一、破坏系统数据及应用程序型破坏计算机信息系统罪
“罚过于罪”现象及原因
(一)
破坏系统数据及应用程序型破坏计算机信息系统罪
行为特点
随着网络时代的来临,危害计算机信息系统安全的犯罪呈现不断多发趋势,而《刑法》及其修正案亦回应时代要求,从立法层面筑牢了保护计算机系统安全的最后防线,同时,《危害计算机信息系统安全解释》更为司法实践中正确审理危害计算机信息系统安全犯罪提供了有力指导。在危害计算机信息系统安全几大犯罪中,破坏计算机信息系统罪,因其行为方式对计算机系统产生的不良影响最大
,故该罪设置了较高的法定刑幅度,破坏计算机信息系统“后果特别严重”处五年以上有期徒刑,法定最高刑为有期徒刑十五年,区别于其他危害计算机信息系统安全犯罪以有期徒刑三年作为第二档法定刑起点,法定最高刑最多不过有期徒刑七年。可以说,破坏计算机信息系统罪系危害计算机信息系统安全犯罪中的“重罪”。
破坏计算机信息系统罪共三款,分别规制了三类破坏计算机信息系统数据的行为,即破坏计算机信息系统功能造成系统不能正常运行,删除、修改、增加系统数据和应用程序,制作、传播病毒等破坏性程序影响系统正常运行。其中第二款“删除、修改、增加系统数据和应用程序”与第一款、第三款的突出区别在于,其行为够罪要件中没有影响或导致系统不能正常运行
。由于对计算机系统的破坏程度,是否影响系统运行可以看做较为重要的参考因素,故第二款规制的
破坏系统数据及应用程序型
破坏行为,对计算机信息系统的危害性、破坏性一般低于第一款、第三款规制的破坏系统运行型破坏行为,这一点,也可以在《危害计算机信息系统安全解释》中看出端倪——该解释第四条规定的破坏计算机信息系统罪第一款、第二款入罪标准中,第一款破坏系统数为
10
台,第二款破坏系统数为
20
台,高出一倍。
与此同时,由于计算机系统作为一个数据和应用程序的集合体,数据及应用程序本身也有关键与否、重要与否的区分,如系统数据,有的只是系统前端浏览器存储数据,修改后虽对系统传输内容有所影响,但对重要的终端服务器数据没有任何更改,但有的却直接侵入服务器内部并“增、删、修”关键数据,给服务提供商及客户造成较大影响,
破坏系统数据及应用程序型破坏计算机信息系统罪的以上两个特点,容易导致司法实践中罪刑不适应,特别是“轻罪重罚”、“罚过于罪”现象的产生。
(二)《危害计算机信息系统安全解释》对破坏计算机信息系统罪规定“后果特别严重”数额标准相对滞后导致“罚过于罪”
删除、修改、增加系统数据和应用程序破坏计算机信息系统,往往并非是此类犯罪的最终目的,行为人更多是通过对数据、软件的违法操作以实现进一步的违法目的。笔者就
2013
年至
2018
年裁判文书网中破坏计算机信息系统罪判例进行筛选,对适用该罪第二款定罪的
152
个判例行为方式结合犯罪目的综合整理后发现,单纯为泄愤、报复“增、删、修”数据的案例占
22
例,剩余案例均通过数据“增、删、修”,实现其他非法获利目的。(见下图)
事实上,从实操性衡量,“‘违法所得数额’是目前司法实践中最好操作的标准,而且违法所得越多,通常也会给权利人带来相应严重的后果,故具有相对合理性”
。然而距今近七年前通过的《危害计算机信息系统安全解释》规定违法所得
2.5
万元以上或造成经济损失
5
万元以上可构成破坏计算机信息系统罪“后果特别严重”
在当前司法实践中,存在数额标准偏低的问题。
第一,该类犯罪违法所得所涉范围广泛
。实践中,违法所得包括直接获利和间接获利
。以“破坏网吧实名制软件”类行为为例,大部分行为人不仅自身破坏所在网吧实名制系统,逃避缴纳实名制监督管理所要求的相关费用获利,同时还对外销售相关破坏软件,具备直接和间接双重获利,涉及
16
个案例中违法所得超过
2.5
万元的高达
11
个。获利方式的多样及较低的获利难度却将直接导致上档的刑罚,此时上档数额的设定是否能合理代表现实中该类型犯罪违法所得所对应的行为危害性难以确定。
第二,存在行为破坏性小而违法所得高的情况
