《網絡安全法（草案二次審議稿）》第27條修改建議
——以網絡服務提供者協助解密義務為中心

崔聰聰，李欲曉，韓松

（1.北京郵電大學互聯網治理與法律研究中心，北京100876；2.中國網絡空間安全協會，北京100010）

《網絡安全法（草案二次審議稿）》第27條修改建議
——以網絡服務提供者協助解密義務為中心

崔聰聰1，李欲曉2，韓松1

（1.北京郵電大學互聯網治理與法律研究中心，北京100876；2.中國網絡空間安全協會，北京100010）

網絡服務提供者協助解密義務，隱含著公權力（偵查權）與私權利（通信秘密權、隱私權）之間的沖突。用戶的非公開信息應該在可控、可追溯基礎上，遵循必要性原則和比例原則，綜合考慮執法成本，司法機關經由法律確定網絡服務提供者履行協助解密義務獲取，進而達到社會治理管控、公眾安寧生活與網絡服務提供者營業自由的綜合效益最大化目標，避免落入公權力嚴重侵犯私權利的情形或者出現政府失效的無序狀態。

協助解密義務；必要性原則；比例原則；可控、可追溯；救濟措施

DOI 10.15302/J-SSCAE-2016.06.007

一、前言

網絡時代，犯罪日趨國際化、組織化、隱蔽化和高科技化。近年來，暴恐分子利用通信加密及存儲技術進行傳播暴恐音視頻、接受境外指令、勾連策劃恐怖襲擊，從而嚴重威脅國家安全和社會公共安全。密碼技術的泛化利用客觀上給司法機關的刑事偵查活動造成障礙，加密技術使大量的危害國家安全和社會公共安全的案件無法及時被發現、制止和懲處。出于保障國家安全、維護社會秩序等諸多目的，偵查機關在偵辦刑事案件時，有時不得不要求網絡服務提供者協助獲取個人處于加密狀態的信息。法律有必要明確執法協助的范圍及其程序，在保護用戶隱私以及國家安全之間尋找一個平衡點，否則執法協助可能淪為某些機關或部門濫用權力、侵害公民人身權利的“通行證”。

二、協助解密背后的權利（力）沖突——以蘋果解密門為例

（一）蘋果解密門爭議焦點及結果

自密碼技術民用化以來，技術利用與執法需求的博弈從來沒有停止過[1]。密碼技術使用的初衷是實現信息的秘密性，為公民的通信秘密權提供技術支撐，但違法行為人同樣可以利用密碼技術隱匿犯罪事實和證據，因此，密碼技術利用產生的執法障礙是始終無法回避的問題。2016年2月16日，美國聯邦調查局針對加州圣伯納迪諾賽耶德·法魯克襲擊案中獲取的iPhone手機，經由加州法院發出搜查令要求蘋果公司對涉案iPhone手機進行協助調查。蘋果公司認為美國聯邦調查局要求蘋果公司在iPhone構建后門會破壞其自由以及威脅用戶信息安全，并以此為由拒絕協助調查。2月28日，紐約州地區法院受理蘋果公司的訴訟。法官James Orenstein認為，美國政府對《全令法案》（All Writs Act）的解讀過于寬泛，是有違憲法精神的做法，且搜查令中法律引述不當。3月7日，美國司法部要求該法官撤回前判決并命令蘋果公司協助解密。3月22日，美國聯邦調查局通過以色列Cellebrite公司將涉案iPhone手機破解。

本案中，由于犯罪嫌疑人已被警方擊斃，警方調查陷入僵局。與電信運營商向執法機構提供保存在其服務器內的用戶短信行為相比，本案中網絡服務提供者的協助義務被放大到解密用戶的加密信息，并且主動突破用戶協議進行解密，無疑會引發用戶對個人信息和隱私安全的擔憂。無論是美國聯邦調查局援引的《全令法案》，還是蘋果公司援引的《美國憲法》第二和第五修正案，事實上都是工業時代的法律。美國聯邦調查局要求網絡服務提供者的協助執法義務擴大到解密和提供用戶端文件，但是，對用戶端信息的取證不能簡單地類推適用現實的文件夾或者保險箱[2]。如果不對網絡服務提供者執法協助義務進行細化，而僅僅出于實用主義目的泛泛規定網絡服務提供者應提供力所能及的技術支持，可能引發網絡服務提供者的權力泛化以及偵查權力“失控”。如果缺乏程序性保障措施，執法機關和網絡服務提供者很容易因濫用權力而侵犯個人隱私和威脅個人信息安全。

