問題四：民法典、個人信息保護法如何助力刑法完善侵犯公民個人信息罪的出罪機制？

在法秩序統一原理下，民法典、個人信息保護法除了為刑法提供適用標準、劃定犯罪圈以外，還有一個極為重要的功能是提供出罪事由。以獲取已公開個人信息案為例來討論這個問題：如獲取已在公共網絡上公開的企業登記信息、征信信息等，并出售或提供給他人的情形是否定罪、如何出罪，在實務上歷來都有爭議。在此僅對部分學者的觀點進行介紹。

劉艷紅：用戶自愿的民事授權行為阻卻處理行為的違法性

劉艷紅教授引用了喻海松法官編撰的案例展開具體分析：某甲從商貿網站和政府部門公開的企業信息網上收集企業公開發布的信息，包括公司的名稱、產品、經營行業、注冊信息和公司法定代表人、聯系人的姓名、職務、聯系方式等。甲將上述信息存入數據庫，供他人付費查詢使用。甲的行為是否構成侵犯公民個人信息罪？

在此可以援引個人信息保護法的相關條文作為參照。本法第十三條第一款第（1）項規定，取得個人的同意，個人信息處理者可以處理個人信息。而根據本法第四條規定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。

劉艷紅教授認為，雖然甲從形式上都符合犯罪構成要件的規定，比如甲主觀上出于故意，客觀上實施了未經他人授權或同意即爬取他人信息的行為，尤其是其在爬取后，通過他人付費而將爬取到的信息提供給他人，這一行為更是沒有經過信息權人的同意，假設甲涉案的信息數量也達到了立案標準，那么從形式上看，將甲的行為定為侵犯公民個人信息罪似無疑問。

然而，如果聯系本罪的法益即信息自決權分析，既然“信息自決權是指每個人自行決定與其個人相關的數據在應用上的權利，即每個人都必須知道，他自己的信息對于誰、何時以及哪些得到了公開”，那么，商貿網站和政府部門公開的企業信息網上由其公開的法定代表人或聯系人的個人信息，即為當事人同意并授權這些網站予以公開的，這些個人信息的發布是經過公民個人自由選擇自己決定的結果，甲上網爬取這些信息，并沒有侵犯公民個人信息自決權，沒有侵犯刑法第二百五十三條之一的保護法益。因此，甲的行為不應構成侵犯公民個人信息罪。

至于如果甲將這些信息又提供給他人的，除相關權利人要求“二次授權”的以外，宜推定存在概括同意，不宜對收集后出售或者提供的行為要求“二次授權”，不應構成刑法第二百五十三條之一第1款規定的出售、提供型侵犯公民個人信息罪。甲在網上獲取這些信息是源頭行為，出售和提供給他人是下游行為，源頭行為合法，下游行為也不應入罪。同樣的道理，對于用戶在微博上自行公開的郵箱、電話號碼、工作或家庭地址以及用戶在單位網站公布的郵箱信息等等，如果使用爬蟲行為予以取得的，也應當認定用戶作出了自愿公開的民事授權行為，因而阻卻爬蟲行為的違法性，爬蟲行為不應構成犯罪。

進一步，劉艷紅教授對網絡爬蟲行為進行了更為全面而深入的研究，并認為應當分別從形式和實質兩個維度加以判斷：

第一步，從形式上來看，通過違反國家法律、行政法規、部門規章等有關收集、處理、利用數據信息的規定，或者行業規則即爬蟲協議的網絡爬蟲行為來獲取公民個人信息的，可以認定為“以其他方法非法獲取公民個人信息”之“非法”。

第二步，從實質上來看，行為人在權限許可范圍內使用爬蟲行為獲取公民個人信息的，不屬于“非法”，不應認定為犯罪；行為人采取爬蟲行為非法收集的如果是無法識別特定自然人身份的公民個人信息，即便爬蟲行為性質上非法，也不構成犯罪。

