江苏天倪律师事务所蚂蚁刑辩团队 李良

一

凌晨三点，我的手机亮了。一条微信消息，来自张工----我的当事人，一位四十二岁的数据库管理员。

"律师，我收到了起诉书。说我对公司系统进行了删除操作，破坏计算机信息系统，后果特别严重。可能判五年以上。"

这是2024年秋天的事。张工在一家互联网公司工作了七年，是技术部门的老员工。三个月前，公司以"不能胜任工作"为由将他辞退，但拒绝支付承诺过的年终奖和期权补偿。双方争执不下，张工提起了劳动仲裁。就在劳动仲裁即将开庭的前一周，公司报警称：张工在离职前利用管理员权限删除了公司核心业务数据库中的关键数据，导致公司业务系统瘫痪四十八小时，直接经济损失超过三百万元。

公安机关立案侦查，张工被以涉嫌破坏计算机信息系统罪刑事拘留。以刑法第二百八十六条第二款----"后果特别严重"----量刑建议为五年以上有期徒刑。

会见时，张工的情绪处于崩溃的边缘。他反反复复地说着一句话："我没有删数据，我只是清理了我自己写的测试脚本。"

这个案子，让我在接下来的几个月里，深度卷入了计算机技术、电子证据和刑法解释之间的交叉地带。它是一个典型的"技术型犯罪"辩护案，每一个争议焦点都建立在技术事实之上，每一个法律判断都离不开技术层面的准确理解。

二

破坏计算机信息系统罪规定于刑法第二百八十六条，共有三款。第一款针对的是对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的行为。第二款针对的是对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的行为。第三款针对的是故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的行为。

张工被指控适用的是第二款----对数据"进行删除"操作，后果特别严重。

从条文结构来看，本罪的构成要件包含以下几个层次：第一，行为方式----实施了删除、修改、增加等操作；第二，行为对象----计算机信息系统中存储、处理或者传输的数据和应用程序；第三，行为前提----违反了国家规定；第四，结果要件----后果严重或者后果特别严重。

这四个层次环环相扣，缺一不可。但让我在接手张工案之初就感到困惑的是：张工的行为到底"违反"了哪一条"国家规定"？

"违反国家规定"是刑法第二百八十六条明确写明的构成要件要素。它不是可有可无的修饰语，而是入罪的门槛。在刑事审判中，公诉机关有义务明确指出被告人违反了哪一条国家规定，并提供相应的证据。

但张工案中的起诉书在这一点上含糊其辞。起诉书只是笼统地表述为"违反国家规定"，却没有指明具体违反了哪一部法律法规的哪一条款。这种笼统表述在司法实践中并不罕见，但它恰恰是辩护的一个重要切入点。

三

在刑事辩护中，"违反国家规定"这个表述常常被轻易放过。很多辩护律师把注意力集中在行为是否发生、后果是否严重的争议上，而忽略了对"违反国家规定"这一前提要件的审查。但恰恰是这个前提要件，在很多案件中是最薄弱的环节。

根据刑法第九十六条的规定，"违反国家规定"是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。这里的关键限定词是"国家"----必须是国家层面的规定，而非地方性法规、部门规章或者行业规范。

在计算机信息系统领域，国家层面的规定并不多。主要的法律依据包括《网络安全法》《数据安全法》《个人信息保护法》等。但这些法律规定的主要是网络运营者、数据处理者的义务和责任，而非针对一般个人行为的禁止性规定。如果一个人删除了自己有权访问的数据，这违反了哪一个"国家规定"？《网络安全法》第二十七条规定任何个人和组织不得"非法侵入他人网络、干扰他人网络正常功能、窃取网络数据"，但这里的"非法"本身就包含了"未经授权"的含义，需要结合其他法律法规来判断授权的有无和边界。

在张工的案子中，有一个特别值得注意的事实：张工删除的数据，是他自己在工作期间编写的测试脚本和数据。这些脚本和数据存储在公司的服务器上，但创建者是张工本人。在一般的劳动关系中，员工在职期间的职务成果归公司所有，这是一个基本的法律原则。但在计算机信息系统的语境下，"所有权"与"访问权限"、"删除权限"之间的关系并不一一对应。

张工作为数据库管理员，其日常工作本身就包含了对数据库的增删改查操作。他在离职前对公司系统进行的最后一次操作，从技术层面看，与他日常工作进行的数百次操作没有本质区别。唯一的不同在于时间节点----这是他作为员工的最后一次操作，之后他的权限被回收。

