《网络安全法》系列解读之（六）网络安全犯罪

对于6月1日即将施行的《网络安全法》，互联网以及大数据行业企业关心更多的是新法将会给其业务带来的影响。而随着前几天肆虐全球的WannaCry病毒事件的发酵，网络安全问题似乎已经上升为全民议题，《网络安全法》更是成为热议话题。

中国首席数据官联盟特邀联盟法律顾问团队——观韬中茂（上海）律师事务所推出针对互联网以及大数据行业企业的系列文章：大数据企业应当了解的《网络安全法》。观韬律所是一家专注于数据信息行业法律研究和服务的团队。

今天是第六篇：网络安全犯罪。

作者：吴丹君 朱向莲 观韬中茂（上海）律师事务所

网络安全犯罪，是指行为人运用计算机技术，借助于网络对其系统或信息进行攻击，破坏或利用网络进行其他犯罪的总称。既包括行为人运用其编程、加密、解码技术或工具在网络上实施的犯罪，也包括行为人利用软件指令，网络系统或产品加密等技术及法律规定上的漏洞在网络内外交互实施的犯罪，还包括行为人借助于其居于网络服务提供者特定地位或其他方法在网络系统实施的犯罪。简言之，网络安全犯罪是针对和利用网络进行的犯罪，本质特征是危害网络及其信息的安全与秩序。

公安部近期更是全面打击侵犯公民个人信息犯罪网络，整治大数据行业乱象，据传15家大数据公司被列入调查名单，其中几家估值均超几十亿。本文希望通过梳理网络安全犯罪相关定罪量刑标准，正本清源，为互联网企业、大数据企业及相关人员提供合规指引。

网络安全领域涉及的主要刑事罪名

▪  侵犯公民个人信息罪

《刑法》第二百五十三条之一　

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

侵犯公民个人信息的行为包括但不限于：（1）通过购买、收受、交换等方式获取公民个人信息（手机定位信息、网购订单信息、联系电话等）；（2）在履行职责、提供服务过程中收集公民个人信息的；（3）非法提供个人信息供他人查询牟利；（4）利用黑客等手段窃取公民个人信息出售牟利；（5）非法查询征信信息牟利；（6）未经被收集者同意，将合法收集的公民个人信息向他人提供的，但是经过处理无法识别特定个人且不能复原的除外。

▪  拒不履行信息网络安全管理义务罪

《刑法》第二百八十六条之一　

网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：

(一)致使违法信息大量传播的；

(二)致使用户信息泄露，造成严重后果的；

(三)致使刑事案件证据灭失，情节严重的；

(四)有其他严重情节的。

单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。

有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。

本罪的犯罪行为属于不作为型实行行为。如网络服务提供者不履行信息网络安全管理义务即构成犯罪，这样会严重限制网络的发展，成立本罪还需要“经监管部门责令采取改正措施而拒不改正”这一客观处罚条件。网络服务提供者不履行相关的安全管理义务即具有违法性，经监管部门责令采取改正措施而拒不改正而使这一违法状态继续则构成犯罪。本罪因为网络服务提供者的不作为导致违法信息大量传播；用户信息泄露，造成严重后果；刑事案件证据灭失，情节严重；或者其他严重情节。其中，“致使违法信息大量传播”构成犯罪只发生在网络空间，而不必在现实空间发生实际损害结果。

▪  非法利用信息网络罪

《刑法》第二百八十七条之一规定了关于“非法利用信息网络罪”的内容，包括：（一）利用信息网络实施设立用于实施诈骗、传授犯罪方法、制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组的行为；（二）利用信息网络发布有关制作或者销售毒品、枪支、淫秽物品等违禁物品、管制物品或者其他违法犯罪信息的行为；以及利用信息网络为实施诈骗等违法犯罪活动发布信息的行为。本罪的犯罪行为属于预备型实行行为。

▪  帮助信息网络犯罪活动罪

《刑法》第二百八十七条之二　

明知他人利用信息网络实施犯罪，为其犯罪提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。

有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。

本罪的犯罪行为属于帮助型实行行为，包括利用网络为传播淫秽电子信息、侵犯知识产权、赌博等非法行为提供帮助的行为。

除以上详述的罪名，其他网络安全领域可能涉及的刑事犯罪还包括《刑法》第二百六十四条规定的盗窃罪；第二百六十六条规定的诈骗罪；第二百八十五条规定的非法侵入计算机信息系统罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪；提供侵入、非法控制计算机信息系统程序、工具罪；第二百八十六条规定的破坏计算机信息系统罪；第二百八十六条之一规定的拒不履行信息网络安全管理义务罪；以及刑法第二百九十一条之一规定的编造、故意传播虚假信息罪等。

关于办理侵犯公民个人信息刑事案件的具体定罪量刑标准

值得互联网及大数据企业高度关注的是，最高人民法院和最高人民检察院于2017年5月9日联合发布的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（“解释”），解释直接与即将生效的《网络安全法》衔接，针对侵犯公民个人信息犯罪呈现从严惩罚的趋势。解释从以下各方面就侵犯公民个人信息犯罪的具体定罪量刑标准明确进行了解释：

▪  明确了公民个人信息的范围

解释第一条明确了“公民个人信息”的范围，不仅包括身份识别信息，还包括活动情况信息，即“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等”。

▪  非法提供经合法收集的公民个人信息的行为入罪

解释第三条明确将非法提供经合法收集的公民个人信息的行为入罪。在提供公民个人信息之前，应取得被收集者的同意，或对信息进行匿名化处理。

▪  侵犯公民个人信息犯罪的入罪标准

解释第五条规定，侵犯公民个人信息犯罪的入罪标准，主要以信息数量和违法所得数额为依据：（1）数量标准：非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的（第五条第一款第三项）；非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的（第五条第一款第四项）；非法获取、出售或者提供以上两项规定以外的公民个人信息5000条以上的（第五条第一款第五项）；或者数量未达到上述规定标准，但是按相应比例合计达到有关数量标准的，属于“情节严重”的情况（第五条第一款第六项）；（2）数额标准：违法所得5000元以上的，也属于“情节严重的情形”（第五条第一款第七项）（3）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到上述（1）（2）项标准一半以上的（第五条第一款第八项）。

另外，解释规定，为合法经营活动而非法购买、收受第五条第一款第三项、第四项规定以外的公民个人信息：利用非法购买、收受的公民个人信息获利五万元以上的；曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；以及其他情节严重的情形，均属于“情节严重”情况。对于想要通过购买公民个人信息实现精准定位营销的行为将极大可能面临触犯刑法的风险。

▪  扩大了非法利用信息网络罪适用范围

解释第八条规定“设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪处罚；同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。”提供公民个人信息违法犯罪活动的网站、通讯群组（如微信群、QQ群等）明确纳入刑法打击范围，扩大了非法利用信息网络罪适用范围。

▪  明确对网络服务提供者履行个人信息安全保全义务的要求

解释第九条规定“网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。”

结　语

《网络安全法》将于2017年6月1日正式实施，届时将对企业提出更严格的网络安全和个人信息保护要求。我国《刑法》、《网络安全法》及两高出台的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》明确了网络安全相关犯罪的犯罪构成、定罪量刑标准和适用范围等，也将对中国互联网和数据行业乃至全社会产生深刻影响，互联网企业以及大数据企业必须特别关注相关条文的内涵和外延，建立和完善相关管理、内控和合规制度，防范刑事犯罪风险。