翻墙代理（从三起判例探析违规销售VPN行为的无罪辩护路径）

一、背景

VPN（“Virtual Private Network”，虚拟专用网），早期应用于企业内部加密通讯，使用该技术可以在公用网络中架设专用网络，比如公司可以使用该技术让员工在公司外部网络中安全的访问公司内网。但由于技术本身所具备的加密通讯的功能，除了上述用途外，使用VPN也可以在合法审批的国际专线中绕过相关部门的监管架设专线用于访问国外互联网，因此VPN作为“翻墙”技术广泛应用于灰黑产业链。

信息产业部《国际通信出入口局管理办法》第二十二条，“以经营电信业务为目的，通过互联网国际出入口设置虚拟网络的，应当报信息产业部批准。以内部使用为目的，通过互联网国际出入口设置虚拟专用网的，应当报信息产业部备案”。

工信部信管函[2017]32号《工业和信息化部关于清理规范互联网网络接入服务市场的通知》，“未经电信主管部门批准，不得自行建立或租用专线（含虚拟专用网络VPN）等其他信道开展跨境经营活动”。

根据上述规定可知，经营能访问国外互联网的VPN是需要经电信主管部门批准的。据了解，截止目前只有中国电信、中国移动、中国联通具备相关的资质，可为企业提供国际专线租用服务，实现跨境联网的需求，但价格较高、限制较多且只能在企业内部使用，于是“草根VPN”的市场需求应运而生，活跃于灰产地带。

为实现国家监管需要，实践中擅自销售VPN被视为是违规开展跨境电信业务经营活动，不仅受到行政监管，还成为了刑事制裁的对象。

二、刑事制裁现状

经笔者在裁判文书网上输入关键词“VPN”，筛选刑事案件，经分析因违规销售VPN账号而获刑的有关判例，可发现全国各地法院对同样行为的定性各不相同。其中，违规销售VPN行为被定性为最多的三类罪名分别是“提供侵入、非法控制计算机信息系统程序、工具罪”、“非法经营罪”和“拒不履行信息网络安全管理义务罪”。

同样是违规销售VPN，为何会被以三种不同的罪名予以定性和制裁？笔者认为很大部分原因是由于当前国家对VPN技术缺乏系统性的规范，导致司法实践在适用法律时容易出现争议。而也正是因为存在争议，给刑事律师在辩护时留下了无罪辩护的空间。下文，笔者将通过三起定性不同的案例，探析违规销售VPN行为的无罪辩护路径。

三、提供侵入、非法控制计算机信息系统程序、工具罪

（一）司法判例

陈某溢等人提供侵入、非法控制计算机信息系统程序、工具罪[广东省汕头市金平区人民法院(2020)粤0511刑初470号一审刑事判决书]

法院观点：2018年7月，被告人陈某溢、陈某洋合谋在互联网上搭建VPN网络提供给他人使用，经鉴定，涉案VPN翻墙软件“GOODVPS”可以搭建VPN虚拟专用网络，使用户避开或突破计算机信息系统安全保护措施，代理访问境外互联网网站。至2020年5月，二被告人通过上述VPN登录平台为他人提供“翻墙”上网服务，非法获利97018.43元，违法所得由二人平分。二被告人违反国家规定，均构成提供侵入计算机信息系统程序、工具罪。

（二）判例解析

根据我国《刑法》第二百八十五条第三款的规定，本罪主要规制的是提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的行为。

结合本罪的罪状描述，我们首先分析VPN是否具备“侵入”或“非法控制”计算机信息系统的功能。

从用户使用VPN软件的过程看，不管用户访问的是什么内容，用户在自己的电脑上和在服务器端都是授权访问的行为，用户是否使用授权的访问帐号与VPN是没有关系的，VPN只是将两端之间的数据加密，通过这种加密，使用者的访问内容无法被监管系统识别。比如，如果某用户使用VPN访问google，对google的服务器而言，这是一个正常的访问，只是用户和google之间的数据先传输到某台服务器，然后使用VPN技术加密保护，之后再通过这台服务器传输给VPN的使用者。因此在用户使用VPN的整条链路中，用户自己的电脑、被访问的网站、中继的服务器都不存在被“侵入”或“非法控制”。

