• 2022-05
  • 25
刘笛、王文文:物联网视域内的新型网络信息犯罪 —— 智慧家庭场景应用的刑事法律矩阵分析(上)
物联网是第四次工业革命的关键支撑,5G是新一代信息通信技术演进升级的重要方向。智慧家居作为物联网的重要组成部分,自2016年首次写入政府工作报告后迅速发展。其中又以智能表计和智能门锁和智慧安防率先实现普及。但新技术、新场景的广泛应用也令法律的滞后性凸显,大量新型、疑难、复杂案件产生。

内容摘要:

物联网是第四次工业革命的关键支撑,5G是新一代信息通信技术演进升级的重要方向。智慧家居作为物联网的重要组成部分,自2016年首次写入政府工作报告后迅速发展。其中又以智能表计和智能门锁和智慧安防率先实现普及。但新技术、新场景的广泛应用也令法律的滞后性凸显,大量新型、疑难、复杂案件产生。本文将三种应用场景与刑法第二百五十三条、第二百八十五条和第二百八十六条进行矩阵分析,结合物联网应用实际,提取技术要点并分析其法律含义,有助于得出适当的法律评价或揭示尚存的法律疑难。

关键词:物联网 智慧家庭 侵犯公民个人信息罪 非法获取计算机系统数据罪 破坏计算机系统罪

1、引言

5G+AICDE技术的不断发展,智慧家庭成为智慧城市的最小单元,是国家重点关注的新兴信息技术产业,是国家刺激消费升级政策的重点领域。2016年3月,《2016年国务院政府工作报告》提出增强消费拉动经济增长的基础作用,顺应消费升降机趋势,壮大智能家居等新型消费。2018年9月,国务院发布《关于完善促进消费机制进一步激发居民消费潜力的若干意见》,明确提出重点发展适应消费升级的中高端移动通信终端、可穿戴设备、超高清视频终端、智慧家庭产品等新型信息产品。2019年政府工作报告明确提及重点发展“智能+”,人工智能在制造业、教育、安防、家居等行业需要加速布局,并逐渐在未来的经济转型和新兴产业发展中发挥新动能。2020年9月,国务院发布《关于以新业态新模式引领新型消费加快发展的意见》,强调进一步培育壮大各类消费新业态模式,研发包括可穿戴设备、移动智能终端、智能家居等智能化产品。

随着物联网使智慧家庭不再局限于单一场景,大范围、大幅度和高速度的数字化、联网化从社会生产延伸到家庭生活,《刑法》中网络信息犯罪的相关规定的内涵、外沿及规制现实中类型化犯罪行为的涵盖力、适应力都值得以发展的眼光进行实时审视。本文将当前智慧家庭应用中最先普及的智能表计、智能门锁和智慧安防与刑法第二百五十三条、第二百八十五条和第二百八十六条规定组成矩阵,进行刑事法律分析,结合物联网应用实际,提取技术要点并解析其法律含义,有助于得出适当的法律评价或揭示尚存的法律疑难。

2、智能表计应用中的新型信息网络犯罪

作为智慧城市建设的排头兵,智能水、电、气表计率先在各地政府的扶持下迅速普及。尤其得益于国家电网强大的执行力和我国无线通信事业的飞速发展,2009年始,在智能电网、工业4.0和智慧城市等多种光环的加持下,智能电表应用迅速落地。至2017年,国家电网累计采集户数4.47亿,采集覆盖率达到99.03%。下面以智能电表为例分析智能表计应用中的新型计算机网络犯罪问题,水、气表与此无实质区别。 

(一)利用通信协议漏洞接入物联网络的刑事法律分析

以GMS网络为例,因其单向加密的特征,如今犯罪分子的技术条件已经可以轻易破解并向2G终端收、发特定信息(即“伪基站”),而电网现网中仍有大量2G智能电表存量。那么以干扰NB-IoT或2G\3G\4G网络传输方式绕开智能表计计价或篡改其传输数据的行为,应当如何定罪处罚?

