劉 晗

一、導言

密碼是保護信息未經(jīng)授權(quán)而無法獲得的技術。在信息社會中，密碼承擔著雙重使命：一方面，密碼可以用于保護個人或者組織的信息在網(wǎng)絡傳播中不受截取、攻擊、篡改和冒用；另一方面，作為國家安全體系的組成部分，密碼致力于保護國家機密和國家安全。在以上雙重意義上，密碼是網(wǎng)絡信息系統(tǒng)的“保護鎖”。

正因為密碼的重要作用，隨著我國互聯(lián)網(wǎng)技術的快速發(fā)展和普遍應用，與密碼相關的法治建設也有了重大進展。2019年10月26日，十三屆全國人大常委會第十四次會議通過了《中華人民共和國密碼法》(以下簡稱“《密碼法》”)，2020年1月1日開始正式施行。隨著《密碼法》的通過，我國已經(jīng)形成密碼領域的法律體系框架。(1)在法律層面，除了《密碼法》之外，還有《國家安全法》《保守國家秘密法》《網(wǎng)絡安全法》《反恐怖主義法》《電子簽名法》(2004年通過，2015年第一次修訂，2019年第二次修訂)和《對外貿(mào)易法》等相關法律中的相關條文；行政法規(guī)包括《商用密碼管理條例》(國務院令第273號)《技術進出口管理條例》(國務院令第732號)和《國務院關于取消一批行政許可事項的決定》(國發(fā)〔2017〕46號)。部門規(guī)章層面，包括國家密碼管理局制定和公布的《商用密碼產(chǎn)品生產(chǎn)管理規(guī)定》(2005年通過，2017年12月1日修訂)、《商用密碼科研管理規(guī)定》(2005年通過，2017年12月1日修訂)、《電子認證服務密碼管理辦法》(2005年通過，2017年12月1日修訂)、《國家密碼管理局關于做好商用密碼產(chǎn)品生產(chǎn)單位審批等4項行政許可取消后相關管理政策銜接工作的通知》(國密局字〔2017〕336號)、《電子政務電子認證服務業(yè)務規(guī)則規(guī)范》(國密局字〔2018〕572號)等。此外，還有技術方面的國家標準，包括但不限于《GM/T0054-2018信息系統(tǒng)密碼應用基本要求》《GM/T0044-2016SM9標識密碼算法》《GM/T0045-2016金融數(shù)據(jù)密碼機技術規(guī)范》等。

與此同時，隨著互聯(lián)網(wǎng)遍及社會生活的各個方面，也隨著大數(shù)據(jù)、云計算等技術的快速發(fā)展，個人信息保護也日益成為熱點問題，需要法律予以整體性的回應。2021年8月，我國出臺了《中華人民共和國個人信息保護法》(以下簡稱“《個人信息保護法》”)，對于個人信息保護的法律規(guī)則進行了全面的規(guī)定。特別地，《個人信息保護法》規(guī)定了加密技術在個人信息保護中的作用。(2)該法第51條規(guī)定：“個人信息處理者應當根據(jù)個人信息的處理目的、處理方式、個人信息的種類以及對個人權(quán)益的影響、可能存在的安全風險等，采取下列措施確保個人信息處理活動符合法律、行政法規(guī)的規(guī)定，并防止未經(jīng)授權(quán)的訪問以及個人信息泄露、篡改、丟失：……(三)采取相應的加密、去標識化等安全技術措施；……?！?/p>

在研究兩部涉及互聯(lián)網(wǎng)信息的重要法律時，值得追問的問題是：加密技術在個人信息法律保護的架構(gòu)中居于何種地位？密碼相關的法律和規(guī)制體系對于個人信息保護法律規(guī)則體系來說究竟意味著什么？在《密碼法》明確賦予個人使用加密技術保護個人信息的權(quán)利之后，如何調(diào)適公權(quán)力維護國家安全、公共安全的需求和個人權(quán)利之間的平衡結(jié)構(gòu)？對于這些問題，學界目前的研究尚屬起步階段?！睹艽a法》頒布之前，僅在網(wǎng)絡安全和信息安全領域有針對密碼相關法律或政策的研究出現(xiàn)；(3)參見肖志宏：《我國密碼法律體系架構(gòu)研究》，載《信息安全研究》2018年第9期，第853-856頁；馮瀟灑：《國外加密與執(zhí)法案例分析及其對我國密碼立法的啟示》，載《信息安全研究》2018年第3期，第201-210頁；馬民虎、王新雷：《試論商用密碼管制法之動態(tài)國家利益觀》，載《信息網(wǎng)絡安全》2009年第3期，第47-49頁；馬民虎、趙嬋、馮立楊、王新雷：《商用密碼管制：從對立到包容之趨勢分析》，載《信息網(wǎng)絡安全》2009年第2期，第60-62頁、第69頁；馬民虎、原浩：《密鑰托管與公民隱私權(quán)的國外立法》，載《信息網(wǎng)絡安全》2005年第8期，第62-63頁；馬民虎、原浩、許蘇嘉：《美歐密碼進出口監(jiān)管的“游戲”法則研究》，載《情報雜志》2005年第1期，第9-11頁；馬民虎：《美國密碼出口監(jiān)管政策的“歐盟”現(xiàn)象》，載《信息網(wǎng)絡安全》2002年第3期，第34-36頁；馬民虎、杜立欣：《內(nèi)外有別的控制政策——美國密碼政策演變軌跡》，載《國際貿(mào)易》2001年第10期，第21-23頁；馬民虎：《美國密碼政策的演變軌跡》，載《信息網(wǎng)絡安全》2001年第8期，第21-23頁。密碼法出臺之后，規(guī)制機構(gòu)、法學界和法律界在媒體和自媒體上有一些介紹和解讀出現(xiàn)，(4)參見陳亦超：《構(gòu)建國家安全法律制度體系的重要環(huán)節(jié)——〈中華人民共和國密碼法〉幾個問題解讀》，載《中國信息安全》2019年第11期，第56-59頁；荊繼武：《學習〈密碼法〉的體會與思考》，載《中國信息安全》2019年第11期，第69-70頁；張寶山：《密碼法“亮相”：助力密碼工作法治化》，載《中國人大》2019年第13期，第35-36頁。篇幅所限，自媒體上的解讀文章恕不一一列舉。但在法學專業(yè)學術刊物中尚付之闕如。

本文基于對密碼學基本原理和密碼規(guī)制既有路徑的考察，試圖分析《密碼法》所帶來的中國密碼規(guī)制的重大變化，并進一步揭示，《密碼法》所涉及的并非只有加密技術這個具體領域的規(guī)制問題，它還與個人信息保護這個網(wǎng)絡法的基礎性問題相關，亟需深入的研究和具體的法律建構(gòu)予以應對。

二、代碼即法律：密碼的基本概念與規(guī)制路徑

(一)作為規(guī)制對象的“密碼”與加密技術

在密碼學和《密碼法》的意義上，密碼并非用戶日常使用的賬號密碼，如手機密碼、社交賬號密碼、銀行卡密碼、在線支付密碼和電子郵箱密碼等。(5)日常生活中人們上網(wǎng)或者登錄電子設備所使用的各種密碼，在嚴格意義上只是“口令”?！睹艽a法》第2條規(guī)定：“本法所稱密碼，是指采用特定變換的方法對信息等進行加密保護、安全認證的技術、產(chǎn)品和服務。”所謂“特定變換的方法”，就是采用某種算法，把肉眼可辨的文字或者信息(“明文”)變換成無法直接辨認的符號或者符號序列(“密文”)。例如，信息加密系統(tǒng)中常用的SHA256算法可將任何信息轉(zhuǎn)化成為一個長度相同，但內(nèi)容獨一無二的字符串，并且無法通過逆運算還原；對原文的任何細小改動都會導致數(shù)值改變。(6)該算法廣泛運用在數(shù)字簽名領域，成為了電子商務的技術支撐之一。例如，“密碼法研究”這個短語，通過SHA256算法計算出來的數(shù)值是“e3a0690c4df0310dcf52cf3f3f62cbd5525186958615df5122849057e2b3e155”。而“《密碼法》研究”的數(shù)值是“45f274c9af5f95f3d2c31151dbd3f53a531fff64784c6bf3465735b98b80dcd1”。兩者之間雖然只是一個書名號的變化，但數(shù)值卻差別甚大。此種算法即為《密碼法》中所說的“密碼”之典型例證。

