公民個人信息刑法保護的碎片化與體系解釋解析

吉林大學法學院 蘭昊駿

計算機網絡的普及，隨之帶來的便是公民個人隱私安全問題。人們上網有可能會輸入個人信息，導致隱私信息遭到泄露。在技術不斷先進的當下，不法分子也會獲取到他人的隱私信息，并用于非法牟利，這在如今社會中已經十分普遍。公民個人信息泄露、信息遭到竊取等情況，對其正常生活、財產安全造成了極大的威脅。現如今社會各界對個人信息的保護意識逐漸增強。以公民個人信息刑法保護為對象的刑法體系，不可避免地會出現體系不健全、刑法保護碎片化等現象。社會公民信息覆蓋范圍比較廣，如公民身份信息、個人隱私信息等，這些獨立性信息一旦被泄露，極有可能會被不法分子非法使用。刑法保護一般有其規定范圍，而且并非所有公民信息均在刑法保護范圍之內。信息技術逐漸普及的當下，對社會公民隱私信息外泄、被不法分子利用等問題必須加以關注并解決。為此，本文立足于公民個人信息刑法保護，對存在的碎片化問題加以闡釋，并且對于公民個人信息刑法保護體系做出解釋。

一、公民個人信息的內涵與法益結構

（一）公民個人信息的內涵界定

我國現有立法、司法解釋中，涉及“信用卡信息”“個人信息”“身份信息”等概念，而且近年來在刑法立法與司法解釋中新增了“公民個人信息”這一規范性概念[1]。“個人信息”如果只是被視為自然人人身、財產權，那么“公民”在該概念中難免會“畫蛇添足”“個人信息”除了包括自然人所享有的個人權利外，還關系到社會公共利益、國家安全，法益既代表著個人信息權利，又表示了綜合性權利或利益，所以“公民個人信息”作為概念表述具有一定科學性[2]。

對于刑法規范涉及的“公民個人信息”概念的認知，在學術界存在一定的爭議。一些學者指出公民個人信息本質屬性的關鍵是可識別，而且自然人相關、單獨，或者是和其與信息加以組合，也能夠對特殊個人身份信息進行識別，以上均屬于公民個人信息范疇；也有一些學者指出，公民個人信息范圍可以限縮解釋，即對于一些特殊個人身份公民個人信息的識別[3]。除了這兩種聲音之外，個人信息包含的“信息”需要受到法律保護，換言之，即要與主體特定人格權益和因此引發財產權益有必然聯系。在《網絡安全法》中指出了個人信息的概念，“電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息[4]。”如果從立法目的的角度分析，《網絡安全法》的最終目標是維護網絡信息安全，對比《刑法》則更加關注公民個人信息權利，由此建議可以適當拓寬法益保護范疇。

（二）公民個人信息的法益結構

《刑法》關于“公民個人信息”法益屬性的要求，在學界內也存在主觀認知方面的爭議。例如一些學者認為公民個人信息法益可以直接理解為個人隱私權，同時包括公民個人隱私不受侵犯、公民對自己個人信息的控制權。另外一些學者認為《刑法》涉及的侵犯公民個人信息罪法益，可以將其認定為公民人格尊嚴、個人自由，其中隱私利益僅為個人尊嚴保護范疇的內容[5]。除此之外，部分學者指出，《刑法》中關于“公民個人信息”的判斷，可以將“私人生活安寧”設定為判定標準，這就引出了另外一種聲音，認為公民個人信息除了會干擾公民個人信息安全和正常生活，還威脅到社會公共秩序、信息主權、國家安全，也因此被賦予了“超個人法益”屬性。

從公民個人信息傳統個人法益的角度分析，很多學者非常關注公民個人信息權、隱私權，而且指出其性質、覆蓋范圍不相同。個人信息、隱私對應的對象屬于交叉關系，若個人信息和私人生活敏感點有關，便可將其納入隱私范圍，部分信息具有較高的公開性，便不屬于隱私范圍[6]。界內也有一些聲音指出，刑法無法絕對化保護個人信息，建議僅限制在公民個人信息表現出來的公民隱私權，涉及公共生活的信息則應從刑法規制范圍內排除。如果刑法對侵犯公民個人信息這一類行為進行了遏制，那么便需要提高相應的犯罪成本，如認可公民個人信息所具有的財產屬性，分離人格權、財產權，面對公民個人信息被侵犯的現象需要追究刑事責任。

