商用密码产品的进口

导言：

一、什么是商用密码产品

根据《商用密码管理条例》的规定，商用密码产品是指采用密码技术对不涉及国家秘密内容的信息进行加密保护或安全认证的产品,包括国家密码管理局和海关总署公布的第一批《密码产品和含有密码技术的设备进口管理目录》中所列商品及其他暂未列入目录但含有密码技术的商品。

说到商用密码产品大家可能比较陌生，然而实际上我们的生活中已经开始越来越多地使用到商用密码产品了。提到“电子合同”大家应该就会觉得亲切了，近年来大家在参与经营活动或者与银行机构办理网上业务或多或少都接触到电子合同了。没错，电子合同运用到的电子印章系统就是商用密码产品的一种。

目前包括腾讯、微软（中国）、阿里巴巴、美团、携程等在内的80多个细分行业及应用场景均已启用电子合同；据裁判文书网检索结果，截至2020年底，全国各级法院引用《电子签名法》的民事合同纠纷类案件总计23202件，涵盖全国30个省自治区。

除了上文介绍的“电子合同”运用的电子印章系统，商用密码产品按功能可以划分为七类：密码算法类、数据加解密类、认证鉴别类、证书管理类、密钥管理类、密码防伪类和综合类。鉴于篇幅限制具体商用密码产品类别本文在此不展开介绍。

二、商用密码进出口清单的出台背景

此前，我国主要是根据《商用密码管理条例》（下称“管理条例”）以及相关部门规章等对商用密码的进出口实施监管。后经过近20年的摸索与积累，2020年1月1日，密码管理领域的第一部综合性法律《密码法》正式施行，在法律层面对密码相关的规则进行了重新统合。其中，在该法第二十八条对商用密码的进出口管理作出了原则性规定。即，“国务院商务主管部门、国家密码管理部门依法对涉及国家安全、社会公共利益且具有加密保护功能的商用密码实施进口许可，对涉及国家安全、社会公共利益或者中国承担国际义务的商用密码实施出口管制。商用密码进口许可清单和出口管制清单由国务院商务主管部门会同国家密码管理部门和海关总署制定并公布。大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。”

但是，在《密码法》实施后的一段时间内，作为重要组成部分的商用密码进出口清单并未出台，导致在过渡阶段仍然按照当时的许可条件和程序实施进出口许可管理。具体而言，从事密码产品和含有密码技术的设备进口业务，需按照国家密码管理局、海关总署联合发布的国密局第18号、第27号公告办理，进口《密码产品和含有密码技术的设备进口管理目录》所列商品均需要申领《密码产品和含有密码技术设备进口许可证》；从事商用密码产品出口的，应当向国家密码管理局或者各省（区、市）密码管理局提出“商用密码产品出口许可”申请，办理《商用密码产品出口许可证》。

《密码法》实施近1年后，商用密码进出口清单终于发布，并且根据63号公告的相关规定，2021年1月1日该公告正式实施后，此前的一系列关于商用密码进出口管理的公告将被同时废止。

据此，自今年开始主管部门将主要以《密码法》、《出口管制法》、《海关法》以及63号公告的内容为基础，对商用密码的进出口活动进行管理。另外，为了贯彻落实《密码法》，实现与上位法的一致性，《管理条例》也在2020年开始了新一轮的修订工作。

三、商用密码产品的进口

1.商用密码产品能否进口？

根据《管理条例》、《国务院关于取消一批行政许可事项的决定》以及密码产品的进口办事指南的相关规定，进口申请人只能是外商投资企业、境外组织或个人，且密码产品进口后只能供进口申请人自用而不能转让，内资企业无权从境外进口密码产品。虽然就《密码法》第二十八条以及63号公告而言，并没有对进口申请主体的范围进行明确规定，但是从下述三个方面的变化来看，即（1）《密码法》第二十一条规定了内外资平等原则；（2）63号公告明确将进出口的商用密码纳入两用物项和技术的管理范畴；（3）申请主体表述为“进出口经营者”，我们理解，理论上，作为非涉外主体的内资企业也可以作为进口商用密码的适格主体。当然，相关具体的实施与解释仍有待后续配套法规以及实务操作予以明确。

2.是否需要办理进口许可证

根据国密局字 〔2017〕336号《国家密码管理局关于做好商用密码产品生产单位审批等4项行政许可取消后相关管理政策衔接工作的通知》第三点规定“外商投资企业、境外组织和个人使用的密码产品或者含有密码技术的设备需要从境外进口的,仍应当依法办理《密码产品和含有密码技术的设备进口许可证》。”