由是觀之，《密碼法》中所言的“密碼”概念包括密碼學、密碼技術和密碼產(chǎn)業(yè)。日常生活中人們所說的“密碼”如同鑰匙，用來打開具體的鎖具。而《密碼法》中的“密碼”(Cryptograph)(7)嚴格說起來，Cryptography更應該被稱為“密碼術”。密碼術(Cryptography)是一門用密碼(cipher)、代碼(code)和相關技術來偽裝信息的科學。密碼(cipher)是一種不論任何內(nèi)容都可以加密的方法。代碼(code)則是一種編碼系統(tǒng)，即一套預先安排好的意義映射系統(tǒng)。而廣義上的密碼學(Cryptology)是研究密碼術(Cryptography)和密碼分析(Cryptanalysis，主要是破譯密碼)的學科。參見[美]Richard Spillman：《經(jīng)典密碼學與現(xiàn)代密碼學》，葉阮健、曹英、張長富譯，清華大學出版社2005年版，第3頁。則是指加密解密方面的技術、服務和產(chǎn)品，包括密碼學和密碼學的實際應用，因而更類似于制作各種鎖的技術和學問、上鎖和開鎖服務，以及各種鎖具和鑰匙。因而《密碼法》所管理的對象，是加密解密的底層技術架構(gòu)、應用形態(tài)和相關產(chǎn)業(yè)；并且，《密碼法》明確相關規(guī)制機構(gòu)的職責，及其相應的法律關系。(8)法律并非不保護個人日常生活使用的“密碼”，只是不在《密碼法》里直接保護。如《最高人民法院關于審理擾亂電信市場管理秩序案件具體應用法律若干問題的解釋》(法釋〔2000〕12號)第8條規(guī)定：“盜用他人公共信息網(wǎng)絡上網(wǎng)賬號、密碼上網(wǎng)，造成他人電信資費損失數(shù)額較大的，依照刑法第二百六十四條的規(guī)定，以盜竊罪定罪處罰。”盜號還可能構(gòu)成侵權(quán)行為，如被盜號的主體遭受財產(chǎn)損失，或名譽損失，可主張民事賠償。

《密碼法》對于密碼功能的界定反映了密碼學技術的基本功能：加密和認證。正如《密碼法》第2條所言，“密碼”一方面能給傳遞信息提供“加密保護”，即將明文信息變成密文信息，防止信息泄露、被人竊取或者篡改；另一方面，密碼也可以提供“安全認證”，即保證信息發(fā)送主體真實可靠，防止欺詐和誤解。

正是因為密碼的加密和認證功能，密碼作為人類信息傳輸安全的重要技術保證，幾乎關涉一切社會領域——無論是政治場景、商業(yè)交易還是個人生活，密碼都可以滿足人們實際的安全需求和心理上的安全感。(9)See A.Michael Froomkin, The Metaphor Is the Key: Cryptography, the Clipper Chip, and the Constitution, 143 University of Pennsylvania Law Review 709, 718-719 (1995).在信息時代，人們可以使用經(jīng)過加密或者帶有加密功能的電子設備(如智能手機)或者軟件(如操作系統(tǒng)、電子郵件程序)進行安全有效的通信，從而保護自己的私密領域不受外界侵犯，從而維護其人格尊嚴和披露信息的選擇自由?？梢?，密碼是個人隱私的有力保護手段，其在某種意義上甚至比法律制度更為有效。很多時候，竊密者即便能夠突破法律或者違反法律，也因無法違反數(shù)學規(guī)律而導致其不可能竊密成功。值得注意的是，密碼的使用也有其“暗面”：它也可以被犯罪分子、黑社會、顛覆力量乃至于恐怖主義者利用，用以躲避政府追查和法律制裁。

現(xiàn)代密碼學基于數(shù)學算法設計出了各種加密技術。加密過程依賴的算法，核心即是通過某種函數(shù)將信息轉(zhuǎn)化為數(shù)值，從而實現(xiàn)從明文到密文的轉(zhuǎn)換。(10)See Alfred J.Menezes, Paul C.van Oorschot & Scott A.Vanstone, Handbook of Applied Cryptography, CRC Press, 1996, pp.6-8.為了達到保密效果，現(xiàn)代密碼學通常運用單向函數(shù)(one-way functions)或者陷門函數(shù)(trapdoor functions)(11)參見同上注，第8-9頁。來保證運算的過程在工程上不可逆：明文經(jīng)過函數(shù)運算得出的密文，無法通過同一函數(shù)反向計算從而得到明文。需要說明的是，此類函數(shù)算法也并非完全無懈可擊，而只是要保證試圖竊取信息的一方難以在短時間內(nèi)暴力破解，也即“算法上不可行”(computationally infeasible)。一種算法是否能夠達到此種程度，取決于現(xiàn)有的人類算力。(12)See Jacob Ziv, In Search of a One-Way Function, in Thomas M.Cover & B.Gopinath eds., Open Problems in Communication and Computation, Springer, 1987, pp.104-105.當下被認為是安全的加密算法，很可能隨著人類算力的增強(例如量子計算的發(fā)展)而變得可以輕易攻破。

實踐中，信息網(wǎng)絡系統(tǒng)特別依賴于不同于傳統(tǒng)對稱密碼技術的非對稱加密技術體系。比如，RSA加密算法可用于數(shù)字簽名和數(shù)字證書等身份鑒別技術，保證身份的真實性和不可否認性，防止身份假冒和抵賴；同時還可通過數(shù)據(jù)摘要技術保證信息完整性，防止篡改。(13)參見左朝勝、馬軍峰、徐曉穎、高建遠：《鑄造國家政務安全的云盾牌》，載搜狐網(wǎng)2018年3月7日，http://www.sohu.com/a/225016419_161623。如果說網(wǎng)絡安全是整個互聯(lián)網(wǎng)的免疫系統(tǒng)，密碼便是其中的關鍵基因。

之所以如此，是因為相比較傳統(tǒng)的通訊方式(如郵政或者電話系統(tǒng))，互聯(lián)網(wǎng)通信本身在安全和隱私保護上較為脆弱，其采取的是分布式網(wǎng)絡和包交換通信方式。(14)See David D.Clark, The Design Philosophy of the DARPA Internet Protocols, 18 Computer Communication Review 106, 106-114 (1988).如若試圖保證互聯(lián)網(wǎng)安全，就必須采用加密技術。對社會生活而言，加密技術在互聯(lián)網(wǎng)時代就變得前所未有的重要和關鍵。

(二)加密技術規(guī)制的基本形態(tài)：國際與比較的視角

正是因為非對稱密碼的出現(xiàn)，針對密碼的法律規(guī)制開始成為問題。(15)另外一個重要的因素是美國聯(lián)邦政府將對稱密碼DES(Data Encryption Standard，一種使用56位密鑰的對稱算法)于1976年確立為聯(lián)邦資料處理標準(FIPS)，隨即公開傳播，甚至在國際社會廣泛流傳。在非對稱密碼出現(xiàn)之前，密碼技術基本屬于國家壟斷技術，主要用于軍事通信和國家安全事務，并無法律規(guī)制方面的問題，而是軍政機構(gòu)的內(nèi)部管理問題，且普遍采取嚴格管控的態(tài)度。隨著非對稱密碼的出現(xiàn)以及大規(guī)模的商用化和民用化，密碼技術從軍政機構(gòu)手中相對獨立出來自行發(fā)展，密碼的規(guī)制、政府的邊界、個人的自由和產(chǎn)業(yè)的發(fā)展，才成為法律和政策上至關緊要的問題。

從凱撒到美國國家安全局，密碼在絕大多數(shù)情況下，都曾是主權(quán)者或現(xiàn)代主權(quán)國家的專用技術。非對稱密碼發(fā)明后，隨著大規(guī)模的商業(yè)化應用，密碼廣泛成為軍民兩用產(chǎn)品(dual-use good)，特別是伴隨著互聯(lián)網(wǎng)商業(yè)化和社會化運用，密碼技術開始成為重要的商用與個人使用的技術。

需要注意的是，在現(xiàn)代密碼學中，技術并非完全中立，特別是非對稱密碼算法天然帶有“強化隱私、弱化規(guī)制”的政治立場。由于非對稱密碼系統(tǒng)對個人信息和隱私的保密功能越來越強，私人通信之間開始形成一種相對不受公權(quán)力介入和干涉的自主空間，政府因此開始逐漸失去對密碼技術的全面壟斷。密碼領域從政府控制領域，轉(zhuǎn)變?yōu)樘幱谡褪袌鲋g的規(guī)制區(qū)域。而且，發(fā)明非對稱密碼的密碼學家基本都是信奉自由意志主義者(libertarian)和無政府主義的“密碼朋克”(Cypherpunk)，(16)密碼朋克郵件組(Cyberpunk Mailing-List)于1992年成立，其早期成員包括后來大名鼎鼎的人物：BT下載創(chuàng)始人布拉姆·科恩(Bram Cohen)、維基解密創(chuàng)始人阿桑奇(Julian Assange)、萬維網(wǎng)WWW的發(fā)明者蒂姆·李(Tim B.Lee)、臉書的創(chuàng)始人之一帕克(Sean Parker)以及比特幣創(chuàng)始人中本聰。其基本思想是無政府主義。其中也有少數(shù)法學家，如邁阿密大學法學院A.邁克爾·弗魯姆金(A.Michael Froomkin)教授。其基本思想傾向參見《密碼無政府主義宣言》(Crypto Anarchist Manifesto)，https://www.activism.net/cypherpunk/crypto-anarchy.html。傾向于抵制規(guī)制、塑造自由空間，使得政府規(guī)制本身更加成為問題。更加值得注意的是，非對稱密碼同樣可用于非法活動的保密，公權(quán)力機關自然也有更強的動力規(guī)制密碼。(17)《密碼法》第12條規(guī)定：“任何組織或者個人不得竊取他人加密保護的信息或者非法侵入他人的密碼保障系統(tǒng)。任何組織或者個人不得利用密碼從事危害國家安全、社會公共利益、他人合法權(quán)益等違法犯罪活動?！?/p>

于是，在政府對商用密碼的規(guī)制和進出口限制問題上，產(chǎn)生了公權(quán)力和私領域之間的激烈沖突。在互聯(lián)網(wǎng)商業(yè)化開始的20世紀90年代，美國曾經(jīng)出現(xiàn)政府和密碼學界的一場激烈沖突，常被稱為“密碼圣戰(zhàn)”(Crypto Wars)。(18)See Eric Rice, The Second Amendment and the Struggle Over Cryptography, 9 Hastings Science and Technology Law Journal 29, 31 (2017).一方堅持打擊犯罪，希望在法律和技術上嚴格管控密碼軟件的國內(nèi)使用和國際貿(mào)易；另一方則堅持言論自由和隱私權(quán)，極力反對政府的規(guī)制。這場戰(zhàn)爭最終以美國政府退縮而告一段落，由此也型構(gòu)了當代美國密碼的規(guī)制體系。(19)See e.g., Bernstein v.U.S.Dept. of State, 945 F.Supp.1279, 1286 (N.D.Cal.1996).

