陈毅坚 曾宪哲.涉外法治视角下数据出境中国家安全的刑法保护研究[J].辽宁大学学报(哲学社会科学版),2026,(03):73-84.

DOI：10.16197/j.cnki.lnupse.2026.03.005

涉外法治视角下数据出境中国家安全的刑法保护研究

陈毅坚 曾宪哲

摘 要：数字化转型使数据安全成为发展的核心问题，“数据霸权主义”将数据安全问题转化为国家安全问题，而数据出境是重要场景。刑法作为安全保障的常态动能，需要对此提供科学的立法供给。数据出境中危害国家安全的刑事风险类型主要表现为关键数据出境和大体量数据出境，各法域均限制涉国安数据的流动并规定了相应的刑事责任。我国刑法规制数据出境中国家安全风险呈现出涉外法治理念运用不足、单位犯罪规制局限、域外管辖权范围过窄、网络服务主体义务不明等问题。据此，应以涉外法治理念为引领，确立“数据主权”的立法原则，同时扩大涉外刑事管辖范围，增加单位作为犯罪主体和类型化服务主体及义务，以实现保持数据流动与保障国家安全的平衡。

关键词：涉外法治；国家安全；刑法保护；数据主权；数据出境

一、问题的提出

近年来，数字经济与云计算、物联网、大数据等周期分离性新信息架构长足发展，数据跨境流动日趋频繁，跨境数据数量巨大，数据成为各国竞逐的战略性基础资源。跨境数据的多元化、规模化和数据传送的快捷性，使涉国家安全数据的泄露变得更为容易、隐蔽，遂侵害我国国家安全的事件激增。

数据跨境是全球化浪潮的缩影，不同法域的差异化立法凸显了各法域的价值选择冲突。基于此，2020年党中央在全面依法治国工作会议上正式提出习近平法治思想时，特别强调要坚持统筹推进国内法治和涉外法治，加快涉外法治工作的战略布局，协调推进国内治理和国际治理，更好地维护国家主权、安全、发展利益，并在2022年党的二十大报告、2023年二十届中央政治局第十次集体学习、2024年党的二十届三中全会中数次重申加强涉外领域立法，统筹推进国内法治与涉外法治的重要性。质言之，这要求我国实现法治层面的角色转换，由国际秩序的观察者转变为全球治理的参与者；从涉外法治视角审视国内法律体系与司法实践的科学性，坚决否定抽象法治。

数据跨境行为包括不同周期、异种数据的入境与出境，本文的研究对象是数据出境行为。数据出境行为中潜藏着极大的国家安全风险，而刑法是安全保障的常态动能。刑事立法是刑事司法有序开展的必要前提，如何在立法上完善刑法架构以实现其对国家安全的有效维护是刑法研究中的重要命题。但是，现有数据出境的刑事法研究多着眼于刑事司法协助方面，缺乏对刑事实体法应当如何适应数据出境涉外性特征的关注，针对数据出境这一特定场景下危害国家安全犯罪的研究少而不精。因此，本文拟从涉外法治的视角出发，结合总体国家安全观等理论检视我国国家安全风险刑法因应中的问题，为刑法在数据出境中更好地维护国家安全提出立法建议。

二、数据出境中国家安全的刑法风险类型与规制立场

（一）数据出境中国家安全的刑法风险类型

“国家安全”的内涵已由以军事安全和政治安全为核心的传统安全扩展至社会、经济、生态、信息等非传统安全领域，包括生态恶化、恐怖主义、能源危机等内源性、外源性、双源性和多源性威胁，“现代‘国家安全状况’……具有无限扩张的潜力”。这种转变要求国家安全观从单一防御向综合治理转型，但仍以传统安全为核心。总体国家安全观正是这种综合安全观的体现，其治理既重视非传统安全对传统安全的影响，兼顾非传统与传统安全的差异化治理，也始终以维护传统安全为中心任务。

网络发展使国家战略稳定、战略力量和威慑等概念被重新定义，网络与信息安全受到重视。党的二十大报告中总体国家安全观的“五个要素”，将“科技安全”单列为国家安全的保障之一，与军事、文化和社会安全并列，体现出党中央对科技安全与国家安全关系急剧变化的敏锐判断与及时回应。数据安全兼具传统和非传统安全属性，其中数据出境引发的国家安全风险尤为突出，主要包括两类风险：第一，关键数据出境。关键数据一旦出境即对国家安全造成威胁，与数据体量规模无关。关键数据包括涉密人员的个人数据、关键商业秘密数据和关键政府数据等。涉密人员多为国家核心工程或重要计划的领导者、参与者，其个人数据一旦泄露，可能引发国家间的政治和军事对抗。关键商业秘密数据可能被境外势力用于产品竞争、贸易税收、准入机制、货币政策等方面的经济打压和市场操控，危及国家经济安全，进而威胁传统安全。如力拓案。基础设施、司法档案、民生统计等关键政府数据与国家战略、机制部署等直接相关，其泄露将削弱我国的国际竞争地位，威胁国家生存能力。第二，大体量数据出境。数据的集聚效应使利用数据规模化分析复原脱敏数据、挖掘战略价值信息成为可能。境外势力可能通过此类手段预测社会动向，操控选举、引导舆论、开展“认知战”、扰乱国家意识形态稳定和社会共识。特别是在生物数据出境问题上，遗传资源数据和生物识别数据的泄露可能为境外势力研发基因武器、疫病武器等提供便利。

