尚权推荐SHANGQUAN RECOMMENDATION

随着信息网络技术的快速发展，在数据交易领域形成了以数据非法交易为核心的黑灰产业链。对于个人数据与非个人数据（如工业设备运行数据、自动驾驶路况数据、物联网环境监测数据、匿名化用户行为数据、人工智能训练数据等具有显著经济价值的数据）的前端非法获取行为，《中华人民共和国刑法》（以下简称《刑法》）分别通过侵犯公民个人信息罪与非法获取计算机信息系统数据罪予以规制。但对于非法获取数据后的存储、购买、出售、转让、传播等数据窝赃行为，刑法的规制与前者并不相同。个人数据由于可被纳入侵犯公民个人信息罪中出售、提供、非法获取等行为的对象，因此尚能得到规制；而非个人数据的事后窝赃行为，刑法并无直接罪名予以规制，相关司法解释倾向于以掩饰、隐瞒犯罪所得罪处理，但其适用的妥当性存在争议。基于上述规制的差异，本文将研究范围明确限定为“非个人数据”的数据窝赃行为。

在数字经济时代，构建严密的数据安全法治体系，须从数据生成、收集、存储、处理、传输直至销毁的全生命周期出发。刑法作为规制数据犯罪的最有力手段，有助于形塑安全可控、公平规范的数字经济秩序。数据作为新型生产要素，其价值实现依赖“获取、存储、流转、利用”的全流程。若刑法仅打击前端非法获取行为，而放任后续交易、传播等数据窝赃行为，则将使非法数据在黑灰市场中持续流通，导致难以切断数据犯罪利益链条。因此，只有确立对非法获取数据的后续交易、传播等窝赃行为的刑法规制，安全可信的数据交易市场才能建立起来，保障高质量数据要素供给的目标才能得以实现。刑法究竟应通过解释路径适用既有罪名，还是通过立法路径创设新罪，需要立足数字经济背景，在明确数据窝赃行为法益侵害本质的基础上，比对现有罪名的保护法益与构成要件边界后加以判断。

一、数据窝赃行为侵害法益之界定

数据窝赃行为通常涉及数据所有者、前行为人、行为人及第三方等多方主体。例如，前行为人非法侵入计算机信息系统，获取某公司自动驾驶训练数据后转卖给行为人，行为人又予以存储或转卖。此时，前行为人的非法获取固然构成对数据权利人的初次不法侵害，但行为人后续购买、传播等窝赃行为使数据进入隐蔽流转和利用环节，扩大了不法侵害的范围。在数字经济背景下，此类行为的法益侵害程度未必低于前端非法获取行为。目前，关于数据窝赃行为的刑法规制路径之所以存在分歧，是因为对该行为侵害法益的内容未予厘清。因此，在判断应采取解释论还是立法论之前，有必要先准确界定数据窝赃行为的法益侵害本质。

（一）“形式数据秘密说”之否定

刑法对数据的保护，传统上主要存在两种保护模式：一是实质信息内容保护模式，即以信息内容本身为核心，对敏感数据信息设置独立的构成要件加以保护，典型如《刑法》第398条规定的故意泄露、过失泄露国家秘密罪，第282条规定的非法获取国家秘密罪，以及第219条规定的侵犯商业秘密罪等；二是形式处分权保护模式，即对存储或传输中的数据及相关处理活动，作独立于数据实质内容的形式性保护。例如，《刑法》第285条第2款规定的非法获取计算机信息系统数据罪、第286条第2款规定的破坏计算机信息系统罪。

对于数据窝赃行为侵害何种法益，德国主流观点指出其侵害的法益是个体基于思想内容权利而决定数据传递、传输的形式处分权，即形式数据秘密。形式数据秘密不仅应免受数据窥探或“盗窃”等直接侵害，也应免受前行为所造成侵害的延续与深化。所谓对数据的形式处分权和形式数据秘密实际上是“一体两面”，即权利人对数据访问的排他控制权。在德国刑法中，数据窝赃罪的法益界定必须考虑前罪名，而数据窝赃罪的前罪名主要为数据窥探罪与数据截获罪。其中，数据窥探罪要求行为人未经授权突破访问保护措施，获取并非供其访问且受特殊访问保护的数据。该罪并不限定数据内容，而是通过“突破访问保护措施”这一要件，将保护重心置于形式数据秘密。据此推导，作为后行为犯的数据窝赃罪，其保护法益也应承继数据窥探罪的保护法益范畴，即数据形式处分权。我国亦有学者认为，数据窝赃行为间接侵害了数据支配权，即其侵害的法益为数据的形式处分权。然而，将数据窝赃行为侵害的法益纳入形式处分权的保护范围并不妥当，其侵害的法益亦不应被界定为“形式处分权”或“形式数据秘密”，其理由在于：

首先，认定数据窝赃行为侵犯权利人形式处分权存在逻辑上的矛盾。形式数据秘密依附于特定秘密领域和访问保护措施，其侵害发生在行为人突破访问控制进入该秘密领域之时；若要维持或扩大这一侵害，必须再次触及同一秘密领域，而不能仅凭传递已经脱离该领域的数据副本实现。然而，数据一旦被复制并离开原始秘密领域，后续的交易或传播行为就不再是对访问控制的再次突破，而仅是对数据所蕴含语义信息的流转。这就如同侵入住宅者只有协助他人再次侵入同一住宅才能延续前行为对住宅安宁的侵害一样。因此，数据脱离秘密领域后的交易或传播，本质上属于内容层面的信息流转，与形式秘密的保护并无直接关联。事实上，在许多数据窝赃案件中，原权利人的形式处分权限亦未受到新的实质性影响。因为前行为人通常会通过复制生成新的数据集合，而第三方获取数据也无须再次突破技术保护措施。

