刑事合規(guī)視野下數(shù)據(jù)犯罪的治理路徑

周維明

(中國應用法學研究所,北京 100062)

歷史的數(shù)據(jù)來自數(shù)據(jù)的歷史。人類文明的發(fā)展史,同時也是數(shù)據(jù)產(chǎn)生、迭代與進化的歷史。隨著數(shù)字化、網(wǎng)絡化、大數(shù)據(jù)、人工智能等當代信息科技的快速發(fā)展和廣泛應用,當今社會已經(jīng)進入數(shù)字社會。數(shù)字社會主要有兩個特征:一是社會本身的全面數(shù)字化,即一切關系皆可用數(shù)據(jù)表征,一切趨勢皆可用數(shù)據(jù)預測;二是數(shù)據(jù)成為第五大生產(chǎn)要素①參見2020年公布的《中共中央、國務院關于構(gòu)建更加完善的要素市場化配置體制機制的意見》。,是繼物質(zhì)、能源之后的第三大基礎性戰(zhàn)略資源。②參見2015年國務院印發(fā)的《促進大數(shù)據(jù)發(fā)展行動綱要》。目前,我國已成為全球數(shù)據(jù)要素市場發(fā)展最為活躍、最具潛力的國家之一,由數(shù)據(jù)采集、數(shù)據(jù)清洗、數(shù)據(jù)標注、數(shù)據(jù)交易等核心數(shù)據(jù)環(huán)節(jié)構(gòu)成的中國數(shù)據(jù)要素市場快速成長。海量數(shù)據(jù)和豐富應用場景的優(yōu)勢,促進了數(shù)據(jù)科技與實體經(jīng)濟的深度融合,為推動經(jīng)濟高質(zhì)量發(fā)展提供了新動能。但是,利之所在,弊亦隨之?！耙磺卸急挥涗?一切都被分析”的數(shù)據(jù)化,催生了數(shù)據(jù)安全風險。從全球來看,數(shù)據(jù)泄露、數(shù)據(jù)販賣等數(shù)據(jù)犯罪案件頻發(fā),為個人隱私、企業(yè)商業(yè)秘密、國家安全帶來了嚴重的安全隱患,通過刑事法律進行數(shù)據(jù)安全治理已經(jīng)刻不容緩。數(shù)據(jù)刑事合規(guī)是企業(yè)預防因數(shù)據(jù)安全犯罪所可能引發(fā)的刑事風險、建構(gòu)數(shù)字經(jīng)濟安全體系的關鍵,也是健全完善共建共治共享的數(shù)據(jù)治理制度的重要一環(huán)。鑒于此,本文擬在分析企業(yè)所面臨的數(shù)據(jù)安全犯罪刑事風險的基礎上,就刑事合規(guī)的必要性、制度設計思路和以刑事合規(guī)實現(xiàn)數(shù)據(jù)犯罪治理的路徑展開論述,以期能拋磚引玉,求教于方家。

一、數(shù)據(jù)安全犯罪刑事風險與合規(guī)治理路徑

我國刑法設立了多個與數(shù)據(jù)違規(guī)密切相關的罪名,數(shù)據(jù)領域企業(yè)面臨較大的刑事風險。建立數(shù)據(jù)刑事合規(guī)體系,保障數(shù)據(jù)業(yè)務合規(guī)運行,不僅是企業(yè)預防刑事風險的必要途徑,也是完善數(shù)據(jù)流通和分享的政策監(jiān)管體系,有效保護企業(yè)產(chǎn)權的重要舉措。

(一)數(shù)據(jù)安全犯罪所引發(fā)的刑事風險

在數(shù)據(jù)安全保護法律體系中,刑法占據(jù)重要地位,發(fā)揮著“最后手段”的保障功能。由于刑法自身的片面性與不完整性,其不可能事無巨細地描繪數(shù)據(jù)犯罪的所有構(gòu)成要件特征,只能由相應的前置法規(guī)范所規(guī)定的義務,作為判斷相應行為具有刑事違法性的重要根據(jù)。①時延安:《數(shù)據(jù)安全的刑法保護路徑及方案》,載《江海學刊》2022年第2期,第142頁。在我國現(xiàn)行的法律體系中,數(shù)據(jù)治理有三部非常重要的法律,依次為2017年6月1日生效的《網(wǎng)絡安全法》、2021年9月1日生效的《數(shù)據(jù)安全法》和2021年11月1日生效的《個人信息保護法》。這三部法律明確了企業(yè)的數(shù)據(jù)安全監(jiān)管職責,共同構(gòu)成了數(shù)據(jù)安全的前置法保護體系。②在面對數(shù)據(jù)安全刑事風險時,企業(yè)首當其沖,這一原因可以通過以下數(shù)據(jù)得到解釋:根據(jù)國際權威機構(gòu)IDC發(fā)布的分析報告,2020年,與消費者相比,企業(yè)要保護的數(shù)據(jù)更多,占需要保護數(shù)據(jù)總量的85.6%。據(jù)此,企業(yè)面臨的數(shù)據(jù)安全刑事風險,可以劃分為以下兩種類型。

1.嚴重違反數(shù)據(jù)安全規(guī)則而導致的刑事風險

數(shù)據(jù)安全是指通過采取必要措施,確保數(shù)據(jù)處于有效控制和合法利用的狀態(tài),以及具備保障持續(xù)安全狀態(tài)的能力。③于改之:《從控制到利用:刑法數(shù)據(jù)治理的模式轉(zhuǎn)換》,載《中國社會科學》2022年第7期,第56頁。數(shù)據(jù)安全包括數(shù)據(jù)存儲安全、數(shù)據(jù)運輸安全和數(shù)據(jù)使用安全。就數(shù)據(jù)存儲安全與運輸安全而言,刑法主要涉及對非法取得、篡改、銷毀數(shù)據(jù)等行為的懲治。由于數(shù)據(jù)的存儲、處理等依賴于計算機信息系統(tǒng),因此,首先涉及計算機信息系統(tǒng)安全和網(wǎng)絡安全方面的罪名,如非法侵入計算機信息系統(tǒng)罪,非法獲取計算機信息系統(tǒng)數(shù)據(jù)、非法控制計算機信息系統(tǒng)罪,提供侵入、非法控制計算機信息系統(tǒng)程序、工具罪,破壞計算機信息系統(tǒng)罪等;如果非法收集的數(shù)據(jù)為個人信息,則涉及侵犯公民個人信息罪。④例如,黎某在湖南省瀏陽市成立了瀏陽市泰創(chuàng)網(wǎng)絡科技有限公司,逯某作為公司技術員利用自己開發(fā)的“爬蟲軟件,通過網(wǎng)頁接口爬取11.8億條客戶信息,并將手機號碼提供給黎某,用于該公司經(jīng)營活動。黎某與逯某均被法院認定構(gòu)成侵犯公民個人信息罪。參見河南省商丘市睢陽區(qū)人民法院(2021)豫1403刑初78號刑事判決書。以上幾類行為危害的是公共數(shù)據(jù)安全。如果非法收集的數(shù)據(jù)被鑒定為國家秘密或情報,則涉及為境外竊取、刺探、收買、非法提供國家秘密、情報罪①例如,國家安全機關不久前破獲了一起為境外刺探、非法提供高鐵數(shù)據(jù)的重要案件。這起案件是《數(shù)據(jù)安全法》實施以來首例涉案數(shù)據(jù)被鑒定為情報的案件,也是首例涉及高鐵運行安全的危害國家安全案件。參見央廣網(wǎng):《國家安全機關公布一起為境外刺探、非法提供高鐵數(shù)據(jù)的重要案件》,載央廣網(wǎng)2022年4月14日,http://china.cnr.cn/gdgg/20220414/t20220414_525795356.shtml.,這類行為危害的是國家數(shù)據(jù)安全。就數(shù)據(jù)使用安全而言,為他人實施信息網(wǎng)絡犯罪活動提供數(shù)據(jù)處理服務的,涉及幫助信息網(wǎng)絡犯罪活動罪。

