数据抓取的实质性替代：搬走别人的数据做成自己的产品，什么时候构成不正当竞争

一句话定义：数据抓取的实质性替代，是指经营者以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式，获取、使用其他经营者合法持有的数据，并以此形成与对方相同或者高度相似的产品或者服务，从而在市场上替代对方、损害对方合法权益、扰乱市场竞争秩序的行为；它是 2025 年修订的反不正当竞争法第十三条第三款新增的数据专款在司法实践中最核心的一种适用形态。

构成要件

先说一个容易搞混的地方：法条里没有「实质性替代」这五个字。 这五个字是司法实践从大量案件里提炼出来的判断标准，用来回答一个条文没写清楚的问题：抓取公开数据到底算不算「不正当方式」？ 因为抓取公开数据本身不违法——搜索引擎抓取网页、价格比较网站抓取报价，都是正常的商业行为。 真正划出红线的，是「你是不是把人家的东西搬过来，做成了替代人家的东西」。

一、条文的三层结构，先定位。

第一层，第十三条第二款。 这一款管的是「利用数据和算法、技术、平台规则等，妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行」。 抓取行为如果把对方的服务器拖垮、把对方的服务拖慢，落进这一款。

第二层，第十三条第三款。 这是 2025 年新增的数据专款：「经营者不得以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式，获取、使用其他经营者合法持有的数据，损害其他经营者的合法权益，扰乱市场竞争秩序。」 它管的是「获取」和「使用」两个环节，不管有没有影响对方服务运行。

第三层，第二条。 如果行为既不影响运行，也不构成不正当获取（比如抓的完全是公开数据、没有绕过任何措施），但整体上明显违反商业道德，可以退到第二条的一般条款。 这是兜底路径，举证难度最高。

二、第三款的四个要件。

要件一，手段是「欺诈、胁迫、避开或者破坏技术管理措施等不正当方式」。 条文列举了四种，后面跟一个「等」字。

「欺诈」指的是冒充身份获取——伪造用户信息注册、伪装成正常用户、假冒合作方调用接口。

「胁迫」在实践中少见，多出现在有合作关系的场景——以终止合作、曝光负面相要挟，逼迫对方开放数据。

「避开或者破坏技术管理措施」是最常见的一种。 要理解这句话，先要区分「技术管理措施」和「使用规则」。 技术管理措施是技术层面的阻拦——登录验证、访问频率限制、验证码、接口密钥、加密、反爬程序。 使用规则是文字层面的要求——用户协议里写「不得抓取」、机器人协议里写「禁止抓取某目录」。 绕过前者是「避开技术管理措施」，违反后者只是违约，性质不同。 这一点在实务中极其关键，很多案件原告主张「对方违反机器人协议」，但机器人协议本身不是技术措施，单靠它很难证成「不正当方式」。

要件二，对象是「其他经营者合法持有的数据」。 三个限定：一是「其他经营者」持有，不是自己的数据；二是「合法持有」，非法获取的数据不受保护；三是「数据」，包括原始数据、加工后的数据、以及数据集合。

这里有一个反复出现的争议：公开数据算不算「合法持有」？ 算。 公开不等于放弃权利。 一个平台把商家信息公开展示在网页上，是为了让消费者浏览，不是为了让人批量搬走做成竞品。 「公开」改变的是获取的难易程度，不改变数据的归属与使用边界。

要件三，后果是「损害其他经营者的合法权益」。 这一要件把「损害消费者利益」排除在外，本款保护的是经营者。 损害可以是直接的收入减少，也可以是流量被截流、用户被带走、商业机会被剥夺。

要件四，后果是「扰乱市场竞争秩序」。 这是一个整体评价，不看单次抓取，看行为模式——是不是长期、批量、系统性地搬；是不是以此为商业模式；是不是导致原创者不愿意再投入。

三、「实质性替代」的四个判断维度。

维度一，替代性——用户还需不需要去原平台。 这是最核心的一条。 如果抓取方做出的产品，能让用户不再访问原平台就获得同样的信息，那就是替代。 反过来，如果抓取方只是做了索引、比价、导流，用户最终还是要回到原平台完成交易，那更接近「合理使用」。 判断方法很具体：看抓取方产品的核心功能，是不是原平台核心功能的复制。

