法律沙龙 |
|
content
本期目录
一、定罪之问：数据跨境犯罪的基本类型及行刑界分
二、治罪之辨：打击数据跨境犯罪的三类核心难题——数据出境安全审查、主观明知推定、跨境取证
三、治理之要：数据跨境犯罪的两种治理范式——域内协同与国际对接
本期召集人 崔志伟
上海市静安区人民检察院副检察长
人工智能时代，数据作为新型生产要素成为数字经济全球化发展的核心驱动力，也引发国家数据主权侵蚀、公民个人信息权益遭受侵害、数据跨境犯罪高发等严峻挑战，给国家安全稳定造成巨大冲击。习近平总书记多次强调“要维护国家数据安全”，党的二十届四中全会提出“推进数据高效便利安全跨境流动”，对数据安全治理作出新的部署。为保障数据安全跨境流动，我国相继出台数据安全法、个人信息保护法、数据出境安全评估办法等一系列法律规范，为数据跨境合法有序流动奠定制度基础，最高人民检察院《关于加强涉外检察工作的意见》也对检察机关参与跨境数据治理提出明确要求。上海中心城区首个数据跨境服务中心于2025年11月底在静安国际会客厅揭牌成立。在此背景下，本期75号咖啡·法律沙龙以“数据跨境犯罪治罪难点与治理路径考察”为主题，从定罪之问、治罪之辨、治理之要三个维度，拆解问题、凝聚共识，拟为进一步释放数据要素乘数效应，为探索数据跨境流动中的犯罪认定、犯罪协同治理提供智力支撑。
| 一、定罪之问：数据跨境犯罪的基本类型及行刑界分 |
本期召集人 崔志伟
上海市静安区人民检察院副检察长
数据跨境犯罪因其融合了线下和线上两种犯罪模式，具有辐射范围广泛、涉及领域多元等特征属性，实践中常见的有侵犯公民个人信息、破坏计算机信息系统等犯罪，厘清数据跨境犯罪的类型，精准认定行为所触犯的罪名，是刑事打击的关键一步，请在座嘉宾们做一下梳理和分析。
案例1：罗某某侵犯公民个人信息案
向上滑动阅览
案情简介
A公司是上海一家专门提供数据服务的企业，掌握大量通过推广、宣传等方式获取的包含姓名、身份证号、手机号等公民个人信息。罗某某为A公司员工，得知境外聊天网站上有人愿意高价收购这类信息，于2025年5月至6月，利用工作中查询、下载公司后台客户信息的权限，下班后通过远程操控方式，窃取公司数据库中公民个人信息向境外出售，并以虚拟币形式结算获利，累计窃得并出售公民个人信息20余万条。2025年12月5日，上海市静安区人民检察院以侵犯公民个人信息罪对被告人罗某某提起公诉，同时提起刑事附带民事公益诉讼。2026年2月5日，上海市静安区人民法院以侵犯公民个人信息罪判处罗某某有期徒刑三年三个月，并处罚金人民币三万元，支付赔偿金人民币65865.2元，判令永久性删除非法获取的公民个人信息，并在国家级新闻媒体上公开赔礼道歉。
案例2：某国际知名企业（上海）公司未依法履行个人信息保护义务案
向上滑动阅览
案情简介
某国际知名企业在2025年5月发现系统出现恶意访问事项，可能存在个人信息泄露风险，并向监管部门报备。经公安网安部门查明，某国际知名企业（上海）公司存在三项违法事实：一是未通过数据出境安全评估、未订立个人信息出境标准合同或通过个人信息保护认证，违规向法国总部传输用户个人信息；二是在向境外提供信息前，未向用户充分告知境外接收方的处理方式，未取得用户的“单独同意”；三是未对收集的个人信息采取加密、去标识化等安全技术措施。2025年7月，上海市公安局静安分局作出行政处罚决定，认定该公司“在传输数据过程中，未做好必要的保护措施”，依据《个人信息保护法》对其处以警告并责令改正。
案例3：陈某枝洗钱案
向上滑动阅览
案情简介
