侵犯公民個人信息犯罪中情節嚴重的認定

摘 要 大數據時代的來臨，使公民的個人信息更為輕易地可以被獲取，在利益的驅使下，犯罪分子通過不同途徑獲取和利用公民個人信息，導致公民的人身和財產安全遭到了前所未有的重大威脅和挑戰。為了有效遏制日益猖獗的侵權現象，保護公民個人信息，我國《刑法修正案（七）》增設出售、非法提供公民個人信息罪和非法獲取公民個人信息罪，但效果不理想。隨后的《刑法修正案（九）》將兩罪改為侵犯公民個人信息罪，進行了修改，但仍欠缺對“情節嚴重”認定的統一標準，對司法實踐造成巨大困擾。本文通過闡述統一“情節嚴重”認定標準的必要性，解讀新頒布司法解釋對“情節嚴重”的認定，從而提出完善的建議，以求推動司法的公正，維護法律的權威。

關鍵詞 個人信息 信息犯罪 情節嚴重

作者簡介：張樂嘉，中山大學新華學院，研究方向：刑法學。

中圖分類號：D920.5 文獻標識碼：A DOI：10.19387/j.cnki.1009-0592.2019.05.217

一、侵犯公民的個人信息犯罪立法背景和立法進程

（一）大數據環境下侵犯個人信息的現象比傳統環境下更嚴重

大數據時代已經悄然來臨，然而，人們在享受著大數據帶來的種種便利的同時，也面臨著數據被非法利用、盜取的危機，這是個不可忽視的問題。

這里提到的“數據”包含了公民的個人信息，大數據環境下公民的個人信息更容易被獲取，非法買賣個人信息甚至已經形成了一個新興產業。有關機構過度收集個人信息、擅自共享個人信息的行為，使個人信息被侵犯的可能性比傳統環境下要大的多。正是由于我國個人信息被濫用的問題越來越嚴重，社會各界對個人信息保護的立法需求日趨迫切，所以為了保護公民個人信息，打擊日益猖獗的侵權現象，制定有關的法律刻不容緩、勢在必行。

（二）《刑法》增設侵犯公民個人信息罪的立法效果并不理想

早在2009年，我國立法者已經關注到刑法對于公民個人信息保護的立法缺位，于2009年2月28日，《中華人民共和國刑法修正案（七）》第七條增設兩個罪名，分別是出售、非法提供公民個人信息罪和非法獲取公民個人信息罪。

此次刑法的修改，彌補了我國刑法保護公民個人信息的法律漏洞 ，側面反映了侵犯個人信息行為的危害程度以及國家對于涉及民生犯罪的關注 ，但在司法實踐中仍存在較多的問題，導致這一增設法條的立法效果并不理想。個人信息泄露的途徑很多，導致個人信息被侵犯的環節各種各樣，有可能在教育、保險等機構辦理業務的時候，也有可能在其他消費環節。在這種多個環節都可能出現侵權行為的情況下，在調查個人信息究竟在哪一個環節被侵犯時，顯得十分吃力；在現實生活中，人們若是接到詐騙、銷售電話或是收到各種推銷、廣告甚至是違法短信（如收到外企公司代開增值稅發票的信息）后，一般只會掛斷電話、拉入黑名單或刪除短信、報告垃圾信息，而很少有人會主動投訴或提起訴訟。綜上所述，無論是理論上的缺陷，還是實踐上的困難，都導致了將侵犯公民個人信息的行為納入刑法規制的效果并不理想。

