侵犯公民個人信息罪的認定

楊豐帆，彭 榮

（云南大學法學院，云南 昆明 650000）

近年來，日新月異的互聯網、大數據等技術不僅給我們的生活帶來了便利，同時也在某種程度上威脅著我們的個人信息安全，比如最近幾年大數據殺熟、AI 換臉與手機APP 過度收集個人信息等事件頻發，嚴重威脅著公民的個人信息安全。立法機關也關注到了這一問題，有針對性地制定相應的立法。在刑法中設立了侵犯公民個人信息罪，并在相關司法解釋及規范性文件中作出了更為細化的規定。2021 年8 月20 日出臺的《個人信息保護法》也標志著我國在個人信息法治化道路上邁出了重要一步。在此基礎上，刑法中對侵犯公民個人信息罪的規定應被賦予新的內涵，并及時調整認定標準，使其更符合司法實踐的需要。我們對侵犯公民個人信息罪的相關立法和理論進行系統分析，具體到該罪的認定細節上，從個人信息內涵的界定、“違反國家有關規定”的限定以及行為方式內容的調整三個方面對該罪的認定標準進行審視，并提出相應的調整策略，以期能對司法實踐中認定該罪有所助益。

一、個人信息內涵的界定

《刑法》第253 條之一對侵犯公民個人信息罪進行了規定，但并未明確個人信息的定義。2017 年頒行的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）和2021 年頒布的《個人信息保護法》對個人信息進行了不盡相同的規定。通過對《解釋》第1 條和《個人信息保護法》第4條規定內容的解讀可知，二者對個人信息的規定不完全相同。但通過仔細推敲可知，二者雖然在表達上存在差異，但本質并無二致，都體現了個人信息的可識別性這一本質屬性。并且《個人信息保護法》和《解釋》是根據不同的部門法制定的，不同部門法規制的側重點不同，《解釋》作為刑法條文的補充，其側重點在于打擊犯罪，《個人信息保護法》則更注重保護個人信息權益，二者出現不同的規定是可以理解的。

《個人信息保護法》第49條還規定了死者個人信息，這是《刑法》和相關司法解釋中在規定侵犯公民個人信息罪中沒有提及的。那么，死者個人信息可否成為刑法中侵犯公民個人信息罪的規制范圍？學界有不同觀點。對此，筆者持否定觀點。一方面，從文義解釋角度看，侵犯公民個人信息罪的主體限定為“公民”，而公民不包括死者。另一方面，從法益角度看，侵犯公民個人信息罪被規定在侵犯公民人身權利、民主權利一章，通過對該章罪名的分析可知，該章的犯罪對象都是自然人，人身權利、民主權利的也都以生命的存在為前提，死者失去了生命，相應的也就沒有人身權利，其個人信息自由也就不復存在。因此，侵犯公民個人信息罪的主體不應包括死者。然而，《個人信息保護法》第49條規定了死者個人信息，這是否與前述內容相沖突？筆者對此持否定觀點，《個人信息保護法》規定死者個人信息是基于《民法典》第994 條的影響，在《民法典》的基礎上進行的細化規定。在刑法上個人信息的定義排斥死者的個人信息的基礎上，對于《個人信息保護法》對死者個人信息的保護的理解更傾向于對其近親屬權益的保護。

值得注意的是，個人信息在《個人信息保護法》中被分為兩大類，分別是一般個人信息和敏感個人信息，并對敏感個人信息進行了概括式和列舉式相結合方式的規定。而《解釋》則將公民個人信息分為三大類，并多是以列舉方式進行分類。顯然，與《個人信息保護法》相比，《解釋》對個人信息分類較為混雜，且歸納性較差，不同類別還可能存在交叉、重合的現象。根據《解釋》的分類很難將融合度較高的信息準確劃分類別，比如“健康碼”既可以因其反映個人身體健康狀況被劃分為“健康生理信息”，也可以因其包含行程信息被劃分為“行蹤軌跡信息”，這就導致司法認定的分歧。加之《解釋》對個人信息的分類采取列舉規定的方式，容易忽略一些信息，比如信息時代下越來越引起重視的生物識別信息，生物識別信息包括指紋、人臉、虹膜、筆跡、聲音等，與健康生理信息不同，其與公民人身安全、財產安全聯系密切，應在刑法上給予特殊保護。

