上海某数信息公司、罗某等侵犯公民个人信息案——利用爬虫技术实施侵犯公民个人信息犯罪的认定

撰稿：江苏省泰州市中级人民法院 蔡 萍 江苏省泰州市姜堰区人民法院 沈井春

审编：最高人民法院刑事审判第三庭 汪 斌 王肃之

一、基本案情

被告单位上海某数信息公司，住所地上海市嘉定区。

被告人罗某，男，1981年×月×日出生。2019年9月21日、2020年9 月11日被取保候审。

被告人徐某麟，男，1983年×月×日出生。2019年10月17日被逮 捕，2020年12月4日被取保候审。

被告人符某，女，1986年×月×日出生。2019年9月11日、2020年9 月11日被取保候审。

被告人董某鹏，男，1990年×月×日出生。2019年10月17日被逮 捕，2020年12月4日被取保候审。

江苏省泰州市姜堰区人民检察院指控被告单位上海某数信息公司和 被告人罗某、徐某麟、符某、董某鹏犯侵犯公民个人信息罪，向江苏省 泰州市姜堰区人民法院提起公诉。经最高人民法院指定管辖，江苏省泰 州市姜堰区人民法院依法受理。

被告单位上海某数信息公司对指控的罪名无异议，对部分犯罪事实 有异议。

被告人罗某、徐某麟、符某、董某鹏均对指控的犯罪事实、罪名无异议，自愿认罪认罚。

辩护人提出，被告单位经公民授权利用爬虫技术获取公民个人信息， 生成具有征信功能的蜜蜂、蜜罐报告，并予以出售，实质为被告单位未 取得征信业务资质而从事征信业务，属于行政违法，不构成侵犯公民个 人信息罪。

江苏省泰州市姜堰区人民法院审理查明：

2013年7月，被告人罗某注册成立被告单位上海某数信息公司，下 设技术部、商务部等部门。罗某任法定代表人、首席执行官，负责该公 司运营决策，决定实施非法获取、出售公民个人信息等行为。被告人徐 某麟于2017年6月任该公司技术副总裁，负责管理研发团队、规划产品 业务，以及爬虫程序和蜜蜂、蜜罐报告技术开发等工作。被告人符某于 2017年10月任该公司商务副总裁，负责市场拓展及客户维护，组织推广 蜜蜂、蜜罐报告。被告人董某鹏于2017年6月任该公司运营部总监，参 与研发爬虫程序并非法获取公民个人信息，以及蜜蜂、蜜罐报告的生成、 维护与运营工作。

自2014年5月起，被告单位在未依法报经征信业监督管理部门批准 的情况下，违反法律规定，组织技术团队研发具有采集、整理、保存、 加工个人信用信息功能的软件，非法从事个人征信业务。被告单位将前 端插件嵌入从事金融业务企业的App, 或者通过从事金融业务的企业网络 平台提供的链接跳转至其提供的网页，要求借款人网签授权协议，并输 入个人手机通信运营商、电商、社保、公积金、学信网等网站及App 的 账号、密码，否则无法完成注册。被告单位获取上述账号和密码后，使 用爬虫技术避开或者突破运营商、电商等网站及 App 设置的安全防护机 制，从中获取网络购物记录、社保记录、商业保险，以及能够关联特定 密切联系人的六个月手机通信记录(含手机号码)等。

2015年11月1日至2019年9月6日，被告单位采取上述手段获取并 保存、加工上述信息，形成含有公民个人信息及针对特定个人的借款信 用及社会关系的蜜蜂报告，该报告涉及去重后用户身份证号码4684万余个。被告单位将蜜蜂报告销售给从事网络贷款、金融业务的企业，用于 贷前风控、贷中监测及贷后催收等。

