卢霁｜规制数据爬取行为的经纬定向：阶段行为与侵犯法益|保护法|刑法|安全法|客体|法益|犯罪

来源：滚动播报

（来源：上观新闻）

数据爬取包括目标选取、系统进入、数据获取和存储以及后续数据利用等前后衔接的四个行为。其中，目标选取属于预备行为，尚不足以单独评价；后续数据利用虽然假借数据之名，实则是对于数据所承载的信息进行利用，因而不宜纳入数据犯罪领域进行评价。严格来说，系统进入行为侵犯数据处理系统安全法益，并不属于数据犯罪，此时应当界分进入系统类型以及造成影响程度进行讨论。值得注意的是，虽然数据获取和存储行为属于数据犯罪并无疑义，但是数据犯罪保护法益本身存在争议，爬梳现有数据法益观点，数据本身安全法益和数据状态安全法益更能体现数据犯罪独立特性，但是数据状态安全法益过于侧重对于数据处理过程的保护进而模糊了其与数据处理系统安全法益的界限，难以作为数据犯罪的保护法益。因而数据获取和存储行为实则侵犯数据本身安全法益中的保密性要求，但是数据代码的保密性并非与生俱来，仍然需要其他要件作为补强。

引言

数据爬取，是指运用网络爬虫（Web Crawler）技术，通过模拟人工点击的方式对互联网数据信息进行自动爬取。网络爬虫技术运行原理如下：（1）根据搜索目的建立待爬取的页面地址（URL）；（2）逐一进入待爬取的页面地址；（3）自动识别页面数据并将其储存；（4）循环往复直至解析全部页面地址。概括来说，网络爬虫的工作流程包括：目标选取、系统进入、数据获取以及存储，以及后续数据利用。

在中国裁判文书网上，以2025年3月31日为日期节点，以“爬虫”为关键词，共检索到裁判文书789篇，其中刑事案件裁判文书101篇、民事案件裁判文书638篇、行政案件裁判文书11篇。通过对于上述刑事案件文书进行分析，发现针对数据爬取行为本身存在适用罪名竞合、犯罪对象模糊问题，具体表现为非法获取计算机信息系统数据罪与侵犯公民个人信息、商业秘密以及知识产权犯罪界分不清。本文认为，上述司法裁判飘忽不定的缘由在于对数据、信息以及计算机系统的概念内涵存在理解偏差。

若要厘清如何对于数据爬取进行规制，需要先对上述概念进行清晰界定：

首先，数据是承载信息的形式，信息是数据传递的内容。数据分层理论认为数据可以分为物理层、符号层以及内容层：物理层，是指数据的物理本质为电或磁刻录于特定载体；符号层，是指数据的表现形式为0和1组成的序列排布；内容层，是指数据的存在意义是通过特定转换程序翻译为可供人识别的信息。基于上述理解，数据如同“文字”，物理上讲是呈现在纸张上的墨迹，符号上讲是由横竖撇捺形成的特定组合，内容上讲是传递特定含义的载体。数据安全法第3条第1款同样认可数据是指信息的载体。

其次，计算机系统是指针对数据进行翻译的特定程序，而非针对信息。计算机系统应是可以识别数据载体并将数据从符号翻译为内容的转换程序。基于上述理解，计算机系统好比“翻译”，不仅能够看到涂有墨迹的纸张，并且能够识别墨迹表明的含义，再将其用接收对象可以听懂的语言表达。虽然《计算机信息系统安全保护条例》第2条认为计算机系统是指基于硬件设施对于信息作出处理的系统，但是，基于前述理解，计算机系统处理对象应为数据而非信息，《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称“《计算机信息系统安全犯罪司法解释》”）第11条第1款同样认为计算机信息系统或者计算机系统是指对于数据作出处理的系统。

依据前述理解，完整的数据爬取工作流程包括目标选取、系统进入、数据获取以及存储、后续数据利用。然而，后续数据利用虽然假借数据之名，实则是对于数据所承载的信息进行利用，因而应当按照信息犯罪进行处理，不应纳入数据犯罪领域进行评价。同样，目标选取行为性质属于犯罪预备行为，在立法尚未规定将其预备行为正犯化之前，其本身不能独立作为不法行为进行评价。因此，针对如何规制数据爬取应当聚焦“系统进入”和“数据获取以及存储”并且分别进行评价：值得注意的是，前者是针对数据处理系统实施的行为，影响程度分为系统完全难以运行、系统运行受控以及系统运行受限；后者是针对数据本身实施的行为，需要考虑符号层由0和1组成的数据代码是否值得保护。

一、数据犯罪应是以数据本身直接作为侵害对象的犯罪行为

针对数据犯罪的概念范畴，我国学界目前尚未达成统一认识。立法论学者对此作出了广义、狭义两种解读：前者认为只要是围绕数据处理形成的犯罪都属于数据犯罪，后者认为唯有将数据作为犯罪对象才算数据犯罪。解释论学者基于我国现行立法，认为刑法第285条第2款和第286条第2款均可算作数据犯罪的典型情形；但是存在相反观点认为刑法第286条第2款虽然规制以数据作为具体侵害对象的犯罪行为，但其根本目的仍是借此确保计算机系统正常运行，难以算作数据犯罪，因而理应纳入传统的计算机系统犯罪范畴。