2.不履行網(wǎng)絡服務提供者監(jiān)管義務導致的刑事風險

本類風險涉及的罪名是拒不履行信息網(wǎng)絡安全管理義務罪,主要包括“致使用戶信息泄露,造成嚴重后果的”,即數(shù)據(jù)泄露的風險。近年來,全球數(shù)據(jù)被攻擊、竊取、劫持等現(xiàn)象層出不窮,我國屬于“重災區(qū)”,掌握海量用戶信息的金融、保險、教育、醫(yī)療等行業(yè),以及互聯(lián)網(wǎng)、電信運營商等企業(yè),往往面臨較高的數(shù)據(jù)泄露風險。從相關案例來看,數(shù)據(jù)泄露的源頭主要有兩個:一是內(nèi)鬼泄密②例如,2020年,不法分子與圓通快遞多位“內(nèi)鬼”勾結(jié),致40萬條個人信息泄露。參見杜恒峰:《圓通內(nèi)鬼泄露客戶信息,如何避免“下一次”?》,載《每日經(jīng)濟新聞》2020年11月18日,第001版。,二是黑客竊取③例如,2018年,犯罪嫌疑人劉某某利用黑客手段竊取華住集團旗下酒店約5億條數(shù)據(jù)并在境外網(wǎng)站兜售。參見銀昕:《“華住開房記錄泄露案”該如何處罰?》,載《中國經(jīng)濟周刊》2018年第45期,第42頁。,這暴露了涉案企業(yè)在數(shù)據(jù)安全防護體系和履行監(jiān)管義務機制上的不健全。2019年10月25日,最高人民法院與最高人民檢察院發(fā)布的《關于辦理非法利用信息網(wǎng)絡、幫助信息網(wǎng)絡犯罪活動等刑事案件適用法律若干問題的解釋》明確,網(wǎng)絡服務提供者拒不履行信息網(wǎng)絡安全管理義務,經(jīng)監(jiān)管部門責令采取改正措施而拒不改正,致使泄露行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息500條以上的將入罪?？紤]到此類數(shù)據(jù)泄露動輒以數(shù)十萬條乃至上億條計,這就意味著對于涉案企業(yè)而言,如果沒有履行監(jiān)管部門規(guī)定的信息網(wǎng)絡安全管理義務,就存在“一泄露就入罪”的嚴重風險。

(二)數(shù)據(jù)治理的必要選擇:刑事合規(guī)

面對數(shù)字經(jīng)濟發(fā)展及其所帶來的風險挑戰(zhàn),刑事立法與司法面臨兩方面的任務:一方面,需要積極構(gòu)建確保數(shù)字經(jīng)濟安全的規(guī)范新形態(tài);另一方面,需要充分促進數(shù)據(jù)的開發(fā)與利用,不因刑事風險而帶來“寒蟬效應”。一言以蔽之,存在安全與效率之間的權衡取舍。在此過程中,刑事合規(guī)發(fā)揮了重要作用。

1.刑事合規(guī)制度的基本功能指向

數(shù)據(jù)安全關系國家發(fā)展,民族復興。近年來,政府部門對網(wǎng)絡信息和個人數(shù)據(jù)的監(jiān)管力度日益加大,數(shù)據(jù)領域企業(yè)刑事風險陡然增加。自2018年5月25日歐盟出臺《通用數(shù)據(jù)保護條例》以來,數(shù)據(jù)合規(guī)成為了世界各國關注的熱點。2017年《網(wǎng)絡安全法》的正式實施開啟了中國數(shù)據(jù)合規(guī)元年。個人信息保護以及數(shù)據(jù)安全領域的兩部專屬立法,即《個人信息保護法》與《數(shù)據(jù)安全法》共同構(gòu)建了中國數(shù)據(jù)合規(guī)的基礎法律框架,刑事合規(guī)制度從來沒有像今天這樣重要、迫切。

(1)前端治理與數(shù)據(jù)利用的兩全

一方面,《刑法修正案(九)》修正的數(shù)據(jù)犯罪,都強化了對單位犯罪主體的刑事制裁④集中體現(xiàn)為:不僅對《刑法》第285條、第286條的傳統(tǒng)信息網(wǎng)絡犯罪,對于新增的新型信息網(wǎng)絡犯罪(即拒不履行信息網(wǎng)絡安全管理義務罪、非法利用信息網(wǎng)絡罪、幫助信息網(wǎng)絡犯罪活動罪),也增加了單位犯罪的規(guī)定。,實際上對數(shù)據(jù)領域企業(yè)提出了更高的刑法義務要求。另一方面,我國雖然已經(jīng)頒布了《網(wǎng)絡安全法》《數(shù)據(jù)安全法》和《個人信息保護法》,但構(gòu)建數(shù)據(jù)治理框架的努力才剛剛開始,國家數(shù)據(jù)安全治理體系還需要進一步完善,這意味著刑法與前置法尚未實現(xiàn)充分銜接,罪與非罪的界限尚不清晰。在我國單位犯罪雙罰制模式下,企業(yè)一旦面臨承擔刑事責任的風險或者受到刑事處罰,其后果將會是致命的。為了保護自身的生存和利益,企業(yè)可以通過刑事合規(guī)制度的建立,完善風險防范機制、實現(xiàn)罪前預防。