1. “用户”含义的解释对扰乱无线电通讯管理秩序罪的否定

首先考虑刑法第二百八十八条的扰乱无线电通讯管理秩序罪,使用“伪基站”介入物联网络固然必须非法使用无线通讯频率/频点,但是两高《关于办理扰乱无线电通讯管理秩序等刑事案件适用法律若干问题的解释》第一条第二项却表述为“(二)未经批准设置通信基站(以下简称“伪基站”),强行向不特定用户发送信息,非法使用公众移动通信频率的”,于是就出现了“用户”的定义争议。因为该司法解释原本是为了应对伪基站被广泛用于群发短信实施电信诈骗的情形,其中“用户”意指无线终端的使用人而非无线电终端当无疑义。而在通过使用伪基站干扰智能表计的事件中,虽然涉及复数且数目可能不定(因为覆盖、接入的稳定性问题)的智能表计终端,但它们可能均归属于同一(或少数几个)使用人。以中国电信《用户入网协议》为例,其要求“甲方(用户)应当为具有完全民事行为能的自然人、个体工商户、农村承包经营户、法人、非法人组织、获得法人或非法人组织授权的依法登记的经营单位”并约定了各种甲方的权利和义务。显然,这里的“用户”不可能扩大解释到终端设备。再考虑如运营支持系统(BOSS)中的字段设置、报表统计口径中的文字表达等,将“用户”扩大解释为包含终端设备,明显不合理。除了文义上的理由外,该解释不适用于此类情形还有事实上的理由:在电信诈骗犯罪中,收到伪基站发送短信的不特定用户是“受害者”,其财产法益面临法不允许的风险。而在干扰智能电表计价的情形中,用户是不法行为的实施者/共同实施者和“受益人”,肯定也不满足“不特定”的特征,因此上述解释第(二)项没有适用的空间。于是,除非适用作为兜底条款的第(五)项规定,否则即使达到第二条、第三条所规定的“情节严重”或“情节特别严重”的标准,仍然难以以扰乱无线电通讯管理秩序罪定罪。

2. 非法获取计算机系统数据罪的入罪机理分析

使用伪基站接入物联网系统并修改数据的行为是否会被认定为非法获取计算机系统数据罪?首先需要更深入地理解第二百八十五条第二款所指称的“数据”和无线网络中交换的数据究竟为何?两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条规定“非法获取计算机信息系统数据或者非法控制计算机信息系统,具有下列情形之一的,应当认定为刑法第二百八十五条第二款规定的“情节严重”:(一)获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的;(二)获取第(一)项以外的身份认证信息五百组以上的;(三)非法控制计算机信息系统二十台以上的;(四)违法所得五千元以上或者造成经济损失一万元以上的;(五)其他情节严重的情形。”第十一条第二款规定“本解释所称‘身份认证信息’,是指用于确认用户在计算机信息系统上操作权限的数据,包括账号、口令、密码、数字证书等。”那么,核心问题是伪基站所截获信息中是否包含“身份认证信息”。答案是否定的,因为虽然各种通信协议不同,有的甚至可能使用全球唯一的终端识别号作为鉴权的识别码,但是这些包含在控制信令中的识别码终究只是通信终端实施接入网络、接收下行数据或发送上行数据等通信行为的标识,并非作为终端用户操作、控制计算机系统的鉴权之用。因此,不属于非法获取计算机系统数据罪保护的对象。

构成非法获取计算机系统数据罪的另一种标准是违法所得。就此方面,传统的使用伪基站发送如电信诈骗、涉黄涉赌信息等犯罪行为与接入智能表计系统修改数据会产生本质不同。使用伪基站发送短信是诈骗犯罪、涉黄涉赌违法犯罪行为的一种帮助行为,如有违法所得,其来源于为其他违法犯罪行为提供帮助而获得“报酬”,并直接受益于非法获取的数据本身具有的经济价值。而伪基站截获的信令仅对无线通信的实现有意义,根本无任何实际价值,不可能“变现”为违法所得。因此,不能评价为满足上述解释第一条第(四)项的规定。但是,接入智能表计系统后,对其数据包进行截获和修改的行为却会使得供电企业计费计量装置计量不准或失效,继而直接导致行为人消极财产减少,产生违法所得。因此,可能适用上述解释第一条第(四)项的规定,从而构成非法获取计算机系统数据罪。

3. 智能表计通讯模块运作情况对破坏计算机系统数据罪的否定

接下来审视刑法第二百八十六条的破坏计算机系统罪,两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条规定了破坏计算机信息系统功能、数据或者应用程序,“情节严重”和“情节特别严重”的标准。