本文认为，狭义数据犯罪应是以数据本身直接作为侵害对象的犯罪行为。因而数据犯罪应与信息犯罪相互区别，其并不包括直接以公民个人信息、商业秘密、知识产权以及国家秘密等特定信息作为侵害对象的犯罪。同时数据犯罪应与数据处理系统犯罪相互区别，其并不包括直接以计算机系统等数据处理系统作为侵害对象间接影响数据本身的犯罪。同样，数据犯罪亦应与传统犯罪相互区别，其并不包括以数据作为实施手段的诈骗、盗窃等传统犯罪。

值得注意的是，针对数据处理系统实施侵害的行为并不算作数据犯罪。虽然这类行为可能通过影响数据处理系统进而影响数据本身，但是这类行为仍然属于“计算机信息系统犯罪”；即便随着科技发展，传统PC终端逐渐被新型移动终端（如智能手机、平板电脑、传感器和RFID等）所取代，但是《计算机信息系统安全犯罪司法解释》第11条第1款同样将“计算机系统”扩展至“数据处理系统”，因而“计算机信息系统安全法益”完全可以涵摄针对数据处理系统实施的侵害行为。只是，为了避免发生理解错误，进而导致犯罪体系混乱，可以考虑将刑法中的“计算机信息系统安全法益”理解为“数据处理系统安全法益”。

据此，由于系统进入行为是针对数据处理系统实施的行为，严格来说并不算作数据犯罪，并且侵犯法益较为明确——数据处理系统安全，对此只需根据进入系统类型和影响系统程度分类讨论即可。数据获取以及存储行为可以纳入数据犯罪概念范畴应无异议，但是需要先行明确数据犯罪保护法益并且借此建构刑法规制界限。为了便于阅读理解，本文先行论述数据犯罪保护法益，并且主张数据犯罪保护法益可以脱离信息、财产、秩序等传统法益单独存在。具体而言，数据本身安全法益可以充当数据犯罪保护法益，而数据状态安全法益本质是指数据处理系统安全法益，其应作为数据处理系统犯罪保护法益，而非数据犯罪保护法益。

二、既有法益理论难以完全涵摄数据犯罪保护范畴

关于数据犯罪的保护法益，现有观点可以分为既有法益说与新型法益说：既有法益说认为刑法之所以需要保护数据，是因为其本身所承载的信息、所体现的财产属性以及所折射的管理秩序，具体表述为数据信息法益、数据财产法益、数据秩序法益以及融合上述各类法益的数据混合法益；新型法益说认为祛除数据之上添附的各类信息、财产、秩序后，数据本身同样值得刑法保护，一是数据作为由0和1组成的数字序列本身值得保护，二是信息生成数据、数据还原信息的过程值得保护。

（一）

数据信息法益理论及其批判

数据信息法益理论认为数据只是犯罪客体，数据所表征的信息才是受保护法益。虽然对于数据、信息应当作出区分，但是区分目的并非将数据本身纳入刑法保护范畴。同时值得注意的是，数据只是语言交流映射在网络世界的通用表现形式，其作为物质载体本身并不具有独立价值，唯有所承载的内容信息才真正具有价值。相关规范和司法实践也支持这一观点，如《计算机信息系统安全犯罪司法解释》第1条第1款第1、2项明确将获取计算机信息系统数据限定为“身份认证信息”；其次，在“胡某非法获取计算机信息系统数据案”中，鉴于胡某通过对某度公司的计算机系统实施“撞库”攻击，非法获取某度公司储存在该计算机信息系统中的用户身份认证信息，据此法院认为胡某构成非法获取计算机信息系统数据罪。

但是，数据信息法益存在如下问题：

第一，数据信息法益的确立势必会导致数据犯罪与信息犯罪实质趋同，进而丧失法益本身的界分功能和解释功能。法益作为犯罪行为实质侵害内容，具有界分罪与非罪、此罪与彼罪的功能；并且，即便是极其反对法益概念的人，事实上都不得不承认甚至强调法益概念在构成要件上的解释功能，日本学者团藤重光据此指出保护法益是使得构成要件能够定型的最为重要的因素。因此，若是认为数据犯罪受保护法益为信息法益，则会使得数据犯罪沦为信息犯罪的特殊形式，不仅数据犯罪与信息犯罪难以界分、甚至数据犯罪构成要件都需要受制于信息犯罪。同时，如若依循上述观点，数据犯罪范畴便难以涵摄纯正网络犯罪，这种观点明显有悖二者之间的紧密联系。纯正网络犯罪，强调只能借助网络形式实施犯罪行为，主要指针对计算机软件数据实施的破坏性犯罪。此种情形并不属于信息犯罪，却又应当纳入数据犯罪保护范畴。

第二，数据信息法益无法解释非法获取计算机信息系统数据罪与侵犯公民个人信息罪法定刑配置之间存在的差异。根据罪刑均衡原则，犯罪行为的不法程度是由法定刑来表征的，法定刑的配置程度同样也会制约和影响对构成要件的解释。尽管立法层面二者法定刑配置相同，但是司法解释却对此规定了不同的起点刑。立法层面，根据刑法第253条之一第1款和第285条第2款的规定，二者法定刑配置相同，根据情节严重程度，量刑幅度均为“三年以下有期徒刑或者拘役”和“三年以上七年以下有期徒刑”，并且都可判处罚金；司法解释层面，非法获取身份认证信息需要达到五千条以上才能认定为“情节严重”进而构成侵犯公民个人信息罪，但是非法获取“身份认证信息五百组以上”即可认定“情节严重”，构成非法获取计算机信息系统数据罪。