其次，数据窝赃行为与传统财物窝赃行为存在本质不同，不能将二者简单类比。有体物具有独占性，窝赃行为可使其永久脱离权利人控制，故传统赃物罪的不法本质在于延续前罪行为所造成的非法财产状态，财物会由于后续流转而彻底丧失追回的可能。然而，数据是非竞争性无体物，可无限复制且不排他使用。即使发生数据窃取，权利人通常仍保有原数据并可继续使用，其处分权未因第三方复制而受到实质减损。因此，数据窝赃行为既不涉及对权利人数据所有权的剥夺，也并未妨碍或阻却返还请求权。质言之，传统赃物罪所保护的形式处分权以有体物的独占性与物权请求权为规范基础，而数据的非竞争性与可复制性，使数据窝赃行为在维持和扩大前行为对形式处分权的侵害判断方面缺乏现实基础。

最后，认定数据窝赃行为侵犯形式处分权，会与前置法的价值判断产生冲突。我国和德国的民法均未确立数据的绝对排他性权利，若刑法采用形式处分权保护框架来规制数据窝赃行为，则隐含承认了前置法律体系未予规定的数据绝对支配权，从而与其他法律领域的价值判断发生冲突。例如，当企业依据反不正当竞争法只能对其商业数据主张竞争性权益而刑法却通过“形式处分权”创设绝对保护时，则会引发明显的价值冲突。事实上，《德国刑法典》第202d条第3款之所以专门豁免“履行职务义务”和“新闻报道”相关数据交易，正是因为意识到不加区分的形式保护可能会不当压制言论自由并损害公共利益。因此，若认为数据窝赃行为侵犯形式处分权，就意味着刑法在一定程度上为数据提供绝对保护，则既不符合数据分级分类的保护思路，也打破了数据流通与保护之间的平衡，存在过度犯罪化的隐忧。

（二）“实质数据秘密说”之提倡

鉴于“形式数据秘密说”并不符合数据的特性，有学者认为，数据窝赃行为侵害的法益是数据蕴含的信息内容，即权利人防止第三方知悉数据内容（即信息）的核心利益。因此，应采用内容导向的保护理念来规制数据窝赃行为，并根据数据内容的敏感性进行差异化规制。刑法规制数据窝赃行为的目的，应在于防止数据所蕴含的信息内容未经授权就被传播或扩散。

数据窝赃行为之所以侵害的是数据实质秘密，是因为（1）交易、传播非法获取的个人或非个人数据，对生活利益的侵害主要体现为数据所含信息内容的泄露。正如上述，无论德国创设数据窝赃罪，还是我国修订侵犯公民个人信息罪，其现实背景都包括个人数据被持续非法交易，并进一步诱发网络诈骗等犯罪，进而危及公民财产与人身安全。换言之，在信用卡信息贩卖、身份数据交易等场景中，窝赃行为真正指向的是数据内容的非法利用价值，如被用来实施诈骗、窃取财产的行为，而非数据来源的形式秘密属性。例如，“卡贩”产业链中数据的黑市价值来源于其包含的支付信息、身份特征及账户关联。相应地，受害人的财产、人身安全等实质权益，才是数据窝赃行为所侵害的保护对象。所谓“形式数据秘密”在数据脱离原控制领域后就已丧失规范意义。（2）“实质数据秘密说”契合数字时代非个人数据保护的需要。在数字经济背景下，数据已成为产业创新的重要生产要素，企业运营、商业交易等活动中的非个人数据虽不直接关联自然人权益，但承载经济利益、产业安全等重要价值。“实质数据秘密说”聚焦数据内容的实质价值和流转风险，能够为非个人数据治理提供更契合其本质特征的规范逻辑。事实上，非个人数据的价值主要源于其蕴含的信息内容，而非存储形式或访问权限。例如，若某企业购买前行为人非法获取的竞争对手的人工智能训练数据，其实质危害在于对训练数据中隐含的知识表征、算法优化逻辑等信息内容进行逆向提取与模型复现，从而使数据权利人丧失技术优势。再如，工业互联网中的设备运行数据、能源调度数据等被非法交易，实际上的危害是源于数据内容所反映的基础设施运行规律等关键信息，而这些信息可能被用于网络攻击。基于此，刑法规制数据犯罪亦非基于数据的技术属性，而是其信息内容所具备的社会意义与社会功能。（3）“实质数据秘密说”契合数据分类分级保护的要求。根据《中华人民共和国数据安全法》（以下简称《数据安全法》）第21条的规定，我国对数据实行分类分级保护，其核心标准在于数据在经济社会中的重要程度，以及其一旦被非法利用后对国家安全、公共利益或主体权益的危害程度。这一制度设计的本质，是要求数据保护强度与数据内容的实质价值及风险等级相匹配。数据窝赃行为并不涉及非法获取计算机信息系统数据罪中的手段不法，即侵入计算机信息系统或采取其他技术手段。因此，若要将其纳入犯罪圈，则必须要求其具备更强的结果不法。也正因如此，对数据窝赃行为的规制必须考量数据蕴含的信息内容，而非将所有非法数据交易行为都纳入刑法规制范围。“实质数据秘密说”可合理限缩并精准划定犯罪圈：其一，排除公开数据的可罚性。数据窝赃行为的法益侵害本质在于数据内容的非法扩散，而已发布的政府公告、公共数据库信息等公开内容已进入公共领域，其本身并不具有秘密性。其二，指导梯度化刑法保护体系的构建。对此，可根据信息内容的敏感程度及其泄露、扩散后的危害程度，将窝赃行为指向的数据区分为不同的保护层级。

