一、案件概况
2022年5月30日, 《检察日报》刊发《以企业合规护航数字经济创新发展——上海首例数据合规案件办案侧记》文章。同日, “上海检察”微信公众号发布《做一个精细的“手术”,给企业二次生命!上海首例数据合规案件这样办》文章。
根据上述文章的描述, 2019年至2020年, Z公司首席技术官陈某和多名技术人员为公司运营需要, 在未经授权许可的情况下, 通过“外爬”“内爬”等技术手段, 非法获取某外卖平台的数据。
承办该案的公安机关向检察机关提交提前介入申请报告后, 案件检察官决定对该起案件开展数据合规治理。
2022年4月28日, 承办案件的检察机关召开不起诉公开听证远程视频会。2022年5月10日, 承办案件的检察机关对Z公司开展不起诉“云宣告”, 宣告对Z公司作出不起诉决定。目前, Z公司正抓紧推进复工复产相关工作。
二、Z公司行为的刑事法律分析
(一) Z公司行为是否涉嫌刑事犯罪
Z公司在未得到被害外卖平台的授权, 其工作人员利用“爬虫”技术, 非法获取该外卖平台的数据, 这样的行为在企业经营过程中时有发生, 但刑法上如何评价此种行为, 是否涉嫌刑事犯罪仍需具体分析。
根据现行《刑法》第十三条的规定, 一切危害国家主权、领土完整和安全, 分裂国家、颠覆人民民主专政的政权和推翻社会主义制度, 破坏社会秩序和经济秩序, 侵犯国有财产或者劳动群众集体所有的财产, 侵犯公民私人所有的财产, 侵犯公民的人身权利、民主权利和其他权利, 以及其他危害社会的行为, 依照法律应当受刑罚处罚的, 都是犯罪, 但是情节显著轻微危害不大的, 不认为是犯罪。
根据上述规定, 是否构成犯罪应当从两个方面考量: 是否属于危害社会的行为和依照法律是否应当受刑罚处罚。
Z公司的行为是否属于危害社会的行为, 笔者认为可以从两个方面分析: 一是有无破坏社会秩序和经济秩序。Z公司的行为关键点在于未获得某外卖平台的授权许可, 利用看似中立的“爬虫”技术获取平台数据, 而且其主观目的是用于企业的经营需要, 可以认为是不公平的竞争, 妨害了社会管理秩序, 达到危害社会的程度。二是有无侵犯他人的财产。本案中被害外卖平台所有的数据, 也可以视为外卖平台的合法财产, 应当受到法律的保护。
Z公司的行为是否依照法律应当受刑罚处罚, 笔者认为需考虑行为的严重程度, 如果达到了需要被刑罚处罚的程度, 即构成了犯罪。在一些情形下, 行为即使具有一定社会危害性, 但是情节显著轻微危害不大的, 也不作为犯罪处罚。在本案中, Z公司的行为是否达到了需要刑罚处罚的程度, 根据罪刑法定的司法原则, 要看其具体危害社会的行为在刑法中是否被明确规定为犯罪。就本案而言, 公安机关最终认为Z公司的行为依照法律应当受到刑罚处罚, 并予以刑事立案。
(二) Z公司行为涉嫌的刑事罪名
- Z公司的行为不构成侵犯公民个人信息罪
外观上看, Z公司的行为获取了外卖平台大量数据, 较可能触犯侵犯公民个人信息罪。根据《刑法》第二百五十三条之一规定: 违反国家规定, 向他人出售或者提供公民个人信息, 情节严重的, 处三年以下有期徒刑或者拘役, 并处或者单位罚金; 情节特别严重的, 处三年以上七年以下有期徒刑, 并处罚金。同时该条第三款、第四款规定: 窃取或者以其他方法非法获取公民个人信息的, 依照第一款的规定处罚。单位犯前三款罪的, 对单位判处罚金, 并对其直接负责的主管人员和其他直接责任人员, 依照各该款的规定处罚。
