?爬蟲到底違不違法？
如今，很多人都有類似這樣的經(jīng)歷，這種“聊啥來啥”的現(xiàn)象讓人們在接受“貼心”服務(wù)的同時(shí)也越發(fā)感到疑惑：“難道App在‘偷聽’我們聊天？” 近幾年，在侵犯公民個(gè)人信息犯罪案件的辦理中，網(wǎng)絡(luò)爬蟲技術(shù)逐步走進(jìn)大眾視野。
網(wǎng)絡(luò)爬蟲技術(shù)爬取個(gè)人信息是否合法？在大數(shù)據(jù)時(shí)代，爬蟲技術(shù)應(yīng)用的法律紅線在哪里？在《中華人民共和國個(gè)人信息保護(hù)法》正式實(shí)施之際，記者就此采訪了有關(guān)專家。
公民個(gè)人信息是如何被爬走的
個(gè)人信息是互聯(lián)網(wǎng)企業(yè)輸出用戶畫像、制定營銷策略以及識(shí)別風(fēng)險(xiǎn)的重要依據(jù)。隨著數(shù)據(jù)產(chǎn)業(yè)的不斷發(fā)展，個(gè)人信息已成為高價(jià)值的數(shù)據(jù)資源，對其的爭奪日趨激烈。據(jù)統(tǒng)計(jì)，目前，除了直接通過用戶采集數(shù)據(jù)，另一個(gè)主要的數(shù)據(jù)來源就是使用網(wǎng)絡(luò)爬蟲技術(shù)采集公開信息。
所謂網(wǎng)絡(luò)爬蟲，也稱網(wǎng)絡(luò)機(jī)器人或網(wǎng)絡(luò)蜘蛛，是通過模擬人（網(wǎng)絡(luò)用戶）的行為，自動(dòng)、高效地瀏覽互聯(lián)網(wǎng)并抓取所需數(shù)據(jù)的計(jì)算機(jī)程序。上海市檢察院第二分院第三檢察部副主任吳菊萍告訴記者，無論是個(gè)人數(shù)據(jù)還是企業(yè)數(shù)據(jù)，公開信息還是個(gè)人隱私或商業(yè)機(jī)密，爬蟲技術(shù)都可以實(shí)現(xiàn)數(shù)據(jù)爬取。吳菊萍向記者介紹了爬蟲技術(shù)如何實(shí)現(xiàn)對公民個(gè)人信息的侵犯。“在購物、社交、通訊等類型App中，用戶可以上傳自身信息后設(shè)置訪問限制，或者使用加密功能只有自己可以訪問，這類信息屬于用戶的個(gè)人隱私。如果爬蟲控制者繞開上述限制，在未經(jīng)授權(quán)的情況下進(jìn)行訪問，并抓取用戶的個(gè)人信息，又或者在抓取后公開傳播甚至買賣這些信息，造成對用戶的損害后果的，可能侵犯相關(guān)用戶的隱私權(quán)。”
筆者梳理了目前存在的5種利用爬蟲技術(shù)非法爬取公民個(gè)人信息形式，包括制作爬蟲軟件出售給他人使用以牟利；制作爬蟲軟件供自己爬取公民個(gè)人信息；購買爬蟲軟件使用權(quán)供自己爬取公民個(gè)人信息；購買爬蟲軟件使用權(quán)爬取公民個(gè)人信息出售牟利；任職于使用爬蟲軟件獲取用戶信息的平臺(tái)公司，利用職務(wù)便利獲取用戶個(gè)人信息并出售牟利。
“技術(shù)是中立的，但技術(shù)應(yīng)用永遠(yuǎn)不是中立的。”華東政法大學(xué)教授張勇在接受本報(bào)記者采訪時(shí)表示，爬蟲技術(shù)作為一種數(shù)據(jù)搜集的手段，本身并沒有合法與非法之分，但面對互聯(lián)網(wǎng)上眾多的數(shù)據(jù)，如果不加以限定，任由爬蟲隨意爬取，勢必會(huì)對互聯(lián)網(wǎng)生態(tài)造成影響。