二、数据窝赃行为解释论规制路径之否定

（一）适用掩饰、隐瞒犯罪所得罪的解释论规制路径

早在2011年，最高人民法院、最高人民检察院发布的《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称《危害计算机解释》）第7条就规定：“明知是非法获取计算机信息系统数据犯罪所获取的数据……而予以转移、收购、代为销售或者以其他方法掩饰、隐瞒，违法所得5000元以上的，应当……以掩饰、隐瞒犯罪所得罪定罪处罚”。针对该规定的出台背景，喻海松指出，危害计算机信息系统安全犯罪呈现明显分工细化特征，制作与传播非法获取数据的程序、非法获取数据、获取数据后销赃获利、使用数据等环节常由不同人员实施，且行为人之间多无事前通谋，难以按共同犯罪处理；同时，收购、代为销售或以其他方式掩饰、隐瞒计算机信息系统数据、控制权的行为已较为泛滥，甚至形成了规模化网络交易平台。可见，针对掩饰、隐瞒犯罪所得罪的行为对象能否包括数据这类权利属性尚未确定的无形物，最高司法机关持肯定意见。（1）从《刑法》第312条的立法精神看，该罪对象并不限于传统赃物，而是涵盖除洗钱罪上游犯罪以外的犯罪所得及其收益，故理应适用于危害计算机信息系统安全犯罪；（2）计算机信息系统数据虽属无形物，但可被纳入广义的财物范畴，将其解释为犯罪所得，符合立法原意和罪刑法定原则；（3）转移、收购、代为销售计算机信息系统数据的现象突出，若不予打击，则难以切断相关犯罪利益链条并保障计算机信息系统安全。在司法实践中，亦有法院依据2011年《危害计算机解释》作出判决。例如，有法院认为，被告人明知是非法获取计算机信息系统数据犯罪所获数据，仍予以介绍买卖，情节严重，构成掩饰、隐瞒犯罪所得罪。

（二）适用掩饰、隐瞒犯罪所得罪的解释论规制路径之否定

以掩饰、隐瞒犯罪所得罪对数据窝赃行为进行规制，虽有利于节约立法成本，但该罪是否契合数据的特性，存在疑问。

1.掩饰、隐瞒犯罪所得罪的保护法益与数据窝赃行为的不法本质并不契合

根据我国主流观点，作为传统窝赃罪的掩饰、隐瞒犯罪所得罪的法益应采以“违法状态维持说”为基础、兼顾“国家追缴权、被害人追索权”的复合立场，其核心在于通过规制财产转移行为，防止犯罪形成的非法财产状态持续存在，从而保障国家司法机关对赃物的追缴及被害人的返还请求权。德国主流观点也是以维持理论来说明窝赃罪的不法本质，即行为人与前行为人或占有继受者达成合意，维持或强化前行为所创设的非法财产状态。作为后行为犯，传统窝赃罪的不法在于维持甚至加深前行为已经实现的法益侵害，即前行为已非法剥夺权利人对特定财物的实际支配，窝赃者从前行为人处取得赃物后，使该特定财物继续脱离权利人控制，并增加失物追查难度，降低权利人恢复支配的可能性，从而加剧财产侵害。可见，掩饰、隐瞒犯罪所得罪的不法构造核心在于维持和固化对“特定物”的非法支配状态，其实现依赖于传统财物的可被占有、支配及物理转移属性。

然而，数据作为非物质性信息载体，其本质特征与刑法保护的传统财物不同。数据持有虽与物之占有具有相似性，但二者不能等同。在事实层面，占有强调对有体物的排他性控制，而数据具有可复制性与非竞争性，可被多人同时利用；在规范层面上，若将占有制度直接引入数据领域，不仅会出现水土不服，而且可能导致占有的空洞化。事实上，数据的本质内容是编码信息，非法获取数据通常只是生成独立副本，并不当然剥夺原权利人对原数据的控制能力。正是这种“复制而非转移”的特性，决定了数据窝赃行为难以形成对原数据本体的非法支配状态。这一差异也使传统赃物罪的保护逻辑在数据场景中丧失适用基础。一方面，数据的非排他性与非竞争性瓦解了“维持违法财产状态”的物理基础，因为原权利人既然未丧失对数据本体的控制，也就不需要通过物理追缴恢复支配状态；另一方面，国家对数据的“追缴”无法通过扣押实体物实现，而是必须依赖信息删除、访问权限重置等技术措施，故与传统赃物追缴机制存在本质差异。

更为关键的是，数据窝赃行为的不法本质并非侵害数据载体的物理支配权，而在于信息内容的不当传播可能危及人身财产安全、市场经济秩序乃至国家安全。其行为不法表现为非法扩大信息内容的知悉范围，结果不法则体现为由此引发的衍生风险。因此，数据窝赃行为的可罚性基础，在于创设并实现了“信息内容从秘密领域向非法领域的流转与扩散”的独立风险进程。此种以信息内容扩散风险为核心的侵害模式，显然无法被传统赃物罪这类以财产支配控制为保护核心的法益框架所容纳。例如，2011年《危害计算机解释》对数据窝赃行为的罪量仅设置了财产犯罪中常见的“违法所得”标准，而未充分考量数据类型、数据数量、敏感程度及扩散风险等因素，这显然并不契合数据犯罪治理的现实需求。从刑事政策来看，规制数据窝赃的核心诉求之一是打击数据黑灰产链条，遏制数据非法交易产业化带来的风险与危害。而这一目标已明显超出传统赃物罪保护个体财产权的范围。可见，传统赃物罪的规范目的与规制数据窝赃行为的核心诉求存在根本不同，其能否恰当规制数据窝赃行为存在疑问。

