司法前沿｜制售VPN等翻墙软件行为的司法认定

文 | 西藏大学 李青

VPN一般指虚拟专用网络，是“翻墙”软件的常用技术。随着互联网技术的快速发展，越来越多的政府部门、军队、跨国公司等开始利用公用基础通信设施构建自己的虚拟专用广域网络来进行数据的安全传输。据中国互联网络信息中心于2020年9月发布的《第46次中国互联网络发展状况统计报告》显示，截至2020年6月，我国网民的规模达9.4亿，近乎2010年的3倍。早在2017年，根据市场研究机构GlobalWebIndex的调查研究估测，中国的VPN用户可能多达9000万，其中手机VPN用户居多。

我国于2015年开始加强对专用电信网运营的管控。《中华人民共和国电信条例》规定，专用电信网络经营必须取得电信业务经营许可证。工业和信息化部在2017年开始对VPN的无证运营展开专项治理活动。中国的VPN用户巨大，在国家监管刚刚起步的情况下，一些“翻墙”软件一直游走在违法犯罪的灰色地带。

法律适用的实践分歧

（一）法律适用的定性分歧

笔者以Alpha数据库为依托，搜寻了2014年至今制售VPN的相关刑事犯罪案件。通过统计可以看出，相关刑事案件在实践中主要存在以下三种定性：

其一，以非法经营罪定罪量刑。例如，在薛某非法经营案中，被告人薛某在未取得中华人民共和国增值电信业务经营许可证的情况下，私自在家中架设VPN服务器，并通过某电商平台销售VPN代理服务，营业额达47万余元。此案中，薛某以非法经营罪被判处有期徒刑三年，缓刑三年，并处罚金10万元。

其二，以提供侵入、非法控制计算机信息系统程序、工具罪定罪量刑。例如，在卢某提供侵入、非法控制计算机信息系统程序、工具罪一案中，被告人卢某成立专门公司，租用境外服务器架设VPN专用网络，雇佣销售推广、技术支持人员，通过某电商平台及相关网站非法向2499人次提供VPN服务，销售收入37万余元。此案中，卢某以提供侵入、非法控制计算机信息系统程序、工具罪被判处有期徒刑三年零三个月，并处罚金4万元。

其三，以拒不履行信息网络安全管理义务罪定罪量刑。例如，在朱某拒不履行信息网络安全管理义务一案中，被告人朱某注册成立公司，创建多个网站用于推广其代理销售和自己开发并销售的VPN软件。其后，朱某又租用境内外服务器建立自己的VPN平台，为他人提供通道在网上予以出售。接到公安局关停VPN业务的通知后，朱某仍未停止经营直至案发。据统计，共产生连接境外IP记录的会员账号478个，朱某收入4万余元。朱某以拒不履行信息网络安全管理义务罪被判处有期徒刑一年四个月，并处罚金8万元。

（二）法律适用的法律依据分歧

实践中，部分案例即使认定为非法经营行为，也会因具体适用法律依据不同而出现罪与非罪、此罪与彼罪的现象。

其一，依据《中华人民共和国刑法》（以下简称《刑法》）第二百二十五条第一款适用非法经营罪。该款规定，“未经许可经营法律、行政法规规定的专营、专卖物品或者其他限制买卖的物品的”以非法经营罪定罪处罚。认为适用该条款的理由是，在未取得电信业务经营许可证的情况下制售VPN的行为违反了国家电信部门的专营权。行为人目的在于利用代理服务来营利，重在“经营”，这一点可与非法控制计算机信息系统程序、工具罪重在“控制”区分开来。因此，只要存在经营VPN的行为，则依此定性为非法经营罪。至于入罪标准的“情节严重”要求，则根据购买人次、经营时间、方式、影响范围、非法牟利数额等因素综合考虑。

其二 ，依据 《刑法》 第二百二十五条第四款及相应的司法解释适用非法经营罪。该款规定，“其他严重扰乱市场经济秩序的非法经营行为”以非法经营罪定罪处罚。适用该款是因为与其有关的司法解释明确了非法经营电信业务的行为方式及情节严重的标准。《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》（以下简称《解释》）第一条规定：“违反国家规定，采取租用国际专线、私设转接设备或者其他方法，擅自经营国际电信业务或者涉港澳台电信业务进行营利活动，扰乱电信市场管理秩序，情节严重的，依照刑法的规定，以非法经营罪定罪处罚。”对于“情节严重”的标准，该《解释》第二条规定：“下列情形属于非法经营行为‘情节严重’：（一）经营去话业务数额在一百万元以上的；（二）经营来话业务造成电信资费损失数额在一百万元以上的。”