。不同于传统犯罪,计算机犯罪受其载体影响,无论是受害者广度还是可获利的方式,都具备一般犯罪不具备的“资源”。总观违法操作数据类犯罪,个别犯罪仅需很简单违法数据操作,就能够对应取得高额间接获利,“删除网络公开数据”类犯罪即是如此。此刻对计算机的破坏及影响并非如何严重,却依然面临行为上档的结果。
第三,本罪五年有期徒刑上档的法定刑设置加剧了罪刑不均衡的冲突
。《刑法》规定的大部分犯罪,均是三年有期徒刑上档,在出现根据司法解释规定的量刑基准量刑导致罪责刑不相适应的情况时,可以通过判处三年徒刑并适用缓刑的方式予以缓和。但破坏计算机信息系统罪是五年有期徒刑上档,行为人在不存在法定减轻处罚情节时,必须判处实刑,这就更容易出现“让社会大众难以接受”的量刑结果。
二、当前司法实践中对破坏计算机信息系统罪罪责刑不相适应之困境的解决之道及相应弊端
(一)引入《刑法》第二百八十七条无法避免罪数矛盾与量刑失衡
1
、《刑法》第二百八十七条性质认定的理论与实践冲突
有观点认为,根据《刑法》第二百八十七条的强制规定
,通过破坏计算机信息系统实施其他犯罪的(盗窃、诈骗罪等)应以其他犯罪定罪,不再认定破坏计算机信息系统罪,这样做的最大好处是,可以通过盗窃、诈骗罪的适用规避掉破坏计算机信息系统罪违法所得
2.5
万元及造成经济损失
5
万元即处五年以上有期徒刑的规定,但问题也显而易见,及突破了我国刑法关于数罪应从一重处罚的规定。
理论上,关于《刑法》第二百八十七条规定的性质存在争议。有认为此条属于注意规定,“一方面只在引起司法工作人员的注意,不能因规定了几种计算机犯罪,便对利用计算机实施的金融诈骗等犯罪以计算机犯罪论处,另一方面即使没有这一规定,对上述利用计算机实施的各种犯罪,也应当依照刑法的相关基本规定定罪论处。”
有学者进一步指出“构成什么罪,就以什么犯罪来追究刑事责任”
,明确了该条的注意规定属性。据此,对于以破坏计算机为手段的犯罪,不应评价手段行为,应以实质构成的犯罪定罪。有学者则对该种观点持中立态度,认为不应当“完全排除破坏计算机信息系统罪的适用空间,关键看行为人在实施上述犯罪的过程中,对计算机信息系统中存储、处理或者传输的数据和应用程序予以删除、修改、增加的操作,是否直接导致了严重后果”
,对于确实构成破坏计算机信息系统罪的情形,不能一律排除该罪适用,应当结合情况适用牵连犯或数罪并罚等处罚原则。
实践中,对《刑法》第二百八十七条的理解同样存在差别,导致涉及第二百八十六条第二款行为的犯罪的法律定性不一致。以上述案例为例,有
4
个案例明确对二百八十七条在本院认为部分予以说明,均认为应当排除原破坏计算机行为所构成的犯罪,确认了该条的注意规定性质。
在近乎完全一致的销售、利用软件篡改网吧收银数据以获取收银款的行为犯罪中,因二百八十七条的不同适用,各地法院存在盗窃、破坏计算机信息系统、职务侵占、传授犯罪方法四种截然不同认定结果。
上述分歧在相关指导案例中同样有迹可循。《刑事审判参考》第
110
集
1202
号指导案例“赵宏铃等盗窃案”中,就利用破坏计算机信息系统方式实施盗窃,同时构成破坏计算机信息系统罪情形的法律适用做出了解释,既应当将《刑法》第二百八十七条规定视为“例外规定”
,“对于明确要求以某项罪名来认定,那么就只能按照
<
刑法
>
的规定来定罪”。“凡是”利用计算机事实的相关犯罪,“不论行为手段是否构成相关计算机犯罪,均应以相关犯罪处罚”,不再对“赵宏铃等盗窃案”认定牵连关系适用从一重罪的刑法处罚原则
。此时第二百八十七条不再是仅起提示作用的注意规定,而更偏向于法律拟制,虽不具备法律拟制突破该罪犯罪构成的特性——“将
T2
事实认定为
T1
类型犯罪”
,但仍然使其突破了牵连犯从一重罪的刑法处罚原则。反观最高检第九批指导性案例第
35
号“曾兴亮、王玉生破坏计算机信息系统案”,该指导案例对锁定他人智能手机导致不能使用,以解锁为条件索要钱财,同时符合数额较大或多次敲诈的情况,认定该手段行为构成敲诈勒索罪,应当以牵连犯从一重罪处断