上游犯罪主犯陈某波以“定期理财”和“虚拟货币交易平台”为名实施集资诈骗，骗取全国投资者1200余万元。后陈某波预感罪行即将败露，提前将300万元赃款转账至前妻陈某枝的银行账户，并将用赃款购买的豪车登记在陈某枝名下，并潜逃至澳大利亚。陈某枝分多次将其账户内的300万元赃款转账至陈某波随身携带的境外银行卡账户，供其在澳大利亚使用。由于境外取现受每人每年5万美元外汇管制限制，陈某波通过加密通讯软件指令陈某枝将剩余赃款转换为比特币转移，陈某枝在陈某波组建的加密微信群中联系比特币“矿工”，全程不填写转账备注、删除聊天记录，将名下的豪车低价出售款92万元转账给“矿工”换取比特币私钥，通过加密通讯软件将私钥发送给陈某波，供其在境外直接兑换为澳元使用，形成完整的洗钱闭环。上海市浦东新区人民法院以洗钱罪判处被告人陈某枝有期徒刑二年，并处罚金人民币二十万元。目前该判决已生效。
案例4：肖某掩饰、隐瞒犯罪所得案
向上滑动阅览
案情简介
2023年3月，肖某在Telegram即时通讯软件上通过搜索有“换U”（USDT泰达币）需求的人，搭识跑分集团负责人“大上海”。肖某在明知“大上海”向其提供的现金可能涉嫌违法犯罪的情况下，仍脱离虚拟货币交易场所，进行虚拟货币场外交易以实现转移、置换赃款的目的。2023年4月25日，“大上海”联系肖某告知需兑换的现金数量，肖某随即与卖币人员联系并按照“大上海”需求的换币数量完成虚拟货币场外进货，等待“大上海”指定交易地点。后“大上海”安排“跑分车队”成员押送“卡农”线下取款人民币90余万元，随即在厕所内完成现金交接，交接人员携带钱款与肖某分两次在不同停车场见面并完成上述赃款转移。最终，肖某获利6000余元。2023年11月，上海市长宁区人民法院以肖某构成掩饰、隐瞒犯罪所得罪判处其有期徒刑三年三个月，并处罚金人民币一万元。
吴玄
上海师范大学副教授、硕士研究生导师
数据跨境犯罪主要分为两大类：一类是以数据本身作为犯罪对象的犯罪。比如案例1的罗某某窃取公民个人信息向境外出售，涉嫌侵犯公民个人信息犯罪；案例2的某国际知名企业（上海）公司在传输数据过程中未做好必要的保护措施，有违我国个人信息保护法。还有一类是以数据作为犯罪工具或者载体的犯罪，比如案例3的陈某枝用虚拟币洗钱，涉嫌洗钱犯罪；案例4的肖某用虚拟币转移赃款，涉嫌掩饰、隐瞒犯罪所得犯罪；还有故意泄露国家秘密、商业秘密、敲诈勒索等犯罪。数据跨境犯罪中，无论是数据作为犯罪对象还是载体，均对数据安全流动秩序造成一定破坏，需要在具体案件中研判数据的性质，以此为基础对数据跨境犯罪的类型及所触犯的具体罪名加以认定。
徐蓓丽
上海市公安局静安分局网安支队支队长
我从刑事打击的角度谈一谈数据跨境犯罪的类型化认定。由于数据跨境犯罪的线上犯罪特殊性，通常也涉及网络犯罪，罪名竞合较多，比如非法控制计算机信息系统罪、破坏计算机信息系统罪、侵犯公民个人信息罪等，罪名认定较难，尤其是近年来涉虚拟货币犯罪呈爆发式增长，打击形势非常严峻。结合实践，我认为，对虚拟货币洗钱、智能合约漏洞等新罪状，需要推动司法解释明确“计算机信息系统”的外延，将“智能电表、无人机飞控系统、电动车限速装置”纳入“计算机信息系统”，以此解决“破坏电动车限速装置”是“破坏计算机信息系统罪”还是“销售假冒伪劣产品罪”的争议。
理由在于：一是符合现行立法下的“计算机信息系统”的认定标准。根据2011年《最高人民法院 最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第十一条第一款的规定，“计算机信息系统”和“计算机系统”，是指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。智能电表、无人机飞控系统、电动车限速装置等符合“自动化控制设备”的特征，当然可以归属于“计算机信息系统”。二是扩大“计算机信息系统”外延在技术层面完全成立。现代智能电表、无人机飞控、电动车限速装置均为含CPU/MCU＋存储器＋运行固化程序的嵌入式系统，具备“自动采集→处理→输出控制指令”的完整数据流，与早期大型机只是规模差异，本质上就是微型专用计算机信息系统。