（二）蘋果解密門背后隱含的權利（力）沖突

基于保障國家安全、反恐需要而進行的刑事偵查，歷來是國家權力與個人權利碰撞最為激烈的領域[3]。依靠網絡服務提供者協助解密是國家懲罰犯罪、維護社會秩序的必要手段，是各國在個人自由與控制犯罪之間的抉擇。但不可否認，協助解密造成了明顯的國家權力、企業營業自由和保護個人尊嚴、生活安寧等個體根本利益之間的緊張關系。表面上蘋果公司拒絕美國聯邦調查局解密要求的動機是維護其商業利益，而實質是蘋果公司作為公權力與私權利之間沖突的“媒介”，在綜合考量各方利益及其影響的基礎上做出的價值判斷。作為一種預防和控制犯罪的有效手段，協助解密因其具有外溢效應容易侵犯個體的權利而需加以警惕，但是找到一個平衡點并不容易，易言之，在執法的正當需求與企業營業自由、個人隱私保護之間找到適當的平衡點變得越來越困難。

三、我國的立法和司法實踐

（一）立法

協助執法是網絡服務提供者履行保障網絡空間安全義務的重要內容。網絡服務提供者作為網絡活動最重要的參與者，更應該在數字化執法取證越發困難的網絡環境中積極履行協助執法義務。這一義務要求網絡服務提供者為執法機構提供必要的執法便利和技術支持，通常包括通信監控、檢查攔截和協助解密等，同時網絡服務提供者還應當對協助執法過程中所獲取的信息進行保密[4]。

《國家安全法》第七十七條要求公民和組織應當履行維護國家安全的義務，向國家安全機關、公安機關和有關軍事機關提供必要的支持和協助。《反恐法》第十八條要求電信業務經營者、互聯網服務提供者應當為公安機關、國家安全機關依法進行防范、調查恐怖活動提供技術接口和解密等技術支持和協助。但是，對于其他刑事案件能否要求網絡服務提供者協助解密，尚未有相關法律明確確定。《網絡安全法（草案二次審議稿）》第27條規定網絡運營者應當為公安機關、國家安全機關依法維護國家安全和偵查犯罪的活動提供技術支持和協助。協助解密作為技術支持和協助的重要組成部分無法可依，甚至對技術支持和協助的范圍與程序保障乃至公民權利的救濟措施，《網絡安全法（草案二次審議稿）》都未明確規定。

（二）司法實踐

與美國令狀主義語境的偵查行為管控相比較，我國的立法使得公權力的界限變得模糊，因而需要過多地依靠司法機關的自我約束。在向網絡服務提供者要求執法協助的啟動點上，司法機關有啟動過于頻繁、啟動閾值過低的問題。司法機關在偵查過程中要求運營商提供犯罪嫌疑人的通話記錄、短信記錄是十分常見的偵查行為[5]。在舊的明文發送情況下按照“一目了然”的偵查原則[6]，可以責令網絡服務提供者從服務器中直接提供與案情相關的信息。如今，多數通訊工具或互聯網應用已采取密文的發送形式，倘若要求網絡服務提供者提供信息，勢必要求其強行解密用戶信息。

四、《網絡安全法（草案二次審議稿）》第27條修改建議

國家在追訴犯罪中要求網絡服務提供者協助解密會侵犯、限制個人隱私權，個人需予以一定程度的容忍，但這并不意味著國家權力在技術偵查中可以不受限制或者制約。對于直接關系到人權的特殊偵查措施，國際通行的做法是通過法律控制來防止權力的無限擴張與濫用[7]。為實現上述目標，《網絡安全法（草案二次審議稿）》第27條應明確協助解密措施的適用案件種類、適用前提和適用對象。