第三，数据信息法益无法解释数据安全法与个人信息保护法并列的立法模式。数据安全法旨在强调数据安全本身即值得保护，内容侧重规范数据处理活动；个人信息保护法旨在强调可以识别特定个体的个人信息方才值得保护，内容侧重保护个人信息权益。由此可见，若是认可数据信息法益，亦即法律保护数据是基于数据所承载的信息，那么数据安全法核心内容应为何种信息受到法律保护以及如何保护，而非不加区分地对于各种数据进行全面保护。因此，数据安全法与个人信息保护法并列的立法模式实则表明立法者希望对于数据本身以及数据所承载的信息进行区分保护。

第四，数据信息法益无法规制重大信息以外的其他数据犯罪，对于非法获取虚拟财产类型数据行为不能进行评价。尽管学界以及司法实践对于虚拟财产本身能否构成刑法意义上的财物尚未达成普遍共识，但是主流观点认为虚拟财产应被视为刑法意义上的财物。若是依据数据信息法益理论，即便非法获取虚拟财产类型数据的行为在构成要件层面完全契合非法获取计算机信息系统数据罪，但是由于虚拟财产数据并不同于重大信息数据，因而不能受到刑法保护。由此可见，以信息安全法益作为数据犯罪的保护法益具有一定的片面性，不能对部分非法获取数据的行为做出全面评价。

（二）

数据财产法益理论及其批判

数据财产法益理论认为数据本身就是财产，数据犯罪受保护法益就是数据财产权。上述观点主要源于民法领域，尤以数据物权方案影响颇深。数据产权制度强调依循数据生产、流通、使用过程，建立结构分置的产权运行机制，尤以持有权、加工使用权和经营权作为典型代表。根据洛克的财产权理论，人们可以通过劳动创造财富；依照上述观点，由于数据往往承载着收集者、整理者、加工者的劳动付出，因而数据天生具有财产属性。

但是，数据财产法益理论存在如下弊端：

第一，数据财产法益需以承认数据本身具有财产属性作为前提，但是目前我国立法针对数据确权尚未作出明确规定。虽然诸多学者提倡应当进行数据确权，并且民法典第127条确实将数据作为财产权的客体予以保护，但是仍有部分学者认为对于数据应当进行责任规制而非财产规制。加之除了民法典第127条对于数据应当作为财产进行保护的模糊规定之外，尚无其他法律对此进行细化。因此，在前置立法尚未明确规定数据财产权的前提下，数据财产法益理论缺乏立法依据。

第二，数据财产法益违背数据安全法的保障数据安全和促进数据开发利用的双重立法宗旨。如若认可数据本身属于财产，势必需要承认特定主体对于数据享有占有、使用、收益、处分权能，意即强化数据资源的独占与控制功能，但是数据财产权属的确立不仅限制了数据的流通和共享，也不符合客观实际。

第三，数据具有财产属性，多是源于数据所承载的信息具有价值，而非数据本身可以作为财产。例如，虚拟财产数据、视频数据以及专利数据等，由0和1组成的序列本身并非财产权的客体，但是经由数据运行并将其翻译之后的信息才是财产权的客体，因而数据财产法益本质属于数据信息法益。

第四，数据财产法益难以保护本身并不具有财产属性的数据，不能周延规制数据犯罪。数据之上值得保护的法益并不限于财产权，还包括各种尚未上升为权利的利益，例如数据安全状态等。事实上，数据犯罪涉及各种类型，难以用“财产权”对其形成完全保护。此外，权利侵害说被法益侵害说所取代同样可以佐证，通过侵犯权利证成行为应受刑罚处罚难免不当限缩刑法保护范畴。

（三）

数据秩序法益理论及其批判

数据秩序法益理论认为国家数据管理秩序应是数据犯罪的受保护法益。由于所有数据均是为社会管理的便利而存在，因而可以推导数据具备社会属性，那么所有数据所共有的社会属性法益便可抽象称为国家数据管理秩序。具体可以分为数据流通管理秩序、数据分析管理秩序、数据存储秩序和数据使用秩序等。针对数据秩序法益，最有力的依据是刑法分则第三章以及第六章规定的“社会主义市场经济秩序”和“社会管理秩序”，因而可以证成秩序本身可以作为刑法法益。

但是，数据秩序法益理论存在如下弊端：

第一，秩序法益源于社群主义，由于社群主义本身具有抽象性和流变性，因而秩序法益始终飘忽不定，难以发挥犯罪法益的界分功能。社群主义作为近现代西方政治哲学代表观点，核心在于强调公共整体利益；置于刑法保护法益范畴，则是体现为集体利益优于个人利益的秩序法益。但是，由于各国学界尚未针对何为秩序形成统一认识，加之秩序本身抽象空洞，因而仅凭秩序法益难以清晰界定何为数据犯罪、何为网络犯罪以及何为计算机犯罪。

第二，由于秩序法益本身飘忽不定，因而数据获取次数、存储次数以及转发次数均可作为是否侵犯秩序法益评价标准，但这无疑会导致与数据安全无关的因素成为数据犯罪认定标准，从而不当扩充数据犯罪适用范围。

