[第1732号]上海某数信息公司、罗某等侵犯公民个人信息案-利用爬虫技术实施侵犯公民个人信息犯罪的认定
刑事审判参考（2026.4第149辑）
节选裁判说理部分，仅为个人学习、研究和说明问题，如有侵权，立即删除。
[第1732号]上海某数信息公司、罗某等侵犯公民个人信息案-利用爬虫技术实施侵犯公民个人信息犯罪的认定
二、主要问题
(1) 利用爬虫技术爬取在运营商、电商平台处登记的手机号码等个人信息的行为，应如何认定?
(2)将获取的公民个人信息分析生成征信产品予以销售的行为，应如何认定?
三、裁判理由
网络爬虫是一种自动化浏览网络、抓取网页信息的程序或脚本，通过模拟人工登录、访问互联网，读取内容，并按照一定的规则批量提取符合需求的数据，具有智能高效、精准抓取、覆盖面广等特点。爬虫技术自广泛应用以来，已成为促进数据共享与侵犯信息安全的“双刃剑”, 使用失当可能引发法律风险。被告单位等未经公民授权，利用爬虫技术突破反爬数据保护机制，爬取信息后生成蜜蜂报告进行销售，构成侵犯公民个人信息罪。被告单位将经授权获取的信息进行无法复原的匿名化处理，生成蜜罐报告并销售，属于违法经营个人征信业务，不属于刑事规制的范围。
(一)通过插件或爬虫技术获取和提供个人信息，是否侵犯公民个人信息，应结合是否违反国家有关规定，是否得到公民授权予以认定
被告单位未经公民授权并突破反爬数据保护机制，利用爬虫技术模拟人工登录爬取包括第三人手机号码等个人信息，生成蜜蜂报告予以销售，其行为构成侵犯公民个人信息罪。
第一，被爬取的包括运营商、电商平台等在内的第三人手机号码属于公民个人信息。《网络安全法》(2016年11月7日公布)第七十六条①第五项规定的个人信息，是指以电子或者其他方式记录的能够单独或者 与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人 的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号 码等。根据《电话用户真实身份信息登记规定》(2013年7月16日公布) 的规定，自2013年9月起对全国范围内电话用户进行实名登记。实名登 记的手机号码对应真实有效的机主，指向注册登记该手机号码的特定自 然人。手机号码用于注册邮箱、微信等网络社交账号，涉及公民的通信、 金融、医疗、教育、社交等领域，具有移动支付、实时定位、金融结算 等功能，具备专属性、隐私性、财产性，普遍应用于公民工作生活，与 公民的人身安全、财产安全密切相关。实名登记的手机号码集通信社交、 支付结算、实时定位等功能于一体，通过手机号码不仅能够分析第三人 的社交状况、经济活动、行为轨迹等，亦能够判定第三人与借款人的紧 密程度及特定关系。因此，手机号码能够单独或者与其他信息结合识别 特定自然人身份、隐私活动、财产状况等，属于法律保护的公民个人信息。
第二，网络爬虫突破相关网站、 App设置的反爬数据保护措施爬取公民个人信息，违反了国家有关规定。《全国人民代表大会常务委员会关 于加强网络信息保护的决定》(2012年12月28日公布)、《网络安全法》 均明确规定了保护公民个人信息安全。被告单位为满足商业利益，利用爬虫技术模拟人工登录，循环批量爬取运营商、电商等网站及App内包含手机号码的第三人信息，危害了网站、App的正常运转、数据安全及 信息产权。被爬取的网站、App根据国家有关规定，设置“网络爬虫排除标准”“身份验证”“封锁IP”等反爬协议或技术壁垒，表明其数据保护意愿，防止网络爬虫未经许可非法爬取数据。被告单位为保证爬虫技术能够顺畅运行，通过购买“虚拟IP”“ 规避身份验证”等方式破解反爬数据保护措施，侵害了网站、App合法保护数据的意愿，违反了国家有关保护公民个人信息的规定。
