|
【202211072】网络爬虫行为的刑法规制
文/胡立平
作者单位：中国政法大学陕西省延安市人民检察院
专题分类：网络犯罪
期刊栏目：观点撷要
作为自动搜索和抓取网络信息的程序，网络爬虫技术应用广泛，然而不当使用可能导致违法甚至犯罪的发生。笔者拟就网络爬虫刑法规制问题进行探讨。
一、网络爬虫行为刑法规制存在的问题
第一，立法滞后。网络安全法、数据安全法、个人信息保护法等法律法规的颁布，为网络数据安全提供了专业化多维度的保护机制和规范依据。然而，网络空间是一个正在快速成长的特殊空间，涌现出许多传统领域所不具有但网络空间经常出现的法律问题。现有法律法规较为抽象和笼统，特别是对如何惩治侵犯数据安全的犯罪行为规定得较为原则，对于使用何种程序、工具获取数据会构成犯罪并未进行细化。我国网络安全领域的立法尚须进一步完善。
第二，司法实践面临难题。网络爬虫多样复杂的实践表现与法律规定的原则笼统，给司法实践带来难题，主要表现为违法性判断难、刑事责任认定难、取证难。
二、网络爬虫行为刑法规制的思路
（一）对于网络爬虫行为，刑法规制应既不越位又不缺位。不越位是指刑法规制应始终坚持谦抑克制原则。违法爬虫行为能由民法、行政法等其他部门法所规制的，刑法不应当介入；即使爬虫行为导致了严重后果，但尚未被刑法规定为犯罪的，也不能用非法获取计算机信息系统数据罪等“口袋”罪名强行入罪，以免刑法规制的扩大化。不缺位是指如果爬虫行为已经侵犯刑法所保护的法益，就应当严格追究行为人的刑事责任，不能因担忧刑法规制会妨碍数据经济的发展而予以放纵。
（二）立法需要不断细化和完善。第一，逐步建立网络信息领域的部门法体系。将网络信息领域现有的法律法规进行整合，并根据现实需要进一步补充和完善立法，逐步形成以个人信息保护法为基本法的部门法体系，从而更加有效地打击网络犯罪和保护网络数据安全。第二，进一步明确网络爬虫行为的刑事违法性。一是由法律或司法解释对包括网络爬虫在内的影响网络数据安全的行为直接作出规定，明确哪些爬虫行为违反了刑法规定。二是对网络爬虫行为入罪标准予以量化。法律需要对包括网络爬虫在内的侵犯数据安全的行为本身进行考量和评价，制定具体的入罪标准。第三，完善行业规范。如，网络运营者以经营为目的收集重要数据或个人敏感信息的，应向所在地网信部门备案。备案内容包括收集使用规则，如收集使用的目的、规模、方式、范围、类型、期限等，但不包括数据内容本身。网络运营者对收集、传输数据的过程要进行记录和保存，以便办案取证。
（三）完善入罪路径。网络爬虫行为的入罪路径可归纳为两个方面。
1.行为不法，指网络爬虫在未获授权或者超越授权的情况下，避开或者突破访问限制抓取数据的情形。行为不法可分为三种情况：
一是突破反爬虫措施抓取数据的单纯爬虫行为。网络爬虫技术具有避开或者突破访问限制的功能，但无论是违反Ro-bots协议、模拟浏览器、IP代理，抑或第三方验证码，其并未达到侵入计算机信息系统的程度，而且更为重要的是，在脱离其他技术的帮助下，爬虫技术所能抓取到的数据是计算机信息系统开放的数据。因此，单纯的网络爬虫技术行为不宜被评价为非法获取计算机信息系统数据罪，但可能要承担相应的民事责任。
二是爬虫技术配合其他技术手段侵入计算机信息系统并对数据进行抓取的行为。行为人通过黑客技术、利用计算机系统漏洞或者登录账号密码非法侵入计算机信息系统后，再使用爬虫技术对系统内的数据进行爬取。这种情形下，爬虫行为作为犯罪手段的一部分，具有刑事可罚性，适用的罪名主要是非法获取计算机信息系统数据罪。实践中，网络爬虫行为既可能侵犯计算机信息系统的安全，构成非法获取计算机信息系统数据罪，又可能因侵犯数据所承载的其他法益而构成犯罪，如侵犯公民个人信息罪等。从法规范的特殊性来讲，应尽量适用侵犯数据所承载的其他法益而构成的罪名，避免非法获取计算机信息系统数据罪口袋化。
三是爬虫行为妨害到计算机信息系统的正常运行。这种情况下，后果轻微的由治安管理处罚法调整，予以行政处罚；后果严重的由刑法规制，构成破坏计算机信息系统罪。
2.对象不法，指爬取或使用数据的行为侵犯了数据所承载的法益。根据数据的开放程度和类型，对象不法可分为三类：
一是抓取、使用公开的普通数据，一般不具有违法性。权利人将数据公开在网络上并不采取措施加以保护，即权利人应当预知到数据能被他人随时随地获取，而予以放任、允诺或授权，数据资源由私有产品变成数字化公共资源。这种情况下，即使抓取和使用数据的行为对权利人造成了一定的损害，也因为被害人的先前行为成为阻却违法性事由。
二是抓取、使用公开的但限制另行使用的数据，根据行为与危害程度分别承担民事、行政或者刑事责任。这一类数据主要有个人信息类数据、著作权类数据。网络平台数据常常包含大量的个人信息，平台数据既可以是个人所有、平台所有，也可以是个人与平台共有。根据我国法律对个人信息保护的规定，个人信息的收集和使用需要经被收集者同意。因此网络平台上公开的个人信息数据并不意味着可以被随意抓取和使用，未经个人同意的使用（含收集）即构成违法或犯罪行为。
爬虫行为如果侵犯著作权，在构成民事侵权的同时，也可能构成刑事犯罪。二者的区别在于：侵犯著作权罪主观上以营利为目的，而民事侵权则无此要求；侵犯著作权罪仅限于六种严重侵犯著作权的行为，而民事法律调整的范围则非常广泛；从数额和情节上看，构成侵犯著作权罪需达到违法所得数额较大或者有其他严重情节，对违法所得数额较小或者不具有严重情节的，应当追究民事责任。
三是抓取、使用采取技术保护措施的数据，将构成侵犯网络数据的相关犯罪，如侵犯公民个人信息罪等，并且可能同时构成危害计算机信息系统安全犯罪。
（四）建立专业化的办案组织、完善网络数据司法鉴定机制。面对网络爬虫等计算机技术犯罪行为日益专业化、复杂化的形势，建议司法机关招聘计算机专业人才，成立专门的办案组织办理这一类型的案件。同时，针对网络数据犯罪电子证据易改动、难保存、数据量大的问题，需要进一步完善电子证据的司法鉴定机制。
【注释】
作者系中国政法大学博士研究生、陕西省延安市人民检察院检察长
|