侵犯公民個人信息犯罪實證研究

楊新京　葉萍　黃成

內(nèi)容摘要：本文以實證與理論研究的方法，對《刑法》第253條之一實施以來B市C區(qū)人民檢察院所辦理的侵犯公民個人信息犯罪案件為樣本，分析了這類案件的特點及趨勢，對司法實踐中存在的關(guān)于主體范圍、公民個人信息的范疇、行為模式認(rèn)定及情節(jié)嚴(yán)重的標(biāo)準(zhǔn)等方面進(jìn)行了分析，并提出了相應(yīng)的立法及司法建言。

關(guān)鍵詞：侵犯公民個人信息罪 非法獲取 情節(jié)嚴(yán)重

《刑法修正案（七）》增設(shè)《刑法》第253條之一，首次在我國《刑法》中規(guī)定了侵犯公民個人信息的犯罪。

一、2009-2013年B市C區(qū)辦理的侵犯公民個人信息犯罪案件的特點

據(jù)統(tǒng)計，2009-2013年B市C區(qū)人民檢察院受理侵犯公民個人信息犯罪案件20件41人。主要呈現(xiàn)出以下特點：

一是案件數(shù)及人數(shù)增長明顯。據(jù)統(tǒng)計，2012-2013年的案件量占到了五年案件量的90%，2013年的犯罪嫌疑人數(shù)是其余四年的總和，犯罪形勢更加復(fù)雜和嚴(yán)峻。

二是犯罪對象種類繁多并具有針對性。信息類型的比重從高到低依次集中于消費購物信息、車主信息、業(yè)主信息、通訊信息、企業(yè)及高管信息、戶籍信息、老年及病患人群信息等方面，且大多數(shù)案件經(jīng)犯罪人的分類整合后，信息更加具有針對性。

三是犯罪目的主要是為廣告推銷及出售牟利。涉案信息中，公民的消費購物信息比重最大，其次是車主信息、業(yè)主信息、老人及患病信息等。一些公司、企業(yè)及個體經(jīng)營者通過非法渠道購買以上信息，再通過電話、短信、上門等方式向目標(biāo)客戶推銷保健品、收藏品、紀(jì)念品、高仿奢侈品等產(chǎn)品或服務(wù)。部分不法分子通過購買上述信息用于實施詐騙、偽造證件等違法犯罪活動。

四是“偵探、討債”公司催生黑色產(chǎn)業(yè)鏈。數(shù)據(jù)顯示，該部分犯罪群體的人數(shù)占到了總?cè)藬?shù)的50%以上，成為侵犯公民個人信息犯罪的主力軍，其獲取信息的針對性更強(qiáng)，手段更專業(yè)，非法獲利更高，更容易形成侵犯公民個人信息的黑色產(chǎn)業(yè)鏈條，社會危害性更大。[1]

五是犯罪手段以互聯(lián)網(wǎng)交易為主，新型高科技犯罪手段逐步涌現(xiàn)。經(jīng)統(tǒng)計，約85%的案件為通過網(wǎng)絡(luò)非法獲取相應(yīng)的信息。其中，通過網(wǎng)絡(luò)直接傳遞數(shù)據(jù)的約占88%，通過U盤交付的約占12%。另外，通過高科技手段非法獲取公民個人信息的案件也逐漸顯現(xiàn)。如張某等10人通過研發(fā)“靜默插件”，在用戶不知情的情況下實現(xiàn)對手機(jī)的實際控制并獲取手機(jī)短信、通話、通訊錄、GPS定位等信息，僅三個月內(nèi)便獲取了十余萬部手機(jī)高達(dá)上千萬條通訊記錄。

二、司法實踐中法律適用的困惑與分析

（一）對犯罪主體的困惑與分析

《刑法》第253條第1款出售、非法提供公民個人信息罪的犯罪主體是“國家機(jī)關(guān)或者金融、交通、電信、醫(yī)療、教育等單位的工作人員”，該罪的主體究竟是一般主體還是特殊主體，法條規(guī)定的“國家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員”中的“等”字如何理解，即除了法條列舉的六類單位之外，是否還包括其他單位，其他單位的范圍是什么？