维度二，不劳而获的程度——有没有自己的投入。 原平台为了积累这些数据，投入了人力、时间、资金（采集、审核、清洗、标注、结构化）。抓取方如果零投入直接搬走，属于典型的「不劳而获」； 如果抓取方在原始数据之上做了实质性加工，形成了新的价值，正当性就强得多。 这也是数据交易里反复强调的一点：能交易的是「加工后的数据产品」，不是「搬来的原始数据」。

维度三，对原创激励的损害——如果允许，还有没有人愿意做原创。 这一条是经济分析层面的，但法院非常看重。如果允许零成本搬运，就没有人愿意投入做数据采集与清洗，最终受损的是整个市场。 这个论证在判决书里出现的频率极高，写代理意见时值得专门写一段。

维度四，对用户与公共利益的影响。 如果抓取行为提升了信息透明度、降低了用户搜索成本（比如比价、聚合搜索），正当性会增强； 如果抓取行为导致用户被误导、隐私被泄露、服务质量下降，正当性会减弱。 这一维度是双向的，不是单向加分。

四个维度不是打分制，是综合权衡。 实务中的经验是：替代性强 + 不劳而获明显，基本会被认定；替代性弱 + 有实质加工，通常不构成。

四、三重授权：有合作关系时的另一套规则。

如果双方曾经有接口合作，规则会更严。 司法机关在个案中提出过一个思路，通常被概括为「三重授权」：用户授权、平台授权、用户对第三方的再次授权。

第一重，用户在注册时对平台的授权——这是平台合法持有数据的基础。

第二重，平台对第三方的授权——通过接口协议、开发者协议，明确第三方能用什么数据、用在什么范围、用多久。

第三重，用户对第三方的再次授权——用户在第三方产品上，明确同意把自己的数据提供给这个第三方。

三重缺一，都可能被认定为超出授权范围。 实务中最常见的问题不是「完全没授权」，而是「超出授权范围使用」——协议写的是「用于展示」，实际拿去做了数据分析或者训练模型；协议写的是「合作期内可用」，合作结束后继续用。 这类「超范围」在认定上比「无授权」更微妙，但对证据的要求反而更低，因为协议文本就在那里。

五、与刑事责任的交界。

抓取行为如果同时具备「避开或者破坏技术措施」和「批量获取」两个特征，可能触犯刑法——非法获取计算机信息系统数据罪，或者破坏计算机信息系统罪。 分界点在于：有没有侵入或者破坏计算机信息系统。 单纯的「频繁访问」「模拟用户请求」，不构成侵入；破解加密、绕过身份验证、利用漏洞，就可能构成。

实务中的处理顺序是：先看民事上是否构成不正当竞争，再看刑事上是否达到立案标准。 两条线可以并行，但证明对象不同——民事看竞争利益损害，刑事看计算机信息系统的安全。

法条依据

与相邻概念的区别

与数据爬取的区别。 那一篇讲的是「爬虫什么时候违法」，覆盖的是刑事风险、技术措施的规避、抓到的数据能不能用，视角是「抓取方的行为边界」。 这一篇讲的是「搬过来的东西做成了替代品，怎么定性」，视角是「数据方的竞争利益怎么保护」。 同一个案子，两篇都要看：先判断抓取手段是否正当，再判断使用结果是否构成替代。 手段正当但结果替代，仍可能违法；手段不正当但没形成替代，可能只构成对技术措施的规避。

与「合理使用」的区别。 合理使用是著作权法上的概念，在竞争法上没有直接对应的制度，但司法实践会借鉴它的思路：转换性使用、少量使用、不影响原作品市场。 在数据领域，最接近的表述是「不形成替代的使用」——做索引、做比价、做导流，不构成替代；做同质化的内容产品，构成替代。 区别的关键不在「用了多少」，在「用完以后用户还需不需要原平台」。

