去年，南方某市公开宣判被告人邓某提供侵入、非法控制计算机信息系统程序、工具罪一案，邓某被判处有期徒刑九个月，并处罚金人民币5000元。据说，这是该省首例适用这个生僻罪名的犯罪案件。
法院审理查明，2015年10月开始，邓某创建网站，并在该网站出售翻墙软件账户。至案发时，牟利约13957.57元。经鉴定，邓某所提供的翻墙软件可以访问大陆地区IP不能访问的外国网站。
提供侵入、非法控制计算机信息系统程序、工具罪是一个不太常见的罪名，一段时间以来，这个奇怪的罪名屡见报端，引起很多读者的兴趣。该罪源自刑法第二百八十五条第三款的规定，“提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。”
法条中所说的“依照前款”中的“前款”也即刑法第二百八十五条第二款规定的非法获取计算机信息系统数据和非法控制计算机信息系统罪。这三个犯罪的法定刑相同，基本刑都是三年以下有期徒刑或者拘役，并处或者单处罚金。情节特别严重的可处三年以上七年以下有期徒刑，并处罚金。
由于这些罪名不太常见，所以一不小心就可能误用了。在我看来，某地人民法院对邓某的判决就值得商榷：
刑法第二百八十五条第三款所规定的罪名是第一款（侵入计算机信息系统罪）和第二款的工具犯，也即是为实施上述两款之罪的行为人提供工具。
仅仅从法律所规定的形式要件，出售或提供VPN翻墙软件都不可能构成提供侵入、非法控制计算机信息系统程序、工具罪。因为成立本罪要具备“专门性”和“非法性”两个基本条件。
专门性意味着所提供的工具或程序是专门用于违法犯罪目的的，不包括那些既可以用于违法犯罪目的又可以用于合法目的的“中性程序、工具”。（参见最高人民法院喻海松：《<关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释>的理解与适用》，《人民司法》2011年第19期，作者系该司法解释的撰稿人）如果一种程序或工具既可用于合法目的也可用于非法目的，那它就是中性的，而非专门性，自然不构成此罪。
显然，俗称翻墙软件的VPN普遍存在于我们的日常生活工作中，用户众多。它既可以用于合法目的，也可以用于非法目的。比如在教育机构，如果要登陆维基百科去获得某个词条信息，人们经常会使用翻墙软件。所以，VPN本身是中性的工具，它不是专门为了违法犯罪而开发，不具有本罪所要求的专门性。
其次是非法性，提供或控制相关程序、工具的行为要违反法律法规的规定。在刑法中，有时法条关于犯罪成立条件的描述会留一个空白，需要参照其他法律法规，这就是空白罪状。比如刑法第三百三十二条规定的妨碍国境卫生检疫罪，“违反国境卫生检疫规定，引起检疫传染病传播或者有传播严重危险的﹍﹍”在确定某种行为是否构成该罪，必须要参照国境卫生检疫的法律法规。
罪刑法定是我国刑法的基本原则，罪刑法定中的“法”指的是法律，它只能由国家最高立法机关制定，而不包括行政机关制定的行政法规。
空白罪状是否违反罪刑法定原则呢？这一直存在着绝对主义和相对主义的争论。绝对主义认为，在刑法领域中不允许适用任何第二性法源，行政机关无权制定与犯罪、刑罚有关的法规。只有完全排除行政方面的干扰，罪刑法定原则才能发挥保障人权的功能。相对主义则认为，为了不冒立法太迟和必然有疏漏的风险，在法律规定了犯罪的基本特征和法定刑的情况下，可以授权行政机关规定具体的犯罪要件。如果绝对地排除非立法机关参与确定刑法规范内容，在实践中就可能处处碰壁。（[意]杜里奥•帕多瓦尼：《意大利刑法原理》，陈忠林译，法律出版社1999年版，第20页。）
相对主义的立场更符合当下的实际。我们处于一个飞速发展的社会，幻想通过刑法条文来具体细化所有的行为是不可能的，刑法不可能明确规定“传染病的范围”，也不可能把“濒危野生动物”的具体种类在刑法中列明，这一切就有赖于其它法规的具体规定。而且在刑法上作概括性的规定，要求司法官员具体参见其它法规也比让他们直接决定法律的具体内容更有利于保障个人的自由。
当然，为了避免行政权对立法权的僭越，不能任由行政法规规定犯罪构成，它只能对犯罪构成的某些方面进行填补。空白罪状只允许行政法规作为一种补充性法源，在法律所确定的范围之内，对犯罪构成的某些内容进行补充，使法律能够适应飞速发展的社会生活。
需要特别说明的是，空白罪状所参照的补充性法源层级很高，必须是法律和行政法规，不包括部门规章和地方性法规。刑法第九十六条规定：本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。
刑法第二百八十五条第一款和第二款所规定的罪名，立法者都使用了“违反国家规定”这种表述，作为上述两款工具罪的提供侵入、非法控制计算机信息系统程序、工具罪，其中的“非法”一词自然也是“违反国家规定”的意思。如果将“非法”理解为一切违法行为，那么不仅在逻辑上存在问题，也会导致罪刑法定原则的彻底沦丧。
那么，使用VPN是否违反国家规定呢？工信部2017年曾经发布过《工业和信息化部关于清理规范互联网网络接入服务市场的通知》（信管函[2017]32号）。该通知规定：未经电信主管部门批准，不得自行建立或租用专线（含虚拟专用网络VPN）等其他信道开展跨境经营活动。但是，这个通知显然不属于刑法第九十六条所说的违反国家规定。对于确立刑法第二百百十五条第三款的犯罪构成没有任何法律效力。 可见，出售或提供VPN翻墙软件既不符合本罪所要求的“专门性”，也没有达到刑法所要求的“非法性”。
仅从形式要件，就可否定提供侵入、非法控制计算机信息系统程序、工具罪的成立，某地人民法院的这个判决并不妥当。
值得警惕的是，刑法中的计算机犯罪（刑法第二百八十五条、二百八十六条）正在慢慢成为一个新的口袋罪，许多无法认定为其他犯罪的行为，只要与计算机有关，常常被论以计算机犯罪，以至理论界将其戏称为“计算机流氓罪”，罪刑法定原则受到了前所未有的挑战。
在我国，罪刑法定原则本是一个年轻的原则，在刑法典中确立刚刚二十一年，道阻且长。也许风吹雨打，方能彰显磐石本色。路漫修远，法治诸君仍要上下求索。
-----
作者罗翔，系中国政法大学刑事司法学院教授。法治中国，不在宏大的叙事，而在细节的雕琢。在“法治的细节”中，让我们超越结果而明晰法治的脉络。本专栏由法律法学界专业人士为您特供。