这引出了一个核心问题：一个有权限的人在其权限范围内的操作，能否构成"违反国家规定"？如果答案是肯定的，那么每个离职员工在被收回权限之前的最后一次操作都可能面临刑事追诉的风险。这个逻辑显然是荒谬的。这也促使我在庭前准备中，对"国家规定"进行了系统性的检索和梳理。

我的检索范围涵盖了《网络安全法》《数据安全法》《个人信息保护法》以及国务院发布的相关行政法规和规范性文件。检索的结果是：没有任何一部"国家规定"明文禁止雇员在离职前清理自己创建的非核心数据。虽然公司内部管理制度可能对此有要求，但这些内部制度不属于"国家规定"的范畴，违反内部制度最多构成违纪或违约，不构成犯罪。

我还特别关注了一个立法技术问题：刑法第二百八十六条的"违反国家规定"，到底是指违反了哪一个国家规定？条文本身没有具体指示，这意味着需要从整个法律体系中寻找依据。但罪刑法定原则要求，犯罪构成要件必须明确，不能含混不清。如果连公诉机关都无法明确指出被告人违反了哪一条国家规定，那么"违反国家规定"这一构成要件就处于悬空状态，定罪的基础就不坚实。

四

在张工案中，最具争议性也最具辩护价值的问题，是鉴定意见的质证。

公安机关委托了一家电子数据司法鉴定机构对涉案系统进行了鉴定。鉴定意见的核心结论是：张工的操作"导致公司核心业务系统相关功能丧失约四十八小时，系统无法正常处理业务请求，属于计算机信息系统功能被破坏的情形"。

这份鉴定意见是本案定罪量刑的核心证据。如果它的结论成立，张工将面临五年以上的刑期。因此，对这份鉴定意见的质证，成为了辩护工作的重中之重。

我首先审查了鉴定机构和鉴定人的资质。该鉴定机构具有电子数据司法鉴定资质，这一点没有争议。鉴定人也具有相应的执业资格。但资质审查只是质证的第一步，更关键的是对鉴定方法和鉴定过程的审查。

仔细阅读鉴定报告后，我发现了几个关键问题。

第一，鉴定意见混淆了"数据删除"与"系统功能破坏"两个不同的概念。刑法第二百八十六条第二款针对的是"对数据......进行删除......"，其直接后果是"数据丢失"。而第一款针对的是"对计算机信息系统功能进行删除......"，其直接后果是"系统功能丧失"。这是两种不同的行为，对应的法律后果也不同。

张工被指控适用第二款（数据删除），但鉴定意见描述的却是第一款（系统功能丧失）的后果。这种概念的混淆，导致鉴定意见与指控事实之间出现了逻辑断裂。公诉机关引用了一份描述"系统功能丧失"的鉴定意见来证明"数据删除"行为的严重性，这在证据逻辑上是讲不通的。

造成这种混淆的深层原因，是基层电子数据鉴定实践中存在的一个普遍问题：鉴定机构往往只是对技术现象进行描述（例如"数据库的某某表被清空""系统在某某时段无法处理业务请求"），而将这些技术现象对应到哪一个法律概念（是"数据删除"还是"功能破坏"），本质上是一个法律判断问题，而非技术鉴定问题。鉴定机构越俎代庖，做了本应由司法机关做出的法律判断，这是鉴定意见的一个方法论错误。

第二，鉴定意见认定的"系统瘫痪四十八小时"存在严重的因果关系问题。公司的系统确实出现了大约两天的不正常运行----这一点不在争议范围内。但问题是，系统瘫痪的直接原因到底是什么？是张工的数据删除操作，还是公司IT部门在发现问题后自主采取的停机维护措施？

通过查阅公司内部的IT运维日志，我发现了一个关键时间线：张工的操作发生在周五下午六点。公司IT部门在周六上午十点发现了数据异常。周六上午十点半，IT部门负责人决定"暂停系统进行全面数据恢复"。系统从周六上午十点半到周一下午两点处于停机状态----这个时间段恰好是四十八小时。

也就是说，系统的四十八小时"瘫痪"中，至少有三十六个小时是公司主动停机维护的。这三十六个小时不能归责于张工，因为即便没有张工的操作，任何一次正常的系统维护也会导致类似的停机时间。