2.数据窝赃行为与掩饰、隐瞒犯罪所得罪的构成要件难以契合

首先，一般认为，掩饰、隐瞒犯罪所得罪的犯罪对象必须是有形物。据此，只有在相关数据被存储于特定有形载体之中，且行为人转移、收购的是该载体本身时，才可能适用掩饰、隐瞒犯罪所得罪。但是这种情形只是少数，且此时刑法评价的重心在于“有形物”载体的流转，而非其所承载的数据信息，这也偏离了数据犯罪规制应以信息内容为核心的本质。而这里的数据本身并非有体物，难以符合掩饰、隐瞒犯罪所得罪的犯罪对象要求。因此，仅从犯罪对象的物理属性看，以该罪规制数据窝赃行为面临解释障碍。

其次，根据《刑法》第312条的规定，掩饰、隐瞒犯罪所得罪的构成要件要求“明知是犯罪所得及其产生的收益而予以窝藏、转移、收购、代为销售或者以其他方法掩饰、隐瞒”。若认为数据窝赃行为构成本罪，则必须将数据纳入“犯罪所得”，并说明对数据的窝藏、转移、收购、代为销售等行为能够实现“掩饰、隐瞒”财物来源的效果。然而，抛开“犯罪所得”是否仅限于有体物不谈，即便认为“犯罪所得”可以包括无体物或财产性利益，2011年《危害计算机解释》也须以权利人对该无体物或利益享有类似物权的明确排他性支配权为前提。但当前民法、反不正当竞争法等前置法对数据权属的界定仍持谨慎态度，既未确立数据所有权制度，也未形成清晰的排他性权利边界。在此背景下，刑法若单方面将数据拟制为财产法益，实质上是以刑事手段介入民事法律关系，这不仅与法秩序统一性原则冲突，也有违刑法谦抑性原则。

最后，基于数据价值实现方式的特殊性，对数据实施“窝藏、转移、收购、代为销售”等行为，通常难以产生“掩饰、隐瞒”财物来源的效果。在传统赃物犯罪中，财物价值与特定物质载体紧密绑定，所有权移转和支配关系的变更主要通过占有予以体现。因此，窝藏、转移、收购或代为销售赃物，实质上是通过改变物的物理位置及对其的占有状态或权利外观，切断或模糊特定财物与上游犯罪之间的可追溯关联，从而增加司法机关追查赃物流向、恢复合法占有的难度。换言之，传统窝赃行为的不法性内含“制造侦查障碍、妨碍司法追索”的构成要件结果。但数据存在和流转的逻辑与此不同。数据的核心价值在于其承载的信息内容而非存储介质；信息内容可通过复制实现无损再现和即时传输，并不依赖对原始载体的物理占有或转移。在数据场景中，行为人“收购”或“提供”的往往只是信息副本，该行为本身并不当然篡改、删除或隐匿原始数据被非法获取时留下的系统访问日志、IP地址等电子痕迹。相反，司法机关可借助这些技术痕迹回溯数据被窃取的源头与初始路径，数据多次流转甚至可能因留下更多交互节点而增加溯源线索。因此，将数据窝赃行为评价为“掩饰、隐瞒”，难以准确反映其在数字环境下的实际作用方式，也偏离了该罪构成要件的文义范围。

三、数据窝赃行为立法论规制路径之提倡

（一）德国经验：创设新罪的立法论规制路径

《德国刑法典》第202d条（数据窝赃罪），旨在对非法获取数据的交易行为进行刑事处罚。关于设立“数据窝赃罪”的必要性与合理性，德国早有讨论。在21世纪初，德国财税机关购买非法复制的跨境数据的行为，使相关争议持续升温。因德国法律对购买疑似非法获取数据的行为缺乏明确定性，故使得此类实践成为催生数据窝赃罪的重要背景。同时，暗网数据交易与“身份交易”日益猖獗，暴露出《德国刑法典》第202a条至第202c条及附属刑法的规制不足，也导致设立新型数据窝赃罪的讨论不断深化。德国黑森州曾提出参照传统窝赃罪的第259a条修正草案，后被德国联邦参议院独立草案取代，后者在立法技术上部分摆脱了对第259条的依附。最终，德国于2015年正式增设数据窝赃罪。

在数据窝赃罪创设过程中，相较于德国黑森州所提出的修正草案，德国联邦参议院草案则将行为对象界定为“《德国刑法典》第202a条第2款意义上的数据”，即仅限非直接感知数据，理由是直接感知数据已获充分保护。德国联邦参议院直言不讳地主张：“非法获取数据的交易行为，其可罚性原则上等同于买卖被盗有形物品，数据窝赃罪旨在填补现行刑罚漏洞。”同时，德国联邦参议院草案强调制度趋同的必要性：“尽管无法在刑法处理上将数据与《德国民法典》第90条意义上的有形物品等同视之，但由于不同案件情形具有可比较的应罚性，实现制度趋同实属必要”。值得注意的是，德国立法机关在立法理由中指出，数据窝赃罪除保护形式数据秘密外，还附带保护“一般安全利益”，理由是窝赃行为会诱发前置犯罪。然而，德国主流观点认为，“一般安全利益”并非独立法益。尽管遏制“被盗”数据的（线上）黑市交易是设置该罪的核心动机，且存在“窝赃刺激前置犯罪”的循环，但“一般安全利益”只是国家通过刑罚所欲实现的法益保护效果，属于“反射性保护”。