第三，数据秩序法益需以国家对于数据形成管理秩序作为前提，但这并不符合我国实际国情。数据管理秩序强调对于数据的流通、存储形成一套体系完备、结构严密的管理方案，具体包括哪些数据可以流通、应当如何流通以及应当如何储存等。但是，2021年12月国务院印发的《“十四五”数字经济发展规划》只是提出针对数据开发、利用应当加强多元主体协作，形成完备治理格局，并未提及数据应当在何种管理秩序下有序运行。由此可见，我国数据管理秩序仍然处于形成阶段，甚至具体管理安排尚未落实，数据秩序法益未来或许可以作为数据犯罪保护法益，但是至少目前来看难以令人信服。

第四，数据秩序法益强调对于数据集中管理作为前提，并不符合去中心化的网络发展特色。《“十四五”数字经济发展规划》明确指出，发展数字经济同样应运用市场手段进行配置资源，构建多元参与、协同联动的数字经济发展新机制。依据上述发展规划，为了实现数据的流通共享，数据治理格局并不强调政府对于数据的集中管理，而是将管理职能逐步归还给企业、行业以及社会公众，从而激发数据资源活力、实现综合治理。尤其是在当前数据创新蓬勃发展、多元主体协同参与的时代，国家对于数据运行只是引导，尚未形成管控状态，甚至国家也倾向于由公众、企业自主决定数据交流、使用、存储。

第五，数据秩序法益强调数据犯罪属于法定犯，并不符合我国数据立法前置认定缺位的现实情况。法定犯强调其本身并未违反社会伦理道德而是基于后天行政管理需要才予以规制的犯罪类型，自始面临“法益性的欠缺”，因而对于法定犯进行刑事处罚时需要具有完备的前置法评价与认定，进而补足法定犯的刑罚应罚性。与之相对，自然犯强调本身已经违背社会伦理道德的犯罪类型，自始具备法益侵害性，因而对其进行刑事规制可以无需刑法外的前置立法。结合我国立法现状，数据立法仍然处于起步阶段，即便数据安全法同样强调数据安全与数据开发利用的双重宗旨，而我国现有前置立法难以具体言明何种行为违反数据安全、何种行为旨在促进数据开发利用和产业发展。

（四）

数据混合法益理论及其批判

数据混合法益理论认为数据上同时纠缠着数种法益，以权利束或者权利块的方式排列分布。针对相互纠缠的法益种类，广义观点认为可以包括“人格权、财产权、秩序”或者“个人权利、社会利益、公共安全以及国家安全”；狭义观点认为只能包括“以人格权和财产权为内容的个人权利”。至于各种权利的具体排列方式，权利束理论认为，数据权益是信息之上产生的多项集合的权益；权利块理论认为，数据权益可以分为不同模块，每个模块之上单独分析涉及的相应主体及其权利义务关系。

但是，数据混合法益理论存在如下弊端：

第一，数据混合法益回避讨论数据犯罪中各个法益之间的关系，只是进行简单的罗列。虽然上述各个法益应当作出区分已然成为共识，但是上述法益之间依然存在千丝万缕的联系，例如，人格权内容就包括财产性利益；而且在数据犯罪中，上述法益之间的联系更加紧密并且繁复。数据混合法益理论只是揭示了数据之上可能存在多种法益，却没有进一步讨论多种法益之间是何关系，而恰恰是其内部关系如何对于理解数据犯罪方才至关重要。

第二，权利束理论的适用前提是各种权利之间性质相同，方能“聚合成束”。权利束理论采取“聚合”的方法，把多项性质相同的权利“捆成一束”。虽然数据之上确实存在各种复杂权利，例如，从主体上看可以分为个人层面、社会层面、国家层面，从内容上看可以分为人身层面、财产层面以及秩序安全层面，从功能上看可以分为实体权利以及工具权利。但是，上述权利之间并不具有相同性质，而是囊括了不同质地的各项权利，简单而机械地堆砌在一起并无实际意义，“没有‘架构’的权利束根本无法称作权利束理论”。

第三，数据混合法益使得犯罪法益丧失解释功能。例如，对于窃取虚拟财产或者收集个人数据的行为，依照数据混合法益观点，要么认为侵犯财产法益的构成财产犯罪，侵犯人身法益的构成人身犯罪，侵犯商业秘密的构成知识产权犯罪；要么认为上述行为同时侵犯财产法益、人身法益或者商业秘密。但是，前者实则属于从数种法益中挑选一个更为类似的作为数据犯罪法律适用依据，然而既然数据之上存在多种法益，为何只对一种进行评价而遗漏其他；后者虽然认为同时侵犯数种法益从而构成想象竞合，但是择一重罪处罚方式必然使得某些刑罚较轻的刑法条款沦为“僵尸条款”，再无适用可能。

三、系统进入：侵犯数据处理系统安全法益

（一）

数据状态安全法益旨在保护数据处理系统安全

前文已述，数据犯罪是指直接将数据作为直接侵害对象的犯罪行为，包括针对数据处理系统实施的侵害行为。据此，由于数据状态安全法益强调应当直接保护数据处理系统安全进而间接实现数据安全，因而数据状态安全法益实则应是数据处理系统犯罪的受保护法益，而非数据犯罪受保护法益。

