中策·观点 |【刑事篇】商业秘密犯罪与计算机、数据类犯罪的衔接
商业秘密犯罪在实践中经常与非法获取计算机信息系统数据罪、非法控制计算机信息系统罪、提供侵入、非法控制计算机信息系统程序、工具罪、破坏计算机信息系统罪、侵犯公民个人信息罪、非法利用信息网络罪、帮助信息网络犯罪活动罪等罪名发生交叉。交叉的根源在于，现代商业秘密尤其是源代码、研发文档、工艺参数、客户数据库、报价模型、算法模型、训练数据、供应链资料，通常以电子数据形式存储于企业服务器、代码仓库、OA、CRM、ERP、云盘、邮箱、即时通讯系统或第三方SaaS平台中。行为人实施窃密时，往往同时存在电子侵入、越权访问、账号滥用、数据批量下载、数据转售、境外传输、删库毁证、利用爬虫或木马工具等行为。
从定性路径看，企业报案或控告时不宜机械地只选择一个罪名，而应按照事实链条同时准备证据：第一，证明涉案信息具有商业秘密属性；第二，证明行为人采取了盗窃、非法复制、电子侵入、越权访问、违反保密义务披露或使用等不正当手段；第三，证明数据的获取、流转、披露、使用、销售、境外提供以及损失或获利；第四，证明计算机系统被侵入、控制、破坏或被用于犯罪帮助的技术事实。司法机关最终可能根据行为个数、法益侵害、证据证明程度和刑罚轻重，按照想象竞合从一重罪、牵连犯从一重罪、吸收评价或数罪并罚处理。
相关犯罪的法律认定
（一）侵犯商业秘密罪与为境外窃取、刺探、收买、非法提供商业秘密罪
刑法第二百一十九条规定，有侵犯商业秘密行为之一，情节严重的，处三年以下有期徒刑，并处或者单处罚金；情节特别严重的，处三年以上十年以下有期徒刑，并处罚金。行为类型包括以盗窃、贿赂、欺诈、胁迫、电子侵入或者其他不正当手段获取权利人的商业秘密，披露、使用或者允许他人使用以前述手段获取的商业秘密，以及违反保密义务或权利人有关保守商业秘密要求披露、使用或者允许他人使用其所掌握的商业秘密。明知前述行为而获取、披露、使用或者允许他人使用该商业秘密的，也以侵犯商业秘密论处。
刑法第二百一十九条之一规定，为境外机构、组织、人员窃取、刺探、收买、非法提供商业秘密的，处五年以下有期徒刑，并处或者单处罚金；情节严重的，处五年以上有期徒刑，并处罚金。刑法第二百二十条规定单位犯罪责任。
商业秘密刑事保护的关键变化在于，刑法修正案（十一）将“电子侵入”明确纳入侵犯商业秘密罪的不正当获取手段，并增设为境外窃取、刺探、收买、非法提供商业秘密罪，使数据化、网络化、涉外化窃密行为具备更清晰的刑法规制基础。
2025年4月26日起施行的《最高人民法院、最高人民检察院关于办理侵犯知识产权刑事案件适用法律若干问题的解释》（法释〔2025〕5号）对商业秘密犯罪作出专门规定。具体对如下内容作出释明：
（二）非法获取计算机信息系统数据、非法控制计算机信息系统罪
刑法第二百八十五条第二款规定，违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，构成非法获取计算机信息系统数据、非法控制计算机信息系统罪。第三款规定，提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统违法犯罪行为而为其提供程序、工具，情节严重的，构成提供侵入、非法控制计算机信息系统程序、工具罪。
《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）第一条规定，非法获取计算机信息系统数据或者非法控制计算机信息系统，具有获取支付结算、证券交易、期货交易等网络金融服务身份认证信息十组以上，获取前项以外身份认证信息五百组以上，非法控制计算机信息系统二十台以上，违法所得五千元以上或者造成经济损失一万元以上等情形之一的，应认定为“情节严重”；数量或数额达到前述标准五倍以上等情形的，应认定为“情节特别严重”。
