企业向外国政府机关提供公司商业信息的法律风险和操作建议（上、下）

蔡逸奇

随着境外投资和跨境交易的日益频繁，中国企业因与国外的诉讼案件有关而被外国政府机关要求提供公司商业信息以配合调查的案例也开始屡见不鲜。为满足调查需要，外国政府机关所要求企业收集和提供的公司商业信息一般会包括与案件可能有关的电子邮件、客户信息以及订单、合同、发票、支付凭证、会计帐册等相关交易记录和数据。大多数中国企业考虑到日后在该国的业务发展，一般都会选择积极配合调查，根据外国政府机构的要求收集并提供相关的公司商业信息；在此过程中，信息的收集和传递方式、信息内容的尺度以及中国法律法规的遵守，便成为企业需要特别关注的问题。

本文将结合中国相关法律法规，就在为配合国外的诉讼调查而向外国政府机关提供公司商业信息的过程中可能涉及的关于泄露国家涉密信息、违反商业信息保密义务、侵犯个人隐私这三方面的法律风险进行阐述和提示，并提供相关操作建议。

一、 泄露国家涉密信息

（一） 法律风险

1、泄露国家秘密

根据《中华人民共和国保守国家秘密法》的规定，涉及国家安全和利益的事项，泄露后可能损害国家在政治、经济、国防、外交等领域的安全和利益的信息，应当被确定为国家秘密。然而，相关法律法规对于“损害”却没有具体解释，且对于可能被确定为国家秘密的信息的形式也没有明确定义。理论上来说，任何泄露后可能对国家政治、经济、国防、外交等领域造成损害的信息均有可能在经国家保密行政管理部门确定后成为国家秘密。同时，涉密信息的持有人并不局限于国家事业单位或国有企业；没有国资的普通民营企业也有可能通过与政府部门、公共机构或国有企业的商业往来，以及参与政府资助项目等途径而获悉涉密信息，甚至企业开发的对国家有重大意义的关键技术也可能被认定为国家秘密。另外，国家秘密的界定中政府当局的自由裁量权也增加了企业在提供商业信息时关于泄露国家秘密的风险。

根据《中华人民共和国保守国家秘密法》，通过普通邮政、快递等无保密措施的渠道传递国家秘密载体、在互联网及其他公共信息网络或者未采取保密措施的有线和无线通信中传递国家秘密、在未采取防护措施的情况下在涉密信息系统与互联网及其他公共信息网络之间进行信息交换等行为均属于违反《国家秘密法》的违法行为，可能被处以行政处罚，甚至追究刑事责任。

因此，如企业与政府或公共机构存在关联关系、资助关系或商业往来，或者企业所从事的业务涉及国家关键技术或将被用于军事等敏感领域的技术的，其所持有的公司商业信息中可能存在将被认定国家秘密的信息。在向外国政府机构提供公司商业信息时，如在未能将该些可能被认定为国家秘密的信息删除，或者未得到有关保密行政管理部门批准并采取保密防护措施的，企业将面临泄露国家秘密的法律风险，被要求承担相关行政甚至刑事责任。

2、违法传递档案

根据《中华人民共和国档案法》及《中华人民共和国档案法实施办法》规定，过去和现在的国家机构、社会组织以及个人从事政治、军事、经济、科学、技术、文化、宗教等活动直接形成的对国家和社会有保存价值的各种文字、图表、声像等不同形式的历史记录，均属于受法律保护的档案。属于集体所有、个人所有的对国家和社会具有保存价值的或者应当保密的档案及其复制件，企业事业和个人需要携带、运输或者邮寄出境的，必须经相应的人民政府档案行政管理部门审查批准，海关凭批准文件查验放行，否则被处以行政处罚，甚至追究刑事责任。由上述条款的表述可见，需要经审批方可传递出境的档案的范围相当广泛，且定义更为模糊，甚至更胜于国家秘密——除了应当保密的历史记录外，还可能包括所有对国家和社会有保存价值的各种形式的历史纪录。

因此，企业如从事与政治、军事、经济、科学、技术等领域相关的对国家或社会有重要影响的业务活动的，其所拥有的信息数据记录（包括交易合同、财务数据、来往函件等）中就可能会包含对国家有保存价值或应当保密的档案。在向外国政府机关提供公司商业信息时，如未能将上述商业信息记录删除，或者未经相关档案管理部门批准而私自将上述商业信息记录及其复制件通过各种方式传递出境的，企业将面临违法传递档案的法律风险，被要求承担相关行政甚至刑事责任。

