范式变革：信息时代刑法体系的完善

　　第四章 范式变革：信息时代刑法体系的完善

　　计算机犯罪于 90 年代才开始逐渐出现，伴随着网络发展和计算机技术的进步，犯罪形式也在成长和进化，而现有的刑法保护体系在面对层出不穷的技术更新以及逐步显现的新生法益时，已然有力不从心之态。自 2000 年以后，最高人民法院、最高人民检察院出台了《关于办理侵犯知识产权若干刑事案件适用法律若干问题的意见》、《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》、《关于办理利用互联网、移动通讯终端、声讯台制作、复制、出版、贩卖、传播淫秽电子信息刑事案件适用法律若干问题的解释（二）》等司法解释，通过对刑法分则条文犯罪构成客观方面的扩大解释，扩大了刑法条文的打击半径，以回应现实的需要。

　　但是，这一切修补式的方案在信息时代全面到来的新一轮变革面前，又再次显现出刑法现有保护体系的不周全。也就是说，在调整围绕大数据而出现的一系列新问题时，基于工业时代的种种立法理念和社会现实而脱胎成型的现有刑法体系，总有内在逻辑上的不顺畅，价值上的错位，以及责任上的不明确。换言之，现有刑法的保护体系与信息时代对大数据的保护需要不兼容，技术上的范式转变也同样在刑法层面呼唤相应的范式变革。

　　有学者认为，信息法的出现及其日趋重要性表现在一些列的理论和社会学上的“前期迹象”，并且这些迹象可以使我们作出如下预测：信息法的实用意义将在未来获得其他法律领域中同样的重要性。

　　这在某种程度上给我们带来了一种未来导向的视角，适时地开始关注信息的日渐重要性，并进行刑法层面的前瞻性思考，以最大程度地切合技术发展带来的现实变化，保证刑法对社会生活的及时回应。

　　在信息时代，web1.0 的阶段已经过渡到 web2.0 阶段，而 web3.0 和语义网的概念也开始浮出水面。面对技术的更新换代，刑法关于计算机犯罪的规制也面临新的挑战。对于大数据来说，刑法保护的法益及其必要性，以及我国刑法可行的合理保护制度，都还只处于研究阶段。但是无论如何，最终要实现的是对于大数据的保护。如前所述，大数据的巨大潜在价值与重要广泛的应用，都使得对大数据的保护势在必行。最终保护的是大数据收据与处理的信息价值，而这种信息价值涉及到公民个人隐私、个人信息保护，涉及到商业公司的经济利益和竞争优势，涉及到政府的社会管理活动，更涉及到国家秘密和国家安全的重大问题。对大数据所引发的信息安全问题，还需要进一步构建刑法保护体系，实现传统刑法思维到信息时代刑法思维的转变。

　　一、信息安全的新增法益

　　“就非犯罪化而言，中国现行刑法规定的犯罪，虽然有个别可以废除，但主要的问题还不是非犯罪化，而是犯罪化”。

　　这在以网络信息技术飞速发展的当今时代仍然毫无疑问是正确的。中国在经济体制转型时期的“社会失范”状态到了面临信息时代冲击的现阶段，仍然还在继续。“失范行为很大程度上就是由于立法滞后引起的，从而导致理与法之间的冲突。”

　　同科学技术的突飞猛进相比，法律则总是内敛和克制的。但同时法律也必须与时俱进，对接现实。现实就是，大数据产生信息时代的新增法益，传统犯罪对象：个人信息、商业秘密、国家秘密和情报，都在全网络，以大数据为载体迅速地泛化、扩散化，融到低信息价值含量的海量元数据中。另一方面，云计算对运算资源能力的整合，使海量数据的处理成为可能，这一关键的实现到信息的转变的技术资源支撑，与海量元数据同样，都是重要的新增法益。

　　（一）对大数据的保护必要：传统犯罪对象的泛数据化

　　我国现有的刑法体系对数据和信息安全问题的规制范围非常狭窄，除了第六章危害计算机信息系统的几个罪名外外没有专门应对信息安全的刑法规范，这种基于系统思维的立法在前些年还是基本适用的，但随着互联网思维的颠覆现有的刑法条文已经在应付现实问题时捉襟见肘，计穷智短，如果随着社会现实和技术发展进行相应的调整、跟进、扩大，则势必会产生更多的漏洞和不足，无法包容新增法益。

　　有学者认为，刑事立法对于计算机信息安全的关注经历了四个阶段。总结过去对于信息数据的刑事立法历程，可以发现可以发现信息安全的关注点正在经历着“计算机信息系统”保护到“公民网络个人信息”保护再到“人与数据”保护的转变，即“信息系统防护——个人信息安全防护——大数据整体性防护”。从数据保护数据保护角度观察刑法罪名体系，也经历了由特殊数据保护，到计算机数据保护，再到公民个人信息保护，最后到建议对数据进行财产化保护四个阶段。

　　当然，对大数据所引发的一系列问题都还尚在“建议”的阶段，而现有的法律体系还不能及时对这种转变作出回应。

　　作为新时代的宝贵财富，海量的数据资源和巨大的运算能力给各个领域都带来了无法想象的信息价值。尤其对于政府社会管理和企业商业竞争，大数据都带来了前所未有的冲击与机遇。大数据的保护面临着刑法空白，更进一步分析，这是因为刑法对传统犯罪对象，如国家秘密、商业秘密、个人信息的数据化保护存在空白。已有刑法条文中的犯罪对象还停留在传统工业时代的狭隘对象上，但随着信息化的到来，大数据中与这些保护对象的交叠不可避免，而刑法尚未来得及对此作出回应。

　　随着网络的发展，越来越多的用户与云端紧密相连，从数据的存储到运算平台的共享，生活中的图片、视频、网络言论、网络浏览痕迹、邮件信息、位置信息等已经全部都汇入到大数据的资源池当中。“数据同个人、商业与国家信息的结合越来越紧密，这使得对于计算机犯罪的规制与利用计算机实施的传统犯罪的关联也越来越密切。”

　　大数据与对国家、企业和个人的犯罪确实密不可分。

　　毫无疑问，大数据是“未来的石油”，是“沉睡的矿石”。IBM、ORACLE、微软、谷歌、亚马逊、Facebook、Teradata、EMC、惠普等跨国巨头也因大数据技术的发展而更加具有竞争力。仅 2009 年一年，谷歌公司通过大数据业务对美国经济贡献540 亿美元；2005 年以来，IBM 投资 160 亿美元进行 30 多次与大数据相关的收购，使业绩稳定高速增长，2012 年，IBM 股价每股突破 200 美元大关，3 年内翻了 3 番。

　　但是，大数据的经济型、实用性却无法同保密性很好得结合。

　　大数据需要被纳入到刑法保护体系中来，因为这样海量的数据蕴含着无限的价值可能性，也必然隐含着巨大的危机。大数据的应用设计到生物、气象、城市建设、农业、医疗等各个方面，它已经不再是单纯的数据，而是与现实世界紧密相连的被量化了的“数字生活”，这种联系说明了对大数据的保护必要性，因为大数据的安全某种程度上就是现实生活的安全。

　　大数据是信息的基础。“大数据本身并不是一个静态的概念，它是非常动态的，以数据流为中心的一个系统”，且由于此系统的开放性，与静态的数据库和 285条的计算机信息系统也有较大的区别。它是集极度分散性与极度聚合性于一体的一个平台，分散性使得涵盖范围被铺得非常广阔，如果选择财产化的保护模式，则会影响到整个社会的信息获取权问题，更不用提开放数据的问题了。“大数据的核心就是挖掘出庞大数据库独有的价值。”“从不认为是数据、甚至不被认为和数据沾边的事务，从看上去没什么用处中的事物中提取出信息，并通过创新性的应用创造出这些信息独特的价值。”

　　这也是为什么从客体上来看，大数据中覆盖了国家秘密、商业秘密、个人信息等具有保护必要的信息、却单纯上无法通过这些原有的刑法保护对象的概念来形成足够严密的保护体系。因为大数据具有动态信息挖掘可能性，同时具有数量和范围上的无限性，这两点结合起来就使大数据整体上需要保护、却不同于传统的保护对象。大数据时代，传统的法益载体，国家秘密、商业秘密、个人隐私等通过数字化和数据化，实现了一种外在载体（散落的数据）与内在承载内容（需要保护的信息）之间一定程度的分离。这些原本范围还比较明晰，可以通过概念界定其外延的对象被大数据淡化和离散了，造成原有概念再无法准确涵盖，需要保护的信息内容被价值可能性隔离在庞大的数据海洋中，而刑法条文中有关的犯罪对象概念只能望洋兴叹。

