本文内容根据西交苏州信息安全法学所副所长朱莉欣在“密码法实施两周年暨寰球密码法律政策发展动态高端座谈会”上的发言整理。
《瓦森纳协定》（Wassenaar Arrangement）又称《瓦森纳安排》，全称是《关于常规武器和两用物品及技术出口控制的瓦森纳协定》,目前有美国、日本、英国、俄罗斯等40多个成员国。《瓦森纳协定》规定，成员国自行决定发放敏感产品和技术的两用物品出口许可证，并且在自愿基础上向协定其他成员国通报有关信息。尽管如此，协定实际在很大程度上受美国操控，而且影响着成员国的出口管制规定，成为西方对我国实施高技术垄断的重要工具。密码作为“两用物项”也是协定的管制对象之一。《瓦森纳协定》定期审查和修改管制清单，对包括密码在内的全球两用物品出口管制制度产生深远影响。
一、《瓦森纳协定》修订推动出口管制规则改革
1．修订的主要内容
最近一次《瓦森纳协定》的修改始于2018年的成员国会议，会议最终结果于2019年公布，即《瓦森纳协定》的最新管制清单。清单修改的内容直接涉及密码技术，这部分规定体现在第五类第二部分，明确56位及以下的对称密码产品、所有512位及以下非对称密码产品和所有112位及以下子群密码产品出口自由。虽然修改后的《瓦森纳协定》放松了对加密保护知识产权产品的出口，但清单将管控延伸到加密涉及的硬件和软件，深刻影响到密码产品和服务所涉及的上下游技术和产业。
因此，考虑《瓦森纳协定》修改对密码出口制度的影响，不仅要看协定对密码技术和产品的直接管控，还必须看到协定对其他涉及密码的上下游技术和产业的管控。比较明确的是，协定的成员国依据《瓦森纳协定》新的管制清单纷纷修改本国两用物项出口管制规定，以使协定的修改融入本国法律体系并得到落实。深入研究《瓦森纳协定》修改对我国密码等高技术产品和服务的管控，必须全面观察协定修改引发的全球新一轮两用物项出口规定的修改。
2.对欧盟两用物项出口规定的影响
2019年《瓦森纳协定》最新修改颁布后，协定各成员国就开始对相关国内法进行配套性修改，甚至进行出口制度改革，欧盟及其成员国是典型代表。2020年，欧盟更新《欧盟两用物项出口管制条例》（EU dual use regulation）。2021年9月9日，《欧盟两用物项出口管制条例》(理事会条例第2021/821号，以下简称新条例)正式生效，取代此前欧盟两用物项出口管制主要法律文件《第428/2009号欧盟理事会规章》，成为欧盟两用物项管制制度的法律基础。新条例新增内容主要包括：（1）增加“网络监视物项”（cyber-surveillance items）及大规模杀伤性武器的关联物项为管制物项；（2）增加“技术援助”行为为管制行为，扩大和细化了“出口”定义及内容；（3）增加“技术援助提供者”为管制对象，并明确将管制对象“出口商”、“中间商”的范围扩大到外国主体并提出“内部合规计划”要求。
针对这些修改，西方学者认为：虽然新条例被认为是“以近乎最终的形式开放了出口管制”，但它将如何重塑全球竞争格局、维护人权、保护国家安全仍需要进一步探讨。而且，新条例在以下方面引发了欧美专家们的疑问：（1）以往适用的欧盟第428/2009号旧规如何与新条例相协调；（2）新的全面监管条款要求出口未列入清单的网络监控项目要获得授权，如何实施；（3）新条例第8条规定授权提供与大规模毁灭性武器有关的双重用途项目的技术援助，第9条规定国家对可促进侵犯人权的两用物项的授权要求，这些措施对其他成员国的出口将产生怎样的影响？（4）“技术援助提供者”新定义适用的各种场景；（5）对成员国认为必要的未列入清单的物品实行单方面出口管制的实施；（6）扩大对涉及两用物项的“经纪服务”的管制影响；（7）成员国内部软件和技术出口的新的一般出口授权( New General Export Authorizations)(GEA EU007)和加密项目(GEA EU008)的出口管制如何符合程序要求等。
需要指出的是，2022年1月6日，欧洲委员会公布了授权法规( Delegated Regulation ，EU) 2022/1，更新了新条例2021/821附件I所载的两用物品清单。但这次变更并没有对现行的条文作任何实质性的改动，主要是更正编辑上或拼写、排版的错误。
3.对美国两用物项出口管制规则的影响
2019年5月，美国工业和安全局(Bureau of Industry and Security，BIS)公布一份根据《瓦森纳协定》修改而制定的裁决(84 FR 23886)，全面授权根据《瓦森纳协定》的最新管制清单来修改美国的商业管制清单。2020年9月11日，裁决生效。依据该裁决，对美《商业管制清单》(Commerce Control List，CCL)要依据《瓦森纳协定》做更新和修改，还要对28个出口管制分类号(Export Control Classification Numbers，ECCN)进行修订。美国《商业管制清单》产生的变化直接影响了五项新兴技术的出口，包括后量子密码学、离散微波晶体管、操作软件的连续性、用于水听器的水下换能器和空中发射平台。
值得注意的是，美国修改后的出口审查制度更多地引入人权审查，要求出口商在出口时对客户进行人权方面的尽职调查。2020年10月6日，BIS公布一项规则(85 FR 63007)，修订《出口管制条例》(Export Administration Regulations，EAR)，要求为控制犯罪而受管制的物品以及所有许可证申请提供人权审查。类似基于人权审查的出口许可证规则还有“85 FR 63009”，以及2020年9月美国国务院等机构发布的《监测和人权指南》。
