1. 问题的提出
伴随电子商务的快速发展，电商平台内部或借助平台实施的犯罪活动显著增加，与此同时，对于平台方在相关刑事犯罪中的法律地位及其管理人员应承担的刑责，目前仍缺乏清晰的界定。尽管《刑法修正案(九)》已经提出了“拒不履行信息网络安全管理义务罪”，但由于未明确阐释何为“网络服务提供者”，故而引起了各种法律适用问题。面对此种情形，2019年10月21日，“两高”共同下发了配套的司法解释，目的就是提升本法在司法实践中的可操作性，该司法解释第一条尝试通过分类方式界定“网络服务提供者”的概念。然而，这种分类式定义一方面难以囊括所有可能的服务提供者类型，另一方面也未能从本质上厘清该概念的核心内涵，致使电商平台在犯罪中承担的角色与责任依然不够清晰。因此，要有效解决这一问题，关键在于确立电子商务平台作为该罪适格刑事责任主体的法律地位，并明确其应承担的信息网络安全管理义务的具体边界。
2. 电子商务平台拒不履行信息网络安全管理义务罪在电商平台难以认定的原因分析
在判定电商平台是否构成拒不履行信息网络安全管理义务罪时，核心障碍集中在两个层面。首先，平台自身作为刑事责任主体的适格性尚存疑问；其次，其应承担的信息网络安全管理义务范围缺乏清晰界定。正是这两大关键难题，直接制约了该罪名在电子商务领域的司法认定。
2.1. 电子商务平台主体复杂
在我国电子商务领域，任何机构与个人只要提供了网络应用服务(如网络直播、网络购物、即时通讯、搜索引擎、网络支付、信息发布、网络游戏等)，以及基础网络服务(如域名注册解析、网络接入等)或以信息网络为媒介，提供公共服务(如医疗、金融、能源、电子政务、通信、水利、交通、教育等)都属于“网络服务提供者”，这是《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》(法释[2019]15号)第一条的规定，这条规定是对刑法第286条第一款的补充。
虽然此解释旨在以列举的方式对“网络服务提供者”的外延进行说明，但笔者认为，电子商务平台因其业务形态的多元化属性，未必能被该列举完全覆盖。主要原因在于：其一，电商平台的功能远超单一的网络购物，实质上是支撑广泛商品与服务交易的综合性互联网平台，因而超越了狭义的网购服务范畴，不宜简单等同于信息网络公共服务提供者；其二，应用程序所用的有些服务直接来自信息网络系统，导致完全明确信息网络应用服务的内涵存在一定难度[1]。所以，在判断某电商平台是否属于该罪所指的“网络服务提供者”时，应严格对照司法解释中的具体类别进行确认，而非在其无法对应任何具体列举类别的情况下，仅凭其提供了某种信息网络应用服务(即面向应用进程的服务)就认定其具备拒不履行信息网络安全管理义务罪的刑事责任主体资格。
2.2. 信息网络安全管理义务内容含糊不清
作为一项典型的纯正不作为犯罪，明确其义务来源是判断是否构成“拒不履行信息网络安全管理义务罪”的重要依据。结合刑法相关条款的内容来看，可以肯定的是，“法律、行政法规层面的信息网络安全管理义务”才是此义务的来源。经梳理发现，包括《网络安全法》《电子商务法》《电信条例》《互联网信息服务管理办法》等在内的十余部法律、行政法规均含有此类义务条款。这种分散立法模式在实践中引发双重困境：其一，司法机关在个案中难以精准定位应适用的具体规范。周光权教授曾指出“本罪的义务来源分散于《网络安全法》《数据安全法》《个人信息保护法》等多部法律及行政法规中，规范层级复杂、内容交叉重叠。司法机关在认定‘安全管理义务’时，常面临规范冲突或选择困境，需通过实质解释明确义务范围，否则易导致司法适用标准不统一[2]。”“拒不履行信息网络安全管理义务罪作为‘空白罪状’，其援引的前置法规数量庞大且修订频繁。若缺乏明确的义务清单指引，司法机关可能陷入‘找法困境’，甚至因规范滞后性而难以准确适用罪名[3]。”其二，在案件事实与证据尚不充分的情形下，过度援引含有相关义务的法规可能导致不当扩大刑事打击范围。
