非法獲取公民個人信息罪的理解與適用以京城最大出售、非法提供、非法獲取公民個人信息案為視角

文◎郝家英

非法獲取公民個人信息罪的理解與適用以京城最大出售、非法提供、非法獲取公民個人信息案為視角

文◎郝家英*

［基本案情］2009年3月直至2009年12月案發，被告人劉某波、陳某鋼、程某郊，張某英、劉某亮、王某等人在互聯網上或者在現實生活中，通過QQ聊天、發送電子郵件、撥打電話、發送短信等方式，以個人或公司名義分別或者伙同從聯通公司、電信公司、移動公司工作人員張某、謝某沖、等人處購買或獲得手機、座機通話清單，手機、座機機主信息、戶籍信息、汽車檔案、手機定位信息等多種類的公民個人信息。

張某、謝某沖等中國移動、聯通、電信公司工作人員與上述四家社會調查機構及社會無業人員，相互串通，利用電信單位服務平臺，違反國家規定及單位保密規定，將本單位在履行職責或者提供服務過程中獲得的公民個人信息進行買賣或者非法提供給他人。劉某波、程某郊、張某英、劉某亮等人從中國移動、聯通、電信等公司工作人員處非法獲取公民個人信息，或出售、非法提供給他人、或相互進行倒賣，或用于自用，從中謀取非法利益。

一、問題提出

對《刑法》253條之一中“公民個人信息”的含義，存在“公民個人信息是指能夠識別公民個人身份的信息”與“公民個人信息是指與公民個人相關的一切信息的總和”的兩種理解。筆者同意后一種觀點。

對《刑法》253條之一第二款中“上述信息”的理解，有三種觀點。第一種觀點認為，“上述信息”指示的是上文提到的信息，即“國家機關或者金融、電信、交通、教育、醫療等單位的工作人員……在履行職責或者提供服務過程中獲得的公民個人信息”；第二種觀點認為，“上述信息”是指“履行職責或者提供服務過程中獲得的公民個人信息”；第三種觀點認為，上述信息是指任何符合條件的“公民個人信息”。筆者同意第三種觀點。

對《刑法》253條之一中“情節嚴重”的標準把握上，一種觀點認為，以100人作為量的起點，獲利額以非法獲利5000元為犯罪起點；第二種觀點認為，一年內出售、非法提供、非法獲取公民個人信息三條以上或者因出售、非法獲取公民個人信息獲利人民幣500元至2000元以上的，即為情節嚴重。筆者同意第二種觀點。

二、“公民個人信息”含義的理解、厘定

《刑法修正案（七）》對出售、非法提供、非法獲取公民個人信息的行為規定為犯罪，但對于什么是公民個人信息并沒有進行定義。而作為本條規定之犯罪的犯罪對象——公民個人信息定義的缺失，給罪與非罪、罪輕罪重的司法認定帶來障礙。如在本案中，被告人謝某沖在擔任北京京馳無限通信技術有限公司運維部經理期間，利用中國移動通信集團北京有限公司授予其所在公司進行手機定位業務的權限，先后多次為本案被告人劉某亮、程某郊、張某英等人提供的90余個手機號碼進行定位，以為其提供被定位手機使用人的活動軌跡，非法獲利人民幣達9萬元。如果對謝某沖提供手機定位服務的行為能否定罪存有疑問，那么從謝某沖處獲取手機定位信息的張某英、劉某亮、程某郊等人是否構罪、罪輕罪重則也難以確定。

