数据是公开的，爬下来照样判赔 500 万
浙江淘某网络有限公司、浙江天某网络有限公司与浙江慢某网络有限公司等不正当竞争纠纷案评析

The Question

问题的提出：看得见的数据，为什么不能随便拿

电商平台上的商品名、价格、优惠信息，任何人打开网页都能看到。既然看得见，把它复制下来、整理成比价工具或者市场分析报告，为什么会被判赔？这个疑问背后，其实混着三个不同的问题。

第一个问题是权属：这些数据到底是谁的？平台的、商家的，还是公众的？第二个问题是手段：如果一份数据可以公开访问，那么用自动化程序高频抓取，与人工一页页翻看，在法律上有没有区别？第三个问题是用途：把抓来的数据做成产品卖钱，与自己留着分析，是不是同一件事？

三个问题在直觉上指向同一个答案——公开即自由。但在竞争法上，它们指向三个不同的判断层次，而且答案并不一致：权属问题在本案里被绕开了；手段问题构成本案的主要违法性来源之一；用途问题则单独构成另一个独立的违法性来源。

本案的价值就在这里。它没有去论证「平台对数据享有所有权」这种一步到位的结论，而是把评价拆成获取与使用两个阶段，再按数据的公开程度分层审查。结果是：即使某批数据在网页上确实看得见，绕开风控大批量拿走，仍然不正当；即使获取环节挑不出毛病，把数据做成低质量产品去支撑不合理的价格协同，同样可以单独构成不正当竞争。

本文按六个部分展开：先还原事实与程序，把被诉行为拆成具体的动作；再收敛争议焦点；然后逐层拆解裁判说理，重点在两阶评价与三层数据类型；接着提炼可复用的规则，划出适用边界，指出五种常见误读；最后把规则转成企业可以执行的动作。

Facts & Procedure

事实与程序：一个平台、一个插件、一套数据产品

本案的事实结构不复杂，但要看清违法性从哪里来，需要把被诉行为拆成一个动作序列，而不是笼统地看成一个「爬虫」。

数据从哪来，平台做了什么

• —涉案数据：某电子商务平台上存储的商品数据，包括商品名、商品 ID、商品图片、价格、优惠信息等。这些数据不是平台自己生产的，是平台内经营者在上架、调价、促销时形成的。
• —利益来源：平台与平台内经营者订立商户服务协议，约定经经营者授权，平台合法持有上述商品数据，并享有在授权范围内部分利用、加工相关数据的经营性利益。
• —管理措施：平台采取《法律声明》、Robots 协议等一系列管理措施，明确禁止未经授权的数据获取行为。

这三行事实是全案的地基。第一行说明数据不归平台所有，是经营者产生的；第二行说明平台的地位是「经授权的持有者与利用者」，不是「所有者」；第三行说明平台已经把「不许拿」这件事声明过，并且采取了技术手段。后面所有的评价，都挂在这三行上面。

被告做了什么

被诉行为可以拆成四步，每一步对应一个不同的法律问题。

1. 01

   拿到用户身份：通过比价插件获取该平台用户 cookie

   cookie 不是商品数据，是用户身份的载体。这一步把案件从「数据竞争」带进了个人信息保护的评价范围——判决明确认定，这同时侵犯了部分普通消费者的隐私。

2. 02

   突破访问限制：以其他技术手段突破平台的多种反爬保护措施

   注意「多种」与「突破」两个词。它不是顺着公开接口抓，是绕过平台设置的访问控制。这一步是获取环节违法性的核心。

3. 03

   大规模获取：以模拟普通用户需求的方式大量爬取涉案商品数据

   「模拟普通用户」这个限定很关键。它说明获取方式在形式上刻意模仿正常访问，从而规避平台基于流量特征的风控识别。

4. 04

   变现：在自有网站与平台上有偿提供数据产品和服务

   判决点名的产品形态有三种：「价格监测」「市场分析」「定制 API」。这一步把案件从「获取行为」推到了「使用与经营行为」，也决定了后面的第二个违法性来源。

程序与结果

诉请 2000 万元，判赔 500 万元，为诉请的四分之一。这个差额本身不是本文的重点，但它提示了一件事：把「爬了多少数据」直接等同于「损失多少」，在司法上并不成立。判赔额是按行为性质、规模、获利方式与损害后果综合酌定的，而本案的酌定因素，恰好与前面那四步动作一一对应。