根據(jù)體系解釋及文義解釋，一般認(rèn)為，“等”應(yīng)當(dāng)包含其他單位。但對其他單位的范圍有不同理解：一種觀點認(rèn)為，不宜將公民個人信息的刑事保護(hù)范圍擴(kuò)大到?jīng)]有利用“公權(quán)力”采取的一切單位和個人。[2]據(jù)此，所未列舉的單位也應(yīng)當(dāng)屬于利用某種“公權(quán)力”采集公民個人信息的單位。另一種觀點認(rèn)為，沒有必要作此限制，凡是合法成立的單位均屬于法條規(guī)定的范圍。[3]

以上兩種觀點均有其合理性，但我們更傾向于后者。首先，對單位范圍作上述理解并未超出法條的文義范圍。法條本身也并未對單位的性質(zhì)或者特征作明確限制，更未提及獲取公民的信息必須是要基于“公權(quán)力”。其次，更有利于加強(qiáng)對公民個人信息的保護(hù)。不可否認(rèn)，“公權(quán)力”下的公民信息管理制度是本罪所保護(hù)的法益之一，但并非本罪保護(hù)的主要法益。根據(jù)體系解釋的方法，本罪被規(guī)定在侵犯公民人身權(quán)利、民主權(quán)利罪一章中，其保護(hù)的主要法益應(yīng)當(dāng)是公民個人的信息權(quán)利及信息安全。如果僅將本罪中的單位作僅限具有“公權(quán)力”的狹義理解，將會使對公民個人信息的保護(hù)存在真空地帶。邏輯上，對公民個人信息的侵犯，要么是合法占有者的非法利用（包括出售、非法提供），要么是非合法占有者的非法獲取及利用?！缎谭ā返?53條第2款所規(guī)制的正是后者，那么，為何同時還應(yīng)承擔(dān)保障信息安全義務(wù)的前者中，就僅具有“公權(quán)力”的才會被規(guī)制呢？實踐中，諸如物流快遞、房產(chǎn)銷售、汽車銷售、保險公司、旅游公司、物業(yè)公司、咨詢公司以及各種網(wǎng)站等等，信息泄露的情況不在少數(shù)。這些單位同樣不同程度地掌握著大量的公民個人信息，但相對于“公權(quán)力”下的單位，這些單位對所獲信息的保護(hù)意識和強(qiáng)度又明顯不足，反而更易被犯罪分子覬覦。若將這些單位排除在外，勢必不利于對公民信息安全的保護(hù)，有違立法初衷及目的。第三，其他國家的立法例中對侵害公民個人信息犯罪的主體也鮮有限制。[4]日前全國人大常委會發(fā)布《刑法修正案九（草案）》，其中第16條對《刑法》第253條之一作出修改，取消了原條文中的“國家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員”，修改后的條文適用于所有掌握公民個人信息資料的人，如果違反國家規(guī)定，將公民個人信息出售或者非法提供給他人，情節(jié)嚴(yán)重的，就將受到刑罰處罰。筆者認(rèn)為，草案解決了當(dāng)前司法機(jī)關(guān)在辦理侵犯公民個人信息犯罪方面存在的疑難問題，對于保護(hù)公民個人信息，懲治犯罪，具有重要意義。

（二）“公民個人信息”的適用困惑與分析

1.公民個人信息的界定。對此，較為有代表性的學(xué)說有關(guān)聯(lián)說、隱私說、識別說三種[5]。全國人大常委會于2012年12月28日通過的《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》（下文簡稱《決定》）第1條規(guī)定，“國家保護(hù)能夠識別公民個人身份和涉及公民個人隱私的電子信息?！笨梢娡瑫r采取了識別說與隱私說。筆者認(rèn)為，首先是能夠直接或間接識別特定公民個人身份的信息?！肮瘛睉?yīng)當(dāng)我國公民和他國公民;“個人”是指單個的自然人，不包括單位?！皞€人信息”是指能識別出特定人的直接識別和間接識別的消息。其次，包含涉及公民個人隱私的信息。筆者認(rèn)為，除法條所列舉的國家機(jī)關(guān)、金融、電信、醫(yī)療等單位涉及的公民個人的隱私信息外，實踐中大量存在的諸如消費記錄、定位信息、賓館入住、航班旅程等涉及個人秘密或隱私的信息，因與法條列舉的單位掌握的個人信息具有等價性，也應(yīng)納入個人信息的范圍。最后，應(yīng)當(dāng)排除依法公開或公民自愿在一定范圍內(nèi)公開的信息。例如，稅務(wù)、工商等行政部門和司法機(jī)關(guān)依法公示的信息應(yīng)視為公知信息。對于公民依約定公開以及公民單方自愿在一定范圍內(nèi)公開的信息，若相對人或者其他行為人超越既定范圍使用仍可構(gòu)成對公民個人信息的侵犯。

