業(yè)刑事合規(guī)改革才能行穩(wěn)致遠(yuǎn)。