首先，無限制的爬蟲程序可能對網(wǎng)站服務(wù)器造成壓力。比如，2018年春運(yùn)期間，12306（中國鐵路網(wǎng)）最高峰時(shí)段頁面瀏覽量達(dá)813.4億次，1小時(shí)最高點(diǎn)擊量59.3億次，平均每秒164.8萬次，其中惡意爬蟲訪問占據(jù)了近90%的流量，給12306的運(yùn)維造成了很大的負(fù)擔(dān)，極大擠占了普通用戶的資源和權(quán)益。此外，爬蟲程序的更大危害在于，目前不少打著“大數(shù)據(jù)”旗號(hào)的公司，用爬蟲程序抓取未公開、未授權(quán)的個(gè)人敏感信息，甚至違規(guī)留存、使用、買賣這些隱私數(shù)據(jù)，嚴(yán)重?cái)_亂市場經(jīng)濟(jì)秩序。
如何界定爬取個(gè)人信息行為的合法性
今年，浙江省杭州市西湖區(qū)檢察院辦理了網(wǎng)絡(luò)爬蟲侵犯公民個(gè)人信息第一案。杭州魔蝎數(shù)據(jù)科技有限公司在與用戶的協(xié)議中明確告知，公司不會(huì)保存用戶的賬號(hào)密碼等信息，但該公司仍未經(jīng)用戶許可，利用爬蟲代碼這一技術(shù)手段長期保存用戶的各類賬號(hào)和密碼2000余萬條在自己租用的服務(wù)器上，并通過二次加工將產(chǎn)品提供給網(wǎng)絡(luò)貸款公司作為“風(fēng)控”使用，并從網(wǎng)貸平臺(tái)收取每筆0.1元至0.3元不等的費(fèi)用。
“盡管魔蝎公司和用戶之間存在信息使用協(xié)議，但是魔蝎公司保留用戶數(shù)據(jù)的行為屬于對合法用戶的越權(quán)訪問下獲取信息，最終，該案以侵犯公民個(gè)人信息罪定罪。”杭州市檢察院檢委會(huì)專職委員兼第一檢察部主任桑濤介紹。
在辦理該案后，杭州市檢察院針對爬蟲技術(shù)撰寫了一份案件分析報(bào)告。桑濤介紹，不合法的爬蟲行為可分為非法侵入和合法用戶的越權(quán)。非法侵入就是爬蟲完全沒有獲得被爬取方的許可，私自侵入爬取對方存儲(chǔ)的個(gè)人信息數(shù)據(jù)，甚至突破他人設(shè)置的技術(shù)保護(hù)措施的行為；而合法用戶的越權(quán)行為類似于魔蝎公司的行為，盡管魔蝎公司和用戶之間簽訂了信息使用范圍的協(xié)議，但是爬蟲方越權(quán)獲取用戶個(gè)人信息。以上非法的爬蟲行為，或涉嫌三宗罪：非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪、破壞計(jì)算機(jī)信息系統(tǒng)罪、侵犯公民個(gè)人信息罪。
如何界定爬蟲技術(shù)獲取公民個(gè)人信息的合法性？華東政法大學(xué)教授高富平認(rèn)為，可從數(shù)據(jù)爬取的手段和目的兩個(gè)方面來看。根據(jù)數(shù)據(jù)爬取的手段來劃分，爬取方在雙方約定的訪問協(xié)議范圍內(nèi)進(jìn)行的數(shù)據(jù)爬取行為，可被認(rèn)定為是合法獲取信息的行為；而爬蟲無視網(wǎng)站訪問控制，或者假扮合法訪問者的行為，可被認(rèn)定為不合法。從目的來看，數(shù)據(jù)爬取一方是否對被爬取一方提供的部分產(chǎn)品或服務(wù)進(jìn)行“實(shí)質(zhì)性替代”，如果是，那么它的目的就是不合法的。
