刘笛 | 拒不履行信息网络安全管理义务罪的认定疑难和辩护突破

点击蓝字

关注我们

作者简介

刘笛

上海靖予霖律师事务所

网络犯罪研究与辩护部副主任

青年律师工作委员会副主任

2022年1月14日，公安部在京召开新闻发布会，通报“净网2021”专项行动全年共侦办案件6.2万余起，同比增长10.7%；抓获犯罪嫌疑人10.3万余名，同比增长28.7%；行政处罚违法互联网企业、单位2.7万余家。其中，办理侵犯公民个人信息案件9800余起，抓获犯罪嫌疑人1.7万余名；侦办实施有偿删帖、虚假刷评、造谣引流、假冒新闻媒体敲诈勒索等相关案件200余起，抓获犯罪嫌疑人2000余名，依法关停“网络水军”账号620万余个、网站1200余个，解散网络群组17万个；抓获制作、贩卖青少年淫秽物品的犯罪嫌疑人300余名，铲除涉青少年淫秽色情网站16个；摸排、检查网络教育、游戏等重点网站、APP1.2万余个，行政处罚违法违规企业852家，限期整改2609家；清理色情低俗文学作品40万余部、各类违法有害信息104万余条；对“黑卡、黑号、黑线路、黑设备”发起“四断”行动，聚焦卡商、号商、打码接码平台等重点对象，侦办案件1.3万余起，抓获犯罪嫌疑人3.1万余名，清理手机黑卡300万余张，关停网络黑号1000万余个，捣毁接码平台63个，缴获 “猫池”等黑产设备1万余台；对非法“支付结算”“广告推广”“建站设施”“技术支持”发起“四治”行动，打掉非法支付结算等各类团伙6000余个，抓获犯罪嫌疑人7.3万余名，巡查处置违法信息44万余条；对“网络电视、网络游戏、网络信息发布平台” 和“动态IP代理”发起“四管”行动，开展行政执法检查4.8万余家（次），行政处罚违法网站平台3651家（次），会同有关部门依法查处涉赌、涉淫秽信息突出的网络游戏134款、非法网络电视平台146个，关停非法宽带线路1.3万余条。

结合公安部“净网行动”方向、内容和成果，结合拒不履行信息网络安全监管义务罪的法规规定、司法解释、实际案件和权威解读，本文提出以下两项关于拒不履行信息网络安全监管义务罪的认定疑难问题，法律认定的疑难之处同时便是案件实务的辩护要点。

一、 犯罪主体资格问题

两高《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（下称《解释》）第一条规定了三类“网络服务提供者”，即作为网络技术服务提供者、网络内容服务提供者和网络公共服务提供者的单位和个人。由于单位犯罪实施“双罚制”，透过单位犯罪处罚直接负责的主管人员和其他直接责任人员的规定，对自然人作为本罪犯罪主体的资格认定问题疑义不大。

需要考察的是解释中的“单位”应作何理解？刑法第三十条的规定是“公司、企业、事业单位、机关、团体”，似乎要求“单位”是法人或非法人组织。但是《全国法院审理金融犯罪案件工作座谈会纪要》明确了单位的分支机构或者内设机构、部门实施犯罪行为的，应认定为单位犯罪。据此，分公司等分支机构被涵盖到刑法“单位”的概念中，因而也应该可以作为本罪的犯罪主体。同时本罪的罪状特殊，要求“经监管部门责令采取改正措施而拒不改正。”而我国《行政处罚法》第三条规定行政处罚的对象为“公民、法人或者其他组织”。《最高人民法院关于适用<中华人民共和国民事诉讼法>若干问题的意见》第四十条规定其他组织是指合法成立、有一定的组织机构和财产，但又不具备法人资格的组织，包括法人依法设立并领取营业执照的分支机构。据此，分支机构肯定能够作为监管部门责令采取改正措施的对象。

另一方面，《网络安全法》第八条规定国家网信部门、国务院电信主管部门、公安部门和其他有关机关，县级以上地方政府有关部门依法律规定负有网络安全保护和监督管理职责。《数据安全法》第六条规定各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。公安机关、国家安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。国家网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。《个人信息保护法》第六十条规定国家网信部门、国务院有关部门，县级以上地方人民政府有关部门依法依规负有个人信息保护和监督管理职责。这就意味着我国法律法规授权多个不同级别、不同领域的机关单位可以对网络服务提供者提出要求，而且至少县级以上人民政府有关部门都具有这项权力。