武晶
上海市静安区人民检察院检察官
通过梳理《联合国打击网络犯罪公约》第7-17条和我国刑法相关规定，大体有五类数据跨境犯罪行为：除了常见的计算机信息系统类犯罪，比如非法获取计算机信息系统数据罪、破坏计算机信息系统罪；金融类犯罪，比如非法经营的地下钱庄使用虚拟货币进行洗钱；利用信息网络实施犯罪，包括侵犯公民个人信息犯罪、跨境传播淫秽物品犯罪等，还有为境外窃取、非法提供国家秘密、情报犯罪，行为人非法获得国家秘密和情报向境外传输；以及知识产权类犯罪，企业本身的数据跨境流转可能会涉及到侵犯他方商业秘密或著作权的问题。
本期召集人 崔志伟
上海市静安区人民检察院副检察长
案例1中行为人窃取公司数据库中的公民个人信息向境外出售，涉嫌侵犯公民个人信息罪，案例2是已知案例中首次公开将数据出境违规行为明确纳入行政处罚的案例。同样是数据违规出境，却分别触发行政规制和刑事规制两种不同的处置后果。对此，如何准确对新型金融数据违法跨境进行行刑界分？请嘉宾们发表一下高见。
吴玄
上海师范大学副教授、硕士研究生导师
我国网络安全法、数据安全法、个人信息保护法等，均对数据保护作出了相关原则性规定，基于相关法律的立法目的和原意，应当首先明确我国提出的数据主权理念，是指数据安全有序的跨境自由流动，而非完全自由流动。在中国境内产生的数据需要做本地化存储，向境外流转的时候需要适当规制。普遍的规制原则是：先由行政规制介入，若行政规制仍不足以规制数据违法跨境，此时就应当引入刑事规制。比如金融数据跨境过程中可能涉及金融诈骗，应当依据在金融监管体系中的监管重点和标准，判定是行政违法还是刑事犯罪，以此确定属于行政法的调整范围还是刑事犯罪打击范畴。
武晶
上海市静安区人民检察院检察官
我说说“行政违法”与“刑事犯罪”的区分——这也是新型金融数据跨境犯罪构成要件细化的核心问题。案例1罗某某侵犯公民个人信息案中，罗某某是数据服务公司员工，窃取20余万条公民个人信息向境外出售并用虚拟币结算。该案有几个关键点：一是行为人窃取的数据数量多达20万条，属于侵犯公民个人信息罪犯罪构成要件中的“情节特别严重”；二是通过境外聊天网站向境外出售，扩大了危害范围；三是通过虚拟币的方式来最终获利，逃避监管。最终，罗某某被刑事追责。案例2某国际知名企业未依法履行个人信息保护义务案中，某国际知名企业向法国总部传输用户信息，未做安全评估、未获单独同意、未加密，但执法部门只作出“警告+责令改正”的行政处罚。原因在于我国刑法第二百五十三条之一第一款规定，“情节严重”才追究刑事责任，而某国际知名企业的行为属于“首次违规”“未造成实际泄露”，属于行政违法，未达到刑事立案标准。这两个案例就是典型的“行刑界分”：初次、轻微、未造成严重后果的，以行政违法论；多次、大量、跨境、造成严重危害的，以刑事犯罪论。
| 二、治罪之辨：打击数据跨境犯罪的三类核心难题——数据出境安全审查、主观明知推定、跨境取证 |
本期召集人 崔志伟
上海市静安区人民检察院副检察长
数据跨境犯罪中的“数据”是整个犯罪活动的“主角”，把好数据出境安全审查这一关是打击与治理数据跨境犯罪的前提要件，请各位嘉宾谈谈如何做好数据出境安全审查。
吴玄
上海师范大学副教授、硕士研究生导师
