一、结论先行：数据合规的刑事风险分布在四个行为环节
企业谈数据刑事风险，第一反应往往是侵犯公民个人信息罪。实际上风险分布在四个环节：获取环节（爬取、购买、交换）、使用环节（超范围使用、非法利用）、保管环节（应管未管、泄露不报）、流转环节（出售、提供、跨境）。四个环节对应不同的罪名，防控手段也不同。
需要先建立一个基本认识：数据类犯罪的入罪门槛多以「数量」「违法所得」「经济损失」量化，而这些数字在案发后往往由侦查机关一次性统计全部历史数据，企业此前若无数据台账与最小必要管控，客观上会把「本可控的少量」放大成「跨档的大量」。合规体系的第一价值不是免责，而是把数量控制在门槛之下、把行为限定在合法基础之内。
二、八类罪名全景
| 环节 | 罪名与条文 | 核心构成 | 高发场景 |
|---|---|---|---|
| 获取 | 侵犯公民个人信息罪（刑法第二百五十三条之一） | 非法获取、出售或提供公民个人信息，情节严重 | 购买客户名单、交换用户库、爬取含个人信息的数据 |
| 获取 | 非法获取计算机信息系统数据罪（第二百八十五条第二款） | 违反国家规定，侵入或采用其他技术手段获取系统数据，情节严重 | 破解接口、绕过风控批量抓取、盗用账号导出 |
| 获取 | 提供侵入、非法控制计算机信息系统程序、工具罪（第二百八十五条第三款） | 提供专门用于侵入、非法控制的程序工具 | 出售爬虫工具、撞库软件、改机工具 |
| 使用 | 破坏计算机信息系统罪（第二百八十六条） | 对系统功能、数据、应用程序进行删除修改增加干扰，后果严重 | 爬虫高频请求致系统瘫痪、恶意删改数据 |
| 保管 | 拒不履行信息网络安全管理义务罪（第二百八十六条之一） | 不履行法定管理义务，经监管部门责令改正而拒不改正，致危害后果 | 泄露后不整改、不处置违法信息、不落实实名 |
| 流转 | 帮助信息网络犯罪活动罪（第二百八十七条之二） | 明知他人利用信息网络犯罪，提供技术支持或帮助 | 为诈骗团伙提供数据接口、账号、引流服务 |
| 流转 | 侵犯商业秘密罪（第二百一十九条） | 以不正当手段获取、披露、使用商业秘密，情节严重 | 员工带走的客户数据库、算法与训练数据 |
| 流转 | 非法经营罪（第二百二十五条） | 违反国家规定，扰乱市场秩序，情节严重 | 无资质经营数据交易、非法买卖征信类数据 |
三、侵犯公民个人信息罪：两条入罪路径与两个加重情节
行为方式包括「非法获取」与「非法出售、提供」两类。前者指以窃取或其他方法非法获取，后者指向他人提供。经授权收集后超范围使用，一般不构成该罪（可能构成民事侵权或其他罪名），但合法收集后违法提供、出售则直接落入该罪。
「情节严重」的判断依《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条，按信息类型分档设定数量标准：行踪轨迹信息、通信内容、征信信息、财产信息为最低一档（五十条以上）；住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身财产安全的信息为第二档（五百条以上）；其他公民个人信息为第三档（五千条以上）。此外，违法所得达到一定数额、曾因相关行为受过刑事或二年内受过行政处罚又再犯的，亦属情节严重。
两个必须注意的加重与从重情节：一是「情节特别严重」的升档，法定刑升至三年以上七年以下有期徒刑；二是将在履行职责或者提供服务过程中获得的公民个人信息出售或提供给他人的，数量、数额标准减半计算——这一条对金融、医疗、教育、物流、物业等行业杀伤力极大，因为员工接触的正是履职中获取的信息。
四、非法获取计算机信息系统数据罪：技术手段与「情节严重」
该罪的核心是「违反国家规定」＋「侵入或以其他技术手段获取」。判断关键有三：是否未经授权或超越授权、是否采用技术手段突破防护、获取的是否为系统内存储、处理、传输的数据。
依《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）第一条，「情节严重」的情形包括：获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上；获取前述以外的身份认证信息五百组以上；违法所得五千元以上或造成经济损失一万元以上；其他情节严重的情形。
实务中争议最大的是「公开数据爬取」是否构成犯罪。主流裁判思路是：公开可访问不等于授权无限制，若通过破解验证码、绕过频率限制、伪造身份凭证等技术手段突破技术措施，仍可能被认定为「其他技术手段」；若仅是遵守 robots 协议范围内的常规访问，则倾向于不构成该罪，但可能承担民事或反不正当竞争责任。这类边界个案差异大，不宜以「数据是公开的」作为唯一抗辩。
