破坏计算机信息系统罪界定——收到无罪判决后的思考
作者按：曾在某破坏计算机信息系统案件中，作为某被告单位的辩护人出庭辩护，并最终获得无罪判决，但同案其他被告单位、被告人均被判有罪，甚为遗憾。我们一直认为，该案各被告人的行为均不构成犯罪。心存疑惑，如鲠在喉，不吐不快，今整理出来，以遗方家。
通常而言，网络犯罪被分为两大类，一类是以网络为手段的犯罪，如网络诈骗、网络赌博、非法利用信息网络等等，另一类是以网络为目标的犯罪。后者我国《刑法》285条规定了非法侵入计算机信息系统罪、非法获取计算机信息系统数据、非法控制计算机信息系统罪、提供侵入、非法控制计算机信息系统程序、工具罪，286条规定了破坏计算机信息系统罪。在判断行为人是否构成《刑法》286条规定的破坏计算机信息系统罪时，应该紧扣罪名所要求的的犯罪构成要件，从所实施行为和保护的法益出发，细致分析行为人的行为是否侵害了本罪所保护的法益并达到了需要《刑法》规制的“后果严重的”程度，同时，准确评价行为人所实施的行为和现实中的严重后果之间是否存在刑法上的因果关系。如果行为人的行为并没有对用户操作使用计算机信息系统的目的造成实质影响，也没有造成法律规定的破坏计算机信息系统安全的现实严重后果，只是造成了可能的潜在风险，不应构成本罪。
案例相关内容
简要案情：
D公司的负责人陈某某为扩大D公司的营业收入，从他处购入具有重定向功能的DPI程序源代码，之后指使D公司员工田某为其编译成可执行文件DPI程序。期间，D公司与X公司签订业务推广技术服务合同书，约定通过X公司服务平台为D公司的广告业务推广提供服务，收益双方按约分成。X公司大数据部总监朱某与陈某某私下商定，以X公司与D公司合作分成的方式，由朱某利用X公司业务渠道获取相关电信运营商流量服务器的权限并提供给陈某某，陈某某利用该权限通过设置在上述服务器上的DPI程序进行流量劫持获利。
陈某某通过设置在阿里云空间的管理平台对DPI程序进行策略布置，并指令田某在上述相关服务器上部署DPI程序，该程序可以对上述服务器中监测到的上网用户http数据包包头进行解析、修改，植入陈某某预先设置的广告推广数据，并将修改后的数据包再次发送给用户，用户在访问相应网站时，该网站会被强制弹出陈某设置的广告，陈某某再与其他商家结算广告费用，以上述流量劫持方式获利。
判决理由：
陈某某等人的流量劫持行为虽然未造成东方财富网运营计算机信息系统无法正常运行，但因流量劫持行为造成东方财富APP炒股大赛页面出现空白、强制弹出弹窗广告等后果，致使部分用户访问东方财富APP炒股大赛页面、进行相应操作的目的未能实现，上述流量劫持行为严重干扰了用户上网体验…被告人的流量劫持行为对计算机信息系统及网络环境的安全与稳定…具有现实及其他潜在的危害…可以认定为造成“其他严重后果的“破坏计算机信息系统行为，相应构成破坏计算机信息系统罪。
案件相关信息：
1.东方财富网员工吉某某证明，其公司网站不能显示，是因为360浏览器将连接中的一个脚本误判为广告，进行屏蔽了。即所谓的后果是360浏览器误判引起的，与本案中的劫持流量行为无关。
2.据了解，无论是PC客户端还是手机客户端，网络页面上的广告位均是固定存在的，属于网站所有。网站在广告位执行的是互联网广告联盟的代码，互联网广告联盟可以控制在网站广告位上发放什么广告。陈启商等人没有也不可能在网络页面上直接嵌入广告位，其业务是通过互联网广告联盟发放广告的权限，把自己的客户的广告投放到网站广告位上面，为客户做广告推广。而所谓的“渠道号”，就是指区别广告商身份的代码。
一、破坏计算机系统犯罪的犯罪构成分析
（一）破坏计算机信息系统犯罪的行为
根据《刑法》286条规定，破坏计算机信息系统罪的罪状有三种：
第一种是违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的。计算机信息系统功能，是指计算机系统内,按照一定的应用目标和规则，对信息进行采集、加工、存储、传输、检索等的功能。造成计算机信息系统不能正常运行，包括使计算机信息系统不能运行和不能按原来的设计要求运行。
第二种是违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。
第三种是故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的。
上述国家规定指《中华人民共和国网络安全法》《中华人民共和国数据安全法》《计算机信息系统安全保护条例》《计算机软件保护条例》《中国公用计算机互联网国际联网管理办法》等。两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下称“《两高解释》”）第四条对“后果严重”进行了规定：1.造成十台以上计算机信息系统的主要软件或者硬件不能正常运行的；2.对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的；3.违法所得五千元以上或者造成经济损失一万元以上的；4.造成为一百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务或者为一万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上的；5.造成其他严重后果的。
（二）破坏计算机信息系统罪保护的法益
