司法实践中侵犯公民个人信息犯罪的疑难问题及其对策

【摘要】出售、非法提供公民个人信息罪和非法获取公民个人信息罪在实践中适用较少的主要原因是司法解释尚未出台，司法机关对于两罪的适用难以把握。应当及时明确侵犯公民个人信息犯罪中个人信息的内涵、犯罪的主体范围、行为方式的种类、情节严重的标准，从而推动相关司法解释早日出台，促进两罪实践中的适用。
【关键词】个人信息；司法实践；对策

2009年2月通过的《刑法修正案（七）》新增侵犯公民个人信息犯罪，对于实践中频繁出现的严重侵犯公民个人信息行为进行刑法规制。但一年多来，实践中因侵犯个人信息被追究刑责的人并不多见，而公民信息被泄露、相关权益被侵犯的事件依然层出不穷。究其原因，主要在于相关司法解释没有及时出台，司法机关在适用中难以操作。由此，在加快相关立法的同时，敦促最高司法机关尽快制定司法解释，弥补刑法条文的漏洞和可操作性的不足，{1}（P9）就显得尤为必要。在此背景下，本文拟对一年多来侵犯公民个人信息犯罪司法适用中的疑难问题进行分析，提出对策，以期促进两罪在司法实践中的适用。

　 一、公民个人信息的内涵

　 一般来说，公民个人信息是指能够识别公民个人身份的信息，主要包括姓名、年龄、性别、身份证号码、职业、职务、学历、民族状况、婚姻状况等相关信息。这些信息的主要作用在于识别，将某一特定个体从群体中区别出来，这也是公民个人信息被侵犯的主要原因。{2}(P80)但是，作为侵犯公民个人信息犯罪对象的个人信息不同于普通意义上的个人信息。侵犯公民个人信息犯罪的对象必须是一旦泄露即可能导致公民权利遭受侵害的信息。关于这种信息的范围主要有以下观点：(1)公民个人信息应当从广义上界定，指以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息。包括与公民个人身份密切相关的信息，与公民个人财产状况相关的信息，涉及公民个人隐私方面的信息等。{3} (P8)（2）公民个人信息指反映个人生理及身份特征、社会生活经历及家庭、财务状况，也包括公民在社会生活过程中取得、采用的个人识别代码。该信息必须与公民个人直接相关，能够反映公民的局部或整体特点；必须具有法律保护价值；该信息的保护不以信息所有人请求为前提。{4}(3)个人信息首先必须是本人不希望为他人所知晓的个人信息；其次，客观上还需存在值得保护的价值。{5}(P149)实际上，后两种观点都赞同作为侵犯公民个人信息犯罪对象的个人信息不指普通意义上的个人信息，而应进行一定的限制，只不过限制的标准不同。我们认为，并不是任何个人信息公布以后都可能对公民权益造成损害。而且，信息的扩散对于不同公民的意义是不同的。同样泄露某信息，对于甲的权利可能造成损害，而对于乙来说，则可能是其所希望的（如当下许多公民在网络上通过各种手段将自己炒作为名人等）。所以，对于不同公民，某信息是否可以成为本罪对象具有不确定性。我们认为，作为本罪对象的公民个人信息[1]应当具有以下特点：主观上，本人不希望扩散该信息；客观上，该信息具有保护价值，一旦扩散，将可能对公民权利造成损害。