一般認為，公民個人信息是指能夠識別公民個人身份的信息，主要包括：姓名、年齡、性別、身份證號碼、職業、職務、學歷、民族情況、婚姻狀況、專業資格及特長、工作經歷、家庭背景及住址、電話號碼、信用卡號碼、教育、醫療、經濟活動等的記錄，指紋、網上登陸帳號和密碼等。［1］這種只強調身份性與可識別性的公民個人信息定義，似乎難以將公民個人活動軌跡情況納入到公民個人信息的范疇之內。但公民個人活動軌跡情況的泄漏，相較于上述所列信息而言，對公民生命、健康、財產安全的威脅可能更大，因為想要獲取上述信息的行為人往往早有預謀，行為對象明確，行為目標確定，一旦獲知被定位人的所在位置，就會使被定位人處于急迫的危險當中。因此，為充分有效的保護公民個人權益，在公民個人信息范圍的把握上應當將公民個人不愿公開或不愿讓他人知悉的與公共利益無關的個人隱私完全包含于其中，即應當從“公民個人信息是指與公民個人相關的一切信息的總和”的廣義上理解公民個人信息的含義。［2］但對公民個人信息的保護并非沒有限度，因為并不是任何個人信息公布以后都會對公民權益造成損害，且信息的擴散對于不同公民的意義是不同的，對于某些人來講對其個人信息的泄漏可能是其所希望的（如當下許多公民在網絡上通過各種手段將自己炒作成名人等）。［3］因此，建議司法解釋對個人信息進行定義時注重把握以下原則：主觀上，本人不希望擴散該信息；客觀上，該信息具有保護價值，一旦擴散，將可能對公民權利造成損害。［4］據此，可對公民個人信息作如下定義：公民個人信息，是指公民本人不愿公開、擴散，如果公開、擴散可能為他人利用從而會造成嚴重干擾個人生活、社會秩序后果的、反映公民個人年齡、性別、學歷、婚姻狀況、活動情況等身份、隱私情況的信息總和。

三、非法獲取公民個人信息罪犯罪對象的確定［5］

《刑法》第253條之一第二款規定的非法獲取公民個人信息罪中的“上述信息”顯然指前款規定中的信息，但由于對前款中“信息”前面的定語修飾范圍理解不同，從而導致對“上述信息”有三種理解。第一種觀點認為，“上述信息”指示的是上文提到的信息，即“國家機關或者金融、電信、交通、教育、醫療等單位的工作人員……在履行職責或者提供服務過程中獲得的公民個人信息”，而不可能為泛指“公民個人信息”，否則沒有必要用“上述信息”幾個字，而可以直接用“公民個人信息”。［6］第二種觀點認為，“上述信息”是指“履行職責或者提供服務過程中獲得的公民個人信息”，作此理解才符合立法用語省略表達以求簡潔的本意，也是貫徹有利于行為人方案進行的解釋；［7］第三種觀點認為，上述信息是指任何符合條件的“公民個人信息”，理由在于：應當從保護個人權益的立法目的出發，如果對于實踐中大量的非利用公權力獲取他人信息的行為不加以規制，將難以有效保護公民權益，而且，實踐中司法機關也是這樣把握的。［8］

對于“上述信息”的理解，如果條僅從文字規定的角度來講，所列三種解釋都說的通。但如若按照上述前兩種觀點進行解釋的話，則本案中劉某波、陳某鋼等人所獲取的大量公民個人信息中的相當一部分不能作為指控其犯非法獲取公民個人信息罪的事實，因為從上述被告人處起獲的信息本身無法證明信息來源，而相應的可能泄漏公民個人信息的通信等部門又不出具信息出處為本部門的證明，最終將導致不能證明被告人所獲信息為“國家機關或者金融、電信等單位的工作人員在履行職責或者提供服務過程中獲得的公民個人信息”或“單位的工作人員在履行職責或者提供服務過程中獲得的公民個人信息”。而理解的不同將造成被告人罪與非罪、罪輕罪重的相異處理結果，因此，需要司法解釋對“上述信息”的理解作出統一的適用規定。

