購買公民個人信息中“購買”行為入罪空間探究

文◎黃曉丹 鄭麗莉

*天津市和平區人民檢察院［300040］

2017年6月1日，最高人民法院、最高人民檢察院聯合下發了《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）。《解釋》的出臺，進一步明確了公民個人信息的內涵、侵犯公民個人信息罪等犯罪的定罪量刑標準，為司法實務中辦理此類案件提供了更有針對性的法律指引。但在案件辦理過程中，某些看似明確的規定在具體適用時存在分歧，比如實踐中常見的通過互聯網等途經“購買”公民個人信息的行為，此處的“購買”在何種情況下能夠達到構成侵犯公民個人信息罪的程度值得探討。對“購買”公民個人信息而不使用的行為如何甄別、如何定性，涉及到司法機關能否在現有的法律和司法解釋的規定下，結合具體的案件，科學的對這些行為進行分類，并視其主觀惡性、社會危害性等因素予以適當處理。

一、采用文理解釋“購買”違反刑事司法基本原則

（一）違反“疑罪從無”原則

“疑罪從無”原則是現代法治觀念的重要體現，是和“無罪推定”緊密聯系的一項司法原則，該原則的基本內容是：存疑不起訴，存疑不定罪。在西方，早在古羅馬法中即有相應的表述：“有疑，當有利于被告人之利益”，我國《刑事訴訟法》第195條第3項明確規定：“證據不足，不能認定被告人有罪的，應當作出證據不足、指控的犯罪不能成立的無罪判決。”具體到侵犯公民個人信息罪，公民個人信息之所以能夠成為犯罪對象，一方面，因其承載的“特殊價值”而容易被不法分子出賣或提供并成為獲利工具；另一方面，是其被非法獲取后可能會被他人利用，或被用于實施違法犯罪活動，或被用于合法經營活動。正因如此，《刑法》第253條之一從“出售、提供”端和“非法獲取”端兩個方面對相應行為予以規制。《解釋》第5條進一步從兩個方面對相應行為的定罪量刑予以細化。購買者作為獲取端，結合《解釋》的規定，只有行為人購買公民個人信息后會或者可能會被用于違法犯罪或者合法經營并獲利達到一定數額，才可能構成侵犯公民個人信息罪。但何種個人信息可能會被用于違法犯罪活動，在實踐中需要綜合判斷。

［案例一］2016年5月，犯罪嫌疑人何某花人民幣500多元從犯罪嫌疑人陳某某處購買了1萬條深圳市的車主信息，每條信息內容包括車主姓名、手機號碼、機動車型號、購買年份等。何某供述其購買此類信息是為了給對應車主群發短信推銷加油卡，但其尚未具體實施，也無證據證實其實施了相應行為或其他違法犯罪行為。

這一案例中，關于何某的行為是否構成侵犯公民個人信息罪有兩種意見：第一種意見認為，犯罪嫌疑人何某的行為構成侵犯公民個人信息罪。理由是：《解釋》第4條、第5條第1款第5項明確規定，“違反國家有關規定，通過購買、收受、交換等方式獲取公民個人信息，且達到5000條的”，屬于刑法第253條之一規定的“情節嚴重”。何某非法購買的公民個人信息條數已超過5000條，因此構成侵犯公民個人信息罪。第二種意見認為，犯罪嫌疑人何某的行為不構成侵犯公民個人信息罪。理由是：犯罪嫌疑人何某雖然非法購買了公民個人信息，且超過5000條，但其購買此類信息是為了推銷加油卡謀利，系為了“合法經營活動”而購買。現有證據尚不能證實其行為屬于《解釋》第6條“為‘合法經營活動’而非法購買公民個人信息”規定的三種“情節嚴重”情形中的任何一種，因此不能認定其構成侵犯公民個人信息犯罪。本文認為，這兩種意見均有偏頗之處。判斷是否可能被用于違法犯罪等活動，應當結合信息的類型來確定。如《解釋》中的行蹤軌跡信息、通信內容、征信信息、財產信息等均系可能影響人身、財產安全的公民個人信息。此類信息本身具有較強的人身指向特征且被非法獲取后很有可能對人身、財產安全造成相當的危險，這是社會一般公眾所能理解的。除此以外的普通公民個人信息，倘若沒有證據證實行為人購買的目的系用于合法經營，如果機械的適用《解釋》第5條第1款第5項，認為只要購買此類信息達到5000條以上就構成侵犯公民個人信息罪，就相當于在沒有任何證據證明的情況下，推定行為人購買此類信息要用于違法犯罪活動，顯然違背“疑罪從無”的司法原則，也不符合刑法對打擊侵犯公民個人信息犯罪的初衷。

