「爬虫写得好，牢饭吃得早」——这句话是我自己说的，但它的后半句很少被记住：爬虫本身并不违法。搜索引擎的根基就是爬虫。问题从来不是技术，是三个问题：爬什么、怎么爬、拿去做什么。
三问定边界
- 爬什么？公开数据、需要登录的半开放数据、身份认证信息、公民个人信息——性质完全不同。爬到姓名电话住址并且用于交易，侵犯公民个人信息罪按条累计，数量就是量刑档次；
- 怎么爬？遵守访问频率的正常抓取，与破解加密参数、绕过登录态、模拟认证的「突破」，法律评价不同。突破安全措施进入非公开区域获取数据，非法获取计算机信息系统数据罪的风险就来了；
- 拿去做什么？内部分析、商业竞争、转卖——用途改变数据链条上每个人的风险。
误区一：「robots 协议就是法律。」robots 协议是行业自律规范，违反它不必然构成犯罪，但可能牵起不正当竞争等其他责任——它是边界信号，不是罪与非罪的唯一答案。
误区二：「匿名爬取查不到。」请求日志、账号体系、支付通道，电子数据处处留痕。「查不到」是技术幻觉。
涉案了，辩什么
- 数据性质：公开与非公开、一般数据与身份认证信息的界分；
- 数量核验：电子数据的去重、有效性核验，虚胖的数字要打下来；
- 明知与用途：技术提供者对下游用途的知情程度。
写爬虫的兄弟们，把这三问贴在工位上，比我的短视频管用。
「非法获取计算机信息系统数据」的四个构成要素，逐项自查
这个罪名（刑法第二百八十五条第二款）听起来抽象，拆开看其实是四个要素，缺一不可：
- 违反国家规定或未经授权：没有获得数据控制方的许可，或者超出许可范围；
- 采用技术手段：破解加密参数、绕过登录验证、伪造身份凭证、利用漏洞等，普通的正常访问不算；
- 获取的是非公开数据：公开可见的信息，一般不落入本罪；身份认证信息、后台数据、付费内容才是重点；
- 达到情节严重：按数据条数、违法所得、造成的经济损失等认定。
把四个要素列出来，自查就变得具体了：我有没有绕过什么？绕过的东西是不是安全保护措施？拿到的是不是别人不公开的数据？数量到了什么级别？四个问题里任何一个答不上来，辩护就有空间。
数据数量：虚胖的数字怎么打下来
这类案件的量刑几乎完全由“条数”决定，而条数恰恰是最容易虚高的部分。可核查的方向有四个：
- 去重：同一用户信息被反复抓取几百次，是算一条还是几百条？实践中不少案卷没有去重；
- 真实性：抓到的数据里有多少是无效记录、测试数据、空字段、重复注册的僵尸账号；
- 公开性：其中有多少本就属于公开可查的信息，应当从“非公开数据”中剔除；
- 提取程序：电子数据的提取笔录是否完整、原始存储介质是否封存、有无完整性校验值。程序有瑕疵且无法补正的，可能影响证据能力。
《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》对提取、封存、检查、鉴定的每一步都有要求。这些技术性条款看起来枯燥，但在数据类案件里，它们往往比实体辩护更管用——因为数字是这类案件的命门。
常见问题
爬公开数据会构成犯罪吗？
一般不构成非法获取计算机信息系统数据罪，因为该罪针对的是非公开数据。但如果爬取行为导致目标网站不能正常运行，可能触及破坏计算机信息系统罪；如果抓取并使用了公民个人信息，则可能涉及侵犯公民个人信息罪，按条数累计。公开与否不是唯一标准，还要看手段和用途。
案件里的数据条数是怎么算出来的？
通常由侦查机关从查获的数据库、日志、文件中统计，并出具情况说明或鉴定意见。这个数字直接对应量刑档次，必须核查：是否去重、是否包含无效与测试数据、是否混入公开信息、提取程序是否合规。数字打下来一档，刑期可能就下来一档。
公司安排爬的，执行的技术人员有责任吗？
按参与程度和主观明知认定。明知数据来源不正当仍负责核心抓取模块的，难以主张完全免责；但只按指令执行、不了解数据用途、未参与决策的人员，可以争取从犯认定或情节显著轻微。岗位职责、任务分配记录、沟通记录是划分责任的关键材料。