同時結合司法實踐案例的情況進行分析，有學者以“侵犯公民個人信息罪”為關鍵詞，選取2009年2月至2021 年7 月在裁判文書網上公開的刑事案件判決書，共覆蓋案件8418件。通過相關技術處理，對案件進行實證研究分析，得出結論，個人信息的分類制度有待完善，對于敏感個人信息的認定，法官準確識別的準確性更不理想。[1]相較而言，筆者認為《個人信息保護法》的分類方式更加科學合理，且歸納性較強，通過“二分法”和“概括+列舉”相結合的分類方式，可以比較精準地歸納個人信息，在司法實踐中具有更強的可操作性。在此基礎上，應及時對《解釋》進行修改或者重新規定相關司法解釋，適時調整個人信息的分類方式，對其進行“二分法”規定，既可以表明從刑法層面對《個人信息保護法》分類標準的肯定，又可以使不同法律文本之間更加協調。

二、“違反國家有關規定”的限定

根據《刑法》第253 條之一的規定，“違反國家有關規定”是侵犯公民個人信息罪的重要構成要件，同時，“違反國家有關規定”這一描述采用了空白罪狀的形式進行表述。“違反國家有關規定”中的“有關”二字是《刑法修正案（九）》增加的，《解釋》第2 條提出“違反國家有關規定”中的“國家有關規定”包含部門規章。然而，理論界和司法實踐中對“國家有關規定”的范圍仍不能達成一致。因此，有必要對“違反國家有關規定”的范圍進行明確。

“違反國家有關規定”這一表述屬于空白罪狀，在當前信息化發展迅速的背景下，該部分采用空白罪狀具有一定的優勢，一方面有利于保證刑法條文的穩定，另一方面在罪名認定方面又具有靈活性，在不頻繁修改刑法條文的情況下還能應對經濟社會發展帶來的信息犯罪的變化。[2]（P77）那么，“國家有關規定”是否應包含法律和行政法規之外的部門規章？學界有不同觀點。有學者認為，此處的“國家有關規定”應包含部分部門規章，前提是這些部門規章不與相關法律、行政法規相矛盾。[3]還有學者認為，不應將部門規章涵蓋在此處的國家有關規定范疇，以避免過于寬泛的前置法導致刑法適用的混亂。[4]對此，筆者比較贊同后一種觀點。原因如下：其一，部門規章的目的與刑法的目的未必完全契合，且不同部門規章對侵犯公民個人信息罪的認定難免出現不一致的地方，如果此處的“國家有關規定”包含范圍規定過大，容易在司法實踐中產生不確定性，從而造成司法實踐中的認定困難和認定差異。其二，根據《刑法》第96條的規定，刑法中“國家規定”的范圍并不涵蓋部門規章。其三，部門規章具有局限性，相比之下部門規章的法律位階和效力層級較低，制定程序要求也不如法律和行政法規嚴格，不同部門規章在內容上可能存在矛盾沖突之處，與刑法的嚴厲、審慎的特質不符。總之，如果在確定“國家有關規定”的范圍上，將部門規章囊括其中，則擴大了入罪的口徑，可能影響侵犯公民個人信息罪的認定，從而影響信息社會的發展。因此應對侵犯公民個人信息罪中的“國家有關規定”應作限縮解釋，認為其僅包括法律和行政法規的規定，且行政法規必須通過刑法目的和價值取向的檢驗。

同時還應注意到，只有違反侵犯公民個人信息罪的前置法中的規定的行為，才能認定為“違反國家有關規定”的行為，其前置法包括《個人信息保護法》《民法典》《網絡安全法》等法律。然而并非前置法中的所有行為都屬于此處的“違反國家有關規定”的行為。《個人信息保護法》作為該罪的前置法之一，對罪名的認定起著重要作用。侵犯公民個人信息罪是故意犯罪，并在刑法中規定了非法獲取、非法提供和非法出售個人信息者三種行為方式。

