網絡購物用戶個人信息刑事保護的若干思考
——兼評《刑法修正案（九）》相關規定

□李穎

（上海市閔行區人民檢察院，上海 201100）

網絡購物用戶個人信息刑事保護的若干思考
——兼評《刑法修正案（九）》相關規定

□李穎

（上海市閔行區人民檢察院，上海 201100）

我國網絡購物用戶近年來不斷增長，網購環節所產生的大量用戶個人信息一旦受到侵犯，將極大損害網購用戶利益，并為下游網絡犯罪提供便利條件，因此要加強對網購群體個人信息的刑事保護。與《刑法修正案（七）》相比，《刑法修正案（九）》修訂了侵犯公民信息罪及其他涉及網絡犯罪的相關條文，有效提高了刑法對于個人信息的保護力度。與此同時，應當及時出臺相應司法解釋和前置配套法規，進一步完善網購用戶個人信息法律保護體系。

個人信息；網絡購物；刑法修正案（九）；刑事保護

隨著現代信息技術的不斷創新發展，以移動互聯網、云計算、物聯網、大數據等新興技術為代表的“互聯網+”時代正給我們的生活方式帶來深刻變革，越來越多的人開始利用網絡為其生活服務。網絡購物這種新興的消費購物模式，正以其價格成本低、購買途徑廣、商品多樣化以及上門送貨便利性等特點被越來越多消費者所接受。然而，網購在使人們享受豐富的商品選項與便捷的服務的同時，卻不可避免地帶來個人信息安全問題。網購消費者個人信息量大且詳細，具有一定的商品化價值，容易被收集、利用，甚至造成下游犯罪，導致網購用戶的個人利益受到損害。因此，加強對網購消費者個人信息的刑事保護，對于有效遏制網購消費者個人信息泄露、打擊網絡犯罪具有重要意義。

一、加強網絡購物用戶個人信息刑事保護的必要性

（一）網購環境中的個人信息數量大且種類多樣化。據統計，我國網購市場交易規模和用戶規模都呈現出逐年快速增長的趨勢。我國網民總數已達6.8億，僅淘寶（天貓）活躍用戶就達到了3.86億，網絡購物占社會消費品零售總額比重超過了10%。①2015年中國網絡購物市場交易規模已達到25510億元，增長率達到26.8%；②2015年我國網絡購物的用戶規模達到36300萬人，占PC網民規模的58.2%，相比2014年增加了4900萬人，增幅達到15.6%。③

在網購環境下的公民個人信息不僅數量巨大而且種類多樣，除個人的基本信息外，還有在網購過程中進行個人網絡活動的信息（見下圖）。

網購環境中公民個人信息種類

其中，個人基本信息包括在實現網購交易的整個過程中涉及到的注冊登錄、下單支付、物流配送等環節所提供的特定信息，如個人的姓名、性別、地址、聯系電話、電子郵箱等，部分注冊信息還會涉及職業、收入、單位、學歷等能夠識別特定個人的信息，以及在網上支付過程中涉及的銀行卡、電子消費卡、第三方支付平臺交易賬號、密碼等個人財產信息。④個人網絡活動信息則包括瀏覽相關網頁的記錄、選擇商家和商品的搜索項與篩選項。這種網絡活動信息可以直接反映出該用戶的網頁瀏覽情況等，商家則可以根據用戶瀏覽的商品與停留在相關網頁的時間長短，分析出其消費習慣及其興趣愛好。在大數據時代，這些網購中產生的個人信息足以反映用戶社交與生活的全貌，足以創造巨大的經濟利益，從而也形成了個人信息的“收集——加工——銷售”非法商品化買賣產業鏈。