（三）《刑法修正案（九）》對侵犯公民個人信息罪的修訂

根據前文，可以得知立法者在制定本罪的時候，由于當時的社會客觀情況或是認知能力欠缺，導致將侵犯公民個人信息的行為納入刑法規制的效果并不理想。近年來，信息科技飛速發展，個人信息的濫用問題非但沒有顯著解決，反而變得愈加嚴重。考慮到侵犯個人信息的類型和手段變化多端、層見迭出，六年后，2015年8月29日《中華人民共和國刑法修正案（九）》第十七條對本條的內容進行了修改，將之前的兩個罪名改為侵犯公民個人信息罪 。此次修訂，擴大了主體要件，增加了追責范圍，明確了犯罪客觀要件，并合理規定了法定刑。在量刑上，保留了三年以下有期徒刑或拘役，同時還增加了三年以上七年以下有期徒刑的量刑檔，從側面反映了個人信息被侵犯問題的嚴峻性，以及國家對打擊此犯罪行為的重視。當然，本次修改雖有進步之處，完善了我國對個人信息的刑法保護體系，但也存在其不足之處，如入罪行為方式具有局限性、缺乏完善的行政與刑事制裁銜接體系等 。由于仍沒有出臺相應的司法解釋，在司法實踐中，對于“公民個人信息”的內涵界定、“情節嚴重”的認定標準等方面的問題，學界仍有較大爭議。本文重點分析本罪“情節嚴重”在認定過程中的問題。

二、侵犯公民個人信息罪“情節嚴重”認定過程中的問題

（一）忽視信息類型因素對“情節嚴重”的認定影響

法院對個人信息的類型尚未進行系統分類，然而，不同的信息類型對公民的影響是不同的。在互聯網時代下，根據產生和服務的領域不同，可以將個人信息細分為如下幾種：第一類是主要產生于并且服務于及時通訊、網絡安全領域的個人自然情況信息。第二類是主要產生于并且服務于云計算與大數據、互聯網金融、互聯網教育行業的社會關系個人信息。第三類是主要產生于并且服務于電子商務、游戲、互聯網金融行業的個人財產情況信息。與第一類信息相比，第二、三類信息對公民的影響相對較大。因這兩類信息的私密性較強，若其被濫用，給被害人造成的損失往往更嚴重，造成的社會危害性往往更大。“情節嚴重”作為判斷罪與非罪的構成要件之一，忽視信息類型的區分對“情節嚴重”認定的影響，把侵犯的多種類型的信息混淆在一起而共同認定為情節嚴重，存在有違司法裁判公正的嫌疑。

因此，在本罪的判決主文中，應當將個人信息進行分類，應明確被告人非法獲取、出售或者提供何種類型的信息分別達到多少條，最終認定為情節嚴重，構成本罪。

（二）以信息數量和非法獲利數額為主，標準不統一

通讀這七十幾份判決書，可以明顯地看出，幾乎所有的判決主文在認定情節嚴重時都從“信息數量”和“非法獲利數額”這兩個因素來判斷，而鮮少出現其他情節標準，如個人信息的真實性、有效性等 。此外，部分判決主文沒有具體明確數量和數額的多少，僅僅表述為“數量較多”“非法獲利較多”，“較”這個字本身是非常主觀的，這也從側面反映了法官在認定情節嚴重時主觀隨意性較大。在司法實踐中，僅僅通過“信息數量”和“非法獲利數額”這兩個單一的標準來判定是否為情節嚴重，而數量和數額的多少也沒有一個嚴格統一的法律標準，容易導致各地方法院的判決結果出現一定的差異，這顯然不符合司法公正平等的要求，也不能完全體現法律的規范作用。

三、侵犯公民個人信息罪“情節嚴重”的認定的建議

（一）統一“情節嚴重”認定標準的必要性

1.統一“情節嚴重”認定標準，避免量刑結果的恣意性

為了使說理更具說服性和可靠性，本文通過對前文提到的七十余份刑事判決書進行分析，按照不同的量刑結果對其進行歸納。可以發現，其中適用緩刑的案件有24件，約占71個案件的三分之一，可見量刑趨勢走向輕刑化。其中還有3個案件是免除處罰的，有2個案件行為人的目的是開拓保險業務，通過不同渠道購買數量不等的公民電話等信息，法官根據行為人為初犯、認罪態度良好等實際情況，作出免予處罰的判決；1個案件是法官認為行為人為從犯、且有自首和坦白情節，作出免予處罰判決。值得特別關注的是，其中有1個案件的行為人屬于再犯，法院判處緩刑。

