观察者网：汇丰4月与华为达成协议，愿意提供一些文件证明孟晚舟并无“欺诈”行为。同时，汇丰否认“构陷”华为的舆论，其主张是，美国自2012年起就调查汇丰，2014年美国相关调查机构在香港汇丰搜查并自行取走了有关华为的证据，汇丰只是被动配合，而非主动提交，所以不能被称为“构陷”。当时，中国的《阻断外国法律与措施不当域外适用办法》（下简称“阻断法”）尚未出台，如果按今天的《阻断法》规定套用到当时的场景，汇丰当时是否应当拒绝配合美国的调查？

杨杰：从大的法律框架上来讲，《阻断法》第2条很明确，

本办法适用于外国法律与措施的域外适用违反国际法和国际关系基本准则，不当禁止或者限制中国公民、法人或者其他组织与第三国（地区）及其公民、法人或者其他组织进行正常的经贸及相关活动的情形。

放到孟晚舟这个案例中，其实孟晚舟代表华为跟伊朗开展合作，本身就是一个正常的经贸活动。因为美国违反国际法基本准则，对伊朗的单边制裁，导致华为必须中断与伊朗的合作，这本身就符合《阻断法》第2条所要规范的情形。

其实不单《阻断法》可以适用，在我们新颁布的《数据安全法》第2条也说到：

在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。

在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。

孟晚舟跟汇丰进行洽谈，向汇丰提交的PPT说明文档，是以数据形式保存在中国境内，比如说香港，如果汇丰把这个数据用到境外，提交给美国司法部，用于对华为的指控，从性质上来说，这实际上属于一种对数据的处理。当汇丰意识到这样的行为可能对华为以及孟晚舟的合法权益造成损害的话，如果当时有《阻断法》，他们就可以根据《阻断法》第5条，

中国公民、法人或者其他组织遇到外国法律与措施禁止或者限制其与第三国（地区）及其公民、法人或者其他组织正常的经贸及相关活动情形的，应当在30日内向国务院商务主管部门如实报告有关情况。报告人要求保密的，国务院商务主管部门及其工作人员应当为其保密。

向中国商务部或者国务院联合工作机制提出报告，说明其认为美国的不当域外执行会影响到中国公民和企业法人的正常经贸活动，这就尽到了报告义务。报告之后，由中国政府方面的工作机制进行评估，如果认定美国的行为有违国际法，会对中国企业造成相关损害，就可以出具一个禁令，汇丰银行依据这一禁令，就可以拒绝来自美国政府的配合司法调查义务。

当地时间7月9日下午，加拿大不列颠哥伦比亚省高等法院就孟晚舟的律师要求引入新证据的申诉做出判决，法官不同意引入从汇丰银行获取的新证据。截图来自南华早报

观察者网：即使当时没有《阻断法》，在香港这样的一个地方，汇丰有没有义务配合美国的司法调查？

杨杰：这个问题涉及到美国是否有在香港搜证的权力。一国的司法的管辖权，要考虑到别国的主权独立和完整，所以一般不允许某国在境外进行侵害他国国家主权的执法行为。虽然美国《出国管制法》认为其有权对境外的一些最终用户进行核查，甚至实际了解物项最终用户的经营情况，用以判别某物项出口有没有被扩散的风险，但是该法也有前提条件，就是必须得到东道国政府配合才能实施。

所以美国也注意到这个问题，一国的司法管辖权，是不能够随意扩张到别国领土之上的，这是侵犯别国主权和领土完整的行为。

如果美国司法部门之前擅自去香港搜证，没有得到中国香港政府的同意，这肯定是对我国主权的一种侵犯，这肯定是不允许的，这种行为的合法性需要受到质疑。

观察者网：汇丰在公开层面对自己当时行为的解释是，当时“身不由己”。2012年，美国参议院常设调查小组委员会发布一份长达335页的报告，详细描述毒贩、与恐怖主义有关联的团体如何利用汇丰银行洗钱从事非法活动。随后，又被指控未能遵守美国财政部外国资产控制办公室发布的禁止人员清单，清算了大量可疑游客的支票，并向一些外国银行提供美国代理账户。为此，汇丰银行同意支付总计19.2亿美元的罚金，并与美国司法部达成为期五年（2012-2017年）的延期起诉协议。作为协议的一部分，汇丰银行同意在任何调查中配合美国司法部，并接受美国政府指定的监督者入驻监督“获取一切信息”。正是在这一过程中，汇丰关于华为的资料“被美国取走”，后来被用于指控孟晚舟。您怎么看待这样的搜证过程？

杨杰：

如果不是美国司法部派工作人员到香港搜证的情形，这就涉及我刚才提到的《数据安全法》，该法2021年6月10日公布，尚未实施，假设当时有这部法律，从该法角度来讲，汇丰银行把数据传输到境外去，配合美国司法部的调查取证，本身违反了《数据安全法》：

第二条　在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。

在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。

第三条　本法所称数据，是指任何以电子或者其他方式对信息的记录。

数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。

数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。

所以我国的法律体系在《国家安全法》的大框架下，正在把原来的一些漏洞一点点堵上，把原来没有考虑周全的地方进行了补强。在今天的法律环境下，再做这样的动作肯定是不可能的，因为这违背了数据安全合规义务。