　　（二）对信息系统技术资源的保护必要：价值实现的关键

　　云计算是与大数据非常联系紧密的一个概念，如本文第一章介绍的，离开计算处理，大数据就只能永远停留在“价值可能性”的襁褓状态，无法实现到信息的转变。云计算对运算资源能力的整合恰恰是最能大数据实现对接的“天作之合”。

　　与云计算就是硬件资源的虚拟化；大数据就是海量数据的高效处理。如图所示。

　　

　　在大数据被比喻为金矿的时代，“挖矿”也是意义重大的活动。以公安部门对套牌车的抓捕问题来说，在计算能力和视频识别能力都很有限的条件下，很难解决全国范围内的套牌车识别和统计的问题。全国范围的视频分析往往需要调集大量警力依靠人工巡查的方式从海量的视频资源中查找线索，耗时耗力并且极可能延误破案时机。但车辆还有人群、物品、场景等需要提取和分析需要巨大的计算资源。云计算让视频分析算法摆脱效率的压力，可以快速分析连续多帧图片来获取更多信息，定期对产生的所有视频进行及时的分析研判。

　　这充分表明了技术资源的价值，目前尚处在大数据的早期，思维和技能是最有价值的。这时大数据的公司中除了有基于数据本身的公司，还有基于技能的公司和基于思维的公司。例如，大型数据分析公司或者技术供应商，都是基于技能的公司。这表明在大数据时代，技术资源必须得到保护。

　　从具体的技术过程上看，云计算的工具主要是谷歌在2004 年公开的分布式并行计算技术MapReduce 及其之后的开源实现Hadoop。 MapReduce目前已经成为应用最广泛的大数据计算框架。

　　MapReduce将一个巨型任务分解为无数小任务，分派到不同服务器中，然后再把每一台服务器上的小任务合并起来。Brog工具则是实现云计算资源管理的另外一个重要工具。它把整个云端（可以跨几个数据中心）的服务器资源作为整体完整保存，然后根据用户的需求动态分配这些资源。这将意味着计算能力开始“智能”，而不用排队，是在一个整体的运算池中优化配置的。

　　用户购买的计算能力，将是无法固定的、流动的、及时分配的，而由整体分配的计算能力不再关注具体占用的终端机，而只要符合要求的5TB内存和500CPU计算力总量就可以了。传统的僵尸网络犯罪所涉及到的非法控制计算机信息系统罪面对这种技术资源将无能为力，而还没有其他的罪名可以保护此类技术资源，这要求现有刑法对信息实现由静态数据库式的信息系统到转变为动态的在线数据平台、数据中心的范围的保护。

　　除了从信息分析过程的角度看待技术资源外，技术资源本身也有独立的价值。从计算能力的价值、运算处理的价值、数据中心的广泛联通等方面看，云计算平台本身的安全也是重要的保护对象，具有技术保护必要。云计算的 IaaS 服务模式需要以云计算架构平台为攻击和破坏目标的技术犯罪也是大数据时代新滋生的一种犯罪行为。2014 年 3 月 5 日发布其首个 CYREN 安全年鉴全面回顾了过去一年互联网安全状况，年鉴表明，CYREN GlobalView 云数据库跟踪的恶意软件量在 2013年增加了 131%。

　　二、超越传统刑法的刑事立法思路

　　传统的刑法是工业社会的产物，无论是对于信息的认识，还是对于信息系统的认识，都是以传统的刑法为依托的。而大数据时代，信息安全面临的风险是另外意义上的信息风险社会的产物。也就是说，大数据时代的信息安全是有很大不同的。以元数据的价值可能为起点，以动态信息集成为特征，风险需要被重视，社会危害性有新表征。这都提出了不同的刑事思路变革要求。

　　（一）由物权到信息权：加强对财产犯罪相关上下游犯罪的打击

　　信息与控制论的现代理论认为，“信息就是信息，它既不是物质也不是能量。没有哪种不承认这一点的唯物主义能占得住脚。”控制论认为，信息是与物质和能量并列的第三种基本因素，但有时也用组织和秩序来描述信息客体。信息的独特性意味着传统的物权保护体系在信息时代有难以适应之处，虽然看上去可以将数据以电磁记录的方式实现物化，但仔细分析财产化思路存在内部逻辑上的不完善。

　　打击侵害信息行为的明智之举是围绕信息，加强对上下游犯罪的打击。

　　1.信息财产化保护的障碍

　　一般意义上的普通数据，如一个文件的电子版，是以电磁记录形式存在的，因此产生了数据财产化保护的主张。这对于仅仅是数字化的资料来说，自然是可行的，并且是非常合理的解决方案。但是，大数据的主体不特定性、海量数量、价值内涵不确定以及存储和使用方式的不同，都导致财产化思路用来解决大数据保护问题存在种种障碍。

　　（1）信息财产化保护思路的提出

　　惩治因为大数据滥用而造成的法益侵害行为，包括非法获取公民信息、侵犯商业秘密、非法获取国家秘密、危害国家安全等，有学者提出了对大数据进行财产化保护的思路。例如，有关公民个人信息刑法保护的博士论文中提出，“人格商品化”作为一个新的名词出现在理论学说中。因社会经济、科技等各领域的发展，特定人格权已然具有商业化特征，并附加了经济利益的内涵，应肯定其兼具财产权属性。

　　69也有学者指出，可以将我国刑法体系中的“财产”做扩大解释，使之能够包括大数据在内，充分体现大数据的价值属性，对大数据的非法获取行为可以作为侵犯财产罪进行处理，传统刑法体系的盗窃、诈骗、侵占等犯罪的法律条文便可以无障碍地适用。具体来说，可以对个别条文中的“财产”作扩张解释，或通过司法解释，同通过最高人民法院发布的典型案例，逐步形成统一的认识。

　　70也可以直接变更刑法第 94 条的规定，将“电磁记录”解释为财产的一种特殊形式，则该总则规定自然适用于刑法分则中相关的财产犯罪。大数据的财产化直接以扩大相关犯罪的犯罪对象的方式，以扩大“财产”的范围来对同个人、企业关系密切的大数据进行保护，有合理之处。主要的依据是大数据的财产价值，这种价值具有商业特征和财产属性；主要的方式是通过探寻大数据的本质，即电磁记录，再进一步将电磁记录解释为财产，实现大数据的财产化。

　　但是，财产是一种物的归属制度，如果将大数据进行财产化保护，是将大数据纳入到现有财产制度和物权体系中的办法，而这种思路仍然是基于传统刑法和传统法律制度，在处理“大数据--信息”这种复杂特殊的对象时是有障碍的。

　　（2）“电磁记录”不能准确全面描述大数据的性质

　　从对象的性质来说，数据本身的性质是一种电磁记录，而大数据与数据是不同的。大数据以数据流的形式产生、快速流动、迅速消失，且数据流量通常不是平稳的。这使得大数据不同于特定的、范围可控的、数量级有限的一般意义上作为电磁记录的数据。更重要的是，在大数据时代我们所讨论的安全问题的对象，是信息而非数据，信息与单纯的有隐私意义或者有经济价值的数据是不同的。信息资源的特征与物质能量等自然资源截然不同。信息的特征在于信息所表达的内容，而不在于记录和存储它的介质，如纸张、磁盘磁带等。即大数据的海量数据只是价值密度非常低的原始数据，本质上不可以仅仅以电磁记录来概括。如前所述，大数据是一个动态的、集合式的分析过程，大数据的数据源未经分析运算转化，或者说“挖掘”，就是无法应用的原始数字符号，其蕴含的价值便尚为一种可能性，不能称之为信息，只是信息可能性，这种潜能是大数据的价值所在，即在于其承载和蕴含的内容。信息是独立于物质和能量之外的独立概念，大数据是信息生成的初始和起点，直接采用建立在物化基础上的财产权来进行保护自然是有问题的。例如，有学者提到商业秘密的保密性要求“有明确载体,如图纸、技术资料、存储在电脑中的客户信息等”而这在大数据的问题上就明显过于狭隘。大数据的存储采用分布式结构化存储，在云计算运算读取时通过虚拟机环境读取内存而不是磁盘数据，这样的“载体明确”的要求就过于陈旧了，无法很好地揭示大数据是具有价值可能性，而不是自身就等同于信息价值的特性，也没有办法通过对载体的描述来涵盖信息。

