观韬视点 | 网络爬虫行为典型法律风险及案例全解析（下）

文 | 观韬中茂上海办公室  王渝伟  陈坤

与本案相关的法律法规的主要内容为：

通过我们对与网络爬虫技术相关的非法获取计算机信息系统数据罪案件的研读、分析和归纳，在此类案件中，法院主要从以下方面认定相关主体构成非法获取计算机信息系统数据罪：

第一，爬虫企业利用网络爬虫技术获取数据信息构成违反国家规定侵入计算机信息系统获取数据（“侵入+获取”）或采用其他技术手段获取计算机信息系统数据（“采用其他技术手段+获取”）；

第二，爬虫企业非法获取计算机信息系统数据达到“情节严重”或“情节特别严重”的标准。

结合以上要点对照本案进行分析解读如下：

除本案外，上海晟品网络科技有限公司（“晟品公司”）等非法获取北京字节跳动网络技术有限公司（“字节跳动公司”）计算机信息系统数据罪一案（（2017）京0108刑初2384号，“字节跳动案”）和武汉元光科技有限公司（“元光公司”）非法获取深圳市谷米科技有限公司（“谷米公司”）数据信息的刑事案件（“谷米VS.元光刑事案件”）也备受关注，字节跳动案中，晟品公司破解字节跳动公司的防抓取措施，并通过技术手段绕过服务器的访问限制并抓取了数据信息；谷米VS.元光刑事案件，虽然谷米公司的公交信息等向公众公开提供，但是大量获取则需要侵入谷米公司的后台计算机系统获取，在此程度上，谷米公司的数据也并非一般意义上的公开数据。因此，三个案件的共同之处在于，都是爬虫企业对被害单位非公开的、受保护的计算机信息系统数据的抓取。

在业务实践中，我们了解到有个别企业存在“搭便车”的行为，通过技术手段突破被爬企业的数据信息保护措施，再利用爬虫技术获取其数据信息，并将获取的数据信息应用于自身的业务场景中，在此，我们提醒相关企业应当注意以下方面：

• 考量被爬企业对于数据信息的保护措施，避免破解或规避被爬企业为保护数据而采取的加密算法、技术保护措施；
• 考量被爬企业设定的获取数据的措施（如需要实名认证、账号密码登录、内部权限），避免伪造实名认证或窃取账号密码、内部权限的形式获取被爬企业的数据；
• 考量被爬企业向一般用户提供数据的方式和业务模式，避免将大量获取（包括利用技术措施模拟正常用户大量获取数据的形式）的数据应用于与被爬企业相竞争的业务；

• 考量抓取的数据信息的属性，避免抓取身份认证信息。

与本案相关的法律法规为：

根据我们对因获取数据构成非法侵入计算机信息系统罪案件的研读、分析和归纳，在此类案件中，法院主要从以下方面认定相关主体构成非法侵入计算机信息系统罪：

第一，提供信息网站为国家事务、国防建设、尖端科学技术领域的计算机信息系统；

第二，爬虫企业对上述计算机信息系统有侵入行为，这里主要考量：（1）是否影响计算机信息系统的正常运作；（2）被爬数据信息的公开程度。

结合以上要点对照本案进行分析解读如下：

对于提供大数据服务的企业而言，获取相关国家机关、政府网站的数据信息用于提供数据分析服务已经非常普遍，但爬取国家事务网站的数据信息仍然应当慎重。如，8月2日我们从《北京青年报》的报道中了解到，行为人将使用爬虫技术手段获取的最高人民法院裁判文书网的文书数据明码标价进行买卖。暂不论其中可能涉及的其他法律风险，在最高院已经采取相应“反爬虫措施”的情况下，行为人仍然强行恶意突破反爬虫技术措施获取文书信息的，将有可能构成非法侵入计算机信息系统罪。为此，我们建议企业或个人在使用爬虫技术获取国家事务、国防建设、尖端科学技术领域的计算机信息系统数据时，应当关注以下方面：

• 避免因使用爬虫技术影响到被爬网站的正常运作；

• 避免抓取计算机信息系统内的非公开数据信息。

与本案相关的法律法规的主要内容为：

虽然《刑法》二百八十五条第三款的罪名和条文都未直接提到用于非法获取计算机信息系统数据的程序、工具，但在《危害计算机信息系统安全解释》第二条的解释中明确，如涉案程序、工具满足一定条件且能够“获取计算机信息系统数据”的，也构成本罪中“专门用于侵入、非法控制计算机信息系统的程序、工具”[7]。因此，《危害计算机信息系统安全解释》扩大了字面上理解的“用于侵入、非法控制计算机信息系统”的语义。

鉴于本文主题为分析使用网络爬虫技术过程中的法律风险，在本罪的探讨中，仅对可能涉及到使用网络爬虫技术的部分进行探讨。

通过我们对与非法获取数据信息相关的提供侵入、非法控制计算机信息系统的程序、工具罪案件的研读、分析和归纳，相关主体构成提供侵入、非法控制计算机信息系统的程序、工具罪存在两种模式，对这两种模式分别需要关注的要点分析如下：

