互联网法治 | 数字经济时代数据犯罪规制的司法进路

本文为《中国审判》杂志原创稿件

文 | 黑龙江省宁安市人民法院 王志琨

吉林大学法学院 吕佳宣

随着数字经济时代的到来，对于数据犯罪的规制和认定，应同时满足数据安全与数据共享两方面的需求。当下我国对数据犯罪的规制模式是权利保护模式，体现为“刑法先行”的规制理念和“绝对权”的保护模式。这一规制模式在一定程度上实现了刑法对于数据安全的保护，但也导致在司法实践中数据概念和数据安全法益的扩大化，难以适应数字经济时代的要求。为解决这一问题，在司法层面可做以下尝试：第一，应当面向数字经济时代对于数据安全与流通的需要，重新限定数据安全法益的地位与内涵；第二，应当立足于数字经济时代数据治理的要求，明确刑法的保障法地位，以前置法的相应规定为参考，进一步完善数据犯罪的罪质、罪量认定标准。

01

现有数据犯罪规制模式考察

刑法关于数据安全的保护模式可分为数据控制安全保护模式和数据利用安全保护模式，我国采用的是前一模式。这一划分的主要依据是数据安全的不同内容。笔者将从立法和司法层面对数据犯罪规制模式进行考察。

从立法层面考察，数据犯罪的规范条文具有以下特点：第一，从罪名分布来看，《中华人民共和国刑法》（以下简称《刑法》）对于数据犯罪并未予以专章规定，数据犯罪的相关罪名散见于《刑法》的各个章节。第二，从立法沿革来看，数据犯罪的规制主体从个人扩展至企业，规制行为从单纯的破坏行为扩展至获取行为，刑事立法对数据犯罪的规制范围呈扩张态势。第三，从具体条文来看，《刑法》只有两个罪名明确提及“数据”，其他罪名多采取“信息”的表述，或基于相关司法解释构建起与数据的关联。

从司法层面考察，以非法获取计算机信息系统数据罪为例，数据犯罪的司法认定具有以下特征：一是数据范围宽泛化。司法判决中涉及的数据类型既包括虚拟货币、快递运单、支付凭证等，也包括直播过程中产生的直播数据等新兴数据类型。数据概念在司法实践中被广义适用，已经远远超出了身份认证信息的范畴，并随着直播经济等网络经济新形态的出现而进一步呈现扩张态势。二是行为类型复杂化。传统模式是行为人直接获取信息后转卖牟利，近年来，则出现了对数据获取后进行增加、删除、修改以牟利的行为模式，其难以被《刑法》所规定的“获取”行为有效涵盖，从而产生规制漏洞。三是重视数据经济价值。在司法实践中，违法所得数额是该罪定罪量刑的重要标准，“退赔”“赔偿公司损失并取得公司谅解”“退还公司赃款”或向有关部门“退缴违法所得”是量刑的重要考量因素。据此，在司法实务中对于数据犯罪从单一规制转向兼顾受害人损失填补，体现了从单纯的权利保护到重视数据经济流通价值的转变。

基于以上考察，笔者认为，根据我国现有数据犯罪规制的保护法益、规制行为和根本目的，当下数据犯罪的规制模式应该采用权利保护模式，即通过判断数据权利的归属、获取数据行为的合法性认定数据犯罪。

02

现有数据犯罪规制模式存在的问题

（一）现有数据安全法益内涵与数字经济发展需求不匹配

传统数据安全法益确立了以安全边界防护为核心的理论体系，其核心属性是数据的“专有性”与“排他性”，以主体对数据的控制这一绝对权为基本内涵。基于这一理念，对数据安全的保护应立足于主体对数据的排他控制，并以数据权属为依据，划定数据安全的保护范围。以非法获取计算机信息系统数据罪为例，一方面，将数据类型限定为可识别的身份认证信息及计算机系统存储的数据，以此来保证数据权益主体的可确定性。另一方面，以“侵入”作为入罪条件，“未授权”作为入罪前提，以数据权利主体的控制范围为半径来划定数据的保护场域。对于数据类型和权利主体的划定，体现了数据犯罪规制的边界防护理念，符合权利保护模式的基本特征。

