偶然看到兩周前被忽略的一則消息：司法部、外交部和兩高一部等七部委發布了《關于實施〈中華人民共和國國際刑事司法協助法〉若干問題的規定（試行）》。

這個試行規定相當于《國際刑事司法協助法》的實施細則，最值得關注的新發展，是明確了刑事證據出境要經過“安全審查”，并為此設立了一個“刑事證據出境審查工作機制”，負責“刑事證據出境安全審查”相關工作，辦公室設在司法部。

2018年，我國出臺《國際刑事司法協助法》，第一次以全國人大法律的形式確立了我國的國際刑事司法協助制度，其中的第4條規定：非經中華人民共和國主管機關同意，外國機構、組織和個人不得在中華人民共和國境內進行本法規定的刑事訴訟活動，中華人民共和國境內的機構、組織和個人不得向外國提供證據材料和本法規定的協助。

如何應對外國政府跨境調取本國存儲的數據，一直是一個關系司法主權和數據主權的問題。刑司法第4條體現了我國對司法主權（以及電子證據場景下的數據主權）的重視，也符合國際法不承認域外執行管轄的普遍共識：一個國家的司法機構只能在自己境內從事刑事司法活動，如果你需要提取在別國的證據或者引渡在別國的罪犯，不能直接跑到人家地面上取證或者抓人，而是得跟對方的政府提出請求，對方審查后覺得可以幫你才會協助（在一些情況下，比如不符合“雙重犯罪”原則，也可以不幫），這也是為什么需要“國際刑事司法協助”制度。

2018年，美國攜技術和產業優勢推出《云法案》，繞開數據存儲國政府直接從企業跨境調取數據，直接挑戰了現行的國際刑事司法協助制度，也引發了一輪圍繞數據管轄權的國際規則博弈。對一個主權國家而言，外國不經過本國同意擅自調取本國境內存儲的數據，是侵犯主權的行為。如果對方國家獲取的數據達到一定量級，或者數據本身具有關系國家安全的屬性、存在被外國情報機關分析利用的可能，也會引發國家安全關切。

刑司法第四條正是在上述背景下出臺，并被很多分析解讀為我國針對外國單邊跨境數據調取的“阻斷條款”。后來的《數據安全法》第36條、《個人信息保護法》第41條、《網絡數據安全管理條例》（征求意見稿）第39條似乎都承襲了其基本思路和立場，且范圍擴展到民商事司法協助，并涵蓋所有涉及電子證據的外國跨境取證活動。

根據這些法律，非經中國主管機關批準，境內的組織、個人不得向外國司法或者執法機構提供存儲于中國境內的數據。外國司法或執法機構如果要調取存儲在中國的數據，有雙邊司法協助條約或者共同參加的多邊條約（如《聯合國打擊跨國有組織犯罪公約》）有國際司法協助機制的，走這些機制；沒有的，按照互惠原則跟外交部提出請求，走“外交途徑”。這和我國2019年打出的《全球數據安全倡議》也保持了一致。根據倡議，各國應尊重他國主權、司法管轄權和對數據的安全管理權，未經他國法律允許不得直接向企業或個人調取位于他國的數據。各國如因打擊犯罪等執法需要跨境調取數據，應通過司法協助渠道或其他相關多雙邊協議解決。

實踐中，刑事司法協助場景下需要出境的證據可能會以個人信息、重要數據的形式體現，從而產生了刑司法第4條和數安法第35條（向境外提供數據的規則）、個保法第第38條（向境外提供個人信息的規定）、《數據出境安全評估辦法》第4條（需申報數據出境安全評估的情況）如何協調的問題。

簡言之，境內個人和企業層面普遍存在幾個疑問：1、在收到外國司法執法機構直接發給個人和企業的數據調取要求時，相關規定只要求個人和企業“不得提供”，但有時企業和個人直接受制于《云法案》這樣的外國單邊數據調取規則或美國法院的證據開示程序，如不予回應可能在美國遭受處罰。這樣的中美法律沖突是個人和企業難以解決的；2、有些情況下，外國政府沒有找過來，而是境內個人和企業自己要在國外提起刑事訴訟或者應對外國針對自己的刑事訴訟，需要把一些證據傳輸出境，這是否也一律禁止？3、如果可以讓證據出境，但證據屬于個人信息或重要數據，那是否還需要去找網信辦走數據出境安全評估程序？

這個問題在過去幾年一直沒有特別明確的答復。業內傳聞，如果是因應對訴訟需要主動向境外傳輸證據，一般是向司法部司法協助交流中心交申請，中心會根據實際需要，轉交最高院、網信辦審批，但這從來沒有得到官方的承認。

2023年3月30日，司法部在官網公布了《國際民商事司法協助常見問題解答》，對民商事司法協助場景下的證據出境做出了規定：外國司法機關或司法人員如要調取位于中國境內的證據材料，不能直接詢問（包括通過電話、視頻等技術手段）位于中國境內的證人，應根據條約規定途徑，由外國具有提出取證請求資格的司法機關或個人向司法部提出調查取證請求。與中國未締結相關條約的，應向外交部提出請求。請求經審批后由人民法院執行，結果由請求接收部門答復請求方。

上述《問題解答）實際仍然堅持了司法主權和數據主權的原則，實際禁止境內個人和企業直接應外國司法機關請求向其提供證據。由于中國在1997年加入《海牙取證公約》時，對通過外交途徑進行司法取證的規定（除第15條“通過外交或領事官員直接向締約國司法機關請求提供取證協助”）做出了保留，外國民商事跨境取證請求基本上都需要向司法部提出，走民商事司法協助程序。