美國密碼戰(zhàn)揭示出來的重要信息是：在數(shù)字經(jīng)濟和信息時代，密碼作為軍民兩用技術，同時涉及國家安全和個人隱私。正因為如此，國際社會和各國法律對密碼都已經(jīng)采取了規(guī)制措施，其基本原則可以概括為：對于涉及國家安全的密碼采取嚴格管制態(tài)度，而對于涉及商業(yè)和個人使用的密碼則放松管控。

首先，國際社會已經(jīng)有相關協(xié)議對密碼的進出口措施予以管理。1996年，33國共同簽署的《瓦森納協(xié)定》提出，“通過促進常規(guī)武器和雙重用途貨物和技術轉(zhuǎn)讓的透明度和更大的責任，為區(qū)域和國際安全與穩(wěn)定作出貢獻……”。具體而言，《瓦森納協(xié)定》規(guī)定，對56位密鑰長度以上的對稱加密產(chǎn)品，以及512位密鑰長度的非對稱加密產(chǎn)品，簽訂協(xié)議各國不得設置出口限制。此外，瓦森納協(xié)議還規(guī)定了個人使用豁免，即允許個人出國旅行時攜帶密碼設備供個人使用。經(jīng)濟合作與發(fā)展組織(OECD)于1997年也制定了《經(jīng)合組織密碼政策指南》(OECDGuidelinesforCryptographyPolicy)，(20)全稱“OECD密碼政策推薦指南”(OECD Recommendation Concerning Guidelines for Cryptography Policy)，參見http://www.oecd.org/sti/ieconomy/guidelinesforcryptographypolicy.htm，2020年2月9日訪問。其基本目的是在維護國家安全和社會公共利益的前提下，促進密碼的商業(yè)化和社會化使用。

在國家層面，美國密碼法律和政策體系的總體目標可以概括為：(一)增強產(chǎn)業(yè)國際競爭力，通過法律和政策，促進美國高科技產(chǎn)業(yè)的國際市場占有份額和實際影響力的提高；(二)維護國家安全，限制和打擊罪犯和恐怖分子利用強加密技術來開展違法活動。(21)See Tricia E.Black, Taking Account of the World as It Will Be: The Shifting Course of U.S.Encryption Policy, 53 Federal Communications Law Journal 289, 292 (2001).秉承兩個目標，形成于20世紀末“密碼圣戰(zhàn)”之后的現(xiàn)行美國密碼法和密碼規(guī)制體系，總體原則可以概括為：內(nèi)部使用自由和對外出口管制。(22)See Nathan Saper, International Cryptography Regulation and the Global Information Economy, 11 Northwestern Journal of Technology and Intellectual Property 673, 679-682 (2013).我國有學者曾經(jīng)將其概括為“內(nèi)外有別”原則。(23)參見同前注〔3〕，馬民虎、杜立欣文，第21-23頁。具體而言，美國法律對于密碼產(chǎn)品和技術在國內(nèi)的研發(fā)、使用和銷售并不加以限制。密碼技術的研發(fā)和應用被當成“言論”而受到《美國憲法》第一修正案的保護；(24)甚至有美國學者認為，由于密碼本身是進出口法律中的“武器”，因此也可以享受第二修正案“持有武器的權(quán)利”的保護。參見同前注〔18〕，Eric Rice文。個人的加密信息在刑事程序中受到第四修正案和第五修正案保護，(25)參見《美國憲法》第四修正案規(guī)定，“人民的人身、住宅、文件和財產(chǎn)不受無理搜查和扣押的權(quán)利，不得侵犯。除依據(jù)可能成立的理由，以宣誓或代誓宣言保證，并詳細說明搜查地點和扣押的人或物，不得發(fā)出搜查和扣押狀”；第五修正案規(guī)定，“任何人……不得在任何刑事案件中被迫自證其罪……”。即執(zhí)法機關不得非法搜查，以及強迫自證其罪。美國聯(lián)邦法院曾經(jīng)判定，刑事案件的偵查過程中，個人密鑰或密碼并無針對執(zhí)法機關的披露義務。(26)See In re Grand Jury Subpoena to Sebastien Boucher, No.2:06-mj-91 (D.Vt.Feb.19, 2009).

另一方面，在美國，密碼產(chǎn)品和技術的出口歷來受到法律規(guī)制。(27)美國密碼技術和產(chǎn)業(yè)世界領先，因此對于外國密碼產(chǎn)品和技術并不設置任何進口限制。美國商務部工業(yè)和安全局(BIS)負責執(zhí)行《出口管理條例》(ExportAdministrationRegulations)，其中的管理范圍即包含密碼產(chǎn)品和技術。該條例設置的商品管控清單中，第五類第二部分“電信和‘信息安全’”一欄規(guī)定，除用于醫(yī)療終端或者知識產(chǎn)權(quán)保護目的的密碼產(chǎn)品外，密碼產(chǎn)品必須接受出口管制。(28)See Bureau of Industry and Security, Export Administration Regulations, Commerce Control List, Category 5-Telecommunications and "Information Security" , BIS (Dec.7, 2012), http://www.bis.doc.gov/policiesandregulations/ear/ccl5_pt2.pdf.具體的管制標準主要考量兩個因素：一是密碼軟件的加密屬性，特別是密鑰長度；(29)參見同上注。二是軟件出口的目標客戶，也即消費者的屬性和國別。(30)參見美國財政部網(wǎng)站相關信息，https://www.treasury.gov/ofac/downloads/sdnlist.pdf，2020年2月9日訪問。

歐盟與美國類似，遵循《瓦森納協(xié)定》設立規(guī)則，也在密碼治理中采取“內(nèi)外有別”的原則。(31)See Setting Up a Community Regime for the Control of Exports of Dual-use Items and Technology, Council Regulation (EC) No 1334/2000, https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX%3A32000R1334.一方面，對于國內(nèi)個人和企業(yè)使用密碼，歐盟法律奉行自由使用原則，甚至比美國的標準還要更寬松。如同歐盟對個人信息和人格權(quán)的保護高于美國標準，歐盟也將密碼和密碼學提高到事關隱私和人格尊嚴的層面，進行嚴格保護。(32)參見同前注〔22〕，Nathan Saper文，第482頁。

另一方面，出口管制法規(guī)根據(jù)歐盟作為跨國聯(lián)盟的性質(zhì)，針對不同國家采取“差序格局”的做法。首先，歐盟加盟國內(nèi)部自由流通和使用，歐盟以外國家進行出口管制。其次，對于歐盟以外的國家，相對管控較輕的是美國、加拿大、日本、新西蘭及未加入歐盟的歐洲國家(如挪威和瑞士)等國。對于出口到這些國家的密碼產(chǎn)品，需要申請“歐盟一般出口授權(quán)”(CGEA)。最后，對其他國家則采取較為嚴格的管制，需要一事一議地申請對特定國家的出口許可。

三、舊瓶新酒：密碼法律體系的基礎框架

(一)從商用密碼的興起到《密碼法》：中國密碼法律治理體系的發(fā)展

在我國，密碼也是一種兩用技術。密碼與國家安全、民族獨立和軍事實力密切相關：如果說互聯(lián)網(wǎng)是涉及國家主權(quán)和安全的第五疆域，密碼便是一種重要武器。密碼行業(yè)也屬于高科技研發(fā)和應用行業(yè)，相關產(chǎn)業(yè)的國際影響力對于國家乃至于社會來說也非常重要。數(shù)字經(jīng)濟的運行發(fā)展，數(shù)字生活的正常開展，都離不開密碼技術和密碼行業(yè)：無論是金融、通信、交通、健康、能源，還是公安、稅務、社保、電子政務等領域，更不用說物聯(lián)網(wǎng)、云計算和區(qū)塊鏈等新應用場景。(33)比如，在金融領域，規(guī)制部門需要通過有效的密碼技術手段，打擊偽造銀行卡、偽造網(wǎng)上交易身份等違法犯罪行為。在稅收領域，增值稅防偽稅控系統(tǒng)也是采用密碼技術保護涉稅信息，增值稅發(fā)票上的四個二維碼，就是密碼技術的應用；二代身份證里面也是使用密碼芯片，防止偽造身份證等違法犯罪行為。而網(wǎng)民上網(wǎng)留下的個人敏感信息、隱私，乃至商業(yè)秘密，不但需要法律保護，更需要技術保護。參見人民網(wǎng)：《〈中華人民共和國密碼法〉發(fā)布這六個問題你需要知道》，載國家互聯(lián)網(wǎng)信息辦公室官方網(wǎng)站2019年10月29日，http://www.cac.gov.cn/2019-10/29/c_1573880702680488.htm。