（二） 操作建议

泄露国家秘密或者违法传递受保护的档案可能导致企业受到行政甚至刑事处罚，违法后果较严重，因此企业在收集和整理拟向外国政府机关提供的公司商业信息时，应当首先关注对于可能涉密信息的处理。

企业应当对已经被依法确定为国家秘密的文件、信息、数据等进行整理，将其排除在拟提供信息的范围之外。考虑到国家秘密的法定范围和界限较为模糊，除了上述已经被认定为国家秘密的信息外，企业还应当根据自身业务特点，参考相关领域国家部委已经发布的、关于工作中国家秘密及其密级具体范围的说明（如有），通过设置关键词搜索等方式，锁定隐藏在公司商业信息中的、可能应当保密的信息。在确定相关信息是否涉密的过程中，企业应当始终保持谨慎的态度；对于认为有明显泄密风险的信息，应当主动与相关保密行政管理部门或者档案管理部门沟通，有必要的情况下可以要求相关部门对该些信息定密，或者出具书面意见，从而得以据此向外国政府机关解释无法提供相关信息的理由。

二、 违反商业信息保密义务

（一） 法律风险

根据《中华人民共和国反不争当竞争法》、《国家工商行政管理局关于禁止侵犯商业秘密行为的若干规定》等规定，企业不得违反约定或者违反权利人有关保守商业秘密的要求，披露、使用或者允许他人使用其所掌握的商业秘密，包括不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利人采取保密措施的设计、程序、产品配方、制作工艺、制作方法、管理诀窍、客户名单、货源情报、产销策略、招投标中的标底及标书内容等技术信息和经营信息。工商部门有权根据情节对上述违法披露商业秘密的行为处以一万元以上二十万元以下的罚款。另外，如企业与客户公司间存在关于该些信息的保密条款或保密合同，且在合同中对于应当保密的信息范围进行了约定的，企业对该些信息也负有保密义务，未经客户公司同意向第三方披露保密信息的，将根据合同约定承担违约责任。

因此，企业如通过与交易往来而获悉客户公司的商业秘密或者其他根据双方约定应当保密的信息的，应当依法承担保密义务，未经客户公司同意不得对外披露。在向外国政府机关提供公司商业信息时，如未能将上述保密信息删除，或者未事先获得客户公司谅解和同意的，企业将面临违反商业信息保密义务的法律风险，被要求承担相关民事和行政责任。

（二） 操作建议

企业应当对属于调查范围内的相关交易中与客户签订的合同内容和履行情况进行梳理，以确定是否存在保密义务以及保密信息的范围。

实践中，标准的保密合同或保密条款中一般都会约定，保密信息接收方根据政府部门的要求提供保密信息不属于违约行为。实践中，外国政府机关不仅可能直接通过签发正式的提交书面文件传票（subpoena duces tecum）来要求企业提供相关商业信息，对于一些处于前期调查阶段的案件，还可能通过非正式途径要求企业配合、协助调查。因此，企业在收到外国政府机关正式传票或其他正式调查指令的情况下，可以根据上述条款直接对外提供客户的保密信息，但应当在提供后及时通知客户。但如果外国政府机关并未通过正式途径要求企业配合调查的，上述条款将无法适用，企业应当将客户的保密信息从拟提交的公司商业信息中排除；如根据调查要求认为确实有提供的必要的，企业应当与客户联系，在取得其事先谅解和书面许可后方向外国政府机关披露相关信息。

另外，需要注意的是，标准的保密合同或保密条款中可能会将应当保密的信息约定为与相关交易有关的所有信息，因此，除了产品工艺、制造流程、设计、技术等外，合同内容本身以及与客户之间的信函、传真、电子邮件等都有可能属于保密信息的范围之内，企业对此应当特别留意，以免日后被要求承担违约责任。

三、 侵犯个人隐私

（一） 法律风险

尽管中国目前尚未颁发关于个人信息保护的单行法，但对于个人信息保护的规定早已散见于《民法通则》、《刑法》、《消费者权益保护法》等法律、行政法规和地方规章之中，尤其2012年12月底全国人大常委颁布并实施的《全国人民代表大会常务委员会关于加强网络信息保护的决定》以及将于2014年3月起实施的《消费者权益保护法》更是对个人信息的保护中经营者的法定义务做出了具体规定。