（二）網購用戶個人信息泄露途徑多樣化。由于在網絡購物環境下消費者需在多個環節填寫、輸入其個人信息，在這一過程中，相關購物網站、商家客服、支付平臺、物流快遞公司以及網絡運營商的相關人員有許多途徑接觸到這些個人信息，再加之我國網購消費者對于個人信息保護意識較為淡薄，導致網購中的個人信息泄露難以防范。個人信息泄露途徑有以下幾種：其一是網購平臺管理者和網店經營者為獲取非法利益而將消費者個人基本信息進行非法買賣而造成個人信息泄露；其二是網購平臺經營者對于消費者在網購過程中留下的個人網絡活動信息（數據），未經其許可進行數據分析并交付相關買家開發利用于強制推銷等牟利行為；其三是物流環節造成的信息泄露，包括物流信息持有者的主動泄露，如快遞公司工作人員將物流單信息非法出售、快遞公司與部分商家合作分享客戶資料等，也包括網購消費者個人的無意泄露，如拿到商品后直接將物流單完整丟棄，造成個人信息被某些不法分子收集利用；其四是網絡黑客等網絡犯罪分子利用計算機系統漏洞和木馬病毒等竊取網購消費者資料，通過掃描、分析網購平臺的系統和網絡漏洞，以諸如復制、竊聽、冒充、篡改和攻擊等方式侵犯用戶的合法權益和隱私，或通過釣魚網站、木馬病毒等對網購用戶的支付賬號、支付密碼等進行竊取，極大威脅用戶財產安全。⑤

（三）網購用戶個人信息泄露為下游犯罪提供便利條件。公民個人信息關乎公民基本權利和個人隱私，而網絡購物環境下涉及到的消費者個人信息更是具有極大的財產化利用價值，一旦受不法分子侵害將對用戶的人身、財產安全、個人隱私以及正常的工作、生活構成威脅。當前，竊取網絡賬戶或非法獲取個人信息盜刷銀行卡等盜竊財產類犯罪在實踐中屢見不鮮。犯罪分子在網絡上獲取被害者個人信息并實施犯罪，往往具有跨地區范圍大、涉案對象廣、追查難度大等特點，給被害人造成重大的經濟損失。此外，隨著網購消費者個人信息被非法買賣或泄露，各種通過電話或網絡實施詐騙的案件也層出不窮。由于犯罪分子事先掌握了大量被害者信息，使得其所虛構的欺詐事實更具迷惑性，大大增加了受害者被欺騙的可能性，也給司法機關預防遏制此類犯罪增加了難度。⑥

二、我國刑事法律對于網購公民個人信息保護規定的發展路徑

（一）《刑法修正案（七）》對網購公民個人信息保護分析。刑法作為最強的法律約束力，對公民信息保護有著至關重要的作用。我國對于個人信息的刑事保護起步較晚，在我國1979年《刑法》和1997年《刑法》中，并未對涉及侵犯公民個人信息的行為設置專門的條款。1997年《刑法》第二百五十二條的侵犯通信自由罪，第二百五十三條的私自開拆、隱匿、毀棄郵件、電報罪，也只是通過保護公民通信自由間接實現保護公民個人信息的效果。2009年頒布的《刑法修正案（七）》中，第二百五十三條之一增加規定了出售、非法提供公民個人信息罪以及非法竊取公民個人信息罪，我國刑法才首次嘗試以刑事保護的方式設立專門的侵犯公民個人信息罪名。然而，這兩項罪名在條文表述上對于諸多定義并不明晰，相關司法解釋也遲遲未能出臺，導致學術界與實務界對于這類罪名的具體適用存在諸多爭議，影響了對網購環境下公民個人信息的刑事保護效果。

1.對“個人信息”定義和犯罪主體范圍限定過窄。《刑法修正案（七）》增加的《刑法》第二百五十三條之一第二款將竊取或非法獲取的對象表述為“上述信息”，從文義解釋上看，“上述信息”指的應當是第一款出售、非法提供公民個人信息罪中，國家機關或者金融、電信、交通、教育、醫療等單位的工作人員違反國家規定，出售或非法提供給他人的本單位在履行職責或者提供服務過程中獲得的公民個人信息。這就意味著只有國家機關或者金融、電信、交通、教育、醫療等單位的工作人員這類特殊主體實施的竊取或者非法獲取公民個人信息行為才能受到刑法制裁，而對于一般主體違背公民個人意愿，出售、非法提供其個人信息的，難以依法懲處。⑦然而在網絡購物環境中，許多用戶的個人信息被竊取或非法利用，并不是由上述特殊主體實施，更多的反而是網絡平臺服務商、電腦黑客等一般主體實施。據中國消費者協會“2014年網民個人信息保護狀況調查”的結果顯示，約三分之二的受訪者在過去一年個人信息曾被泄露與竊取，超過一半的消費者認為網絡平臺服務商是造成個人信息泄露的主要原因。⑧倒賣個人信息正是網絡犯罪的上游環節，《刑法》第二百五十三條相關條款對于預防網絡犯罪、維護網絡購物環境的安全并未達到應有效果。