（二）数据出境中国家安全的刑法规制立场

1. 数据出境规制的立法模式

数据作为一种新型生产要素正在重塑社会规则。出于抢占数据高地和控制数据出境中隐含风险等考虑，各国纷纷针对数据跨境行为进行立法，在数据管辖模式上形成了两个对立阵营：数据控制者主义与数据存储主义。

以美国、欧盟为代表的西方国家推崇数据自由流动，倾向数据控制者主义，依托云计算技术获取跨境数据。美国《澄清境外合法使用数据法案》（云法案，CLOUD Act）通过域内立法的方式明确赋予 美国域外数据管辖权，是数据“长臂管辖”的典型。根据云法案，为预防、侦查、调查或起诉严重犯罪，电子通信或远程计算服务提供者应按《存储通讯法》规定的义务向有权方保存、备份或披露所记载的通信、记录或其他信息，不论存储地位于美国境内外。符合条件的外国政府与美国签订协议后，可依本国命令直接从美国境内组织调取数据，美国亦可对协议国境内组织行使同样权力。类似地，欧盟《通用数据保护条例》（GDPR）第三条规定，即使数据控制者或处理者设于欧盟境外，也会因向欧盟境内数据主体提供商品、服务或监控数据主体在欧盟境内的行为而受管辖。欧盟是各国企业连接欧洲市场的重要门户，GDPR“成为了事实上的世界性法律”。

与上述理念相反，以中国、俄罗斯为代表的国家注重数据主权，倾向数据存储主义，以数据实际存储的物理位置来确定数据管辖权。欧美国家构建的系列数据规则中，我国与俄罗斯均被列为“特别关注国”，不仅面临获取欧美国家数据的严苛限制，本国数据还常被欧美国家以促进市场公平、维护国家 安全等名义依据其国内法强制获取，对数据主权与国家安全造成极大威胁。因此，维护数据主权成为 我国与俄罗斯数据立法的首要任务。我国陆续出台了《中华人民共和国网络安全法》（以下简称网络 安全法）、《中华人民共和国数据安全法》（以下简称数据安全法）、《中华人民共和国个人信息保护法》， 对数据跨境行为进行规制，还配套颁布了《网络数据安全管理条例》《数据出境安全评估办法》《促进和 规范数据跨境流动规定》等法律法规，全面监管数据跨境行为。俄罗斯对数据流动的限制更为严格,《俄罗斯联邦个人数据法》明确表达数据本地化的基本立场，部分类别数据被禁止出境。其本地化要求依靠《俄罗斯联邦个人数据法》《信息、信息技术和信息保护法》等法律法规来实现。

2. 涉国家安全数据出境的立法限制

虽然数据跨境立法模式存在差异，但当数据跨境行为涉及国家安全时，二种模式却不约而同地采取了限制数据跨境流动的管控措施。

中国、俄罗斯数据跨境的相关立法本就建立在保护数据主权与维护国家安全的政策之上，二者关系紧密。涉国安数据出境行为在我国可能面临刑事处罚，其可罚性源于《中华人民共和国刑法》（以下简称刑法）第一百一十条、第一百一十一条、第二百一十九条之一、第三百九十八条和第四百三十二条等规定。美国、欧盟亦对此持审慎态度。比较发现，数据控制者主义模式是附条件的：当数据出境可能影响国家安全时，数据的自由流动政策呈收缩状态，相应的处罚手段也由行政和民事手段扩张至刑事手段。

以美国为例，其对重要数据的出境管控一贯严格。美国外资投资委员会（CFIUS）专门审查涉美重大利益的外国投资，有权要求国外网络运营商与电信小组签署安全协定，要求通信基础设施位于美国境内且通信数据、交易数据和用户信息等仅存储在美国境内。其依据的《外商投资与国家安全法》（FINSA）和《外国投资风险审查现代化法案》（FIRRMA）均认为“国家安全”一词包括关键基础设施的应用，后者明确规定其审查内容包括所涉交易包含的关键技术、能源资产、敏感数据暴露等，是否可能影响美国在国安领域的领导地位或制造网络安全漏洞、加剧网络安全风险等。近年来，美国政府频频以国家安全为由加强对非同盟国家的数据跨境监管。2024年，拜登政府签发的行政令及其相关“最终规则”将中国（含香港和澳门地区）列为受关注国家，限制达到一定规模的人类组学数据、生物识别信息、个人健康数据、精确地理位置数据、个人财务数据和个人身份识别信息六类敏感个人数据及所有与美国政府相关数据的交易，理由是防范借助人工智能危害美国国家安全和侵犯人权的行为。该规则适用对象宽泛，且列举了部分有意逃避规定的禁止行为，自由裁量空间较大。

