离职那天，他导出了 4 万条客户信息：这不是“带走资料”，是刑事犯罪

法律看的不是“你怎么想”，而是“这些数据是什么、你怎么拿的、拿了多少、拿去做什么”。

这起案件里，一名离职的技术负责人从原公司导出了四万余条客户信息，其中有手机号、住址、消费记录。他没有转卖，也没有公开，只是存进了自己的网盘，“以备将来用得上”。

最终，检察机关以非法获取计算机信息系统数据罪提起公诉。

这篇文章讲清三件事：这条罪名到底保护什么；五百组、二十台、一万元这几个数字意味着什么；以及一旦涉案，真正能起作用的辩护支点在哪里。

01 先把案件说清楚：数据是怎么“出去”的

当事人周某，是一家电商服务公司的技术负责人，负责客户管理系统与会员数据库的开发和运维。系统里的客户资料、订单流水、会员标签，他都有一整套访问权限。

提出离职后，周某与公司在年终奖金上产生争议。在办结离职手续前，他用自己尚未被回收的管理员账号，通过后台导出功能，将四万余条客户信息批量下载到个人存储设备，随后上传至个人云盘。

公司在对离职人员账号做例行审计时发现异常导出记录，随即报案。经鉴定，被导出的数据中包含大量手机号、收货地址、消费金额等可识别特定自然人的信息。

周某到案后承认导出行为，但坚称“没有卖，也没给别人”。

这个辩解在事实层面可能是真的，但它在法律层面并不能解决问题：非法获取计算机信息系统数据罪，惩罚的是“非法获取”这个动作本身，不以“是否转卖”为构成要件。

02 这条罪名保护的，不是“公司的数据”，而是数据的秩序

《刑法》第二百八十五条第二款规定：违反国家规定，侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统，或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

把它拆开，构成要件其实只有四步：

第一步，对象是“计算机信息系统中存储、处理或者传输的数据”。存在服务器里、数据库里、后台系统里，都算。

第二步，手段是“侵入”或者“采用其他技术手段”。这里最容易误解：不是只有破解密码才算侵入。用本不该再用的账号、超出授权范围调用导出接口、绕过权限校验，都可能被认定为“其他技术手段”。

第三步，结果是“获取”。下载、导出、截取、复制，都指向同一个动作。

第四步，达到“情节严重”。这一条最关键，也是绝大多数案件的争议焦点。

▍“我没卖、没传播”不是抗辩理由，只是量刑时的一个从轻因素。

03 门槛到底在哪：五百组、二十台、一万元

《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19 号）第一条规定，非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，认定为“情节严重”：

▍获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上；

▍获取前述以外的身份认证信息五百组以上；

▍非法控制计算机信息系统二十台以上；

▍违法所得五千元以上，或者造成经济损失一万元以上。

达到上述标准五倍以上的，认定为“情节特别严重”，法定刑从三年以下升至三年以上七年以下。

所以这套标准里有两个容易被低估的点。

第一，五百组并不高。很多企业的客户数据库里，五百条就是一个筛选条件的事。一次“导出全量”的操作，很容易跨过这条线。

第二，“身份认证信息”不只有账号密码。司法解释第十一条把身份认证信息定义为用于确认用户在计算机信息系统上操作权限的数据，包括账号、口令、密码、数字证书等。企业的后台账号、API 密钥、访问令牌，都可能落入这个范围。

04 这类案件真正的辩护空间，在三个地方

先说明一个前提：在数量、金额都被鉴定意见固定的案件里，试图靠“我态度好”把结果翻过来，基本无效。有效的辩护，都落在这三个支点上。

第一个支点：数据属性与罪名的对应关系。

被获取的数据究竟是什么，决定了适用哪条罪名，也决定了量刑档位。客户手机号、地址、消费记录，可能同时涉及公民个人信息；如果这些数据经过企业加工、具有商业价值且采取了保密措施，还可能涉及商业秘密。而“非法获取计算机信息系统数据罪”与侵犯公民个人信息罪、侵犯商业秘密罪之间，构成要件、数量标准、法定刑都不一样。

同一批数据，往哪个罪名落，结果可能差出一大截。这一层需要在审查起诉阶段就用证据去争，而不是等到庭审。

第二个支点：数量鉴定的口径。

四万余条是怎么数出来的？是去重后的独立自然人条数，还是包含大量重复、空号、测试数据的原始记录？导出日志与数据库快照能否一一对应？是否存在超出涉案时间段的记录被一并计入？