模式一，提供专门用于侵入、非法控制计算机信息系统的程序、工具构成本罪需要关注以下方面：

第三，达到“情节严重”或“情节特别严重”的标准。

模式二，明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具构成本罪需要关注以下方面：

第三，达到“情节严重”或“情节特别严重”的标准。

模式一和模式二的区别主要在于相关的程序、工具是否是专门用于侵入、非法控制计算机信息系统的程序、工具。在模式一中的程序与工具需要具备“避开/突破安保措施功能+未经授权/超越授权获取功能”，但模式二中，未对程序、工具的功能作出要求，但可帮助相关行为人达到侵入、非法控制计算机信息系统效果的，即构成本罪。所举案例符合模式一，结合以上要点对照本案进行分析解读如下：

在业务实践中，我们了解到许多有数据抓取需要的企业会设立专门的IT团队和工作人员进行爬虫技术的开发，以便在相关场景和业务中进行数据信息的收集和使用。网络爬虫技术本身中立，但将其内化于具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的程序、工具中并向外提供的，则有可能构成提供侵入、非法控制计算机信息系统的程序、工具罪。为此，我们建议相关企业：

• 避免开发出具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的程序、工具，并向外提供；

• 对企业从事相关程序、工具开发的员工严格要求，禁止员工向外提供爬虫程序、工具。

随着网络信息数据资源的迅猛增长和动态变化，网络爬虫技术到目前已经从传统的通用网络爬虫（General Purpose Web Crawler）技术升级细化至聚焦网络爬虫（Focused Web Crawler）技术、增量式网络爬虫（Incremental Web Crawler）技术和深层网络爬虫（Deep Web Crawler）技术。[8]可以预见，网络爬虫技术未来还将根据人们的需求和技术的发展不断进行功能的延伸和改进，更多的商业模式和场景也将被创造和实现，与网络爬虫技术相关的法律问题也可能以更多元的形式呈现。

结合我们在业务中碰到的网络爬虫行为来看，其涉及的法律风险还不止于本文提到的六种典型的法律风险。但限于可供参考的案例有限，同时考虑到还有部分问题（如前文提到的爬取公开的个人信息问题、数据权益问题等）需要留待立法以及司法实践来进一步厘清，因此本文并未将相关风险纳入其中。对于该问题感兴趣或者存在疑问的朋友欢迎通过邮件方式与我们沟通，我们也会在合适的时候再次总结并将该领域最新的案例与大家分享探讨。

[1]《刑法》第二百八十五条 【非法侵入计算机信息系统罪】违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。

【非法获取计算机信息系统数据、非法控制计算机信息系统罪】违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

【提供侵入、非法控制计算机信息系统程序、工具罪】提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

[2]《最高人民法院最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条 非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”：

（一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的；

（二）获取第（一）项以外的身份认证信息五百组以上的；

（三）非法控制计算机信息系统二十台以上的；

（四）违法所得五千元以上或者造成经济损失一万元以上的；

（五）其他情节严重的情形。

实施前款规定行为，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节特别严重”：

（一）数量或者数额达到前款第（一）项至第（四）项规定标准五倍以上的；

（二）其他情节特别严重的情形。

明知是他人非法控制的计算机信息系统，而对该计算机信息系统的控制权加以利用的，依照前两款的规定定罪处罚。

[3]《刑法》第九十六条【违反国家规定之含义】本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。

[4]《最高人民法院最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第十一条 本解释所称“计算机信息系统”和“计算机系统”，是指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。

本解释所称“身份认证信息”，是指用于确认用户在计算机信息系统上操作权限的数据，包括账号、口令、密码、数字证书等。

本解释所称“经济损失”，包括危害计算机信息系统犯罪行为给用户直接造成的经济损失，以及用户为恢复数据、功能而支出的必要费用。

[5]《最高人民法院最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第十条 对于是否属于刑法第二百八十五条、第二百八十六条规定的“国家事务、国防建设、尖端科学技术领域的计算机信息系统”、“专门用于侵入、非法控制计算机信息系统的程序、工具”、“计算机病毒等破坏性程序”难以确定的，应当委托省级以上负责计算机信息系统安全保护管理工作的部门检验。司法机关根据检验结论，并结合案件具体情况认定。

[6]第三条提供侵入、非法控制计算机信息系统的程序、工具，具有下列情形之一的，应当认定为刑法第二百八十五条第三款规定的“情节严重”：

（一）提供能够用于非法获取支付结算、证券交易、期货交易等网络金融服务身份认证信息的专门性程序、工具五人次以上的；

（二）提供第（一）项以外的专门用于侵入、非法控制计算机信息系统的程序、工具二十人次以上的；

（三）明知他人实施非法获取支付结算、证券交易、期货交易等网络金融服务身份认证信息的违法犯罪行为而为其提供程序、工具五人次以上的；

（四）明知他人实施第（三）项以外的侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具二十人次以上的；

（五）违法所得五千元以上或者造成经济损失一万元以上的；

（六）其他情节严重的情形。

实施前款规定行为，具有下列情形之一的，应当认定为提供侵入、非法控制计算机信息系统的程序、工具“情节特别严重”：

（一）数量或者数额达到前款第（一）项至第（五）项规定标准五倍以上的；

（二）其他情节特别严重的情形。

[7]《最高人民法院最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第二条 具有下列情形之一的程序、工具，应当认定为刑法第二百八十五条第三款规定的“专门用于侵入、非法控制计算机信息系统的程序、工具”：

（一）具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的；

（二）具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权对计算机信息系统实施控制的功能的；

（三）其他专门设计用于侵入、非法控制计算机信息系统、非法获取计算机信息系统数据的程序、工具。

[8]李慧敏、孙佳亮：《论爬虫抓取数据行为的法律边界》，载《电子知识产权》2018年第12期，第59页。