数据运行机制分为两个步骤。步骤一是，网络设备中的数据资源的生成阶段，其依靠源数据编程予以实现。具体而言，网络设备通过自身功能数据的运算模式，将接收的信息内容转化为0和1的数位和序列，以供系统数据和代码识别，进而将信息储存于网络环境和系统设备当中。步骤二是，网络设备中的数据资源的转化阶段，其依靠数据还原予以实现。具体而言，网络环境和系统设备存储的0和1的数位和序列，人类无法直接识别，需要借助网络设备自身对数据的运算模式将其重组、还原，展现可供人类识别、解读的具体信息内容。因此，数据运行机制可以简化为“信息——数据——信息”的过程。

根据数据安全法第3条第3款规定，数据状态安全法益是指网络环境中由0或1组成的序列排布能够被有效保护、合法利用以及具备持续安全状态能力，强调信息生成数据、数据还原信息过程应当受到保护，并基于此建构数据运行状态安全和数据防御状态安全。结合上述数据运行机制，无论数据运行状态或数据防御状态均强调数据应当处于一个安全有序的环境中运行流转；然而，数据作为数字序列本身难以保障自身安全，因而保障数据处理过程安全的应是数据处理系统而非数据本身。因此，数据状态安全法益旨在保护数据处理过程免受非法侵害，本质仍是规制针对数据处理系统实施的侵害行为，因而实则属于“计算机信息系统安全法益”的更新升级，并不属于狭义数据犯罪讨论范畴，难以充当数据犯罪保护法益。为了避免造成不必要的理解分歧，明确数据犯罪与数据状态安全法益并非对应关系，本文认为，数据状态安全法益应当称为“数据处理系统安全法益”，其旨在保护数据处理系统不受非法侵害，从而保障数据可以在安全有序的环境当中运行流转。

（二）

系统进入行为需要界分行为对象以及影响程度进行评价

数据处理系统安全包括运行状态安全和防御状态安全，其中，前者可以分为有效性运行状态安全和合法性运行状态安全，后者可以分为封闭性防御状态安全和持续性防御状态安全。有效运行状态强调数据系统可以按照既有状态有序运行，合法运行状态强调数据系统不得被用于从事非法活动；封闭防御状态是指数据系统免受技术突破随意进入，持续防御状态是指数据系统可被定期修复以及相关系统维护者负有确保系统设施稳固安全的职责。

依据上述数据处理系统安全法益保护面向，结合数据爬取系统进入行为相关特征，可以得出，所有突破技术措施的系统进入行为都能侵犯封闭性防御状态安全，并且若是突破进入行为能够导致原有数据系统无法正常运行则又侵犯有效性运行状态安全。值得注意的是，除非进入系统之后另行实施修改数据等其他行为使得数据系统被操控从事非法活动，否则数据爬取的系统进入行为无涉合法性运行状态安全。同样，除非进入系统之后另行实施植入病毒等其他行为使得数据系统难以修复，否则纯粹系统进入行为亦不侵害持续性防御状态安全。

有鉴于此，下文依据进入系统类型与造成影响程度进行区分，分别讨论每种组合搭配是否构成犯罪以及构成何种犯罪。进入系统类型可以分为负责国家事务、国防建设、尖端科学技术领域的数据处理系统以及其他系统；造成影响程度可以分为数据处理系统无法运行、运行受限以及运行受控。相较合法运行状态，有效运行状态中的运行受控同样需要进入系统之后另行实施修改数据等其他行为使得数据系统遭受控制，但是并不要求用于从事非法活动，因而同样不属于纯粹系统进入侵犯法益。

值得注意的是，刑法第285条第2款规定的非法获取计算机信息系统数据罪主要规制获取行为而非系统进入行为。无论是从罪名表述还是规范内容，系统侵入行为仅是数据获取行为的手段之一，亦可通过其他技术手段获取数据。因而该条款无法规制纯粹系统进入行为，因而不在本部分进行论述。

1.非法侵入计算机信息系统罪：侵入仅需违背意愿

非法侵入计算机信息系统罪的犯罪对象主要是指关涉国家事务、国防建设、尖端科学技术领域的计算机信息系统。笼统而言计算机信息系统语义涵摄范围不免过于狭隘，难以适应当前移动互联、万物互联的发展趋势，因此《计算机信息系统安全犯罪司法解释》已经将其实质范围扩展至所有具备数据处理功能的系统，从而弥补了计算机信息系统保护范围不周延的缺陷。此外，“国家事务”同样存在表述模糊并且认定困难的适用困境，例如，驾驶人考训中心考场（理论考场）的计算机信息系统是否属于“国家事务”的计算机信息系统。但是上述困境仅是针对特定领域而言，并且仍有判断标准可以作出区分，因而本文不做过多探讨。

值得注意的是，“违反国家规定”与“侵入”之间是何关系，是否构成重复评价？或许存在观点认为违反国家规定进入即算侵入、侵入行为本身便是违反国家规定，因而上述二者实则属于同义反复，但是本文认为可以通过“形式违法”与“实质违法”双重面向进行解读。“违反国家规定”主要指违反我国现行有效的旨在确保计算机信息系统安全的相关法律和行政法规；“侵入”主要指未经授权之人通过非法手段获取访问权限或者已获授权之人超越权限进行访问。根据刑法第96条的规定，“违反国家规定”要求应以违反前置法律或者法规作为基础，同时可以依据前置法律或者法规补充空白罪状，因而违反前置规定可从形式层面证成行为不法；至于“侵入”则可以从实质层面评价进入行为本身是否具体违反特定系统访问权限，包括技术性侵入（破解密码、绕过防火墙等）和非技术性侵入（冒用合法身份凭证等）两种形式。