“疑罪從無”，是刑事案件窮盡偵查手段后證據仍不充分的情況下認定事實應當遵循的原則。任何罪名的構成要件均概莫能外。在刑事案件中，做出對犯罪嫌疑人、被告人不利的推定應當非常慎重，否則就容易犯“有罪推定”的錯誤。

（二）違反“罪責刑相適應”原則

“罪責刑相適應原則”也是我國刑事立法和司法實踐中的一項重要原則，是指犯多大的罪,就應該承擔多大的刑事責任,也應該判處其相應輕重的刑罰,即有罪當罰,無罪不罰;輕罪輕罰,重罪重罰。《刑法》第5條規定：“刑罰的輕重，應當與犯罪分子所犯的罪行和承擔的刑事責任相適應”。對于侵犯公民個人信息罪，根據《解釋》第6條第1款規定，“為合法經營活動而非法購買、收受本解釋第5條第1款第3項、第4項規定以外的公民個人信息，并利用非法購買、收受的公民個人信息獲利5萬元以上的，應當認定為刑法第253條之一規定的‘情節嚴重’”。第5條第1款第3項、第4項規定以外的公民個人信息即本文探討的普通公民個人信息。可見，在合法經營場合，購買普通公民個人信息，并利用該信息獲利超過5萬元，才能構成侵犯公民個人信息罪。如若根據《解釋》第4條、第5條的規定，簡單地認為尚未使用的“購買”行為也可入罪，通過和第6條進行比對不難發現，同一法律規范下的同一法律用語在法律適用中存在著邏輯上的障礙。假設犯罪嫌疑人A為了合法經營活動購買了1萬條普通公民個人信息，但在利用該信息過程中，實際獲利并未超過5萬元，根據《解釋》第6條，A的行為尚不構成侵犯公民個人信息罪。假設犯罪嫌疑人B購買了5000條普通公民個人信息，B并未將這些信息用于“合法經營”活動，也未利用該信息從事任何其他違法犯罪活動，僅僅是購買了該些信息，但根據《解釋》第4條、第5條之規定，B的行為卻構成侵犯公民個人信息罪。但很明顯，B的行為并不比A的行為更值得科處刑法。可見，如果簡單適用規定，明顯違背罪責刑相適應原則。

進一步看，根據《解釋》第10條之規定：“實施侵犯公民個人信息犯罪，不屬于‘情節特別嚴重’，行為人系初犯，全部退贓，并確有悔罪表現的，可以認定為情節輕微，不起訴或者免予刑事處罰；確有必要判處刑罰的，應當從寬處罰”。該條是對侵犯公民個人信息犯罪認罪認罰從寬處理的規定，其中明確提到“全部退贓”。還以前述的A、B為例，假設A將購買的公民個人信息用于合法經營并獲利5萬元，后在刑事訴訟過程中依法退賠了全部獲利，依據《解釋》第10條之規定，對A可以從寬處理。但B因為并沒有獲利，所以不存在全部退贓的問題，因此無法適用從寬處理的規定，依舊需要依法定罪判刑，對A、B的處理同樣明顯違反罪責性相適應原則。

綜上，本文認為，對《解釋》第4條、第5條之規定的不正確適用不符合疑罪從無和罪責刑相適應的司法原則，不能僅因行為人購買了普通公民個人信息并超出5000條就認定其行為構成侵犯公民個人信息犯罪。

