不起诉的实体法依据——最高人民检察院第三批涉案企业合规典型案例总结与评述之一

（一）主体情况：高新技术企业、纳税大户

单位犯罪主体：上海Z网络科技有限公司成立于2016年1月，系一家为本地商户提供数字化转型服务的互联网大数据公司。Z公司现有员工1000余人，年纳税总额1000余万元，已帮助2万余家商户完成数字化转型，拥有计算机软件著作权10余件，2020年被评定为高新技术企业。

自然人犯罪主体：被不起诉人陈某某、汤某某、王某某等人分别系该公司首席技术官、核心技术人员。

（二）案情与涉嫌罪名：非法获取计算机信息系统数据罪

单位犯罪事实：2019年至2020年，在未经上海E信息科技有限公司（系国内特大型美食外卖平台企业）授权许可的情况下，Z公司为了以提供超范围数据服务吸引更多的客户，由公司首席技术官陈某某指使汤某某等多名公司技术人员，通过“外爬”“内爬”等爬虫程序（按照一定的规则，在网上自动抓取数据的程序），非法获取E公司运营的外卖平台（以下简称“E平台”）数据。

自然人犯罪事实：汤某某技术团队实施“外爬”，以非法技术手段，或利用E平台网页漏洞，突破、绕开E公司设置的IP限制、验证码验证等网络安全措施，通过爬虫程序大量获取E公司存储的店铺信息等数据。

王某某技术团队实施“内爬”，利用掌握的登录E平台商户端的账号、密码及自行设计的浏览器插件，违反E平台商户端协议，通过爬虫程序大量获取E公司存储的订单信息等数据。

犯罪结果：造成E公司存储的具有巨大商业价值的海量商户信息被非法获取，同时造成E公司流量成本增加，直接经济损失人民币4万余元。

（三）整改情况

1、认罪认罚、补救挽损

Z公司、陈某某等人均认罪认罚，Z公司积极赔偿被害单位经济损失并取得谅解。

2、组织缺陷

重技术开发、轻数据合规

3、合规整改措施

第一，数据来源合规。Z公司与E公司达成合规数据交互约定，彻底销毁相关爬虫程序及源代码，对非法获取的涉案数据进行无害化处理，并与E平台API数据接口直连，实现数据来源合法化。

第二，数据安全合规。Z公司设立数据安全官，专项负责数据安全及个人信息安全保护工作；构建数据安全管理体系，制定、落实《数据分类分级管理制度》《员工安全管理等级》；加入区级态势感知平台，提升安全威胁的识别、响应处置能力，分拆服务，提高云访问权限，数据及时脱敏、加密，增强网络攻击防护能力。

第三，数据管理制度合规。Z公司建立数据合规委员会，制定常态化合规管理制度，开展合规年度报告。

（四）处理结果

1、三个月考察期限届满，第三方组织评估认为，涉案企业与个人积极进行合规整改，建立合规组织、完善制度规范、提升技术能级，已完成数据合规建设的整改措施。2022年2月，评定Z公司合规整改合格。

2、同年4月28日，普陀区检察院因应疫情开展“云听证”。经评议，参与听证各方一致同意对涉案人员作出不起诉决定。

3、同年5月10日，检察机关经审查后认为，因本案犯罪情节轻微，Z公司及犯罪嫌疑人具有坦白、认罪认罚等法定从宽处罚情节，积极退赔被害企业损失并取得谅解，系初犯，主观恶性小，社会危害性不大，且Z公司合规整改经第三方考察评估合格，依法对Z公司、陈某某等人分别作出不起诉决定。

1、单位犯罪的构成

从（已知的）事实而言，本案并非典型的由法定代表人直接参与，抑或由单位集体讨论决定的“标准模式”。本案的犯罪事实主要发生于企业技术部门，其自然人犯罪主体也仅限于直接实施犯罪行为的技术部门员工及主管技术部门的责任高管。按照（1）是否以单位名义；（2）是否为单位利益以及（3）违法所得是否归属于单位^[1]的单位犯罪认定要件，已知事实尚不能直接认定本案属于单位犯罪。换言之，必须从自然人犯罪事实之外，寻找单位犯罪的责任事实。而从本案的合规计划而言，建立长效的数据安全管理机制、建立专门负责数据安全审核职能部门是截堵犯罪成因，履行合规义务的关键措施。这从一个侧面证明，本案的单位犯罪事实应当定位为单位的组织缺陷。单位责任来源于“重技术开发、轻数据合规”的组织缺陷，而非单位雇员的犯罪行为的替代抑或转嫁。

2、不起诉的实体法根据

（1）不起诉的整体思路

从处理结果而言，本案的合规激励效果不仅作用于企业犯罪人，也导向了企业内部雇员。就责任刑的裁量而言，依照两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第1条，本案属于可能判处三年以下有期徒刑的轻微刑事案件。同时，本案也存在主观恶性小，社会危害性不大的责任刑减轻事由。在预防刑的裁量上，企业履行合规义务，弥补组织缺陷，仅能表征企业的预防必要性降低。换言之，企业合规的单一条件并不能导出对企业内部雇员不起诉的处理结果。本案中，影响雇员预防刑裁量的核心在于认罪认罚。由于陈某某等人均认罪认罚，同时也积极赔偿被害单位经济损失并取得谅解，因而可以表征预防必要性降低，从而在责任刑之下减轻处罚。