依此规定，只有销售金额达到“情节严重”，即100万元以上的规定，才依非法经营罪定罪处罚；未达到100万元以上的数额标准则无法定非法经营罪。例如，被告人廖某甲注册成立公司，未经国家信息产业部门许可，擅自经营虚拟专用网络VPN业务并通过某支付工具账号收款，非法经营数额近125万元。被告人以非法经营罪被判处有期徒刑九个月，并处罚金5万元。司法实践中，绝大多数案例中的被告人以提供侵入、非法控制计算机信息系统程序、工具罪定罪处罚，其原因之一就是认为制售VPN的行为存在想象竞合，适用两罪。若销售额没有达到100万元的标准，就转而认定提供侵入、非法控制计算机信息系统程序、工具罪。

法律适用的理论分歧

关于制售VPN相关刑事犯罪案件的定性，在理论上也存在争论，但却与实践情况大不相同。理论界的主流观点认为应当定性为非法经营罪。该观点主要认为，在我国，经营者在没有取得电信业务经营许可证的情况下，租售“翻墙”软件及其提供相关技术服务均属于违法行为。在网上搭建VPN服务器并向用户提供账号和登录软件属于提供跨境网络接入服务，应归类为增值电信业务。未取得增值电信业务经营许可证的行为违反国家规定，应定性为非法经营罪。

此外，也有部分观点认为，应当按提供侵入、非法控制计算机信息系统的程序、工具罪定罪。该观点认为，侵入、非法控制是指通过终端设备对他人的计算机系统进行非法访问，或利用网站漏洞将某种病毒植入到网站上，令访问了该网站的用户的网络安全受到侵犯。非法出售VPN，已经侵犯了公用网络的网络安全，应当以提供侵入、非法控制计算机信息系统的程序、工具罪定罪。

但是，很多学者从反方向提出了见解，认为用提供侵入、非法控制计算机信息系统程序、工具罪来指控提供VPN“翻墙”服务的行为存在问题。例如，有反对观点认为，利用VPN类工具翻墙，即绕过相应的国内互联网限制性手段，实现国内网络对国际互联网网络内容的访问。但是，技术不等于采用该技术的工具，采用加密协议技术是VPN技术的内核，采用技术本身并不违法。又有反对观点认为，VPN服务本身是合法存在的一项电信业务，是电信条例附件明确规定的电信业务分类。制售只不过违背了不得利用其来浏览互联网的政策监管，并不存在控制计算机信息系统的情况，更不存在非法侵入计算机信息系统的情况。这种行为的定性也必须充分考量VPN电信行业现状，不能简单孤立地看待。

2019年11月15日，北京网络行业协会与中国政法大学网络法学研究院联合组织了“VPN相关违法行为刑法定性问题研究”闭门研讨会。与会专家一致认为，对制作、销售VPN软件并提供后续服务的行为以提供侵入、非法控制计算机信息系统程序、工具罪进行定罪，并不合适。具体分析为：VPN从技术上来看并不属于专门用于侵入计算机信息系统、非法控制计算机信息系统的工具，也不具有侵入或非法控制计算机信息系统的功能。另外，使用VPN软件之后所获取的信息，不一定包含非法内容，无法认定VPN是非法获取计算机信息系统数据的软件。

分歧产生的原因

（一）相关立法规定匮乏。随着网络技术的发展方式和手段频繁更新，制售VPN等“翻墙”软件的行为缺乏系统的明文规定，仅在《互联网信息服务管理办法》等行政法规中进行了简单规定。出于对国家安全或国家政策的考虑，对VPN技术的相关术语并不明确，且缺乏对非法经营罪涉及制售VPN行为构成非法经营罪情节严重标准的明文规定。对非法经营罪，《刑法》仅有对擅自经营国际电信业务的规定，故仍需对VPN行为属于国际电信业务及其入罪的经营数额、损失数额的标准作进一步推理论证，才能适用相关的规定。

（二）现行司法解释对计算机犯罪“情节特别严重”“后果特别严重”的数额标准认定过低。2011年，最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第三条具体规定了提供侵入、非法控制计算机信息系统的程序、工具罪“情节特别严重”“后果特别严重”的数额标准，即“违法所得二万五千元以上或者造成经济损失在五万元以上”。在司法实践中，因为计算机犯罪存在获利机制产业化的特点，犯罪数额很容易达到此标准，动辄被判处三年以上有期徒刑，不符合轻罪数量应多于重罪数量的阶梯标准。实践中，制售VPN的行为定性为提供侵入、非法控制计算机信息系统的程序、工具罪，均出现量刑过重的情形。上述案件中，卢某等人非法获利37万余元，法院按提供侵入、非法控制计算机信息系统程序、工具罪定罪处罚，属情节特别严重，判处三年以上刑罚。但是，若按照《刑法》第二百二十五条第四款及相应的司法解释中关于非法经营罪的相关规定来定罪处罚，则不够罪。这也是实践中制售VPN的行为产生法律适用不一的重要原因。

