非法獲取公民個人信息罪的理解與適用以京城最大出售、非法提供、非法獲取公民個人信息案為視角

文◎郝家英

非法獲取公民個人信息罪的理解與適用以京城最大出售、非法提供、非法獲取公民個人信息案為視角

文◎郝家英*

［基本案情］2009年3月直至2009年12月案發(fā)，被告人劉某波、陳某鋼、程某郊，張某英、劉某亮、王某等人在互聯(lián)網(wǎng)上或者在現(xiàn)實生活中，通過QQ聊天、發(fā)送電子郵件、撥打電話、發(fā)送短信等方式，以個人或公司名義分別或者伙同從聯(lián)通公司、電信公司、移動公司工作人員張某、謝某沖、等人處購買或獲得手機、座機通話清單，手機、座機機主信息、戶籍信息、汽車檔案、手機定位信息等多種類的公民個人信息。

張某、謝某沖等中國移動、聯(lián)通、電信公司工作人員與上述四家社會調(diào)查機構(gòu)及社會無業(yè)人員，相互串通，利用電信單位服務(wù)平臺，違反國家規(guī)定及單位保密規(guī)定，將本單位在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息進(jìn)行買賣或者非法提供給他人。劉某波、程某郊、張某英、劉某亮等人從中國移動、聯(lián)通、電信等公司工作人員處非法獲取公民個人信息，或出售、非法提供給他人、或相互進(jìn)行倒賣，或用于自用，從中謀取非法利益。

一、問題提出

對《刑法》253條之一中“公民個人信息”的含義，存在“公民個人信息是指能夠識別公民個人身份的信息”與“公民個人信息是指與公民個人相關(guān)的一切信息的總和”的兩種理解。筆者同意后一種觀點。

對《刑法》253條之一第二款中“上述信息”的理解，有三種觀點。第一種觀點認(rèn)為，“上述信息”指示的是上文提到的信息，即“國家機關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員……在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”；第二種觀點認(rèn)為，“上述信息”是指“履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”；第三種觀點認(rèn)為，上述信息是指任何符合條件的“公民個人信息”。筆者同意第三種觀點。

對《刑法》253條之一中“情節(jié)嚴(yán)重”的標(biāo)準(zhǔn)把握上，一種觀點認(rèn)為，以100人作為量的起點，獲利額以非法獲利5000元為犯罪起點；第二種觀點認(rèn)為，一年內(nèi)出售、非法提供、非法獲取公民個人信息三條以上或者因出售、非法獲取公民個人信息獲利人民幣500元至2000元以上的，即為情節(jié)嚴(yán)重。筆者同意第二種觀點。

二、“公民個人信息”含義的理解、厘定

《刑法修正案（七）》對出售、非法提供、非法獲取公民個人信息的行為規(guī)定為犯罪，但對于什么是公民個人信息并沒有進(jìn)行定義。而作為本條規(guī)定之犯罪的犯罪對象——公民個人信息定義的缺失，給罪與非罪、罪輕罪重的司法認(rèn)定帶來障礙。如在本案中，被告人謝某沖在擔(dān)任北京京馳無限通信技術(shù)有限公司運維部經(jīng)理期間，利用中國移動通信集團(tuán)北京有限公司授予其所在公司進(jìn)行手機定位業(yè)務(wù)的權(quán)限，先后多次為本案被告人劉某亮、程某郊、張某英等人提供的90余個手機號碼進(jìn)行定位，以為其提供被定位手機使用人的活動軌跡，非法獲利人民幣達(dá)9萬元。如果對謝某沖提供手機定位服務(wù)的行為能否定罪存有疑問，那么從謝某沖處獲取手機定位信息的張某英、劉某亮、程某郊等人是否構(gòu)罪、罪輕罪重則也難以確定。