2.對違法手段限定過窄。《刑法》第二百五十三條之一中的出售、非法提供公民個人信息罪和非法獲取公民個人信息罪，都限定行為人提供、獲取公民信息手段上的非法性，且僅就個人或單位通過提供服務或是履行職責這兩種獲取信息的途徑進行規制。然而由上文可知，在網絡購物環境下，用戶個人信息可能通過多種途徑獲得，并可通過網絡買賣提供給他人加以非法利用，因此，司法實踐中，要證明這一系列環節中受侵害信息的非法性源頭，本身就存在一定的難度，而要進一步證明“通過提供服務或是履行職責”獲取信息，無疑會導致司法機關的舉證難度和舉證成本大大增加。

3.對刑罰規定過輕。《刑法》第二百五十三條之一中的出售、非法提供公民個人信息罪和非法獲取公民個人信息罪在法定刑設置上較為單一，且刑罰較輕，最高僅可判處三年有期徒刑，而網購用戶的個人信息往往具有較高的“財產轉換率”，被不法商家或下游犯罪分子高價收買，給被泄露的用戶個人造成人身危害與財產的嚴重損失，而三年有期徒刑的最高法定刑設置，與其可能造成的犯罪后果相比，不符合“罪責刑相適應”原則的要求，不足以對犯罪分子形成有力威懾。

4.對于共同犯罪的查證較為困難。對于共同犯罪的查證較為困難。由于網絡犯罪具有跨地域、跨機構的特點，涉案人員和犯罪環節都較多，僅僅處罰網絡犯罪的直接行為人，對于其上游犯罪與下游犯罪的預防打擊效果并不顯著。在網絡購物環境中，商品購買者的信息可能被倒賣或竊取多次，用于實施盜竊、詐騙等犯罪行為，且每一手信息的倒賣，都可能產生新的上家與下家對該信息進行非法使用。這些不同群體的人員分布在不同的犯罪領域，而且彼此之間往往不相識，查證難度很大。若按照共犯處理，一般需要查明幫助者的共同犯罪故意，但在這種情況下，非法獲取他人信息只是犯罪鏈條的一個中間環節，其上下游環節人員之間因為互不相識，沒有明確的犯意聯絡。如一些網絡購物平臺、商家和物流工作人員幫助他人竊取網購用戶個人信息或倒賣個人信息后辯稱，不了解購買信息者具體要實施何種犯罪行為，或是認為僅僅是為了向特定消費者發送郵件、廣告等，并以此為由逃避法律追究。

此外，對于《刑法》第二百五十三條之一客觀構成要件的“情節嚴重”如何認定，法條本身與相關司法解釋始終未能予以明確，也造成理論界與實務界對于侵犯公民個人信息犯罪的入罪標準和定罪量刑方面的標準不統一。

（二）《刑法修正案（九）》對網絡購物環境中公民個人信息保護的改善。基于上述侵犯公民信息類犯罪在刑法條文規范上的諸多不足，于2015年11月1日正式施行的《刑法修正案（九）》與《刑法修正案（七）》的相關規定相比，對于規范網絡信息犯罪有了許多亮點。

1.擴大犯罪主體范圍。《刑法修正案（九）》取消了原有條文中對侵犯個人信息犯罪主體的明確列舉，將《刑法》第二百五十三條之一修改為：“違反國家規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金。”如此一來，本罪的犯罪主體由原有的“國家機關或者金融、電信、交通、教育、醫療等單位的工作人員”變成一般主體，即只要具有完全刑事責任能力的公民，一旦實施了出售或非法提供個人信息的行為，都可能構成犯罪。這就將原來網絡購物流程中可能涉及到的網絡運營商、商戶等統統納入侵犯他人個人信息的刑法規制范圍，加強了對于網絡購物消費者的個人信息保護。