上述前兩種觀點對“上述信息”的理解都包含了“單位的工作人員在履行職責或者提供服務過程中獲得的公民個人信息”，這種理解不當的縮小了非法獲取公民個人信息罪的處罰范圍。如某調查公司為提高自己的知名度而計劃完成對某個社會熱點問題的調查報告，于是對廣大公眾進行相關的調研問卷調查，其承諾一定嚴格保守所獲取公民個人信息，但供職于該調查公司的某位員工因利益驅使、人情誘惑等原因而將公司獲取的上述公民個人信息出售、非法提供給了他人，此種情況如依照前兩種解釋，非法獲取該公司持有的公民個人信息的行為人不構成非法獲取公民個人信息罪，因為調查公司對上述公民個人信息的獲取并不是發生于履行職責或者提供服務過程當中。但此種行為人從調查公司獲取公民個人信息與從相關單位在履行職責或者提供服務過程中獲取公民個人信息的行為對被調查人個人權利的侵害程度沒有區別。同時，上述理解還會造成體系不協調，有違公平原則。我們仍以上述調查公司為例，調查公司將在調研問卷中收集到的公民個人信息存儲于公司的電腦里，如果某位電腦操作高手侵入存有公民個人信息的電腦并成功獲得上述個人信息，按照《刑法》第285條第2款之規定，侵入計算機系統并獲得公民個人信息的行為人構成非法獲取計算機信息系統數據罪。但如果該行為人不是通過侵入計算機而是通過竊取、購買等其他方式從調查公司員工那里獲得存儲在調查公司電腦里的信息的話，按照前文的第一、二種觀點，則行為人不構成犯罪。但兩種獲取公民個人信息的行為只是手段不同，危害結果無異，但卻存在著罪與非罪的本質差異，顯然有違公平原則。再者，按照第三種觀點進行解釋不違背“存疑時有利于被告的原則”。“‘存疑時有利于被告’的原則并不適用于對法律疑問之澄清。當各種解釋法方法得出不同的解釋結論時，最終起決定作用的是目的論解釋，而不是有利于被告。當出于法益保護的目的，需要對《刑法》條文作出必要的擴大解釋時，即使不利于被告人，也適用這種解釋結論。”［9］《刑法》設定251條之一，就是為了有力規制侵害公民個人信息的行為，達到保護公民個人合法權益的目的。因此，我們在對“上述信息”進行解釋時應藉此目的，雖然解釋的結論可能會不利于行為人，但我們必須堅持。

因此，我們建議最高司法機關對“上述信息”解釋為“任何符合條件的公民個人信息”。只有作此解釋才能有效遏制非法獲取公民個人信息行為，有力打擊非法獲取公民個人信息犯罪，使非法獲取公民個人信息行為人消除所存的“只要不能證明信息來源就不能定罪處罰”的思想。

四、“情節嚴重”的認定標準［10］

《刑法》第253條之一規定，出售、非法提供、非法獲取公民個人信息的行為，只有達到“情節嚴重”的才構成犯罪。說明并非所有侵犯公民個人信息權利的行為都構成犯罪。只有行為的違法性與有責性達到值得科處刑罰的程度才以犯罪論處，這是《刑法》最后保障法之地位及《刑法》謙抑之本性的必然要求。本案中涉及信息犯罪的各被告人人獲利金額從幾百元到數萬元、涉案信息條數從幾條到數百條、提供、獲取信息次數從幾次到數十次不等，涉案個人信息遭到泄露的權利人個數差距幅度同樣巨大，對“情節嚴重”如何把握，成為擺在司法辦案人員面前的一大難題。

來自立法機關的專家認為，出售、非法提供公民個人信息罪中，“‘情節嚴重’，一般是指出售公民個人信息獲利較大，出售或者非法提供多人信息、多次出售或者非法提供公民個人信息，以及公民個人信息被非法提供、出售給他人后，給公民造成了經濟上的損失，或者嚴重影響到公民個人的正常生活，或者被用于進行違法犯罪活動等情形。”［11］此種籠統性的解讀方式不失全面，但有失精確，就本案而言，這樣的宏觀解讀對各行為人“情節嚴重”之確定難以起到切實的指導作用。有一種觀點提出，出售或者以其他方法非法提供或者竊取公民個人信息的人次達到的數目規模，以原國家經貿委、國家計委等共同研究制訂的《中小企業標準暫行規定》中對中型企業要求的最低人數作為侵犯公民個人信息犯罪“情節嚴重”中的量的基礎依據，即以100人作為量的起點，獲利額以非法獲利5000元為犯罪起點。［12］對于這種觀點，筆者認為不妥。中型企業的人數要求與遭侵犯個人信息人數要求不具有可比性，前者為中型企業的規模標準，后者為侵犯個人信息的入罪門檻，前者為向相關部門提供判斷基準的行政法規規定，后者為對嚴重侵犯公民個人信息行為進行定罪處罰的《刑法》律文，就侵犯公民個人信息而言，除了均對人的數量有所要求之外，二者之間的聯系無從談起，前者對后者難以達到向其提供借鑒、參考價值的程度。即使撇開可比程度的分析，采納100人的“情節嚴重”的量的標準，這對于互聯網上倒賣個人信息數量動輒以千、萬計、沒有具體侵害目標的行為可能會起到一定規制作用，但對于像本案中行為人針對多個具體公民個體目標進行信息提供、獲取的行為就會因數量的“未達標”而使許多行為人逍遙法外，難以實現本罪保護權利人個人信息權益的立法初衷。非法獲利5000元的犯罪起點標準同樣沒有合理的數據來源基礎。

