氢原子百科 《网络犯罪公约》（英文名：《Cyber-crime Convention》；别名：《布达佩斯网络犯罪公约》[1]），是2001年由欧洲委员会牵头、欧盟26个成员国以及美国、加拿大、日本和南非等30个国家签订的打击网络犯罪的国际公约。[3][5]
《网络犯罪公约》于2004年7月1日正式生效。[4]2006年起，网络犯罪项目办公室在全球与区域层面推动《网络犯罪公约》的实施、立法协调以及帮助有关国家达到《网络犯罪公约》的通用标准，截至2013年间，完成了三个阶段的全球计划。2014年至2019年，实施的“八爪鱼(Octopus)”计划以12至18个月为一个周期，该计划是促进80多个国家、国际组织以及私人部门、学术界专家交流的平台，这一平台的工作重点主要在于帮助世界各国了解并实施《网络犯罪公约》。[2]2021年5月，第75届联合国大会通过关于打击网络犯罪公约谈判安排的决议，确定公约谈判于2022年1月正式启动。[6]
《网络犯罪公约》是世界上第一部针对网络犯罪行为制订的国际公约，旨在建立一个统一协调的区域性打击网络犯罪的合作框架，它是打击网络犯罪全球化合作机制的首次尝试。[3][7]
签订背景
自20世纪80年代以来，网络犯罪问题逐步在世界引起重视，欧洲委员会多次组织起草旨在打击网络犯罪的统一立法与协助框架公约。[2]
历史沿革
2001年11月8日，欧洲委员会部长委员会正式批准《网络犯罪公约》，同时还通过了《网络犯罪公约》的解释报告，并于11月23日在匈牙利布达佩斯召开成员国大会，将《网络犯罪公约》提交给各成员国及观察员国签署。当天有31个国家签署了《网络犯罪公约》，包括27个欧洲委员会成员国以及4个观察员国。[2]2004年，《网络犯罪公约》第32条b款就授权执法机构采取属人主义收集境外数据，前提是相应行为获得了拥有法定权限、通过计算机系统向取证方披露数据的个体合法且自愿的同意。[8]同年7月1日，《网络犯罪公约》正式生效。[4]
从2006年开始，网络犯罪项目办公室在全球与区域层面推动《网络犯罪公约》的实施、立法协调以及帮助有关国家达到《网络犯罪公约》的通用标准。在全球层面，2006年至2013年间，已经完成三个阶段的全球计划。2014年至2019年，“八爪鱼(Octopus)”计划以12至18个月为一个周期，是促进80多个国家、国际组织以及私人部门、学术界专家交流的平台，且每一次会议都有一个关注点与新近的网络犯罪事项相关，这一平台近期的工作重点主要在于帮助世界各国了解并实施《网络犯罪公约》。[2]
2021年，《网络犯罪公约》第二附加议定书（草案）第6条、第7条是关于执法机构与网络服务提供者“直接合作”的条款，该草案第6条允许某一缔约方当局向在另一缔约方境内提供域名服务的机构直接调取域名注册信息，草案第7条允许某一缔约方当局向另一缔约方境内的服务提供者直接调取用户信息。[8]同年5月，第75届联合国大会通过关于打击网络犯罪公约谈判安排的决议，确定公约谈判将于2022年1月正式启动。[6]
全新定义
《网络犯罪公约》对网络犯罪作出了全新的定义，即网络犯罪是指“危害计算机系统、网络和计算机数据的机密性、完整性和可用性，以及对这些计算机系统、网络和计算机数据进行滥用的行为”，《网络犯罪公约》下的网络犯罪囊括了利用计算机信息系统窃取虚拟财产并出售的行为。[3]
网络服务提供者认定
