偶然看到两周前被忽略的一则消息：司法部、外交部和两高一部等七部委发布了《关于实施〈中华人民共和国国际刑事司法协助法〉若干问题的规定（试行）》。
这个试行规定相当于《国际刑事司法协助法》的实施细则，最值得关注的新发展，是明确了刑事证据出境要经过“安全审查”，并为此设立了一个“刑事证据出境审查工作机制”，负责“刑事证据出境安全审查”相关工作，办公室设在司法部。
2018年，我国出台《国际刑事司法协助法》，第一次以全国人大法律的形式确立了我国的国际刑事司法协助制度，其中的第4条规定：非经中华人民共和国主管机关同意，外国机构、组织和个人不得在中华人民共和国境内进行本法规定的刑事诉讼活动，中华人民共和国境内的机构、组织和个人不得向外国提供证据材料和本法规定的协助。
如何应对外国政府跨境调取本国存储的数据，一直是一个关系司法主权和数据主权的问题。刑司法第4条体现了我国对司法主权（以及电子证据场景下的数据主权）的重视，也符合国际法不承认域外执行管辖的普遍共识：一个国家的司法机构只能在自己境内从事刑事司法活动，如果你需要提取在别国的证据或者引渡在别国的罪犯，不能直接跑到人家地面上取证或者抓人，而是得跟对方的政府提出请求，对方审查后觉得可以帮你才会协助（在一些情况下，比如不符合“双重犯罪”原则，也可以不帮），这也是为什么需要“国际刑事司法协助”制度。
2018年，美国携技术和产业优势推出《云法案》，绕开数据存储国政府直接从企业跨境调取数据，直接挑战了现行的国际刑事司法协助制度，也引发了一轮围绕数据管辖权的国际规则博弈。对一个主权国家而言，外国不经过本国同意擅自调取本国境内存储的数据，是侵犯主权的行为。如果对方国家获取的数据达到一定量级，或者数据本身具有关系国家安全的属性、存在被外国情报机关分析利用的可能，也会引发国家安全关切。
刑司法第四条正是在上述背景下出台，并被很多分析解读为我国针对外国单边跨境数据调取的“阻断条款”。后来的《数据安全法》第36条、《个人信息保护法》第41条、《网络数据安全管理条例》（征求意见稿）第39条似乎都承袭了其基本思路和立场，且范围扩展到民商事司法协助，并涵盖所有涉及电子证据的外国跨境取证活动。
根据这些法律，非经中国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中国境内的数据。外国司法或执法机构如果要调取存储在中国的数据，有双边司法协助条约或者共同参加的多边条约（如《联合国打击跨国有组织犯罪公约》）有国际司法协助机制的，走这些机制；没有的，按照互惠原则跟外交部提出请求，走“外交途径”。这和我国2019年打出的《全球数据安全倡议》也保持了一致。根据倡议，各国应尊重他国主权、司法管辖权和对数据的安全管理权，未经他国法律允许不得直接向企业或个人调取位于他国的数据。各国如因打击犯罪等执法需要跨境调取数据，应通过司法协助渠道或其他相关多双边协议解决。
实践中，刑事司法协助场景下需要出境的证据可能会以个人信息、重要数据的形式体现，从而产生了刑司法第4条和数安法第35条（向境外提供数据的规则）、个保法第第38条（向境外提供个人信息的规定）、《数据出境安全评估办法》第4条（需申报数据出境安全评估的情况）如何协调的问题。
简言之，境内个人和企业层面普遍存在几个疑问：1、在收到外国司法执法机构直接发给个人和企业的数据调取要求时，相关规定只要求个人和企业“不得提供”，但有时企业和个人直接受制于《云法案》这样的外国单边数据调取规则或美国法院的证据开示程序，如不予回应可能在美国遭受处罚。这样的中美法律冲突是个人和企业难以解决的；2、有些情况下，外国政府没有找过来，而是境内个人和企业自己要在国外提起刑事诉讼或者应对外国针对自己的刑事诉讼，需要把一些证据传输出境，这是否也一律禁止？3、如果可以让证据出境，但证据属于个人信息或重要数据，那是否还需要去找网信办走数据出境安全评估程序？
这个问题在过去几年一直没有特别明确的答复。业内传闻，如果是因应对诉讼需要主动向境外传输证据，一般是向司法部司法协助交流中心交申请，中心会根据实际需要，转交最高院、网信办审批，但这从来没有得到官方的承认。
2023年3月30日，司法部在官网公布了《国际民商事司法协助常见问题解答》，对民商事司法协助场景下的证据出境做出了规定：外国司法机关或司法人员如要调取位于中国境内的证据材料，不能直接询问（包括通过电话、视频等技术手段）位于中国境内的证人，应根据条约规定途径，由外国具有提出取证请求资格的司法机关或个人向司法部提出调查取证请求。与中国未缔结相关条约的，应向外交部提出请求。请求经审批后由人民法院执行，结果由请求接收部门答复请求方。
上述《问题解答）实际仍然坚持了司法主权和数据主权的原则，实际禁止境内个人和企业直接应外国司法机关请求向其提供证据。由于中国在1997年加入《海牙取证公约》时，对通过外交途径进行司法取证的规定（除第15条“通过外交或领事官员直接向缔约国司法机关请求提供取证协助”）做出了保留，外国民商事跨境取证请求基本上都需要向司法部提出，走民商事司法协助程序。
