一、结论先行：三个要件缺一不可
非法获取计算机信息系统数据罪的成立，必须同时满足三个要件：对象是计算机信息系统中存储、处理或者传输的数据；行为是违反国家规定侵入该系统，或者采用其他技术手段获取；达到情节严重的标准。三者缺一，即不构成该罪。
实务中最常见的误判，是把「越权访问公司系统导出数据」直接等同于「非法获取」。越权属于违反内部管理规定，是否上升到「违反国家规定」、是否构成「侵入」，需要单独论证。同样，抓取公开网页数据是否构成「侵入」，取决于是否突破技术措施，不能一概而论。
二、规范依据：条文与司法解释
《刑法》第二百八十五条第二款规定：违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
「情节严重」的标准由《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）第一条明确，主要包括：获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上；获取前述以外的身份认证信息五百组以上；非法控制计算机信息系统二十台以上；违法所得五千元以上或者造成经济损失一万元以上；以及其他情节严重的情形。
「违反国家规定」不是泛指违反任何规定，而是指违反全国人大及其常委会制定的法律和决定、国务院制定的行政法规和规定的行政措施等。企业内部规章、劳动合同、员工手册不属于「国家规定」，这是区分民事违约与刑事犯罪的第一道分界。
三、四个构成要件的展开
- 对象要件：「计算机信息系统」指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。「数据」限于系统中存储、处理或传输的数据，纸质文件、离线存储介质中的孤立文件不属于本罪对象。
- 行为要件之一「侵入」：指未经授权或者超越授权，采用技术手段进入系统。使用他人账号密码登录、破解验证码、绕过身份认证，均可能构成侵入。
- 行为要件之二「其他技术手段」：指侵入以外的、能够获取数据的技术方法，典型如利用系统漏洞、植入木马、中间人攻击。是否包含普通网络爬虫，取决于是否突破或规避了技术保护措施。
- 结果要件「情节严重」：按法释〔2011〕19号第一条判断。身份认证信息是核心概念，指用于确认用户在系统中身份的账号、密码、数字证书、令牌等。
四、三类典型行为与入罪标准的对照
| 行为类型 | 是否「侵入/技术手段」 | 入罪标准 | 常见争点 |
|---|---|---|---|
| 破解登录、使用窃取的账号密码进入后台导出数据 | 是（侵入） | 身份认证信息十组/五百组；违法所得五千元或损失一万元 | 账号是否属「身份认证信息」；授权范围 |
| 利用系统漏洞批量拉取数据库 | 是（其他技术手段） | 同上 | 漏洞是否属「技术措施缺失」；数据是否公开 |
| 抓取需登录才能访问的页面数据 | 视是否突破技术措施 | 同上 | 是否绕过反爬、验证码、加密接口 |
| 抓取完全公开、无需登录的页面 | 通常否 | 一般不构成本罪 | 可能涉不正当竞争、著作权，而非本罪 |
五、与相邻罪名的区分与竞合
与侵犯公民个人信息罪。同一行为同时构成本罪与侵犯公民个人信息罪的，属于想象竞合，从一重处断。实务中选择的关键在于数量：若窃取的是大量个人信息且条数达标，侵犯公民个人信息罪的量刑往往更重（情节特别严重可达七年）；若窃取的是企业经营数据、代码、虚拟财产，则本罪更贴合。
与破坏计算机信息系统罪（《刑法》第二百八十六条）。核心区别在于是否造成系统功能不能正常运行。仅获取数据、未破坏系统功能的，定本罪；删除、修改、增加数据导致系统不能正常运行的，可能构成破坏计算机信息系统罪。
与侵犯商业秘密罪（《刑法》第二百一十九条）。若获取的数据属于权利人采取保密措施的技术信息、经营信息，且行为人明知，可能同时构成侵犯商业秘密罪。此时同样涉及竞合判断。
六、爬虫案件的四个辩护切入点