同時，《刑法修正案（九）》第十六條將《刑法》第二百五十三條之一第二款原有條文中“竊取或者以其他方法非法獲取上述信息”修改為“竊取或者以其他方法非法獲取公民個人信息”，去掉了“上述信息”這一范圍過窄且容易引起歧義的表述，而換之更為標準表述的“公民個人信息”，而本條第一款取消了對于“國家機關及金融、電信、交通、教育、醫療等單位”的特定主體限制，同樣使得第二款所對應的“公民個人信息”內涵范圍更加廣泛。

此外，這一條還增加了“未經公民本人同意，向他人出售或者非法提供其個人信息，情節嚴重的，處二年以下有期徒刑或者拘役，并處或者單處罰金”的條款表述。通過增加規定出售或者非法提供公民個人信息的犯罪，向后延伸了對公民個人信息的保護階段，有力打擊了買賣個人信息犯罪下游的非法產業鏈。⑨

2.增加網絡犯罪幫助犯規定。針對司法實踐中網絡犯罪的幫助犯往往難以按照共犯處罰的問題，最高人民法院、最高人民檢察院在2013年9月6日出臺的《關于辦理利用信息網絡實施誹謗等刑事案件適用法律若干問題的解釋》規定：“明知他人利用信息網絡實施誹謗、尋釁滋事、敲詐勒索、非法經營等犯罪，為其提供資金、場所、技術支持等幫助的，以共同犯罪論處。”部分解決了網絡幫助行為的定性問題，但對于一些具體量刑和情節認定仍然存在困難。《刑法修正案（九）》在《刑法》第二百八十七條后增加兩條，作為第二百八十七條之一和之二，其規定：“明知他人利用信息網絡實施犯罪，為其犯罪提供互聯網接入、服務器托管、網絡存儲、通訊傳輸等技術支持，或者提供廣告推廣、支付結算等幫助，情節嚴重的，處三年以下有期徒刑或拘役，并處或單處罰金。”⑩《刑法修正案（九）》立法者認為，許多網絡犯罪的幫助犯才是整個網絡犯罪鏈條中獲得利益最大的，有的案件中其犯罪所得數額驚人，因此對網絡犯罪幫助行為作出專門規定○11，加強了對網絡犯罪的預備行為和幫助行為的打擊。然而有學者提出：“在互聯網中每時每刻都有億兆的數據在流動，如果要求網絡服務商對這些數據進行鑒別、控制，必然要犧牲網絡服務的質量，甚至無法正常向公眾提供網絡服務。”○12對此，筆者認為，《刑法修正案（九）》在此條規定的入罪前提中加入了“情節嚴重的”這一限定條件，已經較好地在保護信息網絡技術創新與有效控制信息網絡犯罪之間達到平衡；互聯網接入、服務器托管、網絡存儲、通訊傳輸等技術支持的提供者，以及提供廣告推廣、支付結算等幫助的網絡平臺，往往具有較強的技術的能力和條件限制相應網絡犯罪行為的實施，因此其不履行監督職責，放任危害后果的發生，不管其主觀上是否明知下游犯罪的發生，對于危害結果都具有刑法意義上的因果關系，在情節嚴重的程度下，應當承擔相應的刑事責任。在網絡購物環境下，通過刑事法律明晰網絡提供商、網絡平臺的責任范圍，也有利于電子商務平臺積極履行監管義務，采取更高級別技術手段控制信息網絡犯罪風險，進一步提高平臺操作規范性。這對于防范網購消費者個人信息泄露也將起到積極作用。