尽管对增设数据窝赃罪存在批评，但亦有学者认为，该罪在数字时代客观上契合欧盟通过赋予用户对其设备生成数据的访问与传输权以推动开放数据经济的政策导向，即该罪通过处罚以牟利或损害为目的交易非法获取数据的行为，为从传统个人数据保护向数据交易转型提供法律保障。对比中德两国对非法获取数据后续交易的刑法规制可知，德国增设该罪的目的主要是应对大规模窃取身份信息并用于财产犯罪的现象，如信用卡数据、银行资料等“数字身份”的批量交易。此类犯罪常分工实施，技术型行为人窃取数据后转售给下游犯罪者，后者用于财产犯罪或二次转卖。在这种分工下，由于数据贩子既非原始获取者，也非后续使用者，因此数据传输行为既不受刑法规制，也不受著作权法、数据保护法或反不正当竞争法的规制。鉴于此，德国立法者认为有必要将非法数据交易环节单独入罪。事实上，德国增设数据窝赃罪与《中华人民共和国刑法修正案（九）》修订侵犯公民个人信息罪的立法理由具有相似性。我国之所以修订“侵犯公民个人信息罪”并扩张其规制范围，也是因为通过网络非法获取和倒卖个人信息的行为增多，严重侵害公民权利，且倒卖行为属于网络犯罪的上游环节，易引发其他严重犯罪。然而，不同于《德国刑法典》第202d条未限定数据类型，我国侵犯公民个人信息罪的保护对象仅限于“个人信息”，因此面对数据黑灰产业中非个人数据交易的兴起，该罪名无法发挥应有的规制作用。

（二）增设新罪规制路径的理由证立

当前，我国司法解释尝试以掩饰、隐瞒犯罪所得罪规制数据窝赃行为，但该路径在法益契合性与构成要件适配性上存在一些缺陷。因此，有必要超越解释论的局限性，在立法层面增设数据窝赃罪，以回应数字时代新型法益保护的现实需求。当然，增设新罪需要进行立法评估，将行为犯罪化应兼具目的与手段的正当性。其中，目的正当性应以法益为审查起点；同时，是否适宜以及是否需要动用刑罚手段来实现保护目的，须依据比例原则加以分析。

1.增设新罪具有目的正当性

将什么行为作为刑法的禁止对象，是由刑法的目的决定的。一般认为，根据《刑法》第2条的规定，刑法的目的是保护法益。当刑法立法欠缺真实和有价值的法益保护时，就属于目的不正当。鉴于数据窝赃行为所侵害的法益是真实存在且有价值的，将其纳入犯罪圈，具有目的正当性。

从微观法益保护必要性角度看，将数据窝赃行为独立入罪，正是为了对“实质数据秘密”这一新型法益提供周延保护。现有罪名体系在两方面存在疏漏：一方面，侵犯公民个人信息罪、侵犯商业秘密罪、非法获取国家秘密罪等罪名，均以特定信息内容为前提，保护范围有限，难以涵盖大量具有经济价值或公共风险但又属于上述类型的非个人数据；另一方面，司法解释虽尝试以掩饰、隐瞒犯罪所得罪规制数据窝赃行为，但该罪的保护法益、构成要件均与数据窝赃行为难以契合，强行适用不仅牵强附会，而且可能导致罪刑失衡。

从宏观刑事政策角度看，单独规制数据窝赃行为是顺应数字经济发展、推进数据治理现代化的必然要求。数据价值的释放依赖“获取、流转、利用”等一系列流程，其中每一个环节均存在相应的安全风险与规制需求。当前我国刑法对前端非法获取行为已有较为完整的规制体系，但对数据脱离原始控制后的二次流转行为缺乏针对性的规范，从而导致“非法获取、交易、再利用”的数据黑灰产链条难以被切断。若只处罚前端非法获取数据，却放任后端非法交易与流通，则无异于纵容非法数据的“洗白”与价值变现，并反向刺激前端犯罪。设立数据窝赃罪，将刑法评价节点从“非法获取”延伸至“非法流通”，有助于斩断数据黑灰产业利益链条、维护安全可信的数据要素市场、保障数字经济健康发展。

2.增设新罪具有适当性

根据比例原则的要求，应当从适当性、必要性和均衡性三个层面审查刑法手段是否具有正当性。适当性原则主要审查判断手段与目的之间是否存在实质关联性，某个手段如果有助于实现正当目的，就具有适当性。这是因为，干预手段能否有效达成目的，本质上涉及对因果关系的预测，属于事实判断的范畴。对此，应赋予立法机关一定的形成余地。根据对数据黑灰市运作规律与刑事制裁一般预防功能的经验观察，增设新罪有助于实现保护数据蕴含的信息内容安全、遏制数据非法交易产业化这一刑法目的。

首先，增设专门罪名能够精准打击非法数据交易产业的核心环节。数据黑灰产通常呈现高度分工与平台化运作的特征，从上游非法获取数据，到中游数据清洗，再到下游经销、交易担保和支付结算，已形成完整的产业链。该产业能够得以存续，关键在于存在稳定且相对“安全”的数据流转与变现渠道。本罪规范对象直指收购、提供、传播等核心流转行为，能够将非法数据的交易撮合、分销传播等环节纳入明确的刑事追责范围，通过禁止非法数据交易，可以从经济上削弱黑灰产业根基，提高数据掮客的法律风险和交易成本，从而铲除非法交易的市场空间。

