应用未明，监管先行——评《区块链信息服务管理规定》

2019年1月10日，国家互联网信息办公室（“网信办”）正式公布了《区块链信息服务管理规定》（“《规定》”）。《规定》自2月15日起生效。这距网信办发布其征求意见稿仅过了不到三个月的时间。虽然自2014年起，网信办已多次将某一特定行业（如新闻）或平台（如微博/群组/论坛）的互联网信息内容服务单列为监管对象，但本《规定》是首次针对运用某一特定技术提供信息服务的行为。鉴于区块链技术在业界尚无统一标准，且除去几种承载虚拟货币的公有链以外，区块链的业务应用场景仍处探索阶段，网信办基于现有与信息内容监管相关的各种规章制定本《规定》时，似乎未充分考虑区块链本身的技术特征及其限制，从而导致《规定》提出了许多与区块链技术特征相悖的监管要求。这对相关行业公司的合规工作而言，不啻为巨大的挑战。

一、定位与适用范围

根据《规定》，网信办作为全国互联网信息内容管理机构，对于在中华人民共和国境内，基于区块链技术或者系统，通过互联网站、应用程序等形式，向社会公众提供信息服务的行为开展内容管理及监督执法工作。其中，“向社会公众提供信息服务”这一描述，似乎排除了部分不提供公开访问渠道的私有链及行业内部联盟链，例如银行/券商的清算/结算系统或各政府部门间的公文流转系统；本《规定》仅适用于那些对外提供信息服务（如发布、查询或类似功能）的私有链或联盟链，以及所有公有链。至于某些写入权限集中、且仅提供间接查询端口的联盟链（如用于产品溯源的区块链），或某些仅记录交易状态、不能添加信息内容的区块链是否也属于“向社会公众提供信息服务”，仍有待网信办在今后实践中的进一步阐释。

适用范围方面，《规定》将相关主体划分为区块链信息服务提供者（“区块链提供者”）和区块链信息服务使用者（“区块链使用者”），这一模式与现行的信息服务法规体系中，将监管对象分为“服务提供者”和“服务使用者”的模式一脉相承。其中，区块链提供者包括向社会公众提供区块链信息服务的主体或者节点，以及为区块链信息服务的主体提供技术支持的机构或者组织。以如此宽泛的方式定义区块链提供者，使《规定》的适用范围不仅包括了在类似以太坊、EOS等公有链上开发和运营DApps的个人/机构/组织以及提供BaaS (Blockchain as a Service)或区块链底层技术定制方案的机构/组织，基于区块链网络的点对点（P2P）特性，甚至还可能包括某些为使用区块链网络而接入该网络、从而成为节点的个人/机构/组织，如运行比特币原版钱包程序的个人，或在某些联盟链上作为见证节点的普通用户。考虑到区块链与普通数据库的本质区别即在于其数据储存去中心化、数据写入由各节点共同见证等特征，节点数量的多少将根本影响该区块链的公信力。若将节点简单等同于区块链提供者，要求所有节点承担与真正意义上区块链提供者相同的义务，会迫使区块链提供者尽可能减少普通用户直接参与区块链见证的机会，而只向其提供间接的查询端口（如网页查询）。这会显著降低区块链相关业务的可信度，与区块链技术的初衷背道而驰。可以预见，在《规定》的合规压力下，国内区块链行业将会进一步向更封闭的私有链或联盟链方向发展。由于无法区分区块链提供者和区块链使用者，公有链的合规义务主体在《规定》的定义下更是无从谈起。对于在以太坊等公有链上进行二次开发的国内创业团队而言，《规定》的正式颁布可能成为巨大的利空消息。

二、监管对象

根据国务院2014年的授权，网信办负责全国互联网信息内容管理及监督执法工作。从这一意义上来说，《规定》主要针对基于区块链技术或系统的狭义上的信息内容服务，而非《互联网信息服务管理办法》下的广义上的信息服务。即使单从《规定》条款的内容来看，除去直接源自《网络安全法》（“《网安法》”）的信息服务提供者义务以及与《非经营性互联网信息服务备案管理办法》十分相似的备案相关要求，该《规定》的大部分规范性条款源自网信办此前发布的如《微博客信息服务管理规定》（“《微博规定》”）、《互联网用户公众账号信息服务管理规定》（“《公众号规定》”）和《互联网跟帖评论服务管理规定》（“《跟帖规定》”）等类似规章，凸显了《规定》着重于“内容管理”的本质。

