从近期国家安全执法看企业跨境业务合规管理

一、罪责规定

近期公布的国家安全案例主要涉及泄露国家秘密、间谍活动的执法，引发了社会广泛关注，也对新形势下企业管理提出了挑战。国家安全机关和司法机关主要依据《中华人民共和国反间谍法》《中华人民共和国反间谍法实施细则》《反间谍安全防范工作规定》对涉案主体予以处罚。企业在涉外业务活动中，如何界定国家秘密和商业秘密，划定涉密业务活动的边界并采取充分有效的合规管理措施是企业经营中必须思考的一个重要问题。

（一）《刑法》关于间谍罪和为境外窃取、刺探、收买、非法提供国家秘密、情报罪的规定

首先，关于涉及国家秘密以及涉嫌间谍犯罪行为，《刑法》条文分别就间谍罪和为境外窃取、刺探、收买、非法提供国家秘密、情报罪作出以下规定：

（二）对尚未构成犯罪行为的规定

《中华人民共和国保守国家秘密法》（下称“《保守国家秘密法》”）、《中华人民共和国国家情报法》（下称“《国家情报法》”）以及《中华人民共和国反间谍法》（下称“《反间谍法》”）均规定，对于尚未构成犯罪的行为，分别处以相应的处罚，具体如下：

1. 《保守国家秘密法》第四十八条规定，有违反《保守国家秘密法》的行为的，尚不构成犯罪的，予以处分。

2. 《国家情报法》第二十九条规定：

3. 新修订即将生效的《反间谍法》有以下规定，区分间谍行为的法律责任以及违反《反间谍法》规定的法律责任，并且严格区分了个人与单位实施相关行为的责任，进一步加强对间谍行为的打击力度：

由此，三部法律分别从涉及秘密、情报以及间谍行为三方面对危害国家安全但尚未构成犯罪的行为做出规定，共同搭建了保护国家安全的红线。

二、国家秘密、情报以及间谍行为等概念的界定

（一）关于“国家秘密”的规定

根据最高人民法院《关于审理为境外窃取、刺探、收买、非法提供国家秘密、情报案件具体应用法律若干问题的解释》第一条第一款规定：

刑法第一百一十一条规定的“国家秘密”，是指《中华人民共和国保守国家秘密法》第二条、第八条以及《中华人民共和国保守国家秘密法实施办法》（该实施办法已于2014年3月1日废止，同时《中华人民共和国保守国家秘密法实施条例》同日起施行）第四条确定的事项。

据此，《保守国家秘密法》条文中涉及上述提到的“国家秘密”规定如下：

1. 第二条规定：

2. 第九条对这一概念作出阐述：

3. 在此基础上，对第十条对国家秘密分为三类：

（二）关于“情报”的规定

同样根据最高人民法院《关于审理为境外窃取、刺探、收买、非法提供国家秘密、情报案件具体应用法律若干问题的解释》第一条第二款规定：

刑法第一百一十一条规定的“情报”，是指关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项。

（三）密级鉴定

对于个案中需要对有关事项是否属于国家秘密以及属于何种密级，或者是否属于情报进行鉴定的情况的，国家保密局分别会同最高人民检察院和最高人民法院，印发了《人民检察院、保密行政管理部门办理案件若干问题的规定》和《人民法院、保密行政管理部门办理侵犯国家秘密案件若干问题的规定》。二者均规定，人民检察院或人民法院在办理侵犯国家秘密案件，需要对有关事项是否属于国家秘密以及属于何种密级，或者是否属于情报进行鉴定的，应当依据《密级鉴定工作规定》向国家保密行政管理部门或者省、自治区、直辖市保密行政管理部门提起。

《密级鉴定工作规定》第五条规定：办理涉嫌泄露国家秘密案件的纪检监察、侦查、公诉、审判机关（以下统称办案机关）可以申请国家秘密鉴定；国家保密行政管理部门、省（自治区、直辖市）保密行政管理部门负责国家秘密鉴定。

同时，《密级鉴定工作规定》规定了不得鉴定为国家秘密的事项：

（四）《反间谍法》对“间谍行为”的界定

新修订的《反间谍法》在对“间谍行为”的界定上，扩展了概念外延，增加关于网络信息间谍行为的认定，并且将相关数据也划定为间谍行为的客体，一并予以保护；明确规定间谍组织及其代理人在中华人民共和国领域内，或者利用中华人民共和国的公民、组织或者其他条件，从事针对第三国的间谍活动，危害中华人民共和国国家安全的，也将应适用《反间谍法》。

由此，《反间谍法》详细规定了何为“间谍行为”，以及对违反《反间谍法》规定的行为做出了详细规定。

三、我们的建议

《中华人民共和国国家安全法》第七十八条规定：机关、人民团体、企业事业组织和其他社会组织应当对本单位的人员进行维护国家安全的教育，动员、组织本单位的人员防范、制止危害国家安全的行为。

因此，企业合规管理要综合考虑法律规定，结合自身业务，划定国家秘密、关键数据、重要数据、工作秘密、商业秘密的概念范围，明确业务界限和员工行为规范。做到员工行为规范有规可循，业务活动、管理活动留痕充分，有据可查、可审计。具体如下：

1. 建立完善的国家秘密保护、商业秘密保护及相应数据管理合规体系。在企业自身建设中，要明确企业反间谍安全风险防范工作要求，建立健全完备的涉密管理制度，从企业自身管理层面加强反间谍风险的防范工作。同时，加强对企业员工的反间谍安全风险培训教育工作，提高员工的安全防范意识和应对能力。企业可以充分利用目前数据合规工作的开展，加强对相关业务，特别是涉外业务涉及的国家关键数据、重要数据等业务活动的梳理，完善内部管理。
    
2. 在涉及境内企业境外发行上市活动中，要严密遵守国家相关政策法规的规定，严守国家安全红线。涉及境内企业向有关证券公司、证券服务机构、境外监管机构等单位和个人提供、公开披露，或者通过其境外上市主体等提供、公开披露涉秘文件、资料的，应当严格履行相关规定的程序，依法报有审批权限的主管部门批准。
    
3. 在企业交易活动中，应当对客户、供应商等交易相对方或合作伙伴开展相关风险评估，做好尽职调查工作，防患于未然。尤其涉及军工、能源、芯片等敏感行业，做好必要的背景调查，并且在交易过程中对国家秘密和商业秘密的保护问题，同交易方签订必要的承诺函。
    
4. 定期对企业自身开展反间谍安全风险审计工作，特别是针对《反间谍法》新修订的关注重点 ——“网络”活动及“数据”信息定期进行风险筛查。

注释：

[1] 《中华人民共和国反间谍法》已于2023年4月26日修订通过，将于2023年7月1日起施行。

注：感谢实习生周鹏翔提供研究支持