在大數(shù)據(jù)時(shí)代，爬蟲技術(shù)應(yīng)用的法律邊界在哪兒？吳菊萍介紹，實(shí)際每家網(wǎng)站都設(shè)定了哪些數(shù)據(jù)、哪些頁面能被抓取，哪些不能被抓取的協(xié)議文件，即國際互聯(lián)網(wǎng)界通行的Robots協(xié)議。互聯(lián)網(wǎng)業(yè)界提出該協(xié)議來限制網(wǎng)絡(luò)爬取數(shù)據(jù)的行為。被爬取數(shù)據(jù)方將寫有可爬取信息范圍的Robots協(xié)議文件放到該網(wǎng)站后，就表示允許數(shù)據(jù)爬取方可在協(xié)議范圍內(nèi)爬取數(shù)據(jù)。
“Robots協(xié)議允許的范圍，尤其是不能越界爬取底層機(jī)讀數(shù)據(jù)，這就是‘線’。”高富平同時(shí)強(qiáng)調(diào)，Robots協(xié)議只是互聯(lián)網(wǎng)界通行的道德規(guī)范，這條紅線還需要法律明確。
如何平衡個(gè)人隱私保護(hù)和鼓勵(lì)技術(shù)創(chuàng)新
11月1日，個(gè)人信息保護(hù)法正式實(shí)施，對合理處理個(gè)人信息作出明確規(guī)定。個(gè)人信息保護(hù)法和民法典兩部法律設(shè)計(jì)和構(gòu)建了比較完整的個(gè)人信息權(quán)益相關(guān)保護(hù)制度，專家在受訪時(shí)也表示，對于司法實(shí)踐中遇到的新問題，仍需要從法律層面作出進(jìn)一步規(guī)定和限制。
張勇指出，我國目前對數(shù)據(jù)權(quán)益的法律保護(hù)仍屬于靜態(tài)的、偏重于對計(jì)算機(jī)信息系統(tǒng)安全的保護(hù)，對個(gè)人信息權(quán)益的法律保護(hù)仍存在不足。現(xiàn)有法律以“計(jì)算機(jī)信息系統(tǒng)安全”為中心，通過擴(kuò)大解釋其涵攝范圍，強(qiáng)化對數(shù)據(jù)犯罪的刑法規(guī)制，這種立法模式在觀念和規(guī)范層面仍顯得較為滯后。例如，侵犯公民個(gè)人信息罪對侵害“個(gè)人信息”的行為方式只包括了非法獲取、出售和提供，對于非法修改、刪除個(gè)人重要信息的行為無法適用侵犯公民個(gè)人信息罪處理，最后只能認(rèn)定為破壞型數(shù)據(jù)犯罪。
對于日益更新的數(shù)據(jù)和技術(shù)領(lǐng)域，在不斷完善法律法規(guī)建設(shè)層面，打擊非法獲取用戶信息行為的同時(shí)，還要關(guān)注行業(yè)的發(fā)展。高富平認(rèn)為，單純打擊爬蟲技術(shù)應(yīng)用并不能扼制這項(xiàng)技術(shù)的濫用。需要給數(shù)據(jù)需求者提供合法獲取底層數(shù)據(jù)的渠道，允許數(shù)據(jù)控制者許可需求者以有償或有序方式使用其數(shù)據(jù)。
專家認(rèn)為，一方面產(chǎn)業(yè)界要恪守法律底線，另一方面也要大力鼓勵(lì)技術(shù)創(chuàng)新。如何平衡個(gè)人信息權(quán)益保護(hù)和信息數(shù)據(jù)產(chǎn)業(yè)發(fā)展、技術(shù)創(chuàng)新之間的關(guān)系，是數(shù)據(jù)經(jīng)濟(jì)時(shí)代的重要命題。
