侵犯公民個人信息罪的法益證成與處罰條件限定

［摘要］自侵犯公民個人信息罪設置以來，該罪之法益究竟是什么，刑法學界始終存在巨大的分歧。較為常見的做法是，通過對構成要件的解釋來確定該罪的法益，但如此一來會使該罪的法益證成側重于形式層面，進而導致其法益證成出現循環論證現象。如果根據實質法益之立場確定該罪法益的話，就不難發現：一方面，集體法益觀將個人信息的社會屬性凌駕于私人屬性之上，違背了個人信息刑法保護的個人本位；另一方面，個人信息的社會屬性的日益增長，個人法益觀主張的信息自決權不能滿足實質法益的自由保護要求。對此，應當在公民人格權的基礎上，構建符合個人信息雙重屬性的個人信息受保護權；同時，為保障個人信息的自由流通及合理使用，有必要對個人信息刑法保護范圍進行限縮，重構個人信息受保護權的同意機制，實現侵犯公民個人信息罪處罰條件的實質性限定。

［關鍵詞］侵犯公民個人信息罪；法益證成；個人信息受保護權；處罰限度

［中圖分類號］D924"［文獻標識碼］A"［文章編號］1003-7608（2024）05-0126-11

犯罪的本質是侵犯了法益。李斯特曾指出，“法益是法所保護的利益，所有的法益都是生活利益，是個人的或者共同社會的利益”［1］。刑法的保護機能主要體現在對各種法益的保護。法益的構造不僅決定了立法過程中對犯罪行為的處罰界限，同時也在司法實踐中確定了某一犯罪成立的構成要件。就侵犯公民個人信息罪而言，自該罪設立之初，刑法學界就從不同視角對該罪所保護的法益進行了探討，圍繞法益的界定始終聚訟紛呈［2］ 。司法實務中，不同的法益立場也決定著侵犯公民個人信息罪的處罰范圍。公民個人信息被刑法保護的前提是實現對個罪法益保護的確證，以此明確個罪適用的規范性標準。由此，本文主要通過檢視既有文獻資料，結合形式法益和實質法益兩個視角針對侵犯公民個人信息罪所保護法益的研究成果，提出在保護公民人格權基礎上，構建符合個人信息雙重屬性的個人信息受保護權，重構個人信息受保護權的同意機制，實現侵犯公民個人信息罪處罰條件的實質性限定。

一、侵犯公民個人信息罪的法益既有成果檢視

（一）與該罪法益相關的主要爭議

自2009年《中華人民共和國刑法修正案（七）》首次對個人信息實施刑法保護后，2015年又通過了《中華人民共和國刑法修正案（九）》，對個人信息違法犯罪問題進行了修改和完善。刑法學領域的研究焦點先后集中在刑法規范的分析與適用上，主要圍繞“出售、非法提供公民個人信息罪”“非法獲取公民個人信息罪”及整合后的侵犯公民個人信息罪的構成要件展開。既有研究成果表現出鮮明特點，即主要以法益具體內容為視角，可概括為集體法益與個人法益的沖突，或者個人法益說與超個人法益說這兩類截然不同的觀點的論爭［3］。其具體爭議問題歸納起來大致集中在以下幾個方面。

1.公民個人信息屬性之爭

“大數據時代的來臨，其表征之一就是對與個人相關的數據的海量收集、分析與利用”［4］。在大數據對社會的影響日益深化的背景下， 集體層面的公民個人信息的安全愈發受到威脅，由此產生了與傳統個人法益觀相對立的集體法益觀。集體法益觀主張公民個人信息“具有超個人法益屬性”［5］；與之對立的個人法益觀則主張“可識別性”是個人信息的實質標準，認為“出售或提供公民個人信息中公民個人信息的范疇應限縮為可直接識別特定個人身份的公民個人信息”［6］。

2.“違反國家有關規定”之爭

“違反國家有關規定”作為侵犯公民個人信息罪之必備要素，存在如下爭議：該罪系自然犯或法定犯，以及該罪之法益是否屬于集體法益［7］。刑法在規范層面尚未明確侵犯公民個人信息罪的法益，刑法規范的解釋成為法益證成的關鍵途徑。該論證思路的前提在于刑法規范的明確性，而我國刑法關于“違反國家有關規定”的界定存在一定爭議。2017年，《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《個人信息司法解釋》）第二條將“違反國家有關規定”界定為“違反法律、行政法規和部門規章關于公民個人信息保護的規定”。此解釋涵蓋了與公民個人信息保護相關的所有法律規范，這導致其限制作用的實際效力近乎喪失。因此，在認定該罪法益受到侵害的過程中，司法實踐逐漸轉向集體法益觀所主張的抽象判斷方式，這不利于具體法益保護內容的界定。

3.“情節嚴重”含義之爭

“情節嚴重”作為判斷法益被侵害程度所依靠的客觀違法性事實，是侵犯公民個人信息罪的入罪標準，主要依據《個人信息司法解釋》中對個人信息數據用于犯罪、來源非法、數額多少等的規定來評估法益侵害的程度。此處討論的重點在于，本罪保護的是個人法益相加的法益集合，還是超個人的集體法益［8］。然而，“情節嚴重”的認定在理論界與司法實踐中始終存在爭議。《個人信息司法解釋》根據個人信息種類劃分為三個層級的入罪標準，但在結構設置上存在不合理之處，對于“情節嚴重”的認定，實質上更需要明確法益。

（二）該罪法益證成中的循環論證問題

當前，我國學界在探討侵犯公民個人信息罪的法益時，主要側重于通過解釋構成要件的方式，對法益進行形式層面的界定。但是，這種形式的界定方式會導致本來應依法益來設計構成要件，現在又通過對構成要件的形式解釋來推斷法益。這種循環論證無論是邏輯上還是結論上都難以令人信服。

