1. 引言
互联网平台的网络爬虫行为对个人信息的侵权已经相当严重，但当前法院对网络爬虫的非法爬取行为定性集中体现在宏观层面，如爬取小说资源将其定为侵犯著作权行为；越过计算机安保系统爬取个人信息造成严重影响的行为定性为非法侵入计算机行为；通过网络爬虫窃取用户手机APP公交实况被定性为不正当竞争行为。这些宏观行为之下的个人信息侵权却经常被忽略，甚至闭口不言。应当说明的是，个人信息是构成大数据与信息化时代的基础，其重要性可以比做土壤之于树木。如若不关注网络爬虫非法爬取个人信息之行为，势必会造成数据信息所有人的担忧，从而对互联网时代之基础发展注入不稳定因素。
2. 案例导入
2019年，江苏省扬州经济技术开发区人民法院依法审判了马春雨等提供非法控制计算机系统工具一案1。被告人马春雨雇佣被告人莫锡勇一同开发“探索云盘搜索”网站，每个充值会员在“探索云盘搜索”缴费后，可任意使用探索云盘搜索、自助下载、PDF转换三项功能。下载并使用“探索云盘搜索”插件的用户只要在这台电脑上登录百度网盘账户，该网盘内关于分享链接的地址和提取码会在用户不知情且未经百度网站授权的情况下上传到其建立的服务器。即网络爬虫爬取数据行为。法院认为，被告人马春雨等人的行为属于网络爬虫技术过界使用、非法使用。法院基于互联网公司对其网络平台数据的合法占有与互联网的正当使用，将马春雨等人之行为定性为犯罪行为。从网络安全、市场安全等角度分析，法院的判定是合法正当的，从刑法的角度判定，马春雨等人也确实构成非法获取计算机信息系统数据罪。如若从民法角度考虑二者的违法行为，马莫二人亦违反《中华人民共和国民法典》(下文简称《民法典》)及其相关法律的规定。从民法的侵权责任原理出发，以百度网盘公司为被侵害主体，马莫二人利用网络爬虫技术侵犯其正当占有的数据信息，对互联网公司造成了经济损失，扰乱了互联网秩序，当然构成侵权。如若从数据信息所有人的角度出发，马莫二人未经数据信息所有人的同意，肆意爬取其授权给特定平台的数据，侵犯了数据信息所有者的自由处分之权利，也应当构成侵权。但本案中并未提及对数据信息所有人的保护，从平台层面便认定了马莫二人的犯罪行为。再阅览类似案件，例如“翁某某、王某甲等人通过网络爬虫非法采集小说资源侵犯著作权案”2“深圳市谷米科技有限公司与武汉元光科技有限公司不正当竞争纠纷案”3，两个案件的被告人均使用网络爬虫工具对相关数据进行爬取，但由于其爬取的主要数据具有专业性，故而法院便依照数据属性进行定性。遗憾的是，不论刑事案件还是民事案件，都未提及个人信息的保护。
3. 个人信息保护是当代社会应有之义
党的二十大报告指出，要加快发展数字经济，促进数字经济与实体经济深度融合；要健全国家安全体系，加强个人信息保护。21世纪以来，互联网与大数据分析已经成为当今社会的发展之基。尤其是近十年，互联网经济蓬勃发展，电子产品早已进入千家万户。个人信息的流通与分析构成了互联网经济的基础，为了维护好这一社会基础，个人信息保护尤为重要。
3.1. 个人信息保护具有法律正当性
个人信息数据作为互联网时代的基础，信息网络社会高度重视对个人信息的保护。实际上，个人信息从古至今都是受到保护的对象。于古时而言，个人信息可以作为统治者掌握与控制人民的工具。通过对各地人户数量、个人土地占有情况、个体户粮食产出情况等信息进行分析，制定相应政策进行统治。于今时而言，收集个人数据分析产生的经济效益与政治效益都是巨大的。尤其是通过大数据分析个人数据，可以将一系列的数据归纳整合，形成具有巨大参考意义的数据集合，不仅可以总结某一个人甚至某一类人的当前行为习惯与基本情况，甚至可以窥探将来的发展方向。
