从一起“删库跑路”事件看SaaS云服务提供商的安全保护义务及刑民责任

近日，有媒体报道称，总部位于上海的一家SaaS云服务提供商某知名互联网科技上市公司（以下简称W公司）遭遇“删库跑路”事件，其研发中心的一名员工（以下简称H员工）通过登陆公司内网，对SaaS业务数据进行恶意破坏，导致公司无法向客户提供SaaS产品服务。后W公司为恢复业务数据历时一周，并为商家准备了 1.5 亿元人民币赔付拨备金。

结合该起公司业务数据遭员工破坏的案例，我们从W公司承担的网络安全保护义务和法律责任、如何追究涉事员工的刑事责任、如何在赔偿商家之后进行追偿等方面，分析SaaS云服务提供商怎样更好地维护自身权益。

一、W公司承担何种网络安全保护义务和法律责任

根据我国2017年6月1日施行的《网络安全法》，网络运营者开展经营和服务活动，必须遵守法律、行政法规，履行网络安全保护义务，接受政府和社会的监督，承担社会责任；建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。

同时，《网络安全法》第七十六条明确规定，网络运营者，是指网络的所有者、管理者和网络服务提供者。对于W公司来说，其属于线上业务 SaaS云服务的提供者，应当按照法律规定履行网络安全保护义务。

1、W公司需要承担哪些网络安全保护义务

围绕本次运维事故，根据《网络安全法》的要求，作为SaaS云服务提供商，W公司需要履行的网络安全保护义务，主要体现在以下几个方面：

从上述规定可以看出，W公司在遭遇内部员工破坏业务数据，发生危害网络安全事件时，应当依法立即启动应急预案，采取相应补救措施，按照规定及时告知用户，并向有关主管部门报告；同时需要完善内部安全管理制度和操作规程，落实网络安全保护责任，实施数据分类、重要数据备份和加密等技术措施，为其产品、服务持续提供安全维护，这样才能防范危害网络安全事件再次发生。

2、W公司能否构成“网络服务渎职罪”

全国人大常委会于2015年8月29日通过的《刑法修正案（九）》，增设了拒不履行信息网络安全管理义务罪，俗称“网络服务渎职罪”，作为《刑法》第二百八十六条之一。该条规定网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：……（二）致使用户信息泄露，造成严重后果的；……（四）有其他严重情节的。

那么W公司是否构成“网络服务渎职罪”呢？虽然W公司在运维事故发生后，在网络安全保护以及应对方面存在一定问题，但如果能够按照《网络安全法》及相关法律、法规规定，积极履行网络安全管理义务，采取补救措施，及时恢复业务数据，按规定告知用户，并向有关主管部门报告，没有造成商家信息泄露，也不存在其他严重情节，或者在监管部门责令采取改正措施时已经予以改正的，则可以避免构成拒不履行信息网络安全管理义务罪。

3、W公司对商家是否承担赔偿责任

通常来说，SaaS云服务提供商都会与商家签订SaaS技术服务合同或SaaS平台产品使用合同，约定有关服务内容、服务费用、服务期限、系统维护、违约责任、纠纷解决等条款，明确各自享有的权利和承担的义务。《网络安全法》同时也规定，网络服务的提供者应当为其服务持续提供安全维护，当发现网络服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施。

如果W公司在与商家签订的合同中，将SaaS服务系统遭受人为因素恶意破坏视为不可抗力，W公司可以全部或者部分免除责任，或者明确约定在发生运维事故情形下，W公司无须承担赔偿责任，否则根据《合同法》的规定，由于W公司提供SaaS云服务不符合约定，且未能为其服务持续提供安全维护，导致商家不能正常使用相关系统，由此给商家造成一定损失，则W公司就要承担继续履行、采取补救措施或者赔偿损失等违约责任。

二、应当追究H员工何种刑事责任

在运维事故发生后，虽然W公司已向警方报案，H员工也被刑事拘留，但H员工破坏公司业务数据的行为，是否构成犯罪以及构成何种犯罪，还需要结合我国《刑法》及相关司法解释进行综合判断。

1、H员工构成危害计算机信息系统安全中的哪种犯罪

为保障互联网运行安全和信息安全，促进互联网健康发展，我国《刑法》第二百八十五条和第二百八十六条规定了非法侵入计算机信息系统罪，非法获取计算机信息系统数据、非法控制计算机信息系统罪，提供侵入、非法控制计算机信息系统程序、工具罪，破坏计算机信息系统罪等一系列危害计算机信息系统安全的犯罪。

其中，破坏计算机信息系统罪是指违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，或者违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，以及故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的行为。

具体到本案，H员工主要是通过登陆公司内网，对SaaS业务数据进行破坏，导致公司向商家提供服务的SaaS系统无法正常使用，其行为属于对计算机信息系统中存储、处理或者传输的数据进行删除、修改，造成计算机信息系统不能正常运行，后果严重的行为，符合《刑法》规定的破坏计算机信息系统罪的构成要件，因而涉嫌构成破坏计算机信息系统罪。