2016年，被告单位未依法取得征信业监督管理部门的批准，为满足 商业用途，将经授权取得的身份证号码、姓名、手机号码在获取的公民 个人信息存储的数据库中进行对比碰撞，后按照从事金融业务的企业要 求，对上述数据进行分析，形成用于判断特定个人信贷风险的蜜罐报告， 该报告涉及去重后身份证号码1.54亿余个。被告单位将上述蜜罐报告予 以销售，用于贷前风控等。

被告单位明知蜜蜂报告中的六个月手机通信记录的手机号码能够关 联自然人的特定密切联系人，仍在未经该特定密切联系人同意的情形下， 将手机号码非法提供给从事金融业务的企业。后部分企业通过骚扰、发 送侮辱性图片给密切联系人的方式，对借款人非法催收债务。其中，上 海某耀公司、上海某浣公司、上海某斗公司、上海某全公司等(均已判 决)系从事“套路贷”犯罪活动的恶势力犯罪集团，某华公司(已判 决)研发、出售的阿尔法象放贷系统被购买者用于实施“套路贷”犯罪。 2015年11月1日至2019年9月6日，被告单位向1000余家企业非法销 售蜜蜂报告及非法搭售或捆绑销售蜜蜂、蜜罐报告，其中蜜蜂报告共计 3.39亿余份，非法获利1.01亿余元。

江苏省泰州市姜堰区人民法院认为，被告单位上海某数信息公司违 反国家有关规定，非法获取公民个人信息，并向他人出售，情节特别严 重；被告人罗某作为被告单位直接负责的主管人员，被告人徐某麟、符 某、董某鹏作为被告单位其他直接责任人员，其行为均已构成侵犯公民 个人信息罪。上海某数信息公司、罗某具有自首情节，依法可以从轻处 罚。徐某麟、符某、董某鹏具有坦白情节，依法可以从轻处罚。罗某、 徐某麟、符某、董某鹏自愿认罪认罚，可以依法从宽处理。依照《刑法》 第二百五十三条之一第一款和第四款、第三十条、第三十一条、第二十五条第一款、第二十六条第一款和第四款、第二十七条、第六十七条第 一款和第三款、第七十二条第一款和第三款、第七十三条第二款和第三款、第七十六条、第六十四条及《刑事诉讼法》第十五条之规定，于 2023年11月29日作出判决：

一 、以被告单位上海某数信息公司犯侵犯公民个人信息罪，判处罚 金人民币一亿零二百万元；

二 、以被告人罗某等4人犯侵犯公民个人信息罪，判处有期徒刑二 年至三年不等的刑罚，并根据其犯罪情节决定适用缓刑，并处相应罚金；

三 、责令被告单位上海某数信息公司继续退出违法所得一千六百万 元，连同已退出的违法所得八千五百万元，共计人民币一亿零一百万元， 予以没收，上缴国库。

宣判后，被告单位及各被告人均未上诉，公诉机关未抗诉，该刑事 判决已发生法律效力。4名被告人的罚金均已履行，被告单位的违法所 得、罚金已执行完毕。

二、主要问题

(1) 利用爬虫技术爬取在运营商、电商平台处登记的手机号码等个 人信息的行为，应如何认定?

(2)将获取的公民个人信息分析生成征信产品予以销售的行为，应 如何认定?

三、裁判理由

网络爬虫是一种自动化浏览网络、抓取网页信息的程序或脚本，通 过模拟人工登录、访问互联网，读取内容，并按照一定的规则批量提取 符合需求的数据，具有智能高效、精准抓取、覆盖面广等特点。爬虫技 术自广泛应用以来，已成为促进数据共享与侵犯信息安全的“双刃剑”, 使用失当可能引发法律风险。被告单位等未经公民授权，利用爬虫技术 突破反爬数据保护机制，爬取信息后生成蜜蜂报告进行销售，构成侵犯公民个人信息罪。被告单位将经授权获取的信息进行无法复原的匿名化 处理，生成蜜罐报告并销售，属于违法经营个人征信业务，不属于刑事规制的范围。