(2)多元治理與犯罪預防的兼顧

傳統(tǒng)刑法具有謙抑性和滯后性,只能在犯罪發(fā)生以后對相關行為進行評價,這種事后評價對于數(shù)據(jù)安全的保護有其自身的局限性,無法起到預防和有效恢復已經(jīng)受損法益的效果。同時,數(shù)據(jù)領域企業(yè)存在復雜的管理流程、環(huán)節(jié)及海量的數(shù)據(jù)流,國家層面的全環(huán)節(jié)監(jiān)管在監(jiān)管能力和成本上都力有不逮。在此背景下,僅僅憑借刑事立法和司法的強制力作用,已經(jīng)不能適應大數(shù)據(jù)時代法益保護的有效性需求。①白旭明:《網(wǎng)絡平臺刑事合規(guī)的風險防控與規(guī)則建構(gòu)》,載《華南理工大學學報(社會科學版)》2022年第4期,第65頁。因此,要抑制數(shù)據(jù)安全犯罪的產(chǎn)生,就必須適時地改變偏重事后懲罰的傳統(tǒng)的消極犯罪預防理念,轉(zhuǎn)向積極的一般預防新思路,即在數(shù)據(jù)犯罪的治理過程吸收數(shù)據(jù)領域企業(yè)積極參與的理念。刑事合規(guī)正是上述一般預防主義的體現(xiàn)。刑事合規(guī)的引入為涉案企業(yè)提供了主動自律的機會和根據(jù),涉案企業(yè)事前良好的合規(guī)表現(xiàn)或者亡羊補牢式的事后合規(guī)機制的構(gòu)建,降低了一般預防的必要性②張勇:《數(shù)據(jù)安全刑事合規(guī)的濾罪模式》,載《學術論壇》2022年第3期,第14頁。,同時也緩解了國家數(shù)據(jù)治理的壓力,彌補了國家法律規(guī)制的不足,形成國家和企業(yè)二元共治的數(shù)據(jù)治理體系,是推動國家治理體系與治理能力現(xiàn)代化的體現(xiàn)。

(3)寬嚴相濟刑事政策與產(chǎn)權保護的協(xié)調(diào)

2016年11月發(fā)布的中共中央、國務院《關于完善產(chǎn)權保護制度依法保護產(chǎn)權的意見》中明確要求,“以發(fā)展眼光客觀看待和依法妥善處理改革開放以來各類企業(yè)特別是民營企業(yè)經(jīng)營過程中存在的不規(guī)范問題”。數(shù)字經(jīng)濟是近幾年快速發(fā)展起來的新型經(jīng)濟模式,我國數(shù)字經(jīng)濟規(guī)則的軟實力不夠,數(shù)據(jù)流通和分享的政策監(jiān)管體系還不完善;另外,數(shù)據(jù)領域企業(yè)大多為民營企業(yè),其企業(yè)文化和組織架構(gòu)尚不能完全適應新的數(shù)字化潮流。因此,對企業(yè)目前在數(shù)據(jù)安全領域的違規(guī)違法行為,不能動輒則咎,而是要“以發(fā)展眼光客觀看待”,以免保護過度而扼殺企業(yè)的創(chuàng)新活動?？隙ㄆ髽I(yè)創(chuàng)新發(fā)展的大方向,以包容審慎的原則性態(tài)度,通過刑事合規(guī)給予涉案企業(yè)不起訴或者暫緩起訴的寬待,以及刑罰減免的激勵,可以督促數(shù)據(jù)領域企業(yè)建立全面的自我監(jiān)管制度,促使它們更為健康和可持續(xù)發(fā)展與成長,這正是寬嚴相濟刑事政策的體現(xiàn)。

二、數(shù)據(jù)刑事合規(guī)的制度設計思路

《數(shù)據(jù)安全法》第4條規(guī)定:“維護數(shù)據(jù)安全,應當堅持總體國家安全觀,建立健全數(shù)據(jù)安全治理體系,提高數(shù)據(jù)安全保障能力?！睌?shù)據(jù)治理的核心是數(shù)據(jù)安全合規(guī)。刑事法律是數(shù)據(jù)安全的最后一道防線,犯罪治理是數(shù)據(jù)安全治理體系的最重要環(huán)節(jié)。問題在于,傳統(tǒng)的犯罪治理重打擊輕預防。但是,數(shù)據(jù)領域犯罪治理方面不僅要強調(diào)打擊,更要強調(diào)從源頭上進行治理,強調(diào)對數(shù)據(jù)領域犯罪的防范。刑事合規(guī)便是一種很好的犯罪源頭治理方式。①李玉華:《數(shù)據(jù)合規(guī)與刑事訴訟》,載《北京航空航天大學學報(社會科學版)》2022年第2期,第30頁。所謂數(shù)據(jù)刑事合規(guī),是指為了保障數(shù)據(jù)安全,企業(yè)、政府部門、司法機關等所進行的企業(yè)內(nèi)外部合規(guī)治理活動。②張勇:《數(shù)據(jù)安全刑事合規(guī)的濾罪模式》,載《學術論壇》2022年第3期,第15頁。

(一)數(shù)據(jù)刑事合規(guī)的類型化

數(shù)據(jù)刑事合規(guī)本體,根據(jù)主體的不同,可以區(qū)分為企業(yè)和司法機關的刑事合規(guī):企業(yè)作為刑事合規(guī)的主體,針對數(shù)據(jù)獲取、存儲、流通和使用過程中的刑事風險,制定和實施數(shù)據(jù)合規(guī)計劃;司法機關運用法律手段懲治和預防危害數(shù)據(jù)安全的違法犯罪。數(shù)據(jù)刑事合規(guī)還可以區(qū)分為事前合規(guī)和事后合規(guī):前者是指企業(yè)經(jīng)營管理活動中建立內(nèi)部風險控制制度,防止企業(yè)實施涉及數(shù)據(jù)安全的犯罪;后者是指企業(yè)觸及數(shù)據(jù)安全刑事風險后所做的整改補救措施,以預防再次犯罪的發(fā)生。③張勇:《數(shù)據(jù)安全刑事合規(guī)的濾罪模式》,載《學術論壇》2022年第3期,第15頁。

數(shù)據(jù)刑事合規(guī)的法律依據(jù)可以區(qū)分為實體法上的依據(jù)與程序法上的依據(jù):實體法層面針對的是企業(yè)涉嫌犯罪并遭受刑罰處罰的風險,主要考慮通過企業(yè)建立內(nèi)部合規(guī)計劃來事前化解其可能遭受的刑罰風險,秉持的是結(jié)果論;程序法層面考慮的是利用具體刑事訴訟制度引導、激勵企業(yè)建立和執(zhí)行合規(guī)計劃,承擔的多是激勵機制的工具性功能。④裴煒:《刑事數(shù)字合規(guī)困境:類型化及成因探析》,載《東方法學》2022年第2期,第160頁。