在美国涉国家安全数据出境也可能涉嫌犯罪。首先，数据泄露的行为符合联邦法部分间谍罪的构成要件，主要是《美国法典》下“犯罪与刑事诉讼法”第三十七章关于收集、传输或披露防御信息等规 定。其次，国会在多部数据出境立法中设有附属刑法规定。例如,《2021财年国防授权法案》将涉及政府与关键基础设施相关系统列为“受保护计算机”，加重破坏行为的处罚；《出口管理条例》（EAR）和 《国际武器贸易条例》（ITAR）对非国防和国防技术数据的出口加以限制，违反ITAR可被罚款或监禁；《国际紧急经济权力法》（IEEPA）授权总统对威胁美国国安的外国或实体实施经济制裁，违者最高可被判处20年监禁并处100万美元罚金；《2019年国家安全与个人数据保护法案》则对违反数据收集、二次使用和数据转让、存储等要求的个人规定最高 5年监禁并处《美国法典》第十八卷相关刑罚；“最终 规则”明确故意、故意企图、串谋、协助或教唆违反根据IEEPA授权措施者，最高可被判处20年监禁并 处100万美元罚金。

三、数据出境中国家安全风险的刑法规制困境

（一）涉外法治理念运用不足

数据出境场景下刑法保障乏力的根本原因，在于我国国家安全刑法体系的设计对涉外法治理念统领仍有不足。党的十八大以来，我国综合国力和国际影响力显著提升，在国家安全治理上已不再是被动防守的状态，而是积极推动公平、公正国际法治秩序的形成，以对抗抽象法治，保护自身利益，构建人类命运共同体。我国在保护国家安全这一问题上逐步意识到涉外法治理念的重要性，并落实至各项政策上，出台了《中华人民共和国国家安全法》、数据安全法、《中华人民共和国反外国制裁法》等法律法规。面对国际上国家治理模式变化以及国家利益外溢、科技迅猛发展和国际法体系滞后等带来的风险，面对其他国家积极寻求本国法的域外适用等背景下，我国刑法仍处于“域内治理”阶段、仍未能改变法律属地主义的原始理念状态，涉外适用效力就显得非常有限。主要表现为域外效力主体、范围等的不确定性，如立法与执法管辖范围混同，导致属人管辖权和保护管辖权的消极行使，单位域外犯罪的主体地位不明等。数据出境中危害国家安全刑事案件的管辖范围、行为主体和行为对象等与传统案件差异较大，呈现较强的国际性。我国刑法对涉外法治理念的运用不足将导致立法与该类案件司法需求不兼容，与国际社会脱轨而陷于被动状态，不利于推动数字命运共同体的构建。

（二）单位犯罪的规制局限性

第一，涉单位域外犯罪的管辖原则不明，存在管辖漏洞。根据我国刑法第七条、第八条的规定，当我国有关单位在我国领域外犯我国刑法规定之罪，或我国有关单位在域外被外国人侵害，或外国单位在域外侵害我国国家或公民时，我国均没有刑事管辖权。这一漏洞在数据出境场景中尤为致命。因为企业等单位是数据出境最主要的行为主体，掌握着巨量数据的流动，大部分互联网巨头企业还拥有顶尖的数据集散技术。若我国有关单位在管理过程中故意或过失向境外泄露数据，或在域外被攻击而导致数据泄露，又或外国单位通过各种技术手段获取可能危害我国国家安全和公民的数据时，我国刑法将束手无策。反观美国《经济间谍法》的规定，该法适用于当犯罪者是美国公民、具有美国永居身份的外国人、根据美国或其州或政治机构的法律组建的机构或美国是犯罪发生的促进行为地时发生在美国境外的行为。在美国诉华锐风电案中，三名被告分别为中国公司、中国公民和塞尔维亚公民，且无美国永居权，但美国依然因华锐风电子公司在美国设立而获得管辖权，判决华锐风电公司电信诈骗、窃取商业秘密及共谋罪罪名成立。由于我国刑法缺少管辖企业海外利益的清晰连接点，类似案件中我国处于极端被动的地位，不利于维护我国经济安全。

第二，部分罪名缺乏单位犯罪主体规定，存在处罚漏洞。我国刑法不仅在管辖权条款中没有考虑到单位犯罪的可能性，在部分危害国家安全犯罪中也存在同样问题，这不符合企业是数据出境常见风险主体的特点。尽管我国刑法第三十条有关于单位犯罪的总则性规定，但同时规定惩治单位犯罪以刑法分则具体规定为限，我国绝大部分危害国家安全犯罪的主体都不包括单位，如为境外窃取、刺探、收买、非法提供国家秘密、情报罪，非法获取国家秘密罪和非国家机关工作人员故意泄露国家秘密罪、过失泄露国家秘密罪等。在公司、企业等单位决议将可能危害国家安全的数据出境时（包括“中国→境外”的单位域内犯罪与“境外→境外”的单位域外犯罪），法律似乎都只能处罚自然人，这与数字时代公司企业等单位作为主要数据管控者所应承担的义务与责任不符。