按照法律权利–义务的一般逻辑推理，不存在绝对的权利而缺失义务，也不存在单一的义务而无权利。个人信息数据如此重要，不可能任由数据收集者肆意进行分析，国家通过立法，逐渐筑牢个人信息保护体系。从最初的档案保密，到现在的《中华人民共和国个人信息保护法》(下文简称《个人信息保护法》)，个人信息保护在立法上不断完善，人民群众对自己信息的保护意识也越来越强。个人信息保护独立成法，意味着个人信息保护从以前的笼统规范跨越到如今的专门立法保护，《个人信息保护法》给予了广大人民群众保护自己个人信息的法律正当性。近年来，尤其是《个人信息保护法》颁布实施以来，有关个人信息保护的案例不断增多，一方面是人们的维权意识加强，另一方面也凸显出我国很多互联网企业漠视保护个人信息的现实情况。个人信息作为公民的一项合法权益，其应当被赋予足够的重视并提供保护。
3.2. 网络爬虫行为的民事侵权风险
3.2.1. 技术中立并不意味着无侵权风险
网络爬虫，从本质上来说，它是一种互联网采集工具 [1] 。当使用者在网上建立起相关代码并设立数据搜索程序后，该程序会像蜘蛛网一样在互联网上铺展，输入关键词后，网络爬虫会顺着铺展的数据线路爬取包含关键词的数据。故而网络爬虫也被称为“网络蜘蛛”。网络爬虫技术本身并无好坏，但技术的使用者却从不中立。作为互联网时代收集数据的产物，网络爬虫的产生顺应了大数据经济的潮流，推动了社会的发展。但也是网络爬虫技术的普遍使用，使得个人信息严重暴露在互联网上，全民数据趋于“裸奔”，个人信息侵权甚至成为常态。防不胜防的诈骗电话、层出不穷的垃圾短信，在百度搜索相关关键词甚至能够找到某人的私人信息。当侵权成为常态时，人们甚至会忽略掉本属于自已的权利保护。一些互联网公司标榜技术中立，吹捧利用网络爬虫爬取数据是基于正当发展，拒绝在使用个人数据的过程中遵循“非必要不使用”的要求。这些行为对于信息时代的健康发展无疑形成阻碍。
3.2.2. 网络爬虫行为侵权的特殊后果
网络爬虫行为的侵权不同于传统意义上的侵权，作为信息社会的技术产物，网络爬虫的侵权行为似乎没那么明显，以至于当行为人利用网络爬虫进行数据侵权时，个人信息所有人并未意识到其信息已经被爬取。例如，当用户进入某APP时，其弹出的广告通常会使人莫名其妙转进第三方应用，当用户进入该应用时，其基本浏览痕迹以及对原APP公开的基本信息已经暴露在第三方应用，并被其收集。再如，当用户将其个人信息授权给某应用或者某网站时，你的信息会不加掩饰地暴露在网上。再如，当用户在百度输入关键词“某地某某某”时，搜索结果里面不乏一些隐秘的个人信息，甚至还包含用户的小学初中资料。这些公开暴露在网络各处的数据是网络爬虫爬取数据的主要来源，也是网络侵权行为的高发区。
网络爬虫侵权并不像一般侵权那样有明显的损害后果，甚至对某些被侵权者而言无关紧要。但如若爬虫行为持续进行，且不同行业的行为者对同一项个人信息进行爬取，其后果是相当可怕的。当一个人的信息被不同类别不同行业的开发者获取，其将会被归类于数据样本而非“人”。例如，当某人的信息被资产评估类企业爬取，该企业会对其进行资产分类；当商业银行爬取到该信息，其会被归类进相应的贷款与服务类别；当房地产企业爬取到该信息，其会被肆意定性为“重点推销顾客”或者“暂不推销类人群”。将上述不同类别的信息整合，被分析的自然人个体将被打上无限标签，这是对人格的严重侵犯。网络爬虫侵权所引发的损害结果主要集中在隐私权等人格权领域，且多为群体性侵权。损害结果模糊，被侵权人意识淡薄，导致网络爬虫侵权行为受到关注时，其危害程度已经相当严重，甚至构成刑法的侵犯公民个人信息罪。也正是如此，当前对于网络爬虫侵权行为的规制，主要集中在刑法领域。