總之，通過形式判斷與實質判斷、形式入罪與實質出罪雙重機制，合理地實現對網絡爬蟲行為的刑事規制。

周光權：不改變信息公開的目的或者用途可以阻卻侵犯公民個人信息罪的成立

周光權教授對實務中那種一概認為“有罪”或者“無罪”的觀點均進行了反駁，認為應當基于法秩序統一原理，對已公開的個人信息進行目的或用途的檢驗，提出處理本類案件的合理主張應當是：獲取、提供已公開的個人信息但改變信息公開的目的或者用途的，可能成立侵犯公民個人信息罪。反過來說，獲取、提供已公開的個人信息但是沒有改變原來的目的或者用途的，不成立侵犯公民個人信息罪。

此時需要特別關注前置法的相關規定。如民法典第一千零三十六條強調，如果行為系對已公開的個人信息進行不合理處理的，仍然應當承擔侵權責任。換言之，民法典允許對已公開的個人信息進行合理的處理，法律只是對于那些“不合理地處理”已公開的個人信息的行為持反對態度。民法典的這一態度在個人信息保護法中也得到了貫徹。在此基礎上，周光權教授具體闡述了可以定罪與不宜定罪的情形：

1.處理已公開的個人信息可以定罪的情形：第一，明顯違背已公開個人信息的公開目的的。第二，明顯改變已公開個人信息的用途的。第三，利用已公開個人信息實施可能危及公民人身或財產安全的違法犯罪行為的。例如，互聯網公司工作人員將其在工作中獲取的個人已公開信息出售給體檢機構，以便于后者拓展客源的；再比如，通過公開征信系統獲得他人手機號之后對個人進行追蹤定位的，使他人的生命、身體陷入危險。周光權教授進一步認為，即便否認這些個人信息屬于個人隱私，或系依法注冊登記而被公開，也不能阻卻違法性。

2.處理已公開的個人信息應當出罪的情形：第一，針對已公開的個人信息僅實施單純獲取或爬取、持有等行為的。由于行為人還沒有將該信息予以批量出售、提供，很難判斷他人后來對于該信息的使用目的是否與個人公開其信息時相同，也無法確定信息的用途是否被改變，難以得出行為人侵害被害人法益處分自由的唯一結論。第二，獲取、提供他人已公開的個人信息的目的是幫助行為人拓展業務的情形。如企業注冊登記或者將其信息在征信系統中收錄，其目的是為了企業自身發展。行為人處理企業公開信息中包含的個人信息，如果與該企業的經營發展目的相一致的，應當認定該處理信息行為具有合理性。第三，獲取、提供他人已公開的個人信息的目的是為企業發展提供貸款等金融支撐的情形。企業的發展需要使用支付、結算器械，向企業推銷此類產品不違背企業設立的目的。

〔文獻來源〕

周光權：《刑民交叉案件的判斷邏輯》，載《中國刑事法雜志》2020年第3期。

周光權：《法秩序統一性原理的實踐展開》，載《法治社會》2021年第4期。

周光權：《侵犯公民個人信息罪的行為對象》，載《清華法學》2021年第3期。

張新寶：《〈民法總則〉個人信息保護條文研究》，載《中外法學》2019年第1期。

張新寶：《新寶看法（十七）丨敏感個人信息的強化保護》，載微信公眾號“教授加”2021年9月1日。

劉艷紅：《侵犯公民個人信息罪法益：個人法益及新型權利之確證——以〈個人信息保護法（草案）〉為視角之分析》，載《中國刑事法雜志》2019年第5期。

劉艷紅：《民法典編纂背景下侵犯公民個人信息罪的保護法益：信息自決權——以刑民一體化及〈民法總則〉第111條為視角》，載《浙江工商大學學報》2019年第6期。

劉艷紅：《網絡爬蟲行為的刑事規制研究——以侵犯公民個人信息犯罪為視角》，載《政治與法律》2019年第11期。

劉艷紅：《法秩序統一原理下未成年人保護制度的刑民銜接適用》，載《現代法學》2021年第4期。

程嘯：《民法典編纂視野下的個人信息保護》，載《中國法學》2019年第4期。

程嘯：《〈個人信息保護法〉——“十大亮點”彰顯個人信息全面保護》，載《檢察日報》2021年8月30日第3版。

程嘯：《我國個人信息法律保護的里程碑》，載《經濟參考報》2021年8月24日第006版。

姜濤：《新罪之保護法益的證成規則——以侵犯公民個人信息罪的保護法益論證為例》，載《中國刑事法雜志》2021年第3期。