自2026年3月23日起，香港警方将拥有直接要求个人解锁手机的权力，无需搜查令或法官批准。若拒绝配合，将面临一年监禁及10万港币罚款。这一并非虚构的场景，而是上周正式刊宪的《国家安全法》修订条款中的明确规定。

从授权审批到现场执法：权力边界的悄然扩展

香港国安法自2020年实施以来，警方已逐步获得数字搜查权限。然而，此前调取加密数据需经过较高层级的行政审批流程，存在一定门槛。此次行政长官李家超绕过立法会，通过刊宪形式直接推行修订，将原本的“授权审批”转变为“现场指令”，标志着执法权力的显著扩张。

修订条款的覆盖范围被刻意设计得模糊而广泛。其中，“任何密码或其他解密方式”不仅包括传统的六位数PIN码，还涵盖指纹、面容识别等生物识别技术，甚至企业级加密密钥。更为关键的是，所有“知悉访问细节的人”，如IT管理员、商业伙伴或家庭成员，均被纳入强制配合义务的范围之内。这意味着，即使你只是知道妻子的手机密码，也可能被要求提供。

提供错误密码或误导性凭证的代价将更为沉重。根据修订条款，此类行为将直接导致三年监禁。这种设计使得“记错了”成为高风险辩护，客观上迫使被询问者选择过度配合，而非试探法律边界。

自2020年国安法生效以来，当局已逮捕386人，其中176人被判有罪。这一数字不仅反映了执法力度，更建立了一个关键先例：即“国家安全威胁”的解释空间足够宽泛，可以涵盖从街头抗议到加密通讯等多种行为。

旅行者的数字陷阱：Signal、VPN使用需谨慎

对于科技从业者而言，这条法规的杀伤力在于它将日常工具变成了潜在罪证。使用Signal、Telegram等端到端加密通讯工具，或运行VPN绕过网络审查，在香港机场海关可能触发额外审查。这意味着，即使你只是出于隐私保护目的使用这些工具，也可能面临法律风险。

海关同时获得了扣押“煽动性”材料的权力。你的笔记本电脑、外置硬盘、云存储访问记录等，都可能被现场检查。结合强制解锁条款，设备加密从隐私保护变成了法律义务。你必须能够打开设备，且必须当场打开，否则将面临法律后果。

企业IT部门的处境尤为尴尬。跨国公司香港办公室的加密密钥管理、远程擦除策略、员工设备合规流程等，全部需要重新设计。例如，当一个香港员工被扣留并要求解锁公司设备时，IT负责人是否应远程协助？协助可能触犯本地法律，不协助则可能违反雇佣合同。这种两难境地使得企业IT政策面临严峻挑战。

英国法学家Urania Chiu对此评价道，这些权力“严重不成比例”，且“未经司法授权”。她的批评指向了一个核心矛盾：香港政府声称这些措施符合人权标准，但执行机制却完全排除了法官的事前审查。这引发了关于权力制衡与法治原则的深刻讨论。

技术对抗的困境与挑战

面对这一法规，有人可能会考虑使用隐藏分区、可否认加密（Deniable Encryption）等技术手段来应对。然而，这些方法在法律上存在极大风险。

可否认加密允许同一设备呈现不同数据层，但香港条款的“任何解密方式”表述足够宽泛，可以涵盖隐藏分区的访问口令。此外，声称遗忘密码在三年刑期的威慑下，辩护成本极高。因此，这些技术手段并不能成为有效的法律屏障。

更务实的选择可能是设备隔离：入境香港时使用空白设备，敏感数据通过端到端加密即时通讯临时传输，离境前彻底擦除。然而，这套流程对普通商务旅客而言过于复杂，且海关的“煽动性材料”定义模糊，空白设备本身也可能引发怀疑。因此，这一方案在实际操作中存在诸多困难。

生物识别锁的处境尤为讽刺。苹果和谷歌等科技公司致力于将Face ID、指纹解锁等设计成既便利又安全的方案，然而现在它们却成了执法便利工具。你无法声称“忘记”自己的脸或指纹，这使得生物识别技术在法律面前变得脆弱不堪。

香港政府官方立场是这些措施“符合国际惯例”。然而，比较参考对象的选择至关重要。英国《调查权力法》要求法官签发设备访问令，美国《云法案》虽争议巨大，但仍保留司法程序。相比之下，香港模式的特殊之处在于行政长官个人即可推动，无需立法机关辩论。这种模式是否真正符合国际惯例与法治原则，值得深入探讨。

2026年3月23日这个日期值得每个人铭记。届时，香港将完成从“金融自由港”到“数字管制实验区”的身份转换之一环。对于习惯把设备加密当作默认设置的科技从业者而言，下次出差前可能需要重新评估：哪些数据值得随身携带，哪些应该留在云端——以及，哪些云端本身就已经不安全了。

面对这一法规挑战，你的公司IT政策更新了吗？