從公民個人信息“超個人法益”的角度分析，大數據時代環境下侵犯公民隱私權與財產權這一類的私權行為，導致個人信息泄露，無法對公民個人信息非法使用方法、造成效果進行規制，需要認定個人數據信息的屬性為公共物品，并加大治理力度，以此來維護社會公共利益，保護國家信息安全。刑事立法往往側重于預防性刑法條款適應性較高的“超個人法益”犯罪，法益功能由最初的出罪化向入罪化轉型，也使得公民個人信息法益保護向公共化轉變，并且朝“超個人法益”趨勢演進[7]。這里提到的“超個人法益”，一般是法益概念涉及個人法益，且相互區分與聯系的利益，認為自身即為所有個人法益集合。《刑法》包含的公民個人信息法益，其一為公民個體人格權、財產權的傳統法益，其二為信息范圍內國家與社會公共利益、安全、秩序為代表的新型法益。法益結構多元化，可以直接從刑事立法、司法解釋得到印證。如在《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（下稱《解釋》）中涉及“非法獲取、出售、提供公民個人信息，且造成重大經濟損失或者惡劣社會影響的”內容，按照《刑法》規定，判定“情節特別嚴重”，由此可以認識到本罪超個人法益的屬性[8]。通常人身法益為專屬法益，無法與財產法益一樣相加重疊。然而侵犯個人法益一旦超出相應界限，便會使公民個人信息權疊加，繼而對集體法益造成損害。所以，要想杜絕刑罰懲治不到位、過度濫用等現象，公民個人信息“超個人法益”建議按照相關信息安全等級、受到不法侵害風險程度等，立足于多層次與體系化的角度對其進行刑法保護。

二、公民個人信息保護刑法體系的內部協調

（一）侵犯公民個人信息犯罪情節的適用解釋

按照《刑法》規定：“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金[9]。”此概括性定罪量刑標準，一般會綜合考慮信息的數量、類型、侵權次數以及交易金額等因素，判定具體行為是否滿足“情節嚴重”這一標準。基于此，則應重點分析信息種類、數量以及實際用途等。

首先，判定信息類型。《解釋》有關于公民個人信息的分類，主要有行蹤軌跡信息、征信信息、財產信息、通信記錄、交易信息等，大體被分為三種，即高度敏感信息、一般敏感信息、普通個人信息，每種信息的入罪標準依次是超過50條、500條和5000條。如果僅從信息種類這一維度進行判定，并不能清晰地確定是否屬于敏感信息以及具體的敏感程度，從而對刑法保護判斷的必要性做出解釋[10]。另外，根據《解釋》要求，公民個人信息種類可以根據信息敏感性與具體程度進行界定，關鍵體現在隱私權、人格權、財產權。通常公民個人敏感信息與人身安全、財產安全有關。若公民個人信息被非法竊取、出售，很大程度會出現綁架與詐騙等關聯性犯罪行為，也會在社會中釀成極大的危害。為此，司法機關對于公民個人信息種類進行區分，綜合判定權利屬性，確定是否需要將其納入至刑法保護范疇。以上信息種類的法益關聯性、刑法保護重要程度不完全一致，也會存在屬于高度敏感信息、一般敏感信息，或者是普通個人信息的情況。如果只是根據信息種類，其實并不能合理區分，且給出實際判斷，應該綜合多項因素綜合判定。作為司法機關，遵循“從一重處理”這一原則，若可以認定為“行蹤軌跡信息”是高度敏感信息，那么便可根據《解釋》中“50條以上”這一入罪標準作出判定，否則要根據“500條以上”或“5000以上”的入罪標準進行判定[11]。

其次，判定信息數量。計算公民個人信息條數，是侵犯公民個人信息罪判定的關鍵流程。

因為批量個人信息數量較大，增加了信息真實性、重復性識別的難度。根據《解釋》要求：“對批量公民個人信息的條數，根據查獲的數量直接認定，但是有證據證明信息不真實或者重復的除外。”如果信息數量較大且種類復雜，在此情況下詳細劃分信息類別并計算，不僅工作量大，還存在難度。實際計算過程中，信息條數一般是由司法鑒定機構將重復數據去除之后獲得。實際上司法機關無須劃分批量信息的類別，而是直接按照《解釋》規定確定入罪標準，即普通個人信息數量在5000條以上即為入罪標準，若將信息認定為高度敏感信息、一般敏感信息范疇，便要由司法機關予以舉證[12]。

最后，判定信息用途。以非法渠道獲取、出售的公民個人信息，多數是有特殊的用途，例如電信詐騙、敲詐勒索等。若涉案公民個人信息在犯罪活動中得到使用，那么對于權利人而言，其人身安全和財產安全必然會面臨高風險，甚至導致一些實質性傷害。若涉案的公民個人信息沒有在犯罪行為中使用，則表示其社會危害性比較小，不建議直接將其作為刑事規制參考依據。