　　另外，电磁记录的范围也不足以涵括大数据的全部。大数据不仅包括海量信息，更是指为了实现对大数据的实时运算和分析处理，例如GFS的模式，文件分布式存储后在运算阶段，以访问虚拟内存系统的方式来提高IO速率实现高速处理，而这样虚拟环境下的数据交换同样有被增加、修改、删除、非法获取的危险。云计算的后台分布式日志系统则出色地运用了确定性原理，通过时间戳来统一副本状态。通过确定日志中的时间点，执行相同的操作就一定会得到相同的结果和状态，支配过程的是处理进程指令，在这种过程中，电磁记录变得不再重要，因为最终的体现为电磁记录结果的数据，只是一个指令的必然结果，本身的意义体现在更早阶段的指令和运算过程中。电磁记录的描述是静态的、固定的、特定的，而大数据到信息的生成过程是动态的、分阶层的、流动性的，技术资源在信息生成过程中的作用与价值都不是大数据存储或者信息存储这种两端的孤立的点的状态所能囊括的。在电磁记录的财产性质尚争论不清，无法确定其法律性质的情况下，要继续扩大电磁记录以至于使将虚拟内存存储的数据记录也包括在内，显然是将是充满重重障碍的选择。

　　（3）财产归属不容易明确

　　财产是指可支配的物。大数据作为一种比较特殊的客体，同内含信息价值，以及实现信息价值的转化过程，都是密不可分一个完整整体。在这个过程中有多方参与：大数据的生成者、大数据的持有者、运算平台服务提供者、信息使用者。

　　相比之下，我认为，整个的大数据和大数据到信息转化过程的财产归属问题才更加扑朔迷离，民事责任纷繁复杂，行政法规掺杂其中，实在不能认为这是将问题简单化的思路。聚合性则使得分散的数据汇集成巨大的信息池，分布的计算能力汇聚成巨大的资源池，个人和企业的信息都融入在这些集合中，分散则不具有这种聚合而产生的价值惊变，而聚合又不完全消除其归属性，个人信息和公司信息与其主体的联系依然存在，所以对数据的不当收集、使用都可能会造成对相应主体的权利侵害，甚至是严重的法益侵害。这样在思考对大数据的保护时，会面临权利界定和权利归属的难题。这已经不完全是对客体性质的探讨了，大数据本身的复杂性就使得这种财产模式有难以明确的弊端。因为对数据性质的讨论往往基于单独的磁盘或硬盘等有体物来展开，其价值容易直观地寻到归属，而大数据是一个动态且整体的过程，单独的数据和运算能力都不代表价值，仅仅是分析和获取信息的可能性，而信息价值的实现是数据的利用过程，这种过程是一个可重复的、可变的、不确定的、多方参与的过程。“随着大数据的出现，数据的总和比部分更有价值。

　　当我们将多个数据集的总和重组在一起时，重组总和本身的价值也比单个总和更大。”因此对于单独的确定的个人信息、电磁记录的保护方式仍然是传统的，对于大数据的聚合性难以进行有效的规制，传统的物权制度与大数据带来的信息权的新问题无法实现无缝对接。

　　（4）财产化保护会引起整体法律制度内部的不协调

　　大数据的财产化保护有保护过度的嫌疑，与法律体系无法衔接，有违刑法谦抑原则。信息是介于数据与知识之间的中间状态，而现有的侵犯财产权利的罪名都不是针对信息的保护规定。大数据是信息的前身，以一种价值可能性的状态存在，显然我们无法通过把这一切都通过财产化和私有化的方式来保护，这是无法操作的。“知识产权刑事法律保护范围的确定,既要采取保护主义的立场,又要考虑自由主义的要求；既要承认“知识产权为私权”，又要承认产权制度的公共利益目的,包括发展目的与技术目的。”

　　海量的大数据，以及被结构化的数据，都提供了多维分析的极好条件，如果合理利用自然能对社会进步作出贡献。而不考虑这种开放性的公共利益，试图将其纳入到传统私有财产的封闭体系中去，最终会使得信息时代的进步由于财产的绑缚而裹足不前，巨大的数据量和强大的数据运算能力无用武之地，至少说，不能充分发挥信息时代的技术潜力来造福社会，推动经济发展。

　　刑法的补充性原则决定了刑法是在法律体系中是最后保护手段，这样从另一个方面表明了刑法的被动性。其他更为积极的权利界定、权利划分、轻微的与私人间的矛盾纠纷都不能导致刑罚权的发动。刑法是社会自我防御的最后也是最严厉的手段，因而刑法的条文设置以及条文背后所体现的禁止性规范都应当慎之又慎。产权的界定是权利义务的界定，是制度的设立。这种积极的、主动的、创设权利的规范不应当通过刑法条文或者对刑法条文的解释而做出。制度设立便相应地就会带来经济意义。信息这种特殊客体涉及到的法律归属问题绝不是电磁记录保护这样简单，它涉及到一种全新意义上的有价客体的产权制度的形成，也涉及到信息作为一种巨大价值的存在，在整个社会之间如何分配这种价值的复杂问题。

　　而这样的体系性问题，是需要从宪法、民法、知识产权法、竞争法等多个法律部门的整体协调来思考的，刑法体系的扩大解释可能便一时之用，但很可能会导致整个法律体系间难以消除的矛盾，也会在思考信息的法律制度时造成一定的误导。

　　更意味着刑法通过条文解释创设了未经其他法律部门协调的新的产权规范，这是比较不可取的。因此刑法在保护大数据的信息价值时，对扩张财产概念的思路有可能会引发整个法律体系对物作为对象的重新审视，这使得刑法作为社会防御手段来说有过于主动之嫌。刑法作为补充手段的理念必须时刻被挂念，盖此乃刑法的重要理念，也是必要的自我克制。

　　综上所述，原始的大数据因为其低价值性和信息价值的不确定性，采取财产化保护有保护过度的嫌疑；对大数据动态的整体性的利用过程实现了大数据的信息价值，但是对信息价值与原始大数据等多层次过程的财产权的归属问题比较混乱。因此对大数据的保护不应采取财产化思路。

　　2.打击以信息为中心的非法产业链

　　所谓“天下熙熙，皆为利来；天下攘攘，皆为利往”。在商品经济时代，逐利是人们行为的根本目标。在对信息犯罪的情况下也是如此，利用大数据和信息非法获取利益是大数据被滥用最大的动机。大数据最有价值的部分就是它自身，数据才是大数据价值链最核心的部分，有了数据，通过重复利用、创新重组、数据废气的去噪利用、可扩展数据挖掘等等，就能从大数据中发掘出无限的潜在用途。所谓的大数据思维就是指一种意识，“认为公开的数据一旦处理得当就能为千百万人急需解决的问题提供答案。”

　　数据的价值就是其选择的总和。因此围绕着大数据，形成一个价值产业链。在合法产业链背后，也必定存在围绕大数据的非法交易。本章上一部分分析的对数据的非法获取和非法利用，在商业领域多是为利益驱动。

　　（1）大数据产业链的形成

　　大数据成为许多公司的核心竞争力，大数据改变了许多公司的商业模式。在大数据产业链中，出现了全新的“数据中间商”。例如四大订票系统之一的ITASoftware就将数据提供给预测机票价格的Farecast；苹果签订合约要求活动运营商的数据来完善自己的用户体现系统。大数据进入市场后出现了专业的数据中间人，如典型的独立大数据中间商Inrix汇集了来自很多汽车制造商的数据，Hitwise与互联网服务商合作，低价购买数据授权使用而获得回报，Quantast在通过帮助网页记录浏览历史的过程中开发了自己的线上系统，记录用户数据以更有针对性地发送自己的广告。

　　这样一个利益客观的产业链同样存在风险。Rescator就是专门出售被盗的信用卡和借记卡信息的网站，一直从事网上销售被盗信用卡数据的活动，包括Target被盗数据，以及Neiman Marcus、Sally Beauty Supply等许多公司被盗走的数据。

　　据报道，在Target信用卡信息被盗事件中，多达282000张卡的信息可能被盗，罪犯可以用偷来的数据伪造信用卡。真正的受害者是消费者——持卡人，而他们往往在公司数据丢失后几个月才发现自己的ID被盗，还可能遭到相关诈骗。

　　另外，云计算模式会增强存在有恶意企图的内部人员带来的风险，内部人员甚至很容易得到了整个云平台的控制权，进而参与到大数据产业链当中去谋取非法利益，同时造成大数据的种种安全隐忧。