(二)數(shù)據(jù)刑事合規(guī)的基本原則

第一,數(shù)據(jù)分級與數(shù)據(jù)刑事合規(guī)的寬免性掛鉤。對數(shù)據(jù)分類分級,是開展數(shù)據(jù)治理的起始點?！稊?shù)據(jù)安全法》第21條規(guī)定“國家建立數(shù)據(jù)分類分級保護制度”。⑤要求國家根據(jù)數(shù)據(jù)對國家、社會的價值(數(shù)據(jù)在經(jīng)濟社會發(fā)展中的重要程度),以及出現(xiàn)安全事件后造成的危害后果(一旦遭到篡改、破壞、泄露或者非法獲取、非法利用,對國家安全、公共利益或者個人、組織合法權益造成的危害程度),來開展數(shù)據(jù)分類分級的工作。參見洪延青:《國家安全視野中的數(shù)據(jù)分類分級保護》,載《中國法律評論》2021年第5期,第72頁。據(jù)此而言,相關保障法也應當相應地確定與受保護數(shù)據(jù)的類別和級別匹配的安全保護水平和措施。我國刑法過去對犯罪采用的是“定性+定量”的犯罪立法模式,對數(shù)據(jù)犯罪而言,重點在于“定量”,甚至有“唯數(shù)額論”的傾向。⑥在與數(shù)據(jù)犯罪有關的司法解釋中,仍然可以看到大量對計量標準的明確規(guī)定。例如,最高人民法院、最高人民檢察院2011年頒布的《關于辦理危害計算機信息系統(tǒng)安全刑事案件應用法律若干問題的解釋》第1條規(guī)定:“非法獲取計算機信息系統(tǒng)數(shù)據(jù)或者非法控制計算機信息系統(tǒng),具有下列情形之一的,應當認定為刑法第二百八十五條第二款規(guī)定的‘情節(jié)嚴重’:(一)獲取支付結(jié)算、證券交易、期貨交易等網(wǎng)絡金融服務的身份認證信息10組以上的;(二)獲取第(一)項以外的身份認證信息500組以上的……”最高人民法院、最高人民檢察院2017年頒布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第5條規(guī)定:“非法獲取、出售或者提供公民個人信息,具有下列情形之一的,應當認定為刑法第二百五十三條之一規(guī)定的‘情節(jié)嚴重’。”這一模式在數(shù)據(jù)犯罪對象進入海量階段后顯得捉襟見肘。在此情況下,應當在數(shù)據(jù)分類分級的基礎上,根據(jù)數(shù)據(jù)安全法益保護的必要性及重要程度,明確數(shù)據(jù)犯罪的數(shù)額或數(shù)量標準和綜合性情節(jié)的罪量評價要素。⑦張勇:《數(shù)據(jù)安全分類分級的刑法保護》,載《法治研究》2021年第3期,第26頁。換言之,應當明確“定性優(yōu)先+定量輔助”的犯罪立法模式。所謂“定性”,就是數(shù)據(jù)的分類分級。⑧《網(wǎng)絡數(shù)據(jù)安全管理條例(征求意見稿)》按照數(shù)據(jù)對國家安全、公共利益或者個人、組織合法權益的影響和重要程度,將數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù),不同級別的數(shù)據(jù)采取不同的保護措施。國家對個人信息和重要數(shù)據(jù)進行重點保護,對核心數(shù)據(jù)實行嚴格保護。根據(jù)這一模式,在定量因素已經(jīng)確定的情況下,作為犯罪對象的數(shù)據(jù)的分類分級越高,罪量就越大,通過事后刑事合規(guī)給予涉案企業(yè)起訴或刑罰上的寬免的可能性就越小,反之亦然。

第二,行政合規(guī)與刑事合規(guī)實現(xiàn)體系融合。數(shù)據(jù)犯罪往往從違反數(shù)據(jù)行政監(jiān)管要求開始,因此,數(shù)據(jù)保護領域的犯罪均為法定犯,這就意味著作為前置法的行政法關于數(shù)據(jù)處理規(guī)則和管理義務的規(guī)定即為犯罪構(gòu)成要件(所謂“空白的構(gòu)成要件”),在此基礎上,只要符合數(shù)量、情節(jié)等特定構(gòu)成要件就足以轉(zhuǎn)化為犯罪。①毛逸瀟:《數(shù)據(jù)保護合規(guī)體系研究》,載《國家檢察官學院學報》2022年第2期,第93頁。如前所述,數(shù)據(jù)犯罪的入罪門檻極低,對于從事海量化數(shù)據(jù)處理的現(xiàn)代企業(yè)而言,一旦行政合規(guī)未達標準,幾乎必然構(gòu)成犯罪。因此,行政合規(guī)是刑事合規(guī)的基礎和必要性前提。因企業(yè)違規(guī)所導致的法律責任,其基礎和必要性前提是行政監(jiān)管,刑事責任只是次生的、輔助性的,是最后手段。②張澤濤:《論企業(yè)合規(guī)中的行政監(jiān)管——以“行刑”銜接為中心》,載《法律科學》2022年第3期,第52頁。由此可見,應當以行政前置法與刑事法的銜接為切入點,加強行政執(zhí)法機關對企業(yè)生產(chǎn)經(jīng)營活動的事前、事中和事后監(jiān)管,構(gòu)建以行政監(jiān)管為中心的企業(yè)合規(guī)體系。這樣的銜接既包括從行政合規(guī)到刑事合規(guī)的銜接,也包括從刑事合規(guī)到行政合規(guī)的銜接。就前者而言,是指只有在行政合規(guī)失效(行政監(jiān)管嚴重失靈且適用行政處罰還不足以予以懲戒時),才能啟動刑事合規(guī);就后者而言,涉案企業(yè)被“合規(guī)不起訴”后,需要隨后進行有效的行政合規(guī)整改,消除企業(yè)的管理漏洞,預防再度發(fā)生同類犯罪。這些都涉及司法機關與行政監(jiān)管機關銜接配合的規(guī)則和程序,以及合規(guī)整改結(jié)果和處罰結(jié)果互認機制。③陳文興:《刑事合規(guī)與行政合規(guī)銜接機制研究》,載《民主與法制周刊》2022年第19期,第50頁。

第三,對外合規(guī)與對內(nèi)合規(guī)沖突時,對內(nèi)合規(guī)優(yōu)先。從全球范圍看,數(shù)據(jù)流動對全球經(jīng)濟增長的貢獻已經(jīng)超過傳統(tǒng)的國際貿(mào)易和投資,數(shù)據(jù)跨境流動是經(jīng)濟全球化的必然要求。但是,數(shù)據(jù)同時又事關數(shù)據(jù)主權、國家安全,數(shù)據(jù)本地化存儲至關重要。數(shù)據(jù)跨境流動中的合規(guī)問題深受這種“二律背反”的困擾,其突出表現(xiàn)就是在本國與國外數(shù)據(jù)保護法律規(guī)定的合規(guī)條款不相同時,對外合規(guī)與對內(nèi)合規(guī)究竟以何者為先的問題。④例如,美國證券交易委員會于2021年3月通過《外國公司問責法案》最終修正案,其中多個條款明顯針對中國赴美上市公司和已在美上市的中概股:如果外國上市公司連續(xù)三年未能提交美國上市公司會計監(jiān)督委員會所要求的報告,允許該委員會將其從交易所摘牌。而有關信息的披露,可能導致重要數(shù)據(jù)、個人信息的泄露。與之針鋒相對的是,隨著2021年7月中共中央辦公廳、國務院辦公廳公開發(fā)布《關于依法從嚴打擊證券違法活動的意見》,以及《數(shù)據(jù)安全法》的實施,未來中概股的數(shù)據(jù)安全、數(shù)據(jù)出境將成為重要的監(jiān)管方向。學界在此存在“雙向合規(guī)”⑤張凌寒:《個人信息跨境流動制度的三重維度》,載《中國法律評論》2021年第5期,第43頁。與對外合規(guī)及對內(nèi)合規(guī)相分離⑥毛逸瀟:《數(shù)據(jù)保護合規(guī)體系研究》,載《國家檢察官學院學報》2022年第2期,第93頁。的爭論。本文認為,無論是雙向合規(guī)還是各自分離,都需要回答對外合規(guī)與對內(nèi)合規(guī)何者優(yōu)先這一核心問題。在近年來數(shù)據(jù)管轄權沖突日益激烈的國際環(huán)境下,《數(shù)據(jù)安全法》的出臺再度明確了我國對境內(nèi)數(shù)據(jù)的管轄權,實際上確立了對內(nèi)合規(guī)優(yōu)先的立場。⑦《數(shù)據(jù)安全法》第36條規(guī)定:“……非經(jīng)中華人民共和國主管機關批準,境內(nèi)的組織、個人不得向外國司法或者執(zhí)法機構(gòu)提供存儲于中華人民共和國境內(nèi)的數(shù)據(jù)?！币虼?企業(yè)在數(shù)據(jù)出境時需要自主發(fā)起安全風險和影響性評估,包括個人信息保護影響評估⑧《個人信息保護法》第55規(guī)定:“有下列情形之一的,個人信息處理者應當事前進行個人信息保護影響評估,并對處理情況進行記錄:……(四)向境外提供個人信息?！焙蛿?shù)據(jù)出境風險自評估⑨2022年7月7日,國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《數(shù)據(jù)出境安全評估辦法》第5條規(guī)定:“數(shù)據(jù)處理者在向境外提供數(shù)據(jù)前,應事先開展數(shù)據(jù)出境風險自評估?！边@兩項。從長期來看,完善的數(shù)據(jù)出境合規(guī)策略和管理機制是企業(yè)跨境業(yè)務的安全基石,應成為企業(yè)長期治理的目標。