3.取消“非法獲取”的途徑限制。上文提到，《刑法修正案（七）》修訂時，對于出售、非法提供公民個人信息罪在入罪條件上做了限定，對所出售或者提供的公民個人信息來源僅規定了個人或單位履行職責或者提供服務獲取這兩種途徑，而對于網絡購物環節中，通過履行職責或者提供服務以外的其他途徑獲得用戶個人信息并將這些所獲取的信息予以出賣或非法利用的行為，在原有規定中沒有相關處罰措施。《刑法修正案（九）》對這一內容進行了修改，明確只要行為人“竊取或者以其他方法非法獲取公民個人信息，達到情節嚴重標準即可入罪”。○13這意味著只要是出售或者違反規定提供個人信息，情節嚴重的都要追究刑事責任。這樣有效彌補了原有刑法在保護個人信息中的空白領域，加強了對公民個人信息的保護力度，且《刑法修正案（九）》取消了“個人或單位履行職責或者提供服務”的限定途徑，在定罪考量上不再需要進一步查證個人與單位是否存在履行職務或提供服務的情形，增強了司法機關認定侵犯公民個人信息犯罪行為的可操作性。

4.加重相應法定刑處罰。《刑法修正案（七）》增加的出售、非法提供公民個人信息罪和非法獲取公民個人信息罪的處罰，其最高法定刑刑期為三年有期徒刑。《刑法修正案（九）》在保留原量刑檔的同時增加了三年到七年的量刑檔，使得侵犯公民個人信息行為的法定最高刑由三年有期徒刑增加到七年有期徒刑，同時明確“違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。”對特殊主體向他人出售或者提供公民個人信息的行為，不再沿用原刑法條文，對特殊主體和一般主體侵犯公民個人信息處以相同法定刑的條款。○14應當看到，條文中在“履行職責或者提供服務”的特殊主體，相較于一般主體往往具有一定的職業便利掌握大量公民個人信息，涉及到網絡購物環節，則包括相關網絡運營、金融支付、物流服務等單位的工作人員，他們違背相關職業道德和保密義務，利用職務便利出售或提供用戶個人信息給他人，其造成的后果相較于一般主體具有更大的社會危害性，故這一加重法定刑的設定更符合“罪責刑相適應”原則。○15

三、網絡購物用戶個人信息刑事保護的完善路徑

雖然《刑法修正案（九）》的修訂在刑事立法層面加強了對于我國網絡購物用戶的個人信息保護，但應當看到，個人信息刑事保護的立法完善并不是一蹴而就的，仍然有繼續完善的空間。

（一）動態把握個人信息的界定。現有個人信息的概念在刑法范圍的界定上不夠清晰。有觀點認為，刑法保護的公民個人信息是指一切可識別特定個人的信息。○16這一說法其實并不準確。一方面，并非所有具有可識別性的個人信息都能被刑法保護，如公民姓名對于其本人來說具有可識別的特定性，但泄露公民個人姓名在通常情況下并不構成任何侵權或違法行為，課堂點名、公共場所打招呼時，都會將他人姓名告知不特定多數人，但這種情況下的可識別姓名并不具備刑法保護意義；另一方面，并非所有被刑法保護的個人信息都具有特定可識別性，如手機號碼雖然要求實名制，但實踐中仍然有大量未實名登記的手機號碼，因此手機號碼并不一定具有特定可識別性，但對于非法獲取未進行實名登記的號碼的行為仍然應當由刑法介入，○17因為不管號碼是誰的，只要是有效號碼，就會有公民在使用，一旦其號碼被泄露，就有公民可能被騷擾，影響到其私人生活，故其同樣具備刑法保護價值。○18雖然2013年，最高人民法院、最高人民檢察院、公安部《關于依法懲處侵害公民個人信息犯罪活動的通知》（以下簡稱《通知》）中已有規定，公民個人信息包括公民的姓名、年齡、有效證件號碼、婚姻狀況、工作單位、學歷、履歷、家庭住址、電話號碼等能夠識別公民個人身份或者涉及公民個人隱私的信息、數據資料，但應當看到，在當前大數據時代背景下，公民的個人信息會呈現多樣化表現形式，在網購環境中不僅表現為固定化的個人基本信息，還表現為經過大數據分析后的個人網絡活動信息，這些信息受到侵害都可能帶來用戶的利益損失和下游網絡犯罪的進一步肆虐。因而對于刑法保護的“個人信息”，不應當僅僅將它看做一個靜態的概念，而應該放置于具體情境下來判斷。“公民個人信息的概念必須從一個動態系統的角度，通過要素細化進行概念的界定，以實現完整到位的保護。”○19