在目前侵犯公民個人信息案件多發的背景下，最高司法機關應當出具明確性高、可操作性強的司法解釋，對“情節嚴重”中主觀判斷較少、能夠量化的方面最大程度地作出具體規定，以保證執法機關適法的統一、準確。對信息犯罪中“情節嚴重”的考量，信息數量、侵害人次、獲利金額、造成后果等因素均為重要的參考依據。我們可以從《刑法》的相關近似犯罪規定中尋找“情節嚴重”的參考標準。《刑法》第253條第二款規定了犯私自開拆、隱匿、毀棄郵件、電報罪而竊取財物的，依照盜竊罪定罪從重處罰，說明兩罪之間在《刑法》意義的評價上具有聯系性，而出售、非法提供公民個人信息罪、非法獲取公民個人信息罪作為第253條之一規定于第253條之后，為保持《刑法》體系的協調、統一，對侵犯個人信息犯罪“情節嚴重”的標準可以參照盜竊罪進行確定。即出售、非法提供、非法獲取三人次以上公民個人信息、出售、非法提供公民個人信息三條以上或者獲利金額在人民幣500元至2000元以上的，屬于“情節嚴重”。［13］同時，以“三”為多也契合我國《刑法》對“多”的通常定義標準，如最高人民法院司法解釋規定搶劫罪中“多次搶劫”是指搶劫3次以上，［14］最高人民法院、最高人民檢察院對組織、強迫賣淫罪中的“多人”、“多次”的“多”解釋為“3”以上的數（含本數）。［15］對于因利用信息犯罪主體提供、獲取的信息進行故意犯罪而造成被害人“輕傷以上”后果的，屬于“情節嚴重”，以保證其與《刑法》中故意傷害罪規定的有效銜接。綜上分析，建議最高司法機關對《刑法》第253條之一規定中的“情節嚴重”作出如下解釋：

實施出售、非法提供公民個人信息的行為，具有下列情形之一的，屬于“情節嚴重”：

（一）一年內出售、非法提供公民個人信息三條以上的，出售、非法提供三人以上公民個人信息的，或者因出售公民個人信息獲利人民幣500元至2000元以上的；

（二）行為人出售、非法提供的公民個人信息被他人用于實施故意犯罪造成被害人輕傷以上或者過失犯罪造成被害人重傷、死亡結果的；

（三）因他人利用行為人出售、非法提供的公民個人信息實施犯罪，可能對利用信息人判處三年以上有期徒刑的；

（四）因利用行為人出售、非法提供的公民個人信息，使被害人遭受重大的精神、財產損害，或者給被害人生活帶來嚴重影響的；

（五）致使公民個人信息流向境外的；

（六）其他情節嚴重的情形。

實施非法獲取公民個人信息的行為，具有下列情形之一的，屬于“情節嚴重”：

（一）一年內非法獲取公民個人信息三條以上的，非法獲取三人以上公民個人信息的，或者因非法獲取公民個人信息獲利人民幣500元至2000元以上的；

（二）行為人非法獲取的公民個人信息被他人用于實施故意犯罪造成被害人輕傷以上或者過失犯罪造成被害人重傷、死亡結果的；

（三）因他人利用行為人非法獲取的公民個人信息實施犯罪，可能對利用信息人判處三年以上有期徒刑的；

（四）因利用行為人非法獲取的公民個人信息，使被害人遭受重大的精神、財產損害，或者給被害人生活帶來嚴重影響的；

（五）致使公民個人信息流向境外的；

（六）其他情節嚴重的情形。

五、本案處理結果

北京市第二中級人民法院以出售、非法提供公民個人信息罪、非法獲取公民個人信息罪對劉某波、謝某沖、王某等二十一人分別判處有期徒刑十個月到二年六個月。部分被告人提出上訴，北京市高級人民法院作出“駁回上訴、維持原判”的終審裁定。