(一)通过插件或爬虫技术获取和提供个人信息，是否侵犯公民个人信息，应结合是否违反国家有关规定，是否得到公民授权予以认定

被告单位未经公民授权并突破反爬数据保护机制，利用爬虫技术模 拟人工登录爬取包括第三人手机号码等个人信息，生成蜜蜂报告予以销 售，其行为构成侵犯公民个人信息罪。

第一，被爬取的包括运营商、电商平台等在内的第三人手机号码属 于公民个人信息。《网络安全法》(2016年11月7日公布)第七十六条① 第五项规定的个人信息，是指以电子或者其他方式记录的能够单独或者 与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人 的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号 码等。根据《电话用户真实身份信息登记规定》(2013年7月16日公布) 的规定，自2013年9月起对全国范围内电话用户进行实名登记。实名登 记的手机号码对应真实有效的机主，指向注册登记该手机号码的特定自 然人。手机号码用于注册邮箱、微信等网络社交账号，涉及公民的通信、 金融、医疗、教育、社交等领域，具有移动支付、实时定位、金融结算 等功能，具备专属性、隐私性、财产性，普遍应用于公民工作生活，与 公民的人身安全、财产安全密切相关。实名登记的手机号码集通信社交、 支付结算、实时定位等功能于一体，通过手机号码不仅能够分析第三人 的社交状况、经济活动、行为轨迹等，亦能够判定第三人与借款人的紧 密程度及特定关系。因此，手机号码能够单独或者与其他信息结合识别 特定自然人身份、隐私活动、财产状况等，属于法律保护的公民个人 信息。

第二，网络爬虫突破相关网站、 App 设置的反爬数据保护措施爬取公民个人信息，违反了国家有关规定。《全国人民代表大会常务委员会关 于加强网络信息保护的决定》(2012年12月28日公布)、《网络安全法》 均明确规定了保护公民个人信息安全。被告单位为满足商业利益，利用 爬虫技术模拟人工登录，循环批量爬取运营商、电商等网站及App 内 包 含手机号码的第三人信息，危害了网站、App 的正常运转、数据安全及 信息产权。被爬取的网站、App 根据国家有关规定，设置“网络爬虫排 除标准”“身份验证”“封锁IP” 等反爬协议或技术壁垒，表明其数据保护意愿，防止网络爬虫未经许可非法爬取数据。被告单位为保证爬虫技 术能够顺畅运行，通过购买“虚拟IP” “规避身份验证”等方式破解反 爬数据保护措施，侵害了网站、App 合法保护数据的意愿，违反了国家 有关保护公民个人信息的规定。