　 侵犯公民个人信息犯罪两个罪名的犯罪对象并不相同：(1)出售、非法提供公民个人信息罪的对象仅限于国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或提供服务过程中收集、保存、管理的公民个人信息：首先，获取公民个人信息的主体必须是国家机关或者是金融、电信、交通、教育、医疗等具有合法获取个人信息权力的单位；其次，获取的个人信息必须是这些单位利用公权力所获。(2)非法获取公民个人信息罪的对象可以包括任何符合前述主客观条件的个人信息。实际上，《刑法修正案（七）》对于该条款中作为本罪对象的“上述信息”可以有不同理解。从刑法第253条之一第1款可以看到，在“信息”之前有两个修饰语：一是国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务的过程中获得的；二是“公民个人”。对于“上述信息”既可以理解为国家机关或者金融、电信等单位在履行职责或者提供服务的过程中获得的公民个人信息。{6}(P88)也可以理解为任何符合条件的“公民个人信息”。{7}（P123）这种理解的分歧在于立法的模糊不清，两种理解都可以说得通。但是，立法目的在于保护个人权益。如果对于实践中大量的非利用公权力获取他人信息的行为不加以规制，将难以保护有效公民权益。所以，我们倾向于后一种观点，即本罪的对象是一切符合条件的个人信息。而且，实践中司法机关也是这样把握的，如上海周娟等特大非法获取公民个人信息案中，被告人所获取的信息就没有受特定单位所获信息的限制。{8}

　 二、犯罪主体的圈定

　 （一）出售、非法提供公民个人信息罪

　 关于出售、非法提供公民个人信息罪的主体，分歧主要在于对“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”的理解上，对此主要有两种对立的观点：

　 部分学者认为，在目前相关法律法规以及行业条例还不完善的情况下，只针对利用“公权力”采集信息的单位和个人进行规制，有利于控制打击面同时也符合刑法的谦抑性原则，待今后条件成熟后可再将本罪的触角延伸至一般主体。{9}(P15)实践中也有按此办理的。如在全国首例侵犯公民信息案中，被告人周建平非法向诈骗团伙提供公民的个人信息，公诉机关原本以“非法提供公民个人信息罪”提起公诉，而法院最终认定的罪名是“非法获取公民个人信息罪”。罪名转变的最重要原因就是非法提供公民个人信息罪的犯罪主体必须是国家机关或者金融、电信等特殊单位从事相关工作的工作人员，是特殊主体，而被告人周建平不属于上述主体。{10}

　 但是更多学者认为本罪主体不限于利用公权力的单位，首先，法条只规定“本单位在履行职责或者提供服务过程中”，没有强调利用“某种程度的公权力”，作此限定于法无据。其次，现实中有很多不具有“公权力”的单位实施的出售或非法提供信息的行为扰乱、威胁了公民生活。{5}(P150)而且，仅从“等”字的应有之义来看，也并未显示出立法者对本罪主体作此种限制之意。{11}(P85)如果对本罪主体作特殊限制，对于同属于侵犯个人信息的行为，对不同主体作不同认定，将会导致规范的不平等与打击面的失衡。{12}

　 我们认为，对于本罪主体范围的界定应当从立法原意上探究。根据来自国家立法机关专家的说明：“对这条基本还是尽量限定在公权力范围内，或者是提供垄断性、强制性的公共服务的领域，例如国家机关、公安部、自来水公司、煤气公司。这种情况下公民提供信息是没有选择性的，众多的公民信息汇集起来形成一个信息库，这些机构应对其信息库妥善保管。而实践中出现了买卖、提供这些信息的情况，如电信公司将通讯记录的情况卖给侦探社。”{13}考虑到本条主要是对在履行职责或提供公共服务过程中利用某种程度的‘公权力’采集到的公民个人信息的国家机关或者单位，违反法律规定的保密义务的应负的刑事责任，……不宜将公民个人信息的刑事保护范围扩大到没有利用‘公权力’采集的一切单位和个人。”{14}（P15）也就是说，立法原意是将本罪主体限制为具备公权力的单位及工作人员的（起码是现阶段）。实际上，早在《刑法修正案（七）（草案）》讨论过程中，就已经有学者提出应将本罪主体扩大：刑法修正案草案中仅限于国家机关或者金融、电信等单位的工作人员，而世界各国和地区的相关法律中通常只强调行为人的目的和动机，或强调获取信息是由其工作或职务性质所决定的，极少对行为人所处的岗位或领域做出限制。{15}现实生活中，的确有很多普通单位及其工作人员能够接触并大量掌握公民个人信息，而且法条中所规定的金融、教育、医疗等单位早已不仅仅是国有单位，私人或外资已涉足这些行业，各国的立法例中，对公民个人信息的刑法保护中犯罪主体一般不是特定主体，{1}(P10)但是，《刑法修正案（七）》并没有采纳这些意见。我们认为，虽然从刑法保护的必要性看，将本罪主体扩大的观点是可取的。但是立法之所以未采纳这种观点，是考虑到国情（如相关法律并不完备）和国外个人信息立法保护现状。{16}（P19）而且，从目前披露的案件来看，个人信息被泄露的源头几乎都是特殊机关或单位的“内鬼”所为。公民生活中与车、房、医疗有关的骚扰，源头无不是相关单位的泄露。因此，有效保障公民的信息安全，利剑高悬的对象必须是这些特殊机关和单位，而不是那些“二道贩子”。{17}所以，立法机关将本罪主体界定为公权力单位具有其合理之处。既然如此，我们就应当明确本罪的主体为国家机关或者金融、电信、交通、教育、医疗等利用公权力获取公民个人信息的单位及其工作人员。对于非利用公权力获取公民个人信息的单位及个人，暂时不宜将其作为本罪主体。这里的“等”应当为列举未尽之意，但是其他单位必须也具有和金融、电信等单位类似的国家所赋予的采集公民个人信息的公权力，如电力公司、自来水公司、煤气公司等单位。当然，从应然角度讲，如果将其他人排除在外，刑法就不能规制全部严重侵犯公民个人信息权的行为，{18}(P124)所以，在时机成熟的时候，也应考虑扩大为一般主体。