通過歸納分析這71份刑事判決書，不難看出，由于我國刑法及司法解釋對于“情節嚴重”認定標準的規定空白，使不同的犯罪情節可能導致相同的量刑結果，或者相類似的犯罪情節可能導致不同的量刑結果。此外，由于法官個人的人生觀、價值觀不同，不同的法官，也會受不同地區的政策性情節、法律原則的影響，“同案不同判”的情況時有發生。為了避免此類情況的發生，不讓法官在判案時的主觀隨意性過大，更規范地定罪量刑以懲戒犯罪分子的犯罪行為，以及更有效地保護受害人的利益，“情節嚴重”認定標準的嚴格統一，顯得格外必要。綜上，統一明確“情節嚴重”的認定標準，有助于避免量刑結果的恣意性，有利于實現司法的公正以及司法權威的建立。

2.統一“情節嚴重”認定標準，推動指導性案例在司法實踐中的應用

在普通法系國家，判例具有法律的正式淵源地位，法官在審理案件時可以直接適用，判例法的核心是遵循先例原則。而在現階段的中國，指導性案例是具有中國特色的法律術語 ，它與普通法系中的判例有本質上的區別，如解釋規則和創立規則的區別、積極指導與自發約束的區別、有無司法管理功能的區別等。案例指導制度的核心是法律規則，但這些規則比成文法中的規則更注重對具體問題的分析。成文法不能窮盡的復雜的社會經濟關系，都可能從案例中得到補充。因為“案例的直觀性是看得見的法典，是摸得著的規則” ，案例指導通過直觀明了的說理使法律適用更加直白和客觀。

綜上，對于侵犯公民個人信息罪而言，統一“情節嚴重”的認定標準，限制法官的自由裁量權，在司法實踐中做到“同案同判”，有利于形成本罪的指導性案例。推動指導性案例在司法實務中的應用，在法官面對疑難復雜的案件時，起到一定的指導參考作用，有助于統一司法尺度和維護法律尊嚴。當然應當注意的是，要防止案例指導制度的濫用和誤用。

（二）對司法解釋關于“情節嚴重”認定標準的理解

關于本罪相關司法解釋的出臺，是在2017年5月8日，其中對于“情節嚴重”的認定是在《解釋》第五條第1款，其規定了十項“情節嚴重”的情節 ，以下進行逐一分析。從表面上看，《解釋》采取單一的標準去認定情節嚴重，但根據內容分析，實則并非全部如此，也有采取綜合的標準進行認定。

第一，根據“信息種類+用途”認定。《解釋》第五條第（一）項明確把信息種類限定為“行蹤軌跡信息”，以及“被他人用于犯罪”這一用途。這些信息與一般的個人信息不同，它能直接反映一個人通常的活動軌跡，因此與個人的人身安全具有密切的聯系，是人身和財產安全最有可能遭到威脅的敏感信息。一旦犯罪分子獲取了這些隱秘性較強的行蹤軌跡信息，實行下游犯罪，如綁架、敲詐勒索、強奸等，都將會產生十分嚴重的后果，社會危害性較大。

第二，根據“信息種類+信息數量”認定。第五條第（三）（四）（五）項都是以此綜合考量，認定情節嚴重。其一，行蹤軌跡信息、通信內容等四類信息的數量設定為“50條以上”，需要注意的是，“50條以上”的標準只限定在這四類信息，因此司法適用中若進一步解釋是被禁止的。其二，“500條以上”是對住宿通信信息、交易信息等可能對人身和財產安全有影響的公民個人信息的數量要求。其三，對于上述兩項之外的個人信息，數量設定為“5000條以上”。其四，第（六）項是按照相應比例計算信息數量，也即信息種類和數量之間的換算。這在司法實務上具有現實的意義，因為現實中很有可能出現第（三）至（五）項中規定的個人信息種類都沒有達到相應數量標準的情況，但綜合考量涉案的各類型個人信息數量，確應認定為情節嚴重。

