数据领域投资人也会有刑事风险？
——企业数字化转型风险合规之五
作者：朱宣烨 王伟 高阳 孙鑫婧
数字经济时代，数字化或者数字化转型已经成为越来越多企业的选择。数据产业或者附带有数据概念的企业也成为了投资人关注的一个重要领域，投资人也成为数据产业发展重要的推动力量。
随着数据安全日益受到重视，网络安全的监管制度日益完善，各个企业对数据的保护意识日益增强，政府针数据相关的违法犯罪行为的打击力度也逐步加大。投资人在推动数据产业发展，推动企业数字化进程的同时，如果处理不当也会面临着不容忽视的刑事法律风险。本文针对实践中一些典型的不正确的看法，结合案例作出提示。
1. 与数据相关的刑法罪名并不少
相较于非法吸收公众存款、虚开增值税专用发票、合同诈骗等企业经营中经常遇到的罪名，涉及数据的罪名并没有经常地出现在大家的视野中。但是，实际上与数据相关的刑法罪名并不少，而且随着数据的价值日益得到重视，这类案件也日益增加。具体而言，企业可能涉及的与数据相关的刑法罪名主要有以下两大类：
1.1 计算机系统安全类罪名
具体包括非法侵入计算机信息系统罪，破坏计算机信息系统罪，非法获取计算机信息系统数据罪，非法控制计算机信息系统罪和提供侵入、非法控制计算机信息系统程序、工具罪。这类罪名较为常见，主要是数字化发展的结果，尤其是大数据时代，数据的存储、处理、应用离不开计算机系统构成的网络环境，要从事与数据相关的刑事犯罪行为，首先就是要破坏或侵入数据所在的计算机系统，对该计算机系统的安全造成损害。例如，盗窃代币（token），盗窃游戏币等行为[1]，其表现为采用技术手段，获取计算机系统中存储的数据，所以即使这一行为不能构成盗窃罪，却也有可能涉嫌构成非法获取计算机信息系统数据罪。
1.2 其他犯罪
根据被侵害的数据的具体属性，可能构成其他犯罪。
1.2.1 侵犯公民个人信息犯罪
个人信息也是大数据时代企业的重要资源，但是由于个人信息的特殊性，我国刑法对于侵犯公民个人信息的行为进行了专门规定，该罪名并不必然要求行为人的行为对计算机系统安全构成破坏。例如，非法获取打印在纸上的或者存储在接入计算机系统的u盘里的个人信息的行为都可能触犯这一罪名。
1.2.2 盗窃罪
如果侵害的是有财产价值的数据，或者通过数据的修改增加了自身的财产，则可能构成盗窃罪。如直接修改的是银行存款信息，使自己财富增加的，则可能构成盗窃罪。
1.2.3 侵犯著作权罪
如果侵犯的他人服务器中的数据表达为作品的，则可能构成侵犯著作权罪。
需要注意的是，所涉及的罪名之间也可能存在吸收或竞合的关系，本文不再展开。
2. 投资人不会必然排除涉刑风险
无论是根据对被投资企业的业务参与度不同，分为的战略投资人、财务投资人以及实业投资人；还是根据投资时企业的发展阶段不同，划分的天使投资人、VC或是PE，在被投企业涉及到数据刑事犯罪时，各类投资人虽然没有直接实施犯罪的行为，但是当被投企业涉嫌刑事犯罪时，并没有哪类投资人能必然排除在刑事风险之外。投资人是否涉刑关键在于看其是否有符合刑法规定的罪名的构成要件。根据既往的案例，在被投企业涉刑时，既有投资人作为主要直接主管人员因公司单位犯罪而被处以刑罚，也有投资人与公司其他人员直接构成共犯而被处以刑罚。
以财务投资人为例，财务投资人是参与公司直接经营程度比较低的投资人类型，其更看重短期回报，关心盈利状况以及盈利能力。虽然在很多情况下，财务投资人不直接参与公司的经营管理，因公司的违法犯罪行为受到牵连的情况相对小。但是“财务投资”如果处理不当，仍有受到刑事处罚的风险。
