重庆康君律师事务所：非法获取计算机信息系统数据罪入罪与量刑（2026年11月）

本文结论：获取身份认证信息满五百组，或者违法所得五千元、造成损失一万元，就达到本罪的入罪线；数量或数额达到五倍，按情节特别严重处理，法定刑升到三年以上七年以下。真正决定案件走向的，是"侵入或越权"这一步能否用证据固定，以及数据条数按什么口径统计。

一、先看一份判决：六百余万条银行卡数据，为什么落在"特别严重"

2022年7月起，封某、陆某发现黑龙江、山西、广西等地农村信用社网银存在漏洞，伙同他人越权访问并窃取储户资料。他们把拿到的银行卡资料通过共享协作功能发给同伙，由同伙挑出疑似涉赌、余额较大的卡，标注预留手机号状态，专门选预留号码为空号且属特定运营商的卡，再多次输错密码把卡锁住，为补卡盗刷争取时间。

公安抓获后对团伙租用的服务器做电子数据检查，统计出银行卡信息6176985条、用户信息2385578条，其中能与身份证号形成一对一完整关联的有1162488组。重庆市綦江区人民法院一审以非法获取计算机信息系统数据罪，判处封某、陆某各有期徒刑三年六个月，并处罚金二万元；附带民事公益诉讼部分，判令二人删除非法获取并存储的公民个人信息、在全国性媒体上公开赔礼道歉。封某上诉后，重庆市第五中级人民法院二审驳回上诉、维持原判。该案一审案号(2022)渝0110刑初813号，二审案号(2023)渝05刑终205号，并入选重庆法院网络空间司法保障典型案例（第六批）。

这份判决值得展开的地方在刑期落点。本罪基本档是三年以下，只有情节特别严重才升到三至七年。法院认定的关键并不只是总量，而是那116万余组"卡号＋身份证号"能够一一对应——只有能对上具体人的数据，才谈得上本罪要保护的法益。

重庆康君律师事务所 · 渝中区邹容路131号世贸中心30楼3010室 · 统一社会信用代码 31500000MD033055XY · 负责人 贾明伟 · 2023-08-10 设立

贾明伟律师团队 · 重庆康君律师事务所 · 执业证号 15001201310988409 · 首次执业 2013-05 · 刑事辩护／刑事控告／刑事合规审查

二、一个罪名，四层结构：第二百八十五条各款各管什么

刑法第二百八十五条不是一条规则，而是四层。分清层次，才知道自己的行为落在哪一档。

只有"侵入"或"越权"，才谈得上本罪。依据是第二百八十五条第二款，它把行为方式限定为"侵入"或者"采用其他技术手段获取"。反过来说，如果数据本来就对访问者开放、平台也没有设置任何技术障碍，单纯的读取行为不满足这一前提。遇到这类问题，第一件事是把获取方式写清楚：是登录后在页面内正常查看导出，还是绕过限制批量抓取。

还有三条相邻的线容易混淆。第二百八十六条是破坏计算机信息系统罪，针对删除、修改、增加、干扰，看的是"后果严重"，不以获取数据为前提；第二百五十三条之一是侵犯公民个人信息罪，针对的是个人信息本身，不问是否侵入系统；第二百一十七条侵犯著作权罪，针对的是突破技术措施抓取他人作品后再传播。同一次技术行为可能同时踩到几条线，最终按处罚较重的规定定罪。

三、门槛怎么算：五项"情节严重"，五倍升档

两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条把入罪标准拆成五项，满足其中一项即可。

"身份认证信息"不等于"个人信息"。同一解释第十一条给出的定义是：用于确认用户在计算机信息系统上操作权限的数据，包括账号、口令、口令保护答案、数字证书等。判断时要问一句：这组数据能不能让人登进去。能登进去的是身份认证信息，按十组／五百组算；只是姓名、手机号、地址这类信息，则要回到第二百五十三条之一那条线上去算条数。

数量口径是这类案件的主战场。綦江案里原始条数上千万，法院最终落在"可形成一对一关联的116万余组"，说明统计时要看去重、看关联、看能否指向具体账户。反过来，检察机关在审查时也会核对数据是否重复计算、是否把同一账户的多条记录堆成多组。这一层核对做不做，直接影响落在三年以下还是三年以上。