（三）域外管辖权的范围过窄

我国刑法的刑事管辖权条款规定了两个限制条件：其一，行为按我国刑法规定最低刑为三年以上有期徒刑的，才会引起属人管辖权和保护管辖权的行使；其二，满足双重犯罪原则才可行使保护管辖权。问题在于，情报类犯罪中除了为境外窃取、刺探、收买、非法提供国家秘密、情报罪和故意、过失泄露军事秘密罪外，其余犯罪均须达到“情节严重”才能判处三年以上有期徒刑，亦即法定最低刑为三年以下有期徒刑的限制大大缩小了适用罪名范围。并且，双重犯罪原则的实质是以他国刑法作为我国保护管辖权的提起依据，这不仅导致我国保护管辖范围变窄，还有司法主权沦为附庸的嫌疑。 

无疑，上述问题在数据出境场景下将引发两个连锁反应。第一，部分危害国家安全的数据出境行为不符合我国提起刑事管辖的法定刑前提。比如，外国某反华黑客组织为我国某反动团体获取我国大量非军事秘密的敏感个人数据，并留存了备份数据以供该团体取用。这一行为不符合为境外窃取、刺探、收买、非法提供国家秘密、情报罪和故意、过失泄露军事秘密罪的构成要件，也难以构成刑法分则第一章其他罪名，故我国无法提起保护管辖。第二，他国可以轻易以依照本国法行为不构成危害国家安全犯罪为由反对我国提起刑事管辖，拒绝配合执法。在此，国家安全的主体间性特征为其内涵泛化提供了路径，国家安全逐渐成为西方国家“长臂管辖”和推脱罪名的利器。若我国认为某数据出境行为会威胁我国国家安全，但涉案他国否认行为的刑事可罚性，根据我国刑法第七条，我国即无刑事管辖权。且刑法域外效力的发挥须与域外执法相配合，他国对罪行的承认与否影响我国刑法第七条的实质功能。这种“管辖寄生式”立法将我国的管辖权寄托于他国的肯认，使得我国刑法在国际关系中的适度干涉和反制功能丧失。

（四）网络服务主体义务不明

数据出境涉及众多的网络服务提供主体和数据类型，不同主体针对同一数据类型或同一主体针对不同类型数据都因风险管辖范围、程度的不同而应具有不同的作为义务，这直接影响罪与非罪的边界认定。但我国刑法第二百八十六条之一拒不履行信息网络安全管理义务罪并未对此提供足够的立法供给，亦无司法解释上的合理阐明。 

第一，网络服务提供者缺乏类型化划分。根据最高人民法院、最高人民检察院《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》第一条的规定，网络服务提供者包括提供以下服务的单位和个人：（1）网络接入、域名注册解析等信息网络的接入、计算、存储、传输服务；（2）信息发布、搜索引擎、即时通信、网络支付、网络预约、网络购物、网络游戏、网络直播、网站建设、安全防护、广告推广、应用商店等信息网络应用服务；（3）利用信息网络提供的电子政务、通信、能源、交通、水利、金融、教育、医疗等公共服务。司法解释以功能性作为网络服务提供者的划分标准，存在两个问题：一是没有真正实现主体类型化，分类存在明显交叉；二是没有囊括网络服务生态链的基本要素，如缺乏纯粹内容提供者这一类别。

第二，网络服务提供者类别划分的失败直接导致其作为义务与豁免事由缺乏层次性。由于本类罪的法定犯性质，许多行政法律法规都能成为网络服务提供者作为义务的渊源，如网络安全法、《互联网信息服务管理办法》《互联网安全保护技术措施规定》等。这些规定明确赋予了网络服务提供者事先的技术、制度保障义务和事后的通知、止损义务。但由于网络服务提供者类型化的缺失，这些义务被描述为概括的共性义务，其个性义务尚无明确划分。同时，立法倾向于为网络服务提供者设定一种积极、主动的监管义务，而忽视了豁免事由的确立，导致网络服务提供者难以确认自由经营的红线，与鼓励创新经营的政策相悖，直接影响企业刑事合规计划的制定与施行。

在数据出境场景中，涉国家安全数据主要通过硬盘拷贝、网络传输、文件邮寄等主动手段，或相关存储平台发生技术性泄露等被动手段出境。上述问题导致数据出境中各类主体的作为义务难以判定。例如，当甲将某涉密资料上传到网盘并发送链接给他人，或通过社交媒体直接发送给他人时，平台是否具备实质审查涉密资料的权力与义务？负责管理和建设政府涉密平台的第三方网络服务提供者是否负有区别于其他性质主体的严格义务？等等。

四、数据出境中国家安全风险的刑法因应路径

（一）以涉外法治理念确立“数据主权”立法原则

“统筹推进国内法治和涉外法治，协调推进国内治理和国际治理，是习近平法治思想的时代逻辑和核心要义之一。涉外法治”指中国特色社会主义法治体系中调整涉外法律关系的理念、原则、制度和规则总和，包括消极防御霸权主义与积极参与国际治理两个面向，包括立法、执法和司法等多个方面。