破坏计算机信息系统罪所侵害的客体是计算机信息系统的安全，对象为各种计算机信息系统功能及计算机信息系统中存储、处理或者传输的数据和应用程序。这里既包括了对计算机信息系统功能安全的保护，以保障用户使用计算机信息系统的功能顺畅、有效地处理工作、生活需求。也包括了计算机信息系统中传输数据的完整性和准确性，以保障计算机信息系统功能的正常使用和用户有效实现使用计算机信息系统的目的。同时，根据本款规定，“后果严重”是构成本罪的要件，没有造成严重后果的，不构成本罪。
二、陈某某行为的实质分析
在司法实践中，对计算机信息系统中的数据进行任何添加、删除、修改操作，都有可能符合《刑法》286条第二款之罪状，如果只要达到《两高解释》规定中违法所得五千元以上或者造成经济损失一万元以上的便要入罪，显然不当扩大了本罪的适用范围。因此应该紧扣行为是否侵害本罪保护的法益，从以下几点出发对行为人的行为进行分析：一是行为人利用的技术或程序是否具有破坏计算机信息系统安全的可能，二是行为人是否利用该种技术或程序对计算机信息系统实施了破坏行为，三是现实中发生了某种严重后果，四是行为人的行为和该严重后果具有刑法上的因果关系。
（一）陈某某的行为符合本罪第二款中对行为的规定，但是否达到“后果严重”，应根据陈某某的行为对本罪法益造成的实际侵害进行分析
2.陈某某布置DPI程序的行为并未对本罪保护的客体计算机信息系统安全构成实质侵害并造成严重后果。如前文所述，并非所有对计算机信息系统中的数据进行添加、删除、修改操作都构成本罪，要认定陈某某构罪，需要认定：①DPI程序具有破坏计算机信息系统安全的功能；②陈某某实施了利用DPI程序破坏计算机信息系统安全的行为；③发生了法律规定的“严重后果”；④陈某某的破坏行为和该“严重后果”具有刑法上的因果关系。如图1所示，本案中陈某某的获利方式，是利用DPI程序，更改渠道号，增加自己推送的广告的点击数量。即陈某某利用DPI程序实施的行为并未破坏计算机信息系统的功能，也未影响用户操作计算机信息系统的目的实现，其行为对计算机信息系统安全没有实质损害。
图 1
（二）陈某某的行为是否造成严重后果，应该考察相应严重后果和陈某某行为是否具有刑法上的因果关系
1.陈某某的行为无法造成判决理由中所载的危害后果。由于现实中发生了东方财富APP炒股大赛页面出现空白、强制弹出弹窗广告等后果，致使部分用户访问东方财富APP炒股大赛页面、进行相应操作的目的未能实。此时应该考虑①陈某某布置DPI程序是否有可能造成相应的严重后果；②该严重后果能否由其他原因造成；③在案证据能否证明该后果是由陈某某或者其他原因造成。首先，之前已经分析，更改广告渠道号的行为，不影响计算机信息系统。无论是PC客户端还是手机客户端，网络页面上的广告位均是固定存在的，属于网站所有，陈某某等人没有也不可能在网络页面上直接嵌入广告位。其次，陈某某的行为实质上是利用DPI程序重定向功能更改渠道号，增加自己推送的广告的点击数量，不会对计算机信息系统安全造成实质损害。
2.裁判理由中的危害后果是由其他原因造成的。在案情相关信息中已经得知，东方财富网员工吉某某证明，其公司网站不能显示，是因为360浏览器将连接中的一个脚本误判为广告，进行屏蔽了。即所谓的后果是360浏览器误判引起的，与本案中的劫持流量行为无关。
三、裁判理由中的“行为对计算机信息系统及网络环境的安全与稳定…具有现实及其他潜在的危害”不能成为行为人构成犯罪的理由
根据犯罪既遂类型看，破坏计算机信息系统罪是结果犯，即只有发生了法律规定的危害后果才能认定行为人构成本罪。在流量劫持犯罪中，多数情形下，实际上是通过修改数据包中的数据和应用程序，劫持网络访问机会，对于计算机系统本身的运行并不会产生影响，主要是对计算机网络访问业务至关重要。本案中陈某某主要是通过劫持流量增加自身业务数量，并未对计算机信息系统安全造成侵害。当然，由于流量劫持行为本身较为隐蔽不易被发现，劫持行为也会对计算机信息系统的部分数据进行修改、增加、删除。基于网络的高速传输性，可同时对多个目标发动连续多次劫持行为，这有可能对整个计算机信息系统的安全造成破坏，也可能存在其他潜在的风险。但所有可能的风险并不能直接作为认定行为人构成犯罪的认定依据，评价行为人是否构成犯罪，应该根据法律规定的构成要件。行为人造成的可能的风险可以作为量刑情节进行考量。
四、此类网络犯罪中的行为和所造成危害后果应具备直接的因果关系，危害后果与该罪名所保护法益的关系应当具有紧密的相关性
刑法中的因果关系具有直接性，如故意杀人罪，行为人实施的杀人行为和受害人死亡的损害结果之间必须具备直接地引起和被引起的因果关系，被害人死亡的损害结果和此罪的保护客体他人生命权之间应该具有类型、性质上的一致性。本案中的“劫持流量”的行为和结果，即更改广告渠道号的行为和增加陈某某公司广告点击量的后果，均发生在网络空间。其对现实世界产生的影响，即陈某某可以因此更多获取服务报酬，已经是以结果为原因的结果。破坏计算机信息系统罪保护的客体是计算机信息系统的安全，而本案中陈某某的行为造成的直接结果是更改广告渠道号、增加陈某某公司广告点击量，间接结果是陈某某可以因此获得更多服务报酬。即便可以将陈某某获得更多服务报酬的结果和其行为评价为具有直接因果关系，其获得更多服务报酬的结果和本罪的保护客体计算机信息系统的安全显然并不具有类型和性质上紧密的关联性。如何评价这个间接结果和本罪保护法益之间的关系？本案中陈某某是通过DPI程序实现，而网络空间中此类行为和手段非常丰富，与之伴随而来的后果可能更为复杂，对于发生在网络虚拟空间中的行为的法律规制，目前尚待解决。