这里有两个问题:第一,单个智能表计是否可以计数为“一台计算机系统”;第二,截取和修改数据包是否属于上述解释规定第(二)项的行为。就第一个问题,国家电网公司企业标准《Q /GDW 364-2009 单相智能电能表技术规范》载“智能电能表是指由测量单元、数据处理单元、通信单元等组成,具有电能量计量、数据处理、实时监测、自动控制、信息交互等功能的电能表”完全充盈司法解释第十一条规定的“本解释所称‘计算机信息系统’和‘计算机系统’,是指具备自动处理数据功能的系统,包括计算机、网络设备、通信设备、自动化控制设备等。”条件,足以被计数为“计算机系统”。那么拦截数据包并修改的行为应如何定性?审查的核心是智能表计的软硬件功能是否正常运行,是否遭到破坏?此处仍需要仔细甄别数据包接收、修改、发送的各环节,才能得出正确结论。以伪基站截获无线通信终端数据的方式与运营商基站吸引无线通信终端驻留的方式并无不同。均是基站通过广播小区信息,无线通信终端经随机接入流程或切换流程接入和驻留到对应小区,建立控制面和用户面信道,传输信令和数据。其过程遵守3GPP协议,与正常无线通信网络的应用在技术层面上殊无二致。唯一的问题只是法律上由伪基站建立的小区没有行政许可,但这并非计算机系统是否正常运行的检查点。因此伪基站吸引无线通信终端驻留,继而获得数据的亦不应认定为破坏计算机系统。

image.png

(二)破坏计算机系统罪与盗窃罪的竞合

窃电对于刑法工作者来说是一个很有故事话题。《德国刑法典》第248条规定:“意图使自己或者第三人不法所有而拿走他人可移动的物(bewegliche Sache)的,是盗窃罪。”现实中虽有盗接电线的行为发生,帝国法院却认为电力不能从物(Sache)的概念中推论出来。但在实践需要以及教义理论的推动下,立法者在1900年为了处罚窃取电力颁布了一个特别法,后来被吸收成为《德国刑法典》第248条C款,“意图为自己或他人不法获取电力,以不符合规定的导线,从电力设备或设施中盗用他人电力的,构成盗窃罪。”。

我国在1990年由公安部、能源部发布了《关于严禁窃电的通告》, 1996年颁布《中华人民共和国电力法》之后,1998年最高人民法院《关于审理盗窃案件具体应用法律若干问题的解释》(现已失效)明确规定“盗窃的公私财物,包括电力、煤气、天然气等。”2013年两高《关于办理盗窃刑事案件适用法律若干问题的解释》第四条第(三)项规定“盗窃电力、燃气、自来水等财物,盗窃数量能够查实的,按照查实的数量计算盗窃数额;盗窃数量无法查实的,以盗窃前六个月月均正常用量减去盗窃后计量仪表显示的月均用量推算盗窃数额;盗窃前正常使用不足六个月的,按照正常使用期间的月均用量减去盗窃后计量仪表显示的月均用量推算盗窃数额。”至此,我国法律规定已比较清晰并基本平息了各种争议。

与百余年前的德国刑法修正类似,目前以盗窃罪规制的“窃电”行为的主要特征是两种,一是通过不合法地“接飞线”,绕过供电部门的计价器或将所用之电能计价于其他使用人;二是通过破坏电表而使其失去计量能力或致其计量错误。而“接飞线”和“破坏电表”这两种行为本身没有被刑法所关注,仅仅作为“盗窃”的行为的一种具体形式。同样,查验电表的人员徇私舞弊的,少抄、漏抄电表的行为只是作为“徇私舞弊”的具体表现形式而存在。

但是,在智能电表普及之后,上述法律规定出现了明显的不完备。

最高院2018年指导案例104号李森、何利民、张锋勃等人破坏计算机信息系统案【参见最高人民法院指导性案例第104号,“李森、何利民、张锋勃等人破坏计算机信息系统案”。】,其裁判要点指出:“环境质量监测系统属于计算机信息系统。用棉纱等物品堵塞环境质量监测采样设备,干扰采样,致使监测数据严重失真的,构成破坏计算机信息系统罪。”其裁判理由谓:“被告人用棉纱堵塞采样器的采样孔或拆卸采样器的行为,必然造成采样器内部气流场的改变,造成监测数据失真,影响对环境空气质量的正确评估,属于对计算机信息系统功能进行干扰,造成计算机信息系统不能正常运行的行为。”同理,传感系智能表计的主要功能之一,传感模块系智能表计之主要硬件,通过物理手段干扰传感器件致其性能不能正常发挥的,堪称破坏计算机系统的行为。而且这种“破坏”没有限制于物理手段的理由,以计算机技术攻击数据处理单元,使其不能正常记录、处理传感模块寄递的数据的,同样使智能表计的主要功能之一不能实现,破坏主要硬件和软件的正常运行。因此与上节所述不同,以对智能表计测量单元、数据处理单元等进行干扰或破坏,使其丧失正常电能量计量、数据处理等功能的,则可能认定为破坏计算机系统。