與世界其他主要國家類似，我國密碼規(guī)制的發(fā)展，亦經(jīng)歷了從全面管控到軍民兩用分別治理的發(fā)展歷程。長期以來，密碼一直是軍事國防和外交情報領域的專用技術，幾乎沒有民用和商用的空間。20世紀90年代，隨著市場經(jīng)濟和信息化的發(fā)展，社會對保護非國家秘密信息的需求逐漸增大，民用和商用密碼的市場空間也隨之拓展開來。然而，當時我國的密碼技術幾乎全部應用于軍事和國家安全系統(tǒng)，甚少民用化和商用化，商業(yè)密碼技術和產(chǎn)業(yè)處于起步階段。例如，當時各大銀行使用的多是進口密碼機。(34)參見倪?。骸稘饪s的中國商用密碼產(chǎn)業(yè)發(fā)展史——衛(wèi)士通二十年商密業(yè)務發(fā)展歷程》，載《信息安全與通信保密》2018年第5期，第118-130頁。

順應社會發(fā)展趨勢，中央決策機關開始推出相關政策，旨在促進商用密碼發(fā)展和管理。1996年7月，中共中央政治局常委會研究決定，大力發(fā)展商用密碼，加強對商用密碼的管理。中央辦公廳印發(fā)《關于發(fā)展商用密碼和加強對商用密碼管理工作的通知》，確定“統(tǒng)一領導、集中管理、定點研制、專控經(jīng)營、滿足使用”的發(fā)展和管理方針；同時，從體制層面，確立商用密碼管理機構(gòu)——國家密碼管理委員會及其辦公室。1999年10月7日，國務院頒布并施行《商用密碼管理條例》，開始密碼管理的法治化進程。2002年，中央機構(gòu)編制委員會批準國家密碼管理委員會辦公室下設商用密碼管理辦公室，專司商用密碼管理。2003年9月，中央辦公廳、國務院辦公廳聯(lián)合印發(fā)《關于加強信息安全保障工作的意見》(中發(fā)辦〔2003〕27號)，首次明確密碼在信息安全中的關鍵作用。(35)參見《國家密碼管理局商密辦張平武：商用密碼發(fā)展歷程與展望》，載網(wǎng)絡安全等級保護網(wǎng)2018年9月21日，http://www.djbh.net/webdev/web/AcademicianColumnAction.do?p=getYszl&id=8a81825664ceff130165f9c361af0070，2020年2月9日訪問。由此，在21世紀初，中國初步形成了以《商用密碼管理條例》為核心的商用密碼治理體系。

隨著數(shù)字經(jīng)濟和網(wǎng)絡安全的發(fā)展，以《商用密碼管理條例》為核心的舊體系日益變得無法適應新的需求?！渡逃妹艽a管理條例》比較偏重管制，將商用密碼也作為國家機密進行?？毓芾?，密碼產(chǎn)品的生產(chǎn)、銷售和進出口都實行嚴格的行政審批制度。(36)參見《商用密碼管理條例》第13條規(guī)定：“進口密碼產(chǎn)品以及含有密碼技術的設備或者出口商用密碼產(chǎn)品，必須報經(jīng)國家密碼管理機構(gòu)批準。任何單位或者個人不得銷售境外的密碼產(chǎn)品?！贝藯l規(guī)定設置了兩項行政審批：出口許可審批；進口審批制度。例如，國內(nèi)企業(yè)進口密碼產(chǎn)品，或在中國境內(nèi)營業(yè)的外資企業(yè)要使用外國密碼產(chǎn)品，都須向密碼管理部門申請備案。近年來，國家推行“放、管、服”政策，轉(zhuǎn)變政府職能，努力優(yōu)化營商環(huán)境。(37)參見《優(yōu)化營商環(huán)境條例》(中華人民共和國國務院令第722號)。密碼領域也得進行相應管理改革，特別是在商用密碼領域，政府要做到減輕規(guī)制、促進服務。

于是，《密碼法》應運而生，成為了中國密碼法治的重要歷史節(jié)點。值得注意的是，《密碼法》的制定同時建立在中國自主密碼技術大力發(fā)展的基礎之上。(38)國外密碼產(chǎn)品和服務從供應鏈角度而言存在風險，國外密碼算法占據(jù)了世界大部分市場份額(如AES、RSA、SHA256等算法)。從技術角度而言，在20世紀90年代美國進行“密碼圣戰(zhàn)”的時代，中國現(xiàn)代密碼學的發(fā)展仍然處于起步階段，基本停留在對稱密碼技術。新世紀以來，隨著“國密算法”的推出，我國的密碼技術已經(jīng)取得了重大進展。

(二)《密碼法》基于密碼兩用性質(zhì)的分類管理

任何法律的具體規(guī)則都服務于總體的立法目標?！睹艽a法》的總體思想是區(qū)分密碼的雙重性質(zhì)，分別加以管理：加密技術事關國家安全，必須接受黨和國家統(tǒng)一領導；加密技術同時關乎公司和個人的信息安全的，需要加以適度規(guī)制，以保護社會公共利益和個人合法權(quán)益。具體而言，涉及國家安全和社會公益的加密和解密技術，實行進口許可、出口管制。

遵循密碼同時具有軍用和民用的雙重特點，《密碼法》首先對于密碼采取分類管理，把各種密碼技術和產(chǎn)品分成三大類：核心密碼、普通密碼和商用密碼。(39)參見《密碼法》第6條。核心密碼和普通密碼保護國家秘密信息：核心密碼涉及國家機密，關乎國家安全(40)例如，一些新興的加密通訊軟件已經(jīng)被視為威脅國家安全的工具。參見同前注〔4〕，陳亦超文，第56頁。和國防利益，對應的最高密級是絕密級；普通密碼是政府部門使用，對應最高密級為機密級。由于核心密碼和普通密碼與國家安全緊密聯(lián)系，《密碼法》采取嚴格統(tǒng)一管理的總體原則，(41)參見《密碼法》第3-5條。具體制度由國家密碼管理局(42)《密碼法》第42條規(guī)定管理密碼的核心機構(gòu)：國家密碼管理局。根據(jù)2018年3月國務院發(fā)布的《國務院關于部委管理的國家局設置的通知》(國發(fā)〔2018〕7號)，國家密碼管理局與中央密碼工作領導小組辦公室一個機構(gòu)兩塊牌子，列入中共中央直屬機關的下屬機構(gòu)序列。和中央軍事委員會(43)參見《密碼法》第43條。制定?！睹艽a法》有關核心密碼和普通密碼的規(guī)則體系建構(gòu)，改變了此前依靠政策進行管理的局面，大大推進了該領域的法治化進程。

值得說明的是，密碼本身和國家秘密并非一回事情。密碼本身乃是一整套用于加密解密信息的計算機代碼，而國家秘密則是需要加密解密的信息內(nèi)容本身，且是涉及國家安全和核心利益的一類機密信息。商業(yè)密碼則是用于企業(yè)、組織和個人，涉及非國家秘密的信息?！睹艽a法》規(guī)定，在不涉及國家安全和公共利益的密碼應用中，放松規(guī)制，鼓勵和促進技術研發(fā)、學術交流和產(chǎn)業(yè)發(fā)展，并著力推進標準化和國際化。之前《商用密碼管理條例》則規(guī)定：“商用密碼技術屬于國家秘密。國家對商用密碼產(chǎn)品的科研、生產(chǎn)、銷售和使用實行?？毓芾怼！?44)《商用密碼管理條例》第3條。從《商用密碼管理條例》對商業(yè)密碼的屬性劃分，到《密碼法》的分類管理，反映的是法律體系對于密碼(學)的認知突變?？傮w來看，《密碼法》對于商業(yè)密碼規(guī)制的核心在于放開主體區(qū)分，轉(zhuǎn)而采用行為區(qū)分：不再通過設置主體的進入門檻來規(guī)制，而是鼓勵進入該領域之后，對進入之后的行為進行規(guī)制，體現(xiàn)出從事前審批到事中事后規(guī)制的轉(zhuǎn)變，甚至在密碼技術的開發(fā)使用方面呈現(xiàn)某種“促進法”的特征。

從技術角度來講，分類管理避免了之前不加區(qū)分的統(tǒng)一監(jiān)控政策可能會造成的不便。具體而言，我國自主開發(fā)的國密算法安全程度很高，但使用成本也很高，如國密算法不兼容主流瀏覽器和操作系統(tǒng)。根據(jù)《密碼法》的新規(guī)定，商用密碼可以根據(jù)使用場景劃分安全等級，對使用國密算法還是國際算法具有選擇空間。換言之，在商用密碼的選擇問題上，法律擯棄強制原則，采取“助推”(nudge)(45)Richard H.Thaler & Cass R.Sunstein, Nudge: Improving Decisions about Health, Wealth, and Happiness, Yale University Press, 2008.模式，鼓勵商業(yè)組織自愿選擇國家標準算法。(46)例如，在非對稱密碼算法中，鼓勵使用國家標準SM2，但也允許使用國際通行的RSA算法，只是要求必須具有相當強度，如2048位密鑰，甚至更高。