该罪名与商业秘密犯罪的衔接非常密切。其证明重点不是商业秘密的“三性”，而是行为人是否违反国家规定，通过侵入或其他技术手段获取系统中存储、处理或传输的数据，或者非法控制系统。实践中，企业商业秘密属性证明、损失评估尚未完成时，若已有登录日志、IP轨迹、Token滥用、异常下载、漏洞利用、数据库查询、服务器取证等证据，非法获取计算机信息系统数据罪通常更容易先行启动刑事侦查。
（三）破坏计算机信息系统罪
刑法第二百八十六条规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，构成破坏计算机信息系统罪；对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，也构成本罪；故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，同样构成本罪。
在商业秘密案件中，破坏计算机信息系统罪常见于窃密后的“毁证”或报复性行为，例如离职员工删除代码仓库、清空数据库、修改CRM客户记录、删除日志、加密勒索、阻断服务器访问等。如果行为人只是下载或复制商业秘密，通常优先评价为侵犯商业秘密或非法获取数据；如果同时删除、修改、干扰系统功能或数据并造成严重后果，则可能与破坏计算机信息系统罪发生数罪或牵连关系。
（四）侵犯公民个人信息罪
刑法第二百五十三条之一规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，构成侵犯公民个人信息罪；将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，从重处罚；窃取或者以其他方法非法获取公民个人信息的，也依照该条处罚；单位可以构成本罪。
最高人民法院、最高人民检察院2017年《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对“公民个人信息”的范围、非法获取、出售、提供、情节严重和情节特别严重的标准作出规定。一般而言，行踪轨迹信息、通信内容、征信信息、财产信息等敏感信息五十条以上，住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的信息五百条以上，其他公民个人信息五千条以上，或者违法所得五千元以上等，均可能达到“情节严重”；相关数量或数额达到十倍以上等情形可认定为“情节特别严重”。
客户名单、会员数据库、联系人名录、交易记录、消费偏好、报价记录、销售线索等，在企业视角下可能是商业秘密，在个人信息保护视角下也可能包含公民个人信息。因此，企业应同时评估其是否具备商业秘密属性与个人信息属性。若商业秘密“三性”证明困难，但个人信息条数、类型和流转证据明确，侵犯公民个人信息罪可能成为更稳妥的追责路径；若客户名单具有非公开性、商业价值并采取了保密措施，则可与侵犯商业秘密罪并行评价。
（五）非法利用信息网络罪、帮助信息网络犯罪活动罪与拒不履行信息网络安全管理义务罪
刑法第二百八十七条之一规定，利用信息网络设立用于实施违法犯罪活动的网站、通讯群组，或者发布有关违法犯罪信息，情节严重的，构成非法利用信息网络罪。之二规定，明知他人利用信息网络实施犯罪，为其犯罪提供互联网接入、服务器托管、网络存储、通讯传输、广告推广、支付结算等帮助，情节严重的，构成帮助信息网络犯罪活动罪。
刑法第二百八十六条之一规定，网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正并造成严重后果的，构成拒不履行信息网络安全管理义务罪。
法释〔2019〕15号对上述网络犯罪作出解释。例如，帮助信息网络犯罪活动罪的“情节严重”包括为三个以上对象提供帮助，支付结算金额二十万元以上，以投放广告等方式提供资金五万元以上，违法所得一万元以上，二年内曾因非法利用信息网络、帮助信息网络犯罪活动、危害计算机信息系统安全受过行政处罚后又帮助信息网络犯罪，被帮助对象实施的犯罪造成严重后果等。