（一）適用案件種類

通信秘密權、隱私權以及個人信息控制權均為形成或實現個人人格所不可欠缺的。基于保護公民基本權利的要求，協助解密措施適用的案件范圍僅限于重大犯罪案件，包括危害國家安全犯罪、恐怖活動犯罪、黑社會性質的組織犯罪、重大毒品犯罪案件，重大的貪污、賄賂犯罪案件以及利用職權實施的嚴重侵犯公民人身權利的重大犯罪案件，追捕被通緝或者批準、決定逮捕的在逃的犯罪嫌疑人、被告人的案件，可能判處10年以上有期徒刑、無期徒刑和死刑的其他嚴重危害社會的犯罪案件。“重罪”反映出被害權益的重大性，針對上述犯罪要求網絡服務提供者協助解密，足以抵消因侵害公民隱私權、通信秘密權以及企業營業自由而帶來的負面影響。賄賂犯罪往往具有隱秘性，偵查機關采用一般偵查措施常常收效甚微，如果不尋求網絡服務提供者協助解密，實在難以發現犯罪、調查取證并對違法行為人進行定罪處罰。

（二）適用前提

協助解密必須在采取一般偵查措施或方式不能或難以查明案情、獲取證據、查獲犯罪嫌疑人的情況下才可以進行；或者即使有其他方式，但需耗費大量的人力、物力和時間，并可能對個人權利及公共利益造成更大的損害，此即“兩害相權取其輕”。必要性原則的另一要義是只有司法機關對個人的行為是否可能造成嚴重的社會危害結果有了高于合理懷疑的程度，也就是說有實體的證據指向其具有相當程度的社會危害可能，才能要求網絡服務提供者協助解密，此時個人的隱私權和通信秘密權應讓位于偵查權，經過授權的網絡服務提供者協助解密也因此具備實質合法性。

（三）適用對象

在協助解密過程中，公權力機關想要獲取的信息主要有以下兩類：行為人的身份信息；犯罪嫌疑人通信的內容。如果將適用對象限制為犯罪嫌疑人本人，勢必導致部分案件由于缺乏犯罪嫌疑人的身份信息而無法要求網絡服務提供者協助解密。但如果適用對象沒有限制，偵查機關會產生過于充分的“動力”向網絡服務提供者索取信息，意圖通過海量的信息來篩選出目標證據。在統籌考慮偵查效率與人權保障之間關系的基礎上，我們認為協助解密的對象應當是明確且受限的，是與特定的通信線路、電子設備等直接相關的擬制人，不需要適用對象的身份完全明了。此外，作為一種補充偵查的手段，只能在確有必要的情況下，對與被指控人存在密切關聯的其他人員實施。

綜上，《網絡安全法（草案二次審議稿）》第27條應該修改為“網絡運營者應當為國家安全機關、公安機關和檢察機關依法維護國家安全和偵查重大犯罪的活動提供必要的技術支持和協助。”

五、安全保障與救濟措施

從立法定位來看，《網絡安全法》應為網絡空間安全的基本法，不可能對協助解密規定得事無巨細。協助解密過程中的安全保障與救濟措施可在《網絡安全法》的實施細則中予以規定。

（一）安全保障措施

協助解密不僅涉及當事人的隱私，也可能涉及企業的商業秘密甚至國家秘密。因此，偵查人員和網絡服務提供者對協助解密過程中獲悉的國家秘密、商業秘密和個人隱私要嚴格保密，不得泄露、出售或者非法向他人提供，并及時銷毀與案件無關的材料。為避免影響案件的調查與偵破，網絡服務提供者原則上應對協助解密的行為進行保密，未經執法機關允許在案件偵查期間不得告知用戶。

（二）救濟措施

1.對網絡服務提供者的救濟

盡管網絡服務提供者負有協助解密的法定義務，但是其對于執法機關做出的違法要求，有權向該執法機關或其上級機關提出申訴，以保障企業自身的權益。此外，網絡服務提供者在協助解密的過程中產生的費用，有權要求執法機關給予補償。但是，該費用支出必須是合理的，且與協助解密活動直接相關。

2.對當事人的救濟

對當事人的救濟主要是保障當事人的知情權、異議權和損害賠償請求權。首先，在協助解密行為結束后，執法機關應當將協助解密的有關情況通知當事人，以便于其核對情況是否屬實并提出異議、申請排除非法證據等；其次，當事人認為協助解密行為違法或者采用的手段違反必要性原則或比例原則，可以向執法機關依法申請復議；再次，違法實施協助解密給當事人合法權利造成損害的，當事人可以申請國家賠償。