五、拒不履行信息网络安全管理义务罪：三个前置条件缺一不可
该罪的成立要求严格，须同时满足：一是主体属于网络服务提供者；二是未履行法律、行政法规规定的信息网络安全管理义务；三是经监管部门责令采取改正措施而拒不改正，且致使违法信息大量传播、致使用户信息泄露造成严重后果、致使刑事案件证据灭失情节严重，或有其他严重情节。
「经责令改正而拒不改正」是关键的出罪/入罪分水岭。企业收到监管整改通知后，必须书面回应、限期整改、留存整改证据。很多案件的转折点就在于：企业口头答应、实际未改，或改了但没有留痕，导致无法证明已履行。
「致使用户信息泄露造成严重后果」的量化标准，由《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（法释〔2019〕15号）规定，按信息类型分别设定泄露条数门槛。具体数值须按现行文本核对后援引，不同信息类型差别很大，套用错误类型会直接导致数量结论失真。
六、帮助信息网络犯罪活动罪与侵犯商业秘密罪
帮信罪的要害在「明知」。司法实践对明知的认定采用综合推定：交易价格或方式明显异常、提供专门用于违法犯罪的程序工具、频繁采用隐蔽上网加密通信销毁数据、提供技术支持或帮助被用于犯罪后仍继续提供、被举报后不履行管理职责等。对数据服务商而言，客户尽调、用途声明、异常流量处置记录是最有效的抗辩材料。
侵犯商业秘密罪在数据场景中多表现为员工或合作方带走客户数据库、算法模型、训练数据集。要点有三：秘密性（已采取相应保密措施，须有制度、权限、标识、协议等证据）、价值性（能带来商业利益或竞争优势）、保密措施（这是最容易被忽略却最致命的一环）。「情节严重」的认定标准近年来有调整，援引时应核对现行司法解释。
七、单位犯罪与责任人员范围
| 问题 | 规则 | 实务影响 |
|---|---|---|
| 是否构成单位犯罪 | 以单位名义、为单位利益、违法所得归单位 | 单位判处罚金，直接负责的主管人员与直接责任人员同罚 |
| 「直接负责的主管人员」 | 对犯罪行为起决定、批准、授意、纵容、指挥作用的人员 | 法定代表人、业务分管副总、数据负责人均可能被认定 |
| 「其他直接责任人员」 | 具体实施犯罪并起较大作用的人员 | 技术负责人、开发人员、运营操作人员 |
| 合规体系的作用 | 不当然免责，但影响主观明知与过错程度的认定 | 有制度、有审批、有拒绝记录，可切断「明知」与「纵容」 |
合规体系不能当「免罪金牌」用，但它能改变三件事：把个人越权行为与企业意志切开、把「明知」的推定打断、把量刑情节从重变轻（认罪认罚、合规整改、退赔挽损）。这三件事在实务中往往就是缓刑与实刑的差别。
八、常见问题
问：员工私自导出客户信息，企业是否一定担责？取决于企业是否履行了管理义务：权限是否最小化、导出是否留痕告警、是否签署保密与个人信息保护承诺、发现后是否及时处置。管理到位且能举证，可大幅降低被认定为单位犯罪或「纵容」的风险。
问：数据是公开的，抓取还构成犯罪吗？不必然构成犯罪，但也不当然合法。若使用技术手段突破防护措施，仍可能落入非法获取计算机信息系统数据罪；即使不构成犯罪，也可能承担民事赔偿责任或构成不正当竞争。
问：收到监管整改通知后该怎么处理？书面签收、限期整改、形成整改报告并附证据（制度文本、系统截图、日志、培训记录）、按期回复。拒不改正且造成后果，是刑法第二百八十六条之一的核心构成。
问：跨境提供数据有刑事风险吗？违反国家规定向境外提供重要数据，可能触及《数据安全法》的行政责任；情节严重、危害国家安全的，还可能涉及其他罪名。合规路径上，先判断是否触发安全评估，再谈合同与同意。
把八类罪名放在一起看，会发现防控逻辑高度一致：来源要合法（授权与同意）、范围要最小（字段与数量）、流转要留痕（审批与日志）、保管要到位（权限与加密）、出事要快处置（报告与整改）。这五件事既是行政合规的基本盘，也是刑事风险的第一道堤。
法条与依据核验：《刑法》第二百一十九条、第二百二十五条、第二百五十三条之一、第二百八十五条、第二百八十六条、第二百八十六条之一、第二百八十七条之二；《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条；《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）第一条；《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（法释〔2019〕15号）。各罪「情节严重」的具体数值标准以现行有效文本为准，本文未逐一列明具体条数门槛，援引前务必核对最新版本。