注釋：

［1］參見周海洋：《出售、非法提供公民個人信息罪和非法獲取公民個人信息罪的理解與適用》，載《中國審判》2010年第1期。

［2］參見饒明黨：《侵犯公民個人信息犯罪的司法認定》，載《河南警察學院學報》2011年第1期。

［3］參見張磊：《司法實踐中侵犯公民個人信息犯罪的疑難問題及其對策》，載《當代法學》2011年第1期。

［4］同上。

［5］因出售、非法提供公民個人信息罪中有“將本單位在履行職責或者提供服務過程中獲得的公民個人信息”的明確規定，雖從保護本罪侵害法益的角度來講，此規定可能會造成對“將本單位在非履行職責或者提供服務過程中獲得的公民個人信息進行出售、非法提供”之情形無法以本罪進行處罰的結果，但為維護法律的權威與穩定，在出售、非法提供公民個人信息罪犯罪對象的把握上應當嚴格遵守《刑法》第二百五十三條之一的規定，即將其犯罪對象限定為“本單位在履行職責或者提供服務過程中獲得的公民個人信息”。

［6］參見孫平、劉靖晟：《刑法修正案（七）關于侵犯個人信息罪的理解與適用問題探討》，載趙秉志、陳忠林、齊文遠主編：《新中國刑法60年巡禮——下卷：聚焦刑法修正案（七）》，中國人民公安大學出版社2009年版，第1268頁。

［7］參見門美子：《刑法修正案（七）第7條的理解與適用初探》，載趙秉志、陳忠林、齊文遠主編：《新中國刑法》60年巡禮——下卷：聚焦《刑法修正案（七）》，中國人民公安大學出版社2009年版，第1375-1376頁。

［8］同注［3］。

［9］張明楷：《“存疑時有利于被告”原則的適用界限》，載《吉林大學社會科學學報》，2002年第1期。

［10］本案中雖然部分涉案人員成立了公司，但并未認定任一公司構成單位犯罪并提起公訴。鑒于單位犯罪在本案中不具有典型意義，本文僅就自然人侵犯個人信息犯罪“情節嚴重”的情形進行分析論證。

［11］黃太云：《刑法修正案（七）解讀》，載《人民檢察》2009年第6期。

［12］參見賈凌、常秀嬌：《解讀侵犯公民個人信息罪》，載趙秉志、陳忠林、齊文遠主編：《新中國刑法60年巡禮——下卷：聚焦刑法修正案（七）》，中國人民公安大學出版社2009年版，第1333-1334頁。

［13］雖然《刑法修正案（八）》規定盜竊罪構成中的“入戶盜竊”、“扒竊”等情形不再需要次數要求，從而使最高人民法院《關于審理盜竊案件具體應用法律若干問題的解釋》第四條即“對于1年內入戶盜竊或者在公共場所扒竊3次以上的，應當認定為‘多次盜竊’，以盜竊罪定罪處罰。”的解釋失去《刑法》條文基礎，但司法實踐中對“多次盜竊”的把握仍然遵循其三次的標準。

［14］最高人民法院《關于審理搶劫案件具體應用法律若干問題的解釋》關于“多次搶劫”的認定中規定，《刑法》第二百六十三條第（四）項中的“多次搶劫”是指搶劫3次以上。

［15］最高人民法院、最高人民檢察院《關于執行〈全國人民代表大會常務委員會關于嚴禁賣淫嫖娼的決定〉的若干問題的解答》，……“多人”、“多次”的“多”，是指“3”以上的數（含本數）。

*北京市人民檢察院第二分院［100078］