對侵犯公民個人信息罪來說，我國刑法并未規定保護其法益的種類與具體內容。也正因為該罪的法益尚未明確，導致其在“公民個人信息的屬性”“違反國家有關規定”的界定，以及“情節嚴重”的含義等構成要件核心問題上出現爭議。同時，刑法學界和實務部門則意圖通過解釋構成要件的方式以還原所保護法益內容，是把法益定義為從個罪的構成要件推導出來的刑法保護利益，使得法益證成陷入了循環論證的境地［9］。換言之，通過該罪的構成要件推導法益內容，勢必會預設一個立場，當不同學者預設的立場存在差異時，得出的結論可能截然不同，甚至完全對立，進而以論證的法益立場解釋構成要件的規范性適用，可能陷入以實然的構成要件解釋應然的構成要件的循環論證現象。

（三）出現循環論證的主要原因

之所以出現上述尷尬局面，是因為刑法學界和實務部門將侵犯公民個人信息罪的法益證成限定在形式層面。而根據對法益概念的功能的不同理解，其可劃分為形式法益（實證法益）與實質法益（前實證法益）。形式法益體現在其與規范之間的關聯，揭示了法益在內在體系構建及犯罪與具體行為之間的連接作用；而實質法益的本質則在于行為所侵害或危害的犯罪對象所指向的狀態或利益，主要展現了法益在體系超越及自由保障方面的功能［10］。正因如此，刑法才能夠在規范和法益上同時實現對行為的規制，從而在本質上被稱為一部法益保護法。“人們以部分的自由利益作為成本，換取國家制定刑法提供相對應的利益保障，此相對應的利益即法益”［11］。這也意味著，刑法以保護法益為目標，決定了法益先于刑事制定法而存在，具有高于實定法之屬性，并塑造了具體法益的構成要件，即作為刑法分則條文規定的罪名的保護法益具有指導罪名構成要件的解釋的地位［12］。也可以說，對具體罪名的法益證成，形式法益與實質法益必須同時存在。

形式法益與實質法益的統一是解決侵犯公民個人信息罪的構成要件爭議的關鍵。眾所周知，法益概念的使用和刑事“不法”之間關系密切。就具體個罪而言，其構成要件決定著不法的程度，因此通過法益實證出來的罪名規范即構成要件能夠推導形式法益進而揭示不法。但是，形式法益能夠詮釋刑事不法是因為其作為方法論，立法者或司法者給它什么標準，它就用什么標準來詮釋，卻缺少說明“不法”應該是什么的能力［13］。既然“不法”的本質是對“整體法律秩序的侵害”，那么對“不法”的判斷，侵害原則就是一個必須遵守的基本規則。當法益侵害的標準不明時，無論是對于懲罰功能還是預防功能而言，處置一個不具有任何侵害性的行為，顯然不是刑法的題中應有之義。而這樣的結論對侵犯個人信息罪而言也同樣適用。因此，對形式法益的探究并不能幫助侵犯公民個人信息罪解決關于其構成要件的爭議以及刑事不法的判斷問題。對此，實質法益之引入才是解決問題的妥當對策。

二、實質法益視野下的法益證成規則

誠如前文所述，侵犯公民個人信息罪側重于對構成要件的形式法益界定會導致該罪之法益證成陷入循環論證。對于刑法分則的其他個罪而言，這種方法也會出現類似問題。對此，只有將視角放在實質法益方面，從刑法任務與目的的根據出發，才能提煉出指導刑法分則個罪法益證成的規則。

（一）實質法益對形式法益的檢驗

形式法益與實質法益之間，以及法益的“解釋機能”與“可罰性限縮機能”之間，存在著緊密的對應關系。形式法益與實質法益不是對立的，而是不同功能在不同層面的指向。在應然層面，實質法益區別于形式法益對構成要件的解釋，更強調刑法保護什么利益，從另一個角度理解就是行為侵犯什么利益會被評價為犯罪。總體上，我國學界目前所通行的是以李斯特的利益論為基礎發展起來的法益概念并逐漸形成的法益保護原則。在自然法學派推翻啟蒙時代的神權思想之后，自由成為刑法保護的利益。孟德斯鳩在《論法的精神》中提出，公民對自由的享有需要依賴于刑法［14］。實質法益以自由為基礎對構成要件的解釋提供正當性判斷，形式法益概念旨在闡釋犯罪構成要件，明確刑法所保護的法益范圍，而實質法益概念則闡述哪些法益需刑法保護，從而指導罪名設立。

實質法益功能的發揮以對形式法益的檢驗為基礎，在個罪的認定與歸責層面，如果缺少形式法益概念對犯罪構成要件的闡釋，實質法益就缺少了檢驗的對象。因此，討論具體罪名時需要認定法益功能的實現邏輯，即應在解釋法條時以保護法益為依據，同時反思該利益是否確實值得刑法保護［15］，不僅要從解釋論的角度關注形式法益，還要從立法論視角關注實質法益。實質法益的這種兼顧法益的形式與實質的功能就是法益的立法批判機能。德國學者羅克辛提出，通過考察刑事立法是否符合個人自由保護需要以形式法益來檢驗，“如果罪刑規定既不是保護個人的自由發展，也不是為了保護實現個人自由發展的社會條件，該規定就不具有合理性”［16］。而法益的立法批判機能正是在實質的應然層面對法益內容進行價值判斷的。對此，德國刑法學家哈斯默爾也指出，法益“是行為禁止合法化的核心。如果它不能建立在適當追求認可的目的的基礎之上，那么刑法的行為禁止——以刑罰威脅的形式……就不能被合法化”。這種認可的目的不是別的，而是通過刑法達到的保護法益免于危害。可以說，實質法益是對通過刑法規范解釋得到的結果再次進行檢驗，判斷其是否符合刑法保護自由的要求。