与公共数据开放的区别。 公共数据开放是政府主动向社会提供数据，获取有法定渠道、有开放目录、有使用条件。 从政府开放平台获取数据，不存在「避开技术措施」的问题，但使用仍要遵守开放协议约定的范围与用途。 把公共数据抓走之后做成收费产品，是否违反开放协议，要看协议本身，不必然构成不正当竞争。

与数据交易的区别。 数据交易是「合法取得」的正规路径——通过交易平台、数据商、场内外合规渠道取得数据，取得之后的使用有合同依据。 抓取是「自行取得」，没有合同依据，只有行为正当性可以主张。 两者的区别在举证上非常现实：有交易合同的，只要证明对方超范围使用即可；没有合同的，要从不正当手段与实质性替代两方面举证，难度高得多。

与不正当竞争一般条款的区别。 第十三条第三款是特别规定，第二条是一般条款。 有特别规定的优先适用特别规定，只有在「既不属于第二款也不属于第三款」的情况下，才退到第二条。 这个顺序不能颠倒——先引第二条再提第三款的写法，容易被认为「没找准条文」。

实操指引

一、数据方维权，五步走。

第一步，固定「我合法持有」的证据。 数据的来源、采集方式、加工过程、投入成本，都要有记录。 用户协议、隐私政策、商家授权书，是「合法持有」的基础； 采集日志、清洗规则、标注记录，是「有投入」的证明。 这一组证据决定了你能不能主张权利。

第二步，固定「对方抓了」的证据。 访问日志、异常请求记录、同一时间段的大量请求、非人类访问特征。 技术手段上可以做「蜜罐」——在页面里埋入正常用户看不到的假数据，一旦对方产品里出现了这些假数据，抓取事实就无从抵赖。 这类证据的说服力远高于日志分析。

第三步，固定「对方绕过了什么」。 这是第三款的核心。 要证明你设置了技术管理措施（登录验证、频率限制、验证码、接口密钥），并且对方绕过了它。 如果只有用户协议禁止抓取、没有任何技术措施，第三款很难适用，只能走第二条。

第四步，固定「实质性替代」。 做一份功能对比：对方产品的核心功能、页面结构、数据字段、更新频率，与你方产品的对应关系； 再补一组用户数据：你方的流量、活跃度、收入在对方产品上线后的变化。 对比做得越细，「替代」越直观。

第五步，选路径。 民事起诉——案由不正当竞争纠纷，请求停止侵害、赔偿损失；行政举报——按第二十九条，由市场监管部门查处；刑事报案——如果存在破解、侵入，按非法获取计算机信息系统数据报案。 三条路可以并行，但要注意刑事立案后民事可能中止，节奏要安排好。

二、抓取方合规，四条底线。

第一条，不绕过技术措施。 对方设了登录、设了频率限制、设了验证码，就不要想办法跳过去。 这一条是硬线，一旦跨过，行为性质从「违约」变成「不正当方式」，还可能触及刑事。

第二条，控制抓取强度，不影响对方服务。 即使抓的是公开页面，也不能把对方服务器拖垮。 限速、错峰、遵守对方声明的最低间隔，是最基本的自律。

第三条，不做同质化替代。 这是商业层面的判断，也是法律层面最要紧的一条。 如果你的产品就是「把对方的内容原样搬过来」，替代性一目了然； 如果你的产品在对方数据之上做了加工、聚合、分析，形成了新的使用场景，正当性会强很多。

第四条，有合作就严守授权范围。 接口协议写的是什么用途，就只能用在什么用途； 写的是合作期内，就不要在合作结束后继续用。 超范围使用在举证上对你不利，因为协议文本是现成的。

三、被指控一方可以怎么抗辩。

抗辩一，抓的是公开数据，没有绕过任何措施。 这一条能打掉第三款的「不正当方式」要件，但打不掉第二款和第二条，还要继续论证没有妨碍运行、没有违反商业道德。

抗辩二，没有形成实质性替代。 这是最有效的抗辩。 举证方向是：产品定位不同、用户群体不同、核心功能不同、用户仍需回到原平台完成交易。 把「不同」讲清楚，比否认抓取更有效。