　 （二）非法获取公民个人信息罪

　 非法获取公民个人信息罪的主体是一般主体，不论是否具有获取他人信息公权力的单位或者个人都可能构成本罪。其区别于出售、非法提供公民个人信息罪的特点在于，前者是普通主体，通过窃取等非法方法获得他人的个人信息，而后者是具有公权力的单位或其工作人员将以公权力所获信息出售或者非法提供给无权掌握的人。{2}(P82)对于公权力单位或者个人来说，如果其出售或者非法提供给他人的是利用公权力获取的信息，可能构成后罪。但是，如其非正当（或没有）利用公权力获取信息后非法提供或出售，则不构成后罪，可能构成前罪。

　 三、前提条件的明确

　 “违反国家规定”是构成出售、非法提供公民个人信息罪的前提，如何理解“违反国家规定”是学者们讨论的焦点。我们认为，“违反国家规定”应具备以下特点：首先，符合刑法规定。刑法第96条规定：“本法所称违反国家规定，是指违反全国人民代表大会及其常委会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。”所以，只有违反全国人大及其常委会、国务院制定的符合上述条件的规范性文件才可能构成本罪。．违反部门规章、地方性法规、地方政府规章等规范性文件，不是构成本罪的前提。其次，违反的国家规定必须涉及对公民个人信息的保护，即必须为有关单位或工作人员规定了保守公民信息秘密的义务。在违反这些义务的前提下出售、非法提供公民个人信息才能构成犯罪。{2}(P81)具体来说，这些国家规定主要包括我国宪法、《民法通则》、《律师法》、《商业银行法》、《邮政法》、《执业医师法》、《护士条例》等规定有保护公民个人信息和隐私的规范性文件。

　 四、行为方式的理清

　 （一）出售、非法提供公民个人信息罪

　 在行为方式上，本罪表现为两个方面：合法取得与出售、非法提供给他人。

　 1．合法取得

　 “合法取得”要求出售或者非法提供给他人的信息必须是本单位在履行职责或提供服务过程中获得的个人信息：(1)所获信息必须是以单位名义合法获取的公民个人信息，排除了自然人以个人名义获取他人信息后非法提供构成本罪的可能；(2)所获信息必须是单位在履行职责或提供服务中获得。“履行职责”指国家机关及其工作人员行使法定职权、履行正当职责，如公安机关进行案件进行侦查、工商部门对企业进行登记等；“提供服务”指金融、电信、交通等单位及其工作人员为便利公民生活而提供相应公共服务，如银行办理存贷款业务；(3)所获信息必须是单位在合法履行职责或者提供服务中获得。这里首先要求各部门各司其职，正当履行职责。如果是单位在行使职责或提供服务中非法获取的信息，不构成本罪，可能构成非法获取公民个人信息罪。