　　另外，海量数据本身也是吸引犯罪分子实施非法行为的对象。传统的公民个人信息非法产业链主要都是特定的机构在履行职责或提供服务中获取到的公民信息，例如金融、电信、交通、教育、医疗等。这样的个人信息不仅在范围上有限，只是那些特殊行业的单位为了提供特定服务或完成特定职责而围绕相关事务所获得的信息；在数量上也因为要一个实体上的过程而或多或少地会受到限制。但是互联网和移动互联网、物联网等大数据的现实来源大大拓宽了个人信息数据的渠道，导致越来越多的数据泄露是在用户毫无知觉的情况下发生的。在今年的新闻中，就报道了“扫二维码”导致手机中毒、进而个人关键信息全部被窃取、进而被存储、处理、转卖的现实问题。“一些不法分子通过非法窃取海量个人信息，打包出售给信息中介企业和个人，转手再贩卖给企业或网络犯罪团体等，挖掘被人们忽略的信息成为了他们获取高额利益的利器。”

　　这样的窃取模式“创新”将推动从以获取非法利益为目的的大数据盗窃、转售、进而用于其他非法活动的犯罪过程，让整个犯罪活动变得更大范围、更难以控制和更隐蔽方便。大数据时代，非法数据产业链的现实危害性也大大增强。

　　（2）规范下游的非法数据交易行为

　　对大数据非法获取行为本身的打击有诸多理论上和实践上的困难，但是对于整个产业链的规制实际上是从后续的下游犯罪制裁上间接地打击对大数据的犯罪。完善相关立法同样可以收到保护大数据的效果，并且可以有效地避开一系列的理论争议。

　　我国在处理计算机犯罪的问题上，这种通过规范非法下游交易进而实现对信息系统的保护思路有例可循。2011年《计算机信息系统安全》的司法解释第7条，就是通过将非法获取计算机信息系统数据、非法控制计算机信息系统犯罪的下游销售行为，以刑法312条掩饰、隐瞒犯罪所得罪加以处罚，从而完善了对整个非法产业链的刑法制裁体系。

　　我国对于利用计算机实施的传统犯罪没有修改刑法相关条文，刑法第 287 条是关于利用计算机实施犯罪的提示性规定，即，利用计算机实施的金融诈骗、盗窃、窃取国家秘密或者其他传统犯罪，不按照计算机犯罪处理，而是将计算机作为实施犯罪的手段，依照实际的行为特征和法益侵害依照刑法的有关规定定罪处罚。这样对经济领域的计算机犯罪针对性不强，也导致这一阶段的网络犯罪在司法解释上有零散和不完全的弊病。

　　另外，服务商内部的安全威胁也开始凸显。“在云计算模式下，人们通过网络读取云端数据，包括“内部网络”和“外部网络”。现在，网络边界的概念内涵都在发生变化。企业需要接纳全新的网络边界概念 —— 跨传统网络边界的数据边界。”

　　这要求从更早的阶段就开始介入到大数据的保护中，从加强数据内部风险控制的阶段起进行必要的关切，将网络的概念具体到内部网络阶段，进行特殊范围和意义的网络数据安全风险规范。

　　（二）由系统到网络：重视大数据到信息的动态生成过程

　　网络产生的大数据的动态性使现有刑法对于信息系统的保护显得狭隘而滞后，信息集成的过程中法益便有受到侵害的威胁，而且整体的数据全网安全与数据滥用风险都远远超出了现有的系统保护范围。因此，信息时代，应当针对现实的风险，从法益保护的必要性出发，提前判断法益侵害的阶段，且加强对大范围数据使用的风险控制，以此作为变革思路。

　　1.静态系统安全到平台化信息分析的保护扩张

　　系统的局限性使得现有的针对信息系统的保护方式会忽略之前的信息集成过程，而这个过程中，大数据的价值开始显现，大数据可能造成的法益侵害也开始产生。整体的平台化信息分析将刑法需要保护的法益受到侵害危险的时间点，从终端的静态系统向前面的动态分析推移。则刑法也应当注意到这种提前，并予以回应。

　　（1）对信息集成过程提前化保护的必要性

　　现有的对计算机信息系统的计算能力和技术资源的保护是静态的、非在线的。

　　静态信息系统保护模式如果想进一步完善，则应当提前到保护大数据的动态存储和处理过程。大数据是动态的体系，很难想象如果云计算服务提供的根据算法得出的用户推荐信息是陈旧的，对于用户的购买体验和对于商家的营销精确度会打多少折扣，同样也很难想象位置数据的分析如果距提供相应的位置信息服务隔上一天，用户是否会选择应用此软件，商家还能从中获取什么利益。这种动态可能导致的一个问题是传统的软盘、磁盘、硬盘的数据存储会变成内存存储，以提高IO 读写速率，保证及时性，而存储处理会通过虚拟机环境和分布式计算动态分配运算能力，而这都与传统信息系统的静态磁盘、硬盘存储，非流动数据，和非在线运算有很大区别。

　　从数据到决策，这个过程正是信息集成的过程，即利用技术资源对大数据进行信息分析和信息集成的动态过程。大数据最终分析和应用的实现是以整个平台化数据处理过程为基础的。《大数据：一次将改变我们生活、工作和思考方式的大变革》一书的作者肯尼斯 丘基尔认为“大数据的价值在于存储后的再使用。”

　　对于海量元数据的分析过程至关重要，掌握了数据后，通过信息集成平台可以自由组合、交叉分析，充分挖掘数据背后的各种隐藏价值和信息资源，使元数据未能直接显现的丰富隐私信息、商业秘密、以及重要的国家秘密和情报都被暴露无遗。剑桥大学的一名心理学家表示，只要通过社交网站上的一段发言，就能判断一个人的性取向。

　　思科作为传统的网络通信产品供应商占据着全球 60%以上的网络设备份额，承载着中国政府、公安、海关、电信运营网等敏感部门的网络，对网络拓扑结构了如指掌。对这些元数据的分析，就足以对个人隐私、国家秘密和情报产生严重的现实侵害。

　　与传统的信息系统不同，对信息系统的保护只要对侵犯孤立的系统的行为进行惩治就可以保证信息系统的安全；而以网络平台和分布式运算为技术支持的大数据到信息的集成过程是一个流动性的线性状态而非凝固态，是一个交错的网状联通结构而非孤立的单独模块。从信息结果出发进行保护显然是迟缓的，必须将保护的关注点提前到整个动态集成过程上。

　　（2）对法益侵害危险判断时间点的提前

　　刑法的目的和任务是保护法益，作为以最严厉手段进行制裁的禁止性规范，刑法规范的处罚依据是非法行为对法益的侵害或危险。“危险犯——侵害犯”是以法益侵害为来区别的一对概念，描述的是具有刑事可罚性的行为对于法益的危险程度，是对于行为性质的描述。“所谓法益侵害，是一定行为的实施或者一定的结果发生时在原来的法益状态上所产生的变化，只要不根据与法益相同的价值性考察，就不能加以认识。”“法益侵害是指符合构成要件的行为与对刑罚法规所保护的价值予以尊重的要求之间的关系。”

　　这种以法益为基础的衡量是一种价值衡量，对于行为危险性质与法益状态之间的联系进行判断，从而为设定具有可罚性的行为提供依据。这种处罚依据或者是基于行为对法益造成了现实侵害，或者基于行为对法益造成了侵害的危险。

　　一般认为，我国刑法典中规定的计算机犯罪侵犯的同类客体是公共秩序，其所侵犯的直接客体是计算机信息系统的安全。非法侵入计算机信息系统罪是将侵犯国家事务秘密、国防秘密和尖端科学技术秘密犯罪的预备行为提升为具体犯罪构成中的实行行为。而这种非法侵入是一种威胁型计算机犯罪。

　　这种威胁型计算机犯罪就是对于计算机信息系统安全的提前关注，以防范高技术犯罪对法益侵害的广泛性和不可控性，是对于现实法益侵害提前到法益侵害危险阶段的刑法关切。

　　但是现有的对计算机信息系统的计算能力和技术资源的保护是静态的、非在线的。静态信息系统保护模式如果想进一步完善，则应当提前到保护大数据的动态存储和处理过程。传统的刑法打击计算机技术犯罪是维护计算机信息系统安全，保护信息系统内部的重要和关键信息、秘密与情报；大数据时代则是不再关注信息系统，而更直接地针对个人信息、商业秘密，国家秘密与情报进行保护。信息系统由于孤立、封闭、静态、狭窄等种种原因，已经不像过去那样，信息系统就等同于信息安全法益；大数据时代的信息安全是元数据到信息的动态分析系统化过程，因而保护的法益也是通过这个过程最终产生的。所以信息集成处理过程同样是一个对信息安全侵害的前行为过程，对信息集成过程的犯罪也是一种对信息安全的威胁型犯罪。也就是说，对法益侵害危险的判断时间必须提前到信息集成过程上来。