第三，根據“單一標準”認定。第五條第（二）項規定“知道或者應當知道他人利用個人信息實施犯罪”，是根據“信息用途”這一標準的。第（七）項采用“違法所得數額”標準，設定在“5000元以上”，與其他因素都沒有關系。第（九）項則采用“是否存在前科”的標準，對于再犯，主觀惡性和客觀危害程度相對較大，實屬情節嚴重 。

第四，根據“犯罪主體+信息數量”認定。第五條第（八）項規定的主體身份為“履行職責或者提供服務過程中”，此時入罪的信息數量作減半處理。有觀點認為該項有違雙重評價禁止原則 ，但筆者對此觀點并不贊同。該項解釋規定的入罪數量減半僅僅是解釋“情節嚴重”的認定標準，其不能和刑法關于特殊主體須達到“情節嚴重”的標準后再從重處罰混為一談。前者是針對該罪的入罪標準而言，即定罪；后者則是針對該罪的量刑而言 。

綜上，《解釋》對于“情節嚴重”采用了單一標準與綜合標準共存的認定標準，緩解了理論學界認定不統一的爭論現象，對司法實踐具有重大意義，具有其合理性。但細讀這些認定規則，依然存在部分可商榷之處，值得思考。

（三）“情節嚴重”認定標準構建之建議

1.對違法所得的認定，應采用獲利數額說

《解釋》第五條第（七）項中，對于“情節嚴重”的認定，采取了單一的“違法所得數額”這一標準。但并沒有對違法所得的認定作出明確的規定，學界對其有兩種觀點。其一是銷售數額說，從字面的意思可以知道該說的觀點為，行為人實施犯罪行為而獲取的全部犯罪所得，即“違法所得數額”，其包括了購買或以其他方式獲得的個人信息的犯罪成本 。其二是獲利數額說，該觀點的核心是“利潤”，也就是說，本罪的“違法所得數額”應當認定為實施犯罪獲取的全部財產減去購買或以其他方式獲得的個人信息的成本后，取得的利潤，即違法獲利多少。筆者贊同第二種觀點。刑法中多個條款出現“違法所得”的表述 ，都明確規定了“違法所得”系獲利數額。而在司法實務中，本罪的犯罪活動往往是一環扣一環的，越往后進行交易，個人信息的價格往往會越高，犯罪分子通過出售等方式獲得的財產數額則會越大。如果按照第一種觀點，行為人實施犯罪越處于前面的交易環節，違法所得越低，處罰就越輕，反之亦然。因此，第一種觀點在實踐中有失偏頗，不能體現罪責刑相適應的刑法原則，是不可取的。

2.“獲取型”行為入罪處理和“使用型”行為不入罪處理的探討

根據《刑法》第253條之一的規定，本罪的行為方式可以歸納為“獲取型”或者“提供型” 。也就是說，該條第3款規定的行為類型屬于“獲取型”，而第1、2款規定的類型則屬于“提供型”。將“提供型”的行為方式作為入罪的標準，具有合理性，其原因在于侵犯公民個人信息罪之所以會出現下游犯罪，究其本質，是個人信息被非法泄露。若沒有提供者，沒有非法獲取信息的渠道，則不會出現后續的犯罪行為。因此，非法提供行為作為此罪的打擊對象是科學、合理的。

另一方面，對于“獲取型”行為方式，《解釋》一律將其納入犯罪的基本類型，是否過于片面。根據該條第3款所規定的行為，若行為人僅僅停留在“竊取”或者“非法獲取”的行為狀態，其事實上未對公民的任何權益造成損害，而刑法只禁止在客觀上危害社會的行為，社會危害表現為法益侵犯性。也就是說，單純竊取或者非法獲取的客觀行為沒有侵害法益。