司法解释的数量标准是按“组”“条”计的，口径差一点，档位就可能差一档。逐条核对导出日志、去重规则和鉴定方法，是这类案件最实的工作。

第三个支点：法定情节。

和破坏计算机信息系统罪一样，在“情节特别严重”的档位里，初犯、认罪、退赔都是酌定情节，只能在同一档内往下调。真正能把刑期压到下一档的，是自首、立功这类法定减轻情节。

本案中，周某在接到公司通知后、公安机关立案前主动到案，如实说明了导出时间、账号来源、存储位置，并主动交出了存储设备。这一情节被认定为自首，成为后续量刑的关键变量。

05 判决与一个容易被忽略的后果

法院最终认定周某构成非法获取计算机信息系统数据罪，综合考虑自首、全额退赔、未转卖传播、认罪认罚等情节，判处有期徒刑并适用缓刑。

比刑期更值得说的是另一件事：这类案件的被害人往往不是“个人”，而是企业。企业为了排查泄露范围、通知客户、升级系统所支出的费用，会被计入经济损失；如果涉及个人信息，还可能触发个人信息保护法层面的行政责任与民事赔偿。

一个人导出的动作只有几分钟，企业善后的周期可能是几个月。

▍在数据这件事上，复制成本几乎为零，代价却从来不是零。

06 给技术人的四条边界

边界一：离职前，明确“什么可以带走”。

个人作品集、公开的技术方案、自己写的通用工具，和公司的客户数据、业务数据库、内部文档，是两回事。拿不准的时候，书面问一句，比事后解释一年更有用。

边界二：不要用“还能登录”证明“还能使用”。

账号没被停用、VPN 还能连、后台还能进，只说明技术上门没关，不代表法律上你还有权限。离职之后，授权基础已经消失。

边界三：导出前先问一句“这是不是个人信息”。

手机号、地址、身份证号、消费记录、行踪轨迹，只要能够识别到特定自然人，就进入个人信息保护的范畴。批量导出这类数据，风险远高于导出业务报表。

边界四：已经导出了，别删、别传、别解释性使用。

删除本地记录会造成“毁灭证据”的猜疑，转存到更多设备会扩大传播范围，拿去给新公司“参考”则直接改变性质。正确做法是原样保存、主动交出、如实说明。

07 五个最常被问到的问题

问：我只是下载了自己参与做的项目资料，也算犯罪吗？

要看两件事：这些资料在法律上属于谁，以及你是否还有合法访问权限。职务成果通常归单位，离职后授权基础消失。参与过不等于拥有。

问：我没有卖，也没有给别人，为什么还是构成犯罪？

因为这条罪名惩罚的是非法获取行为本身，不要求后续的转卖或传播。是否转卖影响的是量刑，不是定罪。

问：公司自己也有数据合规问题，能不能抵消我的责任？

不能相互抵消。公司未尽保护义务，可能承担行政或民事责任，但这不改变你非法获取的认定。二者是两条独立的评价线。

问：数量到底怎么算？我觉得四万条里有很多重复。

这正是要争的地方。去重规则、统计口径、时间范围、是否包含测试与空号数据，都应当在鉴定环节逐项核对，并要求鉴定人出庭说明方法。

问：主动交还数据、赔钱，能不能不起诉？

有可能，但不是自动的。取决于数量档位、是否自首、是否认罪认罚、是否造成实际传播、企业是否出具谅解。实践中，情节较轻、全额退赔、取得谅解的案件，存在相对不起诉的空间。

▍技术给你的是访问能力，不是访问资格。

若您有遇到类似的问题，欢迎来电咨询400-057-3132或者13530053568（微信同号）普罗权彰律师团包含有专业刑事辩护律师团队，成立以来经手案件上千起，均取得满意结果。

品牌律所,超过500名执业律师、专家、顾问、专业人员，全国多家分所☞律所最新资讯

普罗权彰律师团队包含有专业刑事辩护律师团队，该团队在刑事辩护领域，辩护经验极为丰富，有为多位犯罪嫌疑人成功办理无罪辩护、取保候审、罪轻辩护、减刑缓刑的案例，深得委托家属一致好评。该团队为深圳市第一看守所、深圳市第二看守所、深圳市第三看守所、深圳市罗湖区看守所、深圳市福田区看守所、深圳市龙岗区看守所、深圳市宝安区看守所、深圳市南山区看守所、深圳市盐田看守所关押人员专业办理刑事辩护，普及刑事案件相关知识。