　 2．出售、非法提供给他人

　 对于单位主体来说，要求以单位名义，为了单位的利益，利用单位职权将信息出售或者非法提供给他人。对于自然人主体来说，要求以个人名义为了个人利益将单位合法获取信息出售或非法提供给他人。(1)“出售”是指以获利为目的将个人信息出卖给他人，表现为对单位合法获取信息的有偿转让。如北京首例出售公民个人信息案中，被告人即因为利用职务便利，将本单位掌握的公民信息出售给他人而获罪。{19}(2)“非法提供”，是指不以获利为目的，将公民信息提供给不应获取的人，表现为对合法获取信息的无偿转让。当然实践中很多非法获取者会在获取后给予提供者好处，但由于提供之时行为人不以获利为目的，所以仍应认定为“非法提供”，而不是“出售”。{2}(P81)(3)构成本罪要求单位或者个人将该信息出售或者非法提供给“他人”，由于本罪的对象是单位依法获取的个人信息，所以只要是“依法获取信息单位”之外的个人或者单位，都属于这里的“他人”。

　 （二）非法获取公民个人信息罪

　 本罪的行为方式表现为窃取或者以其他方法非法获取公民信息：(1)“窃取”和“其他方法”。“窃取”指秘密盗取。“其他方法”指“窃取”之外的非法获取手段。“其他方法”具体有哪些表现刑法没有规定，实践中表现形式多样。但不论何种形式，在性质上都应当与窃取具有相当的社会危害性，而且应具有一定的主动性，对于仅仅被动性的接受行为，不构成非法获取。值得注意的是，非法获取是否包括购买？我们认为，非法的“购买”和“窃取”在性质和危害程度上并无实质区别，而且相对于“窃取”，“购买”对于提供者还有一定的诱惑因素，具有更大的社会危害性。事实上，目前出售、非法提供公民个人信息行为越来越猖獗的一个重要原因就在于庞大的市场需求。{14} （P15）所以，很有必要将购买纳入本罪的行为方式。而且实践中也是这么操作的，如在上海赖金峰非法获取公民个人信息案{20}和新疆首例非法获取公民个人信息案{21}中，被告人都是基于非法购买个人信息而获罪。(2)“非法获取”指“违反法律法规的禁止性规定”，而不仅指没有法律根据而获取。{5}(P151)具体来说，“非法获取”至少应当符合违背了信息所有人的意愿，获取者无权了解、接触相关公民个人信息，获取手段违反了法律禁止性规定等条件，{20}具体可以表现为而不限于骗取、非法采集、收集、存储等行为。

　 实践中，对于非法获取的认定存在以下两个疑难问题：(1)利用合法渠道获取个人信息的认定。实践中经常发生普通公民利用网上下载等法律并不禁止的方式无偿获取、收集公民信息的现象，对于这类行为，只要没有后续侵害行为（如下载的目的仅仅是为个人合法使用），由于没有严重侵害公民权利，不构成犯罪。但是如果以出卖为目的而大量获取公民信息，并将此信息出售或非法提供给他人，数量较大，或者严重侵害公民个人权益，有可能构成非法获取公民个人信息罪。此时，行为人虽然没有用国家禁止的方式获取信息，但其主观上明知该行为可能侵害他人权益，而追求或者放任这种结果的发生，合法的手段完全服务于非法的目的，具备明显的非法性。对于在网上和他人交换个人信息的行为，虽然不是严格意义上的买卖，但是以物易物的交换也属于交易形式一种，与购买本质一致，同样侵犯了公民信息安全，也构成犯罪。{22}(2)作为非法出售公民信息对向行为的购买行为性质的认定。特殊主体出售公民个人信息构成出售公民个人信息罪毋庸置疑。但是，与其相对的购买行为如何认定？有学者基于对向犯的理论认为这种行为不具有可罚性。{5}(P152-153)实践中的做法并不相同，在北京首例出售公民个人信息案中，只对出售者判处出售公民个人信息罪，对购买者没有判处非法获取公民个人信息罪。{19}而在广州李某、黎某侵犯公民个人信息案中，检察机关就对出售者和购买者分别以出售公民个人信息罪和非法获取公民个人信息罪批准逮捕。{23}在刑法理论中，对向犯的处罚分为双方罪名相同，罪名不同，及只处罚一方三种情况。究竟采取哪种处罚方法，除了依据法律明文规定外，还应当根据立法愿意。刑法规定了非法提供、非法获取公民个人信息两种对向型犯罪，为惩治两种犯罪提供了法律依据。从立法原意上说，如前所述，立法规定非法获取公民个人信息罪的一个重要原因就是公司、个人为了牟利大肆收买、获取公民人信息对于出售、非法提供公民个人信息的助推作用。将窃取、购买等非法获取行为规定为犯罪，可以从源头上遏制出售、非法提供公民个人信息犯罪的发生。由此，如果不将与出售对应的购买行为规定为犯罪，则无法建立两罪之间的链接，起不到相应的遏制作用。所以，我们认为应当将与出售相对应的购买行为认定为犯罪，实现两罪的互相协调，彼此遏制。