2.對“違反國家規(guī)定”的理解。由于《個人信息保護(hù)法》的缺位，加之《刑法》第96條對“國家規(guī)定”有著明確的解釋，實踐中確實會存在無法找到對應(yīng)“國家規(guī)定”的情況。《決定》為上述問題的解決及對侵犯公民個人信息犯罪的認(rèn)定提供了一定的依據(jù)和指引。但對于非網(wǎng)絡(luò)信息、電子信息的其他信息，根據(jù)罪刑法定原則，現(xiàn)階段不宜納入《刑法》第253條之一的規(guī)制范圍。

3.對“在履行職責(zé)或提供服務(wù)過程中獲得的公民個人信息”的理解。筆者認(rèn)為，至少包含兩個方面的限定：首先，是指信息獲取途徑的合法性。即要求履行職責(zé)或者提供服務(wù)于法有據(jù)，符合法律規(guī)定程序，且所獲取的信息在法律約束的范圍內(nèi)，否則該收集行為不具有合法性。其次，是指信息的獲取應(yīng)當(dāng)是在履職或服務(wù)的時間和場合內(nèi)，但對于該時間和場合應(yīng)當(dāng)作實質(zhì)意義上的理解。如田某某非法經(jīng)營案中，因田某某的公司通過欺騙手段非法獲取他人工作單位及地址信息以非法從事私人偵探業(yè)務(wù)，不符合出售公民個人信息罪犯罪對象的要求，最終法院認(rèn)定田某某成立非法經(jīng)營罪。

4.對非法獲取公民個人信息罪中“上述信息”的理解。如前所述，實踐中，非法獲取公民個人信息罪占絕大多數(shù)，且大多數(shù)案件中的信息源無法查明，其所獲取的信息很可能是二手甚至多手信息，無法認(rèn)定是否系“上述”單位在履行職責(zé)或者提供服務(wù)過程中獲得。若僅當(dāng)行為人非法獲取了前述單位合法取得的公民個人信息時才成立本罪，而當(dāng)行為人非法獲取了前述單位非法取得、其他單位合法取得、其他單位非法取得及非法單位（個人）非法取得的信息時均不構(gòu)成本罪，這樣的結(jié)論難以讓人接受。故筆者認(rèn)為，對此處“上述信息”的理解，應(yīng)當(dāng)基于立法目的，從法益保護(hù)的角度，作相對于第1款更寬泛的理解。即只要是《刑法》上的“公民個人信息”即可，來源是否合法不論?！缎谭ㄐ拚福ň牛┎莅浮分袑⒃摋l的“上述信息”直接規(guī)定為“公民個人信息”，顯然也與筆者觀點是相同的。

（三）對該罪客觀行為的認(rèn)定難點

1.“非法提供”的認(rèn)定。非法提供，是指符合主體要求的單位或工作人員，違反法律法規(guī)及規(guī)范性文件、行業(yè)規(guī)范等規(guī)定和要求，將單位在履行職責(zé)或者提供服務(wù)過程中合法獲得的公民個人信息無償提供給他人的行為。對“非法提供”與“出售”的區(qū)別，筆者認(rèn)為，并非僅在于是否獲得利益，而關(guān)鍵要看行為人提供信息時是否具有獲得利益的目的。能夠判斷其行為時具有該目的的（比如事前有約定的），自然構(gòu)成出售公民個人信息罪。對于無法判斷的，可以分情況討論：對于僅有一次行為，事前沒有約定，事后僅被動收受財物的，可以認(rèn)定為非法提供;但對于有兩次以上行為，雖事前也無約定，均事后才收受財物，但不應(yīng)再認(rèn)定為非法提供，而應(yīng)認(rèn)定為出售行為，因為當(dāng)行為人在獲得了利益之后再實施該行為并且再次收受了財物時，可以認(rèn)定行為時行為人已經(jīng)具有了對獲得相應(yīng)利益的信賴和期待，也即可以認(rèn)定其行為時具有獲得利益的目的。

