魔蝎爬虫判决书公布：未经授权存了2100万条用户账号、密码，单位构成侵害公民个人信息罪

案情提要： 

      2019年9月，杭州知名大数据服务公司杭州魔蝎数据科技有限公司被杭州警方调查。2020年9月10日，杭州市西湖区人民检察院以杭州魔蝎数据科技有限公司、被告人周某、袁某犯侵犯公民个人信息罪，向西湖区人民法院提起公诉。

法院查明，2016年初，被告单位魔蝎公司由周某等人出资成立，被告人周某系魔蝎公司法定代表人、总经理，负责公司整体运营，被告人袁某系魔蝎公司技术总监，系技术负责人，负责相关程序设计。魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台A**中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社 保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据，并按与用户的约定提供给网贷平台用于判断用户的资信情况，并从网贷平台获取每笔0.1元至0.3元不等的费用。期间，魔蝎公司在和个人贷款用户签订的《数据采集服务协议》中明确告知贷款用户“不会保存用户账号密码，仅在用户每次单独授权的情况下采集信息”，但未经用户许可仍采用技术手段长期保存用户各类账号和密码在自己租用的阿里云服务器上。被告人周江某知公司存在保存用户账户密码的行为，未尽管理职责；被告人袁某负责编写具有保存用户账户密码功能的网关程序。截至2019年9月案发时，对魔蝎公司租用的阿里云服务器进行勘验检查，发现以明文形式非法保存的个人贷款用户各类账号和密码条数多达21241504条。其中大部分账号密码，如淘宝、京东等，无法二次使用，仅有邮箱等部分账号密码存在未经用户授权被魔蝎公司二次使用的情况。

法院认为，被告单位杭州魔蝎数据科技有限公司以其他方法非法获取公民个人信息，情节特别严重， 其行为已构成侵犯公民个人信息罪。被告人周某、袁某分别系对被告单位魔蝎公司侵犯公民个人信息行为直接负责的主管人员和其他直接责任人员，其行为均已构成侵犯公民个人信息罪。

判决书：

杭州市西湖区人民法院

刑 事 判 决 书

（2020）浙0106刑初437号

     公诉机关杭州市西湖区人民检察院。

被告单位杭州魔蝎数据科技有限公司，住所地杭州市滨江区滨安路******。法定代表人周某，总经理。

诉讼代表人金某，******。

被告人周******。因本案于2019年9月7日被刑事拘留，同年10月13日被逮捕。

被告人袁******。因本案于2019年9月7日被刑事拘留，同年10月13日被逮捕。

杭州市西湖区人民检察院以西检一部刑诉〔2020〕1629号起诉书指控被告单位杭州魔蝎数据科技有限公司（以下简称魔蝎公司）、被告人周某、袁某犯侵犯公民个人信息罪，于2020年9月10日向本院提起公诉。本院依法组成合议庭，公开开庭审理了本案。杭州市西湖区人民检察院检察员裘少波、检察官助理庄远出庭支持公诉，被告单位魔蝎公司诉讼代表人金某及辩护人孙建保、陈沛文，被告人周某及其辩护人徐传水、吴卫明，被告人袁某及其辩护人姚品信、魏紫琼均到庭参加诉讼。现已审理终结。

杭州市西湖区人民检察院指控，2016年初，被告单位魔蝎公司由周某等人出资成立，被告人周某系魔蝎公司法定代表人、总经理，负责公司整体运营，被告人袁某系魔蝎公司技术总监，系技术负责人，负责相关程序设计。魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台A**中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据，并按与用户的约定提供给网贷平台用于判断用户的资信情况，并从网贷平台获取每笔0.1元至0.3元不等的费用。期间， 魔蝎公司在和个人贷款用户签订的《数据采集服务协议》中明确告知贷款用户“不会保存用户账号密码， 仅在用户每次单独授权的情况下采集信息”，但未经用户许可仍采用技术手段长期保存用户各类账号和密码在自己租用的阿里云服务器上。被告人周某明知公司存在保存用户账户密码的行为，未尽管理职责；被告人袁某负责编写具有保存用户账户密码功能的网关程序。截至2019年9月案发时，对魔蝎公司租用的阿里云服务器进行勘验检查，发现以明文形式非法保存的个人贷款用户各类账号和密码条数多达21241504条。其中大部分账号密码，如淘宝、京东等，无法二次使用，仅有邮箱等部分账号密码存在未经用户授权被魔蝎公司二次使用的情况。上述事实，有被告人供述和辩解、证人证言及相关书证等证据予以证实。认为被告单位魔蝎公司的行为已构成侵犯公民个人信息罪。被告人周某、袁某分别系对被告单位魔蝎公司侵犯公民个人信息行为直接负责的主管人员和其他直接责任人员，其行为均已构成侵犯公民个人信息罪。建议判处被告单位魔蝎公司罚金人民币3000万元；判处被告人周某、袁某有期徒刑三年， 适用缓刑，并处罚金。