三、行為方式內容的調整

在侵犯公民個人信息罪行為方式內容的認定上，需要明確兩點：其一，行為人的行為是否符合刑法中關于侵犯公民個人信息罪的構成要件；其二，行為人的行為是否造成了法益侵害。根據《刑法》第253 條之一第1 款和第3 款的規定可知，非法出售、非法提供、非法獲取公民個人信息共同構成了侵犯公民個人信息罪的行為方式，即這三種行為是侵犯公民個人信息罪的行為方式內容。這三種行為方式看似囊括了所有對公民個人信息的侵犯行為，但仔細研究不難發現，這三種行為都指的是以非法方式處理個人信息的行為，而不包括合理取得又非法使用行為，這就構成法律規定上的漏洞，忽略了對合法取得后又非法使用個人信息行為的規制。僅靠刑法解釋論把非法使用行為解釋入罪的路徑缺陷較大，需要立法論加以確立。解釋論受到罪刑法定原則和行為性質的限制，一方面若將非法使用行為解釋入罪，易囿于類推解釋的困境，無法保障民眾的預測可能性，另一方面，待解釋入罪的行為需要和被解釋的行為具有同質性，而非法使用行為和現行刑法條文相解釋，超出刑法用語可能的含義，那么就需要刑法將非法使用行為作為獨立的行為規定為犯罪。

個人信息的保護具有風險預防性質，[5]關于侵犯公民個人信息罪所保護的法益，存在個人法益論與超個人法益論兩種不同的觀點。個人法益論可分為隱私權說、人格尊嚴說與個人信息權說等，筆者支持個人法益論中的個人信息權說。個人法益觀更傾向于對公民個人權利和自由的保護，將側重點置于主體層面；個人信息權說，作為一種新型權利，提倡侵犯公民個人信息罪的法益不再是高度概括性的公民人格尊嚴與個人隱私，而是根據民法等實定法相關規定，從中分離為獨立的個人信息權。個人信息權說是在當代大數據時代的背景下提出的，蘊含信息自決權，也就是對于信息的排他、選擇與決定權。個人信息保護具有風險預防屬性，信息自決權也意味著以手機軟件商為代表的此類行為人，不能在以合法的手段獲取、利用用戶合法的個人信息的前提下，卻非法使用用戶個人信息甚至給用戶帶來涉及人格或財產方面的損害。有學者提出個人信息保護的風險預防屬性，[6]需重視規制合理取得但又非法使用的行為。個人信息犯罪的自我決定權決定著他人的個人信息即使源于合理取得，也不能非法使用甚至給信息所有人造成包括人格與財產上的損害。，侵犯個人信息自決權的實質是對個人自由權的侵犯，此應是刑法保護的重點之一。當前《刑法》中規定的侵犯公民個人信息罪的行為方式內容不夠全面，應全面分析并概括侵犯公民個人信息罪的行為方式內容，及時對當前的相關規定作出調整，并將合法取得公民個人信息后又非法使用的行為也納入刑法規制范圍。

調整侵犯公民個人信息罪的行為方式內容有其合理性和必要性。與單純非法使用行為相比，合法取得后又非法使用的行為顯然更具社會危害性。因為與合法獲取公民個人信息相比，非法獲取公民個人信息在現實中本身就更具困難性，而通過合法手段，行為人可以比較輕松地獲取到大量的公民個人信息。比如現在多數手機軟件在注冊使用之前首先要求獲得用戶的基本信息，否則不能正常使用該軟件，而用戶基于生活便利或者其他原因，不得不同意獲取其信息的要求從而繼續使用該軟件。2021 年出臺的《個人信息保護法》對非法使用個人信息行為作了明確的禁止性規定，然而《刑法》第253條之一的規定卻有一定的局限性，并未包括單純的非法使用行為。在《個人信息保護法》已經頒布的時下，應將合法獲取又非法使用的行為增添至刑法之中，以最大程度規范使用公民個人信息的行為。[7]相較于非法獲取個人信息，以合法方式獲取個人信息難度要更小一些，再加上當前信息時代，互聯網技術的發展使信息的獲取更加便捷，互聯網上存在著大量可供隨時獲取的信息，其中就包含公民個人信息，這些信息并不需要借助非法手段即可輕易獲取，這加劇了侵害公民個人信息的形式多元化態勢。[8]通過實踐考察可知，單純非法使用公民個人信息行為在現實中占據重要地位，這迫使刑法不得不重新審視非法使用個人信息行為的社會危害性。信息的非法使用行為的侵害具有直接性和精確性，甚至可能危機社會安全和國家安全。如果放任這些行為，容易衍生出更多黑灰產業鏈侵犯公民的個人信息安全。[9]應以風險防范為基礎構建個人信息合理利用的規范體系，根據個人信息的性質，分為隱私性、流通性、存在潛在風險性三個層次，采取不同的預防措施。同時根據刑法“入罪舉輕以明重”的原則，應調整并擴充侵犯公民個人信息罪的行為內容，使其更加全面具體。

