文／劉俊宏（海基會臺商財經法律顧問、鼎道國際法律事務所律師）

與貿易進出口密切相關的商用密碼管理

2023年8月下旬，美國商務部部長吉娜·雷蒙多（Gina Marie Raimondo）女士訪問中國大陸，並就雙邊貿易問題與中國大陸政府開展會談。中國大陸籲請美國降低對可能有軍事用途之科技技術及相關產品的「出口管制」，但遭雷蒙多斷然拒絕，雷蒙多並稱涉及國家安全的問題沒有談判或妥協的空間。
「出口管制」係近年來常聽到的詞彙，其目的係在於避免貨品、服務及關鍵技術流出境外，避免外國或其國民藉由投資，取得本國的關鍵產品或技術，換言之，「出口管制」可以說是「貿易壁壘」的代名詞。近年來，隨著美中貿易戰乃至於科技戰的全面爆發，以及新冠疫情下對供應鏈安全的震撼，世界各國處於「經濟相互依賴」與「經濟安全」的十字路口上，兩者之間的抉擇成為了國際貿易上的重要議題。至此，「出口管制」頓時之間又成為顯學。
國際情勢詭譎多變，中國大陸1999年頒行之《商用密碼管理條例》雖作為對外貿易法律制度的特別法，但其內容顯已不足以應付時代變遷之需要；復加以自2020年1月1日《密碼法》施行以來，對商用密碼的管理政策已作出調整。爰中國大陸國務院於2023年4月14日第4次常務會議修訂通過《商用密碼管理條例》，並自2023年7月1日施行。總體而言，新修訂之《商用密碼管理條例》係在《密碼法》第28條所確立的「以貿易自由為原則，以進口許可與出口管制為例外」的基礎上，為商用密碼的檢測認證、進出口管理提供明確的指引。有鑑於商用密碼已普遍運用於生活中各個角落，並在工業生產、基礎設施、信息通信、金融支付及政府服務等各領域發揮著不可替代的作用，且《商用密碼管理條例》係更貼近實務操作層面之行政法規，故臺商對本次《商用密碼管理條例》的修訂內容，有進一步認識之必要。

商用密碼係指「cryptography」（密碼技術的使用），並非「password」（通行碼）

根據《商用密碼管理條例》第2條規定：「本條例所稱商用密碼，是指採用特定變換的方法對不屬於國家秘密的信息等進行加密保護、安全認證的技術、產品和服務。」換言之，「商用密碼」係對於不涉及國家秘密內容之電子資訊進行加密保護，或安全認證該資訊未受竄改之技術、產品和服務，絕非可望文生義即謂其係日常生活中提款或登入網站時所輸入之通行碼。
商用密碼產品按功能區分可劃分為七類，包括「密碼演算法類」、「資料加解密類」、「認證鑒別類」、「證書管理類」、「金鑰管理類」、「密碼防偽類」及「綜合類」。以運用較為廣泛且較為大眾孰悉「電子合同」為例，電子合同所運用的電子印章系統就是商用密碼產品的一種。
根據「中國裁判文書網」初步檢索之結果，截至2020年底，中國大陸各級法院因涉及《電子簽名法》所裁判之民事合同糾紛類案件總計有23,202件，涵蓋範圍遍及30個省、市及自治區。足見商業密碼產品與中國大陸各行各業的發展，息息相關且密不可分。

放寬對商用密碼的審批

過去商用密碼技術被認定屬於國家秘密，由國家實行專控管理，對於商用密碼產品的科研、生產、銷售與使用，一律需要取得相關許可證書（修訂前《商用密碼管理條例》第3條、第7條、第8條及第11條之規定）。此處所指的證書係指「商用密碼產品生產定點單位證書」、「商用密碼產品銷售許可證」及「商用密碼產品型號證書」，即俗稱「商密三證」。其中，前兩者係屬於「管企業」的許可，最後者則是「管產品」的許可。
2017年9月29日，國務院發布《關於取消一批行政許可事項的決定》（國發〔2017〕46 號），除取消「商密三證」中屬於「管企業」的兩項許可外，亦同時取消外商投資企業使用境外密碼產品審批、境外組織和個人在華使用密碼產品或者含有密碼技術的設備審批等行政許可事項。
2017年12月1日，國家密碼管理局發布《關於廢止和修改部分管理規定的決定》（第32號公告），對《商用密碼產品銷售管理規定》、《商用密碼產品使用管理規定》及《境外組織和個人在華使用密碼產品管理辦法》三部管理規定予以廢止，對《商用密碼科研管理規定》、《商用密碼產品生產管理規定》和《電子認證服務密碼管理辦法》三部管理規定的部分條款予以修訂。
2019年12月30日，為因應《密碼法》的施行，國家密碼管理局及市場監管總局聯合發布《關於調整商用密碼產品管理方式的公告》（第39號文），其內容指出，自2020年1月1日起停止發放「商用密碼產品型號證書」，已發放者自2020年7月1日起自動失效；持證單位可於2020年6月30日前，憑仍在效期內的證書，自願申請轉換國推商用密碼產品認證證書。
本次《商用密碼管理條例》之修訂，係賡續前述放寬市場准入的精神，明確刪去過往全面對商用密碼企業及產品進行繁複審批與許可之要求，改以「檢測認證」的手段對「特定」商用密碼產品進行監管，其欲藉由市場的開放以達激發市場活力之目的，是不言可喻。