（二）明晰“情節嚴重”的具體標準。《刑法修正案（九）》中，“侵犯公民個人信息罪”，仍采取情節犯的立法模式，要求達到“情節嚴重”的條件方能定罪處罰，但對于“情節嚴重”的具體標準，條文中依然未能進行明確規定。這樣勢必容易導致在合理把握“情節嚴重”的標準上不統一。司法機關應當在未來的司法適用過程中積極探索該罪“情節嚴重”的認定標準，盡快出臺相應司法解釋規范該罪名的情節定性。參考其他情節犯的相關認定標準，筆者認為，對于侵犯個人信息的“情節嚴重”認定，可以從侵犯信息數量、非法獲利與非法銷售的金額、犯罪次數、取得信息的行為性質（即其信息是否為非法獲取）和危害結果等五個方面的情節予以認定。但在網絡購物環境中，基于對于網絡技術創新和網絡自主空間的保護，需要同時結合案件社會危害性程度進行綜合評價。對于雖然客觀行為符合任一標準，但不具備非法目的和社會危害性的行為，應當不作入罪化處理，如電商平臺為進行市場評估而收集了本平臺特定用戶的消費數據，事后并未轉賣也沒有利用信息實施違法犯罪行為，雖然數量上達到一定標準，但從社會危害性角度上不宜認定為“情節嚴重”，從而科學綜合考量“情節嚴重”的認定標準。

（三）完善配套前置法規。對于網絡用戶的個人信息保護是一個系統工程，并非僅靠一部刑法的修訂就能達到應有效果。在進一步完善刑事領域的法律法規基礎上，其他部門的法律也需要齊頭并進。目前，我國刑法明確規定了“侵犯公民個人信息罪”，但缺乏專門的個人隱私信息保護方面的法律。雖然2009年《個人信息保護法》已正式列入全國人大的立法計劃，但至今未能出臺。接下來應當加快推進《公民個人信息保護法》的制定和出臺，系統貫徹個人信息權保護理念。同時，進一步完善政府機關和相關網絡監管機構的行政責任，完善信息侵犯受害人的民事救濟途徑，完善并細化配套的個人信息保護與網絡實名身份核查機制規定。總之，“個人信息保護法律體系是一個涉及憲法、刑法、民法、行政法等多個部門法的綜合體系。侵犯個人信息的法律責任也應當包括刑事責任、民事責任和行政責任這三大類。刑事責任的制度已經先行一步，行政責任的建立與民事責任的健全也有必要寫入立法日程。”○20因此，有效運用民事救濟、行政處罰和刑事制裁等手段統籌規劃、綜合治理，方能全方面保護網絡信息安全。○21

注釋：

①午光言:《個人信息保護須形成更大合力》，《檢察日報》2015年12月31日第4版。

②艾瑞咨詢:《2006-2015年中國網絡購物市場交易規模》，http://ec.iresearch.cn/17/20120112/161325.shtml，訪問日期:2016年11月12日。

③艾瑞咨詢:《2009-2015年中國網絡購物市場用戶規模》，http://www.iresearch.com.cn/View/161325.html，訪問日期:2016年11月12日。

④喻琳:《網購中個人信息安全問題研究》，華東師范大學2012年碩士學位論文，第8頁。

⑤段珊珊:《論網購消費者個人信息的民法保護》，華僑大學2014年碩士論文，第14-16頁。

⑥韋堯瀚:《侵犯公民個人信息罪在司法認定中的若干問題研究——兼評“刑法修正案（九）”第十七條》，《北京郵電大學學報（社會科學版）》2016年2月第1期。

⑦臧鐵偉主編:《中華人民共和國刑法

D924

：A

：1674-3040（2017）02-0054-06

2016-12-25

李穎，上海市閔行區人民檢察院檢察官助理，華東政法大學刑法學碩士研究生。