。此时不仅承认了破坏计算机信息系统行为实施其他犯罪同样可以存在牵连关系,还模糊了《刑法》第二百八十七条的适用,不承认其无条件以其他犯罪定罪的注意规定性质。此外,《刑事审判参考》第
101
期第
1049
号“杨丽涛诈骗案”中也明确表述,“刑法第二百八十七条的规定……如果其手段行为没有触犯计算机信息系统安全罪,应当依照刑法有关规定定罪处罚,否则,按照牵连犯的处罚原则,从一重罪处断”
,并最后因本案杨丽涛所犯诈骗法定刑高于破坏计算机信息系统罪为定为诈骗罪,明确了二百八十七条存在牵连犯的适用空间。至此,连不同指导案例在二百八十七条性质认定及破坏计算机信息系统罪罪数适用上都存在原则性的差异,实践中类似情况的定罪分歧可见一斑。
2
、单一的注意规定、法律拟制、“例外规定”无法解释第二百八十七条的性质
笔者认为,对于二百八十七条的理解,不仅应考虑实际犯罪中罪责刑相适应,还应结合《刑法》中现存体例予以综合解释。
一方面,对二百八十七条的理解,不能简单的将其概括为“例外规定”。首先,“赵宏铃等盗窃案”案例中所举“例外规定”
例子不当。司法解释具备时效性,其中蕴含了当下对新出现法律问题的规制与更新,很难以后出台的司法解释去论证早已设立的《刑法》中某一条款具备某一属性,逻辑上应该倒置。且司法解释中是对本应从一重的挪用公款及其他犯罪行为按数罪并罚处理,使类似行为犯罪所受惩处更重,反映了严厉打击此类犯罪的刑法发展趋势与立场,具备合理性。但若以二百八十七条如是作为“例外规定”,则可能会导致量刑变轻,与破坏计算机信息系统罪重罪的立法本意不符。
其次,“例外规定”的刑法地位存疑。除注意规定外,《刑法》中的法律拟制,均是对不同犯罪构成行为按照相同的罪名处理
,是对犯罪构成的拟制,而难以将对罪数形态的拟制认定为一种法律拟制。因此“例外规定”非注意规定亦非法律拟制,在《刑法》体例中的地位无法明确。
另一方面,将二百八十七条理解为完全排除计算机犯罪的注意规定同样面临实践困难:
第一,以盗窃罪为例,对于以破坏计算机信息系统行为造成严重后果,但盗窃情节并不构成三年以上时,因为破坏计算机信息系统罪后果严重的法定刑是五年以下,高于盗窃罪的法定刑,实践中则会出现:同样破坏计算机信息系统后果严重的违法行为,有后续盗窃的因二百八十七条完全排除计算机犯罪的适用,反而比单纯破坏的行为法定刑更轻,系明显的罪责刑不相适应。
第二,不同于其他计算机犯罪三年以下的法定刑设定,破坏计算机信息系统罪设置为五年以下本身就包含了《刑法》认定该类行为违法性较重,且需要严厉打击的立法含义。若无条件的排除计算机类犯罪以适用第二百八十七条,定性为大部分三年以下的其他传统犯罪,将显然与五年法定刑设置目的存在偏差。
由此可见,无论是“例外规定”、法律拟制,还是完全排除计算机犯罪适用的注意规定,三种解释都难以确保量刑均衡。
(二)认定《刑法》二百八十六条第二款不具备“后果特别严重”与立法目的不符
《刑法》第二百八十六条第一款明确规定了后果严重及后果特别严重二结果情形,分别对应五年以下有期徒刑或者拘役和五年以上有期徒刑的量刑档。然而在第二款、第三款的表述中,并没有表述后果特别严重的情形,仅仅对后果严重的情况要求按照第一款规定处罚,因此,司法实践中对破坏计算机信息系统罪第二款、第三款规制的两种行为是否存在情节特别严重的量刑档存在分歧。以相关判决情况为例,在被告人存在《危害计算机信息系统安全解释》第四条第二款中应当认定为“后果特别严重”的情况时,判决仅以后果严重认定,印证了司法者不认为第二百八十六条存在后果特别严重的量刑档。
之所以存在此种理解,是司法者针对《解释》上档数额较低易导致量刑不均衡的问题,以第二款没有“后果特别严重”为由,对本应判处五年以上刑罚的情形强行适用五年以下刑档,试图以此种取巧的方式弥补司法解释所导致缺陷的尝试。