2、对H员工的量刑标准是什么

如果H员工涉嫌构成破坏计算机信息系统罪，那么对其量刑标准应该如何判断？

根据《刑法》第二百八十六条的规定，破坏计算机信息系统，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。结合《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）第四条规定，破坏计算机信息系统功能、数据或者应用程序，造成为五万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上，或者造成经济损失五万元以上，就属于“后果特别严重”。

从媒体报道来看，H员工破坏W公司计算机信息系统中的业务数据，造成W公司为约300万商家提供服务的SaaS系统不能正常运行，时间至少已经达到7日以上，并导致W公司拟赔付商家损失人民币1.5亿元，远远超过了司法解释规定的“后果特别严重”的标准。因此，如果追究H员工破坏计算机信息系统罪的刑事责任，其极有可能被处以五年以上十五年以下有期徒刑。

3、是否有破坏业务数据而被定罪的判例

对于故意破坏公司业务数据或应用程序的行为，最终被认定为破坏计算机信息系统罪，在司法实践中已存在不少判例。

比如，杭州市余杭区人民法院在2019年12月6日作出的(2019)浙0110刑初480号刑事判决书显示：2018年4月，时任浙江某网络科技有限公司技术总监的被告人邱某因被规劝离职而对公司心怀不满，遂欲对该公司进行报复。同年6月23日10时许，邱某在杭州市余杭区家中，利用其离职前已掌握的服务器及数据库账号密码，通过本人的笔记本电脑进入该公司云数据库管理界面，删除索引和部分表，导致该公司为30000余名用户提供服务的SaaS等计算机信息系统当日无法正常运行时间累计5小时15分左右。

法院认为，被告人邱某违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除，后果严重，其行为已构成破坏计算机信息系统罪，鉴于邱某能如实供述主要罪行，自侦查阶段起自愿认罪，且赔偿了被害单位人民币8万元，故判处其有期徒刑二年六个月，缓刑三年。

4、H员工涉嫌的犯罪应由何地公安机关管辖

H员工涉嫌的破坏计算机信息系统罪属于网络犯罪，与普通刑事犯罪不同，网络犯罪的立案管辖有其特殊之处。

比如，最高人民法院、最高人民检察院、公安部于2014年5月4日发布的《关于办理网络犯罪案件适用刑事诉讼程序若干问题的意见》（公通字〔2014〕10号）就规定网络犯罪案件由犯罪地公安机关立案侦查；必要时，可以由犯罪嫌疑人居住地公安机关立案侦查。其中，网络犯罪案件的犯罪地主要包括：

（1）用于实施犯罪行为的网站服务器所在地；

（2）网络接入地；

（3）网站建立者、管理者所在地；

（4）被侵害的计算机信息系统或其管理者所在地；

（5）犯罪嫌疑人、被害人使用的计算机信息系统所在地；

（6）被害人被侵害时所在地；

（7）被害人财产遭受损失地等。

因此，对于H员工涉嫌的网络犯罪，可以由上述七个犯罪地或者由H员工居住地的公安机关进行立案管辖。鉴于被害单位W公司以及被侵害的计算机信息系统均位于上海市宝山区，该案由上海市公安局宝山分局管辖符合法律规定，事实上H员工目前也是被该局刑事拘留的。

三、W公司在赔偿商家之后如何进行追偿

在按照赔付计划支付商家赔偿款之后，W公司可以通过协商、谈判、单独提起民事诉讼等方式对H员工进行追偿。如果H员工被以破坏计算机信息系统罪追究刑事责任，那么在刑事诉讼中，W公司能否对H员工提起附带民事诉讼，要求赔偿给公司造成的经济损失？

根据《刑事诉讼法》第一百零一条的规定，被害人由于被告人的犯罪行为而遭受物质损失的，在刑事诉讼过程中，有权提起附带民事诉讼。从司法判例来看，在破坏计算机信息系统罪的刑事诉讼中，被害单位可以提起附带民事诉讼，要求被告人赔偿公司经济损失。

比如，北京市大兴区人民法院于2016年7月15日作出的(2015)大刑初字第1597号刑事判决书显示：2014年11月20日20时许，被告人姜某在北京市大兴区黄村镇其暂住地内，为发泄私愤使用自己的电脑非法登录北京某公司服务器，随后将安装有OA软件操作系统的服务器内存储的数据进行删除，将安装有U8财务软件的服务器中的U8软件进行了卸载，并将路由器恢复为出厂设置，给该公司造成巨大损失。

法院认为，被告人姜某违反国家规定，对计算机信息系统中存储的数据和应用程序进行删除、修改，后果特别严重，其行为已构成破坏计算机信息系统罪；由于被告人姜某的犯罪行为，给附带民事诉讼原告人北京某公司造成的合理经济损失依法应予赔偿，故判处姜某有期徒刑五年六个月，并赔偿北京某公司十一万余元。

综上，在赔偿商家损失之后，W公司可以通过各种方式向H员工追偿。如果H员工被追究刑事责任，W公司在刑事诉讼中也可以对其提起附带民事诉讼，要赔偿给公司造成的合理经济损失。