英國最高法院的間諜軟體國家豁免判決

英國最高法院 7 月 27 日以三比二駁回巴林政府的上訴，兩位住在英國的原告可以繼續告巴林。一般情況下外國政府不能在別國法院被告，這叫國家豁免，巴林主張自己享有這項豁免。原告主張巴林用 FinSpy（間諜軟體）入侵他們的電腦，巴林否認指控。判決只決定英國法院能不能受理，英國以外的法院依各自的法律判斷。

《1978 年國家豁免法》第 5 條規定，外國政府在英國做的事造成死亡、人身傷害或有形財物損壞時，不能主張豁免。原告主張的是人身傷害，也就是得知遭入侵後出現精神傷害。只有資料外洩或經濟損失、沒有人身傷害或財物損壞的求償，不在這個例外內。

案子的核心問題是駭客從國外遠端操作、入侵在英國的電腦，算不算在英國做的事。依原告的主張，操作者可能人在國外，透過位在巴林的控制伺服器下指令。

英國加入了《歐洲國家豁免公約》，公約有類似的例外，另外要求加害者當時人在法院所在的國家。雙方都承認，依原告的主張，本案不符合公約的這項條件。但英國《國家豁免法》第 5 條的條文沒有明寫這個條件，所以爭點變成第 5 條要不要照公約的條件來讀。

五位大法官裡，三位多數大法官認為，國會有意不把公約的這項要求寫進第 5 條。他們還認為透過軟體或裝置遠端操作的動作也算在英國做的事，所以從國外操控英國境內的電腦符合例外。另外兩位持不同意見的少數大法官則認為，第 5 條應該照公約的條件來讀，也就是要求加害者當時人在英國。

導讀觀點

巴林主張，造成傷害的是在國外輸入的指令，電腦上發生的事只是後續結果。其中一位少數大法官以隔著界河開槍為例，認為下指令的動作跟開槍一樣發生在巴林這一岸，鏡頭在英國開啟只是結果。原告列出十類發生在英國的動作，例如傳送安裝檔、開啟麥克風與鏡頭、記錄鍵盤輸入。多數大法官認為，這些動作合起來就是在英國進行的監控。

多數大法官舉例，外國政府派人入境殺人時不能主張豁免，巴林也同意這一點。照巴林的解釋，改用國外遙控的無人機殺人卻可以主張豁免，多數大法官認為這種差別不合理。同一位少數大法官回應，1978 年立法時沒人想得到無人機與網路入侵，法律要依立法當時的背景解讀。他也認為，以加害者所在地為準比較明確，容易判斷。

另一個爭點是放寬例外會不會讓英國違反國際法。國際法除了公約，還有各國長期一致遵行、當成義務的做法，稱為國際習慣法。多數大法官認為公約允許各國放寬例外，英國把例外用在外國政府行使國家權力的行為上，也有國際習慣法上的合理依據。行使國家權力的行為指政府以國家身分做的事，相對於一般的商業往來，本案指控的入侵雙方都同意屬於前者。

巴林主張放寬例外會讓英國違反公約與國際習慣法。同一位少數大法官也同意，因為公約允許的放寬不能超出國際習慣法。他指出，國際習慣法只容許加害者身在當地時的例外，也找不到任何一個國家在加害者不在當地時不給豁免。

案子回到一審的高等法院後才會審入侵是否屬實，原告要證明入侵出自巴林，也要證明入侵造成了傷害。Citizen Lab 與 Access Now 的研究者在 Lawfare 的文章提到英國另一起案件，原告靠專家鑑識證明手機遭另一款間諜軟體 Pegasus 入侵。被告國在法院認定不能主張豁免之後就不再參與訴訟，法院最後判原告勝訴。研究者也寫到，外國政府實際出庭答辯時，這類訴訟的結果仍難預料。

原告就算勝訴，外國政府的財產原則上也不能扣押來執行判決。依《國家豁免法》，只有財產用於商業或該國書面同意時，原告才能扣押。

懷疑裝置遭間諜軟體入侵的人，可以寫信給 Access Now 的免費數位安全專線。到 9 月 29 日為止，說明頁寫明兩小時內回覆，受理前會先確認是否在服務範圍。專線的十種語言沒有中文，可以用英文聯絡。比較各地的法律時，可以問遠端入侵算不算當地發生的事、要證明到什麼程度才算外國政府所為、放寬豁免的例外會不會違反國際法，以及判決能不能執行。