如果非要认定VPN“侵入”或者“非法控制”了某台电脑或者服务器，那么侵入或非法控制的对象只能是国家的监管系统，即大家所知道的长城防火墙。在本文案例中，法院通过采信鉴定意见中“翻墙软件‘GOODVPS’可以搭建VPN虚拟专用网络，使用户避开或突破计算机信息系统安全保护措施”的表述，进而认定被告人构成本罪，但问题是，根据两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第二条第（一）项的规定，“专门用于侵入、非法控制计算机信息系统的程序、工具”需要同时满足具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能。而网络用户在使用VPN软件时，并没有与监管服务器发生任何的数据交流，也没有从监管服务器中获取任何数据，不具备获取计算机信息系统数据的功能，因此笔者认为销售VPN不符合司法解释的罪状描述，不应认定为构成此罪。

此外通过检索此类案例，笔者发现很多判决书和本文案例一样，不仅没有对事实与法律作任何深入的分析，甚至完全依赖鉴定意见中的结论就认定被告人构成犯罪，如有的判决书中鉴定意见只是陈述涉案VPN“具备访问境外网站的功能，即有翻墙的功能”，法院在没有分析“翻墙”功能与罪名之间关系的情况下，直接依据该鉴定意见就认定被告人构成犯罪。更有鉴定意见越俎代庖，对涉案行为作出法律判断，法院直接采信，进而作出有罪判决。

从以上分析可知，销售VPN行为涉及专业的计算机信息知识，而法官在缺乏相应专业领域知识的情况下，直接凭借简单的日常经验或者依赖鉴定意见就作出有罪判决，其实是不严谨的也是难以令人服判的，也进而导致出现定罪标准不一的乱象。

四、非法经营罪

（一）司法判例

薛某非法经营罪案[泰顺县人民法院（2018）浙0329刑初46号一审刑事判决书]

法院观点：被告人薛某经营的是国内互联网虚拟专用网业务，没有取得国家关于国内互联网虚拟专用网业务的经营许可。因此，被告人薛某违反国务院的行政法规、工业和信息化部的部门规章的规定，非法从事增值电信业务的经营活动，扰乱电信市场秩序，属于非法经营活动。由于被告人薛某的经营数额已达到47万元，属于非法经营“情节严重”，应当以非法经营罪追究刑事责任。

（二）判例解析

根据我国《刑法》第二百二十五条的规定，认定行为人构成非法经营罪，须同时满足三个条件，一是行为“违反国家规定”，二是行为被刑法明文列举为是“非法经营行为”，三是行为达到“情节严重”的立案量刑标准。

在国家规定方面，国务院颁布的《电信条例》第七条和第五十八条第（一）项规定任何组织或者个人不得采取租用电信国际专线、私设转接设备或者其他方法，擅自经营国际电信业务。纵观《电信条例》所设计的罚则，会发现此类行为仅系被纳入行政监管的范围，而其他扰乱电信市场秩序的行为却是“构成犯罪的，依法追究刑事责任”。对此笔者认为虽然擅自销售VPN违反了国务院《电信条例》，但该条例并未规定可将此类行为作为犯罪处理，如果法院要将销售VPN行为认定为是“非法经营罪”，则需要有相关法律、行政法规予以进一步明确，否则将导致刑法与当前国家规定在一定程度上不相衔接。

其次笔者认为销售VPN并未被刑法明文列举为是“非法经营行为”。我国刑法第二百二十五条明文列举的“非法经营行为”主要有四种：（一）未经许可经营法律、行政法规规定的专营、专卖物品或者其他限制买卖的物品的；（二）买卖进出口许可证、进出口原产地证明以及其他法律、行政法规规定的经营许可证或者批准文件的；（三）未经国家有关主管部门批准非法经营证券、期货、保险业务的，或者非法从事资金支付结算业务的；（四）其他严重扰乱市场秩序的非法经营行为。

有趣的是，笔者在检索案例时发现法院连认定销售VPN到底属于何种“非法经营行为”都存在不同认识。如上文的薛某非法经营罪案中，法院依照刑法第二百二十五条第（一）项判处薛某犯非法经营罪，即认定销售VPN属于未经许可经营法律、行政法规规定的专营、专卖物品或者其他限制买卖的物品。而在其他判例中，如廖某甲非法经营罪案[合肥高新技术产业开发区人民法院（2018）皖0191刑初142号一审刑事判决书]，法院则认为销售VPN属于刑法第二百二十五条第（四）项的其他严重扰乱市场秩序的行为。

笔者认为虽然国家规定经营电信业务须取得电信业务经营许可证，但该许可只是普通许可，并未被法律、行政法规明确规定为是专营、专卖许可，也未被公告为是限制买卖的物品。因此适用刑法第二百二十五条第（一）项认定销售VPN为“非法经营行为”不符合刑法逻辑。