刑法层面的网络爬虫行为规制不足以保障公民的权益。刑法往往是针对群体与社会安全，对个体的保护趋于缺失。刑法具有谦抑性，对于尚未入刑的侵权行为理应由民法等部门法予以保护，所以讨论网络爬虫行为的民事侵权意义重大。
4. 网络爬虫行为的个人信息侵权规制现状
基于网络爬虫技术的设置，如若指令人输入的关键词以及技术代码能够翻越互联网公司所设的防护墙，那么网络爬虫就会进入内网进行数据爬取，造成数据侵权。目前而言，这种行为的法律规制集中在刑法领域，以及其他法律部门，尤其是民法，对该行为的法律规制趋于缺失。
4.1. 网络爬虫行为的法律规制在刑法领域较为集中
刑法领域对网络爬虫行为造成的严重侵权予以管制。《中华人民共和国刑法》(下文简称《刑法》)第二百五十三条之一便规定了非法侵犯公民个人信息罪。该法条虽然没有指出网络爬虫行为，但网络爬虫之越权爬取行为无疑契合该法条“以其他方法非法获取公民个人信息”，非法侵犯公民个人信息罪确实能够将目前社会上出现的严重个人信息侵犯纳入刑法的保护范畴，也能够从宏观上规制包括网络爬虫在内的严重侵权行为。此外，对于网络爬虫本身的行为，刑法也做了相关规制。如《刑法》第二百八十五条第二项规定的非法获取计算机信息系统数据、非法控制计算机信息系统罪，就将网络爬虫的爬取数据行为囊括在其规制范围内。并且，《刑法》的第二百八十六条破坏计算机信息系统罪亦能规范网络爬虫行为。
刑法对于网络爬虫行为的规制是宏观与笼统的。当网络爬虫使用者利用该技术对数据进行爬取时，其爬取的数据是庞大的。故而当检察机关提起公诉时，是将所有被侵权者归为一个整体。如果当这一个整体里面的个体想要单独起诉时，其被爬取的信息有可能不在刑法的规制范围内。所以，普通个人信息所有者对于权利侵害的救济如若走刑法的途径，很可能达不到刑法管控之要求。
4.2. 民事领域对个人信息法律保护不完善
虽然《民法典》规定了人格权以及相关的权益，但就个人信息而言，《民法典》仅在人格权编第六章予以了规定，且没有说明侵权的后果。按照法律体系解释原理，以某法律条文在法律体系上与其他法律规范之关联，探求其规范之意义 [2] 。个人信息侵权的相关规定按理参照侵权责任编规范即可。但实务中个人信息侵权往往不像传统侵权那么明确，主体基本权利的模糊、侵害行为的不明显性以及侵害结束后的危害结果隐匿性 [3] ，导致网络爬虫爬取个人信息时被爬取人往往毫不知情。且法律规定的不完整性也导致被侵权人寻找法条与提起诉讼困难重重。
4.2.1. 《民法典》个人信息保护具有模糊性
《民法典》虽然在人格权编规定了个人信息保护。但是由于《民法典》并没有规定个人信息之属性，导致在实务中对个人信息的保护趋于附随。例如，在北京鼎阅文学信息技术有限公司等侵犯著作权罪案中，法院认为，被告人以营利为目的以网络爬虫爬取他人享有著作权的文字作品，侵犯了著作权人的著作权。4本案判决了网络爬虫的著作权侵权，但是对与网络爬虫行为所窃取的个人信息权益法院却没有提及。而在深圳市谷米科技有限公司与武汉元光科技有限公司不正当竞争纠纷案中，针对被告人利用网络爬虫爬取公交车软件内的用户数据等公交实时信息等行为，法院判定其违反反不正当竞争法之规定。5本案也没有对被告人爬取的公交APP个人信息进行裁判。可见，当前公开的有关网络爬虫爬取个人信息的司法案例，个人信息保护几乎闭口不提，而整体性的利益才是法院判决的重要依据。