《网络犯罪公约》第一条第三款将网络服务提供者分为两类，一是向网络用户提供通过计算机系统进行通信服务的任何公私实体，二是带此种通信服务或网络用户处理或存储计算机数据的任何其他实体。《网络犯罪公约》所界定的网络服务提供者仅指网络中介服务提供者，而网络信息内容提供者则作为一般主体，不对其刑事责任及刑事协助义务加以特殊规定。此种划分方式，有助于明确网络服务提供者的技术中立地位，并可以其能力范围内适当的司法协助义务。[4]
数据保全义务
《网络犯罪公约》第十六条规定了已存计算机数据的快速保全制度。该条第一款规定，各缔约国应通过立法等措施，使主管机关能对包含通信数据在内的指定计算机数据施以快速保全，其中易遭毁损丢失的计算机数据应予以重点考虑。《网络犯罪公约》第十六条规定的数据保护义务的义务人为一般主体，在数据保护义务的承担上与用户个人等其他主体没有区别。[4]
《网络犯罪公约》第十七条、第二十一条另就流量数据（trafficdata）予以特别规定。根据《网络犯罪公约》第一条第四款，流量数据指在一系列通信中，能表明通信来源、目的地、路径、时间、日期、规模、持续时间及基础服务类型的数据。区别于《网络犯罪公约》第十六条规定的能作为直接证据的普通计算机数据，流量数据容量较小且包含信息有限，通常不能作为直接证成犯罪事实的证明材料。但流量数据包含能描述犯罪行为发生地、发生时间等系列通信表征特性的关键信息，常能辅助侦查机关判断犯罪行为的性质及规模，并可作为线索为刑事侦查指明方向，或作为间接证据补充直接证据的证明力，进而形成完整的证据链条。[4]
《网络犯罪公约》第十七条特别强调了网络服务提供者的流量数据快速保全义务。该条第一款规定，缔约国应通过立法等措施，确保流量数据快速保全的实现，无论是否有多个网络服务提供者参与通信传输，同时该条第二款规定，应确保网络服务提供者迅速向主管当局或主管当局指定人员披露流量数据，使得主管当局能够识别网络服务提供商及通信传输途径。《网络犯罪公约》第十七条意在保全流量数据的完整性，同时避免部分网络服务提供者向其他同业者推卸流量数据快速保全义务。[4]
数据实时收集义务
《网络犯罪公约》第二十条、第二十一条分别规定了网络服务提供者对流量数据和内容数据的数据实时收集义务。《网络犯罪公约》第二十条规定，缔约国应通过立法等措施，迫使网络服务提供者在其技术能力范围内自行或协助主管机关实时收集与指定通信相关的流量数据。《网络犯罪公约》第二十一条对内容数据收集的规定与第二十条大体相同，但其适用范围被限制在涉嫌严重违反缔约国国内法的刑事调查中。此外，《网络犯罪公约》第二十条第一款第二项、第二十一条第一款第二项虽规定流量数据与内容数据的收集均应当针对指定通信作出，但在数据收集实时性的要求下，网络服务提供者只有不加事先审查即对一定范围内的大量数据作无差别主动保存，才有可能做进一步筛查、分析，不加遗漏地完整收集刑事程序所需要的全部数据信息。《网络犯罪公约》第二十条第一款第二项规定，网络服务提供者的数据实时收集义务以其现有技术能力所能达到者为限，换而言之，网络服务提供者有权以技术能力不足为由拒绝履行数据实时收集义务。[4]
用户信息披露义务
