一文读懂个人信息爬虫技术合规风险——基于爬虫相关侵权案件的梳理

2020-09-28

引言：

2020年3月，杭州铁路运输法院在深圳市腾讯计算机系统有限公司等诉杭州快忆科技有限公司不正当竞争及行为保全纠纷一案中做出裁定，要求杭州快忆科技立即停止提供“微信公众号文章信息 API”“微信订阅号和最新文章 API”“腾讯滚动新闻 API”“辖区内按省市微信公众号及其企业认证信息数据”产品的行为。此为我国法院发布的首例爬虫禁令，意味着第三方爬虫行为存在被权利人向法院申请行为保全的法律风险。

随着大数据时代的到来，互联网技术对人们日常生活的渗透程度不断加深，传统信息获取渠道逐渐“萎靡”。在获取信息的技术手段快速蓬勃发展的同时，因制作爬虫软件以牟利、未经个人同意利用爬虫技术爬取其他平台的个人信息以牟利而侵犯个人信息安全或进行不正当竞争的案例也随之而起。

对此，本文在对爬虫技术的定义归纳的基础上，结合对利用爬虫技术侵犯个人信息的相关案例的总结梳理，就利用爬虫技术获取个人信息存在的法律风险进行提示，以期为各大数据企业利用爬虫技术获取个人信息合规提供借鉴及参考。

一、爬虫的定义

网络爬虫（Web Crawler）（简称“爬虫”），也被称为网络蜘蛛、蜘蛛爬虫（Web Spider）或网络机器人（Web Robot），是互联网时代一项运用非常普遍的网络信息搜索技术。

目前，我国现行法律法规并未对爬虫行为作出明确定义，2012年中国互联网协会曾于出台的《互联网搜索引擎服务自律公约》中将其简单定义为“自动爬行网络的程序”，而在国家互联网信息办公室于2019年5月出台的《数据安全管理办法（征求意见稿）》中，首次对爬虫行为进行明确规制，即“网络运营者采取自动化手段访问收集网站数据，不得妨碍网站正常运行；此类行为严重影响网站运行，如自动化访问收集流量超过网站日均流量三分之一，网站要求停止自动化访问收集时，应当停止”。虽然该文件尚未正式出台正式稿，但其预示着爬虫行为将很快受到法律法规的专门规制。

二、爬取个人信息常见侵权行为及法律风险梳理

通过以“爬虫”等关键词于中国裁判文书网进行检索，我们发现与利用爬虫技术爬取个人信息相关的行为主要分为五类：（一）制作爬虫软件并出售牟利，制作者不使用该类软件爬取个人信息；（二）制作爬虫软件用于自己爬取个人信息，并将非法获得的个人信息出售给他人等方式牟利；（三）不制作爬虫软件，从制作者处购买获得爬虫软件使用权用于爬取个人信息，并将非法获得的个人信息出售给他人牟利；（四）不制作爬虫软件，从制作者处购买获得爬虫软件使用权用于爬取个人信息，并将非法获得的个人信息用于自身牟利；（五）任职于使用爬虫软件获取用户信息的平台公司，利用职务便利获取用户个人信息，并将非法获得的个人信息出售给他人牟利。对此，我们就前述行为进行系统性的梳理，梳理、总结的行为与法律风险要点如下：

（一）制作爬虫软件并出售牟利，制作者不使用该类软件爬取个人信息

在该情形下，行为人虽然制作爬虫软件的目的仅用于出售，本身并不利用该软件爬取个人信息，但因其制作的爬虫软件能利用平台网站的漏洞并突破其数据安全保护措施，在未经授权的情况下获取相关用户个人信息，因而根据《刑法》规定，仍可能构成提供侵入、非法控制计算机信息系统程序、工具罪，情节严重的，将被处以三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

（二）制作爬虫软件用于自己爬取个人信息，并将非法获得的个人信息出售给他人等方式牟利

刑事责任层面，如行为人制作了能利用数据平台网站的漏洞并突破其数据安全保护措施，在未经授权的情况下获取相关用户个人信息的爬虫软件系统，并使用该软件系统爬取网站上的个人信息，用于出售牟利，则可能涉嫌构成侵犯公民个人信息罪或非法获取计算机信息系统数据罪。实践中可能还存在行为人制作了能侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的爬虫软件系统，并使用该软件系统爬取前述政府网站上的个人信息，用于出售牟利，则可能涉嫌构成非法侵入计算机信息系统罪，将被处以三年以下有期徒刑或者拘役。^[1]

民事及行政责任层面，如行为人对竞争者实施上述行为，造成其数据平台网站额外的运行成本，干扰其平台正常运行、破坏平台健康生态秩序的，存在认定为构成不正当竞争行为的法律风险，将依据《反不正当竞争法》等法律法规规定向权利人赔偿相应损失或被主管机关处以相应行政处罚。

（三）不制作爬虫软件，从制作者处购买获得爬虫软件使用权用于爬取个人信息，并将非法获得的个人信息出售给他人牟利

如行为人购买他人制作的能利用平台网站的漏洞并突破其数据安全保护措施，在未经授权的情况下获取相关用户个人信息的爬虫软件系统，并使用该软件系统爬取网站上的个人信息，用于出售牟利，则可能涉嫌构成非法获取计算机信息系统数据罪，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

