通力法评 | 浅析网络运营者刑事责任
作者：通力律师事务所 潘永建 | 李天航 | 洪馨
On Criminal Liabilities of Network Operators
David Pan, Tianhang Li, Ivy Hong
This article will briefly analyze the criminal laws that could possibly be violated by network operators, the elements of the crimes, and the criminal consequences.
I. The Crimes that Network Operators may Commit
A. The Crime of Infringing Citizens' Personal Information
According to Article 253 of the Criminal Law and Supreme People's Court (“SPC”) and Supreme People's Procuratorate (“SPP”)'s Interpretations of Several Issues Concerning the Application of Law in Criminal Cases of Infringement of Citizens' Personal Information (“SPC and SPP Interpretations”), the elements for constituting the crime of infringing citizens’ personal information are as follows:
1. Violations of relevant national regulations
2. Certain conducts3. Criminal threshold
Compliance tips. We remind companies to pay attention to seven typical criminal offences committed by companies in order to avoid criminal investigation.
B. The Crime of Refusing to Fulfill the Obligations of Information Network Security Management
The elements for the crime of refusing to fulfill the obligations of information network security management are as follows:
1. Violations of laws and administrative regulations
2. Certain conducts3. Causation
Compliance tips. We remind companies to pay attention to five typical criminal offences committed by companies in order to avoid criminal investigation.
II. Suggestions
The best way for companies to avoid the above-mentioned crimes is to build a solid compliance system. We hereby make following recommendations on corporate compliance based on our long-term compliance legal service experience.
1. Collect citizens’ personal information in a legal and compliant method.
2. Take the regulatory authority’s requirements seriously.
3. Establish and improve internal control systems.
2018年6月1日是中国《网络安全法》正式生效实施一周年之日。为帮助企业清晰理解网安法下企业的责任与义务, 通力律师事务所网络安全与数据服务团队从6月1日起陆续推出《<网络安全法>实务30问》系列双语指引, 通过对法律规定的解读, 结合典型实践案例, 深度剖析企业的责任与义务, 助力企业合规经营, 有效防范风险。
本篇为《<网络安全法>实务30问》系列双语指引的第五篇, 简析网络运营者刑事责任的相关问题, 以期为相关人士提供参考。
注: 《<网络安全法>实务30问》系列双语指引独家授权威科先行网络安全与数据合规模块在线发布。
浅析网络运营者刑事责任
《网络安全法》实施一年以来, 网络运营者因违反《网络安全法》等法律法规被行政处罚的案例不在少数。需要提醒企业注意的是, 违反《网络安全法》后果并不仅限于行政责任, 严重的可能会被判处刑罚。本文将对网络运营者可能触犯的刑事法律、构成要件及后果进行简要分析。
一、网络运营者可能触犯哪些罪名
(一) 侵犯公民个人信息罪
1. 构成要件
根据刑法第253条之一和《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《两高司法解释》), 判断是否构成侵犯公民个人信息罪的要件有:
(1) 违反国家有关规定
违反国家有关规定是指违反包括法律、行政法规、部门规章在内的国家层面的规定, 与刑法第96条规定的“国家规定”相比, 增加了部门规章。因此, 不仅违反《网络安全法》《消费者权益保护法》等法律, 而且违反《电信和互联网用户个人信息保护规定》《网络交易管理办法》等规章有关个人信息保护规定的, 都有可能构成犯罪。
(2) 行为
在前述违反国家有关规定的前提下, 下列行为可能构成犯罪:
a) 出售公民个人信息的;
b) 向特定人提供公民个人信息, 以及通过信息网络或者其他途径发布公民个人信息的;
c) 未经被收集者同意, 将合法收集的公民个人信息向他人提供的, 但经过处理无法识别特定个人且不能复原的除外;
d) 窃取公民个人信息的;
e) 通过购买、收受、交换等方式获取公民个人信息;
f) 在履行职责、提供服务过程中收集公民个人信息的。
(3) 入刑标准
实施前述第2项所列行为, 达到以下条件的, 将被追究刑事责任:
2. 合规提示
基于上述分析, 结合本所的执业经验, 我们提醒企业应注意以下场景, 避免因涉嫌刑事犯罪被调查:
a) 企业向第三方出售公民个人信息或者出售的数据中含有公民个人信息的;
b) 企业让第三方以该第三方名义采取调查问卷等形式获取公民个人信息后再转给企业, 并由企业支付一定费用的;
c) 企业从第三方处购买的数据中含有公民个人信息, 或者直接购买公民个人信息的;
d) 企业接受第三方提供的公民个人信息, 未获得个人信息主体同意或者授权, 或者存在其他违反国家有关规定的情形的;
e) 企业转让个人信息, 或者与第三方交换、共享个人信息, 但未获得该个人信息主体的合法授权或者同意的;
f) 企业在经营中收集公民个人信息过程中, 未通过隐私政策、与个人信息主体签署协议等形式获得个人信息主体的授权或者同意;
g) 开展征信业务的企业向没有获得征信主体合法授权的企业或者个人提供征信主体的征信信息的。
(二) 拒不履行信息网络安全管理义务罪
1. 构成要件
根据刑法第二百八十六条之一和《两高司法解释》, 判断是否构成拒不履行信息网络安全管理义务罪的要件有:
(1) 违反法律、行政法规规定
与侵犯公民个人信息罪不同的是, 构成该罪的前提必须为违反法律、行政法规规定的信息网络安全管理义务, 如《网络安全法》《计算机信息系统安全保护条例》等, 违反部门规章不能构成该罪。
(2) 行为
违反法律、行政法规规定的信息网络安全管理义务要求, 经监管部门责令采取改正措施而拒不改正的行为可能构成犯罪。
a) 责令采取改正措施
i. 一般情况下, 责令改正须为书面作出;
ii. 对于监管部门口头要求违法的企业改正的, 在司法实践中由于难以证明监管部门作出责令改正的要求而难以认定。但是如果监管部门通过对企业负责人或者直接负责的主管人员通过做笔录形式责令改正, 且该负责人或者直接负责的主管人员签字确认的, 也符合该罪关于责令改正的要求;
iii. 对于企业违法的行为如果作出行政处罚的, 也应当视为已经做出责令改正的要求, 因为改正违法行为是行政处罚的内在要求, 被处罚的行为应当予以改正;
iv. 责令改正应有明确的要求, 如责令日志留存必须达到6个月的要求等, 模糊或者笼统的要求使企业难以执行。
b) 拒不改正
i. 对监管部门的决定采取不作为形式的, 当然视为拒不改正;
ii. 正在采取改进措施或者正在准备采取改进措施但尚未完全改正的, 可以作为抗辩的理由, 尤其是对于以下情况, 被采纳的可能性较大:
i) 因客观原因导致改正措施尚未完成的, 如硬件已经采购但企业尚未收到等;
ii) 改正措施需要较长时间和较大工作量, 接到监管部门责令改正决定即开始着手实施的;
iii) 已经聘请专门机构或者供应商实施改正措施, 但因该专门机构或者供应商原因导致未完成改正工作。
(3) 入刑标准
上述行为构成拒不履行信息网络安全管理义务罪还须以行为造成以下后果为前提:
a) 致使违法信息大量传播的;
b) 致使用户信息泄露, 造成严重后果的;
c) 致使刑事案件证据灭失, 情节严重的;
d) 有其他严重情节的。
2. 合规提示
基于上述分析, 结合本所的执业经验,我们提醒企业应注意以下场景, 避免因涉嫌刑事犯罪而被调查:
a) 企业未依法开展网络安全等级保护定级并履行等级保护义务, 被公安机关责令改正后, 既未委托等保评测机构进行评测定级, 也没有对照法律要求采取安全保护措施, 致使企业存储的大量个人信息泄露, 或者发生刑事案件后, 致使证据灭失的;
b) 企业未履行网络实名制义务, 对用户核实真实身份信息, 经监管部门责令改正拒不改正, 在该用户实施刑事犯罪后, 无法查证犯罪嫌疑人的;
c) 企业未制定网络安全应急预案, 经监管部门责令改正后拒不改正发生黑客攻击等网络安全事件, 导致企业存储的大量个人信息泄露的;
d) 企业未采取技术措施和其他必要措施, 确保其收集的个人信息安全, 被监管部门责令改正拒不改正, 导致个人信息大量泄露的;
e) 互联网信息服务提供者对其用户发布的信息未尽到加强管理义务, 未采取对违法违禁信息的停止传输、消除等处置措施, 保存有关记录, 经监管部门责令改正拒不改正, 导致违法信息大量传播或者证据无法固定的。
二、建议
企业做好合规工作是避免触犯侵犯公民个人信息罪和拒不履行信息网络安全管理义务罪最好的途径。 我们根据长期的合规法律服务经验提出以下建议, 供企业参考。
1. 合法、合规收集公民个人信息。梳理本企业收集、使用、转让、共享、交换等处置公民个人信息的环节, 对照法律、行政法规和部门规章的要求, 开展合规审查和改正工作。
2. 重视监管部门的管理。正确履行信息网络安全管理义务, 尤其是对于监管部门检查后作出的处罚决定、责令改正决定等, 应当积极采取改正措施。即使不具备条件或者无法立即改正的, 也应当做好准备工作, 制定工作计划。
3. 建立健全内控制度。加强企业内控制度建设, 做好员工的教育管理工作, 避免因员工个人的犯罪行为致使企业遭受查处或者处罚。
《<网络安全法>实务30问》系列双语指引问题清单
联系人：
✎ 往期分享
通力法评 | 企业使用企业微信的合规要点
通力法评 | 企业正确应对国家机关调取数据的实务分析
通力法评 | 企业如何落实网络安全等级保护制度?
通力法评 | 《<网络安全法>实务30问》系列双语指引——《网络安全法》体系下企业的责任与义务概览
通力法评 | 关于进一步规范货币市场基金互联网销售、赎回相关服务的指导意见
万成集团香港联合交易所主板上市
长按下图识别二维码关注我们
© 通力律师事务所
本微信所刊登的文章仅代表作者本人观点, 不代表通力律师事务所的法律意见或建议。我们明示不对任何依赖该等文章的任何内容而采取或不采取行动所导致的后果承担责任。如需转载或引用该等文章的任何内容, 请注明出处。