然而，区块链技术脱胎于比特币的交易网络，本质上是一种分布式、不可篡改的数据库系统。无论是从技术特征还是从行业现状来看，当前以及未来很长一段时间内，我们将很难看到区块链用于信息内容服务本身的应用场景。事实上，尽管在工信部编制的《2018年中国区块链产业白皮书》中详细列举了区块链已有的和将来的二十多种应用场景，但其中没有任何与区块链信息内容服务相关的前瞻性论述。在《规定》正式生效后，网信办如何把握其“信息内容管理和监督执法”权限和监管《规定》下所有“区块链信息服务提供者”的职责之间的界限，有待进一步观察。

三、监管方式

如上所述，《规定》采用了服务备案与内容管理并行的监管方式。服务备案方面，这是网信办首次履行与工信部的非经营性网站ICP备案类似的备案管理职责，两者区别为：

与要求接入前即完成备案的ICP备案相比，区块链备案的要求显然更为宽松，允许区块链提供者在服务上线或变更后及时递交包括服务提供者名称、服务类别、服务形式、应用领域、服务器地址等备案信息即可。对于已上线的区块链项目，相应的区块链提供者可在《规定》生效后的二十个工作日内（即2019年3月15日前）补办备案。基于ICP备案的实践，可以预见，区块链服务备案可能也会采取“（国家）网信办统一备案平台+省级网信办属地管辖负责具体审批”的模式。

内容管理方面，《规定》大量参考了先前的《微博规定》、《公众号规定》和《跟帖规定》，将区块链视为通常意义上的信息内容发布渠道，要求区块链提供者承担与微博/公众号信息服务提供者类似的信息安全管理责任。这些责任不仅包括如不得发布法律法规禁止内容等一般规定，还要求区块链提供者具有针对该等信息发布、记录、存储、传播的即时和应急处置能力—在传统的信息内容管理场景下，往往意味着阻止发布、删除内容、限制分享等措施——而这些在区块链信息内容管理的场景下却很难做到。区块链的技术特征决定了，信息一旦储存至区块链即无法更改，否则将导致其后写入的所有信息同时失效。这是否意味着区块链上记录的任何内容都会因同一条链上先前内容的违规而随时可能被删除？抑或是今后用于业务场景的区块链均不再直接记录任何信息内容，而将所有可能触发该等合规风险的信息全部缓存到相应的侧链上？《规定》正式生效前，这些看似无解的问题将是区块链提供者应重点关注的技术改造指南。

值得注意的是，变更服务项目时，区块链提供者不仅需要事后及时履行变更备案的义务，如变更涉及新产品、新应用、新功能，区块链提供者还应报国家和省级网信办进行安全评估。与通常信息技术法规或规范下的两大安全评估（即数据安全评估和系统安全评估）不同，从网信办此前制定并发布的《互联网新闻信息服务新技术新应用安全评估管理规定》和《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》可知，网信办的安全评估将更关注区块链提供者对上述违法信息的应急处置能力。鉴于此，今后网信办可能会通过要求在申报变更备案的同时递交安全评估报告的方式，督促区块链提供者加强内容管理的制度建设。

四、法律责任

区块链提供者违反《规定》下大部分义务时，均有可能被网信办处以警告、责令限期改正、暂停相关业务等处罚，并处以五千/一万/两万以上，三万以下不等的罚款。如区块链提供者违反《规定》第八条实名认证义务或第十六条及时处理违法信息义务，则需根据《网安法》第六十一条或第六十八条承担更严格的法律责任，包括由相关主管部门责令改正、给予警告、没收违法所得；情节严重的，可能被处以五万或十万至五十万的罚款、责令暂停相关业务、要求停业整顿、关闭网站、吊销相关业务许可证或吊销营业执照，直至对直接主管的主管人员和其他直接责任人员处以一万至五万/十万的罚款；如区块链提供者或区块链使用者制作、复制、发布、传播违法信息触犯《刑法》的，相关人员还有可能被追究刑事责任。

五、行业影响

近两年来，不少公司为了蹭上区块链的热点，想方设法将原有业务与之挂钩，或干脆声称要另起炉灶转型为区块链技术公司，其中不乏实际上并没有真实区块链技术支撑的“伪区块链”项目，例如利用完全由单一主体控制的私有链或传统数据库而非分布式的区块链储存数据。《规定》生效后，公众可通过查询备案系统的公开信息（如节点数量或节点运营主体信息），更全面地评估某一项目的基本情况，这对净化市场、规范行业发展将大有裨益。但是，另一方面，如区块链提供者严格按照《规定》的要求运营区块链业务，则区块链的实用性将显著受限；很多情况下，甚至还不如使用传统数据库。实践中如何在合规与实用性间取得微妙的平衡？待《规定》正式生效后，我们期待诸多区块链提供者们对此能交出令监管部门和市场同时满意的答卷。

作者往期文章推荐