其次，增设专门罪名能够通过明确刑事不法评价强化社会共识，从根本上抑制数据非法交易。刑法不仅具有威慑和惩罚功能，也承担积极的一般预防功能，即通过刑罚确认法秩序的有效性，增强公众对法律规范的信赖。将数据窝赃行为明确入罪，意味着国家以最严厉的规范形式否定数据非法交易，纠正“数据无形即可任意处置”“技术中立即可免责”等错误认知，从而为数据流转环节的市场主体划定清晰的刑事红线。该红线不仅约束直接买卖非法数据的行为人，也向网络服务商、云存储供应商、加密通信和区块链支付等技术或商业服务提供者释放明确的规则信号。随着规范的明确和司法经验的积累，社会公众与相关行业将逐渐形成行为边界的认知，并将抵制非法数据交易内化为共同遵守的行为准则。

3.增设新罪具有必要性

必要性原则要求，只有民法、行政法等相对轻缓的法律规制手段无法充分保护法益时，才可将有关行为犯罪化。反之，如果通过轻缓的法律手段已经足以保障相关法益，那么就无须动用刑罚。因此，如果通过民事或行政手段即可实现对数据窝赃行为的有效规制，那么就没有必要创设新罪。然而，从数据窝赃行为的侵害本质、规制难度及非刑事手段的功能边界来看，民事与行政手段均存在难以克服的局限性。

首先，民事手段在应对数据窝赃行为时的救济和预防效果有限。民事诉讼的核心目的在于填补损害、恢复原状，且依赖受害人主动行使诉权。但在数据窝赃情形中，权利人往往面临多重障碍：（1）损害难以特定化和量化。实质数据秘密受到侵害后，损害常表现为竞争优势削弱、系统性安全风险增加等抽象状态，而非直接可量化的财产损失，导致索赔数额难以确定。（2）因果关系证明复杂。数据一旦进入非法流通渠道，传播路径呈网状扩散，后续损害与特定窝赃行为之间的因果链条漫长且模糊。（3）诉讼成本与收益失衡。行为人常利用匿名身份、加密技术和跨境平台隐藏踪迹，固定证据和追查源头的成本极高，单个企业或个人未必有能力承担。（4）民事赔偿的责任承担方式威慑力有限。对于组织化、营利化的数据黑灰产而言，赔偿责任可能被视为可计算的“业务成本”，难以替代刑罚所附随的声誉贬损、资格限制和自由剥夺等制裁效果。

其次，行政处罚亦难以独立遏制数据非法交易。行政规制虽具有主动性和灵活性，但其功能边界明显。（1）罚款、没收违法所得、责令停产停业等处罚强度有限，面对高利润的数据窝赃行为，未必具有足够的威慑力。（2）行政处罚缺乏刑罚特有的社会伦理谴责功能。（3）从法律体系的功能衔接来看，刑法并非行政法的替代手段，而是保障其得到遵守的补充手段。在数据治理领域亦是如此，如果缺乏刑罚的最终威慑而仅依靠行政处罚，那么就难以确保数据安全义务得到切实履行。因此，虽然行政处罚对于遏制数据非法交易具有重要的基础性作用，但是其功能存在局限，需要以刑罚作为必要补充。

4.增设新罪可实现均衡性

“均衡性是比例原则最后一个审查步骤，是指手段所追求的立法目的与手段所造成的侵害后果必须保持一定度，不能失衡。”均衡性更多地旨在对那些被认为适合且必要的措施进行反向控制。在均衡性审查阶段，应特别关注刑法规范的双重结构。刑法规范由行为规范与制裁规范构成。从基本权利干预角度看，二者分别构成对行为自由的限制和更严厉的刑罚威慑。因此，均衡性审查中的“成本”，必须同时考量行为自由受限与刑罚制裁的风险；相应的“收益”，则指向规范所要实现的法益保护目标。

增设数据窝赃罪的均衡性考量，其核心在于权衡动用刑罚手段所可能获得的利益与必然消耗的立法资源以及对公民自由造成的潜在约束之间的关系。增设数据窝赃罪的收益在于，通过保护“实质数据秘密”这一独立法益，精准打击数据黑灰产业链，遏制非法数据交易市场扩张，维护安全可信的数据要素市场，并最终保护公民人身财产安全、企业竞争优势、市场经济秩序乃至国家安全。其成本则主要表现为立法、司法资源的投入，以及对公民行为自由和数据流通的限制。

均衡性原则要求，国家干预所欲实现的公益目的必须与其对基本权利的限制强度成比例，即收益应明显超过成本。而实现这一要求的关键在于，通过精密、审慎的立法技术，对犯罪的构成要件进行合理设置。因此，只要在构成要件设定上精准限定行为对象、明确类型化行为方式、梯度化设置罪量要素，并合理规定出罪事由，同时在刑罚配置上参照侵犯公民个人信息罪、侵犯商业秘密罪等关联罪名，保持刑罚体系协调与罪刑均衡，那么创设数据窝赃罪就能够满足均衡性要求。通过这种审慎的规范设计，可以确保以相对明确且有限的行为自由约束为代价，换取对数据内容所承载的财产、竞争、安全等法益内容的保护，从而满足均衡性原则的要求。

四、数据窝赃罪构成要件之具体展开

在具体规范构建上，可借鉴《德国刑法典》第202d条关于数据窝赃罪的规定，将我国的数据窝赃罪设置为《刑法》第285条第4款。其构成要件可表述为：“违反国家规定，明知是犯罪行为取得的非公开数据而获取、提供给他人或者传播的，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。本法另有规定的，依照规定。”