于是问题转化为当某一分支机构被监管部门责令采取改正措施后，哪些主体可能成为本罪的适格主体？更准确地说：问题是对于被责令采取改正措施的单位的上级单位或同属于同一上级单位的其它平行单位，未在合理时间内实施被指令的改正措施的，是否是第二百八十六条之一的适格主体？

从监管运行的现状来说，一个区域的权力部门通常都只会对自己行政区划内的网络服务提供者发出监督指令。同时我们也知道，现实中跨地域的大型企业经常在各地的子公司或分支机构均开展类似的类型化的业务。例如：移动、电信、联通三大运营商各省公司具有独立的法人资格。市域、县域的相关部门虽有发出监督指令的权力，但是通常而言他们并不会“越级”向运营商省公司发出监管函件，更不会向位于北京的运营商集团公司发函。那么，当运营商的某市甚至某县域分公司因某项在各地均有相似流程的业务而接到当地权力部门的整改指令后，该运营商其它分支机构是否可能因为未执行指令而成为本罪的适格主体？

这个问题具有很强的现实意义，尤其对于类似三大运营商、阿里巴巴、腾讯这样的超大型企业而言。如果答案是肯定的，那么业务运行遭遇监管干涉的风险就太大，整改成本也太高，还极易产生因遭遇冲突指令而无所适从的问题。

从法律和法理的角度看，本罪要求被控单位“不履行法律、行政法规规定的信息网络安全管理义务”。法律和行政法规当然是各地通行的，但因为我国相关法律和行政法规还处于发展阶段，使得该罪中作为义务的确定并非不言自明。不同时期制定的网络管理法律、行政法规的用语、规范目的、规制范围都有差别，法律、行政法规为网络服务提供者确定了哪些信息网络安全管理义务，其边界并不十分清晰，各地的执行标准也并不十分统一。在甲地根据甲地的配套认定标准或甲地有权机关的裁量认为违反信息网络安全管理义务的行为，在乙地也许会得到不同评价。所以我们首先需要分析有权部门做出整改指令的依据：如果仅依据法律、行政法规和具有全国范围内统一效力和适用标准的明确无疑的规范而做成整改指令，那么具有在全国范围内需要统一整改的可能。因为该整改指令令网络服务提供者积极认识到其经营行为在全国范围内均为他人违法犯罪行为实现的一部分，或者对违法犯罪行为的实现具有直接性，其履行义务就具有期待可能性，在此基础上仍拒不履行监管义务的，不能否定其行为的不法性。但是，如果该整改指令的做成含有地方性的认定标准或者包含当地权力部门的自由裁量因素，则难以要求该认定标准有效范围之外或权力部门权力覆盖范围之外的其他单位也要执行相同或类似的整改指令。因为对于其他单位，依其本地认定标准或监管要求，其行为未遭遇违法认定，尚属中立行为，没有法律上的整改义务。

综上所述，本文的看法是：当跨区域企业的某分支机构接到监管整改指令时，在整改指令依据的法律规范中适用范围最小的规范的有效范围和做出整改指令的权力部门的权力范围的交集内的单位，才具有整改义务；拒不履行的，才是刑法第二百八十六条之一的适格主体。

而从更加“实际”的角度看，上述结论不但符合法律与法理，也更具有现实可行性。毕竟整改指令经常具有因地制宜、因时制宜、因事制宜的个案特征，不合理地扩大其效力范围对法益保护并无裨益。因此，当上述交集内的单位之外的其他单位因同类型行为遭遇执法调查时，应当先采用行政手段规制，其后才具有动用刑法的可能性和必要性。

二、 违法信息的范围问题

第二百八十六条之一构成犯罪的第（一）种情况是由于拒不履行信息网络安全监管义务“致使违法信息大量传播”。《解释》进一步明确了“大量传播”的数量标准却没有明确“违法信息”的含义，这就造成了明显的法律认定上的疑难。

