进一步完善数据分类分级刑法保护体系

　　“十五五”规划纲要提出，健全数据要素基础制度。该制度是围绕数据要素市场化配置形成的一系列基础性制度，旨在平衡数据安全与发展、释放数据要素价值。从刑事司法实践来看，不同数据对象往往牵涉不同类型、程度的法益侵害风险，现有的数据分类分级标准难以完全适配于我国的刑法分则体系，针对数据犯罪展开的定罪量刑工作有待改进。须进一步完善数据分类分级的刑法保护体系，助力我国数据安全治理体系和治理能力现代化。

　　

　　长期以来，我国刑法通过直接保护和间接保护两条路径贯彻数据分类分级保护理念。在直接保护方面，刑法通过在法条中直接规定数据的有关内容实现保护，如刑法第285条第2款规定了非法获取计算机信息系统中存储、处理或者传输的数据的行为，第286条第2款规定了有关删除、修改、增加计算机信息系统中存储、处理或者传输的数据的行为，第134条之一、第142条之一则分别对生产安全领域和药品安全领域的数据进行了规定。在间接保护上，刑法通过保护其他对象的方式实现数据保护，如刑法第253条之一侵犯公民个人信息罪，就是通过保护个人信息的形式实现个人数据保护。在立法、司法和理论研究的三方合力下，数据分类分级刑法保护体系愈发健全，但由于数据概念具有词性不明、内涵不清、外延不定等特征，不同数据类型所蕴含的法益内容各不相同，加之现有的主流数据分类分级标准无法完全与刑法体系相匹配，数据的刑法保护仍然面临不少阻碍。

　　数据分类识别的准度不足。基于数据样态的多样化，数据类型的划分存在多种标准。但无论是以持有主体为依据划分的个人数据、企业数据和公共数据，抑或是以法律属性为依据划分的数据元素、原始数据、衍生数据、数据产品，均未有效兼顾到刑法的独立价值。司法机关在借用这些标准识别数据法益时存在一定困难，因此通常将信息数据、虚拟财产、知识产权类数据等承载不同法益内容的数据对象认定为一个抽象的数据概念。

　　数据分级判断的精度不够。基于数据安全法的规定，数据分级制度围绕核心数据、重要数据和一般数据展开，刑法研究中也有不少学者提出要以这一标准为蓝本设置不同的入罪门槛和升档量刑标准。但这种分级标准仅从指导意义上提出分级保护的要求，并没有为分级标准提供可操作的具体规则，因而无法有效转化落地。

　　

　　

　　基于不同视角设定的数据分类分级标准分别隐含了不同目的。现今主流观点通常是以主体、功能、属性为标准，对某一领域中的数据子类型进行讨论，无法满足刑法保护需求。刑法惩治的是一切犯罪活动，保护的是所有值得保护的法益，涉及国家安全、社会稳定、个人权利等不同领域的数据对象。因此，能否合理界定数据刑法保护的对象范围，是数据分类分级标准是否可行的关键。

　　以内容属性为标准进行数据分类分级，能够合理界定数据刑法保护的范围。其中，内容指向了数据的存在论面向，不仅基于数据的本质特征实现了事物分类，还为讨论数据在法律层面的价值内容提供了基础；属性则指向了数据的价值论面向，通过对不同数据对象所承载的具体利益进行判定，进而与刑法所保护的法益形成对应，彰显了与刑法相一致的价值追求。依据这一标准，可以对刑事司法实践中的数据样态进行领域划分，并将具有同一本质内容、不同表现形式的数据对象进行分类、整合，从而加深司法机关对于不同数据对象的体系性认识，助力定罪量刑工作。

　　具体来说，可以将数据划分为系统数据、承载信息内容的数据和承载财产内容的数据三种类型。系统数据是指存在于数据基础设施当中，能够保证系统安全运行的数据，或是在系统运行过程中初次生成的数据。相较于表征特定内容的数据，系统数据难以用财产权、信息权进行保护，它主要承载的是一种安全价值。在系统数据当中，又可以划分为表征系统处理规则的数据和一般数据两种子类型。承载信息内容的数据是指电子化的且具有现实意义的信息内容。这种数据既包括与自然人相关的基本信息甚至隐私，也包括诸如军事信息等现实事物的记录，因此在对不同的信息数据进行保护时，可能会采取不同的处理规则。此类数据包括个人数据、企业数据和公共数据三种子类型。承载财产内容的数据基于其展现的财产属性而确立，具体包括基于一般财产权确立的虚拟财产、知识产权类数据和数据产权类数据。虚拟财产当中包括了账号类虚拟财产、物品类虚拟财产和货币类虚拟财产三种样态；知识产权类数据主要包括了作品、人工智能生成物以及商业秘密等等；而数据产权类数据则主要是指数据资源、衍生数据、数据产品与服务等等。