一般認(rèn)為，公民個人信息是指能夠識別公民個人身份的信息，主要包括：姓名、年齡、性別、身份證號碼、職業(yè)、職務(wù)、學(xué)歷、民族情況、婚姻狀況、專業(yè)資格及特長、工作經(jīng)歷、家庭背景及住址、電話號碼、信用卡號碼、教育、醫(yī)療、經(jīng)濟(jì)活動等的記錄，指紋、網(wǎng)上登陸帳號和密碼等。［1］這種只強調(diào)身份性與可識別性的公民個人信息定義，似乎難以將公民個人活動軌跡情況納入到公民個人信息的范疇之內(nèi)。但公民個人活動軌跡情況的泄漏，相較于上述所列信息而言，對公民生命、健康、財產(chǎn)安全的威脅可能更大，因為想要獲取上述信息的行為人往往早有預(yù)謀，行為對象明確，行為目標(biāo)確定，一旦獲知被定位人的所在位置，就會使被定位人處于急迫的危險當(dāng)中。因此，為充分有效的保護(hù)公民個人權(quán)益，在公民個人信息范圍的把握上應(yīng)當(dāng)將公民個人不愿公開或不愿讓他人知悉的與公共利益無關(guān)的個人隱私完全包含于其中，即應(yīng)當(dāng)從“公民個人信息是指與公民個人相關(guān)的一切信息的總和”的廣義上理解公民個人信息的含義。［2］但對公民個人信息的保護(hù)并非沒有限度，因為并不是任何個人信息公布以后都會對公民權(quán)益造成損害，且信息的擴(kuò)散對于不同公民的意義是不同的，對于某些人來講對其個人信息的泄漏可能是其所希望的（如當(dāng)下許多公民在網(wǎng)絡(luò)上通過各種手段將自己炒作成名人等）。［3］因此，建議司法解釋對個人信息進(jìn)行定義時注重把握以下原則：主觀上，本人不希望擴(kuò)散該信息；客觀上，該信息具有保護(hù)價值，一旦擴(kuò)散，將可能對公民權(quán)利造成損害。［4］據(jù)此，可對公民個人信息作如下定義：公民個人信息，是指公民本人不愿公開、擴(kuò)散，如果公開、擴(kuò)散可能為他人利用從而會造成嚴(yán)重干擾個人生活、社會秩序后果的、反映公民個人年齡、性別、學(xué)歷、婚姻狀況、活動情況等身份、隱私情況的信息總和。

三、非法獲取公民個人信息罪犯罪對象的確定［5］

《刑法》第253條之一第二款規(guī)定的非法獲取公民個人信息罪中的“上述信息”顯然指前款規(guī)定中的信息，但由于對前款中“信息”前面的定語修飾范圍理解不同，從而導(dǎo)致對“上述信息”有三種理解。第一種觀點認(rèn)為，“上述信息”指示的是上文提到的信息，即“國家機關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員……在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”，而不可能為泛指“公民個人信息”，否則沒有必要用“上述信息”幾個字，而可以直接用“公民個人信息”。［6］第二種觀點認(rèn)為，“上述信息”是指“履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”，作此理解才符合立法用語省略表達(dá)以求簡潔的本意，也是貫徹有利于行為人方案進(jìn)行的解釋；［7］第三種觀點認(rèn)為，上述信息是指任何符合條件的“公民個人信息”，理由在于：應(yīng)當(dāng)從保護(hù)個人權(quán)益的立法目的出發(fā)，如果對于實踐中大量的非利用公權(quán)力獲取他人信息的行為不加以規(guī)制，將難以有效保護(hù)公民權(quán)益，而且，實踐中司法機關(guān)也是這樣把握的。［8］

對于“上述信息”的理解，如果條僅從文字規(guī)定的角度來講，所列三種解釋都說的通。但如若按照上述前兩種觀點進(jìn)行解釋的話，則本案中劉某波、陳某鋼等人所獲取的大量公民個人信息中的相當(dāng)一部分不能作為指控其犯非法獲取公民個人信息罪的事實，因為從上述被告人處起獲的信息本身無法證明信息來源，而相應(yīng)的可能泄漏公民個人信息的通信等部門又不出具信息出處為本部門的證明，最終將導(dǎo)致不能證明被告人所獲信息為“國家機關(guān)或者金融、電信等單位的工作人員在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”或“單位的工作人員在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”。而理解的不同將造成被告人罪與非罪、罪輕罪重的相異處理結(jié)果，因此，需要司法解釋對“上述信息”的理解作出統(tǒng)一的適用規(guī)定。