数据出境场景中，这一思想要求我国刑法实现两点目标。第一，以立法设计防御、阻断数据霸权主义行径。从2012年起，美国以威胁国家安全为由对华为公司进行各类安全审查，指责其网络设备受中国政府监控、涉嫌从事间谍活动，并裹挟他国共同抵制华为及其5G技术。因此，符合数据跨境发展趋势的刑法立法具有必要性和紧迫性。第二，积极参与国际治理，制定有利于我国的数据流动国际刑事规则。欧美国家长期通过条约或协定等方式建立属于自己的数据话语体系，以互惠条件扩展对全球数据的掌控，甚至突破国际法规则维护霸权。未来，我国应积极推动全球数据刑事治理规则的形成，利用“一带一路”倡议等政策与地缘优势开展双边多边数据刑事司法、执法合作，打造有利于我国的开放、公平、公正、非歧视的数据流动环境。

数据主权是防御数据霸权主义和参与国际数据刑事治理的基础，必须以坚持数据主权为刑法立法原则。关于数据主权的性质存在三种观点。延伸说认为，数据主权是国家主权在网络空间的延伸，可进一步分为网络物理层主权、网络逻辑层主权和网络数据层主权。独立说认为，数据世界独立于国家，数据主权取决于实际占有与使用，故数据主权者未必是国家，更可能是跨国互联网信息巨头。区分说认为，数据主权包括领土主权与占有主权双重性质，前者由国家享有而后者由各大互联网公司享有。本文认为延伸说较为可采。数据所有权与数据主权是相异概念，前者可由公司享有，而后者只能由国家享有，因为数据主权具有对内最高权威和对外独立性、平等性。独立说排除主权国家干预网络空间自治秩序，强调网络与物理空间对立的主张本质上是对数据主权的否定。

数据作为战略资源，互联网公司只是形式上地掌控其流动，实质操控者是背后的政治势力“，微软公司诉合众国案”鲜明地说明了这点。数据主权的争夺依然是国家间的对抗，目标在于确保本国数据的独立管理和利用，排除外来干涉，这与国际法上对领土主权的界定类似。据此，国家主权的性质必然要求数据主权由国家享有，失去对数据主权的掌控将引发严重的国家安全风险甚至“数字殖民”，必须坚持数据主权不动摇。

（二）扩大涉外刑事管辖范围

扩大涉外刑事管辖范围是坚持数据主权的内在要求。坚持数据主权要求抵御数据霸权主义，而保护管辖权是衍生自国家内在的自卫权。主张保护管辖权不仅是自卫行为的表现，更是以实际行动对抗抽象法治，重塑公平、公正的国际数据秩序。“我国既不能像美国那样任意扩大国内法的域外适用范围，也不能不在国际法许可的范围内构建中国法的域外适用法律体系，为我国当事人采取有效行动、为我国依法采取有效反制措施提供法律依据和制度基础。”为适应数字时代危害我国国家安全手段国际性、数据化的新特点，本文认为应当从管辖连接点、法定刑限制和双重犯罪原则三方面扩大我国刑法的涉外刑事管辖范围。 

第一，增加单位作为属人管辖和保护管辖的对象。对于外国公民在我国领域外以单位作为犯罪对象并侵害国家安全法益的情形，德国以行为类型为导向的立法模式值得参考。由表1可知，德国刑法在犯罪对象和适用限制上，为上述情形下该法的适用提供了更大空间，且在第五条第一款第七项明确规定侵犯特定单位的商业秘密也适用德国刑法。这不仅是对国家安全的直接保护，还通过保护关键商业秘密这一阻挡层法益实现了对国家安全的双重预防。与之相比，即便可以将侵犯国家安全法益的行为对象全部归于我国刑法第八条所述“中华人民共和国国家”，适用我国刑法仍以特定法定刑和双重犯罪原则为条件。本文认为，可从两方面加以完善。其一，规定中华人民共和国公民或单位在我国领域外实施危害国家安全犯罪的，不论刑期长短，均应按我国刑法予以追究。单位与自然人域外犯罪的管辖法理无本质区别，放弃单位域外犯罪管辖权既是对司法主权的无端舍弃，也是对该部分数据主权的抛弃。其二，规定外国人或外国单位在我国领域外对中华人民共和国国家、单位或者公民实施危害国家安全犯罪的，不论刑期长短，均应适用我国刑法。

否定论者质疑，将外国单位纳入保护管辖无实际意义，既无法引渡，也难获得外国政府的刑罚执行协助，立法形同没有司法适用价值的“死亡条款”。本文认为，立法应具备司法、执法可行性，但司法、执法难不是不立法的理由。其一，立法并非只为直接适用，还承担国家意志与规范预期的宣示功能，将外国单位纳入保护管辖对象展现出我国对危害国家安全犯罪零容忍的态度。其二，单位保护管辖可通过经济刑实现可行性。单位犯罪的刑罚多为罚金、冻结或没收财产等经济制裁，本就与引渡无关。其在华资产或因国际条约、协议获得的经济利益可保障制裁执行，无法引渡或不协助不是我国放弃管辖的理由。其三，相关立法为司法实践与跨境协作提供明确依据。“休眠条款”可随时激活，为潜在案件的处理提供合法性与正当性支持，填补规范空白。其四，相关立法有利于强化我国在国际法治框架中的主导地位。欧美国家通过云法案等立法输出本国规则，利用法律惯例塑造国际社会对数据犯罪的规制预期与标准，迫使其他国家适应其标准。若我国缺乏类似规范，不仅执法能力被削弱，更难以对等反制，国际竞争力和法治话语权亦受影响。