然而，随着数字经济的发展，数据日益成为一种新型生产要素，在流通、交易的过程中体现价值。数字经济不同场景中的数据是高速流转而非静态的，尤其对于“区块链”“云计算”“人工智能”等产业而言，数据共享更是其运行的底层逻辑与产业发展基础。一方面，传统“计算机信息系统”的载体限制被打破，数据的载体形式拓展至手机、传感器甚至是“云存储”端；另一方面，数据“存储、处理或者传输”的状态限定被打破，数字经济场景下的数据以人际共享、有偿转让、跨境传播等多元形式存在，而非局限于“存储、处理或者传输”。基于此，侧重于保护静态数据安全的传统数据安全法益理念已难以实现对数据利益的有效保护。

因此，越来越多的学者主张赋予数据安全法益新的内涵，即对于数据安全的保护，应从“控制安全”转向“利用安全”，从而“兼顾数据主体的利益和数据利用者的利益，以尽可能释放数据所蕴含的社会价值”，进而主张在《刑法》条文中设置系统、独立的数据安全保护条文。不可否认的是，将“利用安全”纳入数据安全的概念确实能在一定程度上缓解静态数据安全观带来的问题，但仍存在疑问：首先，从可操作性来看，“利用安全”倾向于进行立法层面的修改，通过增设罪名及调整现有的构成要件来实现对数据安全的周延保护。诚然，刑事立法因应数字技术的发展作出适当调整存在合理性，但数字经济场景下的数据犯罪类型层出不穷，而刑事立法则具有滞后性，仅通过刑事立法上的不断修改来实现对数据犯罪行为的周延规制是不现实的。其次，从逻辑层面来看，并不是以“利用安全”替换“控制安全”，而是试图将“利用安全”与“控制安全”统合于数据安全的概念之下，但数据的共享与流通就是要打破数据拥有者的控制与垄断，将在逻辑上相互对立的二者完美地融合，在具体操作层面是难以实现的。

综上所述，现有数据安全法益内涵难以有效匹配数字经济发展需求。或失之过窄，无法实现对数据安全的周延保护；或失之过宽，无法满足数字技术的发展要求。

（二）《刑法》对数据犯罪的规制与前置法未实现有效衔接

在社会治理中，《刑法》更多是扮演“压舱石”的角色，为行政规制、公民自治等其他社会治理方式提供兜底补充。同样的，在数据治理中，《刑法》也应当处理好与前置法之间的关系。然而，从我国数据犯罪的规制实践来看，并未实现《刑法》与前置法之间的有效衔接。

一方面，立法层面存在“刑法先行”倾向。比如，从罪状描述来看，非法获取计算机信息系统数据罪的违法性判断要求“违反国家规定”，而作为前置法的《中华人民共和国网络安全法》《中华人民共和国电子商务法》《中华人民共和国数据安全法》（以下简称《数据安全法》）对数据的收集、利用行为的要求过于模糊而缺乏可操作性，与之配套的平台协议、数字技术措施和行业规定等数据访问规则将违法性判断聚焦于有无“授权”，但此类依照数据网站的主观意愿、通过授权协议或技术措施表达出来的数据访问规则，缺乏立法保障和监管机构的指引，能否作为及如何作为数据犯罪成立的判断是值得商榷的，导致我国司法实践对于“获取”行为的认定存在分歧。

另一方面，司法层面未充分考虑前置法作用。比如，对于已公开个人信息是否属于侵犯公民个人信息罪的行为对象，在司法实践中存在较大争议。有观点认为，需要根据个人信息公开的原因进行区分，对于权利人自愿公开的个人信息，经收集、整理后向他人出售的行为并不构成侵犯公民个人信息罪。但实际上，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第十三条已经将依法公开的个人信息数据作为“知情—同意”原则的例外予以规定。基于促进信息数据的合理流动和高效利用的立法目的，对已公开个人信息的处理行为原则上无须取得个人同意。因此，对于合法公开的个人信息，虽然在《刑法》中也属于个人信息，但对此类信息的收集、获取通常不具有违法性，因此，在司法认定中无须将其作为侵犯公民个人信息罪的对象。