在商业秘密案件中，上述罪名主要用于评价外围链条：行为人设立群组、网站、暗网频道售卖源代码、客户数据、研发资料的，可能涉及非法利用信息网络罪；云服务商、IDC、支付通道、广告投放者、数据交易中介明知他人实施窃密或数据犯罪仍提供帮助的，可能涉及帮助信息网络犯罪活动罪；网络服务提供者经监管责令改正仍放任用户数据大规模泄露的，可能涉及拒不履行信息网络安全管理义务罪。
主要犯罪行为样态
（一）离职员工或在职员工“内部人窃密”
内部人窃密是商业秘密刑事案件中最常见样态。行为人可能在离职前集中下载研发文档、设计图纸、源代码、客户清单、报价表、供应商资料、测试数据，或将文件上传至个人网盘、私人邮箱、移动硬盘、即时通讯工具。若员工本身有访问权限，但下载范围、目的、时间、数量明显超出岗位职责或授权范围，2025年司法解释已为认定“电子侵入”提供依据，即未经授权或超越授权使用计算机信息系统获取商业秘密可以评价为侵犯商业秘密罪中的电子侵入。
此类案件的企业证据重点包括劳动合同、保密协议、竞业限制协议、员工手册、权限管理制度、文件密级标识、系统访问控制、下载日志、U盘插拔记录、网盘或邮箱上传记录、离职交接文件、同类产品上线时间、被告人与新单位沟通记录、商业秘密点鉴定与损失评估。
（二）外部黑客入侵或“内外勾结”
外部黑客通过SQL注入、弱口令、撞库、钓鱼、木马、Token盗用、接口漏洞、云服务密钥泄露等方式进入企业系统，下载数据库、源代码或模型参数。若内部员工提供账号、密码、Cookie、Token、VPN、API Key或权限协助，则形成内外勾结。此时通常同时审查侵犯商业秘密罪与非法获取计算机信息系统数据罪。若涉案数据不一定构成商业秘密，仍可能构成非法获取计算机信息系统数据罪；若数据构成商业秘密且损失或违法所得达到标准，则可按商业秘密犯罪追责。
（三）爬虫、接口调用与自动化批量抓取
爬虫抓取在刑事评价上最容易出现边界争议。若抓取公开网页信息，一般不当然构成犯罪；但若行为人绕过登录验证、签名校验、反爬措施、访问频率限制、加密接口、验证码、权限控制，获取非公开、访问受限的数据，可能构成非法获取计算机信息系统数据罪。若抓取对象是具有秘密性、价值性并采取保密措施的客户线索、报价模型、供应链数据，则进一步可能构成侵犯商业秘密罪。若工具提供者明知其软件用于绕过安全措施批量获取访问受限数据，可能构成提供侵入、非法控制计算机信息系统程序、工具罪。
（四）数据黑市交易与平台化售卖
窃密者将源代码、客户资料、商业计划、投标文件、工艺图纸或数据包在QQ群、微信群、Telegram频道、论坛、暗网、网盘链接、虚拟货币支付渠道中交易，可能形成多罪名链条。直接窃密者可能构成侵犯商业秘密罪、非法获取计算机信息系统数据罪或侵犯公民个人信息罪；建群、建站、发布交易信息者可能构成非法利用信息网络罪；明知犯罪仍提供服务器、存储、支付、广告推广者可能构成帮助信息网络犯罪活动罪；下游购买者若明知商业秘密来源非法而获取、使用，也可能以侵犯商业秘密论处。
（五）涉境外窃密与跨境传输
涉境外案件通常表现为境外竞争对手、咨询机构、个人或中介人员以高薪、兼职、咨询费、项目合作费名义，指使境内人员窃取或提供研发资料、技术路线、实验数据、工艺参数、产业布局、源代码等。刑法第二百一十九条之一将“为境外机构、组织、人员窃取、刺探、收买、非法提供商业秘密”单独成罪。企业发现涉境外线索时，应特别固定境外主体身份、通信记录、付款路径、文件传输路径、远程登录记录、境外邮箱或云盘证据、会议纪要、保密标识和技术秘密点。
（六）窃密后的删库、毁证、勒索或竞争性使用