但在本案中, Z公司的行为不构成侵犯公民个人信息罪, 最主要的原因在于Z公司以“爬虫”技术手段从外卖平台获取的数据并不属于公民个人信息。根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称“《法律解释》”)第一条的规定, “公民个人信息”, 是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息, 包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。当前, 从事数据经营的公司普遍重视侵犯公民个人信息罪的防范, 均会对公民个人信息数据进行“脱敏”处理, Z公司在开展相关业务时爬取到的数据大概率是已经被外卖平台“脱敏”处理过的数据, 很可能已不属于能识别特定自然人身份或者反映特定自然人活动情况的公民个人信息。而且Z公司作为从事数据经营的公司, 一般对侵犯公民个人信息的行为也会更加谨慎, 主动在经营中规避该类行为。“上海检察”公众号发布的文章中, “检察机关认为Z公司爬取的数据未涉及身份认证信息”也佐证了这一观点, Z公司爬取到的数据为公民个人信息的可能较小, 因此不应被认定构成侵犯公民个人信息罪。 - Z公司的行为构成非法获取计算机信息系统数据罪
《刑法》第二百八十五条规定: 违反国家规定, 侵入前款规定(笔者注: 国家事务、国防建设、尖端科学技术领域)以外的计算机信息系统或者采取其他技术手段, 获取该计算机信息系统中存储、处理或者传输的数据, 情节严重的, 处三年以下有期徒刑或者拘役, 并处或者单处罚金; 情节特别严重的, 处三年以上七年以下有期徒刑, 并处罚金。
在本案中, Z公司在未取得被害外卖平台授权许可的情况下, 利用“爬虫”技术手段, 获取外卖平台的数据, 其情形应符合相关司法解释对于非法获取计算机信息系统数据罪中“情节严重”的认定标准, 最终被公安机关认定构成非法获取计算机信息系统数据罪, 并移送至检察机关进行审查起诉。
同时, 笔者注意到, 本案的公安机关向检察机关提交了提前介入申请报告, 可以看出公安机关在侦查Z公司涉及犯罪时, 对于所涉的具体罪名及证据的收集等事项都经过了检察机关的引导。
三、Z公司涉案企业合规的开展
(一) 涉案企业合规的规定
2021年6月3日, 最高人民检察院等九部门联合印发《关于建立涉案企业合规第三方监督评估机制的指导意见(试行)》(以下简称“《涉案企业合规指导意见》”), 明确规定人民检察院在办理涉企犯罪案件时, 对符合企业合规改革试点适用条件的, 交由第三方监督评估机制管理委员会(以下简称“第三方机制管委会”)选任组成的第三方监督评估组织(以下简称“第三方组织”), 对涉案企业的合规承诺进行调查、评估、监督和考察。考察结果作为人民检察院依法处理案件的重要参考。
涉企犯罪案件, 需同时符合三个条件, 人民检察院可以根据案件情况适用上述指导意见: 一是涉案企业、个人认罪认罚; 二是涉案企业能够正常生产经营, 承诺建立或者完善企业合规制度, 具备启动第三方机制的基本条件; 三是涉案企业自愿适用第三方机制。
第三方机制既可以由人民检察院主动提出并征询涉案企业、个人的意见, 也可以由涉案企业、个人及其辩护人、诉讼代理人或者其他相关单位、人员提出申请, 人民检察院依法受理并进行审查。经审查认为涉企业犯罪案件符合第三方机制适用条件的, 可以商请本地区第三方机制管委会启动第三方机制。第三方机制管委会从专业人员名录库中随机抽取人员组成第三方组织。
第三方组织应当要求涉案企业提交专项或者多项合规计划, 并明确合规计划的承诺完成时限。涉案企业提交的合规计划, 主要围绕与企业涉嫌犯罪有密切联系的企业内部治理结构、规章制度、人员管理等方面存在的问题, 制定可行的合规管理规范, 构建有效的合规组织体系, 健全合规风险防范报告机制, 弥补企业制度建设和监督管理漏洞, 防止再次发生相同或者类似的违法犯罪。
(二) 本案涉案企业合规的具体开展
2021年8月, Z公司收到检察机关制发的合规检察建议后, 按照要求自查整改, 并专门聘请法律顾问团队制定数据合规整改计划, 严格按照合规承诺推进执行。具体来看, Z公司彻底销毁相关“爬虫”程序及源代码, 对非法获取的涉案数据进行无害化处理, 与相关平台签订数据交互协议, 实现了从“爬取数据”到“以合法方式购买数据”的转变。