Issues

争议焦点：分歧落在三层，不在一个点上

把双方的主张摆在一起，会发现它们并不在同一个层次上争论。原告说的是「我的经营利益被损害」，被告说的是「数据本来就是公开的」。这两句话都可以成立，却不构成真正的交锋。真正的争点可以收敛成三个问句。

1. 01

   平台对平台内的商品数据，究竟享有的是什么？

   分歧在于：是所有权（可以排他地支配），还是基于授权产生的经营性利益（只能在授权范围内排除他人的不正当妨碍）。前者会导出「未经许可即侵权」，后者导出的是「行为是否正当」——两条完全不同的裁判路径。

2. 02

   数据可以公开访问，是否意味着可以自动化地大规模获取？

   分歧在于：「看得见」这个事实的法律意义。被告用它证明访问的正当性；判决则把「访问权限」与「访问方式」分开——看得见不等于可以绕开风控去看，也不等于可以把看到的东西整批搬走。

3. 03

   把抓来的数据做成产品对外销售，是否独立于爬取行为构成不正当竞争？

   这是本案最容易被忽略的一问。它把评价从「怎么拿的」扩展到「拿去做了什么」，并且承认：即使获取环节过关，使用环节仍可单独构成不正当竞争。

Reasoning

裁判说理：先定利益，再分两阶，最后三层

第一步：把「权利」换成「经营性利益」

判决的第一句话就绕开了权属。它没有认定平台对商品数据享有所有权，而是认定：根据商户服务协议及平台内经营者授权，淘某公司及天某公司就涉案商品数据享有经营性利益。

这个表述的选择非常克制，也非常重要。我国的现行法没有为数据设立一项类似所有权或者专有权的绝对权，数据的保护走的是行为规制的路：不预设谁拥有它，只评价谁对它的利用方式不正当。这条路的好处是不会把数据圈成私人领地，代价是每一个案都要重新论证「利益基础」与「行为正当性」。

本案的利益基础由两段构成：平台内经营者是数据的产生者，通过商户服务协议把持有与部分利用、加工的权利授权给平台；平台据此在授权范围内享有经营性利益。注意这里的三个限定——授权范围内、部分利用、经营性利益。它们共同说明：平台能主张的，不是「这批数据是我的」，而是「我在这个范围内对这批数据的经营，受法律保护，别人不能用不正当手段来妨碍」。

这一步的实务含义常被忽略。因为利益基础来自授权，所以授权范围直接决定了平台能主张的边界：超出商户授权的数据、平台上不归平台持有的数据、以及平台自身也未获授权的加工方式，都不在这条保护线之内。

第二步：两阶评价——获取的手段，使用的场景

判决给出了一句方法论：数据不正当竞争案件中利益平衡的关键，在于区分数据获取手段的正当性与数据使用场景的合理性。这句话是全文的枢纽，它把一个笼统的「爬数据对不对」的问题，拆成了两个可以分别举证的问题。

为什么必须拆开？因为这两件事在法律上的失败模式完全不同。获取环节的问题是「你有没有被允许进入」——它关心的是访问权限、技术措施、身份真实性；使用环节的问题是「你进去之后做了什么」——它关心的是替代性、转售、数据质量与对竞争秩序的影响。同一批数据，获取合法而使用不当，仍然不正当；获取违法而使用温和，也已经不正当。两者是并列的要件，不是可以互相抵扣的筹码。

判决对获取环节的认定，落在四个动作的叠加：利用技术手段绕开平台风控机制、突破正常的访问权限、以模拟普通用户需求的方式大量爬取、妨碍干扰平台的正常运行模式并对安保风控机制造成妨碍。四个动作里，前三个描述手段，第四个描述后果。这个结构说明：获取环节的违法性不需要证明「平台因此少了多少收入」，只需证明「平台的访问控制被绕开了，且其运行受到妨碍」。