03

数字经济时代数据犯罪规制的司法进路探索

（一）重新限定“数据安全”法益

数字经济发展既要求保证数据安全不受侵犯，也要求数据的共享流通不受阻碍。基于这两方面的要求，有必要重新对数据安全法益进行限定。

首先，《刑法》应当因应数字经济时代的数据安全保护要求，将数据安全作为独立的保护价值予以评价。这在立法层面体现为，在前置法确权完成的情况下，《刑法》应当针对数据犯罪构建独立的罪名体系，以增强《刑法》对数据的保护范围和深度。在司法层面则体现为，在数据犯罪的规制和认定中，采取主观解释兼客观解释的解释方法。具体而言，对于数据犯罪构成要件的解释，应当以《刑法》文义为基本出发点，在此基础上考虑行为对数据安全法益的实际侵害。以非法获取计算机信息系统罪为例，若将认定的重点放在对数据安全的损害上，能够将认定重点更好聚焦于侵入行为本身，基于侵入行为对数据管理所蕴含的数据管理秩序之损害，来实现对不法行为的有效规制。

其次，立法者对于不同类型之数据保护的侧重点并不相同。《数据安全法》第三条对数据安全的定义，主要强调数据需要处于有效保护和合法利用的状态，并要求这种状态具有持续性，这对于数据安全法益的内涵理解具有一定的参考意义。在《刑法》中，非法获取计算机信息系统数据罪位于“扰乱公共秩序罪”一节之中，这表明其保护的主要法益是公共社会秩序，即国家对于计算机信息系统数据安全的管理秩序。因此，对于该罪名而言，数据安全的法益内涵应蕴含对数据保密性、完整性、可用性的保护，侧重于对数据动态秩序破坏行为的规制。而对于个人信息数据保护而言，其位于“侵犯公民个人权利”章节，其保护的主要法益是公民的信息自决权，强调权利主体自身对数据的控制和支配，侧重于对静态权属关系的破坏。此外，数据安全法益还需排除数据化的财产利益、个人信息、知识产权等法益。《刑法》规定的罪名体系已经区分了财产法益、个人信息法益、知识产权法益等，数据化的形式不会使其法律性质发生改变。因此，对于侵犯上述法益的数据化犯罪行为，可以根据已有的相关罪名予以规制。

（二）以前置法为参考完善认定标准

在数字经济时代，数据治理涉及多元领域、主体、环节，需要各领域、各部门协作治理。因此，《刑法》应当明确自己保障法的地位，其内容应当与其他前置法律规定相协调。从司法角度而言应当从以下两方面展开：

一方面，应当明确《刑法》保障法定位，在司法认定过程中秉持谦抑性原则。数据犯罪的认定应以前置法的规定为依据，摒弃“刑法先行”理念。数据类别对于划定罪名界限而言具有重要意义，《刑法》所保护的数据类别不应超过前置法确定的范围。例如，在《个人信息保护法》《中华人民共和国民法典》已经明确了公民个人信息认定的“可识别性”标准，因此对于侵犯公民个人信息罪中的“个人信息”也应当具有“可识别性”。又如，《个人信息保护法》第十三条将依法公开的个人信息数据规定为“知情—同意”原则的例外，在《刑法》中对于依法公开的个人信息不应作为侵犯公民个人信息罪的对象，对于依法公开个人信息的收集、获取行为也不具有违法性。

另一方面，对于数据犯罪的罪量判断，前置法的相关规定可供借鉴。例如，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》根据个人信息的重要程度将其区分为敏感信息、一般个人信息、其他个人信息，针对不同的个人信息类别分别设置了不同的定罪量刑标准。这对于非法获取计算机信息系统数据罪等罪名的认定也具有借鉴意义。《数据安全法》将数据分为核心数据、重要数据和一般数据三类，非法获取计算机信息系统罪可以借鉴前置法对于数据类型的划分，出台相关司法解释，参照上述司法解释的规定设置罪量标准。具体而言，可以参考《网络安全标准实践指南——网络数据分类分级指引》的规定，该规章根据数据的影响程度，将数据进一步划分为：严重危害、一般危害、轻微危害、无危害性四种危害等级，并对各等级下涉及的典型数据类型进行列举。同时，将数据的影响对象划定为国家安全、公共利益、个人合法权益、组织合法权益。继而基于一般数据、重要数据、核心数据的基本框架，构建起各级别数据与影响对象、影响程度的对应关系。

本期封面及目录

<< 滑动查看下一张图片 >>

《中国审判》杂志2025年第19期

中国审判新闻半月刊·总第377期

编辑/孙敏