進出口管理中的“大眾消費類密碼產(chǎn)品”例外條款同樣體現(xiàn)了《密碼法》區(qū)分雙重用途、適度規(guī)制商用密碼的傾向。進出口管理是各國密碼規(guī)制的重要制度之一?！睹艽a法》不再對商業(yè)密碼進出口管制進行主體區(qū)分，而只進行類型區(qū)分：對涉及國家安全、社會公共利益且具有加密保護功能的，實行進口許可，出口管制；不涉及國家安全和公共利益的“大眾消費類密碼產(chǎn)品”則不實行進口許可和出口管制。普通人使用或接觸到的密碼產(chǎn)品(如手機操作系統(tǒng)里的加密技術和功能和U盤和移動硬盤中的加密技術)不受進出口許可和管制的限制。帶有加密功能的大眾消費品不再需要冗長繁雜的審批手續(xù)，產(chǎn)品在中國上市速度可以加快。

四、法律前沿：加密技術、規(guī)制與個人信息保護

《密碼法》確立的新規(guī)制體系不但對商業(yè)主體來說非常重要，對個人用戶來說也很重要。因此，《密碼法》的實施必將推動密碼治理格局乃至于公權(quán)力/私權(quán)利關系的結(jié)構(gòu)性轉(zhuǎn)變。隨著《密碼法》的實施和網(wǎng)絡用戶加密意識的提高，加密技術的廣泛運用趨勢已經(jīng)不可逆轉(zhuǎn)，政府權(quán)力與個人信息權(quán)利之間的沖突將達到前所未有的程度，亟需相關法律予以應對。

(一)密碼使用、加密技術規(guī)制與個人信息保護

1.《密碼法》與密碼使用權(quán)

密碼不但涉及國家安全和經(jīng)濟發(fā)展，也涉及通信自由、通信秘密和信息隱私等公民權(quán)利。隨著《密碼法》的出臺和個人信息加密意識提高，公民通過使用加密技術和軟件防止通信泄密的傾向勢必會變得越來越強。而且，隨著網(wǎng)絡空間與物理空間不斷融合，對密碼的使用需求已經(jīng)擴及到每一個互聯(lián)網(wǎng)用戶。用戶可以使用密碼技術、產(chǎn)品和服務進行網(wǎng)絡購物、登錄在線銀行；密碼可以保護靜態(tài)數(shù)據(jù)(如手機和個人電腦硬盤中存儲的數(shù)據(jù))、動態(tài)數(shù)據(jù)(網(wǎng)銀交易、網(wǎng)頁瀏覽和電子商務等通過互聯(lián)網(wǎng)或局域網(wǎng)傳輸?shù)臄?shù)據(jù))和平臺數(shù)據(jù)(為保護用戶隱私，平臺與用戶之間的通信使用端到端的公鑰/私鑰系統(tǒng)加密，因而平臺不能訪問用戶信息，除非用戶明確同意)。

毫無疑問，法律賦予公民和法人密碼使用權(quán)，將極大改變目前大數(shù)據(jù)時代信息儲存和傳輸過程中大面積不受加密保護的狀況。(47)參見滑明飛：《1400萬快遞用戶隱私裸奔：如何為大數(shù)據(jù)加密？》，載搜狐網(wǎng)2014年8月18日，http://news.sohu.com/20140818/n403520015.shtml。目前，很多數(shù)據(jù)都是以明文傳輸和儲存在網(wǎng)絡系統(tǒng)和大數(shù)據(jù)系統(tǒng)中。特別是在云計算環(huán)境下，用戶數(shù)據(jù)保存在云端，而保存在云端的數(shù)據(jù)副本常常未經(jīng)過加密存儲。攻擊者可以在無需攻破用戶個人口令的情況下，從大數(shù)據(jù)系統(tǒng)中獲取數(shù)據(jù)副本，甚至開展違法犯罪活動。數(shù)據(jù)泄露多發(fā)的現(xiàn)象，很大程度上即源于此。如若加強原始數(shù)據(jù)在傳輸和存儲中的隱私保護，甚至保證大型公共系統(tǒng)不受攻擊，加密技術的運用必不可少。

在此大背景下，個人對于密碼的使用權(quán)呼之欲出?！睹艽a法》第8條第2款規(guī)定：“公民、法人和其他組織可以依法使用商用密碼保護網(wǎng)絡與信息安全?！痹摋l規(guī)定為個人使用密碼的權(quán)利提供了法律權(quán)源。根據(jù)國家密碼管理局的相關解讀：“公民、法人和其他組織可以依法使用商用密碼，既是《密碼法》賦予公民、法人和其他組織自主選擇使用商用密碼的權(quán)利，也是鼓勵公民、法人和其他組織依法使用商用密碼保護網(wǎng)絡與信息安全?！?48)國家密碼管理局：《密碼政策問答(二十二)》，載國家密碼管理局官方網(wǎng)站，http://www.oscca.gov.cn/sca/xxgk/2020-01/28/content_1060626.shtml。

2.加密技術與個人信息保護

不言而喻，密碼使用權(quán)也與個人信息權(quán)密切相關。正如我國著名密碼學家王小云教授所言：“密碼技術是……信息保護的重要手段。”(49)王小云：《密碼技術是數(shù)據(jù)治理和信息保護重要手段》，載正義網(wǎng)，http://news.jcrb.com/jxsw/201811/t20181109_1924340.html。由于密碼和加密技術會起到促進數(shù)字經(jīng)濟和個人生活等方面的作用，密碼使用權(quán)利和個人信息權(quán)利的保護問題將變得更加重要。2018年7月，中央辦公廳、國務院辦公廳發(fā)布的《金融和重要領域密碼應用與創(chuàng)新發(fā)展工作規(guī)劃(2018-2022)》(廳字〔2018〕36號)特別指出：“在互聯(lián)網(wǎng)應用、云服務和智能終端中，加強密碼對公民個人信息和數(shù)字資產(chǎn)的保護。”2021年出臺的《個人信息保護法》將加密技術與個人信息的法律保護機制相銜接，在具體的法律保護機制(如知情同意等規(guī)則)之外，著重規(guī)定個人信息處理者使用加密技術的制度，為個人信息的保護提供了一條技術支撐的路徑。(50)參見《個人信息保護法》第51條。從比較法角度來看，這也是較為通行的做法。2018年出臺的歐盟《一般數(shù)據(jù)保護條例》(GDPR)第32條規(guī)定，數(shù)據(jù)“控制者和處理者”在處理個人數(shù)據(jù)時，應采取“適當技術與組織措施，以便保證和風險相稱的安全水平”，其中第一項即是“個人數(shù)據(jù)的匿名化和加密”。歐盟《一般數(shù)據(jù)保護條例》，丁曉東譯，https://www.sohu.com/a/232773245_455313。其說明條款(Recitals)第83條進一步規(guī)定：“為了維護安全和防止違反本規(guī)定的處理，控制者或處理者應評估處理中固有的風險，并采取措施來降低這些風險，如加密。這些措施應確保適當程度的安全，包括保密……”General Data Protection Regulation, Recital 83, https://gdpr-info.eu/recitals/no-83/。譯文為筆者翻譯。歐盟的做法雖然并未規(guī)定數(shù)據(jù)控制者和處理者的違法責任，但也為其處理數(shù)據(jù)中使用加密技術提供了明確的方向。加拿大《個人信息保護和電子文件法》(PIPEDA，2000)則規(guī)定：“消費者的個人信息必須由與個人信息的敏感性相適應的安全措施保障，包括使用密碼(passwords)和加密(encryption)等技術措施。”如若商業(yè)組織違反此條款，則需承擔最高10萬加元的懲罰。Personal Information Protection and Electronic Documents Act, S.C.2000, C.5, https://laws-lois.justice.gc.ca/ENG/ACTS/P-8.6/page-4.html#h-417174. 相比較而言，美國《加利福尼亞州消費者隱私法》(CCPA)在保護個人隱私的規(guī)定中，雖然在運營商的安全保障義務中沒有明確提及加密義務，但在相應的訴訟規(guī)則中隱含了加密問題。該法第1798.150(1)中規(guī)定：“任何消費者如其……未加密或未經(jīng)處理的個人信息，由于企業(yè)違反義務而未實施和維護合理安全程序以及采取與信息性質(zhì)相符的做法來保護個人信息，從而遭受了未經(jīng)授權(quán)的訪問和泄露、盜竊或披露”，則消費者可因3項原因提起民事訴訟，其中包括提起每個消費者100美元到750美元之間的賠償請求。換言之，如果企業(yè)采用了對于消費者個人信息的加密處理，則至少可以就此提出抗辯，免除賠償。See California Consumer Privacy Act of 2018, 1798.150，中文譯文參見《美國〈2018年加州消費者隱私法案〉》，吳沈括等譯，載“安全內(nèi)參”2018年7月10日，https://www.secrss.com/articles/3836。

