刘扬：数据犯罪法益分置模式的证立与实践展开 | 中国政法大学学报202604

【作者】刘扬（安徽大学法学院博士研究生）

【来源】北大法宝法学期刊库《中国政法大学学报》2026年第4期（文末附本期期刊目录）。因篇幅较长，已略去原文注释。

内容提要：数据价值增长繁荣了数字经济发展，同时也为刑法治理体系带来挑战。面对日趋复杂的数据犯罪行为，部分案件依靠传统计算机罪名入罪，或者将不具有法益侵害性的行为入罪，致使数据犯罪适用罪名存在不确定性，既有刑事立法难以提供指引。以法益论为主导的研究意图规范构成要件的认定，然而部分观点却陷入了法益整合的窠臼，忽视个罪法益的独特内涵。对此，可提倡法益分置的治理模式，以信息犯罪、财产犯罪等罪名准确评价部分数据犯罪行为，并通过实质法益侵害判断罪与非罪。其一，正视数据与信息的属性差异，从形式与实质两方面完善可识别性标准，有助于准确区分计算机犯罪与信息犯罪。其二，以数据财产权为路径，明确数据客体与“公私财物”的刑法联系，有助于通过财产犯罪合理评价数据承载的财产性利益。其三，基于保障数据安全与数据流通的价值平衡，根据数据犯罪本质法益设立实质解释规则，有助于明晰数据犯罪的入罪界限。

关键词：数据犯罪；法益整合；法益分置；个人信息；数据财产权

目次 一、引言 二、数据犯罪刑法应对的实践困局 三、法益整合模式下数据犯罪治理的理论考察 四、法益分置模式下数据犯罪治理的理念 五、法益分置模式下数据犯罪治理的实践展开 六、结语

一

引言

数字经济浪潮席卷全球，数据作为新型生产要素的地位已得到国家战略层面的明确。2022年中共中央、国务院《关于构建数据基础制度更好发挥数据要素作用的意见》（又称“数据二十条”）要求“构建适应数据特征、符合数字经济发展规律、保障国家数据安全、彰显创新引领的数据基础制度”，2025年《中共中央关于制定国民经济和社会发展第十五个五年规划的建议》亦提出健全数据要素基础制度。数据之于国家竞争与发展的重要性不言而喻。然而，数据价值的爆发式增长与数据活动的复杂化演进，亦使数据犯罪呈现出前所未有的样态与危害，对传统刑法治理体系构成了严峻挑战。单纯沿袭传统计算机犯罪体系的治理逻辑，已难以适应数据所承载的多元法益，也无法消解数据技术与规范评价之间的差异。在理论界日趋提倡慎刑的背景下，司法实践中数据犯罪的罪名适用屡现分歧、裁判尺度不一，凸显了既有刑事治理模式的功能失调与刑法理论供给的不足。因此，穿透实践争议的表象，溯源裁判困局的深层症结，在厘清理论纷争的基础上，建构一套逻辑自洽、功能协调、价值平衡的数据犯罪刑事治理模式，不仅关乎刑法自身解释论体系的科学化，更是强化数字经济发展法治化保障、护航国家战略落地的迫切之需。

二

数据犯罪刑法应对的实践困局

当前数据犯罪刑事治理的实践困局，集中体现为罪名适用的高度不确定性。司法实践中，针对相似的侵害数据行为，可能通过非法获取计算机信息系统数据罪、侵犯公民个人信息罪、盗窃罪、侵犯商业秘密罪乃至破坏生产经营罪等不同罪名予以定性，导致同案不同判现象突出，严重损害司法公信力。

（一）罪名适用存在高度不确定性

案例1：解某某侵犯公民个人信息、非法获取计算机信息系统数据案。2017年7月至10月，被告人解某某使用“灭天战神”“远程爆破”等黑客软件攻击他人计算机信息系统，非法获取他人身份证照片、电话号码等公民个人信息510条，在QQ群内下载“公安数据库”等文件获取公民信息15835条，并将破解的计算机IP地址、账号、密码及公民个人信息向他人出售。天津市北辰区人民法院认定解某某成立侵犯公民个人信息罪和非法获取计算机信息系统数据罪，数罪并罚。

案例2：蔡某非法获取计算机信息系统数据案。被告人蔡某等人于2021年11月3日凌晨，破解登录上海XX有限公司多名工作人员的相关账户，并将账户对应控制的虚拟币实施非法转移。经查，被害单位上海XX有限公司共计损失2.83080751个BTC（比特币）、31,390,131.115682个USDT（泰达币）和897,063.54554502个XUC；经多次兑换、转出等操作后，计有99.01个BTC及1,192个ETH（以太币）被转入蔡某控制的账户。上海市静安区人民法院认定蔡某成立非法获取计算机信息系统数据罪。

案例3：魔蝎公司、周某、袁某侵犯公民个人信息案。被告单位魔蝎公司有偿为银行等平台提供用户的个人信息及多维度信用数据。在用户使用这些平台的APP借款时，需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，爬取（复制）上述企、事业单位网站上用户本人账户内的各类数据，并按与用户的约定提供给网贷平台，用于判断用户的资信情况。魔蝎公司从各平台处获取费用。杭州市西湖区人民法院认定魔蝎公司、周某、袁某成立侵犯公民个人信息罪。