- 否定「侵入」：证明目标页面公开可访问、未设置任何技术措施，或已获得网站 robots 协议与用户协议的许可范围。
- 否定「身份认证信息」属性：cookie、session、设备指纹是否属于「身份认证信息」存在争议；若属普通业务数据，应按违法所得或损失标准判断，入罪门槛提高。
- 质疑「情节严重」的认定：违法所得的计算是否扣除成本、是否重复计算；经济损失是否有审计依据；组数的鉴定方法是否科学。
- 否定「违反国家规定」：仅违反用户协议、内部规章的，不满足本罪前置要件，应回归民事或反不正当竞争法评价。
需要强调的是，即便不构成本罪，抓取行为仍可能承担民事赔偿责任（《反不正当竞争法》2025年修订第十三条第三款关于以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式获取、使用其他经营者合法持有的数据的规定），以及《数据安全法》第三十二条项下的行政责任。刑事不构成不等于没有风险。
七、常见问题
问：抓取公开的招聘信息、商品价格，构成犯罪吗？
通常不构成本罪。完全公开、无需登录、未设技术限制的页面，难以认定「侵入」。但若违反网站明确的技术限制（如突破验证码、伪造请求头绕过封禁），或抓取后用于实质性替代原网站服务，可能触发反不正当竞争法责任，情节严重的还可能进入刑事评价。
问：员工离职前批量下载公司数据库，定什么罪？
需要分层判断：若使用本人合法权限下载、未突破权限，一般属违约或侵犯商业秘密问题；若盗用他人账号、破解权限限制，则可能构成非法获取计算机信息系统数据罪。若数据含大量个人信息且条数达标，还可能构成侵犯公民个人信息罪，从一重处断。
问：违法所得怎么算？
通常按行为人因该行为实际获得的收入计算，是否扣除服务器、人力等成本存在争议。若无法查清违法所得，则以造成的经济损失为准，实践中多依赖被害人提供的审计报告或鉴定意见，辩护时应重点质证计算口径。
问：单位实施的行为，谁承担责任？
单位犯本罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员依照自然人犯罪的规定处罚。技术负责人、项目决策人通常是追责重点，普通开发、运维人员若有明确证据证明不知情且未获利，一般不作为责任人员。
问：只「看」不「存」，还算获取吗？
本罪要求「获取」，通常指将数据置于自己控制之下。仅浏览、截屏少量数据，是否构成「获取」存在争议；但若通过技术手段批量读取并缓存、传输，则已属获取。数量与目的会影响最终定性。
八、小结：合规的三道防线
对企业而言，防线有三：权限分层、操作留痕、技术措施到位。权限分层确保越权可识别；操作留痕使「是否越权」可举证；技术措施（登录、验证码、频率限制、接口鉴权）既是防护手段，也是刑事上区分「公开数据」与「受保护数据」的客观依据。对数据抓取方而言，接入前核查目标网站的用户协议与技术限制，是成本最低的风险控制。
法条与依据核验：《中华人民共和国刑法》第二百八十五条第二款（非法获取计算机信息系统数据、非法控制计算机信息系统罪）、第二百八十六条（破坏计算机信息系统罪）、第二百一十九条（侵犯商业秘密罪）、第二百五十三条之一（侵犯公民个人信息罪）；《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）第一条（「情节严重」的认定，含身份认证信息十组、五百组、非法控制二十台、违法所得五千元或损失一万元等标准）；《中华人民共和国数据安全法》第三十二条（合法、正当方式收集数据）；《中华人民共和国反不正当竞争法》（2025年修订）第十三条第三款（以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式获取、使用其他经营者合法持有的数据）。特别说明：法释〔2011〕19号第一条各项标准的表述经归纳，援引时请核对官方文本；「其他技术手段」是否涵盖普通网络爬虫、cookie 与设备指纹是否属于「身份认证信息」、违法所得能否扣除成本，实务中存在争议，文中已作区分说明。