以進出口管制取代許可制

然而，應當注意到，上述一系列行政審批的取消並非意味著中國大陸對於商用密碼的應用已改採完全放開的態度。相反地，監管的重點已經從「企業」轉向「產品」，管理方式從「事前的審批」轉側重於「事中事後的監管」。換言之，並非放棄監管，而係使監管目標得以精準、明確。
以進出口為例，根據《商用密碼管理條例》第20條及第31條規定，舉凡涉及國家安全或公共利益等之商用密碼，須列入「網絡關鍵設備」及「網絡安全專用產品目錄」，並實施「進口許可」及「出口管制」；「進口許可清單」及「出口管制清單」之內容則授權由國務院商務主管部門會同國家密碼管理部門和海關總署制定並公布。
另根據商務部、國家密碼管理局、海關總署於2021年1月8日所聯合發布之2020年63號《關於發布商用密碼進口許可清單、出口管制清單和相關管理措施的公告》（簡稱《2020年第63號公告》）之規定：（一）企業或團體即便係進口《商用密碼進口許可清單》所列物項和技術，仍負有向商務部申請辦理兩用物項和技術進口許可證之義務；（二）進口商並應當在進口密碼產品時披露進口密碼產品的最終使用者和最終用途；（三）進口後，密碼產品只能供進口申請人自用而不能任意轉讓。
換言之，中國大陸雖揮別以全面事前許可制管制商業密碼的時代，但一方面鼓勵發展商用密碼，另一方面則對於涉及國家安全或公共利益等商用密碼仍採取事後事中監管的態度。這種徘徊在鬆綁與管制之間的政策抉擇，除充分體現了中國大陸於2013年提出的「放管服」（簡政放權、加強監管、優化服務）經濟改革政策之外，亦不難看出商用密碼在中國大陸整體戰略布局上的重要性，在可預見的未來實無鬆綁的可能。

與外商投資審查之關係

近年來，隨著中國大陸證券監督管理委員會對新股發行進行註冊制改革，創新、創業企業發行上市的門檻越來越低。根據哈佛大學商學院Fritz Foley 教授和Ｒobin Greenwood教授對34個國家、共2,700家上市公司，在1995至2006年期間首次公開發行前後的所有權結構演變的研究顯示，在投資者保護機制較為完備的國家，公司首次公開發行後，更易出現大股東持股比例和所有權集中度下降的情況。倘將此研究結論運用在中國大陸資本市場改革的環境下，得出以下情況：科技創新企業股權融資門檻將大幅度地降低，造成首次公開募股的創新企業控制權分散，進而導致境外資本可僅憑藉著少量的持股即可實際影響企業的研發與生產決策。
這種由境外資本操控創新企業研發方向、能力及生產決策的發展情況，不為中國大陸政府所樂見。因此在鼓勵市場開放的前提之下，亦重視有效監管。本次《商用密碼管理條例》的修訂，雖然表面上僅係對細節性的行政法規內容進行改訂，且著重於技術層面，然而實際上係藉由對商用密碼產品的檢測認證及進出口管制等手段，集中強化監管之力度，防止重要關鍵創新技術的外流及滲入，進而搶占國際加密技術的主導地位。
由於當代中國大陸資本市場對於商業密碼產品的運用甚為廣泛，此舉除會造成企業經營成本的提升及商業機密外流風險的增加之外，對於企業整體研發能力的提升亦係重大的挑戰，臺商企業在中國大陸拓展業務時應甚為注意。

結語

當前全球正處於資訊迅速傳播的時代，部分商用密碼由於涉及國家安全、社會公共利益，因此受到中國大陸的嚴格管控。隨著《外商投資法》、《密碼法》、《2020年第63號公告》、《數據安全法》，以及近期所修訂通過《商用密碼管理條例》的實施，中國大陸將形成一套全新對於商業密碼的認證及進出口管理制度，臺商企業應持續關注未來執法動向，同時根據相關法規及時建立相應的內部合規管控體系，預防重大違法風險的發生。