上述前兩種觀點對“上述信息”的理解都包含了“單位的工作人員在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”，這種理解不當(dāng)?shù)目s小了非法獲取公民個人信息罪的處罰范圍。如某調(diào)查公司為提高自己的知名度而計劃完成對某個社會熱點問題的調(diào)查報告，于是對廣大公眾進(jìn)行相關(guān)的調(diào)研問卷調(diào)查，其承諾一定嚴(yán)格保守所獲取公民個人信息，但供職于該調(diào)查公司的某位員工因利益驅(qū)使、人情誘惑等原因而將公司獲取的上述公民個人信息出售、非法提供給了他人，此種情況如依照前兩種解釋，非法獲取該公司持有的公民個人信息的行為人不構(gòu)成非法獲取公民個人信息罪，因為調(diào)查公司對上述公民個人信息的獲取并不是發(fā)生于履行職責(zé)或者提供服務(wù)過程當(dāng)中。但此種行為人從調(diào)查公司獲取公民個人信息與從相關(guān)單位在履行職責(zé)或者提供服務(wù)過程中獲取公民個人信息的行為對被調(diào)查人個人權(quán)利的侵害程度沒有區(qū)別。同時，上述理解還會造成體系不協(xié)調(diào)，有違公平原則。我們?nèi)砸陨鲜稣{(diào)查公司為例，調(diào)查公司將在調(diào)研問卷中收集到的公民個人信息存儲于公司的電腦里，如果某位電腦操作高手侵入存有公民個人信息的電腦并成功獲得上述個人信息，按照《刑法》第285條第2款之規(guī)定，侵入計算機系統(tǒng)并獲得公民個人信息的行為人構(gòu)成非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。但如果該行為人不是通過侵入計算機而是通過竊取、購買等其他方式從調(diào)查公司員工那里獲得存儲在調(diào)查公司電腦里的信息的話，按照前文的第一、二種觀點，則行為人不構(gòu)成犯罪。但兩種獲取公民個人信息的行為只是手段不同，危害結(jié)果無異，但卻存在著罪與非罪的本質(zhì)差異，顯然有違公平原則。再者，按照第三種觀點進(jìn)行解釋不違背“存疑時有利于被告的原則”?！啊嬉蓵r有利于被告’的原則并不適用于對法律疑問之澄清。當(dāng)各種解釋法方法得出不同的解釋結(jié)論時，最終起決定作用的是目的論解釋，而不是有利于被告。當(dāng)出于法益保護(hù)的目的，需要對《刑法》條文作出必要的擴(kuò)大解釋時，即使不利于被告人，也適用這種解釋結(jié)論?！保?］《刑法》設(shè)定251條之一，就是為了有力規(guī)制侵害公民個人信息的行為，達(dá)到保護(hù)公民個人合法權(quán)益的目的。因此，我們在對“上述信息”進(jìn)行解釋時應(yīng)藉此目的，雖然解釋的結(jié)論可能會不利于行為人，但我們必須堅持。

因此，我們建議最高司法機關(guān)對“上述信息”解釋為“任何符合條件的公民個人信息”。只有作此解釋才能有效遏制非法獲取公民個人信息行為，有力打擊非法獲取公民個人信息犯罪，使非法獲取公民個人信息行為人消除所存的“只要不能證明信息來源就不能定罪處罰”的思想。