　 五、情节严重的认定

　 侵犯公民个人信息的行为必须“情节严重”才构成犯罪，“情节严重”的判断常常影响司法机关对于行为人是否能够提起指控。如2009年合肥市蜀山区检察院仅以涉嫌伪造、变造、买卖国家机关公文、证件、印章罪，对骗取公民个人信息的吴伟依法批准逮捕，原因就在于对吴伟非法获取公民信息是否达到“情节严重”的程度难以把握。{24}如何理解“情节严重”，有多种观点：有人认为应从信息的数量、性质、违法所得的数额、财产损失情况、个人生活或人身安全受影响的程度、社会影响的严重程度等方面进行细化。{1}(P11)有人认为应当考虑信息的数量、重要程度、影响力以及行为的次数等方面的因素。{25}(P119-120)也有人认为应当参考与本罪具有等值性法益的犯罪，考虑将多次侵害个人信息、滥用个人信息进行违法犯罪活动、给被害人造成人身伤害、重大财产损失或其他严重后果、致使某一领域的社会秩序混乱以及其他给国家、社会和人民造成重大利益损失的行为认定为情节严重。{26}(P33)

　 上述观点所提出标准基本反映了两罪实践中的状况，但是对于各情节在量刑中的地位和意义，并没有形成一致的意见。我们认为，确定“情节严重”的标准应当从以下方面把握：(1)公民权益的受害程度。本罪的立法宗旨在于保护公民权益，所以“情节严重”的判断标准应当首先以公民权益的受害程度作为判断标准。即使只出卖一条信息，只要其严重侵害公民合法权益，就应当构成犯罪。(2)信息的用途。行为人出卖、非法提供、非法获取的信息的如果用于违法犯罪活动，将直接对他人权益造成损害。如在北京通讯员工出售、非法提供公民个人信息案中，行为人出售的公民信息就被他人用于犯罪活动，最终导致被害人被杀害于家门口。{27}所以，信息的用途也应是一个判断“情节严重”的标准。[2](3)在没有证据证明上述两个情节存在的情况下，可以根据信息的数量、性质、意义、重要性、行为人获利数额、非法获取信息的手段等来进行判断。