作為中國個人信息保護領域的基礎性法律，《個人信息保護法》中對于個人信息處理者的加密義務居于重要地位。具體而言，該法要求個人信息處理者必須采取密碼技術和去標識化等安全技術措施來保護個人信息在數(shù)據(jù)靜態(tài)存儲和動態(tài)傳輸中的安全和權(quán)利。對于個人信息處理者而言，運用加密技術也是安全性較高而成本較低的一種合規(guī)舉措。此外，相關技術標準也做了類似的要求?！缎畔踩夹g個人信息安全規(guī)范》(GB/T 35273-2020)6.3條規(guī)定，傳輸和存儲個人敏感信息時，應采用加密等安全措施。

加密技術不僅體現(xiàn)在《個人信息保護法》第51條中規(guī)定的“加密”義務中，也體現(xiàn)在該條規(guī)定的“去標識化”義務中。原因在于，作為一種信息技術，去標識化大量使用了各種加密技術。例如，《信息安全技術個人信息安全規(guī)范》(2020)3.15條規(guī)定，去標識化的方式有假名、加密和哈希函數(shù)等技術手段；《信息安全技術—個人信息去標識化指南》(GB/T 37964-2019)中列舉的常用去標識化技術也包含密碼技術。

3.加密技術及其規(guī)制對個人信息保護的挑戰(zhàn)

然而，在加密技術助力個人信息保護的同時，它也給個人信息保護及其法律規(guī)則帶來了新的挑戰(zhàn)，甚至對于互聯(lián)網(wǎng)信息和代碼規(guī)制提出了新的問題。

究其實質(zhì)，個人信息保護需要放在數(shù)字經(jīng)濟的大格局下進行定位，因此存在與促進數(shù)據(jù)流通、跨境流動和開發(fā)利用等問題的潛在張力?！秱€人信息保護法》雖然并未處理此問題，但這種張力及其平衡在《數(shù)據(jù)安全法》以及一系列數(shù)據(jù)政策當中明確地體現(xiàn)出來?！秱€人信息保護法》及其相關規(guī)則體系確立了以授權(quán)同意和去標識化為核心的規(guī)則體系，在保護用戶權(quán)利的同時，自然對于數(shù)據(jù)流通和開發(fā)利用產(chǎn)生了一定的抑制效應。反之，一旦數(shù)據(jù)流通之后，其他主體若可以通過解密技術反推，從而還原原始數(shù)據(jù)，突破個人信息去標識化和匿名化的限制，就會使得個人信息權(quán)利重新受到巨大威脅。

目前，互聯(lián)網(wǎng)產(chǎn)業(yè)界通過數(shù)據(jù)標識加密技術、關聯(lián)技術和有效授權(quán)技術，嘗試確保個人敏感信息不可識別和僅在授權(quán)范圍內(nèi)使用，為個人信息保護提供了技術保障。加密技術的使用不僅有助于個人信息保護，也有助于企業(yè)和技術社群在進行數(shù)據(jù)流通和開發(fā)利用過程中設計合規(guī)方案。尤其是2020年以來，部分是為了平衡個人信息保護和數(shù)據(jù)流通利用之間的關系，以密碼技術為重要支撐的“隱私計算”技術方興未艾，并在數(shù)字經(jīng)濟中得到應用。融合了密碼學和其他計算機科學的隱私計算可用于加強數(shù)據(jù)流通過程中對個人標識信息的加密保護，從而促進數(shù)據(jù)流通價值和個人信息保護之間的動態(tài)平衡。(51)參見隱私計算聯(lián)盟、中國信息通信研究院云計算與大數(shù)據(jù)研究所：《隱私計算白皮書》，2021年7月，第2頁。具體而言，該技術通過對于個人信息的加密，可以實現(xiàn)在原始數(shù)據(jù)留存本地的基礎上，通過技術化手段只輸出切片、標簽化、脫密后的梯度和參數(shù)等信息滿足去標識化的要求，使得其他數(shù)據(jù)處理者不能夠復原數(shù)據(jù)中包含的個人可識別信息，從而實現(xiàn)數(shù)據(jù)流動和他者的聯(lián)合開發(fā)。而且，一旦滿足了去標識化的要求，個人信息處理者及其他數(shù)據(jù)使用者也可以免除使用數(shù)據(jù)進行分析過程中征求用戶二次甚至多次授權(quán)的麻煩，從而能夠一定程度上符合《個人信息保護法》的合規(guī)要求。(52)參見同上注，第33頁。

然而，以隱私計算為代表的新興數(shù)據(jù)處理技術卻面臨著法律評價上的不確定性。畢竟，此種技術仍然屬于《個人信息保護法》中的去標識化技術，而非匿名化技術。它可以降低個人信息的敏感程度，但并非使得個人信息在傳輸和流通之后完全不可識別，因此仍然需要在個案中判斷該技術能否能夠幫助個人信息處理者達成合規(guī)義務。(53)參見蘇州信息安全法學所：《密碼技術在〈個人信息保護法〉中的基石地位和實現(xiàn)》，載安全內(nèi)參網(wǎng)2021年8月27日，https://www.secrss.com/articles/33841。而對此問題的判斷，不但取決于《個人信息保護法》的相關實施細則和相關技術標準，也取決于《密碼法》背景下的加密技術發(fā)展(例如當前認為足以去標識化、無法識別個人身份和屬性信息的技術，是否可能隨著技術的迭代，變得可以識別，再如加密過程中的密鑰被獲取或密碼系統(tǒng)被破解的難度是否隨著技術的發(fā)展而降低)，甚至取決于《密碼法》所建構(gòu)的規(guī)制體系下的具體規(guī)制措施和個案處理。因此，網(wǎng)絡運營商作為個人信息處理者和加密技術使用者，也要不斷根據(jù)算法和個人信息保護的場景，對于其所使用的加密技術進行安全認證，從而符合《密碼法》等法律建構(gòu)的加密技術規(guī)制規(guī)則體系。

更有甚者，技術的發(fā)展及其應用也會不斷挑戰(zhàn)《個人信息保護法》體系中預設的去標識化和匿名化的二分法。(54)《個人信息保護法》第4條規(guī)定：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”按照該法規(guī)定，去標識化的信息在經(jīng)過額外信息輔助的情況下(如獲取對于個人信息數(shù)據(jù)進行加密的密鑰)，仍然可以復原為個人信息。去標識化僅是增加了識別自然人身份和屬性信息的難度，而非排除了其可能性。匿名化則意味著個人信息數(shù)據(jù)無法復原。加密解密技術的發(fā)展完全可能產(chǎn)生一種現(xiàn)象，即原先無法復原的數(shù)據(jù)可以通過新的技術予以復原，從而影響《個人信息保護法》的適用范圍——該法第4條規(guī)定，匿名化信息不屬于該法保護的個人信息。此時，是否應該在《密碼法》之下的加密規(guī)制體系中限制此類代碼的開發(fā)和技術的使用，就變成極為關鍵的問題。就此，法律需要在個案當中判斷一項加密技術是否滿足了匿名化的要求，從而免除《個人信息保護法》設定的義務，還是僅僅起到了去標識化的作用，以及作用有多大，從而確定個人信息處理者已經(jīng)履行了該義務。個人信息保護法領域的學者和實務人士因而必須直面密碼技術的更新迭代，并且關注密碼規(guī)制的發(fā)展狀況。

(二)執(zhí)法需求與個人信息的平衡機制：法律與技術的交叉路徑

1．密碼的社會化使用與執(zhí)法需求的張力

必須注意的是，加密技術的普遍社會化使用是一把雙刃劍。加密技術的個人使用普遍化將會打破公權(quán)力和隱私之間的既有平衡狀態(tài)。隨著《密碼法》的推行，公眾對密碼技術的認識和運用加密技術保護個人信息和隱私的程度提高，會造成執(zhí)法和司法機關獲取數(shù)據(jù)的技術困難。究其實質(zhì)，互聯(lián)網(wǎng)從其底層架構(gòu)而言，“易攻難守”。(55)左亦魯：《國家安全視域下的網(wǎng)絡安全——從攻守平衡的角度切入》，載《華東政法大學學報》2018年第1期，第155頁。加密技術在信息網(wǎng)絡各個環(huán)節(jié)的普遍使用，會使互聯(lián)網(wǎng)的攻守態(tài)勢趨于平衡。然而，新的平衡將會帶來執(zhí)法與隱私之間新的不平衡。加密技術的廣泛使用，不但意味著個人信息隱私得到更強保護，也意味著公權(quán)力機關獲取數(shù)據(jù)的難度相應增大。這個難題已經(jīng)超出了傳統(tǒng)的政府維護安全的權(quán)力和個人的隱私權(quán)利之間的沖突框架，(56)See Cass R.Sunstein, Beyond Cheneyism and Snowdenism, 83 The University of Chicago Law Review 271, 272-273 (2015).也構(gòu)成了公共安全和個人信息安全之間的沖突。(57)See Bruce Schneier, The Value of Encryption, Schneier On Security (Apr.2016), https://www.schneier.com/essays/archivcs/2016/04/the_value_of_encrypt.html (hereinafter Schneier Il); Olivia Gonzalez, Cracks in the Armor: Legal Approaches to Encryption, 2019 Journal of Law, Technology & Policy 2, 9-10 (2019).此外，更需注意的是，個人信息安全也不僅牽涉?zhèn)€人隱私，同時也關涉社會利用網(wǎng)絡信息系統(tǒng)進行發(fā)展的整體利益(例如數(shù)字經(jīng)濟和數(shù)字治理)。