根据商务部 国家密码管理局 海关总署公告2020年63号《关于发布商用密码进口许可清单、出口管制清单和相关管理措施的公告》规定“进口《商用密码进口许可清单》所列物项和技术,应向商务部申请办理两用物项和技术进口许可证;”

我们了解到国家密码管理局现在是以最新发布的商务部国家密码管理局海关总署公告2020年63号为准，即落在《商用密码进口许可清单》的产品需要向商务部申请进口许可，不在清单上的不用办理进口许可。

3. 商用密码产品进口后能否转让/销售？

目前的法律法规规定，原则上密码产品进口后只能供进口申请人自用而不能转让。但是我们了解到国家密码管理局后续可能会出台《强制认证清单》，落在强制认证清单上的商用密码产品需要经过强制认证后才能进行销售，没有在清单上的则没有限制。因此今后进口的商用密码产品能否进行销售，大概率也能适用该《强制认证清单》，当然也要看《强制认证清单》的适用对象是否包含外资企业进口商用密码的情形。后续请持续关注国家密码管理局的政策发布动向，本所也会留意关注。

当下全球正处于信息急速传播的时代，部分商用密码由于涉及国家安全、社会公共利益，因此受到国家的严格管控。随着《密码法》以及63号公告的实施，我国将形成一套全新的对于商业密码的进出口管理制度，中外企业应在持续关注未来执法动向的同时，根据相关法规及时建立相应的内部合规管控体系，预防重大违法风险的发生。

附历年关于外资企业使用密码产品的规定：

1.2005年12月11日 国家密码管理局公告 （第 6 号）国家密码管理局关于发布《商用密码产品销售管理规定》的公告

第十五条规定“商用密码产品销售许可单位将商用密码产品销售给在华的境外组织或者个人的,应当核验其持有的密码产品准用证。”  

链接：https://sca.gov.cn/sca/xwdt/2005-12/11/content_1002354.shtml

2.2007年3月24日 国家密码管理局公告 （第 8 号） 国家密码管理局关于发布《商用密码产品使用管理规定》的公告

第九条规定“外商投资企业(包括中外合资经营企业、中外合作经营企业、外资企业、外商投资股份有限公司等)确因业务需要,必须使用境外生产的密码产品与境外进行互联互通的,经国家密码管理局批准,可以使用境外生产的密码产品。

外商投资企业申请使用境外生产的密码产品,应当事先填写《使用境外生产的密码产品登记表》,交所在地的省、自治区、直辖市密码管理机构。

省、自治区、直辖市密码管理机构自受理申请之日起5个工作日内,对《使用境外生产的密码产品登记表》进行审查并报国家密码管理局。

国家密码管理局应当自省、自治区、直辖市密码管理机构受理申请之日起20个工作日内,对《使用境外生产的密码产品登记表》进行审核。准予使用的,发给《使用境外生产的密码产品准用证》。《使用境外生产的密码产品准用证》有效期3年。”

链接：https://sca.gov.cn/sca/xwdt/2007-03/24/content_1002356.shtml

3.2007年3月24日国家密码管理局公告 （第 9 号） 国家密码管理局关于发布《境外组织和个人在华使用密码产品管理办法》的公告

第六条规定“境外组织或个人使用的密码产品需要从境外进口的,应当申请办理《密码产品进口许可证》。

密码产品入境时,境外组织或个人应当向海关如实申报并提交《密码产品进口许可证》,海关凭此办理验放手续。”

链接：https://sca.gov.cn/sca/xwdt/2007-03/24/content_1002357.shtml

4.2010.01.01生效的国家密码管理局、海关总署公告第18号—第一批《密码产品和含有密码技术的设备进口管理目录》（已废止）

第四点“进口单位知道或者应当知道其所进口的商品含有密码技术，但暂未列入目录的，也应当申领密码进口许可证。进口时，应主动向海关提交密码进口许可证。”

5.2017.10.11 国密局字〔2017〕336号《国家密码管理局关于做好商用密码产品生产单位审批等4项行政许可取消后相关管理政策衔接工作的通知 》

第三点“生产、销售商用密码产品的单位无需再经国家密码管理局批准,但生产、销售的商用密码产品仍应当依法办理《商用密码产品型号证书》。外商投资企业使用境外生产的密码产品、境外组织和个人使用密码产品或者含有密码技术的设备,无需再经国家密码管理局批准,但外商投资企业、

境外组织和个人使用的密码产品或者含有密码技术的设备需要从境外进口的,仍应当依法办理《密码产品和含有密码技术的设备进口许可证》。”

链接：https://www.oscca.gov.cn/sca/xwdt/2017-10/11/content_1015813.shtml