（一）数据窝赃罪的行为对象

数据窝赃罪的行为对象应为数据。对“数据”概念的界定可采用《数据安全法》第3条第1款的定义，即“任何以电子或者其他方式对信息的记录”。其中，“其他方式”应与“电子方式”作同质解释，将其理解为需要借助机器技术中介方可读取的非直接可感知的信息记录方式。同时，由于数据窝赃罪保护的法益是实质数据秘密，其关注重点在于数据所含信息内容的泄漏风险，因此本罪对象应被限定为前置犯罪行为取得的非公开数据，即信息内容本身具有秘密性且尚未进入公共领域的数据。

数据窝赃罪规制的是非法获取数据后的交易、传播等后续行为，其在本质上属于后行为犯。为保持前行为与数据窝赃行为之间的罪刑均衡，在未满足累积犯构造的情形下，本罪的前行为应被限于犯罪行为。因此，数据窝赃罪中的数据，应为符合不法构成要件的行为所取得。例如，单位内部人员传递敏感企业数据时，仅当其数据获取行为本身已构成刑事犯罪时，方满足适格前行为要件。单纯的行政违法、职务违规或授权系统使用中的违约访问均不符合要求。鉴于数据窝赃行为侵害的法益是实质数据秘密，前置罪名不应仅限于侵害数据形式处分权的非法获取计算机信息系统数据罪，也可包括其他实质规制非法获取数据的犯罪。此处“犯罪”的认定，可借鉴帮助信息网络犯罪活动罪的认定规则，只要求相关犯罪事实查证属实，并不以法院生效裁判确认为必要。同时，虽然前行为符合不法构成要件，但是因行为人未达刑事责任年龄等而未被追究刑事责任的，也不影响本罪的成立。

一般认为，传统赃物犯罪要求被掩饰、隐瞒之物直接源自原犯罪行为，即原赃物与被掩饰、隐瞒之物之间具有“物之同一性”。但数据不同于传统财物，不能机械套用这一标准。一方面，数据复制并不总是比特级复制，在格式转换、压缩、加密存储等情形下，存储层面的字符序列或功能序列可能已发生变化，即便可以无损还原，技术意义上的实际存储数据也已不同。另一方面，本罪关注的是数据蕴含的信息内容本身，其表现形式（如文件格式转换）不影响本罪成立与否。因此，传统赃物罪的“物之同一性”标准并不适合本罪，有必要对“物之同一性”作实质化解释，只要窝赃数据与前行为所获数据的信息内容等效，或直接来源于前行为所获数据，就可满足要求。在数据黑灰产交易中，行为人常根据自身或接收方需求，对非法数据进行再次加工，进而衍生出不同类型的数据集合。对此，应依据提取前行为获取数据所需技术、经济与时间投入及智力贡献等因素，综合判断加工后的数据是否仍与前行为所获数据蕴含的信息内容等效或直接来源于前行为。具体而言，若仅对数据进行简单提取或者格式转换而未改变原始信息内容并保留其直接关联性，则仍属本罪适格客体；若经过实质性的独立智力加工生成具有不同信息内容的衍生物，已脱离前行为数据蕴含的内容并与之不再等效，则不宜再认定为本罪客体。

（二）数据窝赃罪的行为方式

本罪第一类行为方式是从前行为人处“获取”数据。“获取”既包括为自己取得，也包括为第三人取得。“获取”形式既包括取得数据存储介质，也包括在数字环境下通过复制、下载、存储或取得访问权限等方式。“获取”方式具有开放性，如通过支付货币购买非法数据，或以其他方式非法获取的信息进行交换，其本质在于使行为人或第三人得以接触数据，并知悉其中的信息内容。

本罪第二类行为方式是将从前行为人处取得的数据“提供给他人”。“提供”的方式亦具有开放性，既包括传统物理载体的转移，也包括通过电子邮件、即时通信工具、云平台链接等方式传输或共享数据。鉴于数据具有可复制性和非竞争性，对“提供”的认定应聚焦于信息内容的传播后果。即使行为人仅提供临时使用权限，或未改变原始数据存储状态（如设置限时访问链接），只要使他人获得对数据内容的实际接触或利用能力，即可构成“提供”。

本罪第三类行为方式是将从前行为人处取得的数据向不特定对象“传播”。“传播”以受众不特定为要件，即行为人主动使数据处于不特定多数人可接触、获取的状态。“传播”的方式也具有开放性，包括在公开平台发布数据文件、设置公开下载链接、通过二维码方式间接指向数据存储位置等多种方式。其与“提供给他人”之间的区别在于受众范围不同，前者面向不特定多数人，后者限于特定对象。由于数据一旦进入公共传播渠道便可能被无限复制和层层转发而脱离行为人的控制，因此“传播”对实质数据秘密的侵害通常更为严重。

就时间顺序而言，数据窝赃与财物窝赃均要求上游犯罪人在窝赃行为发生前已取得“赃物”。在数据窝赃中，前行为人须在后续窝赃行为开始前已实际控制数据，包括但不限于将数据从云端服务器下载至本地存储、生成独立数据副本等。同时，数据窝赃也要求行为人与前行为人之间存在意思联络，违背或无视前行为人意志而自行获取数据的，不属于数据窝赃。此种意思联络并非共同犯罪意义上的事前通谋，而是行为人明知数据系前行为人不法取得，事后仍接纳、购买或利用，通过中间人从黑客处购买数据，或在暗网平台接收他人上传的非法数据即属此类。