（二）憲法對刑法法益證成的影響

既然實質法益具有對形式法益的檢驗功能，那么，什么是法益限制刑罰權限的基礎？從“法益”概念的產生來看，德國刑法學家比恩保姆提出以“益”（Gut）取代傳統理論上的“權利”（Re-cht）［17］。自由是法益的精神內核。限制刑罰權正是源于法益的自由精神內核，其中包含著法益的價值根據。羅克辛以刑法保護個人自由作為支持法益批判立法的根據，認為“法益是在以個人及其自由發展為目標進行建設的社會整體制度范圍之內，有益于個人及其自由發展的，或者是有益于這個制度本身功能的一種現實或者目標設立”［18］。而憲法作為刑法的上位法，賦予了刑法保護個人自由的任務與權利，同時以法益侵害為國家的刑罰權規定了界限。這也意味著憲法作為法益的根據能夠為法益的塑造提供依據，形式法益概念中的法益也必須具有能稱之為法益的實質內容，即刑法上的法益必須來源于憲法的基本權利的人的生活利益［19］。

憲法對法益提供了規范化的價值判斷要求。憲法作為國家的根本法，具有普遍的約束力，刑法保護的內容不能超過憲法的范圍。實質的法益被詬病的重要原因在于前實證法的價值不具有普遍的約束力。但是，憲法是國家所意圖保護的內容的實定化，其在憲法文本中以條文規范的形式存在，為實質的法益提供明確的證據［20］，同時，憲法從多元的社會價值中選取作為國家強調保護的價值，以憲法確立的價值秩序實現保護。憲法保護公民基本權利，以此作為法益的實質來源是對自由保障機能的再次確證。尤其是在涉及法律解釋時，“法益概念形成歸責輪廓的焦點，并把憲法的自由基本思想直接導入法律的解釋，透過犯罪結構的法益分析，不僅使得立法者的違憲決定無所遁形，亦可以作為法律解釋的基礎，再一次呈現刑法的最后手段原則”［21］。法益的立法批判機能通過考察犯罪對象來限制刑罰權，保障公民自由，憲法要求保護公民基本權利使實質的法益在價值層面受到憲法的約束。據此理解，憲法所提出的約束，為實質法益提供了憲法層面的價值取向，從而在應然層面對法益邊界進行限定，并指導個罪的法益證成。

（三）憲法視角下的法益證成規則

憲法對公民自由的保護要求刑法法益必須具有符合憲法價值秩序的自由保障機能。憲法保障基本權利的目的是防止國家公權力對個人自由的侵害［22］，且能夠提供具體的法益證成規則。

1.公民的基本權利對集體法益的限定

侵犯公民個人信息罪在法益層面最明顯的沖突是集體法益觀對個人法益觀的挑戰。集體法益是法益保護前置化的產物，與主張刑法解釋構成要件的形式法益具有沖突。但實際上，以憲法為根據的實質法益并不會導致個人法益與集體法益的緊張關系，《中華人民共和國憲法》第三十八條規定的“中華人民共和國公民的人格尊嚴不受侵犯”，是憲法保護公民的基本權利的基礎價值原理，這與個人法益所主張保護個人的基本權利在價值層面是一致的。個人法益與集體法益具有相通性，集體法益的保護是對傳統刑法個人法益保護的一種延伸［23］，實質法益發揮的立法批判機能就是對法益的自由屬性的檢視。同時也應當明確，實質法益限定了集體法益的范圍，集體法益不能侵犯個人的自由，集體法益本身就是對個人法益的補充。正因如此，集體法益并不僅以保護秩序為目的，還需要保護個人的自由，如此才能作為刑法保護的法益。“如果某種規定只保護特定的秩序，而不去避免具體的損害，那這些規定在刑法中就沒有任何地位”［24］。與之相對應，在實質違法論內部盡管還存在著法益侵害說（李斯特）和規范違反說（麥耶）之爭（法益侵害說認為，違法性的實質在于對法益的侵害或法益侵害的危險性；規范違反說認為，違法性的實質在于行為與國家的社會倫理規范的不相容，尤其是對法秩序的破壞［25］），但本質上規范違反說的目的仍立足于刑法的目的。我們認為，行為規范是為了防止法益受到侵害，類型化的禁止或誡命之行為態樣，是后續因果發展的前階類型，若不考慮行為所蘊含的可能后續因果發展，則行為規范的內涵自然無從確認［26］。法益侵害說和規范違反說分別從不同的角度揭示了違法性的實質，互為表里，只有結合起來，才能正確揭示違法性的實質［27］。因此，保護抽象的制度和秩序，其根本要義還是為了實現對具體法益的提前保護。甚至，脫離了具體法益，制度和秩序就沒有獨立存在的價值和意義。所以，在論證侵犯公民個人信息罪的法益時，需要立足于公民基本權利。

