大数据行业刑事法律风险分析

随着公信宝、快钱支付、天翼征信等相继被调查，整个数据行业，包括“爬虫公司”、征信公司，以及与数据行业合作较多的行业，都噤若寒蝉，如履薄冰。行业内人士纷纷表示，数据行业因没有划好明显的边界，所以大家都是撞线式经营。不知道风险从哪里来，哪条业务会踩了红线，也不知道红线在哪里。那么数据行业刑事法律风险如何进行防控呢？可以在行业业务流程的每个环节上进行探析，即包含了从上游非法获取数据、经过精准化处理后向下游贩卖数据两个基本方向。

大数据公司获取数据的方式除了自行收集获取，还从其他握有一手数据的数据公司处取得二手数据,以及获取数据非常常见的“网络爬虫”等手段。网络爬虫是一种按照一定的规则，自动地抓取万维网信息的程序或者脚本。在本轮打击风暴中，爬虫企业占了大多数。

数据公司将获取的数据经过特殊“清洗”脱敏处理，向有数据需求的客户进行交易，以达到盈利的目的。从目前涉刑的案例和业内讨论来看，数据获取阶段、数据流出阶段可能触犯的罪名主要有三类：

第一类，危害计算机信息系统类犯罪，主要涉嫌罪名为非法获取计算机信息系统数据、破坏计算机信息系统罪。

图1：近年全国范围内非法获取计算机信息系统数据、非法控制计算机信息系罪的案件量大幅上升

非法获取计算机信息系统数据罪是《中华人民共和国刑法修正案（七）》增设的一个罪名，是指违反国家规定，侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，情节严重的行为。

即若数据公司行为符合“非法侵入+获取”，或者符合“利用其他技术手段+获取”，则构成本罪。在以往判例中，司法机关主要基于以下两种路径判定对计算机信息系统的“侵入”。一是无用户身份的侵入，即通过盗取、破解密码等方式进入系统；二是超权限访问的侵入，即具有合法用户身份，但超越自身授权范围访问信息资源。若行为人具有访问权限，且其获取的数据属于其职权范围内可以知晓的内容，只是获取数据的表现形式及访问效率有所差别，但无本质不同，可以在不构成本罪的方向进行辩护。

案例：“爬虫技术”触犯非法获取计算机信息系统数据罪

2018年，北京市海淀区人民法院对一起利用“爬虫技术”侵入计算机系统抓取数据案作出判决，该案被“互联网法律大会”列为全国首例利用“爬虫技术”侵入计算机系统抓取数据案。据公开的判决信息显示，被告单位CEO、技术负责人等公司主管人员共谋，采用技术手段抓取被害单位北京某网络技术有限公司服务器中存储的视频数据，并破解被害单位的防抓取措施，使用“tt_spider”文件实施视频数据抓取行为，造成被害单位损失技术服务费人民币2万元。

法院认为，被告单位违反国家规定，采用技术手段获取计算机信息系统中存储的数据，情节严重，其行为已构成非法获取计算机信息系统数据罪；公司CEO、技术负责人等作为直接负责的主管人员及其他直接责任人员，分别被法院判处有期徒刑九个月至一年不等的刑罚及人民币三万元至五万元不等的罚金。

第二类，侵犯公民个人信息罪

图2：近年全国范围内侵犯公民个人信息罪的案件量大幅上升

在获取数据阶段，或者数据流出阶段，大数据企业都可能涉嫌到侵犯公民个人信息罪。根据《刑法》有关规定，违反国家规定，向他人出售或者提供公民个人信息，情节严重的，以及在履行职责或者提供服务过程中获得的公民个人信息出售或提供给他人的，构成侵犯公民个人信息罪。

“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息,包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。经过处理无法识别特定自然人且不能复原的信息，虽然也可能反映自然人活动情况，但与特定自然人无直接关联，不属于公民个人信息的范畴。

对外提供公民个人信息的最主要要求就是“经被收集者同意”，或者对外提供的是经过处理无法识别特定个人且不能复原的信息，也即不能识别到特定个人的信息不属于刑法保护的公民个人信息范畴。

案例：新三板上市企业“数据堂”侵犯个人信息罪

2019年2月19日，山东省临沂市中级人民法院对一起大数据公司侵犯公民个人信息案件作出判决。“数据堂”公司成立于2011年，被称为“国内首家大数据交易平台”。2014年新三板上市企业，市值一度达21亿。“数据堂”公司业务模式主要为由资源合作部购入数据，将数据进行解析、加工、处理，分别打上不同的标签后，再由产品组利用数据发送系统自动将数据发送给客户。数据堂公司共向某时公司交付包含公民个人信息的数据60余万条。金时公司通过被告人丁某的QQ邮箱共计向客户发送公民个人信息168万余条。

法院认定数据堂公司售卖的数据含有手机号码等公民个人信息的事实。并将向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数进行累计计算。法院判决涉案常某等21人犯侵犯公民个人信息罪，并判处四年六个月至十个月不等的有期徒刑。

第三类，侵犯商业秘密、侵犯著作权罪等其他罪名。

如果爬取的是商业营利性网站，该类网站除需要用户名+密码的方式登录之外，运营商还采取技术措施防止他人恶意登录、攻击。在获取用户授权的情况下，从刑法的角度来看，很难认定为侵犯公民个人信息犯罪。但是，可能涉及到侵犯商业秘密、侵犯著作权等相关法律规定，甚至构成侵犯商业秘密罪或者侵犯著作权罪。

一旦前述行为给商业秘密的权利人造成的损失达到50万元以上，则应当按照《刑法》第二百一十九条侵犯商业秘密罪定罪处罚，行为人将面临最高七年有期徒刑，并处罚金的处罚。

如果爬取具有著作权属性的文字或者信息，则有可能违反《著作权法》第十条规定的著作权相关的内容，涉嫌侵犯知识产权。

如果企业已潜伏刑事风险，就应当及时做好危机管控，尽力将刑事责任降至最低，这就涉及到刑事危机的合规应对。这种情况下律师提供的刑事合规法律服务，不是为了帮助企业逃避刑事责任追究，而是为了帮助企业做好刑事危机的有效应对。大数据企业刑事合规经营，需在“拿”、“用”、“管”三个层面，业务流程的各个环节切实做好风险防控。

朱建波律师介绍

朱建波，山东崇杰律师事务所刑事法律事务部主任，硕士研究生学历，资深检察官、国家公诉人，多次被省、市检察机关表彰为十佳公诉人、优秀检察官、最佳辩手荣誉称号。朱建波律师刑事案件办案经验丰富，经办过各类重大刑事案件几百余件，熟练掌握各类刑事案件的办理流程和司法判定标准，曾经办理的马崟抢劫杀人案被中央电视台《庭审现场》全程直播。朱建波律师办案过程中，以检察官的标准严格要求自己，对当事人认真负责，切实维护当事人权益，尤其擅长经济犯罪、暴力犯罪、毒品类犯罪、职务犯罪的辩护。