《民法典》规定的个人信息保护目前仅能将其归为权益之保护。权益保护的模糊性使得个人信息所有者在明知自己的信息被爬取时，难以找到请求权基础向法院提起诉讼。而且由于网络爬虫的侵权行为具有群体性，故而个人遭受的侵权行为甚至都不会引起其自身注意。《民法典》作为个人信息保护制度的权利构架之基，其理应赋予个人信息以法律上之权利，将其作为新兴权利予以保护。但鉴于个人信息的数据流动性与交互性 [4] ，所以《民法典》对于个人信息保护的权利基础没有彻底打牢，加之互联网时代，网络爬虫侵权行为的隐匿性与难以杜绝性，使得个人信息保护面临严峻考验。
4.2.2. 部门法对个人信息保护具有局限性
当前，各部门法各行其是，对个人信息保护在法律适用上造成了迷惘。虽然《个人信息保护法》已经出台，但是由于历史因素，我国法律对个人信息保护起源于刑法领域。我国刑法修正案(七)新增侵犯公民个人信息罪，开始对社会上的个人信息侵权做出法律回应。到后面的《中华人民共和国网络安全法》(下文简称《网络安全法》)《电子商务法》(下文简称《电子商务法》)，将个人信息保护在不同的领域进行了法律规定。《网络安全法》倾向在互联网与计算机领域针对技术手段与网络发展对个人信息进行法律保护；《电子商务法》在互联网电商平台规制个人信息保护，这些法律的规定都是我国个人信息保护的有益探索。《个人信息保护法》综各部门法之长，系统性规定了个人信息的法律保护，从理论上说，其可以积极回应当前社会所出现之问题，不断完善我国个人信息保护法律体系。但实际上由于《个人信息保护法》定位不明，导致不同的部门法对于个人信息保护的规定趋于分化，反而不利于个人信息的法律保护。
5. 网络爬虫行为的个人信息民事侵权法律规制路径
如上所述，针对上述互联网电商平台的网络爬虫侵权行为，法院尚没有形成体系化独立化的网络爬虫行为侵犯个人信息权判决。网络爬虫行为的个人信息民事侵权依然弱于其他侵权行为，成为第二性权益甚至被忽略。基于此，清晰个人信息的法律属性、构建以《民法典》为核心的个人信息保护体系是当前较为可行的规制网络爬虫行为的个人信息民事侵权路径。
5.1. 路径一：清晰个人信息的法律属性
鉴于《民法典》未对个人信息的法律属性进行规定，结合当前学界讨论的争议，可将个人信息作为一种私人权益进行保护，在权益的基础上探索构建个人信息的新兴权利基础，促进个人信息的法律保护。
5.1.1. 个人信息应属“权利”
《个人信息保护法》第一条将个人信息表述为权益，这表明《个人信息保护法》未将个人信息上升到一项权利进行保护。但是，在个人信息上是否有抽象的个人信息权存在尚存争议 [5] 。从权利基础的逻辑起点出发，权利是由主体的意思表示决定特定事项、并且得到法律强制力支持、以保护主体特定利益之法律关系 [6] 。个人信息自互联网时代电子数据的发展而产生，属于现代人的特殊外在标识。这类似古时人们的身契，属于时代发展后出现的附随于人的产物。在某种程度上解释，甚至可以将个人信息视作互联网时代人主体所产生的孳息。从这个层面上分析，个人信息伴之于人，发展之于人，也最终因为人的死亡而成为一份死数据。个人对于自身产生之孳息，当然拥有占有、使用、收益、处分的权利。可以依据法律规定限制甚至禁止其他人对其个人信息进行收集、加工、售卖。《民法典》与《个人信息保护法》就直接规定了个人信息权益人对其信息具有决定权、知情权、选择权等权益。从这个点来说，个人信息权益人对自己之个人数据享有完全的所有权，且能够得到法律的保护，完全符合权利的概念。也有学者认为个人信息应属于新兴人格权 [7] ，将个人信息纳入权利体系，以权利的救济途径对个人信息进行保护，跟有利于个人信息权益内涵之救济 [8] 。若将个人信息视作权益，似乎不能彰显其重要性，反而导致个人信息的保护失去法律基础。
