新網絡數據信息安全背景下的企業刑事合規
作者：曾崢 陳伊韜 2021-11-08數據時代背景下，掌握大量信息數據資源的企業們在收取時代紅利的同時，也需要接受法律法規的監管和約束。自2016年《網絡安全法》（《網安法》）通過以來，《民法典》《數據安全法》（《數安法》）及《個人信息保護法》（《個保法》）也相繼落地，執法依據位階上升，監管尺度日益細化，要求企業嚴于律己，提升自身有關核心數據、重要數據、用戶個人信息保護義務的合規水準。網絡安全犯罪問題涉刑的違法性判斷標準和條件亦發生變化，帶動相應刑事合規風險的提升，相關企業需要予以充分重視和關注。
違法獲取、處理、出售或向他人提供個人信息。《網安法》第64條、《個保法》第66條規定，以違法方式獲取、處理、出售或向他人提供個人信息的，相關部門可以處罰款、責令停產停業、吊銷業務許可證或營業執照以及對相關人員做出從業禁止的行政處罰。與之相對應的，《刑法》第253條之一侵犯公民個人信息罪注明了企業需要加以防范的刑事風險。 在（2020）浙0683刑初352號判決書中，某教育公司通過從網上購買學生信息（姓名、學校、家長電話號碼、住址等）27萬余條，并雇傭他人使用購買的學生信息，以打電話、上門免費授課等方式推銷“名師講堂”軟件。后該單位及主要涉案人員均構成侵犯公民個人信息罪。 違法侵入網絡，非法控制系統或竊取網絡數據或為上述行為提供工具。在《網安法》第22條、第27條、第48條中規定了設置惡意程序，非法侵入他人網絡、干擾他人網絡正常功能、竊取網絡數據，以及為上述行為提供程序、工具的，由公安機關沒收違法所得，并視情節對涉案人員采取罰款或行政拘留等強制措施。與之相對應的，《刑法》第285條的非法獲取計算機信息系統數據、非法控制計算機信息系統罪，以及提供侵入、非法控制計算機信息系統程序、工具罪均對應著企業需加以防范的刑事風險。 （2017）京0108刑初2384號案中，某網絡科技有限公司通過使用“tt_spider”文件破解字節跳動的防抓取措施，實施視頻數據抓取行為。法院判處該單位及主要涉案人員構成非法獲取計算機信息系統數據罪。 為實施信息網絡犯罪活動提供技術上的幫助支持。《網安法》第27條、第63條規定明知他人從事危害網絡安全的活動的，不得為其提供技術支持、廣告推廣、支付結算等幫助，違者由公安機關沒收違法所得，并視情節對涉案人員采取罰款或行政拘留等強制措施。與之相對應的是《刑法》第287條幫助信息網絡犯罪活動罪。 （2020）浙0702刑初651號判決書中，某網絡科技公司接受客戶要求訂購后臺操控價格走勢的虛擬幣交易軟件，在明知后臺操控功能可能被用于違法犯罪活動的情況下，仍為其制作了“24DCEP”數字貨幣交易平臺供其使用，并提供后續技術支持。后該單位及主要涉案人員構成幫助信息網絡犯罪活動罪。 數據跨境流動強監管下的潛在合規風險。在《網安法》第37條、第66條，《數安法》第31條、36條、45條、46條及《個保法》第三章個人信息跨境規則中均對向境外提供數據或個人信息做出了嚴格限制。經過相關主管部門安全評估與批準成為必要的前置條件，尤其是負責關鍵信息基礎設施與大規模個人信息處理的運營者。違者視情節可處罰款、暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照等行政處罰。 除此以外，企業還應注意到某些敏感信息如處理失當，則可能涉及《刑法》第111條，為境外竊取、刺探、收買、非法提供國家秘密、情報罪，或第219條下的為境外竊取、刺探、收買、非法提供商業秘密罪。該兩類情況涉及到國家安全或者企業商業秘密，隨著監管升級對跨境信息數據流動的關注將日益提升。 除明確法律責任的禁止性義務規范之外，上述三法還設置了大量需要企業嚴格遵守的義務條款。典型的如《網安法》第47條，規定了運營者對用戶發布信息的監督管理義務。若企業怠于履行，若經有關部門警告處罰后仍不整改，則可能涉及《刑法》第286條拒不履行信息網絡安全管理義務罪的刑事風險。 2021年5月，重慶網安在辦理一起賭博案件時發現涉案嫌疑人利用“某牛”APP軟件平臺發布“銀行卡、手機卡買賣”等違法廣告信息。后經核實，“某牛”APP運營主體公司在2020年曾被屬地公安機關行政處罰，但未對APP內信息發布等環節進行有效整改，致其再次被違法犯罪嫌疑人用來發布違法違規廣告信息共計九千余條，并造成現實危害。5月26日，該公司相關負責人因涉嫌違反《刑法》第286條之一拒不履行信息網絡安全管理義務罪被刑事拘留。