近期發布的這份關于實施刑司法若干問題的試行規定第13至15條集中對上述問題做出了迄今為止最清晰的解答。今后，境內個人和組織在收到外國司法執法機構調取境內數據的要求后，應當在收到之日起30天內報告司法部（刑事證據出境審查工作機制辦公室），提交有關情況的具體說明，并附相關法律文書副本或者其他證明材料。司法部收到報告后，會和機制成員單位會商，需要外國提出刑事司法協助請求的，由司法部向外國提出要求。

試行規定沒有說明“刑事證據出境審查工作機制”都有哪些成員單位，想來聯合發布該試行規定的七部委（國家監察委員會、最高人民法院、最高人民檢察院、外交部、公安部、國家安全部、司法部）應該在里面，主責數據出境安全評估的網信辦是否是成員單位還不清楚。但總體來說，作為機制辦公室的司法部要在這方面承擔重要的接收申請、協調會商和對外聯系職責，具體的工作可能會落在主責司法協助的國際合作局。

值得注意的是，根據試行規定，報告相關情況的個人和組織可以要求工作機制成員單位及其工作人員保密。這可能是為了應對美國政府調取數據的“國家安全密函”制度。美國司法部等執法機構為了調查某些案件從企業調取用戶數據時，因為擔心企業會對外透露，對正在進行的調查不利或可能威脅公共安全，一般會向企業發出“國家安全密函”（俗稱“封口令”），明確要求企業不能對外透露。這種情況下，如果企業收到了“國家安全密函”，但又需要根據試行規定向刑事證據出境審查工作機制辦公室報告，就會陷入法律沖突。工作機制辦公室保密，是對我國企業的一種保護。

對境內的個人和組織為了打官司等維護自身權益目的，需要主動向外國提供證據的情況，試行規定明確不是一概不行，但有條件：首先應當確保遵守保守國家秘密、數據安全、個人信息保護等有關法律規定，也就是出去的證據里面不能有國家秘密或者禁止出境的個人信息和重要數據；其次是要向工作機制辦公室提交書面申請。申請書的內容除了申請人和案件的基本信息外，還要包含關于證據符合保守國家秘密、數據安全、個人信息保護等法律規定以及合同約定的保密義務等事項的說明。司法部在受理申請后，要會同“工作機制成員單位中的主管機關等”對申請出境證據進行審查，并應當自受理申請之日起60天內告訴申請人審查結果。案件情況復雜或者需要征求其他有關部門意見的，可以視情延長審查時限。

試行規定沿襲了我國政府在處理“數據主權”問題方面的一貫思路，即通過逐案的政府審批，先管起來再說。同樣的思路也體現在《數據出境安全評估辦法》為主體的數據出境制度體系中。實踐中，為應訴需要主動向境外司法執法機構提供證據的案件為數不少，這種情況要逐案審批，還要商其他部委，司法部的工作量預計會迎來井噴。此外，根據試行規定，如果企業有行政或者行業主管部門，主動向外國提供證據要拿到這些部門的“意見”并提交司法部。例如，對互聯網企業來說，這可能涉及網信辦、工信部、市場監管總局等多個部門，實踐中怎么才能拿到這些部門對證據出境的意見，這些部門是否方便出具這類“意見”，是否會因懼怕承擔責任而慎于出具“意見”，似乎還不太清晰。

試行規定也會對我國企業應對境外訴訟中的證據開示程序產生影響。刑司法出臺以來，中國企業經常以第4條作為阻斷條款，根據美國司法實踐承認的“國際禮讓”規則，挑戰美國法院的證據開示程序。根據“國際禮讓”規則，如果外國企業為了遵守美國法律不得不觸犯外國法律，并且因此會被外國嚴厲處罰，出于公平和禮讓外國的考慮，企業可以豁免美國法律的義務。美國最高法院也確立了考量是否支持這種抗辯的幾個因素，包括相關企業和美國的聯系、不提供數據對美國的危害、提供了數據對外國的危害、不提供數據企業會遭受外國處罰的嚴厲程度等。

2017 年12 月，一家香港公司涉嫌違反美國朝鮮制裁法受到美檢方調查，檢方手持美國哥倫比亞地區法院簽發的傳票，要求三家中資銀行的在美分支機構提供該香港公司與一家朝鮮國有企業之間的銀行交易記錄。三家中國在美銀行就曾拿出《國際刑事司法協助法》第4條，主張“國際禮讓”的適用。阿里在一起美國政府調查中國淘寶店主販賣假貨的案件中，也以中國相關法律為由拒絕向美國提供淘寶店主的銀行賬戶等信息。刑司法提供了一個中國企業可以主張“國際禮讓”的法律依據，但缺點在于沒有設置罰則，導致美國法院認為中國企業即便違反刑司法向美國提供了數據也不會遭受實際處罰，從而不支持抗辯。但該問題因數安法和個保法設置的明確罰則實際上可以得到一定緩解。

但刑事證據出境安全審查機制的設立，似乎是對我國司法主權和數據主權的一次“軟化”。以前，刑司法第4及后來的個保法、數安法相關條款的題中之義是：外國司法執法機構就不應該直接找中國境內個人和組織調取數據，而是要走司法協助或者外交途徑，這一硬性的理解創造了一種中美法律沖突的狀態，實際是有利于上述“國際禮讓”分析的。但試行辦法規定，這種情況下境內個人和組織可以先報告司法部，司法部與機制成員單位會商，認為“需要”外國提出刑事司法協助請求的，由司法部向外國提出要求。這似乎隱含著另外一層意思：這種外國直接向我國境內個人或組織直接調取數據的情況，在試行規定出臺后，在一些情況下將是被允許的，可以不用走刑事司法協助機制。外國政府和法院如對試行辦法產生了這種理解，對我國企業援引“國際禮讓”應對境外訴訟中的外國證據開示要求，可能不是很有利。