第三，对被告单位获取、提供个人信息的行为需进行具体分析。(1)通 过插件获取相关账户、密码信息得到公民授权，且不违背双方真实意愿 的，不属于非法获取行为。公民对其通过手机号码或有效身份信息在运 营商、电商平台等注册、持有的账户、密码，具有使用、出借、提供等 支配权。被告单位通过嵌人网络插件向公民提供登录界面，将签订授权 协议作为申请借款的附属条件之一，提示公民点击并阅览后签订授权协 议。该授权协议明确告知公民需要其提供运营商、电商平台等的账户、 密码及提供的目的。公民清楚知悉被告单位获取信息的意思表示。该授 权协议符合知情同意原则，不违反双方真实意思表示，协议内容真实有 效。公民基于该授权协议同意向被告单位提供其持有的登录账户、密码， 未违背公民对其个人信息的自决权。被告单位获取并保存账户、密码的 行为未侵害公民信息安全。(2)未经公民授权或同意，利用爬虫技术爬 取个人信息，属于侵犯公民个人信息罪规定的非法获取个人信息的行为。 被告单位利用爬虫技术通过前期网络插件获取账户、密码后，以模拟人 工登录的方式，按照需求自动批量采集目标数据，并将数据汇总至被告 单位的数据库予以保存，用于深度分析、整合生成征信产品进行销售。 被告单位与公民签订的授权协议未明确告知公民其利用爬虫技术爬取个人信息，亦未明确告知公民其收集信息的事项、范围和目的。虽然后期 该授权协议根据《网络安全法》进行了修正，但仍未明确告知公民其信 息获取的方式及信息范围包括与借款人相关联的含有手机号码在内的特 定第三人的信息，亦未告知公民其收集信息的目的是销售牟利。第三人 对其个人信息被收集、整合、销售均不知情，违背了其意愿。被告单位 在此种情形下爬取公民个人信息具有非法性。(3)违反国家有关规定， 未经公民同意，向他人提供所获取的公民个人信息，属于侵犯公民个人 信息罪规定的非法提供个人信息的行为。将授权获取或利用爬虫技术爬 取的公民个人信息经过整理、加工、制作成征信产品后，违反国家有关 规定，未经公民同意予以销售，损害了公民对其个人信息的自决权。蜜 蜂报告的数据除部分来自授权获取外，其余包含第三人手机号码等信息 均由网络爬虫爬取，第三人对其信息被收集、销售均不知情。购买者通 过蜜蜂报告能够单独或与其他信息结合识别特定自然人身份、活动轨迹、 隐私生活、财产情况等，具有侵扰他人工作生活安宁、损害公民的人身 安全及财产安全的风险。被告单位将获取的包含第三人的信息数据生成蜜蜂报告予以销售，违反国家有关个人信息保护的规定，未征得公民同 意，侵犯了公民个人信息。

(二)将获取的公民个人信息生成征信产品并进行销售，是 否侵犯公民个人信息，应结合行为性质、信息属性及信息识别度 等因素予以认定

被告单位将经授权获取的个人信息，生成经匿名化处理且不能复原 的蜜罐报告，即使未经公民同意进行销售，也不属于刑事认定范围。

第一，公民基于授权自愿提供个人信息，用于对其借款进行资信审 查，该获取方式不具有非法性。蜜罐报告与蜜蜂报告的本质区别在于数 据来源不同。公民签订被告单位提供的授权协议，在获悉信息获取的范 围和用途后，同意提供其姓名、身份证号码、手机号码，该三要素成为 蜜罐报告的核心数据。被告单位将上述三要素与利用爬虫技术爬取的公民个人信息形成的数据库内的信息进行碰撞，判断该公民的借款资信， 后与金融机构公布的借款人黑名单及人民法院公开的失信被执行人名单 等进行比对，形成以数字分值为载体的蜜罐报告，以评价公民的信用等 级。蜜罐报告的基础数据不涉及未经公民授权或第三人的信息，亦明确 载明网络爬虫爬取的信息及相关机构向社会公开的信息。蜜罐报告应用于金融领域的贷前风控，不具备贷后催收的功能。被告单位生成蜜罐报 告属于未经征信业监管机构批准，违法从事个人征信业务，违反了《征 信业管理条例》(2013年1月21日公布)的规定，不属于刑事认定范围。

第二，将合法收集的个人信息进行无法复原的匿名技术处理，即使 未经公民同意予以提供，也不构成侵犯公民个人信息罪。《最高人民法 院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干 问题的解释》(法释〔2017〕10号)第三条、《网络安全法》第四十二 条第一款①均规定，未经被收集者同意，不得将合法收集的公民个人信息 向他人提供，但经过处理无法识别特定个人且不能复原的除外。公民个 人信息的关键属性是与特定自然人关联，经过匿名化处理，无法识别特 定个人且不能复原的信息，不具有侵害公民信息安全的风险。被告单位 销售蜜罐报告虽未得到公民明确授权或同意，但蜜罐报告载明的信息仅 包含剔除个人关联、通过技术不能复原的数字分值，无法识别公民特定 的活动情况，无法进行二次利用，更不具有贷后催收的作用。综上所述， 蜜罐报告所涉信息不属于侵犯公民个人信息罪中公民个人信息的类型。