被告单位魔蝎公司诉讼代表人、被告人周某、袁某对指控的犯罪事实和罪名均无异议且签字具结。被告单位魔蝎公司的辩护人提出，被告单位犯罪作用较轻，未产生严重后果，也尽到了一定的注意义务，请求判处较轻的罚金刑。

被告人周某的辩护人提出，被告人周某具有坦白情节、自愿认罪认罚，请求对刑期及罚金均从轻处罚并适用缓刑。

被告人袁某的辩护人提出，被告人袁某具有坦白情节，自愿认罪认罚，家庭困难，请求从轻处罚并适用缓刑。

经审理查明：2016年初，被告单位魔蝎公司由周某等人出资成立，被告人周某系魔蝎公司法定代表人、总经理，负责公司整体运营，被告人袁某系魔蝎公司技术总监，系技术负责人，负责相关程序设计。魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台A**中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社  保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据，并按与用户的约定提供给网贷平台用于判断用户的资信情况，并从网贷平台获取每笔0.1元至0.3元不等的费用。期间，魔蝎公司在和个人贷款用户签订的《数据采集服务协议》中明确告知贷款用户“不会保存用户账号密码，仅在用户每次单独授权的情况下采集信息”，但未经用户许可仍采用技术手段长期保存用户各类账号和密码在自己租用的阿里云服务器上。被告人周某明知公司存在保存用户账户密码的行为，未尽管理职责；被告人袁某负责编写具有保存用户账户密码功能的网关程序。截至2019年9月案发时，对魔蝎公司租用的阿里云服务器进行勘验检查，发现以明文形式非法保存的个人贷款用户各类账号和密码条数多达21241504条。其中大部分账号密码，如淘宝、京东等，无法二次使用，仅有邮箱等部分账号密码存在未经用户授权被魔蝎公司二次使用的情况。

2019年9月6日下午，被告人周某、袁某被抓获归案。

庭审中，被告单位魔蝎公司确认因本案犯罪，被告单位魔蝎公司的违法所得为人民币3000万元。审理过程中，被告单位魔蝎公司退出违法所得人民币3000万元。

上述事实，被告单位魔蝎公司及被告人周某、袁某在开庭审理过程中亦无异议，并有证人江某1、刘某1、郭某、周某1、翁某、缪某、张某1、费某、李某1、李某2、潘某1、江某2、程某、严某、杜某、梁某、陈某、张某2、宦某、凌某、葛某、游某、潘某2、李某3、张某3、周某2、黄某1、郑某、沈某、刘某2、邹某、黄某2、刘某3、张某4、李某4、王某的证言，调取证据通知书、远程勘验工作记录、杭州魔蝎数据科技有限公司工商信息、数据采集服务协议、查封、冻结、扣押决定书及清单、杭州吸铁石科技有限公司、杭州信邦科技有限公司、杭州抖音科技有限公司的工商登记资料、银行账户交易清单、中国人民银行杭州中心支行关于魔蝎公司有关调查情况的说明、委托书、抓获经过、户籍信息、转账凭证等书证以及移动硬盘、电子证物检查工作记录、提取的电子数据等证据证实，足以认定。

本院认为，被告单位杭州魔蝎数据科技有限公司以其他方法非法获取公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人周某、袁某分别系对被告单位魔蝎公司侵犯公民个人信息行为直接负责的主管人员和其他直接责任人员，其行为均已构成侵犯公民个人信息罪。公诉机关的指控成立。被告人周某、袁某自侦查阶段如实供述主要犯罪事实，自愿认罪认罚，酌情予以从宽处罚。根据被告人周某、袁某的犯罪情节、悔罪表现以及没有再犯罪的危险，适用缓刑对其所居住社区没有重大不良影响，故依法对其宣告缓刑。辩护人所提相应辩护意见，本院予以采纳。公诉机关的量刑建议适当，应予采纳。据此，依照《中华人民共和国刑法》第二百五十三条之一第三款、第四款、第三十条、第三十一  条、第七十二条第一、三款、第七十三条第二、三款、第五十二条、第五十三条、第六十四条以及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条、第七条、第十二条之规定，判决如下：

一、被告单位杭州魔蝎数据科技有限公司犯侵犯公民个人信息罪，判处罚金人民币30000000元（罚金限判决生效后十日内缴清）。

二、被告人周某犯侵犯公民个人信息罪，判处有期徒刑三年，缓刑四年，并处罚金人民币500000 元（缓刑考验期限，从判决确定之日起计算；罚金限判决生效后十日内缴清）。

三、被告人袁某犯侵犯公民个人信息罪，判处有期徒刑三年，缓刑三年，并处罚金人民币300000元（缓刑考验期限，从判决确定之日起计算；罚金限判决生效后十日内缴清）。

四、扣押于公安机关的作案工具电脑等予以没收，被告单位杭州魔蝎数据科技有限公司退缴至本院的违法所得款人民币30000000元予以没收，并上缴国库。

如不服本判决，可在接到判决书的第二日起十日内通过本院或直接向浙江省杭州市中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本两份。

审 判 长：陈 琪

人民陪审员：王 辉

人民陪审员：秦 华

二Ｏ二一年一月十四日

书 记 员：周栋栋

推荐阅读