如前文所述,《刑法》第二百八十六条第二款行为危害性较第一种行为危害性较轻,若以此观,第一种行为更为严重,所以具有后果特别严重刑档规制;第二种行为较轻,所以未设置加重情节,此认识似乎并无不妥。但逻辑的自洽不能有特例,需自上而下统一而稳定。本罪第三款规定的以病毒等破坏性程序影响计算机系统正常运行的行为,一方面该行为同样是导致计算机系统无法正常运行,与第一款行为导致结果的表现形式一致,且表述为“影响”,一定程度上更胜第一款中“造成”一筹,行为的危害性甚至比第一款行为更大;另一方面,在《解释》中亦没有单独规定破坏性程序的行为,无法如前文一样推断出本罪第一款行为与第三款行为的严重性之大小的比较。因此,在无法推断第三款行为较之第一款轻,且甚至可认为危害性更重的情况下,仅因没有表述则认为第三款不具备后果特别严重的情节是有背该法条逻辑的。同理可知,第二款没有后果特别严重情节表述并非因为第二款行为较第一款行为危害性较轻。
事实上,以
2015
年最高院再审的“马乐利用未公开信息交易案”为例,认为类似《刑法》第二百八十六条第二款这种规定只有一档法定刑的看法已被推翻。再次,《危害计算机信息系统安全解释》第四条第二款第(一)明确了对
100
台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的行为属于后果特别严重,进一步证明本罪第二款实际存在后果特别严重的解释。据此,对于破坏计算机信息系统罪中第二款、第三款的条文设置,应当认为后果严重的表述仅是入罪条款,而具体的量刑档应参照第一款的两档,对后果特别严重的情况依法适用五年以上量刑刑档。
至此,司法实践中通过不认定“后果特别严重”而弥补司法解释导致的量刑不均衡的做法并不符合《刑法》第二百八十六条的立法目的,此种尝试也难以自洽并实际应用。
(三)第二百八十六条第二款入罪需要“导致计算机信息系统不能正常运行”无合理性
同样为避免司法解释数额设置导致的量刑不均衡,司法者对《刑法》第二百八十六条第二款做出了多角度理解,以该款同样要求“导致计算机信息系统不能正常运行”的后果为该款入罪要件之一,收缩该条的规制范畴,提高了入罪门栏,用于回避实践中明显较重的法定刑。然而这种解释方式实质上没有法律依据,且不符合该款犯罪行为实际情况:首先,不能因为第一款、第三款要求对于计算机信息系统不能正常运行的表述就想当然比照第二款需要同样的危害结果,这本身即有悖罪刑法定原则;其次,犯罪行为人通过对数据或应用程序进行删除、修改、增加的操作,往往就并非追求系统的异常运行状态,司法实践中往往更需要系统在违法操作后能够正常运行,以便通过违法操作所带来的便利获取非法利益。无论是窃取财物,还是修改考生成绩等行为均需要侵入的计算机系统能够正常运行,否则其对数据的违规操作难以达到本身的犯罪目的。因此,以该种解释方式来解决司法解释所带来的量刑问题,不仅无法律依据,且与实践相悖,难以适用。
三、解决罪责刑不相适应矛盾的规范探究
(一)《刑法》第二百八十七条应理解为有条件的注意规定
合理解释《刑法》二百八十七条的性质是解决司法解释导致的罪责刑不相适应困境,实现法律稳定性的一种思路。笔者认为,该条作为注意规定理解的确更为合理,但该注意规定并非前文所述的完全排除计算机犯罪的注意规定,而仅是对破坏计算机信息系统这一手段行为未构成犯罪时以其他犯罪定罪处罚的提示。此时该条表述中“利用计算机”的行为并未造成严重后果,应结合其本身犯罪目的、犯罪结果等其他犯罪构成特点,直接以相关犯罪定罪处罚,不予评价手段行为。而当利用计算机这一个行为的危害程度已然达到了刑法需要规制的程度,此时该手段行为已超出本条表述中“利用计算机”的文意范畴,实质上成为了“利用构成计算机犯罪的手段”,应当对手段行为和结果行为都予以评价,结合实际犯罪中犯罪主观态度及客观行为的差别,合理运用牵连犯、想象竞合等刑罚理论。上述解释方法较当前学界认为是纯粹的注意规定的解释方式有下列优势:第一,对“利用计算机”表述采取限缩的文意解释,区分一般利用计算机的行为和符合刑法计算机类犯罪的行为,此种解释法并无明显不当。第二,避免了将该条作为“例外规定”却无法明确法律地位破坏刑法体例完整性风险。第三,最为重要的是可以根据实际情况,合理的运用传统犯罪和计算机犯罪,使不同危害程度的行为有对应程度的刑法规制。至此,通过对二百八十七条的性质做出恰当解释,是解决罪责刑不相适应矛盾行之有效的方式。