拒不履行信息网络安全管理义务罪所保护的法益界定不清，是造成其管理义务内容难以明确的另一个重要因素。当前学界对该罪所保护的法益存在多种理论，比较具有代表性的是信息网络安全管理秩序[4]、网络安全[5]、具备公共利益属性[6]的特定信息专有权等观点。这种核心法益的不确定性，直接加剧了界定信息网络安全管理义务具体内涵的困难。
3. 电子商务平台主体资格的认定——对网络服务提供者的功能性区分
鉴于不同类型的网络服务提供者承担的管理义务存在差异，明确其义务范围的首要步骤是对各类提供者进行有效区分。这种区分可依据网络服务提供者的定义及其功能特性，在具体分析时要做到层层递进。比如有专家认为，任何机构只要借助信息网络提供信息给公众或通过提供服务来获取所需网络信息都属于网络服务提供者[7]，按照这种学说来看，第一步可将其与非网络服务提供者划清界限。其次，鉴于网络服务提供者涵盖所有在网络上提供设施、信息、中介或接入等服务的个体用户、商业机构乃至非营利组织，在完成上述外部区分后，可进一步依据各主体的具体功能与作用进行细分。实现这种基于功能的类别划分，可借鉴欧盟国家广泛采用的控制力理论。
3.1. 控制力理论的观点
控制力理论主张，网络服务提供者承担的责任范围与其对平台内信息及行为的控制能力成正比[8]。换言之，其所能掌控的信息和行为程度越高，所需承担的责任与义务就越大，反之则越小。该理论的核心在于考察服务提供者与其所承载信息之间的“距离”。当此距离较近时，服务提供者对信息的掌控力更强，相应地其阻止该信息可能造成社会危害的能力也更强；而当信息与其距离较远时，控制力减弱，其应承担的义务与责任也随之降低。因此，依据控制力理论，判定服务提供者责任大小的关键在于衡量其与信息之间的“距离”远近。衡量此距离的标准通常包括两方面：一是服务提供者对其所提供信息可能引发犯罪的预判能力大小；二是其是否具备有效阻止相关犯罪发生的能力。
3.2. 控制力理论下网络服务提供者的分类
控制力理论在网络服务提供者分类中较德国的“四分法”增加了一个特殊类别——网络平台。该主体既独立于传统的接入服务商、缓存服务商、存储服务商及内容服务商，又兼具这些类型提供者的复合功能。一方面，网络平台的职能远超仅为用户提供基础技术传输或缓存、存储服务的传统服务商。它们具备充足的能力，并已主动介入平台信息流的监管与调控。另一方面，其功能多样性决定了网络平台能在提供接入、缓存服务的同时，也提供内容或存储服务。因此，网络平台在作为独立类别存在的同时，实质上融合了其他各类网络服务提供者的功能特征。
3.3. 电子商务平台在诸网络服务提供者中的地位
与其他四种网络服务供应商向服务者提供的较为简单、统一的服务内容相异，网络平台作为数字空间的缔造者与监督者，其所包含的服务涉及到日常生活的各个层面。按照其所涵盖的领域、所提供的服务以及监管的细节，网络平台可以划分为四个主要的类型，包括社交网络、视频播放、电子商务、金融服务这四类。因此，电子商务平台作为网络平台中的其中一员，当前也属于网络服务提供者，因此适用刑法第286条第一款的规定。
4. 信息网络安全管理义务内容的明确
结合前文的研究，拒不履行信息网络安全管理义务罪的犯罪主体包含电子商务平台，随之而来的核心问题，便是明确其所需承担的具体信息网络安全管理义务内容。如何界定这些管理义务？本文主张采取双重步骤：首要任务在于厘清该罪名所意图保护的核心法益。唯有明确其法益指向，方能框定电子商务平台应履行网络安全义务的合理边界。在确立义务范围后，第二步则需依据不同电子商务平台的功能特性及所提供服务类型，就其应负责任进行明确。