調整侵犯公民個人信息罪的行為方式內容有其正當性與可行性。《民法典》《個人信息保護法》等相關法律的出臺為此提供了前提和基礎。2020 年《民法典》第111條從民法層面對個人信息保護進行了規定，該條規定屬于概括性規定，具有原則性的特征。有了《民法典》這一個人信息保護基礎框架的搭建，2021年《個人信息保護法》第10條對個人信息保護作了進一步的細化。從整體上看，《民法典》和《個人信息保護法》是侵犯公民個人信息罪的前置法。眾所周知，前置法可以為此后立法提供借鑒和支持。前置法已經將非法出售、提供、獲取的行為明確規定為違法行為，這些行為在刑法中也被規定在侵犯公民個人信息罪中。除此之外，前置法還將非法使用個人信息行為認定為違法，然而這些行為尚未被刑法規定為犯罪。筆者認為，對前置法認為是違法行為的，刑法確實不能當然認定為犯罪。換言之，并不是前置法規定的違法行為都要在刑法中被認定為犯罪，還需要考慮其法益侵害性和社會危害性。關于調整侵犯公民個人信息罪行為方式內容的重點在于，一方面前置法已經對合法取得并非法使用公民個人信息的行為進行了規制，刑法將其納入規制范圍有利于維護法秩序的統一；另一方面該行為的確具社會危害性，屬于刑法打擊犯罪的內容，需要刑法加以規制，因此刑法也應將其規定為犯罪。在具體條文的調整中，可以通過修改《刑法》第253條之一的規定，將“合法獲取后非法使用個人信息”的行為作為新增內容納入其中，并作出從重處罰的規定。具體而言，以合理獲取為前提的非法使用行為，相比于非法獲取、出售或提供的行為的法益侵害性更強、社會危害性更大，從重處罰該行為高于后者三種行為的法定刑，才能從嚴打擊、規制非法使用行為，符合罪責刑相適應原則。新增內容因具有從重處罰的性質，應將其歸入已經規定侵犯公民個人信息從重處罰的《刑法》第253條之一的第2款更為合適，法條整體變動性相對較小，更利于維護刑法的穩定性。若增添于第1款，不符合法條設立的簡潔性與經濟性；若增添于第3款，與第3款的非法獲取個人信息存在源頭上的矛盾。

從比較法上看，將非法使用個人信息行為作為獨立行為入罪已經成為許多國家不謀而合的共識。以美國、韓國和日本的相關規定為例，美國處理個人信息的內容包括個人信息的使用，并將其規定在《防止身份盜竊及假冒法》中，此外，還規定了非法使用行為構成聯邦犯罪；[10]韓國也對非法使用個人信息作出了限制性規定，在《個人信息保護法案》中對非法使用行為作出了五年以下法定刑的規定。[11]日本也將非法使用個人信息行為入刑。[12]

結語

信息時代下，互聯網和大數據等技術不斷向縱深發展，在給人們生產生活帶來便利的同時，嚴重威脅著個人信息安全。在此背景下，對個人信息的保護不應是片面的，對侵犯公民個人信息罪的認定更是如此，討論侵犯公民個人信息罪保護法益，無疑具有理論和實踐意義。該罪法益的確定基于法律一體化思維，視角不易局限于刑法內部，結合《個人信息保護法》、《民法典》等前置法規定，確定該罪法益為個人法益，是大數據時代新型權利的個人信息權。在確定該罪法益基礎上，對信息時代下侵犯公民個人信息罪的認定進行分析和調整，修改與前置法相沖突的內容，對個人信息的認定作出與時俱進的調整，使《刑法》與其他法律法規內容相協調，杜絕個人信息非法使用現象的發生，全方位保護公民個人信息安全，從而維護社會秩序的穩定。