实践中数据出境安全审查存在认知差和执行难的痛点。一是认知差，是指数据分类分级标准仍然不够清晰。依据我国数据安全法规定，数据分为核心数据、重要数据和一般数据三类，实践中的监管重点主要是重要数据，但重要数据的定义仍停留在“可能影响国家安全、经济运行”的原则性表述。这可能导致实践中企业无法对“用户驾驶轨迹”等具体数据作出准确判断。二是执行难，主要体现在数据聚合后动态风险难控：单一数据的价值有限，但两个以上数据聚合起来可能威胁国家安全，如对网约车数据进行分析可能导致国家机关工作动向暴露的风险。某网约车平台曾通过部委工作人员用车数据分析，形成“工作强度排名”。如果将用车“人员+时间+地点”数据和其他数据结合，很可能推测出国家机关重点工作乃至涉密内容，而且这类“数据拼图”的风险难以事前预判。又如案例2，某国际知名企业的“用户姓名和电话”是一般数据，但如果将“用户消费记录”和“地理位置”聚合起来，可能泄露高端客户的出行规律，属于“重要数据”。这都是单一数据无害、聚合数据危险的典型，如何在具体案件中进行准确判断，是目前执法司法的难点。
王立坤
上海海事大学教授、硕士研究生导师
目前数据跨境在国际规则上存在冲突，美国和欧盟推行“数据圈层化”，一定程度上对我国进行限制性数据流动。2024年2月美国发布的《关于防止受关注国家访问美国公民的大量敏感个人数据和美国政府相关数据的行政令》，旨在限制向中国（含香港和澳门）、俄罗斯、伊朗、朝鲜、古巴和委内瑞拉等“受关注国家”传输美国公民的敏感个人数据，包括基因组数据、生物识别数据、个人健康数据、地理位置数据、财务数据和某些类型的个人身份识别信息。欧盟《通用数据保护条例》（GDPR）则要求“数据接收国保护水平需等同于欧盟”，中国未进入“白名单”，导致中国企业出海容易但数据回不来。为破除这一困境，上海自贸试验区临港新片区率先发布全国首批字段级一般数据清单，即正面操作指引，涵盖智能网联汽车、公墓基金、生物医药三个领域，企业只需对照字段清单即可判断数据能否出境，解决了“重要数据”认定的模糊感。数据出境安全审查，是数据跨境犯罪刑事打击过程中需要解决的前置问题，因此亟待在各行各业领域内就数据分级分类监管加以明确，为数据出境安全审查提供具体标准。
林喜芬
上海交通大学凯原法学院副院长、教授、博士研究生导师
吴教授和王教授就如何开展数据出境安全审查提出了问题和想法，我对此做一些补充：一方面，要以数据分类分级奠定出境安全审查基础。依据我国数据安全法的规定，我国数据可以分为国家数据、政务数据、个人数据三类。在此基础上，根据各类数据出境对国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益等利益的影响，可以区分不同等级数据的出境路径。其一，对于关乎国家安全、经济运行等重大利益的国家核心数据、政务核心数据，应当禁止出境。其二，对于非公开的国家非核心数据、政务非核心数据，以及敏感个人数据宜定级为重要数据，应当采用数据安全审查机制以限制出境。其三，对于公开的国家非核心数据、政务非核心数据，以及一般个人数据宜定级为一般数据，可以成为《联合国打击网络犯罪公约》提交令等取证措施的适用对象，实现快捷出境。其四，当超过一定体量的一般数据出境，或是基于海量数据得出的分析结论出境时，可能对我国国家安全、经济运行等产生严重或特别严重的危害。此时，应对相关数据重新定级，进而做出出境与否的决定。
另一方面，要坚持持续性监督理念，立足风险视角，做好事中事后阶段的数据出境安全审查。第一，审查数据出境所涉国家利益，包括数据所涉影响对象及影响程度、协助所涉预期国家利益等。第二，审查数据出境所涉目的要件，包括数据出境目的的真实性、合法性、数据与出境目的间的关联性以及数据出境目的的存续性。第三，审查数据出境所涉外部安全要件，包括请求国数据安全保护政策法规和网络安全环境对出境数据安全的影响以及请求国的数据保护水平。
本期召集人 崔志伟
上海市静安区人民检察院副检察长
做好数据出境安全审查是打击数据跨境犯罪的前端要件，然而若对出境数据把关不严，极易造成数据跨境犯罪，以将数据作为犯罪工具或载体的犯罪为例，实践中常见的有以虚拟货币进行洗钱等犯罪，如案例3、案例4，司法机关在打击该类案件过程中经常遇到行为人以“非主观明知”作出抗辩。如何进一步明确涉虚拟货币洗钱犯罪“主观明知”的推定标准及方法，成为当前实务的一大难题，请在座嘉宾们解答。