　　

　　

　　依据内容属性所建立的数据分类分级标准将为数据的刑法保护打下坚实基础，通过对不同数据的本质特征形成系统性认识，有助于进一步完善数据分类分级刑法保护体系。

　　从分类层面来看，对不同数据进行法益识别，有助于实现罪名认定的准确性。一是系统数据的法益识别。系统数据往往表征为数据安全法益，其内涵包括静态安全和动态安全两个方面。其中，数据的静态安全是指数据处于持续安全的状态。实践中破坏数据持续安全状态的行为，通常表现为行为人基于非法控制计算机信息系统的目的操作系统数据，对此可以通过非法控制计算机信息系统罪进行规制。数据的动态安全是指数据能够被有效保护和合法利用。对数据的有效保护状态的破坏，通常表现为对计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加的操作，对此可以通过破坏计算机信息系统罪进行规制；对数据的合法利用状态的破坏，则主要表现为非法获取计算机信息系统中存储、处理或者传输的数据的行为，对此可以通过非法获取计算机信息系统数据罪进行处理。二是信息类数据的法益识别。虽然个人数据、企业数据和公共数据承载的都是信息内容，但三者在刑法中所表征法益内容却不同。其中，个人数据承载的内容为公民个人信息，侵害个人数据行为本质上侵害的是公民对其自身信息的自决权，应当通过侵犯公民个人信息罪进行规制。企业数据承载的是企业在正常经营活动中所获取的信息内容，这种信息能够帮助企业获得经济收益，因此又具有财产属性。刑法在对侵犯企业数据行为进行认定时，更应当从财产犯罪的视角进行考量。公共数据所承载的信息内容往往具有公共属性，侵犯此类数据行为所侵害的法益对象是国家利益或社会公共利益，因此刑法在保护此类数据时需要从公共法益层面进行考虑。三是财产类数据的法益识别。虚拟财产、知识产权类数据和数据产权类数据均具有财产属性，但刑法对于侵犯三者的行为却并非都以财产犯罪论处。针对虚拟财产，虽然在过去的理论与实践中均存在“信息系统数据抑或无体性财物”之争，但在如今，将其视作无体物并将相关侵害行为认定为财产犯罪更为合理；针对知识产权类数据，虽然其承载了一定的财产内容，但刑法更加注重其蕴含的市场经济秩序安全法益，相关侵害行为一般认定为知识产权犯罪；针对数据产权类数据，虽然其在法律层面的确权问题存在争议，但结合现有刑法分则体系和司法实践情况来看，将这类数据视作财产性利益从而纳入财产犯罪的保护范围之内，显然是一个相对妥当的方案。

　　从分级层面来看，对表征同一法益的数据，根据重要程度、危害程度等进一步分级，有助于实现准确量刑。一方面，针对能够区分重要程度的数据类型，应当进一步细化分级标准。例如，个人信息数据依照其承载的信息内容而具有不同的重要程度，最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》基于不同重要程度，将信息数据划分为三个层级并设置了不同级别的入罪门槛，但在分级标准和内容的设定上仍然存在范围狭窄的问题。基于实践需要，应当在第一层级的信息类型中加入生物识别信息和相关信息，在第二层级的信息类型中加入隐私、人身自由、人格尊严等与人格相关的信息，以实现更为精准的个人数据保护。另一方面，有的数据类型内部并不存在重要程度上的差异，但因犯罪行为所侵害的数据数量、价值等的不同而具有危害程度差异。对于此类情形，应当基于不同数据的本质特征，结合对象数量、价值等方面因素完善量化量刑标准，从而保障量刑的精准度。以盗窃虚拟财产行为为例，对于账号类虚拟财产的价值，应当根据行为人违法所得金额来进行判断；针对物品类虚拟财产，应当根据其获得的渠道以及用户是否投入劳动来判断犯罪数额；针对货币类虚拟财产，则应当以被害人损失数额作为犯罪数额计算的标准。

　　（徐立系中南财经政法大学法学院教授，谭卜铭系中南财经政法大学法学院博士研究生）

　　● 责任编辑：张怡静