第二，行为危害国家安全时不适用三年以上的法定刑限制。我国刑法第七条规定，只有法定刑为三年以上有期徒刑之罪，才应当被追究；第八条规定，只有法定刑为三年以上有期徒刑之罪，才可以被追究。但多数危害国家安全犯罪在未达到“情节严重”时只能处以三年以下有期徒刑，致使属人管辖权与保护管辖权难以发挥作用。本文认为，其一，危害国家安全犯罪应作为法定刑限制的例外。以危害非传统安全为表征的传统安全危害行为更具隐蔽性，行为达到“情节严重”时也许损失已不可挽回，这不符合国家安全保护预防为主的政策导向。国际上已有类似立法例，如日本刑法第二条规定，该法适用于在日本境外犯下内乱、预备及谋划、帮助内乱、诱导外患、援助外患等犯罪的“所有人”，部分涉电磁记录犯罪也适用本条。其二，行为危害国家安全时，保护管辖权的提起具有必然性而非选择性。危害国家安全犯罪位于我国刑法分则第一章，是刑法的首要规制对象，社会危害性极大，仅因行为地在境外而获得豁免不具有正当性。 

第三，删除双重犯罪的限制条件。根据我国刑法第八条，犯罪地法律认为不受处罚的，我国无法主张保护管辖权，即使外国人侵犯的法益是我国国家安全。若他国认定该国人的行为不构成犯罪，则无论其是否实质侵犯了我国国家安全，我国均不得行使保护管辖权。许多国家的保护管辖双重犯罪原则并不适用于危害国家安全情形。如《德国刑法典》第五条规定，下列在国外实施的犯罪行为均适用德国刑法，而不取决于犯罪地法律。其适用情形包括叛逆罪、危害民主法治国家、叛国及外患、危害国防罪等。删除双重犯罪限制条件不仅拓宽了我国刑事保护管辖权的适用范围，也更贴近国际通行的做法。

（三）增加单位作为某些个罪主体

截至2023年底，中国境内投资者共在全球189个国家和地区设立境外企业4.8万家，其中在共建“一带一路”国家设立境外企业1.7万家，对外直接投资存量2.96万亿美元，跨境企业已成新常态。覆盖公民日常生活各方面的企业成为数据集散中心，是数据出境最主要的行为主体，也是国家安全风险的主要来源之一。在刑事领域追究跨国公司责任的国际趋势非常明显，如违反GDPR关于数据跨境要求的企业等数据控制者最多可被处以上一财年全球年营业额总额4%的罚款。这一规定通过欧洲法院的裁决排除了德国《秩序违反法》第三十条和第一百三十条的适用，认为企业等法人独立承担责任，其责任的有无不以管理层个人责任的寻得为前提。这样高额的罚款带有较强的惩戒意味，除了没有冠以“罚金”这一名称之外，在降低企业声誉等社会效果上与单位犯罪没有区别。罚款作为一种社会性谴责工具已成为传统刑事罚金的替代手段，GDPR 本质上属于严重的惩戒性制裁，是准刑法。本文同样认为有必要以单位犯罪的方式落实企业在数据出境中的刑事义务与责任，应当在危害国家安全犯罪中增加单位犯罪条款。 

虽然学界在单位犯罪处罚规则的问题上一直存在单罚制与双罚制的争辩，但考虑到我国刑法在单位犯罪的处罚上采用了双罚制，故本文的探讨以此为前提展开。以为境外窃取、刺探、收买、非法提供国家秘密、情报罪为例，可以增加“单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚”为第二款。近年来，随着组织体责任理论的发展，仅对单位处以罚金刑已无法体现单位犯罪的本质，亦难达到抑制单位犯罪的效果。本文认为，单位拥有独立的人格与意志，单位行为是组织结构和系统运作下的行为，其组织结构、决策程序、经营范围、安全措施和文化制度等要素是单位刑事责任的认定依据。数据出境中实施危害国家安全犯罪的单位类型多样，既有中小企业，也有架构完整的大型互联网公司，因此可以考虑设置梯度刑罚措施，如罚金刑、没收财产、取消营业资格、没收单位财产、整改单位结构等。