1、 侵犯客户隐私

根据即将实施的新《消费者权益保护法》，消费者的隐私权等个人信息属于应当受到保护的权利。企业对收集到的消费者个人信息应当严格保密，不得泄露或非法向他人提供；侵犯消费者隐私权的，除承担相应的民事责任外，还可能根据相关法律法规规定，被处以包括警告、罚款等行政处罚。尽管《消费者权益保护法》并未对“个人信息”的范围进行明确界定，但根据如《上海市消费者权益保护条例》等地方性消费者保护法规，个人信息应当包括消费者的姓名、性别、职业、学历、联系方式、婚姻状况、收入和财产状况、指纹、血型、病史等与消费者个人及其家庭密切相关的信息。

因此，如企业与为生活消费需要购买、使用商品或者接受服务的自然人客户存在交易往来，且在交易过程中掌握或者收集到包括客户姓名、联系方式等在内的个人信息的，对于该些个人信息应当严格保密，不得擅自向第三方披露。在向外国政府机关提供公司商业信息时，如未能将上述客户个人信息删除，或者未能事先获得客户同意的，企业将面临侵犯客户隐私的法律风险，被要求承担相关民事和行政责任。

2、 侵犯员工隐私

根据《就业服务与就业管理规定》，用人单位应当对劳动者的个人资料予以保密。公开劳动者的个人资料信息，须经劳动者本人书面同意。同时，根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》能够识别公民个人身份和涉及公民个人隐私的电子信息依法应当受到保护。对于在业务活动中收集到的公民个人电子信息，企业事业单位必须严格保密，不得泄露或者非法向他人提供，否则除了承担侵犯隐私权的民事责任外，还可能被处以警告、罚款、没收违法所得等行政处罚。另外，企业在业务活动中收集、使用公民个人电子信息的，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并征得被收集者同意，根据法律、法规的规定和双方的约定收集、使用信息，同时公开其收集、使用规则。

由于企业的具体商业活动均通过员工处理完成，在为配合调查收集相关公司商业信息时往往需要在员工个人或公司电脑中收集员工的电子邮件、电脑存档信息等数据信息。根据上述法律法规可见，尽管企业对员工的工作内容和相关信息数据享有监督、审查和使用的权利，但如果涉及员工个人身份和隐私的电子信息也包含在与工作有关的信息数据中的，则对于该部分员工个人电子信息，企业仍然应当予以严格保密。同时，在收集可能涉及员工个人电子信息的信息数据时，还应当根据法律规定征得员工同意，并且明示收集、使用信息的目的、方式和范围。

因此，在为向外国政府机关提供公司商业信息而向收集、使用、传输公司员工个人电子邮件等数据信息时，如未采取符合法律规定的收集方式，或者未征得员工同意使用员工个人信息的，企业将面临侵犯员工隐私的法律风险，被要求承担相关民事和行政责任。

（二） 操作建议

在向外国政府机关提供公司商业信息的过程中，如需要锁定员工工作电脑，收集员工工作电子邮件等的，由于可能涉及对员工个人信息的收集和使用，因此在进行该些工作前应当根据法律规定履行告知义务，并征得员工的同意。实践中，企业可以采取要求员工签署确认函的形式；确认函的内容应当包括员工对收集、使用信息的目的、方式和范围，以及收集、使用规则已完全理解并知悉，并同意企业根据需要对外披露相关个人信息。

在整理拟提交的公司商业信息时，企业应当将涉及员工或客户的个人信息部分排除，或者对相关信息进行编辑以隐去与调查无关的个人信息（如姓名、性别、职业、学历、联系方式等）。对于无法排除或编辑且确有提供必要的个人信息，企业应当在向外国政府机关提供前征得相关个人的书面同意。

四、 其他风险和建议

在向外国政府机关提交公司商业信息的过程中，除了可能面临泄露国家涉密信息、违反商业信息保密义务、侵犯个人隐私的法律风险外，由于公司商业信息中往往包含企业自身的重要技术秘密和信息，因此还存在商业秘密外泄的风险。对此，企业应当根据调查形式的不同，权衡好配合程度和自身商业秘密保护之间的关系，以决定是否有必要提供相关信息。

另外，在决定所提供的信息内容时，还应当考虑到该些信息是否会在已经启动或可能启动的国外案件中对自身造成不利影响。在涉及国外刑事案件或者影响较大的民事案件时，企业可以考虑委托该国当地的律师，结合案件的要点和发展态势，对企业所提供的信息内容进行风险提示和建议，避免企业提供日后可能对自身不利的信息。

对于属于调查范围内的公司商业信息，如企业经过风险分析后认为不宜提供的，为应对外国政府机关关于配合调查的要求，企业可以考虑委托中国律师，由其根据该些信息的性质结合中国法律提供专业意见，并形成法律意见书提供给外国政府机关，以就无法提供该些信息的原因做出合理解释。