2.憲法的比例原則對法益保護的補充

法益保護原則不僅限制立法，同時也間接指導著行為的法益侵害評價。法益被理解為法律的目的（法律之理）是因為批判立法的法益要達到告訴立法者合法刑罰處罰的界限的目的［28］，基于此形成的法益保護原則則成為刑事立法的指導思想。法益侵害性“是刑法規范所設定的客觀標準，是評價行為的規范前提”［29］。但問題是，法益保護原則易于導致法益概念的抽象化，這是因為法益保護的內容在不同時代有不同的反映，這也是法益無法形成一個統一的定義的原因。而憲法中的比例原則主要由適當性原則、必要性原則與相當性原則組成，具有約束公權力、保障公民自由的基礎性地位，是公法領域的“帝王原則”，它提供的合憲性解釋，能夠對抽象的法益保護原則進行補充。其一，法益保護的真實性，即刑法保護的利益必須是真實存在的、與個人聯系的利益。這也是法益侵害判斷的前提，只有可損害的利益或價值才具有法益保護的真實性，行為對象必須對人具有價值。其二，法益保護的必要性，即刑法對行為的處罰必須基于社會大眾對法益保護與社會保安的需求［30］。這要求法益不僅需要遵循憲法對公民基本權利的保護，還需要區分刑法與前置法的規制范圍問題。其三，法益保護的價值性，即刑法規制的是造成社會價值損害的行為，如果行為不會造成實質的社會損害或增加了社會價值，法益則未受侵害，刑法不可介入。必要性的判斷需要價值衡量的參與，法益保護的應當是“在憲法上有根據，且具有重要價值并相對具體（的法益）”［31］。

三、侵犯公民個人信息罪的法益界定

刑法學界關于侵犯公民個人信息罪的法益爭議主要集中在集體法益觀與個人法益觀的對立上。而實質法益觀視野下的法益證成規則不僅能夠對目前侵犯公民個人信息罪兩種對立的法益觀進行檢驗，同時也能借助個人信息相關法律規范而實現對侵犯公民個人信息罪法益的準確界定。

（一）信息自決權的個人自由保護困境

在私法領域中，《中華人民共和國民法典》是我國現有的個人信息保護的核心法律，其對個人信息處理過程中信息主體所享有的權利與應履行的義務進行了規定，確保個人信息得到充分的法律保障。私法視角下保護個人信息的理論基礎是公民對個人信息的支配和自主決定，即個人信息權或信息自決權［32］。“無論在法學理論界抑或世界范圍內的立法例中，信息自決權都是在構建以公民個人信息為保護對象的法益時無法回避的一個重要選項”［33］。在個人信息的流轉途徑并不復雜的前提下，個人信息作為具有排他權的客體能夠被私法保護。

將信息自決權作為侵犯公民個人信息罪的保護法益，必然會導致處罰罅隙。信息自決權的排他權依據主要在于，其實現方式能夠保護公民的個人自由。為確保權利人的個人自由，信息自決權需對權利相對人設置限制。這要求信息管理者在事前對信息主體進行充分告知，并征得信息主體即自然人的明確同意。基于此，任何個人信息都對自然人很重要，個人信息權為絕對權，以排他性的支配力保護自然人的個人自由。但是，網絡空間的發展使得個人信息在網絡、搜集、使用與處理的過程中以數據載體的形式流轉，涉及自然人、國家以及網絡服務提供者。信息自決權將自由建立在超出私人領域外的個人信息基礎上，必然會與他人的自由產生沖突［34］。但是，公民確認的知情同意事實上是對信息自決權的放棄，公民難以完全了解個人信息被搜集后如何被使用，而一旦不同意適用，通常無法適用相應服務［35］。但是，即便公民因簽訂某項協議放棄了信息自決權，也不意味著其他公民就能夠無規則地或不合理地使用公民個人信息。相反，個人信息的流轉使個人信息易于超出公民意志而公開。倘若以知情同意的違反作為法益侵害的依據，則可能會導致刑法的規制范圍過于寬泛。

個人自由的保護不能單純地依靠信息自決權的知情同意規則來實現。信息自決權作為個人法益的正當性在于保護附著于個人信息之上的人格權。信息自決權雖然保護與個人相關的利益，但個人關聯性的標準使得人們把感官上接收的外在信息都可能根據個人主觀的價值評價標準而判斷為其利益。然而，即便同一事務，也會因主觀標準不同而呈現不同的判斷。在排他的領域內，個人自由依靠信息自決權而受到保護，比如，故意傷害罪或盜竊罪都不會因行為發生的空間而導致公民的人身權、財產權不受刑法保護。但是，個人信息權不同于人身權、財產權，其社會屬性決定了公民的個人信息也同時存在于不具有排他性的社會現實中。

反映在司法實踐中，是已公開的個人信息面臨的法益侵害判斷問題。在司法實踐中，信息收集者往往因為未獲得信息主體“二次授權”而認定其侵犯公民的信息自決權。在“徐某等侵犯公民個人信息案”中，被告人徐某獲取的是在網絡中已公開的作為企業法人的公某的手機號碼等信息，泉州市某人民法院以缺少“二次授權”為理由認定徐某的行為構成侵犯公民個人信息罪。相似的案例還有“趙某等出售、非法提供公民個人信息案”，重慶市某人民法院將被告人趙某出售獲取的在網絡中公開的個人信息的行為認定為構成侵犯公民個人信息罪。以“二次授權”的缺少認定行為違反知情同意原則的解釋，背后的含義是被害人的同意必須在公示系統中公開。公開的信息被獲取、使用在刑法層面是被否定的，故而被告人的行為違反知情同意原則獲取、出售個人信息的行為侵犯了公民的信息自決權。但是，這種以信息自決權為基礎的刑法不法認定只關注形式上主體的同意［36］，而忽視了對行為的法益侵害判斷。司法實踐中信息收集者雖然在形式上違背了公民的信息自決權，但是作為已公開的信息，信息處理者收集個人信息的行為難以評價為構成對公民人身、財產實際的損失。可以說，大數據時代信息自決權對知情同意機制的過度依賴既未考慮公民同意能力的弱化，也強人所難地要求信息收集、處理者預見到行為所造成的影響。