二、“購買”公民個人信息但并未使用的行為涉及犯罪形態問題

從犯罪形態理論而言，《刑法》第253條之一及《解釋》第5條規定的非法獲取公民個人信息的行為（本段不探討為了合法經營活動而獲取的情形），在實質層面上更像是一種犯罪預備行為。《刑法》第22條第1款規定：“為了犯罪，準備工具、制造條件的，是犯罪預備。”正如前文所言，公民個人信息之所以能夠成為犯罪對象，是因為其本身易被他人利用，用于其他合法或非法活動。雖然不能推定行為人購買公民個人信息是為了實施違法犯罪活動，但如果犯罪嫌疑人、被告人購買公民個人信息并已經對其加以利用，例如通過互聯網將購買來的公民個人信息非法出售，或用于實施電信詐騙、網絡詐騙、敲詐勒索、綁架和非法討債等違法犯罪活動。那么，其先前購買公民個人信息的行為實際上是在為后續的違法犯罪行為創造條件，是后續犯罪行為的犯罪預備階段。根據張明楷老師的觀點：“犯罪預備行為不能直接對法益造成侵害結果與具體的危險狀態，因而對法益的威脅并不緊迫，在通常情況下沒有值得科處刑罰的實質違法性”，［1］這也是為何本文不對購買《解釋》第5條第1款第3項、第4項的信息構成犯罪產生質疑而僅僅質疑購買第5項普通公民個人信息構成犯罪的一個理由。本文認為，購買普通公民個人信息對法益的威脅并不緊迫，在行為人尚未將此信息用于犯罪活動時，購買行為的實質違法性并未體現出來，因此不應對其進行刑法評價。因為無論如何，我們不能排除行為人購買普通公民個人信息僅僅系購買并未想侵害任何法益的極端狀態。在司法實踐中，也不排除行為人會以此對自己作無罪辯解的情形，如辯解購買他人姓名、聯系方式信息系為了交友等。

從《解釋》第5條條文來看，其處罰非法獲取公民個人信息的行為不是從犯罪預備行為角度考慮的。因為《解釋》第5條是對“非法獲取”行為本身的處罰，并不考慮行為人利用非法獲取的公民個人信息實施其他違法犯罪的情況。根據2013年4月23日“兩高一部”共同下發的《關于依法懲處侵害公民個人信息犯罪活動的通知》，“對使用非法獲取的個人信息實施其他犯罪行為，構成數罪的，應當依法予以并罰”。而對于預備犯，刑法規定的是“可以比照既遂犯從輕、減輕、或者免除處罰”。因此，一方面，從法律適用的角度看，《解釋》第5條第1款第5項規定，非法獲取普通公民個人信息，且達到5000條的，屬于刑法第253條之一規定的“情節嚴重”，應當被判處3年以下有期徒刑或者拘役，另一方面，根據前文論述，又不能簡單機械的認為只要購買了普通公民個人信息并超出5000條就認為其行為構成侵犯公民個人信息犯罪，那么《解釋》第5條第1款第5項的適用空間何在？如果這一項規定在邏輯上沒有適用的空間，那么就是對法律規范的解釋存在問題，必須要進行修正，使這一罪名的各種犯罪情形及其處罰相協調，并同刑法總則的規定不出現矛盾。這就涉及到對購買公民個人信息行為入罪的證據采納標準問題。

［案例二］2016年3月3日，犯罪嫌疑人張某某為牟取非法利益，利用互聯網QQ軟件，向犯罪嫌疑人陳某某非法購買名為“深圳”的電子表格，內含包括姓名、身份證號碼、手機號碼、職業在內的公民個人信息15093條。犯罪嫌疑人張某某供述其購買這些公民個人信息是為了加價轉賣，且偵查人員從張某某使用的電腦中提取到了其與“下家”商談出售這些信息的聊天記錄，但“下家”并未在案。