林喜芬
上海交通大学凯原法学院副院长、教授、博士研究生导师
涉虚拟货币洗钱犯罪中“主观明知”的推定面临多重困境：第一，加密货币对一般人具有认知迷惑性。相较于法定货币，加密货币“去中心化”“匿名性”的特征对一般人具有一定的迷惑性，一般人很难将其清晰地辨认为货币，可能将其认定为金融产品或虚拟商品交易。例如平台将加密货币包装成一种新型金融产品时，一般人也将加密货币视为平台的金融产品进行交易，并不能清晰辨认出这种交易行为的性质，不具有违法性认识的可能性。第二，犯罪组织的模块化运作导致主犯的主观故意难以证明。当前跨境洗钱活动以“产业化分布、集团式运作、全球化布局”为主要特征，团伙成员间使用海外加密通信工具保持联络，各个部门独立且分散在全国各地，彼此不熟悉工作内容。最终被追究刑事责任的多为贪图小利、涉罪程度较轻、主观恶性不大的末端参与者，主犯往往因“零接触”难以认定主观故意。第三，虚拟货币交易目的的多元化导致行为人以金融投资为由规避犯罪故意认定。但是，在当前监管政策持续收紧的背景下，虚拟货币交易行为的违法性已然相对明晰。对行为人“明知”的认定，需要综合全案证据进行判断，不能仅凭其自称“正常投资”即否定其犯罪故意。
基于此，我认为可从以下几个维度构建涉虚拟货币洗钱犯罪“主观明知”的推定标准体系：第一，交易异常性推定。应当综合考察虚拟货币交易行为是否存在明显的异常特征，作为推定“明知”的客观基础。具体包括交易价格是否明显偏离市场价格、交易频率和金额是否异常、交易时间是否异常、是否采用了明显的规避措施。第二，信息接触推定。根据行为人在交易过程中接触到的信息内容和范围来推定其是否“明知”。如行为人是否知悉交易对手的身份、资金来源、交易目的；是否收到过关于资金可能涉及违法犯罪的提示或警告；是否在交易前通过特定渠道获取交易信息。第三，行为人身份与经验推定。应当区分专业虚拟货币从业人员和普通个人用户。应重点判断平台在整个流程中所扮演的角色，如果平台对行为人进行诱导或欺骗，致使行为人没有对加密货币的性质产生清晰认知，个人行为不宜认定为洗钱罪，而应重点考虑平台的刑事责任。第四，收益异常性推定。行为人从虚拟货币交易中获取的收益是否明显高于正常市场回报，是推定“明知”的重要参考。“币农”“钱骡子”等末端参与者通常为贪图小利而加入洗钱链条，其所获取的佣金比例和模式本身就具有非法交易的显著特征。若行为人获取的报酬明显超过正常虚拟货币交易的手续费或佣金标准，且缺乏合理的商业解释，则可推定其对资金的非法性具有概括性认识。第五，综合情境推定。也即不依赖单一证据，而是综合考量交易的时间、地点、方式、金额、频率、资金流向、行为人职业背景、既往经历、认知能力等多种因素，在排除合理怀疑的基础上推定行为人的“主观明知”。
武晶
上海市静安区人民检察院检察官
对于涉虚拟货币洗钱犯罪“主观明知”的推定方法，林教授已经分析得非常全面，我结合具体案例谈一谈。案例3陈某枝洗钱案中，陈某枝明知前夫陈某波因集资诈骗潜逃，仍按其指令转移300万元，删除聊天记录、不填写转账备注，甚至用比特币私钥供陈某波在境外直接兑换澳元使用。这些行为并非巧合，不是正常财产转移，而是刻意规避监管，符合洗钱的典型特征。不能仅凭行为人“文化程度低”“不知情”等说辞和理由就否定其明知，要结合“行为轨迹”综合判断。案例4肖某掩饰、隐瞒犯罪所得案中，肖某在Telegram上联系“大上海”，明知对方现金可能涉嫌违法犯罪，仍以高于市场价2分钱的价格收购泰达币，在停车场、厕所等隐蔽地点交易，清点现金后才转币。这里的关键是：“明知可能”不等于“明确知道”，如果存在交易地点隐蔽、价格异常、对方要求规避监管等情形，按照常理可以推定行为人“应当知道”资金是犯罪所得，从而推定其系主观明知。