以上案例体现出数据犯罪中较为突出的三类罪名适用问题。以案例1为典型的部分计算机犯罪案例，凸显计算机犯罪的适用扩张化趋势，计算机犯罪俨然成为数据犯罪中的“口袋罪”。在案例1被选为人民法院入库案例时，裁判要旨提到“两罪法定刑相同时，可以按照侵犯公民个人信息罪定罪处罚”，强调了对承载个人信息数据的区分。然而该案最终采取数罪并罚，并未体现出区分非法获取计算机信息系统数据罪和侵犯公民个人信息罪的意义，难以彰显案例指导作用。以案例2为典型的部分虚拟财产犯罪案例，反映出虚拟财产的财物属性认定存在争议，这同样使得计算机犯罪的适用得到扩张。将盗窃虚拟财产的行为入罪，本身便是对数据的财产属性加以肯定。但是，部分实践观点认为游戏币属于计算机信息系统数据，不属于刑法意义上的“公私财物”，倾向于将此类情形归为非法获取计算机信息系统数据罪。非法获取计算机信息系统数据罪规制的重点是非法获取行为对计算机信息系统内数据封闭性与保密性的侵犯，该罪无法准确评价涉案数据所承载的财产性利益。以案例3为典型的部分网络爬虫犯罪案例，则透露出传统的犯罪构成要件在面对数据技术行为时存在的过罪化问题。正如有学者所提出的观点，“实务中对网络爬虫的打击存在矫枉过正的情况，通过否定爬取行为正当性以及限制爬取行为出罪事由的方式而导致了‘过罪化’的趋势，这反而阻碍了信息的流通与利用”。案例3中法院以魔蝎公司违背“不会保存用户账号密码，仅在用户每次单独授权的情况下采集信息”的合同约定，将取得用户授权的网络爬虫行为入罪，在实质上模糊了民事违法与刑事犯罪的界限，阻碍数据流通。

（二）既有刑事立法难以提供指引

无论是计算机犯罪适用的扩张，还是数据承载财产性利益的定性存疑，以及数据技术行为过罪化问题，产生这些罪名适用不确定性的原因可概括为“旧瓶”难装“新酒”——面对数据这一新型客体时，传统罪名的构成要件无法妥当解释。源于对数据概念认知的局限性，部分学说将数据视为计算机信息系统或网络的附庸，或将数据与信息等概念混淆，未能充分关照数据自身独立的技术属性与经济属性，更未能前瞻性地预判数据在流通、聚合、分析中可能衍生出的全新法益形态。进一步的具现之处有三：其一，我国数据犯罪所设罪名缺乏体系性。我国现行刑法并未设立独立的“数据犯罪”类罪名，相关规制散见于破坏社会主义市场经济秩序罪，侵犯公民人身权利、民主权利罪，侵犯财产罪，以及妨害社会管理秩序罪等章节，自然导致法益类别和构成要件的分散。其二，我国数据犯罪刑事立法不具备与前置法的连贯性。数据犯罪在构成要件层面以行为违反“国家规定”“国家有关规定”为前提，但对应的前置法五花八门。囿于统一刑法典的立法模式，我国数据犯罪无法同德国、日本一样采取附属刑法的立法模式，由此导致涉及罪刑的规定无法在前置法层面实现语义概念的统一。其三，立法者在面对数字技术时存在预防性的立法观念。客观上看，虽然我国刑法并未就数据技术行为设立新罪，但是以计算机犯罪为主的传统罪名，其打击面仍然过广。而在涉及数据技术行为的场合下，立法者没有及时区分罪与非罪的界限，也未对传统的构成要件进行限缩，实际上等同于以默示的形式支持预防性立法。

上述方面的局限性使得我国数据犯罪既有刑事立法难以为司法实践提供明确指引。立法的滞后与模糊，迫使司法者不得不在既有罪名体系中寻找近似条款进行扩张解释，此种削足适履的司法应对，虽在短期内缓解了惩治压力，却不可避免地引发了罪名适用口袋化、保护法益宽泛化等弊端，侵蚀了罪刑法定原则的根基。

三

法益整合模式下数据犯罪治理的理论考察

出于回应实践难题的现实需求，多数刑法学者从阶层论的犯罪构成体系着手研究，试图通过辨明数据犯罪所侵害的核心法益，为数据犯罪相关罪名的适用划定实质边界。一般认为，我国刑法中广义的数据犯罪涵盖计算机犯罪、个人信息犯罪、国家秘密犯罪、商业秘密犯罪等领域。以法益论为主要范式的理论研究逐步深化了对数据刑法属性的认识，却也暴露出方法论上的局限：现实情境下，数据承载的利益呈现出高度复合的特点，个人法益和超个人法益混杂，财产法益、人格法益、数据安全法益乃至国家安全法益均系于一体。试图提炼出一个单一、排他的核心法益往往陷入理论上的困境，且难以指导解决数据生命周期中针对不同主体的复杂犯罪情形。部分法益论范式下的理论观点呈现出“以偏概全”的特征，过度依赖与纠结于整合出单一的数据犯罪保护法益。事实上，这种法益整合模式在某种程度上遮蔽了以个案场景为实质标准来设计体系性治理模式的可能性。

（一）数据犯罪保护法益的属性流变

数据犯罪的一众相关罪名最早源于计算机犯罪。传统刑法视域下，数据多作为信息载体或财产附属物（如盗窃罪中的电磁记录），本身不具备独立的价值，相对而言，数据所承载的信息才是刑法保护的对象。受限于1997年《中华人民共和国刑法》（以下简称“《刑法》”）时期电子信息技术的发展情况，数据所承载的信息内容相对单一，通常只涉及国家事务、国防建设、尖端科学技术领域等特定内容。另外，彼时数据的收集、使用大多需要依托计算机信息系统进行，因此刑法仅需对计算机信息系统这一媒介进行把控即可实现犯罪治理。起初计算机犯罪项下罪名仅有非法侵入计算机信息系统罪一项，直至2009年《中华人民共和国刑法修正案（七）》才增设了非法获取计算机信息系统数据罪等其他罪名。基于上述历史背景，计算机犯罪中的五项罪名，均能够以计算机信息系统安全这一秩序法益概括，既不存在该秩序法益难以还原为具体的个人法益的困境，也不存在区分数据与信息的必要性。“数据犯罪”的概念在当时尚不足以被立法者重视，也鲜有学者使用这一表述。