例如，在李某等18人合同诈骗罪一案[2]中，李某等人成立某信息公司，并利用该信息公司从事售卖网络域名的合同诈骗活动。被告人张某，在该信息公司成立之后，通过受让股权的方式入股该公司，同时兼任该公司的财务总监。张某抗辩称，其仅为财务投资，并不参与公司管理，仅为该公司财务工作提供策划和咨询，不了解公司的实际业务模式。但是法院最终认为，张某在入股某公司后，得知该公司从事合同诈骗行为，仍然从事上述相关工作。据此认为，张某构成合同诈骗罪。
3. 后期投资也能构成犯罪
很多投资人在公司成立之后，通过增资或者股权转让的方式成为股东。但是即便如此，投资人并不能以在投资前不知道被投公司存在犯罪行为为由，主张对投资后公司的涉刑行为完全免责。认定犯罪嫌疑人是否存在犯罪故意与其介入犯罪过程的时间早晚并没有必然联系。
例如，在上述李某等18人合同诈骗罪一案中[3]，被告人张某辩解称，其在入股前对公司销售人员的诈骗行为并不知情，在其得知公司存在的一些违规营销行为后，曾经表示反对并要求退股。据此，其认为自己不具有合同诈骗罪的故意。但是法院判决认为，根据证人证言，被告人张某在得知公司存在合同诈骗的行为之后，仍然帮助公司从事财务管理的相关工作，所以其存在犯罪故意，构成合同诈骗罪。
4. 授意和帮助亦有可能构成犯罪
直接实行犯罪行为构成犯罪并无争议，但教唆或帮助他人从事犯罪行为也能构成犯罪的相关法律规定较易被忽视。在涉及数据犯罪的司法实践中，就有股东因为向公司员工提出技术要求，并放纵公司员工使用违法方式实现而被追究刑事责任的情形。
在某技术有限公司于某犯侵犯著作权一案[4]中，某技术有限公司经营的网站设有小说、新闻、美图等多个频道，通过在网页植入广告收取广告收益分成。被告人于某系该公司股东，负责技术工作，并担任法定代表人。2012年，为提高该网站的用户数量，于某提出开发触屏版小说产品，将HTML格式的小说网页转码成WAP格式的网页供移动用户阅读。在未获受害公司许可的情况下，擅自使用软件，复制、下载受害公司发行于其网站上的文字作品，存储在某技术公司的服务器内，供移动电话用户在小说频道内免费阅读，再通过在“易查网”内植入广告，使用易查公司的银行账户收取广告收益分成。在本案中，被告人于某抗辩，其仅提出了技术要求，对具体落实情况并不知情，但是法院认为，被告于某既然直接提出该产品的技术需求，则在具体开发中，尤其是产品上线前，其应跟踪了解该产品的技术实现方式，以确保不侵犯他人合法权益。于某自认其并未完全了解该技术的具体实现方式，也未就开发中的具体技术问题进行后续跟踪，其主观上至少存在放任的间接故意。因此，于某作为易查公司的直接负责和主管人员也应该对侵犯著作权罪承担刑事责任。
5. 建议
虽然判断是否存在与数据相关的刑事风险比较复杂和专业，不似非法吸收公共存款、合同诈骗等常规的刑事案件那样为普通大众所熟知，但是投资人仍可以从以下几个方面加以把握，提高警惕，降低刑事风险。
5.1 树立数据有价、尊重隐私的观念
虽然与数据相关的刑事犯罪罪名多样，加之很多行为的罪与非罪的边界处于正在逐渐明晰的过程中，作为投资人可能不能详尽准确地了解所有的刑法罪名以及对应的犯罪行为方式。但是刑法中设立的罪名是基于基本的价值判断，所以投资人树立基本的价值判断理念，就足以在对具体被投企业做出具体行为时保有足够的警惕意识。数据尤其是存在于计算机系统中的数据受到法律的特别保护，在获取或对其进行处理时应当考虑方式是否合法；个人信息无论其是否存在于计算机系统中，都受到法律的特别保护，如果获取或处理的数据涉及个人信息，亦需要引起特别的注意。