本期召集人 崔志伟
上海市静安区人民检察院副检察长
数据跨境犯罪涉及的证据种类以电子数据为主，电子数据本身具有极易被篡改、破坏甚至灭失等特征，对取证的要求较高，而境外电子数据又因叠加了地域问题，取证难度进一步增加。我国司法实践在境外证据的提取、转化和认定上仍存在程序上的障碍和挑战，请各位嘉宾结合理论和实务分别谈一谈。
林喜芬
上海交通大学凯原法学院副院长、教授、博士研究生导师
数据跨境犯罪案件的取证难点核心在于能否管辖，以及能否收集到合法有效的电子数据，最为关键的是要解决证据能力和证明力问题。对此，《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》、《公安机关办理刑事案件电子数据取证规则》已有相关规定，但实践中仍存在困难。一是依据国际司法协助取证效率较低，且境外技术取证机构技术水平差异较大。比如目前东南亚国家取证能力较为落后，无法满足取证及时性和有效性需求。二是跨境取证还存在管辖权上的问题。比如我国认为是犯罪但证据所在国不认识是犯罪，即可能受到双重犯罪原则的限制，他国未必响应我国的协助请求。这种情况下，采取远程勘验等取证措施可能有悖于执法管辖权的严格属地要求。三是跨境取证依据的准据法问题。跨境取证关键是要确定依据哪个国家的法律取证，并且要满足真实性、客观性、关联性的“证据三性”，这里要强调的是境外证据往往以证据的真实性替代合法性，需经境外使领馆认证。但能否在我国国内合法转化运用，仍需具体研究。
武晶
上海市静安区人民检察院检察官
针对数据跨境犯罪取证难的问题，实践中主要有：一是司法协助效率不高。有些涉案服务器位于境外，我国与相关国家无刑事司法协助条约，若通过国际刑警组织请求取证则周期较长，取证固证速度跟不上涉案服务器更新速度，证据易灭失。二是单边取证的合法性存疑。若直接通过远程勘验调取境外服务器数据，涉及“长臂管辖”。三是证据转化周期长。获取的境外数据，需经使领馆认证等证据转化程序，耗时较长。对此，静安区人民检察院已有通过“技术调查官+鉴定机构”模式，对境外服务器公开数据完成合法调取，结合全流程哈希值校验固定证据链，获法院一审采纳的实践经验。主要做法有：一是确保取证主体合法化。委托有专门知识的鉴定机构，向最高人民检察院申请技术调查官，在侦查人员主持下完成对境外服务器数据提取。二是保证流程可追溯。对境外数据全程用“哈希值校验”，从客户端提取到鉴定机构分析，每步操作都生成唯一字符串，确保数据未被篡改。三是形成证据链闭环。结合聊天记录、资金流水、鉴定意见等，全面还原犯罪过程，最终形成确实、充分的全案证据链。
徐蓓丽
上海市公安局静安分局网安支队支队长
我们在打击数据跨境犯罪过程中，大部分只能从恢复的数据中进行如聊天记录等基本的证据分析，容易导致因证据不全面而难以定罪。我重点谈一下实务中常见的涉虚拟货币类数据跨境犯罪，该类犯罪通常为网络犯罪，与线下实体犯罪相比，发现犯罪的难度大大增加。由于该类犯罪的案发多以受害人报案为主，从实际案发到被发现后报案、再到公安机关介入侦查，叠加网络电子数据的瞬时性特征，犯罪分子有充分的时间毁灭证据来逃避侦查，并且企业在报案时通常会把敏感数据字段隐藏掉，这又给取证固证带来更大挑战。案例3中，陈某枝用92万元换取比特币私钥供陈某波在境外直接兑换使用；案例4中，肖某用虚拟币结算获利6000余元。两个案件均涉及虚拟货币，但我国刑事诉讼法和《涉案财物管理规定》都未明确虚拟货币的性质。上海市高院今年出台了《关于规范网络虚拟财产执行工作指引（试行）》，明确了虚拟货币的财产属性和处置方式：一是扣押，用“离线冷钱包”存放但不连接互联网，由法院或有资质的第三方机构保管。二是变现，通过虚拟货币交易所拍卖，拍卖所得资金存入涉案资金专户，或者根据案件需要灵活变价。三是返还，用涉案虚拟货币拍卖款、变价款按比例返还被害人。但这只是上海地方探索，亟需全国性规定的研究出台，为数据跨境犯罪中涉案虚拟货币的处置提供普适性的操作指引。