使用环节的认定则更为少见。判决指出：各被告开发的「价格监测」「市场分析」「定制 API」等数据产品或服务，存在不准确的低质量数据，也为部分企业用户进行不合理控价提供便利，必然会损害消费者权益以及市场竞争秩序，最终阻碍数据市场的良性发展，不利于社会公共利益。

这段话的推理链值得逐环看清：数据不准确 → 使用这些数据的企业据此定价 → 价格信号被扭曲 → 消费者承担更高的价格 → 市场竞争秩序受损 → 数据市场出现逆向选择（认真做数据的没有价格优势，抄得快、错得多的反而便宜）。这条链条的落点不是「原告被替代了多少」，而是「市场被污染了多少」。在数据类不正当竞争案件里，这是一种不常见但有分量的损害论证方式。

第三步：三层数据类型，各查各的重点

两阶评价之外，判决还叠了一层：按数据的公开程度分三类，分别确定审查重点。这一层不是结论，是审查清单。

把三层与两阶叠在一起，得到一个六格的判断矩阵。本案的涉案商品数据落在「附条件公开」这一层：它在网页上可见，但可见的前提是接受平台的服务条款、遵守《法律声明》与 Robots 协议；它同时也在「公开」这一层的边缘——因为商品数据本身不带个人信息，任何人都能看。

被告的做法在这张矩阵上占了两格都不利的位置。获取环节：突破了访问控制，属于对附条件公开数据的越界获取；使用环节：批量转售并支撑不合理控价，属于超出授权范围的使用。两格同时失守，所以判决在说理上不需要在「公开与否」上纠缠太久——即便认定这批数据属于公开数据，「不当攫取」这一半也已经成立。

第四步：cookie 是另一条独立的违法线

判决在数据竞争之外，单独认定了另一个事实：被告通过比价插件获取平台用户 cookie，侵犯了部分普通消费者的隐私。这一句在全文里只占一行，但它拆掉了这类案件里最常见的一个抗辩——「我们只是用了更高效的技术手段」。

cookie 不是商品数据，它是用户身份的载体，落入个人信息保护的评价范围。获取 cookie 的正当性，取决于用户是否知情同意、同意的范围有多大、以及是否超出了实现目的所必需。这些问题与「商品数据是否公开」没有关系。换句话说，即使一批商品数据完全公开、抓取毫无障碍，绕过用户同意去拿 cookie，仍然是一个独立成立的问题。

第五步：Robots 协议在判决里的位置

判决把 Robots 协议与《法律声明》并列，写在「平台采取的一系列管理措施」这一栏里。这个位置本身就说明了它的法律性质：它是管理措施，是判断获取行为是否善意的重要依据，但它不是权利的边界——违反它不自动等于侵权，遵守它也不自动等于合法。

这个区分在实务里经常被弄反。有人以为「robots 里没写禁止，我就可以抓」，也有人以为「robots 里写了禁止，抓了就一定违法」。前者忽略了技术措施、访问权限、协议约定这些平行的判断因素；后者把一份单方声明抬到了法律之上。本案的处理是第三种：把它作为一个因素放回整体评价里。

第六步：损害与判赔

本案判赔 500 万元，诉请 2000 万元。判决没有公开逐项的计算过程，但从认定的违法事实可以读出酌定因素的分布：获取环节的「突破反爬 + 模拟普通用户 + 大规模爬取」说明主观状态与行为规模；使用环节的「有偿提供数据产品」说明获利方式；「低质量数据支撑不合理控价」说明损害的外溢范围；cookie 部分说明还叠加了消费者权益的损害。

这里有一处容易被误读的地方。判赔额不是「数据条数乘以单价」，也不是「原告损失的一个比例」，而是对上述因素的综合酌定。所以在评估自身风险时，把「我们只抓了几十万条」当作安全边际，方向就错了——决定量级的是行为结构，不是数据量。

第七步：与域外路径的一点比较

数据保护在域外有另一条路。欧盟曾以数据库特殊权利的方式，为在数据的获取、核实或者呈现上有实质性投入的制作者提供一种类似财产权的保护，其逻辑是「先定权利、再谈侵权」。我国的路径不同：不为数据设专有权，而是用反不正当竞争法的一般条款去评价具体行为。