第三，也是最重要的一点----鉴定意见没有对"数据是否可以被恢复"以及"恢复的时间和成本"进行评估。刑法第二百八十六条的"后果严重"，在数据删除的场景下，核心衡量标准之一是数据的不可恢复性和恢复成本。如果数据可以通过日志回滚或者备份恢复的方式快速还原，那么"后果严重"的认定就需要格外谨慎。

在张工案中，公司实际上拥有完整的数据备份机制。数据库每天凌晨自动全量备份，增量日志每十五分钟一次。张工删除的数据在技术上是完全可以通过备份恢复的。事实上，公司在系统恢复后，所有业务数据均已恢复如初，没有任何永久性数据丢失。

这些事实表明，鉴定意见在关键问题上存在重大瑕疵，不能作为认定"后果特别严重"的依据。

五

对于"后果严重"这一关键要件的认定，破坏计算机信息系统罪有一个独特之处----它在很大程度上依赖于技术标准而非法律标准。

2011年，最高人民法院、最高人民检察院联合发布了《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》。该解释第四条对"后果严重"作出了量化规定，包括：造成十台以上计算机信息系统的主要软件或者硬件不能正常运行的；对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的；违法所得五千元以上或者造成经济损失一万元以上的；造成为一百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务或者为五万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上的；等等。

"后果特别严重"的标准则是上述数量的五倍以上。

但问题在于，这些量化标准中的"经济损失"如何计算？是被删除数据的"价值"，还是数据恢复的"成本"，还是系统停机造成的"营业损失"？不同的计算方式会导致截然不同的数额。

在张工案中，公司报称经济损失三百万元，这个数字是如何得出的？起诉书附了一份公司单方面出具的《经济损失计算说明》，将系统的停机时间乘以公司的日均营业收入，得出了三百万元。但这种计算方法存在明显问题：系统停机期间的业务并非全部损失----部分业务可以延期处理；公司没有提供经审计的财务报表来佐证这一损失；公司也没有扣除IT部门主动停机维护所造成的时间。

我在辩护中向法庭指出，根据"两高"解释的规定，"经济损失"应当是指"犯罪行为造成的直接经济损失"，而非间接损失或者预期利益损失。数据恢复的技术费用、加班人员的工资支出等直接成本，才是"经济损失"的计算基础。按照这个标准，张工案的直接经济损失不过数万元，完全达不到"后果特别严重"的标准。

六

除了对法定要件的辩护，张工案还涉及一个在计算机犯罪案件中经常出现的争议----电子证据的完整性和真实性。

计算机犯罪案件的一个显著特点是，几乎所有证据都是电子形式存在的：系统日志、操作记录、数据库审计日志、网络流量记录等。这些电子证据具有易篡改、易灭失的特点，其真实性和完整性的保障对案件的公正处理至关重要。

在张工案中，关键证据是数据库的审计日志。这些日志记录了谁、在什么时间、从哪个IP地址、执行了什么样的数据库操作。按照公司的说法，日志清楚显示张工的账户在某个时间段内执行了大量的删除操作。

我对这份日志证据的完整性提出了质疑。数据库审计日志的保存和提取过程是否符合技术规范？日志在提取之前是否有可能被篡改？提取日志的人员是否具有相应的技术资质？日志的哈希值是否经过了校验？

案卷材料显示，审计日志是由公司IT部门的一名普通员工提取的，提取过程中没有进行全程录像，没有进行哈希校验，没有第三方见证。这种提取过程在证据法上存在重大瑕疵----它无法排除日志被篡改或者选择性提取的可能性。

在法庭上，我引用了2016年"两高一部"联合发布的《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》。该规定第十七条明确要求，对电子数据进行提取，应当制作笔录，记录提取过程，并由提取人签名或者盖章；有条件的情况下应当进行全程录像。第十八条要求对提取的电子数据进行完整性校验。

公司方面提取日志的过程显然不符合这些技术规范。这份关键的电子证据在取证程序的合法性上存在致命缺陷。虽然程序瑕疵不一定导致证据被排除，但它严重削弱了证据的证明力，使得法庭不能仅凭这份日志认定张工实施了所指控的删除行为。