第四,實現(xiàn)全流程的數(shù)據(jù)合規(guī)。數(shù)據(jù)的安全治理應當貫穿于數(shù)據(jù)的整個生命周期。數(shù)據(jù)處理包含收集、存儲、使用、加工、傳輸、提供、公開等全流程,企業(yè)在任何一個環(huán)節(jié)都可能面臨數(shù)據(jù)安全與數(shù)據(jù)合規(guī)的挑戰(zhàn)。當然,在這些流程中不存在百分之百的安全,企業(yè)只能通過建立和執(zhí)行全流程數(shù)據(jù)安全管理制度盡力做到百分之百的防御。企業(yè)應走出數(shù)據(jù)處理僅是防止泄露的誤區(qū),更不能以行業(yè)經(jīng)驗取代法律判斷,而是要建立健全全流程數(shù)據(jù)安全管理制度,落實數(shù)據(jù)安全保護責任,做到在數(shù)據(jù)生命周期全流程各個環(huán)節(jié)合法合規(guī)。①李翔:《處理數(shù)據(jù)要有全流程合規(guī)意識》,載《法治日報》2022年2月23日,第005版。需要注意的是,雖然《數(shù)據(jù)安全法》第27條要求,企業(yè)應當依法制定全流程的數(shù)據(jù)安全管理制度,通過該制度對本企業(yè)的數(shù)據(jù)收集、存儲、使用、加工、傳輸、提供、公開等全生命周期的安全提出具體合規(guī)要求,但這一條文表述較為概括,未來仍需要后續(xù)配套法律法規(guī)予以明確。

三、數(shù)據(jù)犯罪的前端治理:企業(yè)內(nèi)部刑事合規(guī)的制度設計

刑事合規(guī)既是企業(yè)數(shù)據(jù)治理體系和治理能力現(xiàn)代化的一個重要標志,也是國家治理體系和治理能力現(xiàn)代化的一個重要組成部分。從全球視角考察,以刑事合規(guī)實現(xiàn)數(shù)據(jù)犯罪治理有三種路徑,首要的路徑就是企業(yè)內(nèi)部建立刑事合規(guī)風險防控機制,實現(xiàn)“防患于未然”②趙赤:《企業(yè)刑事合規(guī)視野下的單位犯罪構(gòu)造及出罪路徑》,載《政法論壇》2022年第5期,第104頁。,此為前端治理。就當前數(shù)據(jù)犯罪治理的法律法規(guī)與政策而言,包括《刑法》《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》等在內(nèi)的法律規(guī)范多屬原則性規(guī)定,本質(zhì)上屬于事后救濟模式,在數(shù)據(jù)犯罪的縱向治理鏈條中處于末端;加上數(shù)據(jù)犯罪的智能化,以及跨區(qū)、跨國特征,事后救濟力有未逮。從企業(yè)合規(guī)的角度出發(fā),采取綜合的技術與制度性預防策略,側(cè)重對潛在刑事風險的前端治理,才符合網(wǎng)絡時代數(shù)據(jù)犯罪治理的發(fā)展趨勢。《數(shù)據(jù)安全法》第27條規(guī)定:“開展數(shù)據(jù)處理活動應當依照法律、法規(guī)的規(guī)定,建立健全全流程數(shù)據(jù)安全管理制度,組織開展數(shù)據(jù)安全教育培訓,采取相應的技術措施和其他必要措施,保障數(shù)據(jù)安全?！边@一規(guī)定為數(shù)據(jù)合規(guī)建設提供了方向標。據(jù)此,企業(yè)數(shù)據(jù)安全合規(guī)主要有三個要素,即規(guī)范、制度和組織。

(一)數(shù)據(jù)分類分級規(guī)范

在網(wǎng)絡安全領域,對數(shù)據(jù)的安全保護,起始于對數(shù)據(jù)的分類分級。③洪延青:《國家安全視野中的數(shù)據(jù)分類分級保護》,載《中國法律評論》2021年第5期,第71頁。“數(shù)據(jù)分類”一詞早在2016年的《網(wǎng)絡安全法》中就被提及,《數(shù)據(jù)安全法》從國家層面明確提出建立數(shù)據(jù)分類分級保護制度。該制度要求企業(yè)根據(jù)一定標準對自身數(shù)據(jù)資產(chǎn)進行梳理,有利于形成數(shù)據(jù)保護資源配置的最優(yōu)解。按照數(shù)據(jù)的種類、風險級別匹配不同的管控措施,就能實現(xiàn)對刑事風險的有效防控。

1.國內(nèi)現(xiàn)行各類規(guī)范和標準

國內(nèi)目前現(xiàn)行有效的對于數(shù)據(jù)分類分級的通用規(guī)定包括:2021年9月生效的《數(shù)據(jù)安全法》、國家市場監(jiān)督管理總局與國家標準化管理委員會于2020年3月發(fā)布的《信息安全技術 個人信息安全規(guī)范》、全國信息安全標準化技術委員會于2021年12月發(fā)布的《網(wǎng)絡安全標準實踐指南——網(wǎng)絡數(shù)據(jù)分類分級指引》等。但是,這些規(guī)范僅僅止步于提出數(shù)據(jù)分類分級的類型化方案,并沒有對如何分類分級提出非常詳細的操作步驟,需要企業(yè)加以吸收或內(nèi)化。

