侵犯公民個人信息罪中“公民個人信息”認定的相關問題初探

繆春華，殷思源

（上海市浦東新區人民檢察院，上海 201210）

在大數據時代，包括個人信息在內的數據通過網絡、各類社交媒體、應用軟件、物聯網、電子商務等多種途徑在不斷的流動、共享，促進著信息產業、共享經濟的發展。一方面部分個人信息的使用、公開等權利讓渡可以為我們帶來很多“紅利”，但另一方面個人信息的日益透明化也引發了電信詐騙、綁架、敲詐勒索等下游犯罪活動，不斷吞噬著居民的“安全感”。如何既有效預防和打擊侵害公民個人信息的犯罪行為，又促進大數據發展和信息化建設，達到安全與發展的平衡，這就需要妥善地認定和把握侵犯公民個人信息罪中的“公民個人信息”，明確該罪保護的對象范圍。同時在認定“公民個人信息”時需要判斷法益侵害性、社會危險性、目的用途、可識別的程度、信息是否公開等諸多因素，尋求刑事政策加大處罰力度的精神與“有利于”被告人原則之間的平衡。

一、認定“公民個人信息”需確定該罪所保護的法益

公民個人信息具有法益性，該罪所保護的法益附著于公民個人信息，并通過個人信息表達和反映出來。關于該罪所保護的法益，學界觀點不盡相同，存在個人法益、超個人法益以及公共信息安全法益三類學說。其中個人法益相對主流，從內容上可歸納為三個角度：一是人格權，如公民的人身權利、人格尊嚴與個人自由；二是信息權，信息安全與自由、信息自決權；三是隱私權，公民不愿公開或讓他人知悉個人秘密的權利。還有些學者觀點相對綜合，認為該罪侵犯的是雙重或多重法益，如信息自由安全權和隱私權、隱私權和公權主體對公民個人信息的保有，以及個人信息安全權、人身財產安全權、隱私權及生活秩序安寧權均屬所要保護的法益等。超個人法益方面，認為公民個人信息不僅關系到個人信息安全和生活安寧，而且關系到社會公共利益和國家安全，因此具有超越個人法益的社會法益屬性。少數學者在被害人教義學理論框架下論證，該罪侵犯的法益是公共信息安全。還有部分學者認為將本罪法益構建為作為個人法益的信息自決權，或者作為公共法益、不具備實質內涵的信息安全，都不能明確本罪的處罰范圍，應當是具備實質權利內涵的集體法益，具體為信息專有權，也就是法定主體對于所占有個人信息的處分權限。筆者認為個人信息兼具個體性和公共性的雙重屬性，對個人信息的獲取與使用之間因可能存在犯罪主體的斷層而具有不確定性、不可控性，既可能因為一條行蹤信息的非法提供而導致一名被害人被殺害，也可能因為非法入侵網站獲取巨額數量的個人信息進行販賣，規模之大、人數之多已經影響到公共的信息安全，因此該罪保護的法益也兼具個人法益與公共法益，二者之間既可能是并列，也可能是選擇關系。涉及侵犯公民個人信息的案件中，信息安全與自由是必然被侵犯的，但在判斷是否構罪時并無太多實質幫助，從當前形勢看，設立該罪的目的更加側重打擊因信息泄露引發的電信詐騙、敲詐勒索、綁架和非法討債等社會危害性嚴重的下游犯罪。因此在司法實踐中應當以人身財產、隱私及生活安寧被嚴重侵害作為法益保護的重要方面，在判斷是否屬于“公民個人信息”時，結合涉案信息進行法益侵害性的實質判斷。

二、關于“解釋”中公民個人信息的理解和適用

最高人民法院、最高人民檢察院聯合發布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）第一條規定：“刑法第二百五十三條之一規定的‘公民個人信息’，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。”該解釋通過概括加列舉的方式為公民個人信息的認定提供了指引，確定為身份識別標準和活動情況標準，其中身份識別又分為“單獨識別”和“結合識別”兩種情況。但身份識別本身是一項較為含混的標準，并不精確。對“身份”究竟是何種意義上的身份，“識別”究竟是對誰而言的識別等具體操作性問題也莫衷一是。筆者認為在司法實踐中可做如下考量：

