其他
企业数字化转型过程中,部分高管和技术人员会面临一定的刑事风险,主要集中于非法获取计算机信息系统罪和侵犯公民个人信息罪。但实践中较难区分这两个罪名,如行为人通过非法手段侵入计算机信息系统获取数据,如数据属于公民个人信息,就可能出现同时触犯非法获取计算机信息系统数据罪和侵犯公民个人信息罪的情形。为此,本文将结合相关司法判决谈一谈如何区分两罪?上述情况实践中是数罪并罚还是择一罪处理?以及在此基础上如何防范该等刑事风险?一、如何认定非法获取计算机信息系统数据罪根据《刑法》第285条第2款,本罪侵犯的客体是计算机信息系统的安全,客观上要求行为人实施了非法侵入并获取计算机信息系统(非285条第1款规定的计算机信息系统)数据的行为并达到情节严重的标准,单位和个人均可构成本罪。两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》(下称“《计算机系统安全刑事案件解释》”)将计算机信息系统定义为具有自动处理数据功能的系统,包括计算机、网络设备、自动化控制设备等,故计算机信息系统应作广义理解,该司法解释对情节严重也界定比较明确。通常实践中,如何认定“非法获取”是罪与非罪的关键。那么,该如何定性非法获取?《刑法》和相关司法解释没有直接对该条“非法获取”的定义,但《计算机系统安全刑事案件解释》第2条“对提供侵入、非法控制计算机信息系统程序、工具罪”中用于“侵入”的程序、工具的界定为“具有避开或者突破计算机信息系统安全保护措施,未经授权或者超越授权获取计算机信息系统数据的功能的”。参考该定义,非法获取的主要特征在于未经授权或者超越授权获取数据,实践中非法获取的方法繁多,典型的如植入钓鱼及利用钓鱼网站、通过木马程序以及未经允许安装域名解析软件等具有避开或者突破计算机信息系统安全保护措施,实践中使用较多的是使用爬虫软件获取数据,爬虫技术并非必然违法,主要看爬取数据行为是否获得授权。例如在权利人已经采取反爬虫措施的情况下,行为人以模仿权利方客户的请求的方式获取的,系非法。以上都是通过设计针对计算机信息系统功能程序从而非法获取数据,符合该罪行为特征,实践中非法获取还包括使用其他手段能够获取计算机数据的情形。例如,浙江台州中院审理的(2016)浙10刑终555号案中被告人陈某乙、陈某甲先在某网络棋牌游戏平台中查询到被害人陈某丁的手机号码,再通过案外人查询到该手机号码登记的身份信息,而后用伪造被害人临时身份证到移动营业厅补办了被害人手机卡方式通过手机拨打该网络棋牌游戏平台客服电话,盗取了被害人在该游戏平台中游戏账号内的7亿游戏币分两次变卖给案外人。检察院和法院均认为陈某乙、陈某甲违反国家规定,利用技术手段非法获取他人存储于计算机信息系统中具有交易价值的游戏数据,情节严重,构成该罪。但辩护人认为,被告人既没有侵入计算机,也没有利用技术手段非法获取计算机系统中的游戏数据,不符合非法获取计算机信息系统数据罪的行为特征,被告人利用电话骗取游戏客服获得账户密码,正常地进入计算机系统,不构成该罪,应定性为盗窃罪。实际上,法院分析说理忽略了获取手段方式并非该罪构成要件,也即是说,即便行为人使用的是非计算机技术手段,但实质上并未获得权利人授权的情况下获取了权利人计算机系统数据,这才是非法获取计算机信息系统罪构成要件。当然,我们认为网络虚拟财产属于财产权益,该案被告人的行为同时也应符合盗窃罪的构成要件,属于想象竞合犯,应择一重罪处罚。二、如何认定侵犯公民个人信息罪《刑法》第253条规定侵犯公民个人信息罪,单位和个人均可构成本罪,与非法获取计算机信息系统数据罪法定刑相同,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金;情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。本罪非法获取的认定也是未经授权或者超越授权,不同的是,本罪所指非法获取的方式还包括:(一)两高《办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(下称"《办理个人信息刑事案件解释》")第4条规定的“违反国家有关规定,通过购买、收受、交换等方式获取公民个人信息