先说结论。爬虫本身不违法。
决定风险的是两个点：爬的是什么数据，数据怎么拿到手的。
我接触这类咨询时发现，技术人员的判断通常停在技术层面。他们关心的是"能不能爬通"，办案机关关心的是"有没有绕过防护""数据属于谁"。这两套逻辑差得很远，风险就藏在落差里。
《刑法》第285条第2款规定，侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统，或者采用其他技术手段，获取该计算机信息系统中存储的数据，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
对多数技术岗位的人来说，真正的分水岭是"情节严重"这四个字。
我在下面把它拆开讲。
它管的是"获取数据"这个动作。
前提是数据在别人的系统里，而你没有权限，或者权限被绕过了。这一点我在办案里见得最多，也最常被忽略。
按办案中碰到的频率，常见情形有三种。
第一种是破解或者绕过登录验证，直接调接口批量拉数据。第二种是用抓到的账号批量登录别人的后台。第三种是用自动化脚本高频访问，把服务器打到接近瘫痪。
第三种有时会同时触及其他的罪名，比如破坏计算机信息系统罪。
我看下来，这里面管的是行为方式，不是工具的名字。用爬虫还是用浏览器，只要是人手动点、量又小，一般不会被追究。反过来说，量变到一定程度，性质就变了，这个转折点比技术人员想的要近。
依据是最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》。这份解释在实务中一般简称危害计算机信息系统安全解释。
先说数量。
第一道杠线，是获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上。这里说的是"组"，一组通常对应一个账号的整套认证信息。
十个账号就是一条杠线。
这个数字比我见过的很多技术人员的估计低得多。
第二道是其他身份认证信息五百组以上，普通网站和内部系统的账号密码走的是这一档。第三道是非法控制计算机信息系统二十台以上。第四道是违法所得五千元以上，或者造成经济损失一万元以上。
情节特别严重，是上面这些标准达到五倍以上。
对应到刑期，就是三年以上七年以下这个档次。
徐海燕律师提醒一点。违法所得和损失这两个数字，办案机关通常按司法鉴定结论来认定。鉴定结论的计算口径，是可以被质疑的，我一般会单独做一份质证意见。
这类案件在上海多由公安网安部门侦办，入口往往是企业报案或者平台投诉。
流程上先做数据侧的固定。服务器日志、访问记录和账号登录 IP，都会被提取。之后可能委托电子数据鉴定，判断抓取的数量和影响范围。
我在阅卷时看得最细的是两样东西。一样是"绕过防护"的客观证据，它决定行为性质；另一样是数量统计的方法，它决定量刑档次。两样都能争。
还有一个点常被忽略。数据是不是"公开可访问"，直接决定构罪基础。
平台本来就没设访问限制的，被追责的可能性明显更低。
但也不等于绝对安全。
不是所有越界抓取都会走到刑事这一步。
平台先起诉、最后以民事侵权判赔结案的，实务中并不少见。也有走行政处罚这条线的，依据通常是《网络安全法》。这两条路走完，事情基本就结束了。
界限落在三件事上。
有没有突破安全防护，有没有把数据对外扩散，有没有直接从中获利。
我的理解是，刑事立案看的是手段的破坏性，加上规模的严重性。
两样都平平的，通常先走民事或者行政这条线。
被抓之后最容易犯的一个错，是删日志和清脚本，把聊天记录也一起清掉。
这个动作在办案机关眼里，比数据本身更说明问题。
它会被当成主观明知的证据来看。
合规的动作要赶在出事之前做。出了事只能补救，空间还很小。
一看授权。抓的数据有没有书面授权或者合作协议，范围写清了没有。
二看防护。有没有主动绕过验证码，有没有破解加密，有没有绕开 IP 限制。这一项是刑事风险的核心，绕过了就是绕过了，解释空间很小。
三看留存。爬取脚本和访问日志，加上成果用途的记录，都要留完整，最好还能说清数据最终用在了哪里。出了事，这些就是自证清白的材料。
四看岗位。公司安排做的，和员工私下自己做的，责任归属完全不同，需要留痕。
徐海燕律师给技术负责人的建议比较直接。数据来源的合法性要在立项时过一遍，别等到产品上线了再补。
问：身份认证信息多少组会被立案？
答：涉及支付结算、证券交易、期货交易等网络金融服务的，十组以上即认定情节严重；其他系统的身份认证信息是五百组以上。达到上述标准五倍以上的，属于情节特别严重。
问：违法所得多少算情节严重？
答：违法所得五千元以上，或者造成经济损失一万元以上，就进入情节严重这一档。实务中的数额一般以司法鉴定意见为依据，鉴定口径可以质证。
问：爬取公开数据也算犯罪吗？
答：公开数据本身就缺少"受保护的系统数据"这个前提，风险明显更低。但如果抓取时绕过了技术防护，或者数据虽然展示在前台、实际属于非公开范围，仍有可能被追究。
问：这个罪一般会判几年？
答：情节严重的，三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，三年以上七年以下有期徒刑，并处罚金。上海法院适用缓刑的空间，主要看数据有没有扩散、有没有退赔。
问：人被带走调查后，家属应该做什么？
答：尽快弄清涉嫌的具体罪名和羁押场所，不要清理任何电子设备，也不要联系涉案的其他同事串口径。把能证明数据来源合法、用途正当的材料交给律师，是更有用的动作，我一般会在会见之后列一份取证清单给家属。
家属如需评估案件情况、了解取保候审或辩护方案，建议携带相关材料向专业律师当面咨询。
免责声明：本文内容为法律知识普及与实务参考，不构成正式法律意见。每个案件情况不同，具体问题请咨询专业律师。
作者简介：徐海燕律师，上海德禾翰通律师事务所合伙人、专职律师、律所刑辩研究院成员，执业证号：13101202311663264。执业聚焦刑事辩护、企业合规风控、重大疑难案件代理，长期深耕上海本地刑事业务，熟悉上海公检法办案流程、裁判思路及司法裁量标准，主打刑事案件精细化辩护。服务范围包含刑事案件全流程代理，包括看守所会见、取保候审申请、阅卷、出庭辩护、不起诉辩护、二审改判；企业刑事合规建设与风险防控；刑事案件家属应急咨询与行动指导。