（三）数据窝赃罪的罪量设置

由于数据窝赃罪拟设置“本法另有规定的，依照规定”这一条款，因此凡相关数据已符合个人信息、著作权作品、商业秘密、国家秘密等特殊类型的，应优先适用相应罪名，故数据窝赃罪主要规制一般类型的非个人数据。其罪量要素设置应立足于实质数据秘密法益，以数据类型和级别为基础，设置数据规模、受影响人数、经济损失等多元的罪量要素。在本罪已将行为方式类型化为“获取”“提供”“传播”的前提下，须先对数据进行分类分级。对此，可参考《数据安全法》第21条的规定，以数据在经济社会发展中的重要程度，以及其遭到篡改、破坏、泄露、非法获取或非法利用后对国家安全、公共利益以及个人、组织合法权益的危害程度，作为分类分级的基本标准。

虽然数据分级通常以分类为基础，但是刑法不能简单套用“分类决定分级”的模式，而应以法益侵害结果为中心，进行实质判断并确定相应保护级别。由于“本法另有规定的，依照规定”这一条款已将个人信息、商业秘密、国家秘密等特殊数据交由相应罪名规制，因此本罪主要面向一般意义上的企业数据与公共数据。对本罪行为对象的分级，应结合企业数据、公共数据所蕴含的信息内容（影响对象），并根据“获取”“提供”“传播”等行为可能造成的危害后果（影响程度）来确定保护层级。其中，“影响对象”与“影响程度”是由不同的影响要素综合决定的，在具体判断中，可综合考量数据领域、群体、区域、精度、规模、深度、覆盖度、重要性等因素，并据此设置不同罪量要素。数据分级本质上是一个动态过程，其关键不在于一次性分类，而在于建立一套动态目录，能够根据技术迭代和威胁态势的变化进行定期调整。

例如，可根据其对国家安全与公共利益的影响程度，将公共数据划分为核心公共数据、重要公共数据与一般公共数据。核心公共数据直接关系国家安全重点领域或重大公共利益，如关键信息基础设施运行参数、涉及国民经济命脉的产业数据等。重要公共数据则主要指可能引发严重社会影响或公共风险的数据，如跨省流域水文监测数据、超大城市实时交通流量数据等。一般公共数据则包括不涉及国家安全和重大公共利益的常规政务数据，如公共服务指南、已脱敏统计年鉴等。但需要注意的是，公共数据的风险等级并非固定不变。同类数据在不同规模和组合方式下，可能呈现出不同层级的信息利益，当数据的数量足够大时，即便是一般数据也可能涉及重要的企业利益或者国家安全利益。例如，单个城市道路基础信息通常属于一般数据，但全国路网数据经聚合分析后可能暴露一国的国防动员能力，因此便可能上升为核心数据。

（四）数据窝赃罪的出罪事由

一般认为，数据权制度以数据适当控制与有效使用为赋权目标，并未赋予权利人对抗一切人的绝对排他权。在用户访问存取、第三方强制许可等制度作用下，权利人的排他权能本就受到限制。因此，数据窝赃罪所保护的实质数据秘密并非不可克减。若经比例原则审查发现，窝赃行为所保护的法益优先于权利人的实质数据秘密，则可承认存在违法阻却事由。《德国刑法典》第202d条将“履行合法的公务或职务义务”作为违法阻却事由，正是为了保障税务稽查、新闻报道等职业活动的无障碍开展。由此，数据窝赃行为的出罪事由，既可以是行为人本身具有知悉数据所蕴含信息内容的权利，也可以是为了国家安全、公共利益、公共服务管理等公共事项。

一方面，鉴于本罪保护法益为实质数据秘密，若窝赃行为人对数据所蕴含的信息内容享有合法知情权，则其获取数据的行为可基于权利行使而得以正当化。例如，甲公司租用乙公司的云服务器进行人工智能训练，并将训练数据存储于该云服务器。若竞争对手通过黑客手段侵入乙公司服务器，获取并泄露该训练数据，甲公司为防止信息内容继续扩散以保障市场竞争优势，从非正规渠道回收该数据。该行为虽形式上符合数据窝赃罪的构成要件，但因甲公司本身对训练数据享有知情权，故可认定其存在违法阻却事由。

另一方面，为国家安全、公共利益、公共服务管理等事项实施的数据窝赃行为，并不当然具备违法阻却事由，仍须根据比例原则予以审查。（1）行为目的必须服务于国家安全维护、重大犯罪侦查、公共卫生应急等明确的公共利益。（2）行为手段应当与公共利益目标之间具有实质关联性。（3）在有多种手段可以达到规制目标的前提下，应优先选择侵害较小的手段，若可通过合法程序获取数据却选择非法窝赃方式，则不符合必要性要求。（4）还要衡量所保护的公共利益与所侵害的数据法益之间是否相称。只有上述四个要件同时满足，才能认定违法阻却事由成立。

五、结  语

数字经济时代的数据治理正面临前所未有的挑战。随着数据要素成为驱动产业创新与社会发展的核心动能，构建兼顾安全与流通的刑法规制体系已成为法治现代化的必然要求。当前我国通过司法解释将数据窝赃行为纳入掩饰、隐瞒犯罪所得罪的规制范围，虽可以在短期内填补法律空白，但传统赃物犯罪的法益保护逻辑与数据的非竞争性、无形性等存在本质冲突，强行扩张解释既违背罪刑法定原则的实质要求，也难以实现对数据要素的全方位保护。对此，立法机关应通过适时增设新罪来填补该刑法规制漏洞，并以数据所蕴含的信息内容及其扩散风险为规范重心，构建更为契合数据特性的刑法规制体系。

来源：《法商研究》2026年第4期

作者：江海洋，山东大学法学院副教授