近期发布的这份关于实施刑司法若干问题的试行规定第13至15条集中对上述问题做出了迄今为止最清晰的解答。今后，境内个人和组织在收到外国司法执法机构调取境内数据的要求后，应当在收到之日起30天内报告司法部（刑事证据出境审查工作机制办公室），提交有关情况的具体说明，并附相关法律文书副本或者其他证明材料。司法部收到报告后，会和机制成员单位会商，需要外国提出刑事司法协助请求的，由司法部向外国提出要求。
试行规定没有说明“刑事证据出境审查工作机制”都有哪些成员单位，想来联合发布该试行规定的七部委（国家监察委员会、最高人民法院、最高人民检察院、外交部、公安部、国家安全部、司法部）应该在里面，主责数据出境安全评估的网信办是否是成员单位还不清楚。但总体来说，作为机制办公室的司法部要在这方面承担重要的接收申请、协调会商和对外联系职责，具体的工作可能会落在主责司法协助的国际合作局。
值得注意的是，根据试行规定，报告相关情况的个人和组织可以要求工作机制成员单位及其工作人员保密。这可能是为了应对美国政府调取数据的“国家安全密函”制度。美国司法部等执法机构为了调查某些案件从企业调取用户数据时，因为担心企业会对外透露，对正在进行的调查不利或可能威胁公共安全，一般会向企业发出“国家安全密函”（俗称“封口令”），明确要求企业不能对外透露。这种情况下，如果企业收到了“国家安全密函”，但又需要根据试行规定向刑事证据出境审查工作机制办公室报告，就会陷入法律冲突。工作机制办公室保密，是对我国企业的一种保护。
对境内的个人和组织为了打官司等维护自身权益目的，需要主动向外国提供证据的情况，试行规定明确不是一概不行，但有条件：首先应当确保遵守保守国家秘密、数据安全、个人信息保护等有关法律规定，也就是出去的证据里面不能有国家秘密或者禁止出境的个人信息和重要数据；其次是要向工作机制办公室提交书面申请。申请书的内容除了申请人和案件的基本信息外，还要包含关于证据符合保守国家秘密、数据安全、个人信息保护等法律规定以及合同约定的保密义务等事项的说明。司法部在受理申请后，要会同“工作机制成员单位中的主管机关等”对申请出境证据进行审查，并应当自受理申请之日起60天内告诉申请人审查结果。案件情况复杂或者需要征求其他有关部门意见的，可以视情延长审查时限。
试行规定沿袭了我国政府在处理“数据主权”问题方面的一贯思路，即通过逐案的政府审批，先管起来再说。同样的思路也体现在《数据出境安全评估办法》为主体的数据出境制度体系中。实践中，为应诉需要主动向境外司法执法机构提供证据的案件为数不少，这种情况要逐案审批，还要商其他部委，司法部的工作量预计会迎来井喷。此外，根据试行规定，如果企业有行政或者行业主管部门，主动向外国提供证据要拿到这些部门的“意见”并提交司法部。例如，对互联网企业来说，这可能涉及网信办、工信部、市场监管总局等多个部门，实践中怎么才能拿到这些部门对证据出境的意见，这些部门是否方便出具这类“意见”，是否会因惧怕承担责任而慎于出具“意见”，似乎还不太清晰。
试行规定也会对我国企业应对境外诉讼中的证据开示程序产生影响。刑司法出台以来，中国企业经常以第4条作为阻断条款，根据美国司法实践承认的“国际礼让”规则，挑战美国法院的证据开示程序。根据“国际礼让”规则，如果外国企业为了遵守美国法律不得不触犯外国法律，并且因此会被外国严厉处罚，出于公平和礼让外国的考虑，企业可以豁免美国法律的义务。美国最高法院也确立了考量是否支持这种抗辩的几个因素，包括相关企业和美国的联系、不提供数据对美国的危害、提供了数据对外国的危害、不提供数据企业会遭受外国处罚的严厉程度等。
2017 年12 月，一家香港公司涉嫌违反美国朝鲜制裁法受到美检方调查，检方手持美国哥伦比亚地区法院签发的传票，要求三家中资银行的在美分支机构提供该香港公司与一家朝鲜国有企业之间的银行交易记录。三家中国在美银行就曾拿出《国际刑事司法协助法》第4条，主张“国际礼让”的适用。阿里在一起美国政府调查中国淘宝店主贩卖假货的案件中，也以中国相关法律为由拒绝向美国提供淘宝店主的银行账户等信息。刑司法提供了一个中国企业可以主张“国际礼让”的法律依据，但缺点在于没有设置罚则，导致美国法院认为中国企业即便违反刑司法向美国提供了数据也不会遭受实际处罚，从而不支持抗辩。但该问题因数安法和个保法设置的明确罚则实际上可以得到一定缓解。
但刑事证据出境安全审查机制的设立，似乎是对我国司法主权和数据主权的一次“软化”。以前，刑司法第4及后来的个保法、数安法相关条款的题中之义是：外国司法执法机构就不应该直接找中国境内个人和组织调取数据，而是要走司法协助或者外交途径，这一硬性的理解创造了一种中美法律冲突的状态，实际是有利于上述“国际礼让”分析的。但试行办法规定，这种情况下境内个人和组织可以先报告司法部，司法部与机制成员单位会商，认为“需要”外国提出刑事司法协助请求的，由司法部向外国提出要求。这似乎隐含着另外一层意思：这种外国直接向我国境内个人或组织直接调取数据的情况，在试行规定出台后，在一些情况下将是被允许的，可以不用走刑事司法协助机制。外国政府和法院如对试行办法产生了这种理解，对我国企业援引“国际礼让”应对境外诉讼中的外国证据开示要求，可能不是很有利。