（二）侵犯公民個人信息關聯罪名競合的處理

基于司法適用的情況下，侵犯公民個人信息罪、關聯罪名聯系的處理，在公民個人信息刑法保護體系中是非常關鍵的問題之一。侵犯公民個人信息罪與關聯罪可視為罪名的集合，一般有“罪群”的說法，其中侵犯公民個人信息罪屬于重點內容，更是其他罪名相應罪刑關系加以協調的重要銜接。各個罪名組成要件不能重疊與發生沖突，還需要針對罪名、法條競合關系進行處理，使刑法規范適用能夠始終保證統一性、協調性。那么關于侵犯公民個人信息關聯罪名競合的處理，提出以下兩點建議：

首先，按照《解釋》規定，對于以非法途徑獲取、出售公民個人信息的犯罪行為，相關網站與通訊群組等，根據犯罪情節，可參照《刑法》中的“以非法利用信息網絡罪定罪”給予處罰。如果已經構成了侵犯公民個人信息罪，則需參考對應條例進行定罪處罰。其次，《解釋》中涉及網絡服務提供者在公民個人信息保護方面需要承擔的刑事責任與義務，如果沒有落實好個人信息保護的相關舉措，且確定與《刑法》相關規定相符合，即可將其判定為“拒不履行信息網絡安全管理義務罪”。最后，以非法手段采集公民個人電子信息這一行為，很大概率會同時觸犯“侵犯公民個人信息罪”“非法獲取計算機信息系統數據罪”，這在刑法范圍內屬于想象競合犯，需從一重罪處斷。

三、公民個人信息保護刑法體系的外部銜接

在公民個人信息保護刑法體系以外，《刑法》《侵權責任法》等作為部門法，需要彼此銜接與協調，以侵犯公民個人信息行為為重點，建立法律責任以及犯罪行為的制裁體系。如今關于個人信息保護法，公民個人信息保護有關的法律法規，通常只是在一些低層級的行政法規和部門規章中散落存在，這便使侵犯公民個人信息罪被賦予了非典型行政犯的屬性。公民個人信息保護必須參考的行政法律為《網絡安全法》，下面針對公民個人信息保護刑法體系的外部銜接，從《刑法》《網絡安全法》銜接的角度展開分析。

判定侵犯公民個人信息罪范疇是否包含“使用”信息這一行為，根據《網絡安全法》和《解釋》的相關規定，前者要求任何個人、組織“不得非法出售或者非法向他人提供個人信息”，后者則規定“未經被收集者同意，將合法收集的公民個人信息向他人提供的行為”，屬于《刑法》中規定的“提供公民個人信息”這一范疇，處理之后依然不能準確識別，以及特殊個人與無法復原的情況可不予考慮。該項內容與《網絡安全法》銜接。但是《網絡安全法》中也規定了作為信息收集者，務必根據信息提供者協商的方法、范圍進行使用，即信息使用范圍不能在采集個人信息原始目的范圍以外。所以，所有包括個人信息在內的數據分析，均要與相應人員，即信息提供者個人取得聯系，征得同意之后方可使用。

對于非法獲取公民個人信息“非法性”的認知，按照《刑法》即可了解其中對于“違反國家有關規定”提出的前置性規定。實際上司法機關具有查明規范性文件的義務，判定文件內容是否與行政法律法規相符。此方面需要注意的是，判定公民個人信息行為非法性，其中涉及的獲取公民個人信息，按照《刑法》要求，可以直接描述罪狀為“非法獲取”。從體系解釋的角度，這并不代表不同條款涉及相同概念的同一解釋，而是被解釋為法律條文置身于法律以及法律體系，法條緊密聯系之后，確定其相互關系，并以此為依據作出系統解釋。此外，理解非法獲取公民個人信息這一行為的“非法性”，不能只是一味參照《解釋》條文，還需與《網絡安全法》中與之相關的規定相聯系，作出系統解釋。《刑法》中非法獲取公民個人信息行為的“非法性”，同時包含違反“違反國家有關規定”“雙方約定”。換言之，“違法”范圍超過“違反國家有關規定”，在此基礎上形成的理解可實現《刑法》《網絡安全法》有效銜接，也與體系解釋原理相符。

綜上所述，公民個人信息刑法保護的相關問題已經逐漸得到重視，而且與之相關的法律法規也相繼完善，結合公民個人信息有關的違法行為，針對發現的碎片化問題進行體系解釋，分別針對可能誘發的不同問題展開討論，以期能夠遏制公民個人信息泄漏等現象，保護公民個人信息的隱私性與安全性。