公權(quán)力與隱私之間的沖突典型地體現(xiàn)在執(zhí)法機關為打擊犯罪而獲取數(shù)據(jù)的過程之中。在大量數(shù)據(jù)未加密的情況下，張力尚不明顯。然而，一旦加密普及開來，執(zhí)法機關將會面臨重大障礙。畢竟，越來越多的數(shù)據(jù)將會以密文形式傳輸和存儲，有效防止截獲、泄露和篡改。(58)參見《專家解讀〈密碼法〉，數(shù)據(jù)加密保護將是我國網(wǎng)絡安全工作的重點》，載和訊網(wǎng)，https://shandong.hexun.com/2019-10-28/199026576.html，2020年2月9日訪問。第三方(無論是攻擊者還是執(zhí)法者)獲取數(shù)據(jù)的難度會不斷加大。從國外經(jīng)驗來看，執(zhí)法機關可能采取的措施分為兩大類，一是尋找密鑰進入系統(tǒng)獲取數(shù)據(jù)，二是在不獲取密鑰的情況下直接獲取數(shù)據(jù)。(59)See Orin S.Kerr & Bruce Schneier, Encryption Workarounds, 106 Georgetown Law Journal 989, 989-1020 (2018).前者則進一步區(qū)分為找到“密碼”(口令)、暴力破解和通過偵查、審訊嫌疑人獲取“密碼”；后者則包括利用加密系統(tǒng)漏洞予以破解、在設備使用時獲取明文數(shù)據(jù)和獲取數(shù)據(jù)在運營商上的備份。(60)參見同上注。無論何種方法從數(shù)學原理來說都只是概率性的，無法提供一通百通的方法，也沒法決定優(yōu)劣之分，因為對于方法的選擇取決于執(zhí)法機關的技術認知程度、技術使用能力高低和資源配置程度。(61)參見同上注。在極端情況下，執(zhí)法機關面臨著數(shù)學法則的制約。(62)See John Villasenor, No, the Laws of Australia Don' t Override the Laws of Mathematics, Brookings Institution (July 17, 2017), https://www.brookings.edu/blog/techtank/2017/07/17/no-the-laws-of-australia-dont-override-the-laws-of-mathematics.例如，在網(wǎng)絡服務提供商并未保留用戶私鑰的情況下，在端對端加密通信中，執(zhí)法機關需要借助極強的算力資源方才能夠?qū)崿F(xiàn)其目標。(63)參見同上注。甚至在某些情況下，執(zhí)法機關的解密效果與加密技術的規(guī)制密切相關，特別是法律對于個人使用商用密碼的強度(特別是密鑰長度)的規(guī)定。(64)See Peter Swire & Kenesa Ahmad, Encryption and Globalization, 13 Columbia Science & Technology Law Review 416, 441-444 (2012). 印度最近的“密碼圣戰(zhàn)”可以提供參考。隨著2008年孟買大爆炸的發(fā)生，印度政府加強了信息安全措施，特別是出臺法律規(guī)定商業(yè)和個人使用的加密技術中秘鑰長度不得超過40比特。這雖然有利于政府打擊犯罪，但不利于維護個人信息和隱私，將會產(chǎn)生個人網(wǎng)絡安全的黑洞。

以2016年Applev.FBI案為例。蘋果公司被FBI依法要求協(xié)助破解圣貝納迪諾襲擊者賽義德·法魯克(Syed Farook)使用的iPhone 5c手機。法魯克已死，使得執(zhí)法機關強迫其提供密鑰的策略無法進行。政府知道，法魯克的手機啟用了自動刪除功能以阻止暴力破解，盲猜“密碼”就變得更難。政府轉(zhuǎn)而試圖獲取明文數(shù)據(jù)的備份副本，并獲得了手機內(nèi)容在云端(iCloud)上的備份，但云端存儲的只是6個星期之間的較早版本，而FBI希望獲得最新的副本。FBI獲得法院許可，要求蘋果公司協(xié)助，禁用云端副本的自動刪除功能，以便快速猜測破解密碼，實際上就是讓蘋果公司“開后門”。蘋果公司反對，認為這會侵犯用戶隱私，喪失其他用戶信任。(65)例如，蘋果公司CEO庫克公開表示，這將會“攻擊它自己的用戶，破壞幾十年來保護它的用戶(包括數(shù)千萬美國公民)免受……黑客和網(wǎng)絡罪犯攻擊的安全保障措施。……具有諷刺意味的是，同樣一批工程師，把加密程序植入iPhone保護我們的用戶，又被責令削弱那些保護，使我們的用戶更不安全”。Tim Cook, A Message to Our Customers, Apple (Feb.16, 2016), http://www.apple.com/customer-letter/.其他互聯(lián)網(wǎng)公司(如亞馬遜、微軟、臉書、谷歌等)也聯(lián)名提交了“法院之友”意見書，明確反對此項舉措。See Amicus Briefs in Support of Apple, Apple: Newsroom (Mar.2, 2016), https://www.apple.com/newsroom/2016/03/03Amicus-Briefs-in-Support-of-Apple/.FBI最終另辟蹊徑，在訴訟判決之前，通過匿名的第三方協(xié)助破解了密碼。

上述案件體現(xiàn)出來的是在執(zhí)法機關獲取數(shù)據(jù)的場景中典型的問題所在，即一方面，犯罪嫌疑人是否有法律上的自解密義務；另一方面，互聯(lián)網(wǎng)運營者、設備制造商乃至于加密算法開發(fā)者的協(xié)助解密義務問題。

2．可能的解決方案：自解密義務與協(xié)助解密義務的范圍與限度

為了應對執(zhí)法困局，技術與法律相結(jié)合的方案在世界范圍內(nèi)已經(jīng)有所發(fā)展，其中有兩種方案值得加以探討。一是在個人使用的加密算法中要求算法開發(fā)者設立“后門”。例如，澳大利亞曾經(jīng)出臺反加密法，允許政府強迫科技公司為產(chǎn)品設置后門。(66)參見《澳大利亞新頒布反加密法引起軒然大波》，載白帽匯安全研究院，https://nosec.org/home/detail/2043.html，2020年2月9日訪問。具體而言，此種開發(fā)“后門”的法律義務設定，如果加密系統(tǒng)中不設置執(zhí)法部門可以獲得明文的技術機制，該加密系統(tǒng)不得推廣使用。但是，此舉風險很大，仍需慎重。首先，從技術角度而言，開“后門”是雙刃劍，具有較大的潛在風險。本國執(zhí)法可以從“后門”進入系統(tǒng)，外國政府、黑客甚至恐怖主義者也可以從“后門”進入。這反倒會導致網(wǎng)絡信息安全赤字。其次，從經(jīng)濟角度而言，開“后門”將會威脅個人信息和隱私保護，減少本土加密產(chǎn)品和網(wǎng)絡安全產(chǎn)品的國際市場需求，也不利于一國密碼標準的國際化，甚至可能因為違反外國隱私法而面臨訴訟、合規(guī)乃至公共關系的風險，有損產(chǎn)業(yè)的國際競爭力。(67)See Kaveh Waddell, How Much Is Encryption Worth to the Economy?, The Atlantic (Nov.9, 2015), https://www.theatlantic.com/politicstarchive/2015/11/how-much-is-encryption- worth-to-the-economy/458466 ("The tech industry, however, argues that consumers want better security and privacy and that a weaker encryption standard would be a huge economic hit to U.S.companies, because consumers would shift to apps and services with strong encryption made overseas.").尤其是考慮到未來物聯(lián)網(wǎng)和區(qū)塊鏈的發(fā)展都要依靠密碼標準，此舉更得慎重。(68)參見《〈密碼法〉元年到來 王小云院士鄭州專題演講密碼應用與區(qū)塊鏈》，載大河網(wǎng)，https://news.dahe.cn/2020/01-19/581135.html。最后，不言而喻，“后門”制度本身也會產(chǎn)生輿論爭議。(69)美國國安局曾經(jīng)被揭露在密碼技術中植入后門；荷蘭政府則在2016年表示不會強迫密碼公司留后門。參見同前注〔55〕，左亦魯文，第155頁。

另一種做法是設立國家密鑰托管系統(tǒng)。(70)技術界人士已經(jīng)有此提議。參見鏈證經(jīng)濟：《高承實博士：密鑰托管是區(qū)塊鏈項目落地的必要妥協(xié)》，載簡書網(wǎng)2018年11月29日，https://www.jianshu.com/p/d0494b951b81。其初衷是，公權(quán)力機關出于維護國家安全和公共安全的義務，須有某種數(shù)據(jù)恢復的權(quán)力，其中包含獲取加密數(shù)據(jù)的權(quán)力，特別是通過預設數(shù)據(jù)恢復密鑰，獲取相應數(shù)據(jù)，來打擊犯罪和危害國家安全的行為。此種備用密鑰系統(tǒng)也對個人用戶的密碼使用權(quán)利有所幫助，它可以協(xié)助用戶在丟失私鑰之后解決問題。例如，20世紀90年代，為了緩解安全和隱私之間的沖突，克林頓政府曾經(jīng)試圖建立美國的國家密鑰托管系統(tǒng)，希望在保證個人信息隱私的同時，為打擊犯罪和恐怖主義等行為提供技術手段。此舉并非將網(wǎng)絡用戶的“口令”進行統(tǒng)一管理，而只是從算法層面管理密鑰生成的算法機制，以便必要時公權(quán)力機關可獲取具體“口令”。然而，密鑰托管系統(tǒng)遭到了法律界和產(chǎn)業(yè)界的集體反對，最終無法推行。