四、“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)［10］

《刑法》第253條之一規(guī)定，出售、非法提供、非法獲取公民個人信息的行為，只有達(dá)到“情節(jié)嚴(yán)重”的才構(gòu)成犯罪。說明并非所有侵犯公民個人信息權(quán)利的行為都構(gòu)成犯罪。只有行為的違法性與有責(zé)性達(dá)到值得科處刑罰的程度才以犯罪論處，這是《刑法》最后保障法之地位及《刑法》謙抑之本性的必然要求。本案中涉及信息犯罪的各被告人人獲利金額從幾百元到數(shù)萬元、涉案信息條數(shù)從幾條到數(shù)百條、提供、獲取信息次數(shù)從幾次到數(shù)十次不等，涉案個人信息遭到泄露的權(quán)利人個數(shù)差距幅度同樣巨大，對“情節(jié)嚴(yán)重”如何把握，成為擺在司法辦案人員面前的一大難題。

來自立法機關(guān)的專家認(rèn)為，出售、非法提供公民個人信息罪中，“‘情節(jié)嚴(yán)重’，一般是指出售公民個人信息獲利較大，出售或者非法提供多人信息、多次出售或者非法提供公民個人信息，以及公民個人信息被非法提供、出售給他人后，給公民造成了經(jīng)濟(jì)上的損失，或者嚴(yán)重影響到公民個人的正常生活，或者被用于進(jìn)行違法犯罪活動等情形?！保?1］此種籠統(tǒng)性的解讀方式不失全面，但有失精確，就本案而言，這樣的宏觀解讀對各行為人“情節(jié)嚴(yán)重”之確定難以起到切實的指導(dǎo)作用。有一種觀點提出，出售或者以其他方法非法提供或者竊取公民個人信息的人次達(dá)到的數(shù)目規(guī)模，以原國家經(jīng)貿(mào)委、國家計委等共同研究制訂的《中小企業(yè)標(biāo)準(zhǔn)暫行規(guī)定》中對中型企業(yè)要求的最低人數(shù)作為侵犯公民個人信息犯罪“情節(jié)嚴(yán)重”中的量的基礎(chǔ)依據(jù)，即以100人作為量的起點，獲利額以非法獲利5000元為犯罪起點。［12］對于這種觀點，筆者認(rèn)為不妥。中型企業(yè)的人數(shù)要求與遭侵犯個人信息人數(shù)要求不具有可比性，前者為中型企業(yè)的規(guī)模標(biāo)準(zhǔn)，后者為侵犯個人信息的入罪門檻，前者為向相關(guān)部門提供判斷基準(zhǔn)的行政法規(guī)規(guī)定，后者為對嚴(yán)重侵犯公民個人信息行為進(jìn)行定罪處罰的《刑法》律文，就侵犯公民個人信息而言，除了均對人的數(shù)量有所要求之外，二者之間的聯(lián)系無從談起，前者對后者難以達(dá)到向其提供借鑒、參考價值的程度。即使撇開可比程度的分析，采納100人的“情節(jié)嚴(yán)重”的量的標(biāo)準(zhǔn)，這對于互聯(lián)網(wǎng)上倒賣個人信息數(shù)量動輒以千、萬計、沒有具體侵害目標(biāo)的行為可能會起到一定規(guī)制作用，但對于像本案中行為人針對多個具體公民個體目標(biāo)進(jìn)行信息提供、獲取的行為就會因數(shù)量的“未達(dá)標(biāo)”而使許多行為人逍遙法外，難以實現(xiàn)本罪保護(hù)權(quán)利人個人信息權(quán)益的立法初衷。非法獲利5000元的犯罪起點標(biāo)準(zhǔn)同樣沒有合理的數(shù)據(jù)來源基礎(chǔ)。