(二)增加适用兜底条款比例
《危害计算机信息系统安全解释》第二条第一款第(五)项中规定了严重后果的兜底解释。在实践操作中,当已经有明确表述规定了相应具体认定标准的时候,应尽可能避免使用兜底条款。以本罪为例,《危害计算机信息系统安全解释》第四条第一款前四项已经就认定破坏计算机信息系统罪后果严重提出了明确的认定标准,实践中应该尽可能的使用明确标准,避免兜底条款的适用。然而如前文所述,当前述条款存在设定不当,易导致罪责刑不相适应时,此时合理的运用兜底条款不失为一个平衡罪责刑的尝试。以刑事审判参考第
1029
号“乐姿等破坏计算机信息系统案”为例,在无法确定具备《解释》中后果严重几种情形的结果,但能实际证明有危害行为及危害影响时,可以适用兜底条款,“但一般要求兜底条款的适用对象在行为性质、情节、社会危害程度等方面与
<
刑法
>
及相关司法解释规定的定罪量刑条件具有同质性或者相当性”。
笔者认为,通过对“违法所得”、“造成损失”的数额的严格适用,同时扩大兜底条款适用比例,较当前解释有如下优势:第一,兜底解释保证了个别特殊的具有危害性的破坏行为能受到规制,如破坏计算机信息系统修改考生志愿,但并无违法获利等的“无获利、低破坏程度”类型案件。此类案件虽明显侵害了计算机信息系统安全的客体,但难以以明确的具体数据证明其危害结果,此时兜底条款的使用便极为重要。第二,破坏计算机信息系统罪涉及大量电子取证,且受被害方商业秘密、人员隐私、侦查机关电子数据取证水平等客观因素影响,往往存在违法所得等证据难以固定、被害方拒绝提供相应材料或仅有被害方提供证据无其他证据佐证等证据问题,一旦在案证据不能明确证明存在后果严重相关情形,上述几种情形将难以入罪。对于兜底条款而言,上述情形证据则可以发挥更多作用:该部分证据即使无法实际证实是否能达到后果严重的标准,也可以作为判断是否具备达到后果严重标准“同质性或相当性”的重要参考
,虽无法作为“后果严重”前四项情形的定案依据,但往往却可以反映出该侵害行为的危害性,并以此适用兜底条款入罪。至此,兜底条款的适用一定程度弥补了实践中的证据问题,扩大了非定案依据证据的作用,发挥了其本身的兜底意义。第三,通过适用兜底条款认定后果严重,回避了前几项解释中不合理的数额标准,不再需要涉及具体数额标准这一环节,避免了因较轻行为而上档的情况,是实现罪责刑相适应的有效方式。
(三)修改解释条款
司法者在适用法律过程中,对于法律规定的空白、漏洞或不明晰之处,重在通过运用解释方法找到突破,填平漏洞,弥补空白,不得轻言修改,从上引的很多案例中,笔者也能深深体会到,面对破坏计算机信息系统罪存在的量刑失衡问题,法官们为了实现罪责刑相适应,对法律规定及司法解释作出了不同的解释,这些解释有的相互矛盾、有的与刑法基本理论存在一定抵触,笔者相信,并非是司法者没有认识到这种解释可能存在的问题,但是,当该种不完美的解释可以实现罪责刑相适应的效果时,司法者也不惜放弃形式上的完美,最终追究结果的正当。破坏计算机信息系统罪在实践中存在的适用困难,一个重要的原因在于
《危害计算机信息系统安全解释》
对该罪“后果特别严重”确定的违法所得
2.5
万元以上或造成经济损失
5
万元以上的标准没有区分具体情况,导致且总体数额偏低。
具体而言,建议对
《危害计算机信息系统安全解释》作出如下的修改:一是适当提高破坏计算机信息系统罪行为产生违法所得和造成经济损失时构成“后果特别严重”的数额标准,二是建议对
破坏系统数据及应用程序型破坏计算机信息系统犯罪“增加、删除、修改”的系统数据及应用程序进行区分,做出各类型数据、应用程序所对应的参考,根据数据及应用程序重要性程度及“增加、删除、修改”后对系统造成的影响力程度,确定不同的“后果特别严重”的标准。
民意沟通信箱:
bjsyfy_mygt@chinacourt.org
中国法院网负责网站设计制作 网络安全和技术维护
浏 览 本 网 站 推 荐 您 使 用 IE 8 以 上 浏 览 器