2.“非法獲取”的認(rèn)定。依法條規(guī)定，“非法獲取”是指“竊取或者以其他方法非法獲取”。重點在于對“其他方法”的理解，這里應(yīng)當(dāng)是指與竊取的社會危害程度相當(dāng)?shù)姆椒?，例如騙取、脅迫、利誘、恐嚇、搶奪、購買等違反法律規(guī)定的獲取方式。但非法獲取與出售、非法提供并非是完全的對向關(guān)系，也即二罪并不屬于典型意義上的對向犯。即使能夠成立對向犯，也僅限于與第1款的規(guī)定所對應(yīng)的購買、收受的行為。實踐中易引起適用分歧的主要是“先買后賣”的行為認(rèn)定。因現(xiàn)行規(guī)定對于先買后賣中的出售行為未規(guī)定為犯罪，則不管行為人出售的目的產(chǎn)生于何時，在定罪上均僅構(gòu)成非法獲取公民個人信息罪一罪。但當(dāng)行為人不是以出售為目的，而是具有其他犯罪目的，又實施了其他犯罪行為時（如又利用信息實施詐騙等行為的），這種區(qū)分便具有了罪數(shù)認(rèn)定上的意義?！缎谭ㄐ拚妇牛ú莅福分行略鲆豢睢拔唇?jīng)公民本人同意，向他人出售或者非法提供其個人信息，情節(jié)嚴(yán)重的，處二年以下有期徒刑或者拘役，并處或者單處罰金。”在此情形下，先買后賣行為則可能出現(xiàn)牽連犯或者數(shù)罪可能性。如行為人購買信息時即具有出售的故意，則系手段行為與目的行為的牽連犯;如行為人購買信息時并不具有出售的目的，獲取之后才具有該故意的，則前后系兩個行為、兩個故意，構(gòu)成數(shù)罪。

（四）“情節(jié)嚴(yán)重”的認(rèn)定

法條明確規(guī)定“情節(jié)嚴(yán)重”的才構(gòu)成犯罪，但何為“情節(jié)嚴(yán)重”目前尚無據(jù)可依，實踐中可能因司法者對法條的不同理解導(dǎo)致量刑不均衡。對此，理論界提出了三要素說[6]、六要素[7]說等多種標(biāo)準(zhǔn)。但從本質(zhì)上看，均為單一標(biāo)準(zhǔn)，簡單、直觀、易于操作，具有一定的合理性，但也存在問題。其一，形式上僅能通過列舉的方式進(jìn)行，當(dāng)無法窮盡列舉或準(zhǔn)確概括時，難免存在疏漏;其二，僅對情節(jié)嚴(yán)重進(jìn)行扁平式的考量，缺乏考量的綜合性，難免放縱犯罪。因此，我們建議，對本罪“情節(jié)嚴(yán)重”的解釋應(yīng)當(dāng)以單一情節(jié)模式為基礎(chǔ)，同時采用對多個情節(jié)進(jìn)行加權(quán)考量的綜合模式。以上幾種觀點中所列舉的單一情節(jié)要素，基本上都包含了信息的數(shù)量、用途、行為次數(shù)、獲利情況及危害結(jié)果等，故筆者認(rèn)為可以單一標(biāo)準(zhǔn)中進(jìn)行列舉式規(guī)定。同時，再規(guī)定一條綜合標(biāo)準(zhǔn)，對雖不符合某單一情節(jié)標(biāo)準(zhǔn)但有兩項情節(jié)以上已接近單一情節(jié)標(biāo)準(zhǔn)的和雖不符合某一項單一情節(jié)標(biāo)準(zhǔn)但已接近該標(biāo)準(zhǔn)并具有其他規(guī)定情節(jié)的情形進(jìn)行規(guī)定。

值得說明的是，實踐中的具體案件情節(jié)嚴(yán)重的認(rèn)定，還有賴于司法裁量權(quán)的行使，應(yīng)當(dāng)由司法官按照一般人的標(biāo)準(zhǔn)，判斷行為人的行為是否已侵害或威脅了法益，是否達(dá)到了應(yīng)受刑罰處罰的程度。

三、立法及司法建言

（一）建議立法機(jī)關(guān)對《刑法》第253條之一作出修改

筆者支持日前公布的《刑法修正案九（草案）》對第253條之一的修改，將本罪特殊主體改為一般主體，以及對出售和非法提供公民個人信息行為的進(jìn)一步完善，即：“違反國家規(guī)定，將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金。”

“竊取或者以其他方法非法獲取公民個人信息，情節(jié)嚴(yán)重的，依照前款的規(guī)定處罰?！?/p>

“未經(jīng)公民本人同意，向他人出售或者非法提供其個人信息，情節(jié)嚴(yán)重的，處二年以下有期徒刑或者拘役，并處或者單處罰金?！?/p>

“單位犯前三款罪的，對單位判處罰金，并對其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照各該款的規(guī)定處罰?！盵8]