（四）不制作爬虫软件，从制作者处购买获得爬虫软件使用权用于爬取个人信息，并将非法获得的个人信息用于自身牟利

当行为人购买他人制作的能利用平台网站的漏洞并突破其数据安全保护措施，在未经授权的情况下获取相关用户个人信息的爬虫软件系统，并使用该软件系统爬取网站上的个人信息，用于自身经营牟利，亦存在构成侵犯公民个人信息罪的法律风险，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

（五）任职于使用爬虫软件获取用户信息的平台公司，利用职务便利获取用户个人信息，并将非法获得的个人信息出售给他人牟利

除上述常见的爬虫行为外，如行为人利用其在利用爬虫软件获取用户信息的平台公司的从事技术工作等方面原因的便利，未经公司允许非法获取公司平台数据库内的公民个人信息，并公民个人信息用于转卖获利，这种情况下可能认定其构成侵犯公民个人信息罪。

三、爬取个人信息典型案例梳理

通过以“爬虫”等关键词于中国裁判文书网进行检索，我们梳理了公开可检索的与前述爬虫侵犯个人信息行为相关的23起相关争议典型案例。我们发现，行为二【制作爬虫软件用于自己爬取个人信息，并将非法获得的个人信息出售给他人等方式牟利】受到的处罚最多，相关案例共有18起，占总数的78%。

对此，我们就前述争议案件进行梳理，总结出如下裁判要点，作为大数据企业运用爬虫软件获取及使用数据的参考。

四、爬取个人信息技术合规法律建议

通过对上述行为及典型案例的梳理与分析，我们发现，利用爬虫软件获取个人信息的侵权行为主要面临被认定为构成提供侵入、非法控制计算机信息系统程序、工具罪、侵犯公民个人信息罪及非法获取计算机信息系统数据罪等刑事责任风险。

提供侵入、非法控制计算机信息系统程序、工具罪在爬虫软件获取个人信息的侵权案件中主要认定标准为行为人是否制造并向他人提供、出售在未经网站或平台授权的情况下，获取相关用户个人信息的爬虫软件系统。因此，大数据企业在制作并出售爬虫软件时，应重点关注买方是否确已获得平台及用户个人的授权，在难以或无法确定的情况下，不建议予以出售以牟取非法利益。

侵犯公民个人信息罪的核心认定标准在于行为人是否向他人出售或者以非法方法获取公民个人信息。对此，大数据企业在爬取获得个人信息时，应当严格限定数据采集的范围，不得非法或超过平台及个人的授权范围采集及使用相应数据，亦不得将其用于出售以获取非法利益。

非法侵入计算机信息系统罪及非法获取计算机信息系统数据罪的核心认定标准在于爬取的计算机信息系统是否属于国家事务、国防建设、尖端科学技术领域特定领域，以及获取计算机信息系统数据的行为手段是否具有非法性。对此，大数据企业在平台上获取计算机信息系统数据时，应审查其数据获取手段是否违反法律法规或平台相关规定，谨慎爬取上述特定领域的计算机信息系统信息。

除此之外，在民事及行政责任方面，大数据企业亦不得将爬虫技术及采集到的数据信息用于不正当竞争等用途，否则将会被认定为构成不正当竞争行为，从而存在被处以行为保全措施或承担相应民事赔偿或行政处罚责任的法律风险。

五、结语

大数据企业在获取个人数据时，往往会通过爬虫等技术进行采集。一般而言，爬虫程序只是在更高效地收集信息，虽然爬虫技术具有技术中立性，但爬虫使用者对他人数据的采集及使用应在合理限度之内。

大数据企业若在未明确买方是否获得平台及个人的明确有效授权的情况下，制作爬虫软件并予以出售，则可能被认定为构成“提供侵入、非法控制计算机信息系统程序、工具罪”，单位将被处以罚金，对其直接负责的主管人员和其他直接责任人员亦将依法承担相应刑事责任。

大数据企业若未依法利用爬虫技术获取个人信息，或将利用爬虫技术获取的个人信息用于出售或不正当竞争等非法用途，则将会面临被认定为构成“侵犯公民个人信息罪”或“非法获取计算机信息系统数据罪”的法律风险，单位将被处以罚金，对其直接负责的主管人员和其他直接责任人员亦将依法承担相应刑事责任；或被认定为构成不正当竞争行为，存在被处以行为保全措施或承担相应民事赔偿或行政处罚责任的法律风险。

对此，我们建议大数据企业在法律允许的范围内审慎运用爬虫软件获取及使用数据，以此降低因爬取用户信息而需要承担侵犯个人信息安全或不正当竞争的风险。

文中备注：

[1]经检索裁判文书网目前无行为人利用爬虫软件提取政府网站中的个人信息侵权案例，仅有行为人利用黑客技术提取政府网站中的个人信息侵权案例，此类黑客侵权案例可对研究爬虫侵权提供一定借鉴意义。【具体可参考(2016)冀0826刑初80号、(2014)高刑初字第34号以及(2018)川1402刑初56号】

根据我国《刑法》第二百八十五条 违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。上述黑客案例中行为人被法院认定为非法侵入计算机信息系统罪。

[2]此判决因受理法院无管辖权已被二审法院撤销，但法院裁判思路有一定参考意义。

本文作者：