但是,如果认定破坏计算系统罪,可能出现显著的罪刑不协调问题。其根源在于破坏计算机系统罪是刑法第六章妨害社会管理秩序的犯罪,上述司法解释对“情节严重”、“情节特别严重”的规定设立了两类标准,一是破坏计算机系统的规模和影响,二是违法所得,但两类标准都已经明显落后于经济社会的发展,尤其违法所得标准,显得异常不合理。以认定涉案电价为两万五千元为例,依盗窃罪处罚可能判处缓刑,但以破坏计算机系统罪却要在“情节特别严重”一档量刑,判处五年以上有期徒刑。轻重殊异,恐怕也有违社会大众的一般认知,对法的预测作用、指引作用不无弊害。在现行司法解释作为有权解释对案件处理有强制力的情况下,仔细辨析犯罪行为的具体操作模式、犯罪目的的实现方法和法益侵害情况,强调计算机信息系统代表着技术资源和计算能力,侧重于动态化的运作安全而非对数据的静态保护【参见王倩云:《人工智能背景下数据安全犯罪的刑法规制思路》,载《法学论坛》2019 年第 2 期,第 32页】,对破坏计算机系统行为进行准确认定和必要的限缩就非常重要。

(三)将智能表计数据用于联合建模的侵犯公民个人信息罪风险

提取智能表计数据并使用的行为是否可能触犯侵犯公民个人信息罪不能一概而论。需要深入分析在此行为中交互的信息方可获得良好的理由。两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第(二)项将“行踪轨迹信息、通信内容、征信信息、财产信息”规定为最为敏感的公民个人信息,非法获取或提供五十条即构成犯罪。但是在使用类伪基站发送信息的模式中,伪基站向移动通信终端广播小区信息,其目的仅仅在于吸引周围终端接入该小区,从而实现群发短信的效果。因此,它所意图截取的,只是移动通信终端所发送的信令(Signal),而不在乎数据(Data,此处特指作为无线通讯术语,相对于信令的含义);即其只在乎控制面的上行数据并不在乎用户面的上行数据。而只有用户面上的数据承载的信息,才可能与个人隐私或人身、财产安全高度相关,才属于“通讯内容”。伪基站虽然非法截获了移动通信终端所发出的“数据”,但法律认定不能囫囵吞枣,需要进一步甄别数据所承载的信息的属性。

这里有必要延伸讨论一下部署深度报文检测(DPI)探针对数据流进行嗅探的行为,因为解析的是数据包的“内容”,具有反映特定自然人活动情况的作用,是司法解释明确规定的“通信内容”。为进行个性化推送或为便于边缘储存而无授权或超授权滥用深度报文检测技术的行为很难以“合理处理”辩解,被认定为侵犯公民个人信息的风险很大;再考虑到DPI探针的部署多在汇聚节点,刑法第二百五十三条的数量标准通常根本不构成具有实际意义的“入罪门槛”,刑事风险相当大。

智能表计数据收集、使用和提供的另一个具有根本意义的问题是:水、电、气等使用情况数据是否敏感信息或公民个人信息?本文的意见是肯定的。这种肯定包括两个层面,第一就智能表计本身所计数的能源、资源使用情况看来,其使用的时间、持续性、使用量等,可能属于“能够反映自然人活动情况的信息”。而智能表计的标识(ID)通常而言与用户账户也有一一对应关系,因此,对于企业所使用的智能表计或许尚有商榷空间,但智慧家庭所使用的智能表计可以说几乎是确定地指向特定自然人。因此智能表计记录的数据本身可能属于公民个人信息。考虑更进一步衍生的情况,因为智能表计部署于特定位置,尤其是本文着重探讨的智慧家庭场景使用的智能表计,其反映的即居住者日常起居所使用能源、资源的情况。对其进行持续观察可以粗略但却经常有效地判断初出表计所计量的房屋内是否有人居住,甚至透露出更多居住情况、生活习惯等信息。当前社会实际中此种应用已经落地,输入手机基站驻留的时间、时长等,通过建模推断常住地、工作地用于金融助贷等场景。此种行为曾在深圳某区被以侵犯公民个人信息罪追究刑事责任。输入智能表计的统计数据,同样具有建模推断相关生活轨迹的能力,而且其指向性、确定性更强,认定为公民个人信息障碍不大。而将表计数据用于建模并推断自然人行为,无论用于金融助贷或其他场景,实务中几乎没有获得信息主体完善授权的可能性,刑事风险巨大。