两条路的差别在举证结构上。权利路径下，原告只需证明权利归属与被侵害；行为规制路径下，原告必须证明自己的利益基础、被告行为的正当性缺失，以及竞争秩序的受损。这也是为什么本案要说这么多层——它没有一条「这是我的数据」的捷径可走。对企业的启示是反向的：既然没有绝对权，那么「别人爬我的数据」不等于自动可诉；既然行为可评价，那么「我怎么拿别人的数据」也不是自动安全。

Rules

规则提炼：六条可以带走的判断

把上面的说理压成六句话。前三条是定性，后三条是操作。

1. 01

   平台对平台内商品数据享有的是经营性利益，不是所有权。

   利益基础来自平台内经营者的授权与商户服务协议，范围限于「授权范围内」的持有、利用与加工。超出授权范围的部分，平台主张不了。

2. 02

   评价数据爬取要分两阶：获取手段的正当性、使用场景的合理性。

   两阶是并列要件，不互相抵扣。获取违法而使用温和，仍然不正当；获取合法而使用不当，同样不正当。

3. 03

   数据按公开程度分三层，层级只决定审查重点，不决定结论。

   公开数据查合理使用与不当攫取；附条件公开数据查授权范围与协议约定；不公开数据查技术措施与访问权限。同一批数据在不同层之间会滑动，判断要跟着事实走。

4. 04

   Robots 协议与技术措施是管理措施，不是权利边界。

   它是判断善意的因素之一。违反它不自动构成不正当竞争，遵守它也不自动免责——还要看技术措施、访问权限与协议约定。

5. 05

   数据产品的质量与用途，进入竞争法评价。

   低质量数据为不合理控价提供便利，可以构成独立的损害论证：损害不限于「替代原平台」，还包括「污染数据生态、扭曲价格信号」。

6. 06

   绕过用户同意获取 cookie，是一条独立的违法性来源。

   它与商品数据是否公开无关，落入个人信息保护的评价范围。技术上的高效，不构成正当性。

Boundary

适用边界：哪些情形不适用，哪些读法是误读

这一节比前面任何一节都重要。前面讲的是这条规则能覆盖什么，这一节讲的是它覆盖不到什么——边界写不清，规则就会被拿去吓唬人。

四种不被本案否定的情形

• —搜索引擎式的索引抓取：为定位与跳转而抓取页面，遵守 robots 约定，不复制内容、不转售数据。它与本案的区别不在「是否自动化」，而在目的与结果——它把用户送回原页面，而不是把原页面的内容留在自己的产品里。
• —授权范围内的数据合作：通过 API、数据合作协议取得数据，在约定范围内使用。本案被告也有「定制 API」产品，被否定的不是 API 这种形态，而是这些 API 提供的数据来自未经授权的获取。
• —公共数据开放与依法披露的信息：政府开放数据平台、依法公示的登记信息、已公开的裁判文书，其获取与使用受各自规则约束，不适用本案的竞争法评价。
• —为个人学习、科学研究、舆论监督的有限获取：范围有限、不转售、不替代原平台，原则上属于合理使用。这里的「有限」是事实问题，不是自我声明。

五种常见误读

1. 01

   「数据公开，所以可以自由爬取」

   错在把「可访问」等同于「可获取」。可访问是平台开放的结果，而开放附有条件——《法律声明》、Robots 协议、服务条款。绕开这些条件获取，就是越界。

2. 02

   「违反 robots 协议就构成侵权」

   错在把管理措施当法律。Robots 是单方声明，是判断善意的因素之一。某些情形下违反了但损害轻微，未必构成不正当竞争；另一些情形下没违反，但突破了技术措施，照样不正当。

3. 03

   「只要没替代原平台，就不违法」

   错在只看使用端的一个维度。本案使用环节的违法性来自「低质量数据 + 支撑不合理控价」，不是来自替代。替代只是损害的一种形态。

4. 04

   「平台有数据权益，就等于平台是数据所有者」

   错在把利益当权利。平台的利益来自经营者授权，范围有限；平台自己超范围利用，同样缺少正当性。这一条对平台方是提醒，不是免责。

5. 05

   「爬的是商品公开信息，不涉及个人信息」

   错在漏掉 cookie。商品数据确实通常不含个人信息，但获取路径上常常要处理身份标识。本案的 cookie 认定说明：路径上的个人信息问题，与终点的数据类型无关。