| 三、治理之要：数据跨境犯罪的两种治理范式——域内协同与国际对接 |
本期召集人 崔志伟
上海市静安区人民检察院副检察长
数据跨境流动治理涉及网络安全、数据安全、个人信息保护、国家安全、对外贸易等多个领域，单一部门难以胜任全面监管职责，需要建立高效的顶层协调机制，统筹各方力量形成治理合力，数据跨境流动的健康发展还需要国际社会共同努力。请各位嘉宾就如何开展数据跨境犯罪治理的域内协同与国际对接谈一谈想法。
徐蓓丽
上海市公安局静安分局网安支队支队长
打击与治理数据跨境犯罪，既要在域内协同方面实现行政与司法的双向赋能，也要在国际对接方面有多元突破。一是精准对接适格行政监管部门。目前各行各业都在努力制定出台数据跨境流转的规定，如工信部等八部门联合出台《汽车数据出境安全指引（2026版）》。在制定出台某个行业数据跨境流转规定的基础上要进一步明确该行业数据的监管主体，解决谁来监管的问题，如医院医疗数据应当由卫健委、网信部门还是公安机关来监管，也可为后续因数据跨境犯罪司法介入明确具体可对接的行政监管部门，提高共同打击与治理的效率。二是强化行刑衔接。行政监管部门在对数据违规跨境进行处理时，如果发现还涉及刑事犯罪的；司法机关在办理数据跨境犯罪案件时，如果发现涉及行政违法的，均应当向对方及时移送相关案件线索，实现“行政处罚+刑事打击”的叠加治理效应。三是建立司法协助绿色通道。争取和新加坡等国签署“电子数据取证互助协议”，简化境外证据提取流程，如某些境外服务器数据可通过绿色通道直接调取，缓解实践中跨境取证难题和压力。
王立坤
上海海事大学教授、硕士研究生导师
在国际对接方面，现有《全面与进步跨太平洋伙伴关系协定》（以下简称“CPTPP”）、《区域全面经济伙伴关系协定》（以下简称“RCEP”）、《数字经济伙伴关系协定》（以下简称“DEPA”）三大区域协定分别代表了数字经济跨境治理的三大范式。三大协定的差异很明显：DEPA强调个人信息保护互认，比如中国认证的企业，DEPA成员国认可，争端解决以调停为主；CPTPP要求计算机安全合作，比如联合打击恶意代码，争端解决依靠仲裁，且具有强制执行力；RCEP依赖缔约方国内立法，比如我国依据网络安全法进行数据加密，争端解决以政治协商为主。
具体到企业数据跨境流动治理方面，我有以下两点建议：一是推进与友好国家地区数据跨境自由流动。数据跨境流动讲究的是国际合作、标准互认，比如欧盟强调个人信息保护，要求欧盟境内的个人数据流向其他国家和地区时，接受国家和地区对个人信息的数据保护水平要达到欧盟内部水平，中国尚未被其认定。因此日后需要在国际互认突破上攻关，为数据跨境自由流动提供基础条件。二是推出更多行业数据操作指引。上海自贸试验区及临港新片区发布负面清单，涵盖再保险、国际航运、商贸、气象四大行业领域，为数据处理者自主判断合规性提供参考，提升企业规范治理水平，有效节约企业规范治理成本。
本期召集人 崔志伟
上海市静安区人民检察院副检察长
检察监督作为数据跨境犯罪治理的重要一环，检察机关应当如何更高质效履职，更深层次融入数据跨境犯罪治理，请各位嘉宾建言献策。
林喜芬
上海交通大学凯原法学院副院长、教授、博士研究生导师
