网络安全刑事立法更需人性化

不少人对本月初的那场“超级手机病毒”记忆犹新。当警方迅速出击抓到病毒制作者时，很多人都大跌眼镜，这起曾导致全国数百万手机用户受到影响的事件，其病毒的始作俑者竟然是一名年仅19岁的大学生。

虽然据报道该学生的动机并非牟利，仅仅是为了炫耀技术，除用户群发短信造成通讯费外，也没有造成其他经济损失，但该病毒在全国范围内造成上百万安卓手机用户受到影响，其行为显然已经触犯刑律。

该学生这种具有网络效应的刑事犯罪，究竟是定性为结果犯还是结果加重犯，抑或仅是量刑依据?我国当前的网络安全刑法相关规定是否科学?如何定罪量刑才更加合理?显然，如何看待网络效应是目前制定网络安全刑法规则时必须要面对的关键问题。

对此，中国人民大学物证技术鉴定中心副主任、中国电子学会计算机取证专家委员会专委谢君泽近日在接受《法制日报》记者采访时指出，科学合理地认识网络效应是网络安全刑事立法的关键，网络安全刑事立法应体现出人性化。

基础性原则在网络犯罪适用时面临挑战

“区别于传统犯罪，网络犯罪有很多特殊之处。”谢君泽举例说，很多现实中的一个小错在网络上却可能造成难以控制又无法预料的大事故，如果据此定罪量刑，就可能会存在刑法上客观归罪的嫌疑，而这种嫌疑源于立法者对网络效应的不当认识。

根据相关司法解释，手机作为通讯设备属于计算机系统。谢君泽认为，从现行刑法的实然层面来讲，由于这次手机病毒案件的作案人既有制作、传播手机病毒的行为，又有利用手机病毒窃取受害手机的短信或通讯录的行为，因此本案既可能适用刑法第二百八十六条第三款(故意制作、传播计算机病毒等破坏性程序)，也可能适用第二百五十三条第四款(非法获取公民个人信息)。

“如果本案适用前者，那么首先要讨论的是作案人是否存在主观上的故意。”谢君泽说，从目前相关报道来看，作案人是基于炫耀技术的目的，而非牟利的目的。但作为一名具备一定专业知识的大学生，应能够认识到其所制作的手机病毒可能造成传播的危害后果。因此在主观上虽然没有直接故意，但认定为间接故意是完全可能的，即明知自己的行为可能发生危害后果但放任其发生。

那么此次手机病毒是否属于破坏性程序?谢君泽认为，从相关法条的理解来看，本案的手机病毒虽然具有恶意性质，但如果说它是破坏计算机系统功能、数据或者应用程序的程序，似乎有些牵强。“当然，这最终取决于司法者对于立法者所说的破坏性的理解。”谢君泽说。

值得一提的是，主客观相统一原则作为我国刑法的基础性原则，显然在网络犯罪适用时面临不小的困难。主观罪过与客观危害该如何平衡?以这个19岁的病毒制造者为例，其犯罪的主观方面是较小的，仅仅为了炫技而已。然而，在客观方面的危害则是十分严重的。那么，在量刑时，如何主客观相统一呢?到底以主观方面为主，还是以客观方面为主，或者是采用平均主义?

对此，谢君泽认为，就本案而言，鉴于这次事件的严重后果及恶劣影响，采取“以客观后果为主定罪，以主观罪过为主量刑”思路的可能性较大。而不管作案学生是否主观上存在罪过或其大小，既然客观上已经造成严重后果，就以其客观后果定罪。因此，以非法获取公民个人信息罪定罪更为可能。

网络效应法律认识是网络刑事立法关键

所谓网络效应，是指由于网络的传播技术特性而导致网络影响的放大效应和不可控性，这种网络效应往往是当事人主观上所不能预料而产生的客观效应。这就导致，很多所谓的谣言在开始时只是小范围的戏谑之言，但经过网络的疯狂传播就可能变成入刑的谣言。一直在学界争论不休的网络造谣“500转”定罪也正是根源于此。

对此，谢君泽认为，如果对网络效应缺乏正确的认识和理解，那么就会存在刑法上客观归罪的嫌疑。在他看来，网络传播病毒的定案逻辑应转变为:首先不考虑网络传播的影响，先以是否存在网络传毒行为并造成危险状态进行定罪，之后，再考虑以网络传播的所造成的影响认定为结果加重。当然，如果不符合结果加重的法定标准，也可以考虑仅作为定罪后的量刑依据。显然，这里涉及到网络制、传病毒犯罪的归类问题。

谢君泽强调，网络制、传病毒犯罪侵犯的客体应是网络社会的公共安全，即不特定多数人的重大公私财产等，其损失的范围和程度往往也是难以预料的。因此，它应当归类为危害公共安全犯罪，而非现行刑法所规定的妨害社会管理秩序犯罪。

网络刑法规则应是网络安全法的下位法

网络犯罪既涉及网络安全法又涉及刑法，那么网络安全法和刑法两者是何关系呢?

谢君泽认为，狭义的网络安全法是指网络安全基本法。它的任务是解决现有法律体系在涉及网络领域安全问题时如何特别适用或变通适用之基本问题，解决现有各部门法律权利义务关系在网络安全语境下如何特别理解或变通理解之基本问题，涉及到宪法、刑法、行政法、民商法、经济法、环境法、诉讼法、国际法等在网络领域适用的方方面面。

“作为网络的基本法，网络安全基本法不可能亦不必要对涉及的方方面面进行详细规定。对于包括网络安全技术标准、网络刑法规则在内的各类具体法律规定，应当交由网络安全基本法的下位法去解决。”谢君泽说，实际上，目前我国已有一些网络安全下位法。如刑法第二百八十五条、第二百八十六条、第二百八十七条等相关条款规定的网络刑法规则，国务院发布的《计算机信息系统安全保护条例》，各部委发布的《计算机信息网络国际联网安全保护管理办法》、《计算机病毒防治管理办法》、《互联网安全保护技术措施规定》、《通信网络安全防护管理办法》等。另外，还有一些即将出台的网络安全下位法。如电子商务法、个人信息保护法等。

谢君泽最后指出，广义的网络安全法是指网络安全法体系。它不仅涵盖了各个部门法中与网络相关的法律规则，也涵盖了与网络相关的基本法律、行政法规、部门规章。这些与网络相关的所有法律规则，均应服从于网络安全基本法的规定。