争议焦点

被告人杨某侵入某战区医院计算机信息系统，获取药品数据并出售获利，其行为应认定为《刑法》第二百八十五条第一款非法侵入计算机信息系统罪，还是第二款非法获取计算机信息系统数据罪？核心在于：运营主体带有“战区”背景的医院计算机信息系统，能否仅凭主体身份直接归入“国防建设”领域。

基本案情

2021年至2023年3月，杨某多次在成都市某战区医院候诊区，使用笔记本电脑、网线接入医院内部网络，通过相关程序侵入数据库，窃取药品数据后对外销售，非法获利45.8万元，涉案数据达326761条。

裁判结果

成都市金牛区人民法院以非法获取计算机信息系统数据罪，判处杨某有期徒刑三年六个月，并处罚金八万元。宣判后无上诉、抗诉，判决已生效。

武汉千思刑事律师解读

本案的裁判价值在于确立了计算机信息系统领域属性认定的“实质审查”规则。《刑法》第二百八十五条第一款的非法侵入计算机信息系统罪是行为犯，一旦侵入国家事务、国防建设、尖端科学技术领域的系统即构成犯罪，不要求获取数据或情节严重；第二款的非法获取计算机信息系统数据罪则以“情节严重”为入罪门槛。两罪之间并非简单的轻重关系，而是因系统领域属性不同形成的互斥适用关系。若将战区医院系统形式化地归入“国防建设”领域，杨某的行为只能适用第一款，最高刑为三年以下有期徒刑；反之，若系统被认定为普通计算机信息系统，则须依据第二款及司法解释判断是否达到情节标准。法院选择了后者，其论证路径值得重点关注。

实质审查原则的操作维度在本案中被具体化为两项审查：系统核心功能与数据属性。法院查明，涉案战区医院虽承担部队医疗保障职能，但同时向社会公众开放并提供有偿医疗服务，并非仅服务于国防军事保障的专属机构；杨某获取的药品数据系面向社会医疗服务的通用数据，不属于国防军事涉密信息或专属保障数据。据此，系统不属于“国防建设”领域，不能仅因运营主体是战区单位就当然得出相反结论。这一规则的意义超出了个案：同一单位可能同时运营功能定位不同的多个系统，单位性质不能替代对涉案系统本身的功能与数据属性进行独立判断。

在情节认定上，依据法释〔2011〕19号第一条，非法获取计算机信息系统数据违法所得五千元以上即属“情节严重”，达到该标准五倍以上即二万五千元以上为“情节特别严重”。杨某获利45.8万元，远超情节特别严重的数额红线，法定刑区间为三年以上七年以下有期徒刑。法院在认罪认罚、坦白、全额退缴违法所得等从宽情节的作用下，判处三年六个月，处于该区间的偏低位置，量刑具有事实与规范基础。

从辩护视角审视，本案提供了可操作的路径与风险提示。首要辩点在于系统属性：当涉案单位具有军事、涉密等背景时，辩护应着力调取系统功能说明、数据分类文件、单位职能规定等证据，论证涉案系统是否实际面向社会公众提供通用服务，争取将案件拉回第二百八十五条第二款的框架内，从而激活“情节严重”的入罪审查和更低的法定刑上限。次要辩点在于数额与情节的精确核算：违法所得的计算口径、数据条数的重复计算与有效性、是否造成其他经济损失，均可能影响“情节严重”与“情节特别严重”的界分。此外，退赃退赔、认罪认罚的及时落实，在本案中已被证明对量刑具有实质影响。需要如实评估的是，若在案证据确实显示涉案系统专门服务于国防建设相关事务、数据属于军事涉密或专属保障信息，则系统属性辩护的空间将显著收窄，不宜脱离证据作笼统主张。

延伸而言，本案还提示了一个易被忽略的问题：非法获取计算机信息系统数据罪中的“侵入”，并不以技术性破坏安全防护为限。超出授权范围使用账号、密码登录系统后下载数据，同样可以构成“侵入”。此外，当行为人获取数据的目的在于出售获利时，罪名选择上还存在与盗窃罪、掩饰、隐瞒犯罪所得罪竞合或区分的讨论空间；本案以数据本身为直接对象、以技术手段侵入系统获取，适用第二百八十五条第二款具有构成要件上的贴切性，也避免了对数据“财物属性”作过度延伸解释可能带来的量刑失衡。