这些修改引发了美欧商务界和法律界的很多疑惑，包括：如何评估对现有IMSI捕捉器、入侵软件和IP网络监控系统进行控制；对2020年扩大控制物项如何理解，如数字取证、通信监测和网络战软件和技术；与双重用途清单上的加密技术控制重叠如何处理——关于美国许可例外和欧盟一般许可的协调等。
二、《瓦森纳协定》修改推动的出口管制改革特点
《瓦森纳协定》修改后，对依据它修改出口管制规则的成员国而言，概括地说产生了三方面影响。
第一，减轻了部分企业负担。由于协定也减少了某些领域的技术管控，放开了部分高技术市场，所以成员国本土的一些出口企业减轻了软件和技术管控负担，降低了企业成本。这种改变如消除了大多数市场的自我分类报告，某些加密产品也不再需要官方进行正式分类。美国BIS的《出口管制条例》还删除了公开可用加密源代码的通知要求。
第二，更加聚焦于新兴技术。虽然《瓦森纳协定》没有明确定义新兴技术（emerging technologies），但其经常作为对重点管制对象的描述而出现在出口管制制度中。这中间就有我国近期普遍关注的半导体技术，即与半导体光刻工艺研发相关的计算机光刻软件、大硅片技术。根据《瓦森纳协定》，成员国对我国半导体出口一般按照N-2原则审批，即比最先进的技术晚两代，同时审理过程中再适当拖延一段时间，以达到受控国家技术比全球最先进技术落后三代甚至更长的目的。美国《出口管制改革法》（Export Control Reform Act of 2018，ECRA）明确新兴技术（emerging technologies）是美国出口管制的重点对象。2020年1月6日，BIS将通过人工智能软件分析地理空间图像和点云的技术定义为一种对美国国家安全至关重要的新兴技术。同年6月17日，BIS再将24种化学武器前体和一次性硬壁栽培箱列为新兴科技。2020年10月5日，BIS根据ECRA出具新规，新增以下六项对美国国家安全至关重要的新兴技术：（1）混合3D打印/计算机数控机床；（2）用于制造极紫外线(EUV)掩模的计算光刻软件；（3）5纳米精加工硅晶片加工技术；（4）绕过计算机(或通信设备)上的身份验证或授权控制并提取原始数据的电子取证工具；（5）用以监测和分析经通过交接界面从电讯服务供应商取得的通讯信息及元数据的软件；（6）亚轨道飞行器(在平流层之上运行，在未完成轨道运行的情况下着陆地球)。这些规定也反过来影响各成员国对《瓦森纳协定》修改的理解和执行。
第三，人权成为打击和制裁他国的工具。依据《瓦森纳协定》的修改，人权成为实施管制的一大理由，美国和欧盟都将“网络监视物项”列入管控范围。美国政策和法律要求出口企业“了解你的客户”，在出口“网络监视物项”涉及人权时，需要获得出口许可证。
欧盟新条例规定，“网络监视物项”指通过监控、提取、收集、分析信息和通信系统数据，用于秘密监视自然人而专门设计的物项。虽然新条例并未将“网络监视物项”列入两用物项管制清单，但其声称为防止该等物项被用于侵犯人权的行为，必须明确将其纳入管制范围。若欧盟成员国的主管当局告知出口商该物项将用于、可能用于内部镇压或严重侵犯人权行为时，出口商必须事先获得出口许可证。
事实上，这些所谓存在侵犯人权的判断，基本上是由政府告知企业，或者把敌对国家列入管控名单而予以明确。所以，这些规定往往成为利用《瓦森纳协定》打击和制裁他国的工具，并给美欧企业带来很多困惑。如何判断存在侵犯人权，也成为西方商务界和法律界进行研讨的话题。
三、我国的对策思考
面对《瓦森纳协定》对中国发展高技术开启的新围堵，我国政府、企业、和学术界等各方面都在积极应对，努力寻求突破。政府同《瓦森纳协定》一直保持沟通与交流，并与其举行了5轮对话会，就常规武器及相关两用物项和技术的出口管制原则、清单及“最佳操作规范”等问题深入交换意见。我国很多企业也持续关注欧盟和美国相关规定的要求，梳理涉及欧盟及美国两用物项管制的出口、中间服务、技术援助、过境及转移行为的合规风险，并根据这些国家相关政策指南采取必要的合规措施。我国学术界则在探索依靠自身科技发展，通过政策法律方面的“对等”等方法进行应对。然而，相比国外相关研究和学术活动，我们统筹管理、科技和法律的力量应对国外打压的能力较弱，对《瓦森纳协定》相关政策法律的研究深度也明显不够。因此建议：
首先，政府牵头，加大扶持这一领域的研究力度，整合产、学、研多方力量，推动并支持这一领域的研究和实践交流。这方面可以学习借鉴国外的一些交流机制。比如，美国《出口管制条例》出台后，美国商务部相关官员、政府内的首席法律顾问会出席相关论坛或学术会议，解释政策和法律，并就企业关心的出口政策和法律问题开展共同研讨。其次，加强专业领域研究，从科研、政策和法律方面开展更深入解读。就法律研究而言，无论是《瓦森纳协定》还是各国相关的出口管制法律，其术语、概念、具体内容都可能存在不同理解，各国具体的执法活动也会存在差异。比如，就“出口”的概念而言，在网络社会，可能就存在各种可能的形式，对加密技术的采用就会产生不同影响，这些都值得从法律领域做深入剖析。最后，还要加强国际法的研究。不仅包括国际条约、国际习惯，更重要的是国际法背后体现的战略机制，以及运用国际法实现国家战略的能力。在这一领域，美俄的先进经验值得我们学习和借鉴。
注：为便于排版，全文省去脚注。
声明：本文来自苏州信息安全法学所，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