那么销售VPN是否属于“其他严重扰乱市场秩序的行为”呢？笔者认为当前司法解释并未将之明确化与具体化。《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》（法释〔2000〕12号）第一条：“违反国家规定，采取租用国际专线、私设转接设备或者其他方法，擅自经营国际电信业务或者涉港澳台电信业务进行营利活动，扰乱电信市场管理秩序，情节严重的，依照刑法第二百二十五条第（四）项的规定，以非法经营罪定罪处罚”。初看起来，最高人民法院似乎已经认定此类擅自经营国际电信业务的行为属于非法经营行为。然而再看该《解释》第二条，会发现，实际上该司法解释所要规制的擅自经营国际电信业务仅限于擅自经营去话业务和来话业务，与VPN的业务类型并不相同。

如上所言，国务院《电信条例》在整体上仅系将擅自经营国际电信业务作为行政监管处理，而当前司法解释也只是明确擅自经营去话业务和来话业务的定罪量刑标准，因此笔者认为如果要认定经营VPN业务（互联网国际数据传送业务）属于非法经营，应该作为法律适用问题，逐级向最高人民法院请示，否则有违罪刑法定明确性原则。

最后我们看看，即使法院认定销售VPN属于非法经营，那么何为达到“情节严重”情形？相关立案标准是什么？

经笔者检索判例后发现，由于法院在认定销售VPN行为的定性上存在不同的认识，导致连行为“情节严重”的认定标准也出现乱象，进而出现大量同案不同判。

经归纳，当前法院认定销售VPN属于非法经营罪的判决方式主要有三种：

第一种是将销售VPN定性为是“未经许可经营法律、行政法规规定的专营、专卖物品或者其他限制买卖的物品”，由于当前司法解释没有对该行为的量刑标准进行具体规定，于是以“个人非法经营数额在5万元以上，或者违法所得数额在1万元以上”的立案标准进行量刑，如薛某非法经营罪案。

第二种是将销售VPN行为定性为是“其他严重扰乱市场秩序的行为”，并以“个人非法经营数额在5万元以上，或者违法所得数额在1万元以上”的立案标准进行量刑，如陈某某等人非法经营罪案。

第三种是将销售VPN行为定性为是“其他严重扰乱市场秩序的行为”，并参照《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》第二条关于擅自经营去话业务或来话业务的立案标准，即非法经营数额在一百万元以上的立案标准进行量刑，如彭某等人非法经营罪案。

综合比较三种判决方式，笔者认为第一种判决方式最不靠谱，由于上文已有阐述，在此不再赘述。第二种判决方式较为严谨，但有违立法原意和刑法体系的一致性。第三种判决方式最有利于被告人，但有类推适用之嫌。

在第二种判决中，法官的思路先是依照《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》第一条，将销售VPN的行为定性为“非法经营”，但由于该司法解释仅对“来话业务和去话业务”的立案标准进行了具体规定，于是法官转而依据一般性非法经营活动的立案标准进行量刑。

之所以认为此种判决方式较为严谨，是因为初看起来法官适用法律看起来有理有据，但其实细推敲起来是违反立法原意和有违刑法体系一致性要求的。首先如上文所述，笔者认为《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》第一条虽然规定“擅自经营国际电信业务或者涉港澳台电信业务进行营利活动”可以“非法经营罪”定罪处罚，但实际上结合该司法解释全文，会发现该司法解释所要规制的对象仅限于擅自经营来话业务与去话业务，否则立法者完全可以在该司法解释中第二条增加第三项作为兜底条款，如“第二条 实施本解释第一条规定的行为，具有下列情形之一的，属于非法经营行为“情节严重”：……（三）经营其他电信业务数额在XX元以上的”，然而该司法解释却没有。再结合《电信条例》对擅自经营电信业务或者超范围经营电信业务的行为仅作为行政处罚处理的规定，说明立法者通过司法解释对“擅自经营来话业务和去话业务”进行定罪处理是审慎的，也是限缩性的。由于该司法解释仅规定“擅自经营来话业务和去话业务”行为的立案标准是“非法经营数额一百万元以上”，法院转而以一般性非法经营活动的立案标准，即“个人非法经营数额在5万元以上，或者违法所得数额在1万元以上”对销售VPN行为进行定罪量刑，笔者认为此种方式有违刑法体系一致性要求。同样是擅自经营电信业务，为什么非法经营来话业务和去话业务，数额达到一百万元以上才构罪，而非法经营VPN的定罪标准却是5万元？差距之大，不符合刑法体系一致性要求。此外，“来话业务和去话业务”属于电信行业最为基础的电信业务，而“VPN业务”在电信行业被应用的范围极为有限，相较而言，行为人擅自前者的社会危害性、对电信行业的冲击与影响应比后者更大，但法院所适用的定罪标准却不符合现实情况，更像是为了定罪需要而择之，容易突破公民对于法律的理解和预测，也在刑法体系的安排上不相协调。