整体而言，本案双方惠及的处理结论是合适的。基于我国特殊的国情，美国企业合规“放掉企业，严惩企业家”的“原教旨”可能并不适于我国单位犯罪的司法现状。然而，双惠及的刑事政策本身也需要受到教义学的限制。企业履行合规义务仅能作用于企业预防刑的裁量，表征企业预防必要性的降低；单位雇员减免处罚的依据必须在合规之外寻找。与此同时，雇员的不起诉也不能枉顾责任刑。事实上，只有针对可能判处三年有期徒刑以下刑罚的轻微刑事案件，基于预防必要性降低进而免除刑罚才具备合理性。就本案而言，对于可能判处三年以下有期徒刑的轻微刑事案件，基于雇员认罪认罚、积极补救挽损、坦白、初犯等预防刑裁量事由，从而推导出对雇员的不起诉结论，具有合理性。同时，本案在叙述中，将责任刑与预防刑裁量事由、单位不起诉事由与雇员不起诉事由混合叙述的方式似乎也表明了本案检察机关存在将企业合规直接导出双惠及的思路与倾向。

（2）认罪认罚与企业合规的制度关系

依托认罪认罚从宽处理机制，并以此为制度切口引入企业合规起诉激励机制，已经成为我国理论界的普遍共识。^[2]从合规试点工作的开展情况而言，依托认罪认罚从宽制度也成为实务界的惯常做法。^[3]由此带来的问题是，两种制度究竟是什么关系，能否将其等同视之？关于企业合规与认罪认罚从宽制度的关系，理论上存在两种不同的观点。一种观点将企业犯罪的附条件不起诉视作认罪认罚框架下的一种特别不起诉制度，二者具有“同源性”。^[4]与此相对，另一种观点认为，企业刑事合规与认罪认罚从宽是既相联系又相区别的两个制度；在法律修改前将企业合规与认罪认罚从宽制度进行嵌套的操作仅是暂时之计。^[5]事实上，就从宽幅度而言，企业刑事合规的从宽幅度明显大于单纯的认罪认罚。从激励措施的有效性出发，以认罪认罚从宽处理机制为切入点的程序法上的合规激励机制仅具有临时性和补充性作用。同时，两种制度在制度目的、制度价值方面也存在显著不同。^[6]故而，虽然从合作性、协商性的司法特征上，二者勉强可言“同源”；但不应据此消弭二者的制度差异。事实上，两种观点争议的核心在于立法思路与制度定位的差异。依据“同源说”，合规制度属于认罪认罚从宽制度的特别条款，故而可以依托认罪认罚条款对企业合规进行立法规定；而根据差异说，则可以跳脱认罪认罚的制度框架对企业合规进行独立规定。在合规的具体操作中，二者实际均主张合规必须以认罪认罚为条件。事实上，也只有企业认罪认罚，才能在企业自查的基础上定位制度缺陷，进而建立有效的合规计划。从这个角度而言，企业认罪认罚是企业合规的必要前提，二者在制度要素上存在重叠。正因如此，在企业预防刑的裁量中，不应对其重复评价；在雇员犯罪人预防刑的裁量中，由于企业履行合规义务并不能表征雇员预防必要性的降低，因而借助认罪认罚论证雇员的量刑激励措施，是一个主要的途径。

（3）认罪认罚与坦白的关系

本案中，法院将坦白与认罪认罚作为并列的两个量刑情节，在理论上值得商榷。尽管理论对“认罪”的内涵存在争论，但对事实的承认是理论共识，也是“认罪”的基本要求。^[7]从这个角度而言，“如实供述自己罪行”是适用认罪认罚的必要前提。当坦白与认罪认罚同时存在时，可能存在重复评价的嫌疑。为了避免重复评价，可以根据吸收原则加以处理，认罪认罚从宽吸收坦白从宽，坦白情节不再单独评价。

注释：

1、参见2001年1月21日《全国法院审理金融犯罪案件工作座谈纪要》。

2、参见陈瑞华.企业合规视野下的暂缓起诉协议制度[J].比较法研究,2020(01):17-18；李本灿.认罪认罚从宽处理机制的完善:企业犯罪视角的展开[J].法学评论,2018,36(03):111-121.

3、李本灿.刑事合规制度改革试点的阶段性考察[J].国家检察官学院学报,2022,30(01):24.

4、参见李勇.企业附条件不起诉的立法建议[J].中国刑事法杂志,2021(02):142-143.

5、 参见朱孝清.企业合规中的若干疑难问题[J].法治研究,2021(05):7. 

6、笔者的初步思考是，认罪认罚从宽处理机制的制度价值在于追求效率，故而其目的在于分流案件，并借助程序从简提高办案效率、节省司法资源；企业合规的制度价值在于规避由企业定罪引发的“水漾效应”，故而其目的在于探索单位犯罪的刑罚替代措施，并同时借助合规整改兼顾报应与预防。

7、孙长永.认罪认罚从宽制度的基本内涵[J].中国法学,2019(03):205-210.