六、結語

網絡服務提供者協助解密，始終面臨著為了保障國家安全、維護社會公共利益而不得不適用的“現實必要性”和對公民隱私權、企業營業自由構成威脅的“現實危險性”兩難選擇。在執法機構沒有解密能力的情況下，責令網絡服務提供者協助解密是成本相對低的途徑。為最大限度的減少其產生的外溢效應，立法有必要明確其適用案件種類、適用對象、適用原則以及安全保障措施，賦予當事人知情權、申訴權和申請國家賠償的權利，從實體和程序兩個方面嚴格限制其適用，使公民對國家行為有“可預測性”，從而保證刑事偵查活動在犯罪控制與人權保障之間實現動態平衡。

[1]馬民虎, 果園, 馬寧.自解密義務的法律困惑及其本土適用[J].蘇州大學學報(哲學社會科學版), 2016(1): 89-94. Ma M H, Guo Y, Ma N. Legal issues regarding the self-decryption obligationand its application in China[J]. Journal of Soochow University (Philosophy & Social Science Edition), 2016(1): 89-94.

[2]Jeffrey K. Missing the Metaphor: Compulsory decryption and the fifth amendment[J]. The Boston University Public Interest Law Journal, 2015, 24(53): 54-75.

[3]謝登科.論技術偵查中的隱私權保護[J].法學論壇, 2016(3): 32-40. Xie D K. On the protection of privacy rights in technical investigation[J]. Legal Forum, 2016(3): 32-40.

[4]霍永庫, 馮瀟灑.社會角色理論的網絡運營者安全保障義務分析[J].西安交通大學學報, 2016, 36(1): 62-68. Huo Y K, Feng X S.The analysis of network operators’ safety guarantee obligation based on the theory of the social role[J]. Journal of Xi’an Jiaotong University, 2016, 36(1): 62-68.

[5]唐忠民.公民通信自由和通信秘密保護的兩個問題[J].法學，2007(12): 14-17. Tang Z M. Two issues of the freedom of correspondence andprotection of correspondence secrets [J]. Law Science, 2007 (12):14-17.

[6]高榮林.美國電子數據取證之無證搜查與證據排除規則[J].上海政法學院學報，2015,30(5): 72-81. Gao R L. Unlicensed search and evidence exclusion rule of electronic data evidence in the USA [J]. Journal of Shanghai University of Political Science & Law, 2015, 30(5):72-81.

[7]胡銘.英法德荷意技術偵查的程序性控制[J].環球法律評論, 2013, 35(4): 6-18. Hu M. Technical detection by procedure regulation in United Kingdom, France, Germany, the Netherlands and Italy[J]. Global Law Review, 2013, 35(4): 6-18.

The Obligation of Decryption Assistance by Internet Service Providers: Suggestions on the Amendment of Article 27 of the Network Security Law Draft (Second Draft)

Cui Congcong1, Li Yuxiao2, Han Song1
(1. Institute of Internet Governance and Law, Beijing University of Posts and Telecommunications, Beijing 100876, China; 2. CyberSecarity Association of China, Beijing 100010, China)

The obligation of decryption assistance by Internet service providers reflects the conflict between public power (the power of investigation) and the right of privacy (the right of communication privacy, private rights). Internet service providers should gather data under encryption by users on the basis of the principles of controllability and traceability, proportionality, and necessity. Providers should consider choosing their path prudently, supervised by strict procedure. Thus, the overall utility of social governance control, the tranquility of private life, and the business interests of Internet service providers can be maximized. Severe violations of private rights and disorderly situations due to governmental failure can be avoided if these suggestions are carried out.

obligation of decryption assistance; principle of necessity; principle of proportionality; principle of controllability and traceability; remedy measures

D922.1

A

2016-10-12；

2016-10-18

崔聰聰，北京郵電大學互聯網治理與法律研究中心，副主任，副教授，主要研究領域為網絡法；E-mail: cuicongcong@bupt.edu.cn

中國工程院重大咨詢項目“網絡空間安全戰略研究”(2015-ZD-10)

本刊網址：www.enginsci.cn