第三种判决方式最有利于被告人，从上图表格中也可看出，彭某等人非法经营数额最多却被判得最轻，这也说明法院在作出判决时考虑到了刑法体系协调一致的问题，但在司法解释没有明确规定销售VPN立案标准的情况下，参照经营来话业务和去话业务的立案标准，有类推适用之嫌，法官在引用法条时也存在无法引用的尴尬。

因此结合当前司法判例，笔者认为将销售VPN认定为是“非法经营罪”存在诸多上述法律适用的尴尬和矛盾。在当前司法解释既没有明确规定将擅自经营VPN业务以“非法经营罪”定罪处罚，又没有明确相关立案量刑标准的情况下，较为合理的方式是依照《中华人民共和国电信条例》第六十九条，由国务院信息产业主管部门或者省、自治区、直辖市电信管理机构对该行为进行行政处罚。

五、拒不履行网络安全管理义务罪

（一）司法判例

胡某拒不履行信息网络安全管理义务罪案[上海市浦东新区人民法院（2018）沪0115刑初2974号一审刑事判决书]

法院观点：2016年10月20日，上海市公安局浦东分局对胡某利用擅自建立其他信道进行国际联网的行为，作出行政处罚。胡某拒不改正，于2016年10月至2016年12月30日，继续出租翻墙软件，违法所得共计人民币236167元。胡某非法提供国际联网代理服务，拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施后拒不改正，情节严重，其行为已构成拒不履行信息网络安全管理义务罪。

（二）判例解析

我国刑法第二百八十六条之一规定：网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：（一）致使违法信息大量传播的；（二）致使用户信息泄露，造成严重后果的；（三）致使刑事案件证据灭失，情节严重的；（四）有其他严重情节的。

如上文所言，笔者认为对销售VPN行为予以行政处罚是较为合理的，也是符合当前立法现状的，若行政处罚过后，行为人拒不改正，司法机关则可依照其他相关法律规定进一步处理。

在本案当中，法院认为胡某擅自销售VPN是不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施后拒不改正，情节严重，故构成拒不履行信息网络安全管理义务罪。

对于此罪名的认定我们认为在实践中存在两个问题：

第一个是本罪属于不作为犯罪，根据刑法理论，不作为犯罪的前提是需要行为人负有特定的作为义务。在拒不履行信息网络安全管理义务罪当中，行为人负有的特定作为义务是履行法律、行政法规规定的信息网络安全管理义务，那么销售VPN为何属于“不履行信息网络安全管理义务”？所适用的法律、行政法规出处在哪里？在本案判决中法院并未释明。

第二个是胡某案中，法院认为胡某的行为属于“情节严重”，故认定为构成拒不履行信息网络安全管理义务罪。但从我国刑法第二百八十六条之一规定第（四）项可知，该条款是属于兜底条款，如要适用该兜底条款应当逐级向最高人民法院请示，否则适用法律具有随意性。

笔者认为，若司法机关要认定擅自销售VPN构成拒不履行信息网络安全管理义务罪，除了需要释明该行为违反了何种信息网络安全管理义务外，还需要举证证明该行为是否具备“致使违法信息大量传播”等法定情节，如果没有，则不应进行定罪处罚。

毕竟在日常生活中，除了部分人是使用VPN进行违法犯罪活动外，还有一部分人使用VPN仅仅是为了方便与国际友人聊天或学习工作，未造成任何的社会危害后果，因此，基于刑法的谦抑性，不应对VPN的销售者予以刑事苛责。

六、结语

从上述三起案例可以看出，无论是在事实认定、法律适用还是证据层面，将销售VPN认定为构成犯罪存在诸多难以回避的问题，而这也是律师的无罪辩护路径与争取的方向。

笔者认为对VPN进行管控并非完全是基于社会危害性之考虑，而更多的是在特定环境下国家管理需求的导向所致，在此情况下，司法机关应更加慎重处理此类案件，不能基于政治正确或政策导向而轻易将之定罪，否则5年10年之后国家放开了个人国际数据通信自由，那么这些判例是否还能经得起检验与评析呢？