（二）集體法益觀不符合個人信息刑法保護的必要性要求

集體法益觀無法解釋個人信息的個人屬性全面轉化為社會屬性的依據。集體法益觀以大數據時代下風險社會為背景，主張刑法保護的前置化，即“侵犯公民個人信息罪中的被害人是因為群體被侵害而非個體被侵害而具有刑法保護的必要性，被害人的保護性呈現離散的狀態”［37］。不可否認，風險社會使得信息遭受的風險已然成為普通風險，將侵犯公民個人信息罪的法益解釋為集體法益，可為侵犯公民個人信息罪的規制范圍擴大提供正當性依據，但其無法解釋個人信息的個人屬性全面轉化為社會屬性的依據。究其原因，該類觀點未超脫形式層面討論法益，這種論證雖然可以通過檢視侵犯公民個人信息的規范設置提供集體法益的正當性，但無法解決侵犯公民個人信息罪所遇到的挑戰。

此外，從刑法規范設置的角度也能說明集體法益并不是侵犯公民個人信息罪的法益選擇。刑法作為一個單獨的系統，將刑法條文置于這一體系中進行考量，要求刑法條文的用語、意義在體系上相協調。侵犯公民個人信息罪被設置在刑法分則第四章“侵犯公民人身權利、民主權利罪”中，說明集體法益觀對公共利益的保護并不是該章節所保護的重心；而《中華人民共和國刑法》第二百五十三條除了規定了侵犯公民個人信息罪，在第一款同時規定了私自開拆、隱匿、毀棄郵件、電報罪，該罪規制的是國家郵政工作人員對公民個人信息與通信自由的侵犯，從體系角度來解釋，兩罪的設置目的都在于保護公民對個人信息的排他性權利。第一款區別于第二款僅在于主體的特殊性。集體法益觀也無法滿足刑法的合憲性解釋。實質法益將憲法的自由思想納入刑法解釋，使刑法規范與憲法保持內外協調，實現“法律秩序的統一性”，即合憲性解釋系以法律為對象，在其具體化的過程中，對憲法加以詮解的法律體系解釋。侵犯公民個人信息罪的行為對象最核心的要素是“公民”，公民對權利的排他性享有使這種法益能夠被分配，私人屬性使公民對個人信息在一定領域享有排他權，如果將信息自決權擴張到私人領域外，他人的自由必然會遭受侵犯。從必要性的角度來看，不論是信息秩序說還是信息安全說，都是典型的集體法益觀的產物，都否定了保護公民對個人信息的自我決定權，進而將個人信息放置于社會層面進行保護。換言之，上述觀點實質上否定了信息對個人的歸屬意義，“可識別性”是個人信息區別于其他信息的唯一特征。因此，集體法益在個人信息保護層面不具有刑法保護的必要性，刑法應當在兼顧個人信息的私人屬性與社會屬性的基礎上確定個人法益的類型。

（三）構建以人格權為基礎的個人信息受保護權

人格權是民事主體依法享有的、以人格關系所體現的與其自身不可分離的利益為內容的民事權利。人格自由、人格獨立、人格尊嚴與人格平等是人格權的基本內核。個人信息權的本質應當是人格權。個人信息權之確立，能夠賦予個人具有相對獨特性的私密空間，并使個人能在紛擾的日常事務中保持自我尊嚴。基于此，個人信息是附屬于個人人身的生物信息或社會信息，其以一定載體為存在形式，完全可被視為個人在現實生活中的自我映像。“人的存在不僅以生物體形式展現，還能夠以信息的形式得以描述，人因此具有了一個不同于生物外觀的信息化外觀”［38］。換言之，個人生活在信息社會中會呈現一個數字化的狀態，其個人之人格面貌肖像也因為數字化而日漸清晰澄澈。“有關個人的信息在一段時間內累積到一定程度，就能構成與實際人格相似的‘信息人格’或‘數據人格’，即以在社會生活中體現出來的信息或數據為基礎的個人公共形象被用來作為該個人的代號”［39］。自然人正是這種“信息人格”的擁有者，個人對其擁有充分的占有和支配的權利。既然如此，就應當給予個人信息所有人相應的人格權保護。

從淵源來看，信息自決權不能適應大數據時代對人格權保護提出的要求。支持信息自決權的學者以德國聯邦憲法法院對“小普查案”和“人口普查案”的判決為信息自決權的正當化理由。“德國憲法法院在‘人口普查案’中認為個人資料是自然人人格的勾畫”［40］。德國憲法法院指出，個人資訊（信息）自決權是一種基本法中的基本人權，個人資訊（信息）自決權旨在保障信息當事人有權決定個人資訊之交付和使用，在對個人資訊（信息）處置時，不能無限制搜集、存儲、使用、傳播。但是，上述判決雖然肯定了公民的自決權，但其目的在于反對國家強制性調查，而并非所有個人信息都與人格尊嚴相關，涉及的私人領域在性質上必須具有秘密屬性才需要法律禁止［41］。就此而言，侵犯公民個人信息罪的法益除需要符合形式法益外，還需要符合比例原則和對基本權利的保護，亦即并非所有違背知情同意原則收集、出售的個人信息都屬于需要刑法規制的利益。

信息自決權對他人自由造成的干擾并不能否認自我決定權的價值。侵犯公民個人信息罪的法益證成重點在于針對公民的人格權的保障與個人信息社會價值的平衡，避免因自我決定權的濫用使得知情同意原則成為侵犯他人自由的工具。信息自決權背后折射出的是人格權的私法觀保護，但是為了平衡個人信息的社會屬性和私人屬性，勢必要考察整體法視域下的人格權保護。從憲法對自我決定權的規定來看，其目的在于對人格權的保護，只是自我決定權并不能在任何場景內保護公民的人格權。因此，侵犯公民個人信息罪的法益應當回歸保護人格權的初衷。信息自決權僅是個人信息權的組成部分，個人信息受保護權才是刑法設置本罪名的目的，唯其如此，個人信息法律保護體系才能實現法秩序統一原則的要求。