抗辩三，有实质投入，形成了新的价值。 加工、清洗、结构化、可视化、跨源整合，都是「自己的投入」。 投入越大，越接近「独立成果」，而不是「搬运」。

抗辩四，对方的数据本身不合法持有。 如果对方的数据来源本身侵犯个人信息、侵犯他人权利，其「合法持有」的基础就不成立。 这一条要慎用——它不能让你免责，只能削弱对方的请求权基础。

四、这类案件的价值判断，值得单独说。

数据抓取的案子，法院实际上在做一道平衡题：一边是数据方的投入与激励，一边是数据的流通与再利用。 过度保护，数据被锁在各自的平台里，谁也拿不到； 保护不足，没有人愿意投入做数据建设。 「实质性替代」这个标准，就是这道平衡题的答案——它不禁止使用，只禁止「替代」。 理解这个价值取向，比记住四个要件更有用，因为条文是抽象的，价值判断才是判决的真正逻辑。

常见问题

我抓的是完全公开的网页，谁都能看，这也违法吗？

不一定违法，要看你怎么用。 公开数据可以抓，这是搜索引擎存在的基础。 但如果抓取之后做成同质化产品，把原平台的用户带走，就进入了「实质性替代」的评价范围。 换句话说：抓取行为本身可能正当，使用结果可能不正当。 条文写的是「获取、使用」，两个环节都可以单独评价。

对方网站的用户协议写了「禁止抓取」，我违反了，是不是就一定违法？

违反协议是违约，不等于不正当竞争。 用户协议是合同，违反它产生违约责任； 反法第三款要求的是「欺诈、胁迫、避开或者破坏技术管理措施等不正当方式」，门槛更高。 实务中原告常常把两者混着讲，但法院会分开审查。 当然，违反协议加上实质性替代，两条一起看，结论就很可能对你不利。

什么是「技术管理措施」？加个验证码算吗？

算。 技术管理措施是技术层面的阻拦手段——登录验证、访问频率限制、验证码、接口密钥、加密传输、反爬程序，都属于这一类。 判断的关键是：它是不是通过技术手段，使得未经许可的访问变得困难或者不可能。 仅仅是「在协议里写一句禁止」，不构成技术措施。

我们做的是比价网站，抓取各平台的价格，这算替代吗？

通常不算。 比价网站提供的是「跨平台比较」这个新价值，用户最终还是要到原平台下单。 它增加的是信息透明度，不是替代原平台的服务。 但要注意两个边界：一是不能把原平台的商品详情、用户评价全文照搬，那部分更接近内容替代；二是不能绕过技术措施，价格数据的获取方式要正当。

数据被爬了，能要求对方赔偿多少？

按实际损失或者侵权获利确定，两者都难以确定的，法院可以酌定。 实际损失的计算方式包括：用户流失导致的收入减少、为恢复流量投入的推广费用、数据资产的贬值。 侵权获利的计算方式包括：对方产品的收入中，有多少来自这部分数据。 实务中精确计算几乎不可能，多数案件最终是法院酌定一个数额。 所以取证的重点不是「算得多准」，而是「证明损害有多大」。

抓取行为会不会同时构成犯罪？

可能，但要看你有没有「侵入」。 单纯的频繁访问、模拟正常请求，不构成侵入； 破解加密、绕过身份验证、利用系统漏洞批量取数，就可能构成非法获取计算机信息系统数据罪。 是否达到立案标准，看数据条数、违法所得、造成的损失。 民事与刑事的判断标准不同，不要以为「民事上不构成不正当竞争」就「刑事上一定没事」，反过来也一样。 刑事风险的具体规则，看非法获取计算机信息系统数据罪。

这类案子的裁判思路，有没有可以参考的实例？

有，而且这一类案例这几年增长很快。 数据集合的经营利益如何保护、什么程度构成实质性替代，法院已经在多个案件里给出了具体分析。 数据集合经营利益与实质性替代的裁判案例可以作为切入点，看法院是怎么把抽象标准落到具体事实上的。 网络与数据领域的其他规则，收在网络与数据分类下； 抓取行为的一般边界，另见网络不正当竞争。