除以上兩種行為方式外，還存在“使用型”的情形，但是“使用性”并沒有納入該罪的類型。也就是說，將自己合法獲取的個人信息非法使用的行為，不是本罪的行為方式 。換句話說，刑法打擊提供行為和非法獲取行為，而對于使用行為不定罪。對于本罪“使用型”的行為方式是否應當入罪，成立非法使用公民個人信息罪的問題，值得思考。

綜上，筆者通過對“獲取型”入罪和“使用型”不作為犯罪的思考討論，以求為侵犯公民個人信息犯罪的認定標準提供更為完善的借鑒意義，推動我國公民個人信息保護刑法體系的建立。

注釋：

法律漏洞指違反立法計劃的不圓滿性，即某事項本應由法律規定但法律并未作規定。

史艷.論出售、非法提供公民個人信息罪和非法獲取公民個人信息罪[D].山東大學，2011.

將刑法第二百五十三條之一修改為：“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。”“違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。”“竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。”“單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。”

韋堯瀚.侵犯公民個人信息罪在司法認定中的若干問題研究——兼評《刑法修正案（九）》第十七條[J].北京郵電大學學報（社會科學版），2016，18（1）：34-39.

張嬌.侵犯公民個人信息罪中“情節嚴重”的認定標準[J].南陽師范學院學報，2016，15（11）：35-38.

吳滌非.公民個人信息刑法保護的應然路徑[D].華東政法大學，2016.

指導性案例分為三種，分別由最高人民法院、最高人民檢察院和公安部發布。指導性案例目前在我國其實是一種非正式意義上的法律淵源，作為一種法律淵源它既具有形式合法性，也具有實質合法性。作為非正式的法律淵源，它具有輔助性，即效力上的說服性和參考性、功能上的從屬性、效力位階上的次級性和產生方法的有限性。

張文顯.法理學（第四版）[M].北京：高等教育出版社、北京教育出版社，2011年版.

非法獲取、出售或者提供公民個人信息，具有下列情形之一的，應當認定為刑法第二百五十三條之一規定的“情節嚴重”：（一）出售或者提供行蹤軌跡信息，被他人用于犯罪的；（二）知道或者應當知道他人利用公民個人信息實施犯罪，向其出售或者提供的；（三）非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的；（四）非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的；（五）非法獲取、出售或者提供第三項、第四項規定以外的公民個人信息五千條以上的；（六）數量未達到第三項至第五項規定標準，但是按相應比例合計達到有關數量標準的；（七）違法所得五千元以上的；（八）將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數量或者數額達到第三項至第七項規定標準一半以上的；（九）曾因侵犯公民個人信息受過刑事處罰或者二年內受過行政處罰，又非法獲取、出售或者提供公民個人信息的；（十）其他情節嚴重的情形。

徐巧巧.侵犯公民個人信息罪的司法認定研究[D].安徽大學，2018.

江海洋.論侵犯公民個人信息罪之“情節嚴重”[J].法律適用，2018（17）：69-78.

劉憲權，房慧穎.侵犯公民個人信息罪定罪量刑標準再析[J].華東政法大學學報，2017，20（6）：107-115.

馬勝華，張慧云，徐冉.侵犯公民個人信息罪的司法認定[J].人民檢察，2017（14）：77-78.

例如，1998年出臺的《關于審理非法出版物刑事案件具體應用法律若干問題的解釋》、2012年出臺的《關于辦理內幕交易、泄露內幕信息刑事案件具體應用法律若干問題的解釋》。

莊緒龍.侵犯公民個人信息罪的基本問題——以“兩高”最新頒布的司法解釋為視角展開[J].法律適用，2018（7）：16-23.

喻海松.刑法的擴張——《刑法修正案（九）》及新近刑法立法解釋司法適用解讀[M].北京：人民法院出版社，2015 年版.第148 頁.