在目前侵犯公民個人信息案件多發(fā)的背景下，最高司法機關(guān)應(yīng)當(dāng)出具明確性高、可操作性強的司法解釋，對“情節(jié)嚴(yán)重”中主觀判斷較少、能夠量化的方面最大程度地作出具體規(guī)定，以保證執(zhí)法機關(guān)適法的統(tǒng)一、準(zhǔn)確。對信息犯罪中“情節(jié)嚴(yán)重”的考量，信息數(shù)量、侵害人次、獲利金額、造成后果等因素均為重要的參考依據(jù)。我們可以從《刑法》的相關(guān)近似犯罪規(guī)定中尋找“情節(jié)嚴(yán)重”的參考標(biāo)準(zhǔn)?！缎谭ā返?53條第二款規(guī)定了犯私自開拆、隱匿、毀棄郵件、電報罪而竊取財物的，依照盜竊罪定罪從重處罰，說明兩罪之間在《刑法》意義的評價上具有聯(lián)系性，而出售、非法提供公民個人信息罪、非法獲取公民個人信息罪作為第253條之一規(guī)定于第253條之后，為保持《刑法》體系的協(xié)調(diào)、統(tǒng)一，對侵犯個人信息犯罪“情節(jié)嚴(yán)重”的標(biāo)準(zhǔn)可以參照盜竊罪進(jìn)行確定。即出售、非法提供、非法獲取三人次以上公民個人信息、出售、非法提供公民個人信息三條以上或者獲利金額在人民幣500元至2000元以上的，屬于“情節(jié)嚴(yán)重”。［13］同時，以“三”為多也契合我國《刑法》對“多”的通常定義標(biāo)準(zhǔn)，如最高人民法院司法解釋規(guī)定搶劫罪中“多次搶劫”是指搶劫3次以上，［14］最高人民法院、最高人民檢察院對組織、強迫賣淫罪中的“多人”、“多次”的“多”解釋為“3”以上的數(shù)（含本數(shù)）。［15］對于因利用信息犯罪主體提供、獲取的信息進(jìn)行故意犯罪而造成被害人“輕傷以上”后果的，屬于“情節(jié)嚴(yán)重”，以保證其與《刑法》中故意傷害罪規(guī)定的有效銜接。綜上分析，建議最高司法機關(guān)對《刑法》第253條之一規(guī)定中的“情節(jié)嚴(yán)重”作出如下解釋：

實施出售、非法提供公民個人信息的行為，具有下列情形之一的，屬于“情節(jié)嚴(yán)重”：

（一）一年內(nèi)出售、非法提供公民個人信息三條以上的，出售、非法提供三人以上公民個人信息的，或者因出售公民個人信息獲利人民幣500元至2000元以上的；

（二）行為人出售、非法提供的公民個人信息被他人用于實施故意犯罪造成被害人輕傷以上或者過失犯罪造成被害人重傷、死亡結(jié)果的；

（三）因他人利用行為人出售、非法提供的公民個人信息實施犯罪，可能對利用信息人判處三年以上有期徒刑的；

（四）因利用行為人出售、非法提供的公民個人信息，使被害人遭受重大的精神、財產(chǎn)損害，或者給被害人生活帶來嚴(yán)重影響的；

（五）致使公民個人信息流向境外的；

（六）其他情節(jié)嚴(yán)重的情形。

實施非法獲取公民個人信息的行為，具有下列情形之一的，屬于“情節(jié)嚴(yán)重”：

（一）一年內(nèi)非法獲取公民個人信息三條以上的，非法獲取三人以上公民個人信息的，或者因非法獲取公民個人信息獲利人民幣500元至2000元以上的；

（二）行為人非法獲取的公民個人信息被他人用于實施故意犯罪造成被害人輕傷以上或者過失犯罪造成被害人重傷、死亡結(jié)果的；

（三）因他人利用行為人非法獲取的公民個人信息實施犯罪，可能對利用信息人判處三年以上有期徒刑的；

（四）因利用行為人非法獲取的公民個人信息，使被害人遭受重大的精神、財產(chǎn)損害，或者給被害人生活帶來嚴(yán)重影響的；

（五）致使公民個人信息流向境外的；

（六）其他情節(jié)嚴(yán)重的情形。

五、本案處理結(jié)果

北京市第二中級人民法院以出售、非法提供公民個人信息罪、非法獲取公民個人信息罪對劉某波、謝某沖、王某等二十一人分別判處有期徒刑十個月到二年六個月。部分被告人提出上訴，北京市高級人民法院作出“駁回上訴、維持原判”的終審裁定。