對此，張勇認(rèn)為，保護(hù)個(gè)人隱私與鼓勵(lì)產(chǎn)業(yè)發(fā)展、技術(shù)創(chuàng)新之間不是非此即彼的利益衡量問題，而是如何共生共存的利益協(xié)調(diào)問題。基于安全與發(fā)展相統(tǒng)一的系統(tǒng)思維，應(yīng)當(dāng)以個(gè)人信息保護(hù)法、數(shù)據(jù)安全法、網(wǎng)絡(luò)安全法的實(shí)施為契機(jī)，進(jìn)一步完善爬蟲技術(shù)應(yīng)用所需的各類規(guī)則體系，優(yōu)化數(shù)據(jù)市場法治環(huán)境，懲治濫用爬蟲技術(shù)、侵犯個(gè)人信息權(quán)益的違法犯罪行為。
案例鏈接
上海浦東：公司非法爬取個(gè)人信息出售牟利案
劉某等12人都是上海某信息科技公司員工，該公司在沒有取得國家有關(guān)部門的批準(zhǔn)下，開發(fā)了一個(gè)征信網(wǎng)站，有償為客戶公司提供個(gè)人信息查詢服務(wù)。據(jù)劉某等人供述，該公司的個(gè)人信息數(shù)據(jù)來源主要有兩種，一是從上游公司購買；二是利用公司開發(fā)的爬蟲技術(shù)爬取各類網(wǎng)站、社保、公積金、手機(jī)App等網(wǎng)絡(luò)上的個(gè)人數(shù)據(jù)信息。而客戶使用該網(wǎng)站也十分便捷，根據(jù)需要查詢的內(nèi)容，輸入相應(yīng)的身份證號(hào)碼、姓名、手機(jī)號(hào)碼、手機(jī)驗(yàn)證碼后進(jìn)行查詢，后臺(tái)通過爬蟲技術(shù)獲取相應(yīng)的信息之后給出反饋。在使用該網(wǎng)站查詢信息時(shí)，會(huì)彈出一份授權(quán)協(xié)議讓被查詢?nèi)它c(diǎn)擊“確定”表示同意。
經(jīng)查，該公司通過簽訂合作協(xié)議等方式和3000余家上下游公司達(dá)成合作框架，用自行開發(fā)的爬蟲技術(shù)在互聯(lián)網(wǎng)上爬取身份證、社保、公積金、出行、社交、消費(fèi)能力、通信記錄、電商消費(fèi)記錄等各類公民個(gè)人信息共計(jì)308萬余條，通過有償提供查詢服務(wù)違法所得共計(jì)1750余萬元。經(jīng)上海市浦東新區(qū)檢察院提起公訴，法院以侵犯公民個(gè)人信息罪判處被告人劉某、黃某等8人有期徒刑三年，緩刑三年至有期徒刑一年，緩刑一年不等，各并處罰金3萬元至1萬元不等。該團(tuán)伙中的戴某等其余4人還在審理中。
北京朝陽：員工通過“暗網(wǎng)”出售客戶信息案
2020年，北京市公安局朝陽分局接某知名互聯(lián)網(wǎng)金融平臺(tái)工作人員報(bào)案稱：有人于2020年5月在“暗網(wǎng)”上發(fā)帖出售公司客戶個(gè)人信息，經(jīng)公司內(nèi)部排查，發(fā)現(xiàn)公司互聯(lián)網(wǎng)平臺(tái)存在數(shù)據(jù)被人非法獲取的情況。警方經(jīng)排查關(guān)聯(lián)賬號(hào)，鎖定犯罪嫌疑人陳某某、吳某某。經(jīng)進(jìn)一步查證，2020年4月至5月，陳某某、吳某某利用爬蟲程序抓取等方式非法獲取公民個(gè)人信息共計(jì)9萬余條，并在“暗網(wǎng)”上向他人出售。北京市公安局朝陽分局以陳某某、吳某某涉嫌侵犯公民個(gè)人信息罪向朝陽區(qū)檢察院移送審查起訴。