然而，现代风险的一大特质是风险影响途径的不确定性，在数据犯罪领域中，既包括刑法无法预测的新型法益出现，也包括既有法益的本质属性发生流变。与互联网等工具化的客体相似，数据也具备高度的依附性，计算机、互联网等技术要素在不同时期分别赋予数据多种功能，历经大数据、人工智能时代的洗礼，数据已成为独立的生产要素与战略资源，其经济价值、公共管理价值乃至国家安全价值日益凸显。在风险社会理论中，数据往往被认为是典型的高风险要素，“由于生产的去中心化，对生产工具的实际支配依照所有权关系出现了分化，而对生产过程的监控也开始在根本上取决于信息和信息网的可用性”。结合法益论的视角看，数据的功能属性发生上述流变后，针对数据进行的犯罪侵害的法益类型不确定、造成的危害结果不确定，并且难以从刑事层面进行即时、准确的控制与治理。数据泄露、滥用等行为具有不可逆的扩散性，一旦发生便可能引发大规模隐私侵害、社会秩序动荡等系统性刑事风险。因而刑法基于预防立场进行前置化介入，将非法获取、持有数据等尚未造成实害但具有高危风险的行为独立入罪，催生了多种新型法益保护需求。

通过以上对数据犯罪法益的溯源可得出，数据犯罪成为领域犯罪，是数字时代的必然现象。从1997年《刑法》早期的计算机犯罪倾向于对计算机系统、密码、文件等数据内容的侵犯，到数字时代下的数据犯罪演变为对数据所承载的财产性利益的侵犯，以及通过数据为载体侵犯多种法益，体现出数据犯罪法益的流变性，这种法益流变必然与讲求明确性的法益理论存在抵牾。

（二）数据犯罪保护法益的立场辨析

数据犯罪的法益立场众多，且理论脉络混乱，尚未达成多数共识。数据犯罪具体侵害到何种法益，刑法理论界主要形成了以下数种观点：其一是秩序法益说，主张数据犯罪的核心在于危及计算机信息系统的正常运行与安全，故应主要适用非法获取计算机信息系统数据罪等罪名，其保护法益具有国家数据管理秩序的色彩。其二是数据安全说，此类观点认为数据作为一种独立的客体，其安全、可控、合法利用的状态本身可构成一种新型的、独立的法益，应获得刑法的直接保护。其三是人格权说，该说关注数据所承载的信息内容，特别是公民个人信息，以侵犯公民个人信息罪为主进行罪名适用，其法益呈现出抽象的信息管理秩序与具体的人格权双重构造。其四是知识产权说，通常适用于商业活动中的衍生数据，以侵犯商业秘密罪为罪名依据，结合商业竞争秩序和个人商业秘密权的复合法益，旨在保护商业秘密数据的财产价值。其五是财产权说，该说强调数据本身的经济价值，主张将具备财产属性的数据纳入盗窃、诈骗等传统财产犯罪的保护范围，或通过创设数据财产权等路径进行专门保护。

上述各法益立场固然能在某些情形下解决数据犯罪的罪名适用问题，但无论哪种观点均无法达成“毕其功于一役”的效果。秩序法益说面临着国家数据管理秩序法益难以还原为具体、明确的个人法益的难题。随着我国法益理论研究的逐渐深入，集体法益的可还原性也逐渐被不少持法益二元论的学者所认可，比起传统的秩序法益说，数据安全说更为强调数据安全的可还原性和独立保护的必要性。然而，数据法益背后不只是抽象的安全价值，在数据犯罪涉及个人信息的场合下，以数据安全或者信息管理秩序作为侵犯公民个人信息罪的核心法益则捉襟见肘。有鉴于此，人格权说针对数据犯罪中的“信息”内容进行补正，在有限度地承认秩序法益的基础上，通过强调人格权等个人法益来弥合秩序法益中无法还原的部分，该部分具体指向的权利一般被认为是个人信息的受保护权，也有观点更进一步地提倡个体的匿名性。但是人格权说的重心更倾向于信息犯罪而非数据犯罪，无法涵盖数据犯罪的各种行为样态。与人格权说相同，知识产权说和财产权说更多被用于解释涉及数据财产价值的情形。囿于财产性利益等概念的民刑理论差异，数据财产权在刑法的正当性一直备受争议。

（三）对数据犯罪法益整合模式的反思

无论是诸如国家数据管理秩序等秩序法益，还是数据安全、人格权、财产权等个人法益，均无法独立代表所有数据犯罪的保护法益。为解决这一问题，多数学者提倡构建体系化的数据犯罪治理模式，以串联数据犯罪涉及的各类法益。具体而言可分为两种模式：其一是法益整合模式，针对数据犯罪的多类法益进行整合，同时增设独立罪名以保护整合后的数据安全法益或数据支配权法益。譬如有观点认为，“数据安全法益具有宏观上的国家安全、中观上的公共利益和微观上的个人信赖‘三重构造’”“适当修改非法获取计算机信息系统数据罪，并适时增设非法提供数据罪、非法使用数据罪，从而创新数据安全的刑法规制体系”。其二是法益分置模式，根据具体侵犯的不同法益类别，按照对应的罪名进行分置认定，包括难以直接还原为个人法益的秩序法益。面对计算机犯罪适用泛滥的司法现状，该模式又可细分为两种路径：（1）以数据安全或数据财产权为路径，通过个罪法益划定构成要件的边界，从而限缩计算机犯罪的分置模式；（2）不以前置法的数据确权为前提，主要用以保护数据衍生的财产性利益的间接治理路径。

整合模式下，数据犯罪的法益定位失焦问题在形式上得以解决，但整合多类法益的做法使得该模式受到质疑。其一，整合模式在对策上倾向立法论，即增设新罪名来容纳新法益，从解释论优先的应然角度考虑，贸然增设数据犯罪领域的新罪名，缺乏刑法修订的必要性。并且，数据犯罪当下的问题是“实行行为同质、侵犯法益异质”，数据犯罪法益的整合必将面临个人法益的还原，整合模式并未在实质层面解决多元法益并存导致的罪名适用困境。其二，在司法适用中也不应整体化界定“数据犯罪保护法益”。法益定位的失焦是以行为对象为划分标准的领域犯罪存在的共性问题，类似网络犯罪。在数据犯罪的外延中，既有以数据为侵害对象的犯罪，又有以数据背后的利益为侵害对象的犯罪。涉及具体罪名的适用时，强调单一的数据犯罪法益，将模糊不同罪名构成要件的差异，甚至加剧对应罪名的“口袋化”趋势。以案例2为例，如若根据整合模式指导罪名适用，则该案入罪标准的判断仍将依附于非法获取计算机信息系统数据罪，最终仅能够实现对数据本身的评价，而未能对数据的财产属性作出充分评价。虽然数据权利是多种类型权利相集合的“权利束”，但这并不意味着不同的数据犯罪保护法益也要集合。