除了取证程序的问题，电子证据还面临一个更为根本性的挑战----"人机对应"的难题。数据库审计日志记录的是"某个账户"执行了某项操作，但这个账户是否确实是张工本人在操作？在IT行业，账户共享、密码借用、远程登录、自动脚本执行等情况屡见不鲜。特别是数据库管理员这类角色，为了便于管理，常常会设置一些自动化脚本或者共享账户。日志显示"张工的账户执行了操作"，不等于"张工本人执行了操作"。

在张工案中，案卷材料没有排除这种合理怀疑。张工在离职交接期间，他的部分权限和密码已经被同事获知。公司也没有提供IP地址定位或者行为特征分析来确认操作者就是张工本人。在缺乏强有力的身份对应证据的情况下，仅凭账户日志来认定身份，存在明显的证明风险。

我在法庭上举了一个简单的例子：如果你的银行卡在某地消费了一笔钱，银行记录显示是"你的卡"，但这笔消费可能不是你自己进行的----可能是被盗刷，也可能是家人代你使用。同样，数据库日志显示是"张工的账户"，但这可能是其他人使用张工的账户进行的操作。这种合理怀疑在刑事案件中必须被排除，否则不能定罪。

七

张工案经过三次庭审，争议焦点逐渐集中到了两个核心问题上：一是张工的操作是否属于"违反国家规定"，二是系统功能丧失的后果是否达到了"特别严重"的程度。

在最后陈述阶段，张工说了一段让我印象深刻的话。他说："我在公司工作了七年，代码是我写的，系统是我维护的。我走的时候，只是把自己写的测试脚本清理了一下，就像离职时清理自己的办公桌一样。我没有想破坏公司的系统，也没有想到这会让我成为犯罪嫌疑人。"

这段话道出了一个科技时代的普遍困境：随着越来越多的生活和工作转移到计算机系统中，人们越来越多地在数字空间中留下痕迹。在这些空间中，"权限"与"所有权"、"工作行为"与"破坏行为"之间的界限变得越来越模糊。一个数据库管理员删除自己创建的测试数据，在技术上看起来和删除公司核心数据是同样的操作----都是一行DELETE语句。但在法律上，二者的性质完全不同。

但由于法律人对技术的不熟悉，以及技术人对法律的不熟悉，这两者往往被混为一谈。

在法庭辩论中，我尝试用最简单的方式向合议庭解释技术事实。我画了一张图，用不同颜色的笔标注了"生产数据"、"测试数据"、"日志数据"的区别。我解释说，张工删除的测试数据，好比是装修工人离开时收走了自己的工具箱----工具箱放在工地上，但它属于装修工人而非业主。公司核心业务数据，则好比是房屋的结构柱----拆除它会影响整栋楼的安全。二者的性质完全不同。

庭审结束后，审判长对我说了一句话："律师，谢谢你让我们看懂了这些技术问题。"这句话让我感触良多。在计算机犯罪案件中，辩护律师的一个重要作用，就是充当技术与法律之间的"翻译者"----把复杂的技术事实翻译成法律人能够理解的语言，然后在此基础上展开法律论证。

这个"翻译"的过程并不简单。法律人习惯于用构成要件、因果关系、证明标准等法律概念来思考问题，而技术人习惯于用代码、日志、架构等技术语言来描述现象。两套话语体系之间的鸿沟，在很多案件中导致了误判。办案人员可能因为看不懂技术细节而盲目采信鉴定意见，也可能因为对技术的畏惧而不敢深入审查证据。

我在这个案子中学到的经验是：律师不需要成为技术专家，但需要培养基本的技术素养。你需要理解什么是数据库、什么是审计日志、什么是备份恢复、什么是哈希校验。你不需要能够亲手操作这些技术，但你需要能够理解技术人员的解释，能够判断技术证据的合理性，能够发现技术论证中的逻辑漏洞。

为此，我在案前做了大量的技术功课。我阅读了数据库管理的基本教材，学习了SQL语言的基础知识，了解了企业级数据库的备份恢复机制，甚至请了两位独立的技术顾问对案卷中的技术材料进行了审查。这些准备工作让我在庭审中能够准确地提问、有力地反驳，也让法庭看到了辩护方对技术事实的认真态度。

八

经过近半年的审理，法院最终作出了判决。

法院认为，现有证据不足以证明张工的删除行为"违反国家规定"----公诉机关未能明确指出张工违反了哪一条具体的国家规定。同时，鉴定意见在"系统功能丧失"与"数据删除"之间混淆了不同概念，其证明力不足以支撑"后果特别严重"的认定。电子证据的提取过程存在程序瑕疵，其真实性和完整性未能得到充分保障。

