【检例第36号】卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案

【关键词】

非法获取计算机信息系统数据  超出授权范围登录  侵入计算机信息系统

【基本案情】

被告人卫梦龙，男，1987年10月生，原系北京某公司经理。

被告人龚旭，女，1983年9月生，原系北京某大型网络公司运营规划管理部员工。

被告人薛东东，男，1989年12月生，无固定职业。

被告人卫梦龙曾于2012年至2014年在北京某大型网络公司工作，被告人龚旭供职于该大型网络公司运营规划管理部，两人原系同事。被告人薛东东系卫梦龙商业合作伙伴。

因工作需要，龚旭拥有登录该大型网络公司内部管理开发系统的账号、密码、Token令牌（计算机身份认证令牌），具有查看工作范围内相关数据信息的权限。但该大型网络公司禁止员工私自在内部管理开发系统查看、下载非工作范围内的电子数据信息。

2016年6月至9月，经事先合谋，龚旭向卫梦龙提供自己所掌握的该大型网络公司内部管理开发系统账号、密码、Token令牌。卫梦龙利用龚旭提供的账号、密码、Token令牌，违反规定多次在异地登录该大型网络公司内部管理开发系统，查询、下载该计算机信息系统中储存的电子数据。后卫梦龙将非法获取的电子数据交由薛东东通过互联网出售牟利，违法所得共计37000元。

【诉讼过程和结果】

本案由北京市海淀区人民检察院于2017年2月9日以被告人卫梦龙、龚旭、薛东东犯非法获取计算机信息系统数据罪，向北京市海淀区人民法院提起公诉。6月6日，北京市海淀区人民法院作出判决，认定被告人卫梦龙、龚旭、薛东东的行为构成非法获取计算机信息系统数据罪，情节特别严重。判处卫梦龙有期徒刑四年，并处罚金人民币四万元；判处龚旭有期徒刑三年九个月，并处罚金人民币四万元；判处薛东东有期徒刑四年，并处罚金人民币四万元。一审宣判后，三被告人未上诉，判决已生效。

【要旨】

超出授权范围使用账号、密码登录计算机信息系统，属于侵入计算机信息系统的行为；侵入计算机信息系统后下载其储存的数据，可以认定为非法获取计算机信息系统数据。

【指导意义】

非法获取计算机信息系统数据罪中的“侵入”，是指违背被害人意愿、非法进入计算机信息系统的行为。其表现形式既包括采用技术手段破坏系统防护进入计算机信息系统，也包括未取得被害人授权擅自进入计算机信息系统，还包括超出被害人授权范围进入计算机信息系统。

本案中，被告人龚旭将自己因工作需要掌握的本公司账号、密码、Token令牌等交由卫梦龙登录该公司管理开发系统获取数据，虽不属于通过技术手段侵入计算机信息系统，但内外勾结擅自登录公司内部管理开发系统下载数据，明显超出正常授权范围。超出授权范围使用账号、密码、Token令牌登录系统，也属于侵入计算机信息系统的行为。行为人违反《计算机信息系统安全保护条例》第七条、《计算机信息网络国际联网安全保护管理办法》第六条第一项等国家规定，实施了非法侵入并下载获取计算机信息系统中存储的数据的行为，构成非法获取计算机信息系统数据罪。按照2011年《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》规定，构成犯罪，违法所得二万五千元以上，应当认定为“情节特别严重”，处三年以上七年以下有期徒刑，并处罚金。

【相关法律规定】

《中华人民共和国刑法》

第二百八十五条  违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。

违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》

第一条  非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”：

……

（四）违法所得五千元以上或者造成经济损失一万元以上的；

……

实施前款规定行为，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节特别严重”：

（一）数量或者数额达到前款第（一）项至第（四）项规定标准五倍以上的；

……

《中华人民共和国计算机信息系统安全保护条例》

第七条  任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。

《计算机信息网络国际联网安全保护管理办法》

第六条　任何单位和个人不得从事下列危害计算机信息网络安全的活动：

（一）未经允许，进入计算机信息网络或者使用计算机信息网络资源的；

（二）未经允许，对计算机信息网络功能进行删除、修改或者增加的；

（三）未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的；

（四）故意制作、传播计算机病毒等破坏性程序的；

（五）其他危害计算机信息网络安全的。