在承认法益的指导地位的基础上，数据犯罪刑事治理应回归个罪构成要件本身。部分既有的、以法益论为主导的研究范式，存在着将不同维度、不同类别的多种法益混为一体的情形。拘泥于廓清数据犯罪所侵害的核心法益，本质上是对数据犯罪中客观存在着多类别法益这一事实的忽视。而将这一事实视为待解决的问题，致力于以整合的、单一的法益解释不同情形下的构成要件，反而与阶层化犯罪论体系的框架相冲突。构建合理的数据犯罪治理体系，应摒弃单一、静态的思维，转向动态、层级化、场景化的分析框架。比起整合模式提倡单一法益和增设新罪的做法，强调以个罪构成要件为准则的法益分置模式，更具备刑法解释论的完备性和司法实践的可操作性。

四

法益分置模式下数据犯罪治理的理念

数据犯罪法益分置模式的核心是对不同罪名的保护法益“分而治之”，强调个罪法益的独特内涵。实现分置模式的前提在于如何实现对不同数据犯罪法益的区分，从方法论的角度看则在于如何对各罪名的构成要件加以区分。基于目的解释，贯彻分置模式亟须在构成要件层面充分理解数据与信息、数据客体与“公私财物”、数据安全与数据流通三对概念的刑法关系，并在此基础上形成明确化、独立化的理念。

（一）厘清数据与信息的属性差异

事实上，将数据与信息概念混同的观念，阻碍了罪名适用时信息犯罪从传统计算机犯罪中分离的进程。类似案例1的情形，侵犯公民个人信息罪或非法获取计算机信息系统数据罪的适用在相当一部分案件中成为难题，根本原因便在于对数据与信息的认定存在混淆。以分置模式彰显个罪法益的独特内涵，亟待厘清数据与信息的属性差异。有观点以数据法益是否独立于其他法益为标准，总结出从属性法益说和独立性法益说的二元划分，并在独立性法益说的基础上将数据媒介运行机制作为新的数据犯罪法益，通过强调数据的公共性和社会性来将计算机犯罪与其他信息类犯罪以及传统的人身、财产犯罪区分。虽然该观点所重构的数据媒介运行机制法益与整合模式下的单一法益具有相似之处，但其将重构后的法益范围限定于计算机犯罪之内的做法与分置模式具有异曲同工之妙。此类观点从解释论的层面对计算机犯罪中“非法获取”与“破坏”等构成要件行为进行了有效剖析，其中对数据与信息进行区分的研究思路值得肯定。

在我国现行的法律文件中，数据与信息并非同一法律概念。数据作为信息的载体，强调实质的资源属性；信息作为可识别、可操作的内容，强调抽象的价值判断。数据是以电子或其他方式对信息的记录，是信息的载体或表现形式，其本质是符号性、机械性的原始记录，未必具有可理解性或意义；信息是数据经处理后具有特定意义的内容，是数据所传递的实质含义，其本质是知识性、语义性的内容，依赖于人类解读或机器处理以产生理解。“技术上，数据是未经处理的事实，而信息是通过对数据进行组织、分析和解释之后所形成的有意义的内容。”可以看出，区分数据与信息属性差异的关键便在于可识别性。这一特点在比较法范畴下也得到了明确印证。譬如2018年生效的欧盟《通用数据保护条例》（General Data Protection Regulation，简称“GDPR”）第4条规定，“‘个人数据’是指与已识别或可识别的自然人（‘数据主体’）有关的任何信息；可识别的自然人是指可通过直接或间接方式被识别的人，特别是通过参考姓名、身份证号、位置数据、在线标识等，或通过参考该自然人身体、生理、遗传、心理、经济、文化或社会身份的一个或多个特定因素来识别的人”。虽然该条原文采用“personaldata”的表述，但根据其对可识别性的强调，应当认为此处的“个人数据”即中文语境下的“个人信息”。

基于可识别性的判断标准，数据与信息存在“载体—内容”的二元属性差异。数据法益和信息法益的保护重心在不同罪名中的异同如下：其一，在传统数据犯罪语境，以抽象的客体安全或国家管理秩序作为法益保护的对象时，犯罪行为侵犯的是数据或信息载体的封闭性、安全性，不涉及对具体内容的识别，此时数据与信息无须严格区分。其二，在涉及个人法益时，应根据具体权益的作用方式对数据与信息进行区分。譬如2017年最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称“2017年《个人信息解释》”）第1条明确了“公民个人信息”的可识别性标准，即“能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况”。该情形下认定犯罪行为是否对公民个人信息造成侵害，须对涉案数据承载的内容进行价值判断，载体本身并非判断对象，此时应优先适用信息这一法律概念，避免不当适用传统计算机犯罪罪名介入信息法益。

（二）明确数据客体与“公私财物”的刑法联系

《刑法》分则第五章“侵犯财产罪”的保护对象是“公私财物”，若要利用财产犯罪罪名准确评价部分数据犯罪中的财产性利益，必须首先将涉案的数据客体认定为“公私财物”。数据产权的法律性质在法学理论界存在不同意见，数据客体是否能被视为财产犯罪中的“公私财物”这一问题也未形成共识。将数据客体视为物权客体的所有权说受到宏观政策和民法理论的双重诘问。一方面，“数据二十条”提出数据资源持有权、数据加工使用权、数据产品经营权“三权分置”的制度框架，淡化所有权、强调使用权；另一方面，数据客体可无限复制，该特性与传统有体物所有权的排他性存在冲突，数据既非不动产也非动产，对其直接进行所有权的确权缺乏民法依据。以知识产权罪名对具备保密性或商业价值的数据进行保护的知识产权说，则存在着保护范围有限的客观问题。