网络服务提供者的用户信息披露义务规定于《网络犯罪公约》第十八条第一款第二项，缔约国应通过立法等措施，使主管机关有权命令网络服务提供者提交其用户的相关信息。根据同条第三款，用户信息指网络服务提供者掌握的能反映用户使用的通信服务类型、技术要求、服务时间、用户身份、邮政或地理地址、通信电话、账单付款信息以及在通信设备安装时根据服务协议获得的其他信息，但该信息属于通信数据和内容数据的除外。根据《网络犯罪公约》第十四条第二款及第十八条第二款，网络服务提供者的用户信息披露义务应当符合《网络犯罪公约》确立的刑事程序一般规则，其所披露的用户信息应当与《网络犯罪公约》确定的类型化网络犯罪、以使用计算机系统为犯罪手段的其他犯罪以及一般刑事犯罪的电子数据证据收集紧密相关。[4]
保密义务
网络服务提供者的保密义务散见于《网络犯罪公约》第二章各处。《网络犯罪公约》第十五条建立了网络犯罪刑事程序中的公民权利保护原则，缔约国应确保其国内法能对刑事程序中的人权及自由提供充分的保护措施，该条第三款另强调缔约国应当注意刑事程序对第三方权利、责任及合法利益的影响。此外，根据《网络犯罪公约》第十六条第三款、第二十条第三款、第二十一条第三款，缔约国应通过立法等措施责成网络服务提供者在履行数据保全义务、数据实时收集义务时对任何相关信息保密。[4]
判断标准
《网络犯罪公约》仅采用概念描述的方式界定网络服务提供者。这种判断标准虽正确描述了网络服务提供者通过计算机系统向用户提供通信服务或为用户存储处理数据的主要特征，但仍显聱牙抽象。[4]
缺少处罚
就网络犯罪刑事实体问题，公约规定了包含非法访问、非法截获、数据干扰、系统干扰、设备滥用等直接攻击计算机数据及系统保密性、完整性及可用性的犯罪以及与利用计算机实施的伪造、诈骗、传播色情、侵害知识产权等犯罪，《网络犯罪公约》附加议定书另规定了利用计算机传播种族主义、排外主义的犯罪。《网络犯罪公约》的规定已涵盖主要的网络犯罪类型，但对网络服务提供者的违法行为缺少应有评价。[4]
监管义务
《网络犯罪公约》项下的数项司法协助义务中网络服务提供者均处于被动地位，其数据保全等义务的成立均以主管机关指明特定数据为先决条件，至于网络服务提供者对可疑数据自行审查处理的权利及义务，《网络犯罪公约》没有予以明确规定。考虑到《网络犯罪公约》第十五条规定的公民权利保护原则，网络服务提供者不应自行审查处理可疑数据，否则有侵害公民隐私权之嫌。尽管《网络犯罪公约》第二十、二十一条规定的数据收集义务在一定程度上赋予了网络服务提供者主动收集数据的权利，但原则上其数据收集应当与主管机关所指定的通信信息相关联，否则不具有合法性。同时《网络犯罪公约》第二十一条第二项又以网络服务提供者的技术为限，进一步缩小了数据收集义务的范围，赋予了网络服务提供者拒绝履行数据收集义务的抗辩权。[4]
利益保护
《网络犯罪公约》多处体现了倾向于网络用户权益保护的价值取向。除网络服务提供者应当履行保密义务，不得侵犯网络用户含隐私权在内的合法权益外，《网络犯罪公约》另对网络服务提供者的刑事协助义务作出系列限制性规定。在用户信息披露义务中，网络服务提供者仅需以其实际掌握的用户信息为限，向主管机关披露用户信息，《网络犯罪公约》并未要求网络服务提供者对用户信息在提交时作真实性审查，亦未要求网络服务提供者补充收集额外的身份信息。在数据实时收集义务中，《网络犯罪公约》规定内容数据的收集应当被限制在较严重的刑事犯罪调查中，换而言之，在仅涉嫌轻微违法的刑事犯罪调查中不应使用内容数据收集。[4]
缔约成员
| 欧洲委员会成员国 | 观察员国 |
|---|---|
| 阿尔巴尼亚、亚美尼亚、奥地利、比利时、保加利亚、克罗地亚、塞浦路斯、爱沙尼亚、芬兰、法国、德国、希腊、匈牙利、冰岛、意大利、荷兰、挪威、波兰、葡萄牙、摩尔多瓦、罗马尼亚、西班牙、瑞典、瑞士、马其顿、乌克兰、英国 | 加拿大、日本、南非、美国 |