根據(jù)《數(shù)據(jù)安全法》,按照數(shù)據(jù)對國家安全、公共利益或者個人、組織合法權益的影響和重要程度,數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)。國家對個人信息和重要數(shù)據(jù)進行重點保護,對核心數(shù)據(jù)實行嚴格保護。隨后,2021年11月,國家互聯(lián)網(wǎng)信息辦公室發(fā)布了《網(wǎng)絡數(shù)據(jù)安全管理條例(征求意見稿)》,同時在《網(wǎng)絡安全審查辦法》《數(shù)據(jù)出境安全評估辦法(征求意見稿)》《信息安全技術重要數(shù)據(jù)識別指南(征求意見稿)》等文件中明確了重要數(shù)據(jù)的額外合規(guī)要求。作為國家標準的《信息安全技術 網(wǎng)絡數(shù)據(jù)處理安全要求》(GB/T 41479-2022)已于2022年11月1日施行。值得注意的是,省級地方標準也開始出臺,例如,浙江省2021年8月5日正式實施的《數(shù)字化改革 公共數(shù)據(jù)分類分級指南》(DB33/T 2350-2021)。

2.企業(yè)數(shù)據(jù)分級分類的具體操作

當前企業(yè)數(shù)據(jù)分級分類的難點在于:第一,數(shù)據(jù)分類可以有多種維度,如基于數(shù)據(jù)產(chǎn)生方式、數(shù)據(jù)使用頻率或者數(shù)據(jù)應用場景等。企業(yè)選擇的維度千差萬別。第二,企業(yè)視角與國家、行業(yè)視角不同,現(xiàn)有的國家、行業(yè)標準是從宏觀視角給出對應行業(yè)、組織的分類分級參考,屬于“自上而下”的數(shù)據(jù)分類分級;而企業(yè)站在自身的內(nèi)部視角的數(shù)據(jù)分類分級,則屬于“自下而上”的數(shù)據(jù)分類分級;兩者在分類分級思路上存在差異。①洪延青:《國家安全視野中的數(shù)據(jù)分類分級保護》,載《中國法律評論》2021年第5期,第74頁。第三,很多企業(yè)對自己的數(shù)據(jù)資產(chǎn)并未有過全面的盤點清理,導致不明確自身的數(shù)據(jù)資產(chǎn)狀況。

針對以上問題,企業(yè)應當明確國家、行業(yè)對數(shù)據(jù)安全管理的通用要求,以及本行業(yè)的特殊數(shù)據(jù)監(jiān)管要求,并在此基礎上根據(jù)自身業(yè)務的特性制定個性化的數(shù)據(jù)分類標準②企業(yè)可制定不同的分類標準以實現(xiàn)數(shù)據(jù)的多維管控。,這樣既可以滿足國家、行業(yè)視角下的要求,又可以結(jié)合自身體系架構(gòu),在“自上而下”與“自下而上”的數(shù)據(jù)分類分級之間找到一個平衡點。③在這一平衡過程中,企業(yè)在數(shù)據(jù)合規(guī)上的自決權比重降低,而數(shù)據(jù)合規(guī)的義務觀占據(jù)主導權重。在明確標準之后,企業(yè)應當對業(yè)務系統(tǒng)中的數(shù)據(jù)資產(chǎn)開展盤點清理,形成數(shù)據(jù)資產(chǎn)管理臺賬。隨后再對已梳理的數(shù)據(jù)資產(chǎn)進行分類和評級,并采取針對性的合規(guī)管控措施。④例如,如果企業(yè)儲存、運營著保護級別最高的數(shù)據(jù),那么法律便有理由強制其進行合規(guī)建設,相應地,保護級別稍弱的數(shù)據(jù)便可以選擇性地進行合規(guī)建設,如果無保護價值的數(shù)據(jù)那么便不需要進行合規(guī)建設。參見于改之、陳博文:《數(shù)據(jù)犯罪的教義形塑及其風險防控——刑事合規(guī)語境下的考察》,載《上海法學研究》2021年第21卷,第56頁。這樣就能建立一套符合企業(yè)特色和自身發(fā)展需求的數(shù)據(jù)分類分級體系,確保企業(yè)數(shù)據(jù)合規(guī)。

(二)企業(yè)數(shù)據(jù)安全管理流程制度

企業(yè)應當結(jié)合自身業(yè)務要求,堅持“源頭治理”“流程治理”“系統(tǒng)治理”的數(shù)據(jù)全生命周期管理理念,根據(jù)最新的數(shù)據(jù)合規(guī)法律法規(guī)要求,以及最新監(jiān)管動向,建立數(shù)據(jù)治理政策制度及各數(shù)據(jù)治理領域管理辦法,細化重要數(shù)據(jù)治理活動的流程及要求,形成一套完整、層級明確的數(shù)據(jù)治理制度體系。

一方面,根據(jù)數(shù)據(jù)安全生命周期建立全流程安全管理體系。數(shù)據(jù)安全生命周期主要包括數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)共享、數(shù)據(jù)使用、數(shù)據(jù)銷毀等階段。在采集階段,應當明確采集規(guī)范,保證采集的合規(guī)合法性;在傳輸階段,應當注意數(shù)據(jù)跨境傳輸規(guī)則;在存儲階段,應當注意數(shù)據(jù)本地化存儲要求,做到重要數(shù)據(jù)在境內(nèi)存儲;在處理階段,應當嚴格遵循數(shù)據(jù)處理最小化、必要原則,明確數(shù)據(jù)的處理和使用規(guī)范,實現(xiàn)有效脫敏化處理;在共享階段,應當確立數(shù)據(jù)共享規(guī)范,建立數(shù)據(jù)交換和共享的審核流程和監(jiān)管平臺;在銷毀階段,應當建立數(shù)據(jù)銷毀與監(jiān)察機制,嚴防數(shù)據(jù)泄露。①姜濤:《數(shù)字安全與刑事合規(guī)建設》,載《檢察日報》2021年11月4日,第003版。

另一方面,建立企業(yè)數(shù)據(jù)安全事件應急管理制度與救濟程序。企業(yè)應當積極控制數(shù)據(jù)安全緊急事件,在發(fā)生危害數(shù)據(jù)安全的事件時,立即啟動應急預案,采取相應的補救措施,并按照規(guī)定向有關主管部門報告,以及時處置數(shù)據(jù)安全風險,減少對數(shù)據(jù)安全的損害。需要強調(diào)的是,企業(yè)在發(fā)現(xiàn)數(shù)據(jù)安全的緊急事件后,首先需要遵循的不是技術規(guī)則,而應當是法律規(guī)范指引。②例如,2021年9月生效的《網(wǎng)絡產(chǎn)品安全漏洞管理規(guī)定》第7條明確規(guī)定,網(wǎng)絡產(chǎn)品提供者發(fā)現(xiàn)網(wǎng)絡安全漏洞后,應當在2日內(nèi)向工業(yè)和信息化部網(wǎng)絡安全威脅和漏洞信息共享平臺報送相關漏洞信息。而阿里巴巴旗下的阿里云發(fā)現(xiàn)阿帕奇(Apache)Log4j2組件嚴重安全漏洞隱患后,及時告知了阿帕奇官方,卻未及時向電信主管部門報告,未有效支撐工信部開展網(wǎng)絡安全威脅和漏洞管理,因此受到工信部“暫停阿里云作為工信部網(wǎng)絡安全威脅信息共享平臺合作單位6個月”的處罰。參見韓軼:《網(wǎng)絡數(shù)據(jù)安全領域的企業(yè)刑事合規(guī)體系建構(gòu)》,載《江西社會科學》2022年5月10日網(wǎng)絡首發(fā)定稿。