尤其需要注意的是，非法侵入计算机信息系统罪与非法获取计算机信息系统数据罪中的侵入行为的判断标准并不相同。由于前者侧重于对特定系统进行保护，并且以相关法律法规为前置规定，因而只要“违背意愿”或者“未经授权、超越权限”进入即可构成“侵入”；但是，后者强调保护数据本身，若是并未擅自打开系统缺口，仅是违背意愿擅自进入，难以评价为“侵入”。举例而言，离职雇员擅自使用原有账户密码登录系统，若是国家事务、国防建设、尖端科学技术领域系统便可构成侵入；若是其他系统并不构成侵入。

2.破坏计算机信息系统罪：限缩解释不能正常运行

首先，干扰行为应当利用计算机技术特性并且直接针对目标系统。有学者认为，干扰总体上可以分为内部干扰和外部干扰：内部干扰是指采用各种计算机技术手段对系统运行作出干扰，外部干扰是指采用物理手段对装载系统的硬件设备进行干扰以影响系统运行。例如，运用棉花堵塞空气监测采集器、通过稀释采集样本、直接抽取空气进行采样等方法干扰环境监测数据采集的难以认定为破坏计算机信息系统罪中的“干扰”行为。并且，行为对象应为目标系统，若是通过运行特定系统改变自身状态，进而影响目标系统运行的行为并不算作“干扰”行为。例如，通过刷单软件自动点击自身网站，增加网站的点击量，从而实现提升自己网站在百度搜索引擎上排名目标的行为。

其次，“不能正常运行”应是数据系统完全无法运行，若是数据系统仍然可以运行只是运行受到限制，则不能构成本罪。有观点认为，不能正常运行主要指显示器蓝屏或是黑屏、系统死机以及无法正常开机运行等致使数据系统完全无法运行的状况；若计算机系统或部分软件无法浏览、储存、传输文件，亦或无法登录部分网站或应用软件，但是数据系统整体仍然可以正常运行，上述情况只能属于数据系统运行受限，因而难以构成破坏计算机信息系统罪。此外，《计算机信息系统安全犯罪司法解释》第4条第1款对于“后果严重”作出的界定同样可以印证对于“不能正常运行”应当作出限缩解释。

根据网络爬虫进入系统方式的不同，可以将其分为模拟型、绕开型和破坏型三种类别。其中，模拟型是指模拟人类正常浏览行为，只是请求频率更加快速；绕开型是指通过技术手段规避反爬机制，但是通常并不直接破坏数据系统；破坏型是指直接破壁而入。由此可见，破坏型系统进入行为当然可以构成破坏计算机信息系统罪；模拟型系统进入行为，即便请求频率再高通常也只会导致系统运行速度减慢，至多算是数据系统运行受限，不能构成破坏计算机信息系统罪；绕开型系统进入行为虽然使得系统防御措施实质而言形同虚设，但是客观来讲并未导致系统不能正常运行，因而难以认定其构成破坏计算机信息系统罪。

四、数据获取以及存储：侵犯数据本身安全法益

（一）

数据本身安全法益应为数据犯罪受保护法益

确证某项新型具体犯罪的受保护法益，需要经过如下步骤：首先，符合新型权利证明标准；其次，符合新型权利向新型法益的过渡标准；最后，符合新型法益证明标准。针对新型权利证明标准：一是能被既有法律体系容纳，二是具有被实现的可能性。针对新型权利向新型法益的过渡标准：一是基于普遍需求并且具有保护必要，二是符合道德和习惯的要求，三是不能违背法律禁止规定，四是现实技术层面可以操作。针对新型法益证明标准，一般法益需要具备要保护性、特定性、融洽性与可判断性，网络时代新型法益同时还需要对比计算机信息系统安全法益、近来刑法增设新罪的受保护法益和外国刑法保护法益。

依照上述理论观点，综合比较各项判断因素，数据犯罪受保护法益需要具备四项一般要素以及对比考量网络时代特殊要求。

第一，数据本身安全源于社会发展现实、契合宪法价值理念，应当受到法律保护。要保护性源于刑法规范的立法宗旨和立法任务，根据刑法第1条和第2条的规定，概括来说，刑法旨在“惩罚犯罪，保护人民”，具体而言，保护范畴包括集体法益以及个人法益。至于法益的具体来源，有观点认为刑法应以社会作为事实基础、以宪法作为价值根据，因而应当“基于社会事实、根据宪法规定判断某种法益是否需要受到刑法保护”。随着数据产业、数字经济磅礴发展，针对数据实施的违法犯罪活动层出不穷，并且个人数据由于获取容易、规模巨大逐步成为数据犯罪中最为常见的犯罪对象。立法层面，网络安全法、数据安全法的陆续出台亦可佐证数据安全已和社会发展息息相关并且符合宪法精神。

值得注意的是，要保护性须以可侵害性作为前提，某项利益之所以可以成为刑法犯罪受保护法益，是因为其在现实中可能受到或者已经受到侵害或者威胁，如无侵害或者威胁则无保护的必要。在中国裁判文书网上，以2025年3月31日为时间节点，以“非法获取计算机信息系统数据、非法控制计算机信息系统罪”为案由，共检索到刑事案件裁判文书2182篇。由此可见，数据本身安全具有可侵害性，并且极易遭受侵害。