　　可以认为这种方式是在现有的对信息系统的保护体系上的扩张，扩张的基础在于对信息安全的法益保护需要。先前的保护体系只着眼于静态的信息系统，虽然在刑法修正案（七）中，将原来比较狭窄的国家安全、国防事务、尖端科学技术领域的计算机信息系统安全性、完整性和可靠性的保护范围扩大到一般普通的计算机信息系统，并包括存储、处理、传输的数据安全，但是这种静态的思维模式在面对信息时代大数据的动态性和价值不确定性时，还是显得落后。因此在大数据时代，需要通过思路转变，切合现实形成的新的信息安全风险来，提前法益侵害危险的关切阶段。

　　2.孤立数据库安全到网络大数据安全和数据滥用的风险防范

　　互联网的平台思维以开放、共享、共赢为核心，平台模式的精髓就在于打造一个多主体的生态圈，利用平台实现共利。从横向上来说，竞争逐渐演化为平台圈的竞争，从纵向上来说，跨界打破了各个行业之间的边界，闭环开始显现出优势。简而言之，互联网思维是资源的整合和重组。

　　互联网思维与系统思维的根本性区别在于资源范围的不同。对计算机技术犯罪尚停留在对信息系统进行保护的阶段是落后的，因为孤立的系统所承载的资源是有限的，而互联网技术的发展带来的资源整合能力将导致动态性和在线性的增强，对静态系统的保护不足以保护网络平台上资源整合和信息集成的过程。这呼唤对平台化处理阶段的提前保护。

　　（1）对数据风险控制的必要性

　　大数据信息的集中使得对黑客攻击目标更加集中，攻击成本更低，而这些数据一旦被违规窃取，将直接涉及到千万级的用户，并且这些数据很可能与用户的关联性极强，导致严重的社会后果。大量客户资源、财务数据、关键业务记录等重要的私密数据被集中存储和相互传输，各种导致数据丢失、泄露和修改、锁死、删除等事故的风险增加，信息交换过程中如果未加密或加密程度不够，也容易发生数据被篡改或被窃取的事故。2014年3月22日下午18:18分，乌云漏洞平台发布消息称，携程系统存技术漏洞，可导致用户个人信息、银行卡信息等泄露。据乌云平台称，携程将用于处理用户支付的服务接口开启了调试功能，使部分向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器。乌云方面的报告称，漏洞泄露的信息包括用户的姓名、身份证号码、银行卡类别、银行卡卡号、银行卡CVV码(即卡号、有效期和服务约束代码生成的3位或4位数字)以及银行卡6位Bin(用于支付的6位数字)，上述信息有可能被黑客所读取。

　　另外回顾2009年谷歌文档云服务个人文档外泄事件、2012年Gmail故障事件等等一系列严重的安全事件，我们就会对大数据安全的脆弱感到担忧和恐惧。在一切都由数据记录的信息时代，一旦网络范围的数据存储和传输面临如此严重的风险，则毫无任何安全感可言。谷歌的街景与GPS数据采集技术甚至连无线网络名称都包含在内，每时每刻都能积累大量的离散数据流，这些数据在网络中的存储和传输安全将是同每个人、同整个社会密切相关的重要安全。因此大数据时代必须重视对网络范围内数据存储和传输安全的防范，确保一个可靠、完整的信息秩序。违反信息秩序的行为是对重要法益有现实危险的行为，刑法必须对这样的行为作出回应。

　　另外一个方面，大数据的价值属性也让掌握数据的使用方和云计算服务提供商能够接触大量的数据，这些数据与用户是分离的，完全处于企业的控制下。在这个过程中存在数据滥用的危险。全国人大代表、天津市经济和信息化委员会主任李朝兴表示，大数据时代的信息安全存在巨大的隐患，数据一旦泄露，稍加分析和加工就变成了有用的信息，对个人而言是隐私，而对企业乃至国家机关而言则有可能是机密。

　　社交网络平台直接触摸到了我们的关系，对我们的情绪、经历、朋友圈了如指掌，脸书的“社交图谱”从横向上描绘了我们的生活，人人网、豆瓣FM的“时间轴”、Linkedin对经历的数据化处理则是从纵向上对我们的过往进行了整理和记录。前文提到的“万维信息触角”在美国被用于反恐活动，通过在集成统一的数据库中应用数据挖掘技术，从数据中挖掘出信息资源，即“交易空间”，也就是从旅游、交通、出入境、通讯、医疗等各种信息空间的“数据脚印”中，发现和追踪计划和执行恐怖活动的恐怖分子。《基督科学箴言报》报道了卡内基梅隆大学数据隐私专家的观点。即“即使没有姓名、没有社会安全号，只要通过性别、生日和邮编3个数据项，数据挖掘的技术就能成功地辨识全美87&的人口。”2007年该计划因隐私原因再次叫停。

　　由于大数据的一点事实是，数据产生者即用户与和自己相关的各种数据是分离的，数据都掌握在数据使用者即公司，或者公司授权的第三方，以及计算服务平台的提供者那里，数据的使用就成了一个极具危险的过程。虽然用户提供数据是基于享用了对等服务，也同意了服务商对自己数据的占用和使用，但是使用过程可能会严重偏离最初的授权目的。因为大数据的挖掘使用会产生“1+1>2”的后果，即信息的加总和总和会形成非常严密的“数据监控”，“Big Data is Big Brother!”

　　因此，在数据的使用过程中，必须严格防范数据滥用的风险，这需要刑法对产生法益威胁的风险进行规制，对具有法益侵害危险的行为进行惩处。

　　（2）以权限控制为规制思路

　　对数据安全的两方面问题，可以概括为“谁有权接触数据”和“对数据使用有何种权利”两个核心问题。在网络时代，大数据的范围再不是孤立的系统，所以从犯罪对象上来规制危害信息安全的行为已经不大现实。因为无法将信息网络作为犯罪对象规定侵害网络的行为，那样会非常容易导致犯罪对象宽泛无边，侵害行为无法明确罗列，最终成为空洞而苍白的罪名。在有学者已经指出“侵害计算机信息系统罪”已事实上沦为新的“口袋罪”后，显然将数据的范围从“信息系统”扩大到“信息网络”不可避免地会成为更宽泛的“口袋罪”。此外，大数据是整体性的概念，无论是对大数据安全的威胁还是对于大数据的滥用，都很难抓住一个清楚明确的对象来规制相应的非法行为。因此更好的思路是从“权限”入手，不再纠缠于“大数据”和“网络”这些混沌、模糊的集合概念。

　　突破授权的思路以避开网络的宽泛范围，直接从非法行为的实施模式入手，惩治对技术资源滥用和破坏的行为。例如，针对大数据的存储、传输安全，有的技术文章提出，可以定义为用户访问控制。“大数据的跨平台传输应用在一定程度上会带来内在风险，可以根据大数据的密级程度和用户需求的不同，将大数据和用户设定不同的权限等级，并严格控制访问权限。而且，通过单点登录的统一身份认证与权限控制技术，对用户访问进行严格的控制有业内人士也认为：“托管虚拟机集装箱的操作系统和网络基础设施方面是安全的，重要的是对于装载用户服务器的集装箱则需要制定控制访问的对策。”

　　控制对技术资源的使用权限，突破权限而威胁到技术资源安全的行为即视为对网络信息安全的危害行为。刑法可以就突破这种安全控制的非法行为模式，惩治对大数据的危害行为。

　　我国现有刑法对计算机犯罪就有权限控制思路的体现。第 285 条非法侵入计算机信息系统罪，对“非法侵入”的行为客观方面的判断，就是以突破访问权限为标准的。计算机信息系统已经分配给了用户不同的访问权限，并通过控制机制确保实现系统安全，因此未获得权限或者越权的用户不经过此种控制机制而进入计算机信息系统的行为方式本身就是对计算机信息系统安全的危害。具体来说有两种方式，一是无权访问的非法用户侵入信息系统，二是越权访问的合法用户擅自进入系统内部或调取资源。

　　这种规范方式以是否获得授权和是否处于信息系统的安全机制控制之下来判断行为的危害性，未经授权且故意突破安全控制，就是对信息系统安全性的危害。亦即，对系统的危害是以行为方式来体现的。