(三)企業(yè)內(nèi)部的數(shù)據(jù)合規(guī)組織

完善的組織架構(gòu)是企業(yè)進行數(shù)據(jù)安全建設的基石。目前,有相當一部分企業(yè)在組建合規(guī)管理部門時,是在法務部門的原職能基礎上納入合規(guī)管理職能,并將其升格為“法律合規(guī)部”或“法律風控部”。這種做法能夠節(jié)約企業(yè)合規(guī)人才及合規(guī)成本支出,但并非長久之計,很容易出現(xiàn)職能定位界定不清、合規(guī)人員專業(yè)性與能力不足、難以打造有效管理抓手、與其他監(jiān)督管理部門協(xié)同性不強的問題。③普華永道:《國有企業(yè)合規(guī)管理中,組織職能升級的相關建議》,載普華永道中國,https://www.pwccn.com/zh/blog/state-ownedenterprise-soe/suggestions-upgrading-organisational-functions-compliance-management-nov2021.html,2022年8月30日訪問。而通過構(gòu)建貫穿企業(yè)的跨層級、跨部門、跨地域的專門數(shù)據(jù)安全組織架構(gòu),則可以有效地打通管理、技術、業(yè)務等部門之間的溝通屏障,最大程度地調(diào)動企業(yè)開展數(shù)據(jù)安全合規(guī)建設的能動性和積極性。因此,企業(yè)應當建立專門的合規(guī)管理部門,設立專業(yè)的數(shù)據(jù)合規(guī)團隊,定期對數(shù)據(jù)合規(guī)管理的有效性開展評估,保障企業(yè)數(shù)據(jù)安全生命周期內(nèi)的所有活動符合相關法律法規(guī)規(guī)定的數(shù)據(jù)合規(guī)要求。與此同時,企業(yè)還應當在人力資源管理方面實施相應的措施,如對員工定期或不定期安排有關數(shù)據(jù)安全的培訓,倡導建立合規(guī)文化,樹立全員合規(guī)理念,以確保員工理解和明確其相關數(shù)據(jù)合規(guī)職責,預防合規(guī)風險。

四、數(shù)據(jù)犯罪的末端治理:司法機關以外部刑事合規(guī)排除企業(yè)罪責的功能設計

以刑事合規(guī)實現(xiàn)數(shù)據(jù)犯罪治理的另外兩種路徑,是起訴策略的刑事合規(guī)與量刑激勵的刑事合規(guī)。由于這兩種刑事合規(guī)是由司法機關(檢察院、法院)在企業(yè)涉案后提供的,因此屬于末端治理,發(fā)揮的是“亡羊補牢”的功能。司法機關負有通過履職推動數(shù)據(jù)刑事合規(guī)建設的重要職責。推進企業(yè)實施數(shù)據(jù)刑事合規(guī)建設,也是司法機關積極參與社會治理的重要體現(xiàn)。①姜濤:《數(shù)字安全與刑事合規(guī)建設》,載《檢察日報》2021年11月4日,第003版。

(一)基于起訴策略的刑事合規(guī)

基于起訴策略的刑事合規(guī)的主要角色是檢察機關,其模式包括“相對不起訴+檢察建議”與“附條件不起訴+合規(guī)考察”,前者指檢察機關對涉案企業(yè)作出相對不起訴的同時,發(fā)出責令其實施合規(guī)整改的檢察建議并督促其進行整改;后者指檢察機關對符合適用條件、具有合規(guī)意愿并提出合規(guī)計劃的涉案企業(yè)啟動合規(guī)考察程序,設置合規(guī)考察期,指派合規(guī)監(jiān)督人,考察期結(jié)束前對合規(guī)整改進行評估,通過后檢察機關作出不起訴決定。②唐彬彬:《檢察機關合規(guī)不起訴裁量權限制的三種模式》,載《法制與社會發(fā)展》2022年第1期,第40-41頁。2020年3月,最高人民檢察院啟動企業(yè)合規(guī)改革試點,2021年4月,最高人民檢察院發(fā)布《關于開展企業(yè)合規(guī)改革試點工作的方案》,并開始發(fā)布合規(guī)案例,第三批典型案例就包括了全國首例數(shù)據(jù)合規(guī)不起訴案件。從最高人民檢察院的刑事合規(guī)實踐來看,主要是探索督促涉案企業(yè)合規(guī)管理,促進“嚴管”制度化,防范“厚愛”被濫用。鑒于企業(yè)刑事合規(guī)的具體內(nèi)容并不會超出前文所述企業(yè)內(nèi)部合規(guī)的范圍,所以促進“嚴管”制度化可以理解為合規(guī)開啟條件的制度化,防范“厚愛”被濫用可以理解為合規(guī)整改與評估標準的制度化?！皢雍弦?guī)條件”與“合規(guī)評估標準”也就成為基于起訴策略的刑事合規(guī)的兩大關鍵詞。

1.補足刑事合規(guī)的前置條件

基于起訴策略的刑事合規(guī),第一只“攔路虎”是立法上缺乏依據(jù)。除了最高人民檢察院發(fā)布的若干政策性文件之外,現(xiàn)行《刑事訴訟法》沒有規(guī)定刑事合規(guī)的不起訴條件,當然也沒有適用案件范圍、考察期限、主體、救濟等規(guī)定。這就導致現(xiàn)有刑事訴訟中審查起訴期限的短時有限性與合規(guī)考察期限的彈性長期性存在嚴重沖突;附條件不起訴試點存在正當性和合法性的質(zhì)疑。③李玉華:《企業(yè)合規(guī)與刑事訴訟立法》,載《政法論壇》2022年第5期,第96頁。這兩點都需要刑事訴訟立法予以回應。④例如,將不起訴的適用范圍擴大到企業(yè),增加合規(guī)不起訴的適用范圍、條件和期限的規(guī)定。另外,刑事合規(guī)與認罪認罰從寬的制度銜接需要完善,可以考慮將合規(guī)考察制度納入認罪認罰從寬制度。⑤例如,在刑事訴訟法中增加企業(yè)認罪認罰從寬,以及在認罪認罰后進行合規(guī)整改并通過評估的,可以進一步減輕處罰的規(guī)定。