（一）身份識別標準的實質在于明確的目標指向性

信息泄露的危害在于獲取信息者能夠通過信息鎖定特定的個人，并通過信息反映的特定個人的具體情況，進而有針對性的侵害行為甚至犯罪行為。因此，身份識別標準的用途和最終目的在于能夠鎖定到特定具體的個人，具有較強的目標指向性，才能進而產生法益侵害的可能性。如嫌疑人利用黑客手段侵入某金融投資類公司網站服務器獲取注冊用戶的手機號，出賣給他人進行電話推廣牟利，手機號數量多達三十萬條，雖然手機號不能識別身份，但是可以指向每一個具體的個人，針對的對象是明確而具體的，也能夠反映手機號持有人系具有購買股票期貨貴金屬活動或意向的特定目標群體，從法益侵害的角度來說也嚴重侵犯了眾多公民的生活安寧。因此，該案的手機號雖不能滿足身份識別的形式標準，但是達到了實質目的，所以不應拘泥于“身份”進行判斷。此外，現如今手機號背后常常綁定各類銀行卡號、微信賬號、支付寶賬號、打車軟件等內容，對于每個公民來說已經遠遠超出一個手機號的功能價值，與公民的人身財產安全密不可分。只要提供給網絡上信息販賣者一個手機號，往往就能輕易獲得照片、身份證號碼、戶籍所在住址、所屬派出所、出行軌跡等諸多身份信息。

（二）識別具有相對性

對于不同的犯罪主體來說，因識別能力的差異、已掌握的信息程度及識別技術、手段的不同，面對同一條信息，識別的程度和結果也盡不同。比如普通人用人眼無法識別特定自然人的內容，對于熟練掌握計算機、大數據的技術人員而言識別就成為可能；再如對于熟悉或認識的人而言，本身已經掌握了部分信息，可能只需要提供工作單位、家庭住址，甚至一聽聲音就可以識別出特定自然人，進而掌握其行蹤。因此，身份識別的可能性和識別程度因人而異、因技術應用而產生不同的結果，具有一定的相對性。因此，在判斷的時候因結合識別主體的識別能力、技術手段等進行綜合全面判斷才能防止偏差，得出準確、合理的結果。

（三）判斷信息類型應保持刑法的謙抑性

《解釋》根據信息的敏感重要程度將信息類型劃分為高度敏感、敏感和普通信息三類，并設置了不同的入罪標準，判定信息類型因直接關系到罪與非罪、量刑幅度的不同而變得非常關鍵。特別是高度敏感信息中，《解釋》僅列舉了行蹤軌跡、通信內容、征信信息、財產信息四種情況，無兜底條款，因與人身財產安全直接相關，入罪標準極低，50條即入罪，故對此類信息應當嚴格把握。比如車輛信息具有財產屬性，但是實踐中并非均認定為財產信息。如案例一，被告人盛某為了推銷提供貸款中介服務，通過購買巴豆充值的方式在酷我資料網上下載車輛信息共計五萬余條，法院不認定為財產信息；①詳見（2017）渝05刑終1003號刑事判決書。再如案例二，被告人鐘某加入買賣公民個人車輛信息的微信群向他人購買車輛信息，又在微信中加價倒賣牟利，法院認定為財產信息。②詳見（2017）鄂0506刑初153號刑事判決書。綜合分析兩起案件的判決書，可以看出法院認定財產信息時考慮以下兩大因素：一是判斷行為人的主觀目的和使用范圍，若是用于合法經營則傾向于不認定，若是非法目的則傾向于認定。案例一僅為了推銷提供貸款，而案例二是為了牟利，為了在車輛交易中獲得信息優勢地位，掌握車輛交易議價權。也有學者以將購買車輛信息用于電話推廣車險為例，從主客觀相一致的角度來論述，前者并非用于實施針對人身或者財產的侵害行為，而傾向于不認定為財產信息。二是判斷信息中是否含有影響財產價值認定的實質因素，若有則傾向于認定。案例一的車輛信息中只有車輛品牌、車輛號碼、車身顏色、車主姓名、聯系方式、住所地址，不含有車輛型號、排量、購買價格、行駛公里、維修情況等可以對車輛進行估價的內容。案例二的車輛信息中含有車輛抵押記錄、車輛變更記錄、車輛品牌型號等登記信息，不僅可以對車輛估價，還可以掌握車輛有無抵押、違章，從而在車輛交易中獲得信息優勢，掌握車輛交易議價權，影響交易價值的認定，而這些信息相對案例一來說更敏感、更關乎公民切身利益。因此，在判定信息類型的時候，應保持刑法的謙抑性，防止過于擴大打擊面。

