中共中央、国务院于2020年4月9日印发了《关于构建更加完善的要素市场化配置体制机制的意见》，这是中央关于要素市场化配置的第一份文件，明确提出了数据是与土地、劳动力、资本、技术具有同等地位的第五大生产要素。如今，数据的商业价值得到充分彰显，对数据的利用行为越发丰富，但其中亦包括违法违规的数据收集和利用。
近年来《网络安全法》《数据安全法》《个人信息保护法》相继出台，构成中国数字经济时代的三大法律支柱体系，首先从立法层面确立了对于数据、信息、隐私的保护及合理利用的基调。另从行政执法与司法的层面，网信办对各种违规收集利用个人信息行为的惩处力度逐渐加大，司法机关也对各类网络犯罪、数据犯罪案件打击力度日渐增强。在此背景下，中国企业对数据、公民隐私保护的意识迫切需要强化并落实到切实的行动中。
案例解析
主任
星来律师事务所
疫情之前，笔者代理了两宗具有较强代表性的网络数据犯罪案件，充分体现了司法机关打击网络数据犯罪与电子取证经验不足之间的矛盾，也反映出企业做数据合规需要关注的重点方面。
北京某房产中介公司员工利用爬虫程序侵犯公民个人信息案。经研究检材后笔者认为，涉案服务器日志提取过程不合法，有被修改的痕迹，且存在没有进行排重、统计口径不一致等问题，故做了证据不足的无罪辩护。后法院采纳了笔者的核心辩护意见，对勘验笔录和鉴定意见这两类定罪量刑的核心证据不予采信，最终以低于认罪认罚量刑建议的刑期判处刑罚。
南京某某影视公司以盗链方式非法获取计算机信息系统数据案。在案十余名当事人被指控通过盗链的方式非法获取未授权的视频资源，且陆续认罪认罚。开庭时笔者认为“既没有证据证明被告人是唯一的盗链主体，也没有证据量化盗链行为给被害人造成的损失”，以定案证据不足为由发表无罪辩护意见，后法院采纳了笔者的核心辩护意见，最终低于量刑建议对当事人判处缓刑。
虽然严格来说两个案件都存在定案证据不足的情况，但两案法官都不约而同地采取了自由心证的裁判方式，对当事人判处了刑罚，虽然低于检察院量刑建议。这说明，法官同样认为定案证据是不足的，但是仍然不能免罚；法官认为指控行为是存在的，只是相关数量或损失无法量化。
企业合规提示
从刑事辩护的逆向思维反思以上两宗网络数据犯罪案件，能够得到如下启发或提示：
企业数据合规意识落后，更缺乏违法性认识。窃取数据的企业需要建立数据合规体系。两宗案件不免显得“生不逢时”，如果案发于涉案企业合规改革期间，有望获得不起诉处理，免留案底。根据涉案企业合规改革的精神，不论是前案中的个人犯罪还是后案中的单位犯罪，只要企业不以违法犯罪为业，在犯罪主体认罪认罚的情况下，均可申请适用合规整改。
企业通过建立数据合规体系的方式防范再次出现类似犯罪行为，则司法机关可给予不起诉或其他类别的从宽处罚。在建立有效数据合规体系的过程中，刑辩律师亦有机会从辩护的经验逆向追溯企业相关犯罪如何形成，以及风险点在何处，从而完善细节上堵塞或疏导的方法。
企业数据保护需求超前于保护措施。虽然案例重在打击惩戒窃取数据的一方，但是从网络安全与数据保护的角度看，“被害”企业亦不应无所作为。
根据《网络安全法》相关规定，网络运营者有义务履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，包括采取防范计算机病毒和网络攻击、网络侵入等技术措施。换言之，企业理应采取技术措施以履行以上安全保护义务，倘若未适当履行，轻则面临行政处罚，重则承担刑事责任，如拒不履行信息网络安全管理义务罪。
合规不是万能的，合规不是防范解决风险的一劳永逸的方法。企业风险并非全部需要防范掉。企业风险策略可分为三类，即风险承担、风险中性、风险规避，其出发点和侧重点各有不同。比如，针对某一类信息安全风险，如果企业认为采取相应的安全措施成本太高，甚至超过可能造成的损害，那么可能选择接受该风险，该策略称为风险承担。如果企业采取安全措施的结果可使相关威胁不再发生、所造成的损害最小化，该策略称为风险中性。如果企业采取安全措施能够使相关威胁不再导致安全事件发生，起到根本上的预防效果，该策略称为风险规避。
编制《合规风险识别清单》以及《业务流程合规风险管控清单》是企业合规过程中的重要工作环节。企业应因事制宜，评估风险类型差异及安全措施的成本和效果，并采取相应的风险应对策略。
王珺是星来律师事务所主任。她的联系方式是电话+86 136 0109 6729以及电邮wangjun@xinglailaw.com
北京市东城区北新桥头条30号
邮编: 100007
电话: +86 10 6401 1566
电子信箱: wangjun@xinglailaw.com
www.xinglai.com