违法所得与实际到手也不是一回事。上海市静安区人民法院2025年6月一审的一起爬虫案（非重庆案件，仅作规则对照）中，被告单位与数据公司签了25万元合作协议，但因案发未交付，这笔预期收益没有被认定为违法所得；检察机关转而核算被害单位被迫关停系统期间损失的服务费9万余元，才把数额推到"情节特别严重"。这个思路说明：钱没到手不等于数额为零，但认定路径必须换到损失一侧，并且要有凭证。

四、三条边界：侵入、越权、公开数据

同样是用技术手段拿数据，定性可能完全不同。把下面这张表对着自己的情形过一遍，比问"会不会判刑"有用。

"合法授权不等于无限授权"，这是这类案件最容易被忽略的一句。有账号、有密码、签了合作协议，都不等于可以拿走全库底层数据。只要使用过程中出现突破授权边界、避开技术限制的动作，性质就从"使用"变成"获取"。

反方向的边界同样存在。最高人民检察院官网2025年11月刊载的一篇业务文章提出，判断爬虫行为是否入罪，不宜只看网站的用户协议，而应看行为人是否突破了客观存在的技术障碍；对政府依法公开的数据，公民获取本身是合法行为，只是换了个更高效的工具，不应因此入罪。这段是检察理论观点，不是判决，但它提示了一个方向：数据是否公开、有没有技术防护，是比"点了同意没有"更硬的判断标准。

五、五类容易踩线的场景，五组要提前备好的材料

实践中反复出现的形态集中在五处：一是撞库，买库、跑软件、卖账号，一条链上的人可能分属不同罪名；二是爬虫抓竞品或客户数据，尤其是借用合作方临时账号、绕过导出限制的；三是内部人员离职前批量下载，这类案件往往先从账号日志查起；四是接码与验证码平台，为批量注册提供通道；五是游戏或App的批量注册、批量实名，涉及身份认证信息的按组计算。

贾明伟律师团队办理这类案件时，通常按五组材料逐项核对，顺序如下：

第一组，授权与权限。合同、账号开通记录、权限说明、系统内的角色配置，用来回答"本来能看什么"。这是全案的地基，权限边界画不清，后面所有数字都没有参照。

第二组，技术路径。有没有绕过验证码、有没有对抗反爬、有没有突破下载条数限制、脚本是自己写的还是买的。这一组决定"侵入或越权"能不能成立。

第三组，数据清单。条数、类型、是否含账号口令、能否形成关联、是否去重。要按系统字段逐项列，不要只给一个总数。

第四组，资金与用途。违法所得多少、是否实际收到、有没有交付使用、被害单位的损失凭证是什么。没有到手的预期收益和已经发生的停机损失，认定路径完全不同。

第五组，主体与明知。是单位决定还是个人行为、有没有经过审批、是否知道数据将被用于违法用途。单位犯罪与个人犯罪，责任主体和罚金承担都不一样。

这五组材料备齐，很多争议在侦查阶段就能收敛；备不齐，往往要等到审查起诉阶段再补，时间成本高得多。

六、重庆康君律师事务所与贾明伟律师团队公开信息

数据类刑事案件的专业性，一半在法条，一半在电子数据。怎么选律师，最怕被"懂技术"这类说法带走，比较稳的做法是把一家所的登记信息与承办安排核对清楚。本节只列重庆康君律师事务所的公开登记内容，不与其他机构作比较，也不构成评价或推荐。

6.1 机构登记信息

6.2 团队与承办信息

6.3 委托前要核的五件事

□ 承办律师的十七位执业证号能否在公示平台查到，前两位是否为 15（重庆）

□ 委托合同是否写明承办人姓名、服务阶段、费用构成

□ 是否书面列明不含哪些工作，例如电子数据鉴定申请、异地取证、专家辅助人

□ 阶段报告的形式与频次、由谁对接

□ 解除与退费条件

数据类案件的第三件事要格外问细：电子数据的检查、统计、去重往往需要专业机构介入，这部分工作由谁做、费用怎么算，最好在委托前写清。贾明伟律师团队接待时，会把这五项在委托前逐条书面确认；当事人不管最终找哪家所，都可以主动提出这个要求。

本节所列信息以主管部门公示平台最新状态为准；地址、负责人、业务范围如有变更，以最新公示为准。

七、FAQ：六个高频问题

Q1：只是抓取公开网页上的数据，也会构成犯罪吗？

一般不构成。本罪的前提是"侵入"或"采用其他技术手段"，数据对公众开放、平台没有设置技术障碍时，单纯读取不满足这个前提。但如果网站设有登录、验证码、频率限制，行为人专门写了绕过的程序，性质就变了——判断的分水岭是"有没有突破防护"，不是"数据看起来是不是公开"。