法院判决：张工不构成破坏计算机信息系统罪。当法官宣读完判决书的那一刻，张工在被告席上深深地低下了头，肩膀微微颤抖。

但同时，法院也指出，张工在劳动关系存续期间，未经公司同意删除系统数据的行为存在不妥之处，建议双方通过劳动争议解决途径处理相关纠纷。

这个结果，对于张工来说是重获自由，对于我来说是一次辩护思路的验证----在计算机犯罪案件中，技术细节往往是决定案件走向的关键。辩护律师不必是技术专家，但必须具备足够的技术素养，能够理解技术事实、发现技术问题、质疑技术鉴定、将技术语言转化为法律语言。

九

张工案办结后，我一直在思考一个问题：在数字化转型的时代背景下，破坏计算机信息系统罪正在从一个相对冷僻的罪名，逐渐变成一个影响面越来越广的罪名。

企业的数据存储在云端，个人的信息流转于网络。代码即是权力，权限即是钥匙。一个掌握系统权限的技术人员，他的每一次操作都可能产生巨大的影响。但正因为如此，我们更需要准确理解刑法的适用边界----不能因为后果"看起来严重"就放松对构成要件的审查，不能因为技术"看起来很复杂"就放弃对事实的独立判断。

在破坏计算机信息系统罪的辩护中，有几条路径是值得特别关注的：审查"违反国家规定"的具体依据----公诉机关是否明确指出了被告人违反的是哪一条国家规定？审查鉴定意见的科学性和准确性----鉴定方法是否科学？鉴定过程是否规范？鉴定结论是否有逻辑断裂？审查电子证据的完整性和真实性----提取过程是否符合技术规范？哈希值是否经过校验？是否存在被篡改的可能？审查"后果严重"的量化标准----经济损失的计算依据是什么？系统瘫痪时间中有多少是由行为人直接造成的？数据是否可恢复？

这些路径不仅适用于张工的案子，也适用于更大范围的计算机犯罪辩护。

张工从看守所出来的那天，我开车去接他。他瘦了一大圈，但精神尚好。他告诉我，在里面的几个月，他想通了很多事情。他说他准备重新找一份工作，也准备把劳动仲裁继续打下去----"不是为钱，就是为了一个说法"。

我点点头。在法律这个行业里，很多时候，当事人需要的确实不是钱，而是一个说法----一个来自法律的确切的回答。一个不会因为技术复杂就退让，不会因为后果响亮就草率的回答。

以刑法第二百八十六条之名，愿每一个在代码中穿行的人，都能被法律正确地理解。愿技术不为恐惧所绑架，愿正义不因复杂而缺席。愿键盘上的每一次敲击，都能在法治的阳光下被公正地审视。

李良律师简介

李良律师，男，1973年生人，祖籍山东济宁，2006年8月开始执业，现执业于江苏天倪律师事务所，律所合伙人，蚂蚁刑辩团队成员，天倪刑辩委员会副主任，南京市优秀刑事律师，司法部法律援助中心死刑复核法律援助律师，江苏省法律援助中心办案律师，南京市律师协会刑法委员会委员，南京市律师协会申请律师执业实习人员面试考核考官，南京电视台《律师直播室》特邀嘉宾，天倪律师事务所优秀律师，荣获国家无偿献血金奖。2016年9月获江苏省青年律师职业技能比赛辩护词写作第二名、江苏省法律职业共同体职业技能比赛辩护词写作优秀奖，2020年12月三个案例入选《江苏省刑事典型案例汇编》，2022年11月获南京市律师协会《金陵律师无罪辩护案例精选》一等奖，2023年7月被评为2020-2022年度南京市优秀刑事律师，2025年1月荣获江苏天倪律师事务所优秀律师，2025年4月荣获南京市检察官律师模拟庭审大赛三等奖，2025年5月荣获江苏省首届检察官律师模拟庭审大赛最佳辩护团队奖，2026年1月再次荣获江苏天倪律师事务所优秀律师。主要擅长领域：刑事辩护、合同纠纷、公司纠纷、建设工程纠纷、商事仲裁等。

（李良律师手机号、微信号13805149566）