在上述背景下，明确数据客体与“公私财物”的刑法联系格外重要。分置模式中持数据财产权路径的学者认为，数据财产权的本质是一种拟制所有权，与既有的物权、债权、知识产权等存在区别。认为数据财产权“具有财产性、对世性、有限支配和有限排他的基本属性”的观点，也认可数据财产权的拟制属性。然而，以数据财产权这一拟制权利作为个罪法益标准，在确权的正当性和必要性层面，仍面临着与所有权说相似的问题。因此，间接治理路径在承认数据的财产价值的基础上，通过考量数据具体类型与财产价值生成方式，以聚焦于对数据衍生性权利的保护，从而弥合数据确权在前置法层面的缺失困境。但是，间接治理路径以实行行为侵犯的衍生性权利来判断个罪保护法益的做法，在当前以计算机犯罪罪名适用为主的实践领域，可能存在不当限缩财产犯罪罪名适用的嫌疑。不适用财产犯罪罪名不等同于出罪，间接治理路径似乎并未考虑限缩计算机犯罪罪名适用的应然需求。可以发现，分置模式两种处理路径的本质区别是数据财产权的确权与否。这种路径分歧与早期我国对“财物是否包括财产性利益”的讨论类似，均体现出通过扩张解释以维持既有刑法理论框架的立场。为证成“数据客体可以作为刑法中的‘公私财物’”这一观点，数据财产权的确立不可或缺。

其一，数据财产权的确立能够契合既有的所有权理论体系。通说认为，财产犯罪侵犯的客体为公私财产所有权，即使行为人以用益物权、债权、债务等其他方式实现财产收益，其最终的表现形式均为他人财产所有权的损害。换言之，财产犯罪保护法益的核心为财产所有权。不仅限于有体物，虚拟财产等数据客体也具备刑法语境下财产的价值性，故而为承载财产性利益的数据设立拟制所有权，有利于刑法准确评估财产性价值。正如有学者提出，“构建数据产权制度的核心命题是确立以数据为客体、以有限排他性为本质特征的数据财产权”，如若因数据所有权不具备传统所有权的排他性而放弃数据确权，本质上是回避了对排他性的讨论，进而缺乏适用财产犯罪罪名的理论根基。况且，数据财产权之所以是一种拟制权利而非真正的所有权，本就是因为排他性的缺失。

其二，数据财产权的确立能够顺应数字经济发展的宏观背景。一方面，“数据二十条”的“三权分置”为数据财产权路径提供结构指导。部分观点认为，“在前置法没有规定数据财产权的情况下，数据财产说违反了法秩序统一性原则”，进而对数据财产权路径提出质疑。而数据资源持有权、数据加工使用权与数据产品经营权的提出，分别强调了数据的所有权下持有、使用、收益等具体权利，在淡化传统所有权的排他性对数据客体造成影响的同时，也为刑事违法一元论的贯彻提供了政策依据。数据财产权路径是对所有权说的修正，与“数据二十条”的数据产权分置理念相顺应。另一方面，企业数据权益保护已日趋成为数字经济法治保障的必由之路，刑法理论接纳数据财产权具有天然的必要性。间接治理路径以数据客体的衍生性权利作为判断构成要件的标准，其遵循的一个重要前提是，行为人已经将涉案数据转化为经济利益。在诸如案例2的情形中，如果按照间接治理路径的价值预设，行为人在将盗窃来的虚拟财产销赃后才成立犯罪既遂。这种限缩对以数据产品为主的企业数据权益而言，则存在着刑法介入过于滞后的可能性。

（三）保障数据安全与数据流通的价值平衡

数据犯罪法益分置模式不仅需要梳理此罪与彼罪的构成要件差异，而且需要划定罪与非罪的构成要件标准。前述案例3将取得用户授权的网络爬虫行为定性为侵犯公民个人信息罪，反映出刑法对个人信息的保护范围过于扩张，对网络爬虫等数据技术行为的规制过于严厉。诚如部分学者所言，“我国在强化数据安全的政策背景下，存在不区分网络爬虫不同的技术特征、抓取对象而一律以刑法规制的从严现象，忽视了刑法前置的其他部门法和技术规制手段”。这种司法实务中的过罪化倾向是积极预防刑法观的延伸，其意图通过刑法对数据技术行为完全规制甚至超前干预，从而规避潜藏的、难以预测的风险，即使这种风险尚未现实发生。在数据犯罪的语境下，数据安全成为部分司法过罪化倾向的“免罪金牌”，甚至刑法理论界也有部分观点试图通过强调数据安全法益，为风险预防的必要性以及合目的性辩护。

然而，数据作为新型生产要素的价值体现在数据流通，这也是数据区别于传统的计算机信息系统数据的关键所在。数据流通带来不可估量的经济价值。与经济学上商品货币的内在价值相似，数据的内在价值直接体现在其作为商品的流动性，从经济学的角度看，当商品货币的流动性上升时，其价值便会提高。在社会生产活动的过程中，数据的交互形式体现在收集、分析和流通，其中数据流通能够显著提升所提供数字产品和服务的质量。在平台化、市场化的发展趋势下，刑法对数据技术行为的过度规制可能引发寒蝉效应：一方面，技术创新的积极性可能受到打击，从而间接地破坏技术创新所带来的潜在经济效益；另一方面，数据市场的流动性可能受到限制，从而直接折损数据流通所带来的商品经济价值。保障数据安全与数据流通的价值平衡，是刑法为数字经济发展提供助力所必须面对的课题。

