芝麻vps(魔蝎公司案反思网络爬虫侵害公民个人信息罪的司法边界)

网络爬虫是一种可以自动化访问并收集目标计算机系统数据的程序，通常来说具有三种基本功能，分别是：访问、下载、解析。访问是指网络爬虫依据代码设定的逻辑，向计算机信息系统发送访问请求，以期访问数据；下载，是指将目标计算机系统信息系统储存的数据传输、储存到本地或指定的计算机信息系统中；解析，是指对计算机信息系统数据的内容进行分析、筛选。网络爬虫本身作为数据处理技术在促进数据共享方面极具价值，但是与此同时带来的侵权及刑事风险同样巨大。

2019年之前，一度野蛮生长的风控大数据公司，其运营模式大多是通过网络爬虫获取个人数据信息，在对数据本身进行存储加工分析，并勾勒出用户精准画像后，提供给对应需求方以获取利润。大数据风控商业运营模式的核心就在于通过爬虫技术获取个人信息数据并加以运用，但如果获取信息数据的渠道本身存在违法，商业利用的美好愿景也就只能止步于对大数据黑金的法律规制。

2019年以来，对风控数据提供商的大力整顿，对“道德上可疑的并可视为违法”的爬虫技术逐渐进入刑法视野，侵害公民个人信息罪、非法获取计算机系统数据罪的犯罪宣告体现了日趋严厉的司法趋势。下文结合魔蝎公司侵害公民个人信息案判决，反思网络爬虫侵害公民个人信息罪的司法边界。

【案件事实】

2016年初，被告单位魔蝎公司由周江翔等人出资成立，被告人周江翔系魔蝎公司法定代表人、总经理，负责公司整体运营，被告人袁冬系魔蝎公司技术总监，系技术负责人，负责相关程序设计。魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台APP中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据，并按与用户的约定提供给网贷平台用于判断用户的资信情况，并从网贷平台获取每笔0.1元至0.3元不等的费用。期间，魔蝎公司在和个人贷款用户签订的《数据采集服务协议》中明确告知贷款用户“不会保存用户账号密码，仅在用户每次单独授权的情况下采集信息”，但未经用户许可仍采用技术手段长期保存用户各类账号和密码在自己租用的阿里云服务器上。被告人周江翔明知公司存在保存用户账户密码的行为，未尽管理职责；被告人袁冬负责编写具有保存用户账户密码功能的网关程序。 截至2019年9月案发时，对魔蝎公司租用的阿里云服务器进行勘验检查，发现以明文形式非法保存的个人贷款用户各类账号和密码条数多达21241504条。其中大部分账号密码，如淘宝、京东等，无法二次使用，仅有邮箱等部分账号密码存在未经用户授权被魔蝎公司二次使用的情况。

【裁判结果】

被告单位杭州魔蝎数据科技有限公司以其他方法非法获取公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人周江翔、袁冬分别系对被告单位魔蝎公司侵犯公民个人信息行为直接负责的主管人员和其他直接责任人员，其行为均已构成侵犯公民个人信息罪。公诉机关的指控成立。被告人周江翔、袁冬自侦查阶段如实供述主要犯罪事实，自愿认罪认罚，酌情予以从宽处罚。最终杭州市西湖区人民法院判决摩羯公司犯侵犯公民个人信息罪，判处罚金人民币3000万元，被告人周江翔、袁冬犯侵害公民个人信息罪，分别判处有期徒刑三年，缓刑三年，并处相应罚金。

【案件评析】

就案件结果而言，从侦查阶段的公司“全员覆灭”，到判决阶段单位犯罪主要负责人缓刑对待，魔蝎公司认罪认罚从宽处罚的最终结局似乎还可以接受。从法律适用而言，一审法院认定魔蝎公司构成以其他方法获取公民个人信息，笔者认为存在说理不清之处，以其他方式获取公民个人信息有将侵害公民个人信息罪沦为口袋罪之嫌。

1. 爬虫获取个人信息不违反知情同意原则，不具有违法性

判决中认定，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据。按照判决的逻辑，通过爬虫程序获取公民个人信息牟利的行为属于“以其他方法获取公民个人信息”，但问题在于魔蝎公司获取如上信息是经过贷款用户的授权的，并未违反知情同意原则。网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，并对魔蝎公司充分授权。魔蝎公司在经过贷款用户的同意基础上，运用爬虫技术获取贷款用户的征信信息，并明确告知贷款用户，将征信情况反馈给网贷银行作为放贷审核依据。根据《个人信息保护法（草案）》第5条规定：“不符合本法或其他法律、法规规定，或未经信息主体知情同意，不得收集个人信息。”如果行为人知情并同意他人收集自己的信息，则该爬虫获取个人信息的行为具有合法性。行为人在权限许可范围内使用爬虫行为获取公民个人信息的，不属于“非法”，自然不应认定为犯罪。侵犯公民个人信息罪属于个人法益犯罪，“同意”构筑了信息自由与刑法介入之间的分界。判决在肯定魔羯公司知情同意的前提下，认定爬虫行为的违法性不具有合理性。