個人信息受保護權符合憲法對刑法提出的應然要求。刑法規范中蘊含著具體化的法益內容。我國個人信息保護體系具有“刑法先行”的特征，2009年《中華人民共和國刑法修正案（ 七）》 增設出售、非法提供公民個人信息罪和非法獲取公民個人信息罪。而直到2021年《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）的通過，才形成了完整的個人信息保護前置法體系。刑法立法在缺少相應前置法規范的前提下，對個人信息予以保護，這說明個人信息法律保護的基礎只能是刑法之上的憲法規定的公民基本權利。刑法對個人信息的規制反映出憲法對保護人格權的要求，這符合實質法益的自由保障機能，是“法益保護”機能追求的根本目標［42］。“違反國家有關規定”也說明，刑法已經采用公權力保護公民的人格權，在公民并未同意個人信息被他人獲取的情形下，行為人只要并未“違反國家有關規定”，便難以直接認定其構成犯罪。從真實性角度看，雖然憲法要求刑法保護公民的人格權，但是信息自決權難以超越私法領域保護社會屬性的個人信息，包括保護個人信息的社會屬性背后的人身、財產利益。從必要性看，并非所有的個人信息都需要刑法保護，也并非所有侵犯個人信息行為都要適用刑法規定，刑法積極地介入對個人信息的保護侵占了法秩序統一原則下其他法律的任務。刑法與前置法之間并非等同關系，“違反國家有關規定”要件的成立是該罪成立的充分條件而非必要條件，行政法與民法也在憲法所要求的個人信息保護體系中享有相應的位置。從法益的形式層面與實質層面的正反證成下，個人信息受保護權在應然與實然層面同時符合大數據時代對侵犯公民個人信息罪的法益要求。

四、侵犯公民個人信息罪處罰條件的限定

國家對公共領域的個人信息提供刑法保護的同時，也應當合理限制刑法的規制范圍。只有能夠識別到個人，且其敏感程度足以危害人身、財產安全的個人信息，才符合實質法益對刑法保護公民人格權的要求。公法視域下的個人信息也決定了個人信息是否受到侵犯不能絕對化地根據公民的信息自決權來判斷，并因此產生刑事規制限縮問題。

（一）刑事規制中個人信息范圍的實質性限縮

1.需要遵守個人信息“可識別性”要件

“可識別性”是個人信息的必備特征，也是個人信息需要法律保護的重要理由及抓手。“識別”是信息學中的一個特定概念。“識別就是指個人信息與信息主體存在于某一客觀確定的可能性，簡單地說，就是通過這些個人信息能夠把信息主體直接或間接地認出來”［43］。“個人信息是指與一個身份已經被識別或者身份可以被識別的自然人相關的任何信息”［44］。歐盟及其絕大多數成員國、日本、中國對個人信息均明確采取了相應的立法保護措施。2018年歐盟《一般數據保護條例》第4條指出，“個人數據：是指與已識別或者可識別的自然人（數據主體）相關的任何數據”［45］。個人信息受保護權的正當性需要依靠“可識別性”標準實現，即刑法保護的是“能夠顯現出個人的生活軌跡，勾勒出個人人格形象，作為信息主體人格的外在標志，形成個人‘信息化形象’”［46］的信息。

從規范的角度來看，個人信息受保護權從法秩序統一原理的角度要求刑法中的個人信息必須具有“可識別性”。大數據時代，個人信息不再全部屬于公民個人，反映在立法中，《個人信息保護法》確定了“識別性+相關性”的判斷標準。個人信息除了可識別到個人的信息，還包括與個人有關的信息，尤其是大數據時代個人信息并不全部歸屬于個人。如2018年歐盟《一般數據保護條例》也規定，個人數據既包括屬于個人的數據，也包括關于個人的數據［47］。這意味著，虛擬貨幣、游戲道具及游戲裝備等與個人有關的數據也屬于個人信息。因此“相關性”標準使得個人信息范圍寬泛且模糊。與之相對，侵犯公民個人信息罪不得保護不具有“識別性”的信息，只有能夠識別到的個人信息，才會對公民的人格權造成危險。如果任何與個人有關的信息被非法獲取、處理與使用都需要刑法規制，侵犯公民個人信息罪就陷入象征性立法的困境，即刑事立法出于服務安全目的的宗旨而使法益抽象化，損害了刑法的法益保護功能［48］。

2.需要考慮個人信息刑事保護的必要性

根據個人信息的社會屬性程度不同，可以對個人信息進行分類。根據個人信息的敏感程度可以將個人信息劃分為一般個人信息和敏感個人信息兩種類型，歐盟國家或地區的個人信息立法，往往根據一般個人信息與敏感個人信息之不同而分別采取不同程度的保護措施。一般個人信息，可以理解為“瑣碎性個人信息”，對其進行披露或者利用一般不會對信息權利人造成實質性影響，畢業學校及畢業年份、職稱或榮譽稱號、發表的著作、主持的科研項目、籍貫、民族、社會兼職等。敏感個人信息，一般是指那些一旦披露就會對權利人造成重大不利影響的個人信息，政治觀點、血型、基因信息、婚戀關系、微信號、郵箱號、手機號、代理關系、近親屬、性生活等方面的個人信息。

在我國部門法中，前置法與刑法都對敏感個人信息有所規定。2021年的《個人信息保護法》第二十八條將其限于“自然人的人格尊嚴受到侵害或者人身、財產安全受到危害”的個人信息，2017年的《個人信息司法解釋》沒有明確定義敏感個人信息，卻是按照個人信息對人身、財產安全的影響程度進行分級，即第一類是軌跡信息、通信內容、征信信息、財產信息；第二類是住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息；第三類是非法獲取5000條前兩個層次規定以外的公民個人信息。如果侵犯這三類個人信息并達到規定的數額就構成犯罪。對此，有觀點提出刑法司法解釋應當與前置法相匹配，如“直接采用個人信息保護法的方案將個人信息區分為敏感信息和一般信息兩種”［49］，顯然是將前置法與刑法的規制范圍相等同。應當說，刑法基于法益保護的目的對敏感個人信息的分類是適當的，根據人身屬性的不同程度劃分個人信息的敏感程度，能為人格權是否遭受侵害提供不同的法益侵害判斷標準。