为最大限度保障数据流通的经济价值，刑法对数据安全的保障应依托于现实发生的风险，而非主动创设刑法保障的价值或必要性，不应基于预防目的扩张解释构成要件。必须认识到数据安全风险具有显著的动态性与场景依赖性。技术日新月异，数据应用场景层出不穷，数据安全威胁的形态也在不断演变，因此刑法治理也应当保持一定的弹性和开放性。“对数据安全风险的刑法预防，本质上是对数据安全的保护，也应兼顾数据确权、交易、安全管理等，不能笼统地汇聚于对公共秩序的保护”，就个罪法益指导下的构成要件，应避免将数据安全法益与国家对数据的管理秩序相混同的误区。《中华人民共和国数据安全法》第3条规定，“数据安全是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。”涉及数据技术行为的定性问题，应当在构成要件层面对数据安全法益进行分解，以实现司法适用的可操作性。具体而言，须在不同场景中诠释和细化“有效保护”“合法利用”“持续安全状态”，对未实质性侵害数据安全的数据技术行为予以出罪，积累平衡数据安全与数据流通的裁判智慧。更为重要的是响应“数据二十条”之要求，推进设立法益侵害风险的实质解释规则，通过数据进行合理分类分级，充分调用前置法的监管功能，避免对数据安全的保护因上升至公权力层面而阻碍数据流通。

五

法益分置模式下数据犯罪治理的实践展开

如前所述，数据犯罪刑事治理存在罪名适用口袋化、保护法益宽泛化等不当导向。对此，分置模式能够有效提供解释论的指引。分置模式的实践适用应从以下三方面展开：其一，正视数据与信息的属性差异，从形式与实质两方面完善可识别性标准，有助于准确区分计算机犯罪与信息犯罪。其二，以数据财产权为路径明确数据客体与“公私财物”的刑法联系，有助于通过财产犯罪合理评价数据承载的财产性利益。其三，基于保障数据安全与数据流通的价值平衡，根据数据犯罪本质法益设立实质解释规则，有助于明晰罪与非罪的界限。

（一）完善可识别性标准以区分信息犯罪

可识别性标准在司法实践中的适用仍然模糊，亟需实质性的规则予以解释。以侵犯公民个人信息罪为例，一方面，本罪通常与上游的数据犯罪、下游的网络犯罪之间存在罪数认定问题，部分非法获取计算机信息系统数据罪中所涉数据的内容系本罪“公民个人信息”，以案例1为代表的数罪并罚判决事实上削弱了可识别性标准的必要性。另一方面，数据承载的信息达到可识别为特定自然人身份的标准，即在形式上符合本罪中的“公民个人信息”，然而具备形式的可识别性不等同于存在实质的法益侵害性。对涉案数据承载的内容进行价值判断时，如果形式上不具有可识别性或实质上不具有法益侵害性，则该部分内容不属于刑法意义上的“公民个人信息”。对此，应从形式可识别性和实质法益侵害性的双重角度完善既有标准。

其一，为确保计算机犯罪与信息犯罪的分立，应提高非法获取计算机信息系统数据罪数量标准。案例1的判决结果并未体现出裁判要旨，原因在于想象竞合情形下，非法获取计算机信息系统数据罪数量标准高于侵犯公民个人信息罪，无论区分数据的载体与内容与否，均不影响最终以非法获取计算机信息系统数据罪定罪量刑。刑法理论界对侵犯公民个人信息罪保护法益存在争议，是为了明确“公民个人信息”实质上与何种现实利益紧密联系。个人信息权法益说、个人信息自决权法益说，以及信息管理秩序和人格权双重法益说等不同观点，均认为侵犯公民个人信息最终会导致人身和财产权益的损害，因此对于非法获取具有可识别性的数据内容的行为，刑法应当给予更严厉的评价。然而，对比2011年《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称“2011年《计算机解释》”）第1条和2017年《个人信息解释》第5条规定，可以发现两罪的“情节严重”数额标准均为违法所得五千元以上，身份认证信息类信息的数量标准均为五百条（组）以上，但两罪“情节特别严重”的标准相差一倍：非法获取计算机信息系统数据罪达到“情节特别严重”仅需上述数额或数量的五倍，而侵犯公民个人信息罪则需十倍。如此差异将致使两罪想象竞合时，非法获取计算机信息系统数据罪的法定刑必然更高。在这一情形下，虽然适用想象竞合的处断规则也能定罪量刑，但是为使得刑法精准评价对数据承载信息的侵犯行为，应强调侵犯公民个人信息罪的优先适用。具体操作方面，可考虑将2011年《计算机解释》第1条“情节特别严重”的数额或数量标准上调至十倍，从而使得两罪在法定刑层面得到实质统一。

其二，为准确识别法益侵害性，应实质审查可识别信息与人身、财产权益的关联程度。相关法律和司法解释对这种可识别性的具体认定，只能通过概括和列举结合的形式进行部分展示，譬如2017年《个人信息解释》第5条列举了“住宿信息、通信记录、健康生理信息、交易信息等”具体情形来说明“可能影响人身、财产安全的公民个人信息”。至于这些信息与公民的人身、财产权益间联系的程度如何，则有赖于个案证明。有观点通过列举案例的方式，指出实践中可识别性标准的认定存在扩张化的趋势，过分追求形式上的可识别性，使得许多与公民人身、财产权益关联较弱的可识别信息受到刑法不当规制。对此，应适时加入实质审查标准，譬如刘某侵犯公民个人信息案的裁判要旨明确指出，除形式的可识别性外，还应通过“内容的隐私性、来源的不公开性、性质的敏感性”来判断与人身、财产权益的关联程度。其中，来源的不公开性倾向于非法获取手段的评价，而内容的隐私性和性质的敏感性则是对人身、财产权益关联程度的评价。李某等人诈骗、侵犯公民个人信息、掩饰、隐瞒犯罪所得案、娄某某侵犯公民个人信息、掩饰、隐瞒犯罪所得案等案例表明，行为人在实施侵犯公民个人信息行为后，往往会将获得的公民个人信息投入到网络诈骗或掩饰、隐瞒犯罪所得等下游犯罪。当非法获取的公民个人信息能够直接指向对人身、财产权益的损害时，如公民身份证件信息、人脸识别信息等，应基于对后续犯罪行为的预防，将上述信息纳入可识别性的判断标准。相反，如若获取的信息实际上不具有损害人身、财产权益的可能性时，如过期或已注销的身份认证信息等，即使在形式上具有可识别性，也不宜贸然适用2017年《个人信息解释》第5条第5项进行入罪。