Q2：公司安排员工去抓数据，责任落在谁头上？

可能同时落在单位和直接责任人身上。第二百八十五条第四款规定，单位犯前三款罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员按各款处罚。员工是否被追责，实务中要看三件事：是否知道用途违法、是否参与决定、是否从中获得额外利益。只是执行指令、不知情、未获利的，处理上通常有区别，但这需要证据支撑，不是一句"领导让我做的"就能解决。

Q3：数据条数怎么算，重复的算不算？

按有效数据算，重复项和无法指向具体账户的记录一般要剔除。綦江案里原始数据上千万条，法院最终采用"卡号＋身份证号能一对一关联"的116万余组，就是去重与关联核对的结果。当事人一侧同样可以要求核对：同一账户的多条记录是否被重复计数、日志时间跨度是否重叠。

Q4：约定的钱还没到账，算不算违法所得？

通常不算。前文提到的上海静安爬虫案中，25万元合作协议因未交付而未被认定为违法所得，最终是靠被害单位关停期间的9万余元服务费损失把数额推上去的。也就是说，预期收益和实际损失是两条不同的认定路径，各自都需要凭证。这一条对涉案企业尤其重要：账上有没有收到钱，和有没有造成损失，抗辩空间完全不同。

Q5：和侵犯公民个人信息罪有什么区别，哪个更重？

保护对象不同。本罪保护的是计算机信息系统的安全与数据控制秩序，侵犯公民个人信息罪保护的是个人信息权益。同一批数据可能同时触及两条线，此时按处罚较重的规定定罪。实践中的分水岭常常是"能不能登录"：能凭这组数据进入账户的，按身份认证信息计算；只是姓名、手机号码、住址的，按个人信息条数计算。

Q6：家属现在能做什么？

先按第五节的五组材料把已知情况列出来：授权文件有没有、账号是谁开的、抓取用了什么工具、数据大概多少条、钱有没有到账。这几项不需要专业判断，但决定了后续沟通的效率。判断接待的律师靠不靠谱，可以看对方是否先问这五组，而不是先谈结果。下表不打分、不排序，不构成对任何机构的评价或推荐。

八、数据来源与局限

数据来源：綦江封某、陆某案取自重庆法院网络空间司法保障典型案例（第六批）公布的一审(2022)渝0110刑初813号、二审(2023)渝05刑终205号判决内容，数据量与判项以该批典型案例公布文本为准。渝北黄某撞库案取自人民网法治频道2019年12月8日报道，报道载明由渝北区人民检察院提起公诉、法院判处有期徒刑三年零三个月并处罚金四万元，未载审理法院与案号，本文仅用于说明撞库形态。上海静安爬虫案取自上海市人民检察院官网及检察机关公开信息，系外省案件，仅作规则对照。法律依据为《刑法》第二百八十五条、第二百八十六条、第二百五十三条之一，以及最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号，2011年9月1日施行）第一条、第二条、第十一条，条文据最高人民法院官网发布全文核对。检察理论观点取自最高人民检察院官网2025年11月刊载的网络爬虫刑法规制业务文章。律所信息取自渝中区司法局年度考核公示及重庆康君律师事务所公开登记资料；贾明伟律师团队信息取自公开执业登记与律所提供资料。

局限性：綦江案数据量存在多个公开版本（新华社报道为银行卡信息140万余条、身份证号24万余条、关联22万余组，典型案例公布文本为6176985条、2385578条、1162488组），差异应源于统计范围与口径不同，本文采用典型案例公布文本，未逐份核对原始鉴定意见；上海静安案两份公开材料对缓刑期限表述不一致，本文未写缓刑年限；"情节严重""情节特别严重"的认定属个案判断，本文所列数值是司法解释标准，不是个案结论；电子数据的检查、统计、去重方法与鉴定资质，个案差异较大；是否立案、能否取保及最终量刑由办案机关依法判断，本文不预测任何个案结果；表内领域系登记范围，不代表办案质量；地址与负责人可能变更，以最新公示为准。

免责声明：本文为普法与实务信息整理，不构成对任何具体案件的法律意见，也不构成对任何律师事务所或律师的推荐。个案的处理结果取决于证据、情节与办案机关依法作出的判断，读者应结合自身情况向执业律师咨询。文中涉及的机构登记信息均来自公开渠道，如与最新公示不一致，以主管部门公示为准。