专业律师解答｜爬虫踩刑事红线：同样的公开网页，为什么别人没事你却立案了？

做数据与互联网业务的企业，几乎都接触过网页数据采集。很多人疑惑：网上到处爬公开网页，为何别人没事、你却被立案？不少当事人误以为网页公开＝随便爬、不会犯罪。本文结合本所数据合规与侵犯公民个人信息案件的实务，拆解爬虫从“民事越界”到“刑事入罪”的法律边界，以及被刑事立案/调查后的辩护切入点。

网页内容对外可访问，代表普通用户可以浏览阅读，但不等于允许第三方程序大规模、自动化抓取。

民事层面，可能违反网站 robots 协议、用户协议，构成不正当竞争（《反不正当竞争法》第十二条“互联网专条”）。一旦行为方式、抓取规模、危害后果达到一定程度，就会越过民事边界，落入刑事评价范围。

“别人没事、你却立案”的原因：差别在手段、内容与后果，而非页面是否公开。刑事入罪还须满足“定性+定量”双重标准，即符合构成要件且达到“情节严重”门槛。

1. 绕过反爬、破解验证机制。

使用代理池、验证码破解、伪装身份绕过访问限制、突破服务器防护，是典型入罪情形。即便爬的是公开内容，一旦情节严重（如违法所得、获取数据数量、造成经济损失达到立案标准），仍将涉嫌非法获取计算机信息系统数据罪（《刑法》第二百八十五条第二款）。定性上，该绕过行为是否属于司法解释所称“采用其他技术手段”非法获取数据，是争议核心。

2. 高频“爆破”式抓取，对服务器造成实质性损害。

极大量恶意请求若致使服务器瘫痪、不能正常运行，可能涉嫌破坏计算机信息系统罪（《刑法》第二百八十六条），本罪侧重“系统功能”破坏，与侧重“数据”的前罪保护法益不同；多数情形下高频抓取的资源损耗会作为“经济损失”计入非法获取计算机信息系统数据罪的入罪门槛。

3. 抓取到个人敏感信息。

返回结果混入手机号、身份证、住址等，若违反国家有关规定获取、提供或用于非法用途且达情节严重，涉嫌侵犯公民个人信息罪（《刑法》第二百五十三条之一）。注意：对于已合法公开的个人信息，若获取和使用行为符合国家有关规定，且未超出合理范围，不当然构罪；但信息主体明确拒绝或用于侵害其重大利益的，仍可能构罪。

4. 抓取之后的商业化利用。

直接售卖、对外提供接口或作为核心盈利业务的，风险最高；用于内部市场分析、经营决策等非变现用途的，刑事风险通常较低。企业应清晰界定数据用途、控制风险边界。

是否存在破解验证码、伪造请求、绕过反爬策略；请求访问频率，会不会给目标站点带来压力；抓取回来的数据里，是否混有公民个人信息；数据的用途：内部参考，还是对外售卖变现；是否留存协议、授权、访问日志，做好证据留存。

爬虫行为应在业务设计阶段嵌入合规审查，而非出事后再补救。

很多当事人以为辩护只是“开庭讲情理”，复杂案件的关键抗辩方向在证据与定性：

1.电子证据是否合法。

服务器镜像、日志提取、数据鉴定报告，若取证存在程序瑕疵（如未制作笔录、未封存原始存储介质），可动摇指控基础。依据“两高三部”电子数据规定，瑕疵证据的补正与排除是重要战场。

2.抓取行为的危害性。

请求频率、对服务器实际影响，特别是造成的直接经济损失（如带宽、修复成本），直接关系“情节严重”门槛。

3.主观故意。

不仅看是否“明知”反爬，更考察“为何”绕开。辩护重在论证系为市场分析、学术研究等正当目的，而非破坏、窃取的非法意图；有无授权、是否做过合规审查，是区分行刑、判断主观恶性关键。

4.数据统计口径。

涉案数据条数、信息数量的认定方式（去重规则、是否含测试数据），往往成为量刑协商的支点——这一点在侵犯公民个人信息类案件中尤为关键。

爬虫的法律边界，不看“网页公不公开”，而看手段、内容、规模、目的与后果综合判断。对企业和技术人员来说，更为稳妥的做法，是把合规做在前面；一旦已经被立案，更为有效的应对，是尽早委托既懂数据合规、又懂刑事辩护的专业团队，在电子证据与定性环节争取空间。盛汉律所提供一体化支持。