（二）個人信息受保護權同意機制的重構

個人信息受保護權源自憲法對公民自由的保護，合理解釋了信息自決權失效的原因。公民個人信息罪設置的目的是通過對個人信息的“可識別”方法保護公民的人格權。但是，個人信息在大數據時代只有在流通中才能更好地發揮價值，而知情同意機制的僵化適用違反了當前社會的個人信息運行規則，信息自決權所衍生出的知情同意機制不僅阻礙數字經濟發展，同時也難以維護公共利益的需要［50］。面對大數據時代的復雜環境，信息主體在某些情形下不再滿足理論預設的具有同意能力的理性人，可能會無法準確分析信息處理所產生的風險。而個人信息受保護權將保護人格權的任務轉移至憲法，從公法層面規定個人信息對公民人格權的重要價值，沒有徹底放棄保護公民的自我決定權，即在出罪層面知情同意機制并未失效，在經過公民同意的前提下獲取、處分個人信息的行為，不涉及公民自由是否受到侵犯。

從個人信息的社會性來看，《個人信息司法解釋》采納了德國的“領域理論”，即認為私人生活領域是一個圍繞“自我”的同心圓，越是接近核心部分越應獲得法律保護，最接近圓心的隱秘領域享有絕對的保護。公民的同意能力僅對第一類信息通過信息自決權獲得保護，而第二類和第三類信息因私密性的遞減而具有開放性，只能通過利益衡量來決定是否達到侵犯公民個人信息罪所要求的法益侵害程度而獲得保護。至于如何進行利益衡量，筆者認為，應當在判斷個人“可識別性”基礎上，根據信息對公民人格權的重要程度，從以下實質層面判斷公民個人信息受保護權是否受到侵犯。

首先，當行為人獲取、處分的個人信息屬于第一類或第二類所列舉的住宿信息、通信記錄、健康生理信息、交易信息時，屬于公民能夠通過信息自決權保護的范圍，未經公民同意的行為構成侵犯公民個人信息罪。同時，第一類信息屬于高度敏感信息，位于核心層次，未經同意而獲取、處分的行為必然構成對人格權的侵犯；第二類中列舉性信息雖不具有密切的人身聯系性或高價值的財產屬性，卻能間接地影響公民的人身、財產安全，比如交易信息不直接指向公民的財產，相對不敏感，卻足以根據該類個人信息定位到公民個人。

其次，第二類信息中的部分與第三類信息不屬于侵犯公民個人信息罪的保護范圍。第二類信息中的住宿信息、通信記錄、健康生理信息、交易信息能夠明確地反映其作為重要信息的特征，但是對第二類兜底規定的其他可能影響人身、財產安全的公民個人信息，不僅未提供其與第三類信息的區別，也無法確定其判斷標準，因此不受保護。至于第三類信息，缺少明確的范圍，即便通過個人信息能夠識別到個人，也不足以侵犯公民的個人信息受保護權。

五、結語

大數據時代，個人信息所具備的社會屬性對侵犯公民個人信息罪法益的具體確定提出了新的挑戰。信息技術與信息產業的飛速發展以及刑法立法的審慎性，使得個人信息更多地參與到經濟社會運行中。個人信息的財產性與安全性價值使其在公共領域的流通日益廣泛，而公民無法自主決定個人信息被其他信息主體獲取、儲存與處理，無疑加大了個人信息保護的難度。堅持以信息自決權作為保護法益的內容，雖然能保護公民的自我決定權，但是在實質上因刑法規制范圍的擴大侵害了其他信息主體的權利，即“不能無視信息處理者對其付出成本而合法地收集、存儲和利用個人信息的權利”［51］。以個人信息的超個人屬性支持侵犯公民個人信息罪的集體法益立場，忽視了個人信息與人格權的密切聯系。從實質法益的角度審視刑法立法要求，可知人格權構成刑法保護個人信息免受侵犯的正當性基礎。對此，應在保障公民人格權的基礎上，構建符合個人信息雙重屬性的個人信息受保護權，以此判斷刑事不法行為的成立并引導刑事規范的完善。在個人信息法律保護“刑法先行”背景下，實質法益的立法批判機能有助于審查侵犯公民個人信息罪的構成要件，以限制個人信息的刑法保護范圍及同意機制處罰條件，實現形式與實質法益的有機結合，在保障公民人格權和實現大數據時代個人信息價值之間取得平衡。

［參考文獻］

［1］張明楷.新刑法與法益侵害說［J］.法學研究，2000，（1）：19-32.

［2］劉艷紅.民法編纂背景下侵犯公民個人信息罪的法益保護：信息自決權——以刑民一體化及《民法總則》第111條為視角［J］. 浙江工商大學學報，2019（6）： 20-32.

［3］劉艷紅.侵犯公民個人信息罪法益：個人法益及新型權利之確證——以《個人信息保護法（草案）》為視角之分析［J］.中國刑事法雜志，2019（5）：19-33.

［4］勞東燕.個人數據的刑法保護模式［J］.比較法研究，2020（5）： 35-50.

［5］曲新久.論侵犯公民個人信息犯罪的超個人法益屬性［J］.人民檢察，2015（11）：5-9.

［6］高富平，王文祥.出售或提供公民個人信息入罪的邊界：以侵犯公民個人信息罪所保護的法益為視角［J］.政治與法律，2017（2）：46-55.