4.1. 拒不履行信息网络安全管理义务罪所保护的法益
目前学界流行特定信息专有权说[2]、信息网络及信息网络管理秩序说、网络安全说[9]、信息网络安全管理秩序说[10]这四种学说。本文采信信息网络安全管理秩序说。其合理性基于两点：首先，刑法分则在“扰乱公共秩序罪”的部分对此罪名进行了解释、说明，结合其内容可知，公民个体的人身或财产权利并非其保护法益，公共秩序才是。其次，本罪列出了“情节严重，造成刑事案件证据灭失”，“泄露用户信息，导致严重后果”，“违法信息的传播因本罪而起”这三种法定危害后果，就当中“情节严重”“严重后果”“大量”等表述来看，它们显然无法由侵害单一主体权益造成，其本质在于破坏某种公共秩序，进而损害了不特定多数人的利益集合体(即公共利益)。因此，该罪所保护的核心法益应为信息网络安全管理秩序，而具体管理义务的界定也需围绕维护这一秩序展开。
4.2. 信息网络安全管理的义务的类型化
就本罪所规定的三种法定情形来看，其与刑事案件证据、用户个人信息、违法信息这三类信息的关联最为密切。其中，违法信息可进一步区分为一般违法信息与严重违法信息(即犯罪信息)。一般违法信息在互联网环境中主要指尚未达到刑事立案标准的侵权知识产权内容及暴力、色情、淫秽信息；而严重违法信息则指达到犯罪程度的信息，通常包含宣扬极端主义、恐怖主义等内容。关于用户个人信息，通过研读“两高”发布的配套解释可知，其包含一切通过综合或单独使用能够捕捉特定自然人活动轨迹或识别其身份的信息，如住址、身份证件号码、姓名、行踪轨迹、账号密码、通信通讯联系方式、财产状况、姓名等。网络服务提供者对于刑事案件证据负有数据留存义务，即要求其运用技术手段保存用户在使用服务过程中产生的信息，并在刑事调查中依法向有关部门提供。
4.3. 电子商务平台的信息网络安全管理义务
电子商务平台作为网络平台的重要类型，同样承担着对违法信息、用户个人信息以及刑事案件证据进行管理的法定责任。归纳起来，第一，要严格按照《网络安全法》《电子商务法》等相关法律法规处理违法信息，当电商平台知晓或应知平台内存在侵犯知识产权、宣扬极端主义或恐怖主义等内容时，负有立即采取删除、屏蔽等必要处置手段以阻止信息扩散的义务。第二，针对用户信息管理，综合《电子商务法》第23条与《网络安全法》第40条至第43条的规定，电商平台的核心义务包括：要通过构建完善的保护体系和严格的保密手段保障收集所得用户数据的安全；禁止对所收集的个人信息进行毁损、篡改、泄露，将此信息提供给他人时要征得信息主体同意；本着必要性、正当性、合法性的原则对个人信息进行收集、使用，使用个人信息时，要对使用目的、规则、方式和范围进行明示，且未经信息主体允许不得使用。第三，针对刑事案件证据管理，电子商务平台管理刑事案件证据的相关义务在《电子商务法》《网络安全法》《反恐怖主义法》等法律的多项条款中已有详细列举，此处不作展开论述。
5. 结论
本文聚焦于电子商务平台适用拒不履行信息网络安全管理义务罪认定困难这一现实问题，首先剖析了导致该困境的两大核心症结：电子商务平台刑事责任主体资格界定不清及其应履行的管理义务内容不明。基于此分析，研究一方面论证了电子商务平台具备成为该罪适格刑事责任主体的法律基础；另一方面，通过厘清本罪所保护的法益，限定了电子商务平台履行安全管理义务的合理边界，并借助《电子商务法》《网络安全法》等法律法规进一步细化其具体义务内容。这一研究路径旨在为解决该罪名在电商平台适用难的实践问题提供理论支撑。