（四）类型化界分服务主体与义务

本文认为，以应用为导向确定网络服务提供者的主体类型与义务层次，能够更好地确定数据出境中单位主体的刑事责任。 

我国理论界对网络服务提供者主体的类型划分作了很多努力，总体上可归纳为单层分类法和多层分类法。单层分类法具有耦合性，包括将网络服务提供者分为：（1）接入服务与内容服务；（2）访问软件提供者、平台提供者和网络接入服务提供者；（3）中间服务提供者、互联网信息服务提供者和第三方交易平台服务提供者；（4）内容服务提供者、接入服务提供者、缓存服务提供者和存储服务提供者；（5）平台服务提供者、接入服务提供者、缓存服务提供者和存储服务提供者；（6）内容服务提供者、接入服务提供者、缓存服务提供者、存储服务提供者和信息定位服务提供者等观点。多层分类法具有阶层性，包括将网络服务提供者分为：（1）内容提供者、中介服务提供者，后者又分为平台服务、信息定位服务和接入服务等；（2）为自己信息提供服务者、为他人信息提供服务者，后者再分为接入服务、信息定位服务、存储服务和平台服务等；（3）中间服务提供者、信息源服务提供者，后者指内容服务提供者，前者可分为单一型中间服务提供者和综合型中间服务提供者，单一型中间服务提供者包括接入服务提供者、缓存服务提供者、存储服务提供者和信息定位服务提供者，综合型中间服务提供者包括平台服务提供者和其他。凡此种种，不一而足。

综上而言，单层分类法缺陷明显，主要表现为内容交叉且不全面。目前的平台服务提供者基本都具备缓存与存储功能，单层分类法其观点（3）（5）将平台服务提供者与缓存或存储服务提供者并列的观点存在逻辑重叠，且其观点（3）将第三方交易平台服务提供者单列的做法有金融诈骗高发期情绪性立法嫌疑。观点（2）（5）均没有认识到内容提供者的独立地位。观点（4）忽视了除缓存与存储服务之外还存在区别于缓存技术的P2P传输技术服务。观点（6）从技术标准看较为合理，因为四者都存在独立的、可对应的服务主体，但司法实用性不高。互联网发展至今，各类服务的可分性趋弱，单纯以技术为主体识别标准非常考验司法工作者的计算机知识储备，这与司法工作者多接受传统法学教育的现状不符。 

为平衡技术繁复性与司法可操作性，本文认可多层分类法，但分类标准不同。本文主张参考技术标准，以应用为导向将网络服务提供者分为接入服务提供者、纯粹内容服务提供者和中间服务提供者三类。接入服务提供者，指提供互联网接入服务的单位或者个人，如互联网、宽带、无线网络等服务提供商。纯粹内容服务提供者，指在网络上提供信息或者内容的单位或个人，如自媒体、新闻社等。中间服务提供者，可分为非平台软件服务提供者和平台服务提供者。前者不提供内容服务，仅提供筛选、分析、缓存、存储等应用工具，如EXCEL、Web浏览器、iCloud等；后者提供在线、公开交互和沟通服务，如微信等内外线即时通信工具、视频网站和网络游戏平台。平台服务提供者兼具内容与软件服务功能，具有开放性、共享性和可扩展性，这也是其与非平台软件服务提供者的主要区别，后者的交互不具有开放性。

基于上述分类，负有实质审查传输内容的义务主体显然不包括接入服务提供者和非平台软件服务提供者。首先，接入服务提供者仅负责保障网络运行，要求其实质审查海量数据并不现实。国际通行做法是，除非接入服务提供者与他人故意共同实施犯罪，接入服务提供者在满足法律规定的条件下享有法律责任豁免特权。其次，非平台软件服务提供者仅具工具性，如使用WPS软件来编辑本地文档，不涉及公开交互，赋予其实质审查义务既难以执行，还有侵害个人隐私的风险。同理，当平台服务提供者在该次传输中仅充当软件服务角色时同样不承担实质审查义务。最后，内容服务提供者，包括 纯粹内容服务提供者和提供内容服务的平台服务提供者，均负有承担传输内容的实质审查义务。致使违法信息大量传播是本罪的入罪条件之一，防止违法信息大量传播的途径包括源头阻断与过程阻 断两方面，源头阻断与内容服务提供者直接相关。只有内容服务提供者认真审核上传内容，及时停止上传违法内容，才能实现源头阻断。例外的情况是，当主体为关键信息基础设施服务提供者时，无论 其属于哪类主体，均负有实质审查义务。

据此，当微信、网盘等平台服务提供者仅充当文件传输、缓存、存储工具时，即便行为人发送出境的数据为涉密数据，微信、网盘等平台也仅负有形式审查义务，如屏蔽带有敏感词的数据资料，及时报告给有关部门，积极配合后续调查工作。而负责管理和建设政府涉密平台的平台服务提供者，无论是否仅起到工具性作用，均负有实质审查传输数据内容的义务。

五、结 语

从毕达哥拉斯“万物皆数”的“拜数教”到如今数字时代真正到来，科技的发展说明了构建数字世界的想法并非虚幻。数字经济的迅猛扩张对全球经济产生了变革性影响，跨境数据流动成为新常态。在此背景下,“数据霸权主义”抬头，西方国家出于打造以其为中心的数据制度体系之目的屡屡通过数据出境的方式侵犯我国国家安全，而我国刑法长期囿于域内视野导致体系保障乏力，对“长臂管辖”的阻断效力有限。涉及总体国家安全的犯罪已经远远超出传统危害国家安全罪的范围，为国家安全提供刑事法治保障需要更加宽阔的视角和更加有力的举措。应当以涉外法治为视角重新审视数据出境中的国家安全风险与刑法体系现状，在坚持数据主权的前提下完善危害国家安全犯罪的相关规定，坚决维护我国国家利益。鉴于数据安全问题的国际化，梳理数据跨境犯罪与国际罪行的关系、构建数据国际刑法体系等成为新研究议题。在本文基础上，未来可深入探讨我国在数据国际刑法制定中的角色及我国刑法的适应路径。