　　对于大数据的安全问题，建立明确的权限界限仍然是建立正常信息秩序的必要内容，而同样对于违反已有数据权限的行为，其本身就表征了对信息秩序的侵害和危险。即对于大数据的安全威胁与数据滥用风险，都能够以违反现有大数据的收集、存储、使用、运算、分析、处理等权限直接表现出来。进一步沿着“无授权”、“非法侵入”的行为特征来规范大数据时代的信息安全，确立更加动态、广泛的信息秩序，补充刑法里现有的信息系统安全秩序，以实现对信息时代的新特征法益的刑法保护，是合理且必要的。

　　从财产权思路到权限控制思路的进阶，是基于信息社会的风险特征而必要的路径选择。与传统风险不同，风险社会的混乱无序使风险潜藏于这早已具体存在的混乱无序状态之日益显现的过程中；相同的，义务也经历了一个逻辑转化的过程——直线型的权利义务单一对应关系被弥散化的权利和弥散化的义务取代。义务并非简单对于权利主体的回应，而是以一种“波动、模糊和不确定的方式”来防御一种高度不确定的风险。

　　这表明，在信息时代，对于大数据问题寻找专一的权利以实现刑法保护是不现实的，而同样对于违规行为的惩治，也没有对应于权利的具体、明确、清晰的义务。对大数据的安全，需要以一种更为模糊而广泛的权限控制取代单点式的义务规定思路。

　　（三）由碎片到体系：以信息为中心重构刑法保护体系

　　毫无置疑的一点是，信息技术的发展确实给我们的生活带来了极大的便利。

　　基于大数据分析的个性推送、云存储的移动性与便捷性、“软件即服务”模式下软件的强大在线功能、物联网带来的生活智能化、智慧城市管理模式创新给社会带来的精确和便利……但同时，这些正当的数据存储与使用秩序一旦被打破，后果也将是灾难性的。而一切的关键都在于对正当信息秩序的维护。缺乏正当的信息秩序，数据自身的安全和数据使用的安全将导致极大的社会危害。因此，必须对数据的收集、存储、使用、传输、分析等建立严格和明确的行为规范，对违反规范的非法行为进行惩处。

　　现有刑法体系对于信息为中心的秩序、社会危害性、犯罪构成要件等理论问题相对空白，而一少部分与信息法益保护相关的规范要么过于陈旧、要么范围狭窄，而且并不是围绕信息保护展开的，而是贴靠与之相近的罪名，散落在刑法各个章节。总之，对于信息的刑法保护体系是零落的、不完整的，甚至不能称之为体系，只是一些碎片。在大数据时代信息安全的重要性日益凸显，加强对信息为中心的刑法理论研究就显得格外重要。

　　1.信息秩序法益初探

　　秩序法益是介于国家法益和个人法益之间的，秩序法益不体现为利益的直接侵害，但是对社会秩序的侵害会动摇国家稳定的社会基础，对社会秩序的破坏虽然不能直接指向个人权利的侵害，但是对整体的更抽象一层的超然的个人权利的集合体的侵害，是一种间接的侵害。在信息时代，信息秩序至关重要，从风险现实增强的事实出发，有必要确立信息法益。

　　（1）秩序作为传统法益

　　社会法益是随着政治国家与市民社会的二元分立而形成的，刑法的保障机能要求刑法维护对国家稳定和公民权利具有重要意义的社会秩序。“人权保障与社会保护都应当协调，从而在更大程度上实现刑法机能。”

　　这是刑法目的二元论，表现在立法上，就是要合理划分个人自由和社会秩序之间的界限。只对严重侵害社会的行为才在立法上将其作为犯罪行为规定为犯罪，设立刑罚。而究竟什么样的行为才是严重侵害社会秩序的行为，可以发动刑罚权以实现正义，我国刑法理论以社会危害性为判断标准，具有社会危害性的违反秩序行为是具有刑事可罚性的。

　　秩序法益是德日刑法体系中的核心概念，用来描述实质的犯罪概念。实质的犯罪概念由耶林，认为犯罪是由立法者确定的，由刑罚防御的，给社会生活造成危险的行为。也即社会损害论。

　　社会秩序强调社会组织体的结构、组织、关系以及社会整体的稳定性、规范性，对于社会至关重要的秩序是刑法所保护的法益。“违反秩序的行为也侵害法益，因为它给个人带来了损害，或者对公共福利是有害的。”“刑法的目的是通过保护法益来维持社会秩序。”

　　由此可见，刑法作为社会的自我防御措施，以保护社会正当的且重要的秩序为其目的和机能的一部分，刑法惩治违反社会秩序的“恶”符合共同体对刑法的期待，符合刑事正义理念。

　　我国传统刑法中对此类侵犯社会法益的犯罪用第六章单独加以规定，体现了刑法对社会共同体安全秩序的重视与保护。计算机犯罪也规定在妨害社会管理秩序罪中，则表明我国刑法将计算机安全作为一种社会秩序法益看待，侵害正常的计算机系统管理秩序的行为是具有严重社会危害性的。

　　（2）信息风险社会的出现

　　信息技术的变革使社会发生了颠覆性的变化，一个互动化、即时性、全媒体等成为常态性的信息生态环境已经逐步形成。有学者总结了科学研究的四种范式(science paradigm) ， 即 empirical, theoretical, computational, 和 dataexploration,并指出“第4种范式的实质就是从以计算为中心转变到以数据处理为中心，也就是我们所说的数据思维”。

　　相应的，正如前面所提到的种种变化，大数据带来了全新的信息秩序，这种流动的充满不确定的信息体系充分反映了后工业时代的风险社会特征。造成这些变革的信息技术属于整体技术的一部分，因而也就具有了20、21世纪中一般技术风险的特征……尤其是20世纪80年代以来，这些变革是在“风险社会”这个术语下讨论的。

　　我们完全可以认为，大数据极好地诠释了风险的无处不在。围绕着大数据这一对象，从大数据的获取，到大数据的挖掘，到大数据的运算处理和应用，都有权限的问题，比如，用户在亚马逊的网站所形成的浏览痕迹和购买记录，中国移动公司的电信服务用户所产生的短信业务、上网业务等的流量、内容数据，地图和生活推荐类应用软件所掌握的登录位置信息等，这些信息都不直接公开，但也不直接识别到公民个人，不过毫无疑问此类信息的泄露将导致公民隐私和个人信息受侵害的重大危险因此并不是所有的主体都可以无限制地接触到这些信息，而有权主体在挖掘和应用这些信息的过程中也不可以无限制地二次利用，或者将分析结果无限制地予以披露和公开。这样的秩序被违反，后果的可怕性是可想而知的：个人隐私侵害、商业利益侵害、甚至导致对国家安全的威胁，因此对正常的信息获取和分析过程是一个需要被规范的过程。

　　对风险刑法的讨论是由社会学者贝克1986年关于“风险社会”的着作引起的，涉及的问题是刑法在什么样的范围内需要以全部手段来克服现代生活的风险。我国学者也对此从中国刑法的角度进行的探讨，一般认为从危害结果和归责原则两方面需要调整传统刑法体系以应对风险社会的一系列挑战。“安全刑法在规范上体现为立法者将刑法的防卫线向前推置，从犯罪类型上来说，安全刑法的重心应当以危险犯为主。”

　　结果本位是我国传统刑法立法的显着特点之一。我国刑法立法存在明显偏重实害结果的倾向。“如果我国刑法立法仍然固守传统的结果本位立场，片面强调对犯罪的事后惩罚，而忽视对犯罪的事先预防，则势必不利于对社会公共安全的保护。”

　　对信息安全的维护便是对信息风险的规制，是对破坏正常信息秩序造成社会危害可能的风险防范。信息安全风险是风险社会的一个突出表现方面。

　　（3）信息秩序法益的形成

　　对于大数据为代表的信息时代的社会变革，增生了新的法益，带来了新的风险，也改变了原有的信息秩序。对于面临的更大风险，人们大声呼吁改进犯罪预防、加强国家制度和法律机制。甚至在刑法领域，人们开始强调更多的仍然是预防性规制与干预，而不是镇压性控制。

　　数据的集中存储增加了数据泄露风险，而要确保这些数据不被滥用，也成为维护公共安全的一部分，这种随着技术发展而新增的法益也可以视为是信息社会所特有的法益。对大数据的保护可以通过确立秩序的方式。对于大数据的获取、挖掘和应用，都有一定的界限限制，而不是可以在网络空间凭借技术为所欲为。没有合法依据和权限，违反了相关的规定，就是对大数据正常使用的侵害，是对正常的信息生产过程的威胁。具体来说，就是因为大数据的收集、存储和运算、应用而产生的信息秩序，因为信息的产生是由海量数据为基础而通过分析处理技术平台而实现的，故而这一整体信息由可能性变为现实性的过程中，都会产生对正常信息获取过程的安全需要。维护这样的正常信息安全是保证社会经济发展所必须的，这是在大数据时代与以往计算机系统安全秩序所不同的重要信息秩序。