5.2 不能以经验判断代替法律判断
在互联网和数据行业的发展初期，由于立法的滞后性和执法人员需要有了解、学习的过程，且数据的经济价值并未那么凸显，此类案件并不多见，所以容易造成某些已经触犯刑法的行为并不构成犯罪的“实践经验”。所以不能用经验判断代替法律判断，否则会像下面的案例一样即使是行业老将也难免折戟。在上海某公司及其大股东（兼法定代表人）、CEO、CTO以及某员工等非法获取计算机信息系统数据罪一案中[5]，公司的大股东（兼法定代表人，以下简称该股东）在行业内“摸爬滚打”十余年，行业经验丰富。为了获取被害公司的数据，上海某公司采用技术手段破解受害公司的防抓取措施，使用“tt_spider”文件抓取被害公司服务器中存储的视频数据。最终，上海某公司的行为被认为构成非法获取计算机信息系统数据罪，大股东（兼法定代表人）、CEO、CTO作为直接负责的主管人员，某员工作为其他直接责任人员，均被判处刑罚，尤以大股东的刑期最长。
5.3 不要把行业习惯当作免责理由
身为投资人不能持有行业惯例不属违法行为或者即使违法也因为“法不责众”而不会被追责的侥幸心理。行业习惯向来就不是法定免责理由，法律不会因为涉案行为是行业惯常的行为就免除处罚。在某信息公司及李某波等侵犯著作权一案[6]中，被告人李某波系某信息公司的大股东，自2014年起，被告人李某波为提高该软件的知名度和点击下载量，在未获被害公司等许可的情况下，擅自通过“快读免费小说”软件复制、转载被害公司等发行于其网站上的多部文字作品，存储在服务器内，供Android移动电话用户下载该软件后免费阅读上述文字作品。法院经审理认为，该信息公司行为已构成侵犯著作权罪，依法应当判处罚金。李某波是直接主管人员，和其他主管人员及直接责任人员同样被以侵犯著作权罪追究刑事责任。本案中，被告人李某波辩解称，类似网站的创业初期均无法承担巨额的版权购买费，均是逐步有序走向正版化，但正版化需要过程及财力支撑。该种辩解理由显然是模糊了行业习惯和法律的界限，被告人想把行业习惯作为自己不构成刑事犯罪的辩解理由，是不能够成立的。
5.4 加强对拟投及被投企业数据合规方面的调查和辅导
近年来，国家在网络安全、数据保护方面颁布了一系列法律制度规范和国家标准，投资人在投资尽职调查过程中和在投资后的管理过程中，应当依照相应的规定、参考推荐性的国家标准，加强对拟投资企业及被投企业在数据合规方面的调查和辅导，降低涉及数据的刑事风险。如果发现拟投资企业或者被投企业存在违法行为，应当及时停止对其投资以及提供其他方面的业务支持。另外，投资人拟对被投企业与数据相关的具体业务提出需求时，亦应谨慎考察该具体业务的需求本身是否能够通过合法且现实的手段实现；如果投资人所提要求难以通过合法且现实的方式实现，则不应要求被投企业实施。
[1] 可能由于代币、游戏币是否能够确定经济价值尚存不同看法，上述窃取行为是否可以认定构成盗窃犯罪司法实践也不相同。
[2]（2014）一中刑初字第3713号
[3]（2014）一中刑初字第3713号
[4]（2015）浦刑(知)初字第12号
[5] (2017) 京0108刑初2384号
[6] (2014) 浦刑(知)初字第24号