［7］羅翔.自然犯視野下的侵犯公民個人信息罪［J］.中國法律評論，2023（3）：73-86.

［8］江海洋.侵犯公民個人信息罪超個人法益之提倡［J］.交大法學，2018（3）：139-155.

［9］姜濤. 新罪之保護法益的證成規則：以侵犯公民個人信息罪的保護法益論證為例［J］.中國刑事法雜志， 2021（3）：37-55.

［10］郭棟磊.形式的法益之理論基礎、功能及其解釋效力：從形式的法益與實質的法益之關系中展開［J］. 中國政法大學學報，2021（1）：191-206.

［11］黃榮堅.基礎刑法學：上［M］. 臺北： 元照出版公司，2012： 10.

［12］張明楷.具體犯罪保護法益的確定方法［J］.現代法學，2024（1）：3-19.

［13］鐘宏彬.法益理論的憲法基礎［D］.臺北：政治大學，2009：112-113.

［14］孟德斯鳩. 論法的精神［M］. 許明龍， 譯.北京： 商務印書館，2012：185.

［15］張明楷.論實質的法益概念：對法益概念的立法批判機能的肯定［J］.法學家，2021（1）：80-96.

［16］克勞斯·羅克辛.對批判立法之法益概念的檢視［J］.陳璇，譯.法學評論，2015（1）：53-67.

［17］蘇青.法益理論的發展源流及其啟示［J］.法律科學（西北政法大學學報），2011（3）：76-83.

［18］克勞斯·羅克辛.德國刑法學總論：第1卷［M］.王世洲，譯.北京：法律出版社，2005：15.

［19］張明楷.刑法學：上［M］.北京：法律出版社，2021： 79.

［20］戴小強.實質法益理論的憲法詮釋［J］. 中國人民公安大學學報（社會科學版），2023（5）：61-72.

［21］蕭宏宜.數位時代著作權刑法的挑戰與因應［D］.臺北：東吳大學，2008：213.

［22］李忠夏.基本權利的社會功能［J］.法學家，2014（5）：15-33.

［23］孫國祥.集體法益的刑法保護及其邊界［J］.法學研究，2018（6）：37-52.

［24］烏爾斯·金德霍伊澤爾.法益保護與規范效力的保障論刑法的目的［J］.陳璇，譯．中外法學，2015（2）： 548-559.

［25］［27］張明楷.外國刑法綱要［M］.北京：清華大學出版社，2007：249.

［26］許恒達.“行為非價”與“結果非價”：論刑事不法概念的實質內涵［J］.政大法律評論，2010（2）：215-300.

［28］克勞斯·羅克辛.刑法的任務不是法益保護嗎？［J］.樊文，譯.刑事法評論，2006：146-165.

［29］周光權.行為無價值論的法益觀［J］.中外法學，2011（5）：944-957.

［30］林山田.刑法通論：上［M］. 北京： 北京大學出版社，2011： 50.

［31］張明楷.法益保護與比例原則［J］. 中國社會科學，2017（7）： 88-108， 205-206.

［32］王利明.論個人信息權的法律保護：以個人信息權與隱私權的界分為中心［J］.現代法學，2013（4）： 62-72.

［33］敬力嘉.大數據環境下侵犯公民個人信息罪法益的應然轉向［J］.法學評論，2018（2）：116-127.

［34］楊芳.個人信息自決權理論及其檢討：兼論個人信息保護法之保護客體［J］.比較法研究，2015（6）： 22-33.

［35］敬力嘉.大數據環境下侵犯公民個人信息罪法益的應然轉向［J］.法學評論，2018（2）：116-127.

［36］劉雙陽.論個人信息自決權刑事司法保護的邊界：以已公開個人信息為中心的分析［J］.人權， 2021（5）：148-162.

［37］王肅之.被害人教義學核心原則的發展：基于侵犯公民個人信息罪法益的反思［J］.政治與法律， 2017（10）：27-38.

［38］洪梅林.個人信息的民法保護研究［M］.北京：法律出版社，2010：12.

［39］阿麗塔·L.艾倫，理查德·C托克音頓. 美國隱私法學說、判例與立法［M］.馮建妹，譯.中國民主法制出版社，2004：207.

［40］張新寶.從隱私到個人信息：利益再衡量的理論與制度安排［J］.中國法學，2015（3）：38-59.

［41］楊芳.個人信息自決權理論及其檢討：兼論個人信息保護法之保護客體［J］.比較法研究，2015，（6）：22-33.

［42］大塚仁.刑法概說（總論）：第3版［M］.馮軍， 譯.北京：中國人民大學出版社，2003：26.

［43］齊愛民.拯救信息社會中的人格［M］.北京：北京大學出版社，2009：85.

［44］［46］張新寶.從隱私到個人信息：利益再衡量的理論與制度安排［J］.中國法學，2015（3）：38-59.

［45］中國信息通信研究院互聯網法律研究中心，京東法律研究院. 歐盟數據保護法律匯編［M］.北京： 中國法制出版社，2019：55.

［47］勞東燕.個人數據的刑法保護模式［J］.比較法研究，2020（5）：35-50.

［48］劉艷紅.象征性立法對刑法功能的損害：二十年來中國刑事立法總評［J］.政治與法律，2017（3）：35-49.

［49］周光權.侵犯公民個人信息罪的行為對象［J］.清華法學，2021（3）：25-40.

［50］高志宏.大數據時代“知情—同意”機制的實踐困境與制度優化［J］.法學評論，2023（2）：117-126.

［51］劉雙陽.“合理處理”與侵犯公民個人信息罪的出罪機制［J］.華東政法大學學報，2021（6）：57-72.

［責任編輯：向長艷］