作者:上海靖予霖律师事务所、辩护技能研究部副主任、辩论队教练 刘笛;上海靖予霖律师事务所、传统犯罪研究与辩护部副主任 王文文

相关律师介绍
刘笛
刘笛
上海靖予霖律师事务所 部门主任
新型犯罪研究与辩护部主任
靖霖辩论队总队长
华东政法大学校外授课专家
国家信息安全测评中心注册信息安全专业人员(CISP-PIP)
核心专长:刑事辩护与面向企业的非诉讼刑事法律服务。执教华东政法大学庭审技能与实务课程。曾为华为、京东等知名CT、IT企业服务多年,积累了大量2B专业服务履历。熟悉现代企业经营管理模式,具有丰富的通信及互联网专业知识和行业经验。具备面向企业的刑事风险防控、合规流程设计和合规方案落地经验。参与办理一系列新型、疑难、重大、复杂案件,部分取得一定辩护效果,有助于维护当事人合法权益及案件公正处理。
相关文章更多 
时空·行为·后果 —— 对重大责任事故罪客观要件三要素的思考
  • 时空·行为·后果 —— 对重大责任事故罪客观要件三要素的思考
  • 本文以重大责任事故罪客观要件三要素出发,分析此罪对时空、行为、后果的本质要求,以期为司法实践提供些许参考。
2022-07-25
了解更多 
出海企业刑事合规(五): 美国法中窃取商业秘密罪的特殊要件
  • 出海企业刑事合规(五): 美国法中窃取商业秘密罪的特殊要件
  • 本文将具体分析美国法对“涉案商业秘密与州际贸易或外国商业的产品或服务有关”这一要件。
2022-07-18
了解更多 
徐宗新、陈沛文:网络犯罪辩护的内功心法 —— 读《网络刑法原理》有感
  • 徐宗新、陈沛文:网络犯罪辩护的内功心法 —— 读《网络刑法原理》有感
  • 《网络刑法原理》充分结合了刑法理论与实践,立足于网络犯罪的特性,深度剖析了网络刑法的理解与适用。对于网络犯罪的刑事辩护实务具有较高的参考与借鉴价值,值得深入阅读与学习。
2022-07-14
了解更多 
徐宗新、洪凌啸:大辩护与小辩护 —— 读赵运恒大律师新著《大辩护》有感
  • 徐宗新、洪凌啸:大辩护与小辩护 —— 读赵运恒大律师新著《大辩护》有感
  • 《大辩护,我和我的刑辩故事》是一本刑辩工作指导书,又是一本经典案例集,还是一场精彩故事会,读起来津津有味,让我们深受启发,奉上一篇读后感。
2022-07-14
了解更多 
出海企业刑事合规(四): 美国法对窃取商业秘密罪心理要件的认定
  • 出海企业刑事合规(四): 美国法对窃取商业秘密罪心理要件的认定
  • 在《出海企业刑事合规(一):美国法中的“窃取商业秘密罪”——立法简介》中,笔者结合海能达案的基本情况介绍了美国法对商业秘密保护和“窃取商业秘密罪”的相关立法,总结出“窃取商业秘密罪”的核心要件(element of an offense),本文将具体分析美国法如何认定窃取商业秘密罪的心理要件,即“行为人蓄意或明知”。
2022-07-11
了解更多 
出海企业刑事合规(三):美国法对窃取商业秘密行为的认定
  • 出海企业刑事合规(三):美国法对窃取商业秘密行为的认定
  • 窃取商业秘密罪的第一类行为包括窃取、诈骗、藏匿等,该类行为本身便具有明显的不法特征,因此对于此类行为的认定重点在于客观事实。需要指出,如之前商业秘密的定义中提到,商业秘密的本质是信息,其载体可能是有形的亦可能是无形的。
2022-07-11
了解更多 
 客服热线

微信公众号