什么?我变成间谍了?——外资企业经营中的间谍风险及防范

近日, 中国有关部门拘留了日本安斯泰来制药公司的一名员工。外交部发言人毛宁于记者会上回应, 该名被拘留的日本公民涉嫌在中国从事间谍活动, 违反《中华人民共和国刑法》(“《刑法》”)以及《中华人民共和国反间谍法》(“《反间谍法》”)。此外, 北京警方也于近日突击搜查了美国企业美思明智集团北京分公司并带走了几名员工, 而该公司的经营范围包括背景调查和内部调查。这也引起了部分境外企业及境内外资企业对于中国法下的间谍风险的担忧。
提起间谍活动或者间谍罪, 大部分人会觉得离自己十分遥远, “我只是一个职场打工人, 公司让我做什么我就做什么, 怎么可能是间谍?”殊不知, 间谍并不都是像007或者《谍影重重》等电影中演的那样。大量的境内外案例表明, 参与间谍活动的往往都是普通人, 甚至一部分人都没有意识到自己参与了间谍活动。
今年的4月15日是我国第八个国家安全教育日, 反间谍毫无疑问也是国家安全的重要一环。值此国家安全日之际, 通力大合规团队结合过往案件经验, 对中国法下反间谍相关的常见疑难问题进行解读, 并提出了相应的风险缓解措施, 以期为客户提供参考。
1、什么是间谍行为?
《反间谍法》以列举方式对间谍行为进行了定义(具体见以下表格), 2022年的《反间谍法》修订草案进一步将“为间谍组织及其代理人提供针对关键信息基础设施的网络安全漏洞等信息”规定为间谍行为。据报道, 这一修改与西北工业大学遭受境外网络攻击事件有关, 后续的正式稿中可能会进一步扩大定义范围。

上述行为中, 新增加的“为间谍组织及其代理人提供关键信息基础设施的网络安全漏洞”这一行为尤其值得在华外资企业引起重视。有些外资企业可能本身就构成关键信息基础设施运营者(“CIIO”), 或者由于客户是CIIO而掌握CIIO的网络安全情况, 在此情况下, 如果不加审查将网络安全漏洞等信息提供给境外方, 则存在潜在的构成间谍行为的风险。
2、如何理解间谍组织及其代理人?
不难看出, 相对方构成“间谍组织及其代理人”是认定间谍行为的核心要件之一。根据全国人大法工委的解释, “间谍组织”, 是指外国政府或者境外的敌对势力建立的旨在收集我国政治、经济、军事等方面的国家秘密或情报, 或者对我国进行颠覆、破坏等活动, 危害我国国家安全和利益的组织, 例如美国中央情报局、日本防卫厅情报本部等境外情报机构。“间谍组织代理人”, 是指受间谍组织或者其成员的指使、委托、资助, 进行或者授意、指使他人进行危害我国国家安全活动的人。
由此可见, “间谍组织”的范围相对较为狭窄, 但“间谍组织代理人”的范围则宽泛得多, 任何组织或者个人都可能构成, 这其中自然也包括数量庞大的在华外资企业及其员工。
间谍组织和间谍组织代理人通常需要由国家安全机关进行确认。但需要特别注意的是, 国家安全机关除了可以通过事先公布的方式进行确认, 也可以在反间谍案件的侦办过程中进行确认。此外, 虽然内资企业也可以构成间谍组织代理人, 但由于外资企业与其境外股东、关联方以及政府机构之间千丝万缕的联系, 其被认定为间谍组织代理人的风险显然更高。
3、间谍行为与间谍罪有何区别?
并非所有的间谍行为都构成犯罪。相较于《反间谍法》, 《刑法》规定的“间谍罪”仅包括“参加间谍组织或者接受间谍组织及其代理人的任务”以及“为敌人指示轰击目标”这两种行为。
依据罪刑法定原则, 其他类型的间谍行为不应被认定为间谍罪, 但需要根据《反间谍法》承担行政责任。此外, 针对实践中的具体情况, 间谍行为可能涉及《刑法》中的其他罪名, 比如“资助危害国家安全犯罪活动罪”“为境外窃取、刺探、收买、非法提供国家秘密、情报罪”等。
需要特别注意的是, 间谍罪属于行为犯, 只要实施了《刑法》中规定的相应行为, 就构成犯罪既遂。例如, 假如A某已经接受了间谍组织或其代理人的任务, 那么无论A某是否已经具体开展任务, 或任务是否顺利完成, A某均构成间谍罪。
4、在不知情的情况下参与了间谍行为, 会不会被定罪处罚?
间谍罪的主观要件为故意, 即行为人必须“明知”相对方是间谍组织、间谍组织的代理人或敌人。如果行为人未认识到该事实, 则不构成间谍罪。
但对于“明知”, 其含义不仅仅限于行为人主观上的认知, 还包括了行为人客观上应该知道的情形。实践中, 法院将综合主、客观情况对此进行判定。例如, 许多行为人可能辩称其不知对方为间谍组织或其代理人, 且误以为其被指派的任务是正常的学术交流或商业合作, 但如果有充分的证据证明行为人应当知道对方为间谍组织或其代理人(例如根据指派的任务的特点和性质), 则法院会推定行为人有犯罪故意。因此, 企业如果没有尽合理努力进行必要的审查, 纵使确实不知对方为间谍组织或其代理人而与其进行合作, 仍然有可能构成间谍罪或间谍行为。
值得注意的是, 如果行为客观上危害了国家安全, 即使行为人未能认识到(且客观上不应当知道)相对方是间谍组织、间谍组织的代理人或敌人, 虽然不构成间谍罪, 但仍然有可能涉及其他罪名。例如, 上海A公司在与境外B公司合作的项目中, 向B公司提供了中国铁路信号数据, 包括物联网数据、蜂窝数据和GSM-R数据。相关数据被国家保密工作部门鉴定为情报, A公司的法定代表人、销售总监等人因涉嫌“为境外刺探、非法提供情报罪”被上海市国家安全局逮捕。
5、实施间谍行为, 个人和单位可能受到何种处罚?
间谍行为如不构成犯罪, 按照《反间谍法》的规定承担行政责任; 如果间谍行为构成间谍罪, 则依据《刑法》承担刑事责任。