在我国数据跨境治理过程中，应当充分发挥各级检察机关的法律监督职能，最高人民检察院和地方检察机关可以分别立足自身层级定位，展开跨境数据保护的检察实践。第一，充分利用最高人民检察院的对外平台提升我国国际法律话语影响力。未来，最高人民检察院需要继续借助金砖国家总检察长会议、上海合作组织成员国总检察长会议、中国—东盟成员国总检察长会议等平台持续向外传播中国立场、中国经验。围绕涉外法治、涉外检察发布中英文版白皮书，以传播我国对于数据跨境保护的声音与立场，进一步维护国家数据主权安全。第二，提升地方检察机关在刑事司法协助中的参与度。地方检察机关可充分发挥派驻检察室或者侦查监督与协作配合办公室的功能，强化对取证协助工作的引导。同时，为遵循分工负责原则，检察机关应以受邀介入为主；在部分案情疑难复杂、牵涉国家利益重大的情况下，可以直接介入，并对取证协助事宜发表意见。当检察机关与办案机关意见相左，且牵涉国家利益的情况下，地方检察机关可以层报至最高人民检察院决定。
吴玄
上海师范大学副教授、硕士研究生导师
关于检察机关如何在数据跨境治理与保护中高质效履职，我有几点建议：一是争取构建数据跨境保护一体化执法司法工作格局。公安、检察机关、法院、行政监管部门、行业机构等不同部门对于数据跨境的监督标准不尽相同、价值追求也不一，尤其是行政执法和刑事追责的角度也不同，因此应当深化跨部门协同联动，打通堵点、消除障碍，破除执法司法壁垒。二是检察机关应当更大限度参与到国际规则的制定中。精准对接《联合国打击网络犯罪公约》、CPTPP、RCEP、DEPA三大协定，将中国数据主权理念融入跨境数据取证、电子证据认定等条款，争取将“中国方案”推向全球。三是立足社会治理的前瞻性探索数据安全领域公益诉讼。对侵害众多公民个人信息权益的行为提起民事或行政公益诉讼，以矫正监管偏差、堵塞数据出境漏洞、确保数据主权依法行使，同时进一步推动数据安全公益诉讼损害认定规则的研究制定。
武晶
上海市静安区人民检察院检察官
在合力打击数据跨境犯罪与协同治理方面，我认为作为基层检察机关可以做出以下努力：一是研究完善与相关国际规则有效衔接的基层路径。立足国家法律监督机关的职能定位和基层检察机关的履职角度，进一步贯彻落实《关于加强涉外检察工作的意见》，研究与不同国际规则之间的对接路径，加快推进跨境司法协助绿色通道建设，加强与国际组织、友好国家在数据跨境犯罪打击、司法协助及争端解决中的常态化合作。二是强化精准服务供给。以静安区人民检察院为例，我们充分利用静安国际会客厅“静界·检护营商”工作站，定期摸排并回应辖区企业出海、数据出境法治需求。从监督和预防犯罪的角度，重点关注企业网络安全防护。三是加强联合普法宣传教育。检察机关有责任有义务以法治宣教保障护航法治化营商环境。针对辖区跨国企业数据出境需求，检察机关可以联合公安机关、网信部门等开展进企业、进园区普法讲座，联合推出“数据出境风险提示函”，防止企业数据违规出境。
本期召集人 崔志伟
上海市静安区人民检察院副检察长
数据流动无国界，但安全必须有边界。今天的沙龙，各位嘉宾围绕数据跨境犯罪的定罪难点、执法司法过程中面临的问题以及如何完善数据跨境犯罪治理的域内外协同对接，给出了兼具理论深度与实践温度的破题思路。为我们在守护数据主权安全与服务经济发展的天平上，持续探索数据时代如何保障经济创新发展与守护人民群众财产安全、社会经济安全的检察履职路径，提供了有益参考。谢谢各位！
文稿整理：静安区人民检察院 王 嘉
上海市人民检察院 樊华中
法条链接
《中华人民共和国刑法》
第二百五十三条之一第一款 【侵犯公民个人信息罪】违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
《中华人民共和国数据安全法》
第二十一条 【分类分级保护】国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。
关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。
各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