赋予个人信息权利，能够更好地打击网络爬虫行为对个人信息的侵害。当前，网络平台对个人信息的收集无所不在，在浩如烟海的电商平台，无数用户授权给特定电商APP的个人信息被一些不良公司非法爬取，导致个人信息的无限泄露。如若仅靠权益进行规制，个人信息之权益极容易被所谓的“公共利益”打压，上文吹捧数据自由的某些不良电商平台会以发展为名迫使个人信息权益人为发展而让步，使得数据授权使用制度沦为一纸空谈。如若赋予了个人信息权利属性，则可以充分借鉴《民法典》有关权利的法律保护制度对个人信息所有权人进行保护，其基本权利制度对于个人信息保护同样适用 [9] 。在某些情况下，即使公共利益让个人信息权人产生了让步，但基于权利的法律属性，不至于会让权利的让步处于失衡状态。在互联网时代，电商平台已经离不开数据，如若不将个人信息纳入权利保护的范畴，网络爬虫等互联网数据侵权行为恐愈演愈烈。
5.1.2. 从物权法的原理突破个人信息的权利属性困境
依上文所述，可以将个人信息视作互联网时代人的孳息，从物权法原理分析，孳息应属原物所有权人。鉴于人不能作为客体，故而由人产生的随附物自然属于产生者所有。将个人信息视作人的一项新兴物权，可以很好解决目前出现的个人信息权利属性困境。有学者认为个人信息属于权利簇 [10] ，理由是互联网时代数据的交互性与流动性使得其趋于复杂。笔者认为，不论是权利簇还是新兴物权，只要赋予个人信息一定的权利属性，就能较好解决目前存在的网路爬虫等行为的侵权。由于个人信息是互联网时代的发展基础之一，故而一些数据会让渡给互联网电商平台使用。例如，不同手机APP对个人信息的基本收集与分析，是个人信息所有权人无法拒绝的。例如，购物平台对个人购物喜好的大数据分析，影音平台对个人观影喜好的分析。用户要使用上述软件，就必须让渡自己之基本信息予该平台。在这种情况下，网络爬虫在自己平台内爬取同质的个人信息是正当的。此点属于基本权利让渡于公共权利，并未突破权利的保护。
对于一些特殊个人信息，可以借鉴人格物的处理方法进行规制。例如，网络爬虫行为对个人体检信息、隐私敏感信息进行爬取时，基于这些信息对个人而言有着特殊的人格利益 [11] ，因而可以要求侵权人及时停止侵权。在遇到此类数据爬取侵权时，被侵权人可以越过所谓的数据权益，依人格权利益直接要求其停止侵权。
对于个人信息权人自愿公开的个人信息，依照物权法之原理亦可以提供明确的法律保护。当前学界对自愿公开的数据是否受到法律保护存在争议。《个人信息保护法》第十三条虽然对公开的个人信息保护持较为开放的态度，但是其也规定了最低界限 [12] 。对于物权法而言，排他性是物权法的一大特征。在个人信息保护领域，排他性的制度构建也能为公开的个人信息提供底层法律保护。物权人可以将自己的特定所有物无偿供给社会大众使用，但所有权依然属于自己。使用人有权合理使用该物，如损坏须进行赔偿。个人信息亦是如此，公开的个人信息无偿提供给互联网平台使用，无需所有权人知情同意。但使用者需要做到谨慎合理使用，如造成了个人信息权人遭受损失，使用者需停止使用并负法律责任。
物权法的思想对于个人信息保护而言无疑具有深刻的指导意义。
5.2. 路径二：构建以《民法典》为核心的个人信息保护体系