以上内容来源：[2]
主要意义
《网络犯罪公约》是世界上第一部针对网络犯罪行为制订的国际公约，旨在建立一个统一协调的区域性打击网络犯罪的合作框架，它是打击网络犯罪全球化合作机制的首次尝试。[3][7]
《网络犯罪公约》对公私合作内容的规定是颇具前瞻性的，对于促进国际社会在打击网络犯罪中的相互合作与协助，共同应对网络犯罪威胁具有重要意义。[7]
相关启示
通过立法保障网络安全已成为全球各国的共识，中国的网络安全法应当立足全球视野，全面覆盖“国际法层面”“国家安全层面”“社会安全层面”和“企业个人安全层面”的网络安全内容。在国际法层面，包括国家网络主权、国际条约适用等，可参考欧洲理事会《网络犯罪公约》等，成立网络安全保障机构，为政府网络安全项目提供战略指引，以此来增进国家对于网络空间和信息安全的保障。此外，适应信息技术的发展和恐怖主义新态势的出现，时隔相应周期则更新出台新的“国家安全战略”，为新形势下的国家、政府、社会和个人网络安全提供战略指导。[9]
相关事件
2023年8月，时任美国南方司令部司令理查德森在访问哥斯达黎加期间，针对华为是否“适合”参与该国5G提出质疑。不久后，时任哥斯达黎加总统查韦斯签署了一项法令，规定禁止来自未加入《网络犯罪公约》国家的公司参与哥斯达黎加的5G建设。该禁令适用于中国、韩国、俄罗斯以及巴西等国的科技公司。[10]
2024年8月，联合国打击网络犯罪公约特设委员会一致投票通过了《联合国打击网络犯罪公约》，该公约是首个联合国框架下打击网络犯罪的全球性公约，最终通过的会议附加会议案文（A/AC.291/22/Rev.3）的“刑事定罪”部分共包括15个条文，全面规定了网络犯罪行为（第7条至第17条）、法人责任（第18条）、参与和未遂（第19条）、追诉时效（第20条）以及起诉、审判和制裁（第21条），对确立网络犯罪治理的国际标准与合作机制具有重大意义。[11]
2024年11月6日，韩国国务调整室在中央政府首尔办公楼同相关部门联合发布加强深伪性犯罪应对方案。具体来看，政府拟修改《关于处罚性暴力犯罪的特例法》，将卧底侦查范围从针对儿童和青少年的非法深伪影像犯罪扩至针对成年人的犯罪，并没收和追缴涉深伪性犯罪非法所得。为了保护受害者，政府还将推进修改《电气通信事业法》，要求广电审议部门先对疑似深伪淫秽视频采取屏蔽措施，再进行审议。此外，韩政府计划加入《布达佩斯网络犯罪公约》，与全球76个国家构建国际合作体系，加强平台运营商涉青少年保护的义务和责任。[12]
参考资料 12
- 【国别研究】复杂的中间地带：海湾阿拉伯国家在网络安全规范之争中的立场与动因 — 上外中东研究所
- 网络型侵犯财产犯罪的定性分析 — 鄢陵县人民法院
- 打击网络犯罪和网络恐怖主义国际合作论坛 加强国际合作 应对网络犯罪 — 中国网信网
- 联合国大会通过关于打击网络犯罪公约谈判安排的决议，外交部回应 — 北京商报
- 江溯：论网络犯罪治理的公私合作模式 | 经济刑法 — 上海社会科学院法学研究所
- 跨境电子取证的中国应对 — 国家检察官学院学报
- 国外网络安全立法对我国的启示 — 中国网信网
- 哥斯达黎加总统污蔑华为，我使馆强烈驳斥 — 澎湃新闻
- 《联合国打击网络犯罪公约》“刑事定罪”部分的缺憾与展望 — 《中国信息安全》杂志2024年第8期
- 韩国政府拟修法加大深伪性侵犯罪打击力度 — 界面新闻