第二，数据本身安全强调由0和1组成的数字序列本身完整、保密、可用，并不同于传统观点认为数据所承载的信息应受保护或者数据处理系统应受保护。特定属性旨在贯彻罪刑适应原则、实现刑法的体系化规制。相较信息而言，数据属于信息的载体；相较数据处理系统而言，数据属于系统处理的对象。因而针对数据本身的保护难以划入刑法现有的信息犯罪或者以计算机信息系统为代表的数据处理系统犯罪。正因如此，部分学者积极主张对于数据应当进行独立保护。上述理论观点亦可佐证数据法益确有特殊之处。

第三，数据本身安全能够有效衔接网络安全法第10条的相关规定。法益的融洽性既强调基于法秩序统一原理，刑法保护法益不得违背既有法律规定，又旨在严守刑法谦抑原则，某项行为需要违背民事、行政领域相关前置法律之后方才进入刑法评价范围。因而数据犯罪保护法益须以民行领域对于数据权益的保护为基础。根据民法典第127条的规定，民事领域宣示数据具有民事权益属性；在此立法背景下，数据本身安全法益能与行政领域的网络安全法进行有效衔接，网络安全法第10条明确规定网络数据的完整性（不被修改或损害）、保密性（不被探知、获悉或使用）和可用性（权利人能够及时、有效地获取与使用）应当受到法律保护。

第四，数据本身安全旨在对于由0和1组成的数字序列进行保护，这一符号数据不仅客观存在、而且具体固定。可判断性强调应以“具有经验的实在的利益与状态”作为前提，更多是从消极层面论述法益不应如何，例如法益内容不应抽象模糊、不应混合无序、不应可增可减。参照学者Saltzer和Schroeder针对未经授权泄露、修改、使用数据提出的“数据安全”概念，根据网络安全法第10条的规定，并且结合学界阐述，数据本身安全已经具有明确具体的含义。区别于民法上纷繁复杂的数据权利、数据权益，刑法层面的数据安全更加侧重数据本身的保密性（不被探知、获悉或使用）、完整性（不被修改或损害）、可用性（权利人能够及时、有效地获取与使用）。

此外，数据本身安全法益符合网络时代新型法益的特殊要求。首先，数据本身安全法益相较计算机信息系统安全法益更为值得保护。前文已述，计算信息系统安全法益只能对于数据处理系统进行保护，无法涵摄并未妨碍系统正常运行但是已经侵犯数据本身的犯罪行为。因而数据本身安全法益更加符合大数据时代对数据的保护需求。其次，数据本身安全法益契合我国新近立法注重安全的发展趋势。2020年通过的《刑法修正案（十一）》增设了25个新罪名，其中针对公共安全设立的罪名具体包括妨害安全驾驶罪、高空抛物罪等，由此可见我国对于安全法益的进一步保护。最后，数据本身安全法益在国外立法已有体现。迄今为止很多国家都已形成以保护数据安全为核心的健全的法律体系，如德国通过附属刑法德国联邦数据保护法和核心刑法德国刑法典建立起二元数据刑法保护模式，将计算机系统和计算机数据分别作为独立的保护对象进行保护，侵害系统和数据会构成不同的罪名，形成双线并行保护模式。

（二）

数据获取以及储存行为构成犯罪需以数据保密作为前提

数据本身安全包含三个具体面向：一是保密性，旨在确保数据本身不被探知、获悉或使用；二是完整性，旨在确保数据本身不被修改或损害；三是可用性，即权利人应当能够及时、有效获取、使用数据。结合网络爬虫工作原理——模拟浏览器获取数据，网络爬虫行为通常不会涉及对于原有数据的修改、删减，也不会妨碍权利人的获取、使用，数据爬取本质就是复制数据的过程，因而网络爬虫通常只会侵犯数据的保密性。

值得注意的是，数据的保密性并不等于信息的保密性。例如，在“上海某网络科技有限公司非法获取计算机信息系统数据案”中，虽然案涉头条号视频列表、分类视频列表、相关视频等在用户群中处于公开可见的状态，用户随时可以缓存下载，但是，一般用户通过正常渠道并不能永久性地下载复制视频，除非是掌握特定技能的人运用技术手段对视频数据副本进行赋值和创建。由此可见，信息公开并不等同于数据失去保密性。恰恰相反，即便大多数平台可以免费提供公开视频信息，但是其仍然禁止下载并且传播，原因在于平台需要客户回到原有页面进行浏览观看，以此实现获取广告费用或者其他宣传目的。据此，只有在数据权利人或者控制者允许公众获得数据以及并不限制他人对此广泛传播或者直接向公众公开时，数据才失去受到保密性保护的必要，亦即成为公众共享数据。

因此，数据获取以及储存行为构成犯罪需以数据保密作为前提，若是可以认定数据代码本身属于商业秘密或者作品，保密性的证成自无疑问；但是，若难以构成上述二者，数据代码本身保密性的证成仍然需要其他条件进行补强。