文章出处：《辽宁大学学报(哲社版)》2026年第3期

文章链接：

https://kns.cnki.net/kcms2/article/abstract?v=0VvkOTFCJRoTXFN-5zjcfi9iG25YLPazzXUYUM9dsLnogonB4l5DQRAOK0pPWX52p1jO67Z--GC5mpUZCiWlgbcUP_3vfiZGNzLY6W_WikRhvmJceBo0qx2qsW0yYIflySt-0abvesG8xuuhkQfqn0JoUQYP2YcqGTAY_WmaY1mEe8xtavZftg==&uniplatform=NZKPT&language=CHS

作者简介

陈毅坚教授，中共党员，中山大学法学院副院长、教授、博士生导师、刑法学科带头人，广东省网络犯罪研究基地副主任、中山大学网络与信息犯罪研究中心主任。曾获中国教育部、德国德意志学术交流中心（DAAD）资助公派到德国慕尼黑大学进行联合培养博士和访问研究，并获“德国法基础”证书，入选教育部“青年骨干教师出国研修项目”公派到加拿大卡尔加里大学进行访问研究。入选“广东特支计划”领军人才、中国法学会研究会青年人才、广东省高等教育千百十人才培养工程、中山大学创新人才培育计划“科研领军人才”等人才项目，荣获广东省十大优秀中青年法学家、广东省法学会先进个人等荣誉称号。兼任中国刑法学研究会理事、中国犯罪学学会理事、国际刑法学会（AIDP）中国分会会员，广东省法学会刑法学研究会常务副会长兼秘书长、医药食品法学研究会副会长、企业合规研究会副会长，《岭南学刊》学术顾问、教育部重大项目和广东省规划项目评审专家等。

陈毅坚教授主要从事刑法学、国家安全法治、网络犯罪治理、涉外法治等领域研究，长期围绕刑法教义学、财产犯罪归责原理、国家安全刑法、新型网络与数字犯罪、涉外刑事法治等前沿问题开展研究，学术成果兼具思想原创性和实践导向性。主持国家社科基金重大项目子课题、国家社科基金一般项目、教育部人文社会科学研究规划项目、全国人大常委会特别委托项目、司法部法治建设与法学理论研究部级项目一般课题、广东省哲学社会科学规划项目和后期资助项目等国家级、省部级科研项目12项。在《中外法学》《政法论坛》《清华法学》《政治与法律》《中国刑事法杂志》等法学核心期刊等发表论文40余篇，其中8篇被《中国社会科学文摘》《人大报刊复印资料》转载；主编、参编国家级规划教材等多部，发表译作多篇。20多篇智库成果被中央机关采纳，其中4篇获中央领导肯定性批示，5篇获省部级领导肯定性批示，并转化为国家安全立法相应条款和国家重大政策落地。荣获第十届广东省哲学社会科学优秀成果奖一等奖，第六届广东省哲学社会科学优秀成果奖三等奖，广东省法学研究优秀成果奖三等奖，国家级、省级学术机构颁发的科研奖励等多项。

陈毅坚教授积极投身法学教育事业，践行立德树人根本任务，积极探索“分类培养、实践导向、国际交流、融合交叉”四位一体的法治人才培养体系创新，创建“刑事一体化实验教学”的实践育人模式。主持教育部、省级和校级教改项目4项，发表教改论文4篇，教学成果获广东省学位与研究生教育学会优秀教学成果奖一等奖、中山大学首届研究生教育教学成果奖一等奖、第二届研究生教育教学成果奖二等奖等；教学案例入选中国专业学位案例中心案例库、首批中国研究生教育“最佳实践”案例等；负责共建教育部首批国家级“刑法课程虚拟教研室”，负责组织中山大学纪检监察学一级学科建设；连续多年获中山大学优秀研究生学位论文和优秀毕业生指导教师；指导学生获“国际刑事法院审判竞赛”国内赛全国优胜一等奖、最佳书状奖、最佳检察官奖和国际决赛国际冠军、全场唯一最佳辩手奖；负责组织世界知识产权组织（WIPO）与中山大学联合主办的“WIPO-中国（中山大学）国际暑期学校”，推动与国际组织深度合作，搭建国际传播平台。

陈毅坚教授致力于服务法治实践，推动地方法治建设。受聘担任广东省公安厅、广东省人民检察院、广州市人大、东莞市中级人民法院等单位的专家咨询委员和评审专家，广州市人民检察院、中山市人民检察院等单位的听证员；受委托主持开展学前教育、特殊教育等领域地方立法的起草和论证。积极参与各类立法咨询、重大疑难案件论证、检察听证、法治宣传等法治实践活动。