刑事合規(guī)的另一只“攔路虎”是單位犯罪的規(guī)定。最高人民法院1999年發(fā)布的《關于審理單位犯罪案件具體應用法律有關問題的解釋》第2條規(guī)定,單位主營業(yè)務是犯罪的,以自然人犯罪論處。問題在于,數(shù)據(jù)企業(yè)當然是以經(jīng)營數(shù)據(jù)業(yè)務為“主營業(yè)務”的⑥如前所述,由于法律法規(guī)尚不完善,這些業(yè)務在很大程度上屬于“灰色地帶”。,一旦涉嫌數(shù)據(jù)犯罪,整個公司業(yè)務都有可能被認定為“以實施犯罪為主要活動”,從而沒有適用刑事合規(guī)的余地,這也是不少檢察機關對開啟刑事合規(guī)猶豫不決的原因。從最高人民檢察院發(fā)布的首例數(shù)據(jù)合規(guī)不起訴案件來看,還是基于“放過涉案企業(yè),但嚴懲責任人”的刑事政策區(qū)分了單位犯罪與自然人犯罪。但是,2021年6月3日最高人民檢察院與司法部、全國工商聯(lián)等8個部門聯(lián)合印發(fā)的《關于建立涉案企業(yè)合規(guī)第三方監(jiān)督評估機制的指導意見(試行)》(以下簡稱《指導意見》),仍然將以實施犯罪為主要活動的企業(yè)排除在合規(guī)考察的范圍之外。未來可能需要“兩高”以聯(lián)合發(fā)布司法解釋的方式解決這一沖突。

2.完善第三方監(jiān)督評估標準

針對企業(yè)合規(guī)改革試點工作中發(fā)現(xiàn)的企業(yè)合規(guī)監(jiān)督考察程序有待進一步規(guī)范等問題,前述《指導意見》創(chuàng)設了第三方監(jiān)督評估機制?！吨笇б庖姟返?1條、第12條規(guī)定,第三方組織應要求涉案企業(yè)提交專項或多項合規(guī)計劃,并對相關計劃的可行性、有效性與全面性進行審查。對數(shù)據(jù)犯罪涉案企業(yè)而言,第三方組織借以認定合規(guī)計劃可行性、有效性與全面性的要點包括:第一,第三方組織應評估涉案企業(yè)是否已落實《數(shù)據(jù)安全法》第21條所明確的數(shù)據(jù)分級分類保護義務;第二,第三方組織應評估涉案企業(yè)是否已落實《數(shù)據(jù)安全法》第25條、第31條、第36條規(guī)定的數(shù)據(jù)出境管制義務;第三,第三方組織應評估涉案企業(yè)是否已經(jīng)落實《數(shù)據(jù)安全法》第26條規(guī)定的在數(shù)據(jù)領域的反制裁措施;第四,第三方組織應評估涉案企業(yè)是否已落實數(shù)據(jù)安全管理制度構(gòu)建義務與電子政務數(shù)據(jù)保護義務。①李紫陽、郟夢蝶:《涉數(shù)據(jù)犯罪企業(yè)合規(guī)第三方評估標準如何確立》,載《檢察日報》2021年11月29日,第003版。

(二)基于量刑激勵的刑事合規(guī)

刑事合規(guī)與刑事責任天然地有內(nèi)在融通之處,刑事合規(guī)可以成為從輕、減輕或免除刑事責任事由。這有利于激勵網(wǎng)絡平臺等積極履行數(shù)據(jù)安全保障義務,實現(xiàn)積極預防數(shù)據(jù)犯罪的效果。②姜濤:《數(shù)字安全與刑事合規(guī)建設》,載《檢察日報》2021年11月4日,第003版。但是,基于量刑激勵的刑事合規(guī)也需要兩方面的完善:一是刑事政策上的依據(jù);二是刑事實體法上的完善。

1.刑事政策依據(jù)的解讀

罪刑法定原則與罪責刑相適應原則是現(xiàn)代刑法的兩大支柱。但是,刑事合規(guī)的引入,以“合規(guī)”代替“刑罰”,引發(fā)了是否與以上兩大原則發(fā)生沖突的質(zhì)疑。需要指出的是,衡量現(xiàn)代刑事法治的重要維度是刑事政策,目前企業(yè)數(shù)據(jù)犯罪嚴格規(guī)制的刑事政策立場已經(jīng)開始了轉(zhuǎn)向。如前所述,我國目前數(shù)據(jù)立法和治理體系尚不完善,數(shù)據(jù)犯罪的罪與非罪界限尚不清晰,因此,對于企業(yè)數(shù)據(jù)犯罪應當以發(fā)展的眼光看待,落實好“少捕慎訴慎押”刑事司法政策,防止辦一個案件,倒閉一家企業(yè),失業(yè)一批員工,甚至垮掉一個行業(yè)的機械司法。通過督促涉案企業(yè)進行合規(guī)整改,既可以促進合規(guī)守法經(jīng)營,也可以舉一反三,促進企業(yè)乃至數(shù)據(jù)行業(yè)的規(guī)范發(fā)展。我國刑事合規(guī)的實踐表明,假如沒有一種刑法上的激勵機制,那么,幾乎沒有任何企業(yè)會認真對待企業(yè)合規(guī)問題,更談不上耗時費力地建立或完善合規(guī)計劃。③孫國祥:《企業(yè)合規(guī)改革實踐的觀察與思考》,載《中國刑事法雜志》2021年第5期,第31頁。再者,影響刑事責任輕重的情節(jié)與承擔刑事責任的方式是多樣化的,通過選擇適用多元化刑事制裁方式,刑事合規(guī)本質(zhì)上也并不與刑法的帝王原則沖突。④在行為人已經(jīng)受到程度相當甚至更為嚴厲的實質(zhì)制裁,或者采用非刑罰制裁方式將取得更好的制裁效果時,刑罰制裁應讓位于非刑罰制裁。參見劉艷紅:《企業(yè)合規(guī)不起訴改革的刑法教義學根基》,載《中國刑事法雜志》2022年第1期,第121頁。

2.刑事實體法的完善

涉案企業(yè)合規(guī)改革本身離不開刑事實體法的支撐。問題在于,現(xiàn)行刑法對刑事合規(guī)激勵制度缺乏體系性的立法支持。合規(guī)計劃既不能作為無罪抗辯事由,也不能作為法定的從輕減輕情節(jié),最多只能作為酌定情節(jié)。因此,刑法所能發(fā)揮的量刑激勵作用十分有限。從立法完善的角度來看,一方面,刑事合規(guī)應當作為企業(yè)已盡合理注意義務的抗辯事由,即員工涉嫌犯罪時,基于公司已盡合理的監(jiān)管義務,不存在主觀過錯,從而實現(xiàn)公司與員工的刑事責任的切割①根據(jù)相關的司法解釋,我國對單位犯罪的界定,包含了“人員要素”(單位的員工)、“表見要素”(以單位的名義)、“利益要素”(為實現(xiàn)單位的不正當利益)和“意志要素”(經(jīng)單位集體研究決定,體現(xiàn)單位的整體意志)。企業(yè)合規(guī)計劃的存在,在“利益要素”和“意志要素”層面,構(gòu)成對單位犯罪的抗辯。參見林靜:《刑事合規(guī)的模式及合規(guī)計劃之證明》,載《法學家》2021年第3期,第57頁。;另一方面,刑事合規(guī)應當作為定罪量刑的法定情節(jié),在刑法中增加“單位進行有效合規(guī)管理的,可以從輕、減輕處罰。犯罪較輕的,可以免除處罰”的規(guī)定,同時增設單位緩刑制度。這樣就可以為企業(yè)數(shù)據(jù)犯罪提供全新的制裁形式,也可以為暫時無能力和機會進行合規(guī)整改的企業(yè)提供緩沖時間。