三、公民個人信息范疇認定的爭議問題

實踐中，嫌疑人會辯稱其信息可以通過網絡等公開渠道檢索獲得以表明其行為的合法性，那么公開的個人信息是否屬于侵犯公民個人信息罪所保護的范疇，司法實踐中也存在一定爭議。

從《解釋》的規定看，認定屬于公民個人信息的核心在于能否識別特定自然人的身份或反映特定自然人的活動，而非隱私性，未延續2013年《關于依法懲處侵害公民個人信息犯罪活動的通知》中關于公民個人信息包括涉及公民隱私的信息及數據資料的規定，學術界也認為個人信息不完全等同、不限于個人隱私，二者之間可能呈現交叉關系。因此，《解釋》所保護的公民個人信息，并不排斥公開的個人信息，信息的“公開”本身，并非否認信息屬于公民個人信息的當然事由。那么，在判斷公開信息是否屬于侵犯公民個人信息罪中的公民個人信息范疇，筆者認為需要從以下方面予以認定：

第一，需查明信息公開的原因，是依法公開還是違法公開，這是認定的關鍵。對于依法公開的個人信息，參照《征信業管理條例》的精神，“依照法律、行政法規規定公開的信息”，可以直接收集而無需取得信息提供方的同意。也就意味著任何人都可能或有權利獲取，此時的獲取或者提供不會違反國家規定，相關行為也就不可能有非法性。因此，對于網絡等公開渠道獲得的信息若是依法應當公開的，后續的出售、交換等行為也不具有違法性，那么在計算信息條數時應當對該部分予以去除。

第二，判斷公開的信息是信息主體自愿主動公開還是非自愿被動公開的。對于信息主體自愿主動公開的，有學者認為經整理后向他人提供的，可以推定為被收集者存在概括故意，無需取得被收集者同意而不構罪。原因在于構成該罪的前提是“違反國家有關規定”，而公開公民個人信息獲取后出售或者提供的行為，是否需要權利人“二次授權”，目前缺乏明確規定。同時考慮到涉嫌出售、提供公開公民個人信息案件偵辦難度相對較小，若以此為打擊重點，會造成對未公開信息案件刑事保護不力。此外，自愿公開實際上屬于對信息自由安全權的一種讓渡和放棄，對責任與后果也應當具有一定預見性。對于非自愿被動公開的，如網站未經被收集者同意而公開發布公民個人信息，公民從網站上獲取的行為系合法，但是后續的出售、提供行為因違背權利人意愿，造成法益的侵犯而可以適用該罪。