（三）指导性案例匮乏。最高人民法院和最高人民检察院的指导性案例在全国刑事审判实践中起到了重要作用，对减少“同案不同判”的现象具有实际意义。但是，相关指导案例仍然存在滞后于实践，且数量较少的情况，这导致部分法院在面对制售VPN这类新类型的案件时无所适从。

（四）相关法律规定存在竞合歧义。《刑法》第二百八十七条规定：“利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。”实践中，对制售VPN行为适用提供侵入、非法控制计算机信息系统的程序、工具罪和非法经营罪，存在按照牵连犯、目的犯、想象竞合犯从一重处罚三种分歧。这是由于随着经济社会的发展，对新类型计算机犯罪的理解不同所导致。

完善路径

应对制售VPN犯罪行为司法适用中存在的突出问题，可以考虑从以下几个方面进行完善：

（一）完善相关立法。通过立、改、废、释并举的方式，推动现有法律法规延伸适用到网络空间。首先，应完善网络信息服务方面的法律法规。其次，应完善网络安全法配套规定和标准体系，建立健全关键信息基础设施安全保护、数据安全管理和网络安全审查等网络安全管理制度。再次，相关部门在公布新的法律规定时，应对之前颁布的法律规定进行梳理，确保两者之间不存在法律适用分歧。若发现已存在法律适用冲突的情况，应对分歧进行合理的解释和说明。

（二）修改司法解释的不完善之处。提高相关司法解释中“情节特别严重”“后果特别严重”的数额标准，将入罪门槛的“违法所得”数额提升，或者提高升格量刑档的标准，以提高法定刑的门槛，防止“情节严重”被架空导致的罪刑失衡问题。

（三）指导性案例的推进。随着信息网络时代的到来，可以预见的是，包括计算机犯罪在内的各种新类型复杂疑难网络犯罪案件将呈上升态势。为确保法律适用统一，最高人民法院和最高人民检察院指导性案例的作用会越来越突出。为确保指导性案例的作用充分发挥，相关部门应健全完善指导性案例的沟通联络机制，即对于个案中具有普遍意义的法律适用问题，最高人民法院和最高人民检察院可以联合发布指导性案例，以确保法律适用标准的统一。

（四）合理释法和准确适法。各级法院应当全面落实宽严相济刑事政策的要求，充分理解刑法条文的内涵。刑法的规范是富有弹性的规范，需通过法官的经验、社会观念，以及公众的价值、理念来检视。法官可在个案中寻找情景因素，将案件审理和裁判作为一个情境式的讨论。在办理制售VPN案件中，不提倡机械适用《刑法》第四条及相关司法解释中规定的关于非法经营罪的数额标准，应当根据制售VPN行为方式、次数、影响等灵活认定犯罪情节。与此同时，法官还应准确区分牵连犯与吸收犯，认清手段行为是否被目的行为完全吸收，综合案件的事实合理区分一罪与数罪，根据犯罪情节及危害后果做到罪责相适应，确保案件事实证据和定罪量刑经得起法律的检验。当既构成提供侵入、非法控制计算机信息系统程序、工具罪，同时又构成非法经营罪，且达到入罪标准时，可以依照想象竞合犯的定罪原则，依照处罚较重的规定定罪处罚。根据2016年出台的《最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的解释》，网络服务提供者不履行法律、法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使产生严重后果的，以拒不履行信息网络安全管理义务罪追究刑事责任。此罪的规定范围广泛，对《中华人民共和国网络安全法》等法律规定的信息网络安全管理义务的违反，只要满足“经监管部门责令采取改正措施而拒不改正”的要件，均成立犯罪。此罪虽有“口袋罪”之嫌，但对于制作、销售VPN翻墙软件并提供后续服务的行为，受到行政处罚后拒不改正，造成严重后果，且达到相关司法解释认定标准的，以拒不履行信息网络安全管理义务罪定罪则较为合适。一是因为此罪的法定刑为三年以下有期徒刑，且有并处或单处罚金的规定，对被告人科处刑罚时较为灵活；二是避免了涉计算机犯罪情节严重、情节特别严重司法解释标准过低的问题以及非法经营罪入罪法律依据存在分歧的缺陷。