此外, 实施间谍行为, 有自首或者立功表现的, 可以从轻、减轻或者免除处罚。例如, 某一案例中, 境外情报人员以介绍工作为由, 要求A某拍摄停泊的军舰照片。A某按照指示发送了相关照片, 并获利1000元。事后, A某主动自首并积极配合调查, 广东省国家安全机关对A某进行了批评教育, 并免于追究A某的刑事责任。
需要特别注意的是, 如果企业的行为涉及非法提供国家秘密、情报以及其他关系国家安全和利益的数据, 有关主管部门有权以“数据处理活动影响或可能影响国家安全”为由, 对企业发起网络安全审查或数据安全审查, 并根据审查结果对企业进行处罚。关于该等审查的详细介绍, 请参考我们此前发表的文章《临深渊,知地厚——从滴滴案再论网络安全审查》。
6、境外人员是否可能因间谍行为受到处罚?
如果境外人员或实体(如外资企业的境外母公司或境外人员)被认定为参与了中国法下认定的间谍行为, 《刑法》《反间谍法》中的相关条款将适用。
《反间谍法》明确规定, 无论是境外或境内的组织、个人, 只要实施了间谍行为, 都将依法承担责任。此外, 根据《刑法》的保护管辖原则, 对于外国公民在境外实施的危害中国国家安全或利益的犯罪行为, 也可以适用《刑法》。
虽然实践中《反间谍法》甚至《刑法》较难对境外实体和个人执法, 但如果相关境外人员不知已违反相关法律而来到中国, 则可能因此被拘留甚至逮捕。
7、外资企业如何防范间谍行为的相关风险?
基于上述分析, 我们建议在华外资企业采取以下措施, 防范与间谍行为相关的可能风险。
1.建立反间谍行为的内部合规体系, 包括识别、报告间谍行为的内部流程、对客户、供应商等的尽职调查要求, 以及发现可能涉及间谍行为后的补救措施等;
2.开展有关《刑法》及《反间谍法》等法律的培训, 面向人员不仅仅是境内人员, 也建议包括境外的员工和管理层;
3.特定行业(例如军工、能源、电力等敏感行业, 或者从事调查、行业研究等敏感业务)或者特定性质(例如本身为CIIO, 或者作为CIIO的供应商)的企业, 在与客户(尤其是境外客户)等交易相对方的业务往来中, 应注意对交易相对方进行必要的背景审查。建议可以制定相关的问卷由交易相对方填写, 或者由交易相对方出具承诺函, 明确其不属于间谍组织或间谍组织代理人;
4.对客户、供应商等交易相对方进行风险分级并采取相应的措施。例如, 如果客户中存在国有企业或者CIIO的, 则对其提供的信息和数据应当施以更加严格的管理; 而对于客户涉嫌或者可能涉嫌参与境内外间谍行为的(尤其是此前已经有公开信息被认定为间谍组织或其代理人的)交易相对方, 避免向其提供或交换任何敏感信息;
5.梳理自身所掌握的数据资产, 识别自身可能掌握的国家秘密、国家情报、核心数据、重要数据等关系国家安全和社会利益的数据, 加强对该等数据的保护, 并在对外提供该等数据之前对该等行为是否可能危害国家安全进行充分审查;
6.进行数据、信息分类分级制度并据此分配员工的权限, 对重点岗位(例如, 负责对外联络的部门、负责对外提供数据的部门)的人员进行背景审查及定期审查;
7.对过往交易和商业合作伙伴定期开展反间谍审计, 发现企业可能参与了间谍活动(无论是否知情)的, 内部应充分评估是否需要主动向中国监管部门进行报告, 以争取自首、立功, 获得从轻、减轻或免于处罚;
8.建立应急响应计划, 包括在员工因涉嫌从事间谍活动而被拘留或逮捕时, 如何保护员工合法权益, 以及如何配合国家安全机关调查等。
【注释】
[1] 根据司法实践, 认定“情节较轻”时考虑的因素包括:
(1) 行为人的主观恶性;
(2) 行为造成的危害后果, 例如向境外提供信息的密级等;
(3) 行为人归案后的认罪态度;
(4) 行为人在犯罪中起到的作用, 如属于主犯或从犯。