第三，对被告单位获取、提供个人信息的行为需进行具体分析。(1)通过插件获取相关账户、密码信息得到公民授权，且不违背双方真实意愿的，不属于非法获取行为。公民对其通过手机号码或有效身份信息在运营商、电商平台等注册、持有的账户、密码，具有使用、出借、提供等支配权。被告单位通过嵌入网络插件向公民提供登录界面，将签订授权协议作为申请借款的附属条件之一，提示公民点击并阅览后签订授权协议。该授权协议明确告知公民需要其提供运营商、电商平台等的账户、 密码及提供的目的。公民清楚知悉被告单位获取信息的意思表示。该授权协议符合知情同意原则，不违反双方真实意思表示，协议内容真实有效。公民基于该授权协议同意向被告单位提供其持有的登录账户、密码，未违背公民对其个人信息的自决权。被告单位获取并保存账户、密码的 行为未侵害公民信息安全。(2)未经公民授权或同意，利用爬虫技术爬取个人信息，属于侵犯公民个人信息罪规定的非法获取个人信息的行为。被告单位利用爬虫技术通过前期网络插件获取账户、密码后，以模拟人工登录的方式，按照需求自动批量采集目标数据，并将数据汇总至被告单位的数据库予以保存，用于深度分析、整合生成征信产品进行销售。 被告单位与公民签订的授权协议未明确告知公民其利用爬虫技术爬取个人信息，亦未明确告知公民其收集信息的事项、范围和目的。虽然后期该授权协议根据《网络安全法》进行了修正，但仍未明确告知公民其信息获取的方式及信息范围包括与借款人相关联的含有手机号码在内的特定第三人的信息，亦未告知公民其收集信息的目的是销售牟利。第三人 对其个人信息被收集、整合、销售均不知情，违背了其意愿。被告单位 在此种情形下爬取公民个人信息具有非法性。(3)违反国家有关规定， 未经公民同意，向他人提供所获取的公民个人信息，属于侵犯公民个人信息罪规定的非法提供个人信息的行为。将授权获取或利用爬虫技术爬取的公民个人信息经过整理、加工、制作成征信产品后，违反国家有关规定，未经公民同意予以销售，损害了公民对其个人信息的自决权。蜜蜂报告的数据除部分来自授权获取外，其余包含第三人手机号码等信息均由网络爬虫爬取，第三人对其信息被收集、销售均不知情。购买者通过蜜蜂报告能够单独或与其他信息结合识别特定自然人身份、活动轨迹、隐私生活、财产情况等，具有侵扰他人工作生活安宁、损害公民的人身安全及财产安全的风险。被告单位将获取的包含第三人的信息数据生成蜜蜂报告予以销售，违反国家有关个人信息保护的规定，未征得公民同意，侵犯了公民个人信息。
(二)将获取的公民个人信息生成征信产品并进行销售，是否侵犯公民个人信息，应结合行为性质、信息属性及信息识别度等因素予以认定
被告单位将经授权获取的个人信息，生成经匿名化处理且不能复原的蜜罐报告，即使未经公民同意进行销售，也不属于刑事认定范围。
第一，公民基于授权自愿提供个人信息，用于对其借款进行资信审查，该获取方式不具有非法性。蜜罐报告与蜜蜂报告的本质区别在于数 据来源不同。公民签订被告单位提供的授权协议，在获悉信息获取的范 围和用途后，同意提供其姓名、身份证号码、手机号码，该三要素成为 蜜罐报告的核心数据。被告单位将上述三要素与利用爬虫技术爬取的公民个人信息形成的数据库内的信息进行碰撞，判断该公民的借款资信， 后与金融机构公布的借款人黑名单及人民法院公开的失信被执行人名单等进行比对，形成以数字分值为载体的蜜罐报告，以评价公民的信用等 级。蜜罐报告的基础数据不涉及未经公民授权或第三人的信息，亦明确载明网络爬虫爬取的信息及相关机构向社会公开的信息。蜜罐报告应用于金融领域的贷前风控，不具备贷后催收的功能。被告单位生成蜜罐报 告属于未经征信业监管机构批准，违法从事个人征信业务，违反了《征信业管理条例》(2013年1月21日公布)的规定，不属于刑事认定范围。
第二，将合法收集的个人信息进行无法复原的匿名技术处理，即使未经公民同意予以提供，也不构成侵犯公民个人信息罪。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干 问题的解释》(法释〔2017〕10号)第三条、《网络安全法》第四十二 条第一款均规定，未经被收集者同意，不得将合法收集的公民个人信息向他人提供，但经过处理无法识别特定个人且不能复原的除外。公民个人信息的关键属性是与特定自然人关联，经过匿名化处理，无法识别特定个人且不能复原的信息，不具有侵害公民信息安全的风险。被告单位销售蜜罐报告虽未得到公民明确授权或同意，但蜜罐报告载明的信息仅包含剔除个人关联、通过技术不能复原的数字分值，无法识别公民特定的活动情况，无法进行二次利用，更不具有贷后催收的作用。综上所述， 蜜罐报告所涉信息不属于侵犯公民个人信息罪中公民个人信息的类型。
(撰稿：江苏省泰州市中级人民法院 蔡 萍 江苏省泰州市姜堰区人民法院 沈井春
审编：最高人民法院刑事审判第三庭 汪 斌 王肃之)