冲破跨境取证维谷

面对执法机构的数据取证请求，来自母国和外国的法域间相互冲突的法律要求，将跨国科技公司置于一个前所未有的两难境地。它们应该如何应对？茄子科技总法律顾问、前字节跳动产品法务总监潘聪提供了一些建议

不可否认，全球化和信息化给人们的生产、消费、生活方式带来了巨大改变。这些改变甚至被认为是不可逆的。全球性科技公司在科技与商业模式方面的创新，成为转变背后的重要推力。

科技公司等主体普遍掌握了海量个人信息（包括但不限于交互数据与行为数据），而执法部门刑事侦查过程中，电子数据也日渐成为案件中普遍存在甚至是不可或缺的一类证据。

某一国的执法人员向掌握数据证据的科技公司发起跨境数据取证，这一过程同时涉及数据存储地所在的国家、掌握并存储该数据的科技公司，以及该数据所指向的个人（下称“数据主体”）几方的权利义务。

科技公司尤其是全球性科技公司作为数据控制者，普遍地参与到了这一过程中。例如，微软在其2021年前半年“执法机构信息获取报告”中披露，公司在这期间从执法机构收到的数据获取申请总数为27809例，其中美国本土的信息获取申请仅有6392例。这意味着，有超过两万例申请由其他国家政府发起。

困境和挑战

然而，执法机构针对数据控制者直接发起跨境数据取证，依然需要背靠数据所在国的属地管辖。

当前，各国的国内法立法都依然强调对存储与其国境之内的数据享有主权，因此，限制或者禁止本国企业基于自愿向取证发起国提供数据，是普遍的做法，大多数情况下，都需要取证发起国通过刑事司法协助程序获取相应数据。例如，美国《通信隐私法案》（ECPA）原则上禁止美国网络服务提供者向国外执法机关提供通信内容数据和用户记录，除非两国之间存在依据《云法案》签署的行政协议。

但是，国际刑事司法协助程序（MLAT）不可避免的低效和冗长，显然无法适应当今社会环境下刑事侦查活动的效率需求。

数据所在国自然希望，本国主权范围内的数据不被取证发起国政府“肆意”获取，从而令公民个人隐私、数据安全、网络安全，甚至国家安全获得充分保障。

取证发起国则希望，尽可能最高效地完成跨境数据取证，掌握刑事案件的关键要素，从而推进案件进程，保障本国公共安全。

作为数据控制者的科技公司，身处两种截然不同的立场之中，困境与挑战在所难免。

一旦数据所在国的法律要求与取证发起国的数据获取要求相冲突，科技公司将面临取证发起国的本地执法压力。2015年1月，巴西警方强行进入了微软在巴西当地高管的住所将其逮捕，起因是微软拒绝提供存储于美国的与巴西某公民有关的Skype通信数据。根据美国《通信隐私法案》规定，直接向巴西警方提供该数据是违法的。微软据此拒绝当地警方的取证要求，从而引发巴西政府的激烈反应。

类似地，2016年2月, 巴西警方因不满Facebook拒绝提供其调查所需数据，逮捕了Facebook在当地的资深管理人员。该调查与当地一起毒品走私案密切相关，有消息指出，Facebook在2014年全资收购的产品WhatsApp中的用户通信数据，成为了案件突破的关键，而信息获取也获得了当地法院的调查令支持。

然而，Facebook以及WhatsApp无法向巴西当局提供有关信息，原因不仅在于美国法律规定无法直接提供存储在美国的上述信息，同时还因为，WhatsApp从2014年开始，就对用户互传的信息使用端对端加密技术，产品及其运营公司无法实际获得用户之间的互传信息。

数据主权管辖带来的法律上的困境，以及技术和实际操作层面的实质不能，使得Facebook及WhatsApp无法满足当地执法部门的要求。

另一桩案件影响更为广泛。2013年，在一起毒品案件中，美国法院签发搜查令，要求微软向美国政府披露案件所涉用户的邮件内容和账户信息，但这些数据储存在爱尔兰，微软拒绝提供。此后，经过漫长的多个地区法院及第二巡回法院的诉讼之旅，2018年2月，微软与美国政府案在最高法院开庭。

该案件再次提出了一个多年来充满争议的问题：美国政府是否有权利以行政命令的方式，向美国公司获取、被美国公司控制、但是存储在美国境外的数据？