關于張某某的行為是否構成侵犯公民個人信息罪，有三種意見：第一種意見認為，犯罪嫌疑人張某某的行為構成侵犯公民個人信息罪，理由是其行為符合《解釋》第4條、第5條第1款第5項規定的字面含義。第二種意見認為，張某某雖然購買公民個人信息5000條以上，但無充分證據證實其確實將購買來的公民個人信息又出售給他人，因此其購買公民個人信息的行為并未造成實質性損害，不應當僅因為其購買了5000條以上的公民個人信息就認定其構成侵犯公民個人信息罪。第三種意見認為，犯罪嫌疑人張某某的行為構成侵犯公民個人信息罪，因為現有證據已經顯示其購買公民個人信息的用途是為了轉賣，無論是否實際轉賣成功，其“非法性”顯而易見，因此，應當認定張某某的行為構成侵犯公民個人信息罪。出現上述不同觀點的根本分歧在于：一是對于尚未使用的單純購買公民個人信息中“購買”行為的入罪標準如何進行評價；二是在實踐中對犯罪嫌疑人為“合法經營”而購買公民個人信息的辯解，如何予以取舍。本文同意第三種意見，因為利用互聯網非法售賣公民信息未遂的行為往往取證困難，購買公民個人信息達到5000條以上，如果用于違法犯罪活動，只需證明其有此目的即可，不需要證明其目的行為已經實施，也不需要確認其目的實施的對象，在本案例中，張某某的供述能夠和其電腦中的電子證據相互印證，證實張某某已經著手聯系“下家”，為實現其非法轉賣目的開始行動，應當認為已經達到了“用于違法犯罪”活動的證據標準。

三、“購買”公民個人信息行為的證據標準應著重對行為目的的考察

本文認為，認定“購買”行為是否達到入罪標準，最重要的是要判斷行為人購買普通公民個人信息的目的。對行為人用于合法經營活動等辯解，在審查過程中要把握兩個原則：一要注重收集客觀證據，二要適度把握證據標準，不能對其辯解不予區分全盤采納。

所謂注重收集客觀證據是指，要注重收集行為人購買信息真實用途的客觀證據。以上文提到的行為人B為例，B購買了5000條普通公民個人信息，假設現有證據查實，B僅僅是購買了這些信息，但并未對信息作任何使用或處分，根據本文的觀點，其行為尚不能構成犯罪；假設B辯稱其購買這些信息是為了合法經營活動，就應當依據客觀證據具體判斷其是否有相關的實體經營及其經營行為是否合法。若確實存在合法的實體經營，適用《解釋》第6條的規定。若其辯稱的實體經營活動經查證并不存在，下一步要探究其購買信息是否是為了交換、轉賣、從事違法犯罪活動等。若經查證不存在上述行為，只能認定其不構成犯罪，理由是其僅僅是購買了信息但并未對信息加以利用或者處理。

所謂適度把握證據標準是指，對于購買公民個人信息的行為，盡管需要通過客觀證據進一步證實其購買的目的，但是對于客觀證據的證明程度不能要求過于嚴苛。以案例二為例，現已有客觀證據證實張某某和“下家”就轉賣信息事宜進行了一定的交流，此證據就足以證明張某某購買公民個人信息的目的是為了加價轉賣，故犯罪嫌疑人張某某的行為已構成侵犯公民個人信息罪。案例二中的第二種觀點認為，張某某的行為不構成侵犯公民個人信息罪的原因是，其交易的“下家”并未在案，這種觀點實際上排除了《解釋》第5條第1款第5項的適用空間。假設其“下家”到案，進一步證實了張某某向其出售涉案信息的情節，很明顯，張某某的行為應以“出售”公民個人信息罪定罪，那么《解釋》第5條第1款第5項中關于“購買”普通公民個人信息的規定將無存在的必要。

綜上，對購買普通公民個人信息行為中的“購買”不能僅從字面去理解其含義，而應深刻認識到此處的“購買”是介于單純的購買后“靜置”（尚無證據證實其購買目的）和購買后“已使用”（已由完整的證據鏈條證實其用途）行為之間的一種“過渡”行為。單純購買普通公民個人信息后“靜置”的，尚不能認定其構成犯罪，購買公民個人信息后“已使用”的，依據購買該信息的用途，結合《解釋》其他條款判斷是否構成犯罪。同時，把握該“過渡”行為入罪的證據標準要注意適度原則，注意收集足以證明購買目的的客觀證據，同時注意不可過于嚴苛，導致擠壓購買普通公民個人信息行為的入罪空間。

注釋：

［1］張明楷：《刑法學》（第四版），法律出版社 2011年版，第312頁。