　　大数据是信息价值的起点，技术处理过程是信息价值实现的过程。但是在风险社会的背景下，如果仅保护信息，那么社会的信息安全秩序仍然是没有保障的。

　　如果对信息泄露的结果保护而忽略整个信息生成过程，那么很有可能大数据的非法交易无法被保护，而这种危险如前分析，是切实存在的。技术资源价值的保护同理。另外一点在于，着眼于结果状态的信息，但是行为人的责任就会无法明确。“自由是吊诡的。自由如果是毫无限制的话，自由终会毁掉自身。”信息秩序必须从起点就确立起来，满足什么条件的服务商可以收集散落的用户数据，在数据的分析、计算和利用过程中不得滥用数据，未得到此种授权的其他人不得擅自收集、截取、分析、利用，不得破坏大数据从收集起，经分析到实现具体信息价值的整个过程。对数据的非法获取为行为规范模式，惩治未获得授权对大数据的非法滥用行为，包括截取、窃取、技术恢复、运算干扰、虚拟机环境破坏、结构性存储的破坏等，所要保护的是一种信息安全秩序，而且这种对价值可能性和价值生成过程的保护，应该是一种危险犯的保护模式。

　　2.信息时代的社会危害性表征

　　信息时代的以大数据为犯罪对象的行为在社会危害性上有不同于传统刑法的新特点。信息时代网络空间的进一步形成，致使纯粹在信息网络空间里，对全网络数据和网络技术资源非法行为的危害后果，同现实空间的社会危害性联系更加紧密。这与传统的以网络为犯罪对象的计算机犯罪有社会危害性表征上的不同。

　　传统社会危害性的空间间隔进一步消失，行为的直接后果进一步抽象化。这都导致新的构成要件评价模式需求。

　　（1）信息的网络透明与现实的保护需要

　　计算机技术与网络在最初只是人智力的延伸，作为便捷运算处理的自动化工具。但是随着科技的发展进步，网络突破了 70 年代技术层面的追求，开始向更高阶段发展。以社交网络为代表的 web2.0 正推动网络与现实“二重空间”的不断交叠。“网络空间不仅实际地成为人类活动的‘第二空间’，也成为供公众从事社会生活的重要场所和 ‘第二社会’”。

　　这种空间的交叠和平移在大数据时代变得更加突出。“一切都可以量化”，这种理念已经不是虚妄之谈。而“分析无所不能”也是实实在在的的现况。从智能物联网、移动互联网、科学研究、社交平台、智慧城市等现实世界产生的海量数据，正越来越无微不至地将现实生活中一切挪到数字化世界中，而大数据分析则令二进制世界的运算直接联系到现实世界的方方面面。

　　网络透明化一直是网络世界的实情，网络的匿名只是一种臆想。但是在大数据时代，网络透明化的可怕被无限放大。网络透明化几乎就可以等同于社会现实的透明化。但网络社会是仅十来年才逐步形成的，网络空间不具有完整、全面和系统的秩序与制度。现实社会的秩序是伴随着人类文明发展历史一点点演变形成的，不断地科学、完善和系统化、体系化。刑法对现实社会的法益有着较为完善的保护体系和严密的制裁法网。但这在网络空间中并不存在。随着大数据将网络空间的无序和现实危害后果跨越式地对应和联系起来，信息的网络透明就不可避免地导致对现实法益保护的迫切需要。换言之，海量数据保护的丰富信息与数据分析的信息集成，都是与现实社会相关法益保护紧密相关的。因此，在大数据时代，网络信息的安全已经不仅仅是止步于网络空间自身的安全问题了，对大数据和信息集成过程的保护缺失将直接意味着现实法益的威胁。

　　网络犯罪的发展经历了三个阶段，即“网络作为犯罪对象、网络作为犯罪工具、网络作为犯罪空间”。“在信息时代，所有犯罪都可以在网络空间交叉融合，而且它们还可以实现线上和线下互动、现实空间和网络空间过渡。”

　　其实，在大数据时代，仍然将网络作为犯罪对象的技术型犯罪，由于网络自身的社交化、生活化，必然不同于传统的第一阶段的将网络作为犯罪对象的技术型犯罪。网络的空间化所带来的是犯罪对象的新特征，相应的，第一阶段的技术犯罪在信息时代也有了新的特征和变化，双层空间的社会危害性过渡在技术型犯罪中也成为一个突出问题。

　　（2）行为犯为保护模式

　　信息时代的现实的社会危害性不能停留在现实层面进行判断，而必须提前到网络空间的大数据生态系统中予以考量。大数据的元数据几乎可以在现社会现实，而大数据的分析处理也能很大程度地直接反映与折射现实世界，那么，现实的社会危害性就不仅仅是现实的危害结果，而必须从大数据的阶段就开始评估认定，否则就难以全面有效地保护现实法益。也可以认为，大数据时代的信息风险表现为，网络平台的违规行为导致的危害后果往往直接勾连到现实世界的法益侵害，大数据一定意义上消除了两个空间间违法行为与危害后果的屏障和隔阂，针对大数据本身的非法行为一般即以实际现实危害性为其后果。

　　如前所论，数据风险的控制需要明确相关的数据收集、存储和处理权限，并且以权限控制为规制风险的思路。这样便可以将增加信息风险、危害信息秩序的法益侵害后果转化到具体的构成要件要素探究上来行为犯是与结果犯相对应的概念，必须注意区分的是这一对概念从构成要件要素的角度着眼，不同于以行为可处罚性依据为标准的侵害犯和危险犯的概念。

　　行为犯是以危险或者侵害的对行为客体的直接影响为标准来描述的，但对于行为或者结果，都是根据构成要件来判断的，都是带有一定的价值评判的。“犯罪结果作为一个法律概念，它是有特定含义的，是以法律规定为前提的。”

　　如果不存在直接的客观对象的损害，而构成要件认定这样的行为构成犯罪，那么其缘由一定是单纯行为本身，就足以充足行为可罚性依据，具有对所保护的犯罪客体或者说法益的侵害或者侵害危险；再者便是行为本身不直接侵害直观有形的行为对象，而侵害或威胁的是抽象对象。但无论如何，构成要件不要求结果要素而直接对行为规定为犯罪，则表明法律价值评价行为本身就表征了对所保护法益的侵害或者现实威胁。这与实质犯罪概念不矛盾，也不是抛弃了法益的衡量，只是表现为行为或结果的具体客观表征的不同而已。

　　对于大数据时代的网络信息安全问题，违反规定、违法权限的侵害信息安全非法行为是不纯正行为犯。对数据秩序的违反，如非法超越权限接触敏感数据、超越收集数据的目的和告知而非法滥用持有的数据、非法侵入技术处理过程等，这些行为都是无法观察到直接的结果的，而其已然具有折射到现实法益的巨大实害或实害危险，这部分则是行为犯。因为对技术资源本身的侵害可能造成网络技术资源的破坏，计算能力的流失和数据平台的损害，这是直接的、可见的、有形的行为对象结果。只不过，如果从结果出发，则明显会产生保护时间点滞后的问题，故而以行为出发来进行危险衡量是更为合理的。即，虽然这类犯罪存在客观的直接有形后果，但可罚性的依据在于行为的危险性，而不在于结果的出现。对法益的侵害或危险从行为表征，而不是以客观出现的物理结果为表征。“造成严重后果”是构成要件要素，但不是实质的可罚性根据，可罚性根据在于行为的危险特性，在于实质的结果而非形式的结果。“危害结果的认定并非对自然现象的纯事实判断,而是包含价值判断的规范评价。价值判断的核心是利益,故危害结果只能从对合法利益的危害上理解。而对合法利益的危害同对行为对象的影响是两个不同质的问题。”

　　所以，在大数据的保护上，统一采行为犯的模式是符合刑法理论的。

　　三、信息时代完善刑法体系的立法建议

　　信息时代面对刑法体系调整和立法思路变革的需要，需要对刑法体系进行完善。法律的滞后性是不可避免的，首先可以通过刑法有限度的扩张解释来填补现实问题的调整空白。但是，从长远来看，不断完善网络犯罪的刑事立法是必须的。