（二）建議“兩高”對辦理侵犯公民個人信息犯罪作出相關(guān)司法解釋

1.對“公民個人信息”的概念和范圍作出釋義。建議：“公民個人信息是指能夠識別公民個人身份和涉及公民個人隱私的信息，包括姓名、性別、年齡、住址、身份證號碼、電話號碼等密切與公民個人身份相關(guān)的信息和就診信息、銀行信息、消費記錄、定位信息、賓館入住、航班旅程等涉及個人秘密或隱私的信息?！?/p>

2.對“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)作出規(guī)定。建議：“具有下列情形之一的，認(rèn)定為《刑法》第253條之一規(guī)定的‘情節(jié)嚴(yán)重：（1）供他人或本人用于進(jìn)行非法活動的;（2）出售、非法提供、非法獲取公民個人信息1000條以上[9];（3）多次出售、非法提供、非法獲取公民個人信息或曾因出售、非法提供、非法獲取公民個人信息受過二次行政處罰又實施的;（4）違法所得較大的;（5）造成嚴(yán)重后果的[10];（6）非法獲取公民個人信息手段惡劣的[11]。

具有下列情形之一的，可視為符合《刑法》第253條之一規(guī)定的‘情節(jié)嚴(yán)重：（1）出售、非法提供、非法獲取公民個人信息，雖未達(dá)到前款數(shù)量、金額要求，但數(shù)量、金額已分別達(dá)到上述標(biāo)準(zhǔn)80%以上的;（2）出售、非法提供、非法獲取公民個人信息，具有下列情節(jié)之一的，信息數(shù)量、違法所得金額超過前款規(guī)定的50%以上的：A.曾因出售、非法提供、非法獲取公民個人信息受過刑事處罰的;B.一年內(nèi)曾因出售、非法提供、非法獲取公民個人信息受過行政處罰的?！?/p>

注釋：

[1]數(shù)據(jù)顯示，2009-2013年間，C區(qū)人民檢察院共辦理此類非法經(jīng)營案件33件108人。

[2]參見黃太云：《刑法修正案（七）解讀》，載《人民檢察》2009年第6期。

[3]參見王昭武、肖凱：《侵犯公民個人信息犯罪認(rèn)定中的若干問題》，載《法學(xué)》2009年第12期。

[4]參見劉憲權(quán)、方晉華：《個人信息權(quán)刑法保護(hù)的立法及完善》，載《華東政法大學(xué)學(xué)報》2009年第3期。

[5]參見齊愛民著：《中國信息立法研究》，武漢大學(xué)出版社2009年版，第76頁-77頁。

[6]參閱王昭武、肖凱：《侵犯公民個人信息犯罪認(rèn)定中的若干問題》，載《法學(xué)》2009年第12期。

[7]參閱劉憲權(quán)、方晉曄：《個人信息權(quán)刑法保護(hù)的立法及完善》，載《華東政法大學(xué)學(xué)報》2009年第3期。

[8]《2014刑法修正案九最新消息：刑法修正案九草案》，引自找法網(wǎng)：http：//china.findlaw.cn/bianhu/xingshidongtai/1160492_6.html#p6，訪問日期2014年10月18日。

[9]參照2011年9月1日施行的《最高人民法院、最高人民檢察院關(guān)于辦理危害計算機(jī)信息系統(tǒng)安全刑事案件應(yīng)用法律若干問題的解釋》第1條對非法獲取計算機(jī)信息系統(tǒng)數(shù)據(jù)罪或者非法控制計算機(jī)信息系統(tǒng)罪的“情節(jié)嚴(yán)重”的解釋，結(jié)合本罪的司法實踐，筆者認(rèn)為，限定在1000條以上較為合適。

[10]可以從以下幾個方面考量：一是嚴(yán)重影響他人的工作、生活、生產(chǎn)、經(jīng)營的;二是造成較大經(jīng)濟(jì)損失的;三是引起他人精神失常、自殺的。對于經(jīng)濟(jì)損失，結(jié)合前述關(guān)于非法獲取計算機(jī)信息系統(tǒng)數(shù)據(jù)罪的解釋及司法實踐，可以考慮以人民幣10000元為起點。

[11]可以從以下幾個方面考量：一是以暴力、脅迫等方式非法獲取的;二是通過行賄的方式非法獲取的;三是通過非法侵入計算機(jī)信息系統(tǒng)的手段非法獲取的。