在《密碼法》和《個人信息保護法》出臺之前，我國法律中并未規(guī)定對于犯罪嫌疑人的自解密義務。在司法實踐中，不配合解密行為常常比照刑法中的妨害公務罪或《治安管理處罰法》中拒絕、阻礙國家工作人員依法執(zhí)行職務的行為。(71)參見馬民虎、果園、馬寧：《自解密義務的法律困惑及其本土適用》，載《蘇州大學學報(哲學社會科學版)》2016年第1期，第89-94頁。在兩部法律出臺之后，特別是其中對于使用加密技術保護個人隱私和個人信息的權(quán)利進行強調(diào)之后，以往的做法顯得不甚妥當，因此需要在法律層面就自解密義務和協(xié)助解密義務進行更為明確的制度設計。

就目前的法律而言，針對涉及國家安全案件中的解密義務問題，已經(jīng)有了較為明確的規(guī)定。如《反恐怖主義法》(2018年修正)第18條明確規(guī)定：“電信業(yè)務經(jīng)營者、互聯(lián)網(wǎng)服務提供者應當為公安機關、國家安全機關依法進行防范、調(diào)查恐怖活動提供技術接口和解密等技術支持和協(xié)助?！币虼耍谏婕翱植乐髁x的案件中，電信業(yè)務經(jīng)營者和互聯(lián)網(wǎng)服務提供者具有協(xié)助解密義務。而2015年《國家安全法》第77條第1款第5項規(guī)定公民和組織有義務“向國家安全機關、公安機關和有關軍事機關提供必要的支持和協(xié)助”。在涉及使用加密技術的案件場景中，該條款可以解釋為在國家安全案件中，公民和組織有自解密和協(xié)助解密的義務。相較而言，2016年通過的《網(wǎng)絡安全法》第28條規(guī)定：“網(wǎng)絡運營者應當為公安機關、國家安全機關依法維護國家安全和偵查犯罪的活動提供技術支持和協(xié)助?！痹摋l款似也可以作類似解釋。

如果說在涉及國家安全的案件中，解密義務存在與否的問題較為明確，那么在普通刑事案件的偵查中，相關法律的規(guī)定并不明確。上文提及的《網(wǎng)絡安全法》第28條的規(guī)定雖然為網(wǎng)絡運營者設置了“提供技術支持和協(xié)助”的義務，但該義務是否包含解密義務，其義務的強弱程度如何，法律并未明言?？梢钥隙ǖ氖牵摋l款并未為公民個人設置自解密義務；而且，由于自解密義務涉及公民在憲法上的通信自由和通信秘密權(quán)，同時也與不得強迫自證其罪的刑事訴訟法原則存在潛在的沖突，因而可以相對確定的是，法律目前并無此種要求。(72)參見《刑事訴訟法》(2018年修正)第52條規(guī)定：“審判人員、檢察人員、偵查人員必須依照法定程序，收集能夠證實犯罪嫌疑人、被告人有罪或者無罪、犯罪情節(jié)輕重的各種證據(jù)。嚴禁刑訊逼供和以威脅、引誘、欺騙以及其他非法方法收集證據(jù)，不得強迫任何人證實自己有罪?！北疚慕ㄗh，未來的制度設計中維持現(xiàn)狀、不設定自解密義務是較為妥當?shù)拇胧?。在此基礎上，本文認同有論者提出的方案，即司法機關可以要求犯罪嫌疑人采取自愿合作的方式來予以嘗試，并在犯罪嫌疑人拒絕配合的情況下，允許法院采信這一事實，(73)參見同前注〔71〕，馬民虎、果園、馬寧文，第93頁。從而維護打擊犯罪與保護公民基本權(quán)利(包括但不限于個人隱私/信息權(quán)利和不自證其罪的權(quán)利)之間的平衡。

難點在于網(wǎng)絡運營者的協(xié)助解密義務，這有待于更為細化的制度進行澄清。在此之前，我們?nèi)匀豢梢詮姆稍砗蛯嵺`現(xiàn)狀的層面進行初步探討。在原理層面，在處理個人和組織的自解密義務和協(xié)助解密義務問題時，毫無疑問應當遵循比例原則，一方面賦予執(zhí)法機關在特定場景中獲取加密數(shù)據(jù)的相關權(quán)力，另一方面從法律上施加程序規(guī)范和實體限制，以此平衡政府權(quán)力和公民權(quán)利之間的界限。(74)See Cynthia Lee, Reasonableness with Teeth: The Future of Fourth Amendment Reasonableness Analysis, 81 Mississippi Law Journal 1133 (2012).實踐層面，“在向網(wǎng)絡服務提供者要求執(zhí)法協(xié)助的啟動點上，司法機關有啟動過于頻繁、啟動閾值過低的問題”。(75)崔聰聰、李欲曉、韓松：《〈網(wǎng)絡安全法(草案二次審議稿)〉第27條修改建議——以網(wǎng)絡服務提供者協(xié)助解密義務為中心》，載《中國工程科學》2016年第6期，第36頁。針對于此，本文建議應對于司法機關要求網(wǎng)絡運營者解密的行為采取如下限制。

一是最低限度原則。按照《個人信息保護法》第34條的要求，國家機關在履行法定職責時，應當在必需范圍和限度內(nèi)處理個人信息。(76)《個人信息保護法》第34條規(guī)定：“國家機關為履行法定職責處理個人信息，應當依照法律、行政法規(guī)規(guī)定的權(quán)限、程序進行，不得超出履行法定職責所必需的范圍和限度?！边@一點也應解釋適用于司法機關通過解密而獲取個人信息和數(shù)據(jù)的情況。例如，司法機關在原則上只能要求相關主體解密犯罪嫌疑人本人的信息和數(shù)據(jù)，只有在確為必要的條件下，司法機關才可以要求網(wǎng)絡運營者解密與犯罪嫌疑人具有密切關系的人員的相關信息。再如，需要明確網(wǎng)絡運營者的協(xié)助解密義務在不同案件類型中的相應程度，如只針對涉及重大罪名的刑事案件設置完全的協(xié)助義務，而針對一般刑事案件，則需要注意公共利益和個人隱私的平衡。(77)參見王志剛、楊敏：《論網(wǎng)絡服務提供者的偵查協(xié)助義務》，載《重慶郵電大學學報(社會科學版)》2019年第4期，第25-33頁。

二是權(quán)利保障機制。《個人信息保護法》的宗旨就是確立以知情同意為核心的個人信息權(quán)利保護體系，并且特別規(guī)定了國家機關在履行職責時處理個人信息過程中對于權(quán)利主體的告知義務。(78)參見《個人信息保護法》第35條：“國家機關為履行法定職責處理個人信息，應當依照本法規(guī)定履行告知義務；有本法第十八條第一款規(guī)定的情形，或者告知將妨礙國家機關履行法定職責的除外?！贝嗽瓌t也應適用于協(xié)助解密的場景中。具體而言，當司法機關在法定范圍內(nèi)依照最低限度原則成功獲得網(wǎng)絡運營商協(xié)助解密當事人的信息之后，當事人有知情權(quán)(如公安機關必須告知)和刑事程序性權(quán)利(如當事人有權(quán)申請排除非法證據(jù))。

三是安全保障義務。按照《密碼法》《數(shù)據(jù)安全法》《網(wǎng)絡安全法》和《個人信息保護法》等法律的相關規(guī)定，司法機關和網(wǎng)絡運營者對在解密過程中獲取的國家秘密、商業(yè)秘密和個人信息應當盡到保密義務，尤其不得用于與案件偵破無關的用途。

五、結(jié)語

《密碼法》實施之后，密碼治理相關的法律體制將會迎來全面發(fā)展，同時也會與個人信息保護相關的法律規(guī)則發(fā)生密切聯(lián)動。加密技術的廣泛使用究竟會給法律帶來什么機遇和挑戰(zhàn)，既取決于技術創(chuàng)新(例如量子計算機的出現(xiàn))，也取決于法律變革(特別是第三方協(xié)助義務的法律范圍)。對密碼治理采取技術與法律結(jié)合的研究進路，或許同時具有一定方法論意義。互聯(lián)網(wǎng)時代，“代碼就是法律”。(79)[美]勞倫斯·萊斯格：《代碼：塑造網(wǎng)絡空間的法律》，李旭譯，中信出版社2004年版，第6頁。而在“所有東西都是計算機”“萬物皆數(shù)”的大數(shù)據(jù)時代，密碼是從技術底層保護網(wǎng)絡安全和個人信息的重要代碼。密碼治理的法律問題，已經(jīng)超越了密碼產(chǎn)品的研發(fā)、銷售、使用和進出口等具體問題，觸及到了法律制度的根本，即權(quán)力和權(quán)利的基礎關系和根本邊界。結(jié)合技術與法律兩個不同的面向，洞悉信息社會治理的深度結(jié)構(gòu)和底層邏輯，是應對未來密碼規(guī)制體系和個人信息保護制度的基本思維。