注釋：

［1］參見周海洋：《出售、非法提供公民個人信息罪和非法獲取公民個人信息罪的理解與適用》，載《中國審判》2010年第1期。

［2］參見饒明黨：《侵犯公民個人信息犯罪的司法認(rèn)定》，載《河南警察學(xué)院學(xué)報》2011年第1期。

［3］參見張磊：《司法實踐中侵犯公民個人信息犯罪的疑難問題及其對策》，載《當(dāng)代法學(xué)》2011年第1期。

［4］同上。

［5］因出售、非法提供公民個人信息罪中有“將本單位在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”的明確規(guī)定，雖從保護(hù)本罪侵害法益的角度來講，此規(guī)定可能會造成對“將本單位在非履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息進(jìn)行出售、非法提供”之情形無法以本罪進(jìn)行處罰的結(jié)果，但為維護(hù)法律的權(quán)威與穩(wěn)定，在出售、非法提供公民個人信息罪犯罪對象的把握上應(yīng)當(dāng)嚴(yán)格遵守《刑法》第二百五十三條之一的規(guī)定，即將其犯罪對象限定為“本單位在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息”。

［6］參見孫平、劉靖晟：《刑法修正案（七）關(guān)于侵犯個人信息罪的理解與適用問題探討》，載趙秉志、陳忠林、齊文遠(yuǎn)主編：《新中國刑法60年巡禮——下卷：聚焦刑法修正案（七）》，中國人民公安大學(xué)出版社2009年版，第1268頁。

［7］參見門美子：《刑法修正案（七）第7條的理解與適用初探》，載趙秉志、陳忠林、齊文遠(yuǎn)主編：《新中國刑法》60年巡禮——下卷：聚焦《刑法修正案（七）》，中國人民公安大學(xué)出版社2009年版，第1375-1376頁。

［8］同注［3］。

［9］張明楷：《“存疑時有利于被告”原則的適用界限》，載《吉林大學(xué)社會科學(xué)學(xué)報》，2002年第1期。

［10］本案中雖然部分涉案人員成立了公司，但并未認(rèn)定任一公司構(gòu)成單位犯罪并提起公訴。鑒于單位犯罪在本案中不具有典型意義，本文僅就自然人侵犯個人信息犯罪“情節(jié)嚴(yán)重”的情形進(jìn)行分析論證。

［11］黃太云：《刑法修正案（七）解讀》，載《人民檢察》2009年第6期。

［12］參見賈凌、常秀嬌：《解讀侵犯公民個人信息罪》，載趙秉志、陳忠林、齊文遠(yuǎn)主編：《新中國刑法60年巡禮——下卷：聚焦刑法修正案（七）》，中國人民公安大學(xué)出版社2009年版，第1333-1334頁。

［13］雖然《刑法修正案（八）》規(guī)定盜竊罪構(gòu)成中的“入戶盜竊”、“扒竊”等情形不再需要次數(shù)要求，從而使最高人民法院《關(guān)于審理盜竊案件具體應(yīng)用法律若干問題的解釋》第四條即“對于1年內(nèi)入戶盜竊或者在公共場所扒竊3次以上的，應(yīng)當(dāng)認(rèn)定為‘多次盜竊’，以盜竊罪定罪處罰?！钡慕忉屖ァ缎谭ā窏l文基礎(chǔ)，但司法實踐中對“多次盜竊”的把握仍然遵循其三次的標(biāo)準(zhǔn)。

［14］最高人民法院《關(guān)于審理搶劫案件具體應(yīng)用法律若干問題的解釋》關(guān)于“多次搶劫”的認(rèn)定中規(guī)定，《刑法》第二百六十三條第（四）項中的“多次搶劫”是指搶劫3次以上。

［15］最高人民法院、最高人民檢察院《關(guān)于執(zhí)行〈全國人民代表大會常務(wù)委員會關(guān)于嚴(yán)禁賣淫嫖娼的決定〉的若干問題的解答》，……“多人”、“多次”的“多”，是指“3”以上的數(shù)（含本數(shù)）。

*北京市人民檢察院第二分院［100078］