两处必须写明的限定

• —其一，本案为一审判决且已生效，未经过二审审查。它确立的评价方法在同级与上级法院的后续案件中会被继续检验，不宜当作终局口径引用。
• —其二，判赔 500 万元与两项事实强绑定：突破反爬措施获取、以及有偿提供数据产品。缺少其中任何一项，量级都可能显著不同——只抓不卖、或者卖了但获取合规的情形，不能直接套用这个数字。

最后一个自检问题，比什么清单都有用：如果你把这家公司的做法换成自己的，敢不敢把它写进给客户的方案里？不敢，就说明它踩在了边界上。

Takeaways

实务启示：五件事，按「拿」与「被拿」分开做

下面的五件事分两组：前三件是「我怎么拿别人的数据」，后两件是「别人怎么拿我的数据」。两组都要做，因为同一条规则两侧都在适用。

1. 01

   建一份数据来源台账，逐项写清三类信息

   每一个数据字段的来源（自有采集、第三方采购、公开数据集、合作 API）、获取方式（人工、接口、爬取）、授权依据（合同、协议、开放许可）。这份台账在争议里是「善意」的第一份证据，在合规检查里是第一份材料。

2. 02

   把「声明」与「措施」做成一套，不要只有一半

   只有 Robots 协议与服务条款，没有技术措施，等于把门锁画在门上；只有技术措施，没有声明，被告就有「我不知道禁止」的空间。本案里平台两者都有，才使「未经授权」这个事实无须额外举证。

3. 03

   在数据合作的合同里写清「使用场景」，而不只是「数据范围」

   本案使用环节的违法性，恰恰发生在数据范围之外——产品形态与用途。所以授权条款要写明：可否二次加工、可否对外提供、可否用于定价类产品、可否用于训练模型。写得越具体，越不容易被扩大解释。

4. 04

   采购第三方数据时，把「来源合法性」做成准入条件

   要求供应方书面说明采集方式、提供授权链条、承诺不侵犯第三方权益，并约定违规时的解约与赔偿。买来的数据如果是爬上来的，买方并不因为「不知情」而免责——使用环节同样被评价。

5. 05

   发现数据被爬时，按「固定—比对—量化」三步取证

   第一步固定对方的产品形态与数据字段（公证或时间戳，含访问日志）；第二步做字段级比对，证明同源；第三步量化妨碍与损害（风控成本、异常流量、用户投诉、价格异常）。顺序不能颠倒：先有同源，才谈损害。

还有一条不属于动作、但值得写进内部规则：把「我们抓的是公开数据」这句话从合规评审的话术里删掉。它在本案里是被告的核心抗辩，也是被判决逐层拆掉的那句。换成一个可以回答的问题——「我们的获取方式，有没有绕开对方设置的任何一道限制？」答得清楚，才叫合规。

Sources

来源与延伸

• —最高人民法院「2025 年人民法院知识产权典型案例」案例六：爬取网络平台数据不正当竞争案——浙江淘某网络有限公司、浙江天某网络有限公司与浙江慢某网络有限公司等不正当竞争纠纷案，浙江省宁波市中级人民法院（2024）浙02民初562号，2026 年 4 月 20 日发布。
• —《中华人民共和国反不正当竞争法》第二条（经营者在生产经营活动中，应当遵循自愿、平等、公平、诚信的原则，遵守法律和商业道德）。
• —《最高人民法院关于适用〈中华人民共和国反不正当竞争法〉若干问题的解释》（法释〔2022〕9 号）第一条、第二条关于反法第二条适用条件与认定因素的规定。
• —《中华人民共和国民法典》第一千一百九十七条（网络服务提供者知道或者应当知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任）——本案未适用，列此作为平台责任的对照条款。
• —《中华人民共和国个人信息保护法》关于知情同意、最小必要与 cookie 等终端设备标识处理的相关规定（本案 cookie 部分的法律依据）。