2.爬虫获取个人信息可能侵害企业数据商业利益，至多是民事侵权或不正当竞争

本案在侦查阶段，公安机关以非法获取计算机信息系统数据罪和侵害公民个人信息罪移交起诉。侦查机关认为，魔蝎数据科技公司为各网络贷款公司提供需要贷款个人用户的多维度信用数据过程中，针对支付宝、淘宝、京东、学信网等不同互联网公司的反爬源代码程序编写爬虫程序，利用H5和SDK通道模拟贷款用户个人手机的登录环境、模拟用户操作个人手机贷款软件的行为、租用VPS服务器不断变更海量IP地址等方式，绕过支付宝、淘宝、京东、学信网等互联网公司的反爬机制，在未得到前述互联网公司的授权下，非法获取支付宝芝麻分、花呗、淘宝淘气值、京东小白信用分等由前述公司通过程序建模、大数据分析得出的信用评分数据，且将此类评分数据提供给网络贷款公司牟利。换言之，魔蝎公司通过网络爬虫获取的个人信息，实质上未获得相关互联网公司的授权，涉及非法获取计算机信息系统数据罪。魔蝎公司确实存在突破反爬程序的相关行为，但是该行为并未干扰网络正常功能，也未窃取网络数据。数据的获得虽然未经互联网公司的授权，但是得到了网贷平台用户的同意。就如同得到房子主人的同意进入房间取东西，但是小区规定非小区业主不得进入小区，魔蝎公司通过技术手段假装自己是业主进入小区并进入房间取东西。鉴于支付宝芝麻分、花呗、淘宝淘气值、京东小白信用分等信用评分数据，是经过其他平台加工后的数据总结，魔蝎公司可能涉及侵害企业数据商业利益，但也应当认定为民事侵权或者不正当竞争。

3.未经同意将合法取得的个人信息存储，不宜认定为侵害公民个人信息罪

判决中认为，魔蝎公司违反了与网贷用户《数据采集服务协议》，未经用户许可仍采用技术手段长期保存用户各类账号和密码在自己租用的阿里云服务器上，实际上把未经同意将合法取得的个人信息存储认定为侵害公民个人信息罪。问题在于侵害公民个人信息罪处罚的是以非法手段获取个人信息的行为，并非非法存储行为。将非法存储行为扩大解释为非法获取行为，已经超过了解释的最大边界，是不利于被害人的类推适用，违反罪刑法定原则。在《数据采集服务协议》中，魔蝎公司保证“不会保存用户账号密码，仅在用户每次单独授权的情况下采集信息”，虽然违反双方之间的约定，所应承担的责任也应当是民事责任。例如杨志琼博士就认为，“抓取限制重新使用数据的网络爬虫需承担民事责任，实务中网络爬虫抓取限制使用的数据纠纷主要是知识产权纠纷与不正当竞争纠纷。”因此，未经同意将合法取得的个人信息存储，不宜认定为侵害公民个人信息罪。

从魔蝎公司案的判决结果看，通过网络爬虫获取公民个人信息并加以商业化利用的正当性，面临着适用侵害公民个人信息罪而被否定。对于网络爬虫而言，法律规范要规范的并非技术原理，而是技术运用所造成的当事人间的利润分配格局。不可否认的是，对大数据风控行业的整顿与近年来“套路贷”的严打不无关系。为部分不法网贷平台提供贷款者的资信审核服务，客观上对“套路贷”相关犯罪的实施起到帮助作用。但需要清醒地看到，只要网贷平台不会消失，与之关联的对贷款者的资信审核需求就会客观存在。将网络爬虫获取公民个人信息完全与非法获取计算机系统数据罪、侵害公共个人信息罪等同视之，无异于因噎废食。强化对公民个人信息的保护，同时也迫切需要处理好以网络爬虫方式获取数据商业价值之间的平衡。个人信息收集、处理和利用应当遵循合法、正当、必要的原则，构建以信息主体知情同意为核心的适用法则。以魔蝎公司为代表的大数据风控平台，通过信息数据流转获取商业利益的模式本身并无不妥，爬虫程序的运用也并非天然的违法，只要保证信息数据获取来源的合法性，侵害公民个人信息罪的指控便不复存在。