（二）构建数据财产权的刑法保护路径

以数据财产权指导财产犯罪构成要件的认定，亟须对实行行为和数据客体加以解释。一方面，传统财产犯罪实行行为的对象系有体物，对占有的认定是判断行为符合构成要件的核心依据，而数据财产权的权能不体现在占有，应构建数据财产犯罪实行行为的判断规则。另一方面，并非所有数据客体都可以被认定为“公私财物”，为防止财产犯罪的不当扩张，应实质界定数据客体的流通价值和使用价值。

其一，数据财产犯罪的实行行为应体现在对数据财产的控制支配关系的侵犯。以传统盗窃罪为例，对“盗窃”行为进行解构，可概括出“打破旧的占有，建立新的占有”的行为构造；进一步对“占有”进行解构，不难发现其在刑法领域通常表现为对物的事实性的支配，也即“事实性占有”。而作为无体物的数据不适用这种物理性的行为构造，对事实性占有的侵犯无法涵盖数据财产的转移模式。对此，可考虑从数据财产权的拟制属性着手，对“事实性占有”进行解构，挖掘出盗窃有体物财产和数据财产的行为共性。在描述刑法中的占有时，对事实性的考察不可或缺。而在盗窃数据财产的场合下，占有难以在事实性层面影响对数据财产价值的规范评价。传统取得型财产犯罪通常包括事实性占有的转移和财产价值的转移，在实行行为既遂时，占有转移和财产转移是同步发生的；而以数据财产为对象的取得型财产犯罪不以物理性的占有转移为基础，而是表现为对数据财产的控制管理权限的篡取，在财产价值损害的结果上与传统的占有转移相同。因此，考察行为人是否打破了权利人对数据财产的控制支配关系，关键在于实行行为是否对权利人享有的财产性利益造成整体价值损害。行为人仅物理性地占有数据财产存储介质，既未妨碍权利人行使数据财产权，又未实质损害数据财产的价值的行为，不应认为是犯罪。反之，则应根据受损数据财产价值的流向来认定取得性或者毁坏性财产犯罪，即行为人获得控制管理权限后，对数据财产进行利用或者毁损。譬如非法获取数据行为，权利人的数据财产价值因数据泄露受到损害，而行为人获得了相应的价值，此时以盗窃罪论处；又如行为人通过篡改、删除数据的方式造成权利人数据财产价值的毁损，实质上已无利用可能，则应以故意毁坏财物罪论处。

其二，对于具有人身依附性的数据客体，仅在具备直接财产价值的情形下才能被认定为“公私财物”。2017年《个人信息解释》第1条将账号密码定性为个人信息，据此有观点以信用卡犯罪类比，认为网络账号只是权利凭证的载体，不应归属于财物范畴。然而该观点难以合理解释盗卖账号案件中涉案账号的性质，如若仅关注数据背后的衍生性利益，则陷入了前述间接治理路径的窠臼。部分实践观点则认为网络账号兼具人身和财产属性，应衡量涉案网络账号人身属性和财产属性的比重，从而定性为个人信息或者财物。直播账号、游戏账号等具备直接财产价值的网络账号，其财产价值与身份认证信息存在强关联，通过账号持有人的使用即可直接产生使用价值。对上述标准继续解构不难得出，数据财产犯罪中的“公私财物”代表着直接财产价值而非间接或衍生财产价值。因此仅当涉案网络账号具备这一属性时才能以财产犯罪介入，否则应归入侵犯公民个人信息罪论处。值得注意的是，在论及信息犯罪的可识别性标准时，涉案信息与权利人的财产权益关联程度应是间接的。侵犯公民个人信息罪中的信息泄露仅代表着权利人的财产权益受到威胁，并不等于财产价值直接受到折损。

（三）设立法益侵害风险实质解释规则

鉴于保障数据安全与数据流通的价值平衡，实践中应严格把握各数据犯罪构成要件的认定。具体而言，在判断各罪名的构成要件时，应有效评估涉案行为的法益侵害风险，形式符合构成要件、实质未造成法益侵害的行为不予入罪。就数据受到侵害后对经济运行、社会秩序、公共利益或个人、组织合法权益等造成的危害程度，我国现行《数据安全技术数据分类分级规则》（GB/T43697—2024）（以下简称“《数据分类分级规则》”）提供了纲领性的评估准则，明确了数据术语的基本定义、分类分级的基本规则和数据安全风险的考虑因素。该文件采用核心数据、重要数据和一般数据的分级标准，对一般数据内部则提供4级、3级和2级的分级参考。然而，仅凭《数据分类分级规则》仍然无法直接指导构成要件认定：（1）“数据安全”在刑法领域仍然是一个宽泛的概念，在不同的数据犯罪罪名中，对数据安全的侵犯不一定会导致实质的法益侵害。譬如前述数据财产犯罪，单纯复制权利人账号的行为不会造成财产价值的折损，只有在行为人进一步实施修改密码、转卖账号或“销号”等行为时，才会对财产价值造成实质损害。将数据安全视为指导构成要件的总依据，其底层逻辑依旧是整合模式的法益观，无益于细化构成要件的认定标准。（2）《数据分类分级规则》围绕数据客体进行分类分级，并以此评估对各类法益造成的可能风险，却没有对实行行为的风险进行评估，仅以“泄露、篡改、损毁或者非法获取、非法使用、非法共享”概括实行行为。至于如何判断行为“非法”，《数据分类分级规则》没有给出答案。（3）《数据分类分级规则》的性质系国家标准，既不具备成文法的效力，也不具备与其衔接的前置法规定，直接援引该文件将在形式上缺乏法理依据。