司法實踐中，行為人從QQ群上購買、交換企業法人信息的案例并不少見，但是判決結果不一。如重慶市第五中級人民法院（2017）渝05刑終1090號判決書，因法定代表人（包括公司名稱、住所地、法定代表人姓名及手機號碼）信息可以通過互聯網查詢而予以排除。也有江蘇省南京市中級人民法院（2017）蘇01刑終228號判決書中寫道，企業工商登記信息中涉及的公民個人信息屬于法律保護范疇，且因未通過正當途徑而是QQ群購買交換的非法途徑獲得而認定構罪。上海市靜安區人民法院（2017）滬0106刑初960號、重慶市第二中級人民法院（2017）渝02刑終269號刑事裁定書均以信息中含有法定代表人手機號碼或身份證號而認定屬于公民個人信息范疇。眾所周知，企業法人信息系法定公示內容，可通過國家工商總局的國家企業信用信息公示系統中查詢，因此，依法公開的企業法人信息不應當認定為公民個人信息。法定代表人手機號因具有一定私人屬性而在認定是否為公民個人信息存在分歧。筆者認為法定代表人手機號可以在企業年度報告中查到，而且公示何人的電話企業本身可以選擇，并沒有違反被收集者意愿，是信息主體自愿主動公開的，因此對于此類法定且自愿公示的內容，根據有利于被告人原則予以排除更為合理。但若信息中含有身份證號碼等證件內容，因屬于非公示項，故屬于該罪保護的公民個人信息范疇，實踐中應當予以仔細甄別。

四、公民個人信息認定中仍需解決的問題

《解釋》第三條第二款規定：未經被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第二百五十三條之一規定的“提供公民個人信息”，但是經過處理無法識別特定個人且不能復原的除外。這一規定體現了大數據時代下為信息的流通、企業的運作、數據的開發交易預留了一個合理使用的出口和余地，即匿名化處理。《網絡安全法》第四十二條第一款也有相近的規定。但是現如今，隨著信息技術的飛速發展，任何的信息片段與足夠的外部信息關聯比對后，均有可能重新辨識個人。如果脫敏不完整、不全面，數據融合在一起的時候就存在識別個人身份的可能。那么認定“無法識別特定個人且不能復原”時，為防止信息被再識別，則需要確定相應的技術標準和行業標準，（阿里數據安全高級專家張金提出了如差分隱私、同態加密、零知識證明等方案），在司法實踐中需對照標準進行參照考量，并對“匿名化”后對公民造成的風險和負面影響進行評估，也要注意“匿名化”也具有相對性，需結合信息接收主體、識別技術水平等方面，將其放置于具體應用場景中予以綜合判斷。

五、如何認定公民個人信息

綜上，筆者認為認定公民個人信息需要考慮如下幾個方面：

1. 從信息屬性予以考量。公民個人信息除了具有可識別性、關聯性，筆者認為其還具有唯一性、真實性、法益性。把握身份識別的實質在于明確的目標指向，并將信息進行去重去錯，考量其附著的法益對人身財產、隱私和生活安寧方面侵害的程度和可能性，對關乎切身利益的應當予以優先、重點保護。

2. 個人信息的用途。美國數據庫技術專家杰克·奧爾森所言，信息的價值在于它的用途而并不取決于其本身。因此，在判斷是否屬于公民個人信息以及屬于何種信息類型時，除了信息本身屬性外，應結合信息的用途，對其社會危險性、法益侵害性進行實質判斷，防止打擊面過寬。

3. 信息控制者的識別能力。個人信息被識別的程度因人、因時、因勢而不同，匿名化處理也是如此。在判定時需要查明和結合以上條件，實現精準、合理打擊。

4. 公民個人信息的排除。以下幾種類型不屬于公民個人信息范圍：一是依法公開的個人信息，如公開的企業法人信息、救助扶貧信息、獎勵信息；二是為維護公共安全、保護公共利益而公開的個人信息，比如對被判定有罪的重大犯罪分子、失信人員身份信息的進行公開，以保證社會公眾的知情權；三是未嚴重侵犯法益的，如近親屬之間相互單純披露的公民個人信息。

5. 認定公民個人信息需把握的原則。刑法是我國法律體系的最后一道防線，在認定“公民個人信息”時需要牢牢把握住刑法的謙抑性原則，嚴格認定標準，可以在民法、行政法等其他部門法的范圍內調整的，不納入刑法調整范圍，防止不當擴大公民個人信息的范疇，導致泛刑化的產生。此外，還應尋求刑事政策加大處罰力度精神與“有利于”被告人原則的平衡。如若出現無法明確信息來源、數量，無法判斷信息類型，無法確定信息是否應當排除時均可適用。