对于Z公司而言, 数据合规整改计划的重点在于如何合法合规获取数据, 在网信部门的建议下, Z公司将所有正常运行的系统纳入区级态势感知平台, 并由该平台提供实时安全扫描和漏洞检测, 进一步提高数据合规能级。同时, Z公司还建立数据合规长效机制, 复制、移植和外卖平台的合作模式, 与多家大型互联网企业达成数据合作。在这背后, 笔者认为更为重要的是合规文化建设。
涉案企业合规工作离不开第三方监督评估机制管委会和第三方组织。2021年10月, 检察机关商请第三方监督评估机制管委会从专业人员名录库中抽取了由网信办、某知名互联网安全企业和产业促进社会组织人员组成的第三方组织, 全程监督Z公司数据合规工作。从本案第三方组织的组成人员来看, 均为数据合规领域专业人员。2022年初, Z公司经第三方监督评估合格。
四、检察机关对Z公司不起诉评析
根据《涉案企业合规指导意见》的相关规定: 人民检察院在办理涉企犯罪案件过程中, 应当将第三方组织合规考察书面报告、涉案企业合规计划、定期书面报告等合规材料, 作为依法作出批准或者不批准逮捕、起诉或者不起诉以及是否变更强制措施等决定, 提出量刑建议或者检察建议、检察意见的重要参考。人民检察院对于拟作不批准逮捕、不起诉、变更强制措施等决定的涉企犯罪案件, 可以根据《人民检察院审查案件听证工作规定》召开听证会, 并邀请第三方组织组成人员到会发表意见。
根据《人民检察院审查案件听证工作规定》的相关规定, 人民检察院办理羁押必要性审查案件、拟不起诉案件、刑事申诉案件、民事诉讼监督案件、行政诉讼监督案件、公益诉讼案件等, 在事实认定、法律适用、案件处理等方面存在较大争议, 或者有重大社会影响, 需要当面听取当事人和其他相关人员意见的, 经检察长批准, 可以召开听证会。
在本案中, 2022年4月28日, 承办案件的检察机关邀请听证员、侦查人员、企业合规第三方考察员和被害单位等, 以远程方式对Z公司、陈某某等人非法获取计算机信息系统数据案进行不起诉公开听证, 最高检亦邀请了全国人大代表参加旁听。
经过最终的讨论, 听证员、公安机关、第三方组织、被害单位等参与听证各方一致支持检察机关对涉案企业、涉案人员作出不起诉处理。
实际上, 根据《刑事诉讼法》第一百七十七条的规定: 对于犯罪情节轻微, 依照刑法规定不需要判处刑罚或者免除刑罚的, 人民检察院可以作出不起诉决定。笔者认为, 在上述案件中, 检察机关最终对Z公司的不起诉决定, 也是依据《刑事诉讼法》中相关不起诉的规定而作出。
另外需要明确的是, 并非只要涉案企业适用第三方机制, 最终人民检察院就一定会作出不起诉决定, 人民检察院需要根据涉案企业的提交的合规计划, 以及整改的效果, 尤其是第三方组织的合规考察报告进行评估, 对涉案企业及人员作出不同的处理。在现实中, 已经有涉案企业适用第三方机制, 但仍然被起诉至人民法院, 并被判处刑罚的案例。
五、结论
涉案企业合规是当前刑事诉讼中的一项热点和重点工作, 目前正在相关地区开展试点, 对于符合条件的涉案企业及人员可以积极争取, 以期在法律规定范围内取得最轻的处罚, 甚至不起诉的良好效果。
在社会经济不断走向“数字化转型”的时代背景下, 各类科技型、数据型企业在日常经营、业务开拓中, 如刑事法律风险防范意识不强, 极易触犯侵犯公民个人信息罪、非法获取计算机信息系统数据罪等刑事犯罪, 应当对此问题予以充分关注。
如相关企业已经触发上述刑事法律风险, 应第一时间予以正确应对, 并在合法、合规的前提下, 寻求解决对策, 最大程度维护企业和相关高管的合法权益。
上海首例数据合规案, 最终以不起诉结案, 让企业经营者们看到刑法背后不再是冷冰冰的条文, 而是充满人性的关怀和司法温度。