综上，设立构成要件法益侵害评估机制，不仅需要在《数据分类分级规则》与刑法中的数据客体之间构建对应关系，而且需要将以数据客体为主导的入罪逻辑，转变至限定实行行为的理念。具体而言：（1）就数据客体层面，应当秉持法益分置模式理念解构“数据安全”。《数据分类分级规则》在划定数据类别时严格依据科学实用原则，未曾采用“数据安全”的笼统表述，这与分置模式的法益理念存在天然默契。但是，财产犯罪、商业秘密犯罪等罪名更倾向于保护组织利益、个人利益，涉案数据类别基本上仅为一般数据，其内部没有更加细致的划分标准。尤其是涉及企业数据产品、数据服务等衍生数据是否能够被认定为“商业秘密”，需要在一般数据内部进行二次评估。针对商业秘密犯罪，应结合《中华人民共和国反不正当竞争法》第10条规定，以是否同时满足“非公知性”“商业价值”“保密措施”三要件，合理区分商业秘密数据与一般商业数据，从刑法层面优先保障数据流通，避免将技术中立的一般商业数据行为犯罪化。（2）就实行行为层面，应具体分析数据技术行为的实现方式，结合行为所涉数据客体判断风险。针对不当使用算法技术、算力资源等新型行为，应当严格审查行为是否未经授权或者突破授权，譬如行为人是否以技术手段破解代码保护措施。将无须授权或者不具备突破授权性质的技术行为从既有罪名中分化出去，而非对既有的构成要件进行扩大解释甚至类推解释。类似案例3中的网络爬虫行为，因相关数据涉及公民个人信息而须取得用户授权，但在已取得授权的情形下，则不宜贸然将此类行为入罪。（3）对于难以直接通过数额判断的法益侵害，可考虑通过案例指导制度或引入实证分级标准，细化入罪的具体情节，包括实行行为、危害结果、犯罪目的等。在法律位阶层面保障法益分置模式的正当性，还要求出台新的涉数据犯罪司法解释，从而推动跨法律部门协同，构建以数据分类分级为基础，民法、行政法、刑法有序衔接的构成要件法益侵害评估机制。

六

结语

对于技术发展带来的新型行为样态和法益类别，刑法往往秉持积极介入的立场，意图通过规制技术来保护法益。数据作为新型生产要素，其流通价值日趋增长，这一发展样态逐渐与既往的静态刑事治理观念分道扬镳。我国刑法并未专门增设“数据犯罪”类罪名。秉持积极介入的立场，部分法益论主导下的研究范式倾向于对各种数据犯罪的保护法益加以整合，并创设新罪集中规制。整合模式突破了解释论优先的应然立场，不仅未能合理阐明其诉诸立法的必要性，而且难以指导个罪构成要件的司法认定。数据犯罪法益分置模式并不排斥未来潜在的刑事立法，其功能定位聚焦于为当前数据犯罪罪名适用提供理念性的指引。分置模式致力于回归个罪构成要件的讨论范畴，一方面以信息犯罪、财产犯罪为路径，将部分不适用于计算机犯罪评价的行为分离出来，另一方面则通过对法益侵害的实质评估区分罪与非罪。传统计算机犯罪的司法扩张化趋势得以缓解的背后，是刑法以宽容审慎促进数据流通的应然之举。

-向上滑动，查看完整目录-

《中国政法大学学报》2026年第4期目录

【习近平法治思想】

1.习近平法治思想的创新与发展

——基于新时代全面依法治国的全景考察

江必新（5）

【绿色发展】

2.企业数字化转型能否促进ESG表现提升？

徐京平、曹鹏（15）

【法治文化】

3.论陀思妥耶夫斯基作品中的刑罚思想

管志强（31）

【人文哲思】

4.“虽由人作，宛自天开”：中国古代园林美学的历史演变与主导追求

祁志祥（44）

5.《蝴蝶》与《布礼》对读记

——以两部作品中的乡村叙事为线索

张志忠（58）

6.拉格洛夫的生态美学思想

——以《尼尔斯骑鹅旅行记》为例

黄华（75）

【社科前沿】

7.生成式人工智能应用中的文化安全风险及其应对

肖君拥、刘昊（87）

8.生成式人工智能如何提升数字政府建设质量

——基于深杭两市的实证分析

孙春伟、王天骄（104）

9.公平竞争审查制度与企业供应链效率

商文江、梁昌裔（120）

10.新发展理念下中心城市竞争力如何影响区域经济增长？

马志越（134）

【法学前沿】

11.继父母与受其抚养教育的继子女法律关系性质新解

金眉（147）

12.未登记的特殊动产受让人排除强制执行问题研究

石佳友、史学炎（164）

13.夫妻一方直播打赏中的公序良俗违反

宁红丽、马澄蔚（182）

14.民法典不可抗力免责规则的适用与反思

——以《民法典》第180条第1款为中心

刘磊（199）

【青年论坛】

15.数据犯罪法益分置模式的证立与实践展开

刘扬（211）

《中国政法大学学报》创办于2007年9月，是由国家教育部主管、中国政法大学主办、《学报》编辑部负责编辑出版的综合性人文社会科学学术刊物。现为双月刊，大16开本，每期160页，逢单月10日出版，设有：“法治文化”、“学术论衡”、“学人讲坛”等栏目。《学报》坚持学术自由、兼容并包的编辑取向，崇尚扎实创新的学风，积极推进学术交流与对话，得到了学术界、期刊界同行的充分肯定，对中国的法治建设和法学发展发挥着积极的作用和影响。创刊以来，《学报》首发论文被人大复印资料等刊物转载的篇次在国内政法类院校学报中名列前茅。其中我刊重点、特色栏目“法治文化”编发文章近百篇，已有二十篇文章被《新华文摘》等转载，产生了良好社会反响。近年来，环境资源法学的论文也正在成为我刊编发文章的又一个亮点，引起学界的广泛关注。

点击进入下方小程序

获取专属解决方案~

责任编辑 | 郭晴晴

审核人员 | 张文硕 韩爽

本文声明 | 本文章仅限学习交流使用，如遇侵权，我们会及时删除。本文章不代表北大法律信息网（北大法宝）和北京北大英华科技有限公司的法律意见或对相关法规/案件/事件等的解读。