行为人窃取数据后删除服务器文件、清空日志、修改数据库、远程锁定系统、加密勒索，可能构成破坏计算机信息系统罪。若同时以泄露商业秘密相威胁索要财物，还可能涉及敲诈勒索犯罪。若行为人将商业秘密用于新公司生产经营、投标竞争、客户挖转，则侵犯商业秘密罪中的损失数额可根据权利人利润损失、侵权产品销售量、合理许可使用费或商业秘密商业价值进行计算。
企业控告时“选择性使用”标准
企业所谓“选择性使用”，不应理解为任意选择有利罪名，而应理解为基于证据条件、法益受损、追责目标和侦查可行性的控告策略组合。较稳妥的做法是在控告书中以事实为中心，列明可能涉嫌的多个罪名，请公安机关、检察机关依法审查，而不是只限定单一罪名。
（一）何时优先主张侵犯商业秘密罪
当企业能够较充分证明涉案信息属于商业秘密，且损失或违法所得达到三十万元以上时，应优先主张侵犯商业秘密罪。该罪名能够直接体现企业核心竞争利益受损，也有利于追究使用、披露、允许他人使用以及下游明知获取、使用者的责任。尤其在源代码、工艺配方、研发数据、技术图纸、产品参数、算法模型、投标方案、价格体系等案件中，商业秘密罪名通常更能覆盖完整竞争损害。
企业应特别注意，“合理许可使用费”在2025年司法解释下具有重要意义。对于仅获取但尚未披露或使用的案件，过去常因实际损失难以证明而刑事立案困难；现行解释明确可以根据合理许可使用费确定损失数额，为未遂化、早期化、预防性保护提供了更现实的路径。
（二）何时优先主张非法获取计算机信息系统数据罪
当涉案数据是否构成商业秘密存在争议，或者商业秘密点鉴定、损失评估周期较长，但系统侵入、越权访问、异常下载、身份认证信息滥用等事实较清楚时，可以优先主张非法获取计算机信息系统数据罪。该罪入罪门槛在某些情形下更低，例如违法所得五千元以上或造成经济损失一万元以上即可达到“情节严重”。
但企业也应认识到，非法获取计算机信息系统数据罪主要评价系统和数据安全，不必然覆盖商业竞争损害。若后续查明数据属于商业秘密，且行为人披露、使用或允许他人使用造成更大损失，应继续推动商业秘密犯罪评价。
（三）何时并列主张侵犯公民个人信息罪
客户数据库、会员信息、消费记录、联系人、手机号、邮箱、地址、交易习惯、行踪轨迹等数据泄露案件，应同时审查侵犯公民个人信息罪。该罪名的优势在于，入罪标准可依信息类型和数量判断，证明结构相对清晰。缺点在于，该罪评价的是公民个人信息安全，不直接评价企业客户资源的竞争价值。因此，若客户名单经过整理、筛选、经营积累，非公开且采取保密措施，企业仍应同步主张商业秘密属性。
（四）何时关注帮助犯、平台犯和工具犯
商业秘密泄露往往不是单一行为人完成，而是存在“工具开发者—账号提供者—数据抓取者—中介—购买者—使用者—服务器/支付帮助者”链条。企业若只盯住直接离职员工，可能遗漏更具赔偿能力或更核心的组织者。对于明知他人实施犯罪仍提供程序、工具、服务器、网盘、支付、广告、通讯传输等支持者，应考虑提供侵入、非法控制计算机信息系统程序、工具罪、帮助信息网络犯罪活动罪或共同犯罪规则。
对企业而言，涉境外案件的证据重点不仅是商业秘密属性和损失，还包括境外主体身份、委托关系、报酬支付、跨境传输、文件内容和国家产业安全风险。新能源、半导体、生物医药、人工智能、高端装备等领域尤其应重视涉外数据流动审计。
商业秘密犯罪与计算机、数据类犯罪之间的关系，应理解为对象法益与手段法益的叠加。但企业最有效的刑事保护不是事后“选择罪名”，而是事前建立可证明的商业秘密和数据安全体系。没有清晰的秘密点、权限边界、保密制度和日志审计，很多案件会停留在劳动争议、民事侵权或一般数据纠纷层面。相反，只要企业能够同时证明商业秘密属性、越权或侵入行为、数据流转路径、损失或违法所得，就能为公安机关和检察机关提供清晰的刑事评价路径。
本推文内容原创，版权归中策研究院所有，未经授权禁止转载。
若需转载，请务必发送转载需求到info@ipzhc.com邮箱寻求授权，转载时明确文章出处；如若未经许可擅自转载，违者必究 。