我国其它法律法规中关于“违法信息”的范围，描述得已经很大。例如《网络安全法》第十二条第二款规定，任何个人和组织不得利用网络从事危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序，以及侵害他人名誉、隐私、知识产权和其他合法权益等活动。《电信条例》第五十六条规定任何组织或者个人不得利用电信网络制作、复制、发布、传播含有下列内容的信息：(一)反对宪法所确定的基本原则的；(二)危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；(三)损害国家荣誉和利益的；(四)煽动民族仇恨、民族歧视，破坏民族团结的；(五)破坏国家宗教政策，宣扬邪教和封建迷信的；(六)散布谣言，扰乱社会秩序，破坏社会稳定的；(七)散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；(八)侮辱或者诽谤他人，侵害他人合法权益的；(九)含有法律、行政法规禁止的其他内容的。

但是，从上述公安部“净网行动”的通报来看，“违法信息”的范围还远不止上述法律所列举的。例如：有偿删帖，虚假刷评、非法“支付结算、广告推广、建站设施和技术支持”相关信息等点名通报的内容，都难以归入上述法律法规规定的类型。

那么，是否致使包括但不限于上述的任何一种违法信息的大量传播都应该认定为犯罪呢？本文的观点是应当进行一定的甄别。

“违法信息”的范围几近无边无际，对比本罪刑法条文第（二）项和第（三）项规定则令这一点显得更加突出。第（二）项的法条用词是“致使用户信息泄露，造成严重后果的”，而《解释》将该项解释为“（一）致使泄露行踪轨迹信息、通信内容、征信信息、财产信息五百条以上的；（二）致使泄露住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的用户信息五千条以上的；（三）致使泄露第一项、第二项规定以外的用户信息五万条以上的；”。也就是说《解释》将“用户信息”进一步限制于与侵犯公民个人信息罪的保护范围相一致，且数量规定为侵犯公民个人信息罪的十倍。第（三）项的法条用词是“致使刑事案件证据灭失，情节严重的”，而《解释》将该项解释为“（一）造成危害国家安全犯罪、恐怖活动犯罪、黑社会性质组织犯罪、贪污贿赂犯罪案件的证据灭失的；（二）造成可能判处五年有期徒刑以上刑罚犯罪案件的证据灭失的；”。也就是说《解释》对“刑事案件证据”的范围也进行了进一步限缩。同条第（二）项、第（三）项的用词在含义本就比“违法信息”要清楚的情况下尚需进一步限缩，第（一）项就更没有无边无际的理由。

一种可能的合理限缩途径是：以刑法条文表述“网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务”为依据，将“违法信息”的范围同样限制在“法律、行政法规”规定的范围之内。如此，则依据部门规章、地方性法规、规范性文件等认定的“违法信息”不应纳入本罪第（一）项的计算范围内。当然，信息网络安全监管部门未依据法律、行政法规规定作出认定；仅仅作出口头认定；甚至违法作出认定的，网络服务提供者更不构成本罪。

更进一步，对于《网络安全法》、《电信条例》规定的“违法信息”也应该对其“违法程度”做出适当审查，以期与拒不履行网络安全监管义务罪第（二）项的认定标准保持一种协调和均衡。例如：对于“散布谣言，扰乱社会秩序，破坏社会稳定的”可以参考网络寻衅滋事罪的认定的标准；对“煽动民族仇恨、民族歧视，破坏民族团结的”可以参考煽动民族仇恨、民族歧视罪，出版歧视、侮辱少数民族作品罪的认定标准；对“侮辱或者诽谤他人的”可以参考侮辱罪、诽谤罪的认定标准等；再考虑同类解释规则，确定适当范围。

对于本罪，被调查单位的犯罪主体资格、违法信息的范围、整改措施发布的依据、未执行整改措施与造成后果的因果关系、整改指令执行的现实或期待可能性等等均为可能的辩点，限于篇幅，不及进一步展开或做更多探讨，以上内容供读者方家批评、指正。

END

本文作者：刘   笛

本文编辑：尚   鹏

本文审阅：王星雨

（本文观点和内容与本公众号无关）

（如有侵权，请联系删除）

延伸阅读：

数字化治理中的法律难题 | 数字法学沙龙第22期
网络技术的法律风险防范 | 数字法学沙龙第21期

原创｜斗鱼与麒麟童公司侵害作品表演权纠纷案——浅析网络直播平台的侵权责任

主　    编：吴     芮

副  主  编：尚     鹏

来稿请投：zjulaw@aliyun.com

转载须授权