第一，网站的单方声明、服务协议、爬虫协议、停止函告等只能证成数据网站对数据的“弱保护意愿”，可以作为民事责任补强要件，难以作为刑事责任补强要件。首先，数据网站或平台采取的上述诸多措施大多属于单方面声明，并未与用户达成明确共识，而且可能因表述模糊存在歧义、因排版设置不当致使显示不明，若将此类单方声明直接作为刑事制裁的依据或理由，极有可能导致刑罚的不当扩大化。这不仅违背了刑法的精准性和严谨性要求，还可能使互联网从业者陷入普遍的不安与担忧之中，进而影响整个行业的正常发展。其次，非法性的本质在于违反国家明确且具有权威性的规定。根据我国刑法的相关规定，此处所指的“法”应当是高位阶的法律，而非其他低层级的规范性文件。否则，将与刑法所秉持的谦抑性和最后手段性原则相抵触。因此，在判断数据爬取等行为是否具有非法性时，必须严格遵循高位阶法律的明确规定，避免因模糊的单方声明而引发不必要的法律风险。

第二，安全认证系统原则上可以证成数据网站对数据的“强保护意愿”，可以作为刑事责任补强要件，但是并非旨在保护数据安全的身份认证系统，不能作为刑事责任补强要件。针对如何认定网络空间开放性与封闭性的问题，需要回到区分开放空间与个人空间本质目的。物理世界的界限其实是通过控制特定的人的进出发挥隔绝作用。换言之，物理世界的界限并非为了完全隔绝外部空间，而是选择性的给特定人创造一个不受其他人干扰的空间，以保护其人身与财产、精神及物质安全。网络世界同样如此，屏障存在的意义也是为了发挥保护功能。网络空间的架构并不是通过钢筋铁板搭建的，而是通过功能设计实现的。据此，“代码理论”主张，“代码屏障”可以证成数据的保密性，若是爬取行为避开或突破数据处理系统的“代码屏障”进行数据获取以及储存，此时即侵犯数据本身安全法益。理由在于，如果网站或平台希望其持有的数据处于保密状态，通常会采用特定的技术手段（例如身份认证机制）来限制非特定群体的访问，仅允许经过授权的特定用户进入。换言之，上述做法类似于人们在自己的家中安装房门与门锁，据此划分个人隐私与他人及社会的边界；同时，房门与门锁的存在表明他人不得随意侵入。在数字世界中，身份认证机制便是门锁，清晰地区分了开放空间与封闭空间。因而只有当用户绕过需要认证的信息系统时，才能被认为是对数据保密性的侵犯。身份认证机制的作用不仅在于保护数据安全，还在于为法律提供了一个明确的界限，使得非法侵入行为与合法访问行为得以区分。当网站或平台采取有效措施来阻止公众随意访问时，它实际上实现了双重目标：一方面，它保护了数据的隐私性，确保只有经过授权的用户能够获取敏感信息；另一方面，它也为网络开放空间中的用户创设了一种安全感，使他们免于因随意访问而被起诉的恐惧。这种平衡至关重要，其既维护了数据权益，又保障了网络空间的自由与开放性。通过这种方式，技术手段与法律规范相互配合，共同构建了一个既能保护隐私又能促进信息共享的网络环境。

值得注意的是，对于非法获取计算机信息系统数据罪而言，其核心是为了保护系统数据本身的保密性，因而这道屏障应当发挥保护数据安全的功能，并且仅限特定的人通过。具体而言，判断一个网站是否对外公开、身份认证机制能否发挥区分开放空间与封闭空间的作用，需要先行判断设置上述身份认证机制是否旨在保护网站数据不被泄露；然后再行判断上述身份认证机制是仅限于特定人通过，还是所有人经过一定流程都可以通过验证进入网站，只有前者才能真正建立一道隔绝外部网络环境的壁垒。

综上，本文认为网站或平台设置的反爬机制，例如身份认证机制，可以证成数据的保密性特征，进而可以充当爬取行为非法性认定的实质标准。但是，即便设置身份认证机制同样应当考虑设置目的，身份认证机制并不天然等同反爬机制：旨在关涉数据处理系统安全运行的身份认证机制自然可以作为“非法侵入”的判断标准；但仅仅旨在落实网络实名制的要求，或是客观记录用户行为便于后台监控，亦或借助身份认证机制外加《用户协议》或《隐私政策》取得用户对其数据处理行为的知情同意等情形，上述身份认证机制均不得算作反爬机制，难以确证数据的保密性特征。

结论

数据状态安全法益强调信息生成数据、数据还原信息的过程应当受到保护，结合前述数据运行机制，无论数据运行状态亦或数据防御状态均是强调数据应当处于一个安全有序的环境当中运行流转；然而，数据作为一个个的数字序列本身难以保障自身安全，因此，保障数据处理过程安全的应是数据处理系统而非数据本身。据此，数据状态安全法益实则属于“计算机信息系统安全法益”的更新升级，并不属于狭义数据犯罪讨论范畴，难以充当数据犯罪保护法益。但是，并不妨碍因应发展趋势、借此改造“计算机信息系统安全法益”使之成为“数据处理系统安全法益”。

由此可见，数据本身安全法益更应作为狭义数据犯罪保护法益。数据本身安全强调由0和1组成的数字序列本身完整、保密、可用，这一新型法益不仅源于社会发展现实、契合宪法价值理念，而且难以纳入既有法益保护范畴，加之已经具备相关法律基础，因而数据本身安全可以作为新型法益。