非法提供VPN服务——“提供工具”还是“非法经营”？
作者：张乃韦
背景介绍
近日，上海市宝山区人民法院依法公开开庭宣判被告人戴某提供侵入、非法控制计算机信息系统程序、工具罪一案，判处有期徒刑三年，缓刑三年，并处罚金人民币一万元。
宝山区法院经审理查明，被告人戴某原在某证券管理公司从事软件开发工作。自2016年4月起，其为牟取非法利益，创建某网站，并在网站上出售VPN翻墙软件的账户。同时租用境外服务商的多台服务器，向所出售的账户提供可以访问国内IP不能访问的外国网站服务。戴某于2017年10月10日被抓获，截至2017年10月案发，戴某共计向数百人次非法提供VPN服务。
10月9日，《人民法院报》对该案进行了报道，也立刻引起了公众的普遍关注和广泛讨论。我们认为本案在法律适用方面尚有值得商榷的余地。
一、“罪与非罪”问题
《刑法》项下的触犯提供侵入、非法控制计算机信息系统程序、工具罪的行为，是指提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具的行为。
要正确理解该罪的构成要件，首先需要关注以下问题：
（1）如何理解“专门”？
根据全国人大常委会法工委刑法室编写的《中华人民共和国刑法条文说明、立法理由及相关规定》，刑法第二百八十五条第三款的“专门用于侵入、非法控制计算机信息系统的程序、工具”，“是指行为人所提供的程序、工具只能用于实施非法侵入、非法控制计算机信息系统的用途。”换言之，只有在此类程序、工具专门是用于违法犯罪目的而开发，或仅能用于违法犯罪目的时，才能认定该程序、工具系“专门”用于违法犯罪目的的。
（2）如何理解“侵入、非法控制计算机信息系统”？
根据相关司法解释之规定，只有具有在“避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权”的情况下（例如突破杀毒软件或绕过“防火墙”），“获取计算机信息系统数据”或“对计算机信息系统实施控制”的程序、工具，才应当认定为刑法第二百八十五条第三款规定的“专门用于侵入、非法控制计算机信息系统的程序、工具”。可见，这一罪名所指的工具，是提供仅能用于 “非法取得计算机信息系统数据”或“对计算机信息系统实施控制”的程序或工具的行为，而不包括那些既可以用于违法犯罪目的又可以用于合法目的的“中性程序”。
结合戴某的行为来看，其提供VPN软件及租用国外服务器的行为，应属于互联网网络接入服务，其性质至少是“中性”的，且显然不属于专门用于“侵入、非法控制计算机信息系统”的专用工具，因此我们认为以“提供侵入、非法控制计算机信息系统程序、工具罪”对戴某的行为进行评价，值得商榷。
二、“此罪与彼罪”问题
如上所述，虽然我们认为戴某的行为不构成提供侵入、非法控制计算机信息系统程序、工具罪，但并不意味着戴某的行为就具有正当性，其违法行为仍应受到法律的规制。
《中华人民共和国电信条例》的相关规定，采取租用电信国际专线、私设转接设备或者其他方法，擅自经营国际或者香港特别行政区、澳门特别行政区和台湾地区电信业务，扰乱电信市场秩序，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，由国务院信息产业主管部门或者省、自治区、直辖市电信管理机构依据职权责令改正，没收违法所得，处违法所得3倍以上5倍以下罚款；没有违法所得或者违法所得不足1万元的，处1万元以上10万元以下罚款。
根据《刑法》第二百二十五条第四款之规定，若戴某的行为构成“违反国家法律规定，在未取得经营许可的情况下，私自经营电信增值业务，扰乱电信市场，情节严重，则涉嫌构成非法经营罪。
三、律师说法
相信公众对于VPN的作用并不陌生，不少人可能都用过，而且VPN对于国内外企业和广大用户正常跨境访问互联网、合法依规开展各类经营活动都具有重大意义。从这个角度来看VPN作为一种电信交流技术工具，具有其存在的价值和合理性。然而，社会活动具有固有的复杂性，法律作为调整和规制社会活动的规则，必须从多个角度，在兼顾各类社会价值的基础上对行为进行评价。尤其对于电信行业等执行国家特许经营制度的行业，并不能简单认为，由于VPN业务是合法的，因此人人都可以不受限制的参与其中。
法律之所以对关系国计民生和公众安全的社会服务行业，设置市场准入条件，既是为了保障公众获得的社会服务符合最基本的标准；同时也是为了确保相关市场中的各经营主体的公平竞争，以避免由于恶性竞争或价格垄断，损害广大公众的合法权益。这里体现的，就是秩序的价值。
所以国家对电信业务经营按照电信业务分类，实行许可制度。经营电信业务，必须依照规定取得国务院信息产业主管部门或者省、自治区、直辖市电信管理机构颁发的电信业务经营许可证。未取得电信业务经营许可证，任何组织或者个人不得从事电信业务经营活动，否则可能招致行政处罚甚至涉嫌刑事违法。
因此，我们建议广大经营者在涉足新业务时，在关注相关业务领域的技术、资信等要求进行关注外，建议事先对该业务领域涉及的政策法规进行一定的调研，了解行业准入要求以及是否需先行取得相关行政许可，以规避合规风险，确保新业务的长期持续开展。