　　（一）刑法解释论：通过关键词解释扩大刑法保护范围

　　立法者通过创制法律来规范社会生活，但是法律文本是固定的，而社会生活是不断发展的，由此必然会有法律的滞后性问题。而一旦刑事法律制定颁布，从维护法律的权威性和稳定性出发，又不宜经常对刑法作出修改，如此则生刑法解释的必要性。

　　法律解释是法律漏洞填补的过程，是根据社会现实的新问题，对现有法律体系的空白与缺憾进行完善的过程。所谓的法律漏洞，指“法律对某一生活领域完全没有做出规定，而这一领域根据法律往来的结果和法律共同体的期待必须在法律上有所规定。”

　　用刑罚同一切犯罪做斗争，实现对法益的保护是我国刑法的根本任务，而以正义为价值导向、实现共同体的期待是刑法通过解释来填补对犯罪行为规制不足的应有作为。这里主要参考于志刚教授对网络犯罪发展阶段的研究，所提出的刑法分则解释思路进行分析。

　　1.继续完善技术性关键词解释

　　我国现行刑法于 97 年制定实施，至今已有十几年，社会生活的现实也产生了一些变化，尤其在计算机和网络领域，技术的更新迭代不断地对现有刑法提出各种问题。对这些法律漏洞，对刑法条文的解释是十分必要的。有学者指出，“要想让传统刑法的罪名体系能够用之于制裁网络犯罪，最根本的途径之一，就是对于具体罪状表述中的“关键词”的内涵和外延，结合信息时代和网络空间的特征做出与时俱进的解释”这在现有的针对网络犯罪的司法解释中有所体现。如 2011年《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》中，就对“计算机信息系统”作了技术性的解释。

　　这种以“关键词”重点的解释思路，在欧盟法律中也有体现。欧盟下关于网络和信息安全的机构 ENISA（European Union Agency of Network and InformationSecurity），认为，为了有效地确定规范的相关条文，很多的文件都事实上采取了扩大解释的方式来界定相关条文的语义和范围，有一些更详细而关注较少的文件采取了关键词解释的方法。特别是以下关键词：“……设备性的关键词：信息、数据、网络、可链接等等……”

　　但是，司法解释没有对“数据”作出技术性的解释，因此对大数据的保护仍然是刑法分则需要继续关注的领域。同时，由于“计算机信息系统”在信息时代的狭隘，同样需要对“系统”作出新的解释，以便将网络平台化的技术资源纳入到刑法保护体系中。

　　

　　虽然大数据的整体性、动态性、以及运算的网络平台性，都使得以“系统”囊括这些对象在语词上超出了一般期待，也存在逻辑上的硬伤。但是，大数据的整个动态系统也是可以在内部进行分层的。如图所示，从数据资源、运算能力、平台管理和应用输出上进行层次划分，就能将整个的大数据信息生态过程分为清晰明确的且相对独立的子系统，这样就可以考虑针对这些子系统进行“系统”这一技术关键词的扩张解释，并且能够根据每一层次的不同权限控制和犯罪行为实施方式，确定“侵入”、“非法控制”、“破坏”等一系列行为方式的具体含义。

　　例如，对于针对云计算中心对技术资源的犯罪，如虚拟机突破，虚拟机探嗅等，就可以通过对刑法第 286 条破坏计算机信息系统罪第一款进行技术关键词的解释来予以打击。虚拟机为平台层的管理节点，虽然云计算是计算能力的集合，覆盖全网，很难称之为计算机信息系统。但是平台管理层是一个独立的计算管控阶层，是软硬件相配套的用于信息管理的，具有自动处理功能的人机系统，可以作为计算机信息系统。这样就能实现对云计算技术资源的保护，破坏行为可以按照破坏计算机信息系统罪处罚。

　　2.加强对规范性关键词的解释

　　为了回应信息时代的安全威胁，同样应当关注对于刑法条文中的“规范关键词”的解释，以形成更加严密的法网，对具有社会危害性的新的犯罪行为进行惩处。我认为，实质解释论是有其合理性的，在对刑法分则的犯罪构成进行“规范关键词”解释时，可以以法益保护为出发点，进行扩大解释。“对构成要件的解释必须以法条的保护法益为指导，而不能仅停留在法条的字面含义上。”“当某种行为并不处于刑法用语的核心含义之内，但具有处罚的必要性与合理性时，应当在符合罪刑法定原则的前提下，对刑法用语作扩大解释。”

　　例如，对“公民个人信息”的解释，就不能局限于“特定公民个人信息”这样的含义。从刑法第 219 条所要保护的法益来看，显然是为了保护公民的隐私权和生活安宁，防止因为信息泄露而带来的骚扰甚至接踵而至的其他犯罪行为的侵害。但是大数据时代，公民个人信息的泄露可能并不是指向特定个人的，而是几千万数量级的相关账户信息，如淘宝支付宝的信息泄露事件；也有可能是大规模的对用户隐私的威胁，例如 Gmail 的邮件扫描隐私案；也有可能是针对少量用户的个人信息的泄露可能性，例如 2014 年 3 月刚刚发生的携程网漏洞事件，最终携程网公布 93 名用户的银行卡账户信息有被黑客读取的危险，就仅仅是一种可能性。

　　但毫无疑问，这些都是对 253 条所 保护法益的侵害。可行的思路就是对“公民个人信息”进行扩张解释，通过司法实践形成较为统一的认识，将实质上对公民信息造成威胁的数据泄露都包括进来。

　　目前，司法实践中在认定非法获取公民信息罪的时候，也将数量上的巨大作为“情节严重”的一种，而将并非针对特定公民非法获取其信息，同时造成了对特定个人的严重后果的情况。即，通过对刑法条文的扩张解释，将针对不特定对象大量非法获取公民信息的行为也纳入到刑事条文的打击范围内。否则，非法大数据产业链下海量获取公民个人信息的现象将无法规制，而其造成的社会危害巨大，难免有违正义公理。

　　最近美国地方法院法官Lcuy Koh判决Gmail集体诉讼无效，理由就在于不构成集体诉讼的条件，谷歌在未经许可的情况下拦截Gmail信件将只能作为个人案例处理。这样的事件在大数据时代还将不断发生，而不考虑其整体性危害将难以实现对个人信息的保护，也难以维护整个社会正常的信息秩序。

　　（二）刑法立法论：增设刑法条文的可行思路

　　刑法的解释建立在法律漏洞填补的基础上。法律漏洞分为开放漏洞与隐藏漏洞。开放漏洞是法律规范的缺失，司法解释终究不是长久之计，更何况刑法涉及生命自由等重要权力的剥夺，罪刑法定乃是不可逾越的原则。大数据时代的信息安全问题最终需要通过刑事立法途径进行完善。在信息权价值凸显、犯罪对象由系统到网络的扩张的背景下，犯罪圈的扩张势在必行。“在这一个阶段，解决网络犯罪问题的根本之道，是全新罪名体系的构建。”

　　本文提出了增设两个罪名，以及在三个现有罪名下增设新条款的建议。

　　1.增设罪名建议

　　建议在现有刑法第六章妨害管理秩序罪第一节扰乱公共秩序罪下，于刑法第285 条增设一个条款，单独规定一个新罪名为非法利用技术资源罪，作为第 285 条之三。具体法条可以表述为：违反国家规定，利用运算平台进行非法数据分析活动，或者实施其他非法活动，情节严重的，处三年以下有期徒刑，并处或单处罚金。

　　建议在现有刑法第六章妨害管理秩序罪第一节扰乱公共秩序罪下，于刑法第286 条后增设一个条文，单独规定一个新罪名为数据滥用罪，具体条文可以表述为：违反国家规定和行业规范，对信息网络数据拦截、收集、存储、分析，后果严重的，处一年以下有期徒刑或拘役，并处或单处罚金；后果特别严重的，处一年以上三年以下有期徒刑，并处或单出罚金。同时构成非法获取公民信息、侵犯商业秘密、窃取国家秘密等犯罪的，依照数罪并罚的规定处罚。

　　2.增设条款建议

　　建议在关键的行为模式下增设数据作为特殊对象。具体可在第 111 条与第 219条下分别增加一款，表述为：为实施上述犯罪行为，违反国家规定，非法对信息网络数据拦截、收集、存储、分析的，适用本条的规定定罪处罚。

　　建议加大对针对大数据的经济犯罪组织的打击力度，在刑法分则条文中予以体现。具体可在第 219 条和第 253 条之二下增加一款，表述为：为经济利益实施上述行为，或者作为专门实施上述行为的组织的一员，应当依照本条规定从重处罚。