爬虫获取数据本身不犯法，爬虫犯法的数据是获取之后你怎么用、以及用什么样的犯法手段去获取。这个边界，爬虫比大多数人想象的数据要模糊得多。

2019年，犯法某大数据公司用爬虫抓取微信用户公开信息，爬虫结果整个公司被一锅端。数据但同年，犯法另一家做电商数据分析的爬虫创业公司，同样靠爬虫起家，数据活得滋润得很。犯法差别在哪？爬虫前者把抓来的数据卖给了营销公司，后者只是数据给商家提供市场趋势参考。同一个技术动作，犯法两种截然不同的结局。

法律条文其实写得挺清楚。《刑法》第285条和《反不正当竞争法》都涉及数据获取问题，但真正判案时，法官看的是“侵入性”和“破坏性”。你要是绕过登录验证、破解加密协议、或者用高频请求把人家服务器搞崩了——那妥妥的非法获取计算机信息系统数据罪，没跑。但你要是只抓公开网页上肉眼可见的信息，速度控制得礼貌一点，那基本属于灰色地带。

我认识一个做舆情监测的朋友，他们公司专门爬新闻评论区。有次被目标网站发了律师函，说他们“未经授权抓取数据”。结果他们法务回复：你们网站没有robots协议禁止抓取，而且我们抓的是公开页面，用户自己发的评论。最后这事不了了之。你看，连专业律师都拿不准，何况普通人。

真正危险的是数据落地之后的用途。爬了个人手机号、住址、甚至医疗记录，哪怕这些数据是“公开”的，只要你用于精准营销、诈骗或者任何商业变现，那就踩了《个人信息保护法》的红线。去年杭州有个案例，有人爬了某招聘网站的简历库，转手卖给猎头公司，判了三年。简历算不算公开信息？招聘网站确实展示了一部分，但完整联系方式是付费才能看的——他破解了付费墙。

还有个容易被忽略的点：爬虫协议（robots.txt）不是法律，但违反它可能构成违约。你注册了某平台的开发者账号，签了用户协议说“不得自动抓取”，结果转头就写了个爬虫——平台告你的时候，不靠刑法，靠合同法就能让你赔得底朝天。

说白了，爬虫就像一把菜刀。切菜做饭没问题，但你拿去砍人，警察抓的不是刀，是你。现实里大多数爬虫案子，罪名都不是“爬虫罪”——法律里压根没这个词——而是侵犯公民个人信息、破坏计算机信息系统、或者不正当竞争。技术本身是中性的，但使用技术的人得明白：你抓数据的姿势、频率、目的，决定了你是游走在灰色地带的生意人，还是等警察上门的技术罪犯。

给普通人的建议就三条：第一，别碰需要账号密码才能看的内容，哪怕你用自己的账号也不行；第二，抓取频率别超过人类手动操作的速度，一天几千次请求那种，纯属自找麻烦；第三，抓下来的数据别直接卖，也别用来做用户画像推送广告。做到这三点，你大概率不会进局子，但要是哪天平台突然改规则告你——那也只能认栽，毕竟这行当，本来就是踩着法律边界的钢丝跳舞。