《民法典》是民法领域的基本法典，在法治中国建设的今天，处于基础性法律的《民法典》与其他法律之间虽无效力高低，但《民法典》在适用上要优先于其他法律 [13] 。构建以《民法典》为核心的个人信息保护体系，是正确且必要的。
5.2.1. 坚持将《民法典》的权利保护规则作为基础原理
如上所述，《民法典》作为民法领域的基础性法律，其应当优先于其他法律适用。虽然《个人信息保护法》第一条将个人信息的性质定义为权益，但是通过本文第二部分的分析，个人信息将其纳入权利范畴更有利于对其保护。加之《民法典》对个人信息的法律属性尚未明确规定，通过对《民法典》的解释，也能证成个人信息的权利性质。网络爬虫行为作为目前互联网个人信息侵权最常见的方式之一，如若不明晰个人信息的法律属性，网络爬虫行为爬取个人信息的行为往往会被忽略。在其他权利得到保障的情况下，个人信息被迫归为随附性权益进行侵权补充，甚至直接将其忽略。
将《民法典》的权利保护规则作为基础原理是完全必要的。依照《民法典》赋予个人信息权利属性之后，《民法典》有关权利规范、法律责任均能够在个人信息侵权中得到适用。当前我国的法律完全能够解决错综复杂的互联网电商平台，但由于一些基础原理的混乱与部门法的各行其道，使得法律规制之间出现灰色地带。《民法典》的实施正好为松散的法律部门构建一个法律基础框架，在理解《民法典》、靠齐《民法典》的基础上进行法律体系的优化，更好地保护包括个人信息权在内的诸多民事权利 [14] 。
5.2.2. 激活《个人信息保护法》的公益诉讼制度
《个人信息保护法》第七十条规定了个人信息侵权的公益诉讼。但该法条的实行尚在起步阶段，目前出现的案例仍屈指可数。针对网络爬虫的侵权行为特性，其庞大的侵权群体与数据整合，使得被侵权人难以收集证据进行权利维护。公益诉讼一方面解决了许多被侵权人维权难的困境，也促使许多维权意识薄弱的权利人积极提供网络爬虫的侵权线索，倒逼网络爬虫使用者规范使用数据爬取程序，促进互联网数据的正常流通。
公益诉讼无疑是解决网络爬虫侵权行为的一个好方法。但在实施过程中要注意个人信息的特殊性，妥善解决目前存在的诉讼主体、权利顺位等争议 [15] 。使得个人信息保护领域的公益诉讼真正为权利人发言，指引互联网数据爬取行为合法合规发展。
6. 结语
网络爬虫非法爬取数据的行为是互联网经济逐利性的结果。在《刑法》领域，造成严重后果的网络爬虫行为会被予以严厉规制。但由于《刑法》的严厉性与谦抑性，其无法规制一般的网络爬虫侵权行为。在当前我国法律对个人信息的法律属性尚存争议的情况下，及时明晰其法律属性，以《民法典》之基本权利原理赋予个人信息权利属性无疑是解决法律困境的良好方式。以《民法典》为权利基础构建个人信息保护体系，及时激活与完善《个人信息保护法》之个人信息保护公益诉讼，对我国的个人信息法律保护无疑具有巨大的推动作用。
NOTES
1扬州经济技术开发区人民法院《马春雨、莫锡勇提供侵入、非法控制计算机信息系统程序、工具罪一审刑事判决书》，案号：(2019)苏1091刑初157号。【北大法宝引证码】CLI.C.11676520。
2北京市通州区人民法院发布2020~2022年度依法审判侵犯知识产权犯罪10件典型案例之二：翁某某、王某甲等人侵犯著作权案。【北大法宝引证码】CLI.C.417236092。
3广东省深圳市中级人民法院一审文书，案号：(2017)粤03民初822号。【北大法宝引证码】CLI.C.11676520。
4北京市海淀区人民法院判决书，案号：(2020)京0108刑初237号。
5广东省深圳市中级人民法院判决书，案号：(2017)粤03民初822号。