　 对于出售、非法提供公民个人信息罪来说，具有以下情节的，可以判断为“情节严重”：

　 (1)导致被害人人身伤害或死亡的；

　 (2)严重干扰被害人的正常生活或严重影响被害人名誉（包括致使受害者精神失常或自杀）的；

　 (3)出售、非法提供公民个人信息给单位造成经济损失5万元以上，或者给个人造成1万元以上损失的；

　 (4)明知出售、非法提供的信息可能被用于违法犯罪活动而出售或者提供的；

　 (5)出售、非法提供公民个人信息30条以上，或者出售或者非法提供10人以上公民个人信息的；

　 (6)出售、非法提供公民个人信息5次以上的；

　 (7)出售公民个人信息单位获利5万元以上，个人获利1万元以上的；

　 (8)导致50条以上公民个人信息流向境外的；

　 (9)其他情节严重的情形。

　 对于非法获取公民个人信息罪来说，具有以下情节的，可以判断为“情节严重”：

　 (1)导致被害人人身伤害或死亡的；

　 (2)严重干扰被害人的正常生活或严重影响被害人名誉（包括致使受害者精神失常或自杀）的；

　 (3)非法获取公民个人信息给单位造成经济损失5万元以上，给个人造成1万元以上损失的；

　 (4)将非法获取公民个人信息用于违法犯罪活动的；

　 (5)非法获取公民个人信息30条以上，或者非法获取10人以上公民个人信息的；

　 (6)非法获取公民个人信息5次以上的；

　 (7)单位利用所获取公民个人信息获利5万元以上，个人获利1万元以上的；

　 (8)导致50条以上公民个人信息流向境外的；

　 (9)非法获取公民个人信息手段恶劣的；

　 (10)其他情节严重的情形。

【注释】
[1]注意，单位信息不属于公民个人信息。
[2]如果行为人事先知道该信息将被用来进行犯罪而提供，则可能构成相关犯罪的共同犯罪。
【参考文献】
{1}赵江辉，陈庆瑞．公民个人信息的刑法保护[J]．中国检察官，2009, (6).
{2}周海洋．出售、非法提供公民个人信息罪和非法获取公民个人信息罪的理解与适用[J]．中国审判，2010,（1）．
{3}张玉华，温春玲．侵犯公民个人信息安全犯罪解读[J]．中国检察官，2009, (8).
{4}凌鸿．非法获取公民个人信息罪的认定[N]．人民法院报，2010-06-17.
{5}王昭武，肖凯．侵犯公民个人信息犯罪认定中的若干问题[J]．法学，2009, (12).
{6}王东阳．公民个人信息安全的刑法保护[D]．北京：北京师范大学，2009.
{7}赵秉志．刑法修正案最新理解适用[M]．北京：中国法制出版社，2009.
{8}严剑漪，黄丹．特大非法获取公民个人信息案一审宣判[N]．人民法院报，2010-08-06.
{9}慈健．非法提供与获取公民个人信息行为的刑法规制[J]．西南科技大学学报，2010, (1).
{10}全国首例侵犯公民信息案罪名转变缘由[N]．法制日报，2010 -01 -17.
{11}立志．出售、非法提供公民个人信息罪若干问题[J]．政治与法律，2010, (1).
{12}吴盛．公民个人信息的刑法保护宜更为周全[N]．检察日报，2008 - 09-15 .
{13}雷建斌．《刑法修正案（七）》的法条争议及解析[EB /OL ] . http: //www. criminallawbnu. cn/criminaLinfo/showpage. asp? ProgramlD＝&pkID＝22285 &keyword＝％C0% D7% BD% A8% Bl% F3，2009-3-28/2010-06-22.
{14}黄太云．刑法修正案（七）解读[J]．人民检察，2009, (6).
{15}刑法专家在宁聚焦刑法修正案（七）草案[N]．新华日报，2008 -10-16 .
{16}何荣功．刑法亮剑个人信息保护[J]中国审判，2009, (5).
{17}周之南．单靠刑法保护个人信息无异“牛栏关猫”[N]．检察日报，2010 - 01 - 06.
{18}刘宪权，方晋晔．个人信息权刑法保护的立法及完善[J]．华东政法大学学报，2009, (3).
{19}韩芳等．北京首例出售公民个人信息案宣判[N]．人民法院报，2010 - 06-12.
{20}凌鸿．非法获取公民个人信息罪的认定[N]．人民法院报，2010-06-17.
{21}吴亚东，李强．新疆首判非法获取公民个人信息案[N]．检察日报，2009-11 -24.
{22}非法获取公民个人信息罪成“空设”? [N]．法制日报，2010 - 07 - 23.
{23}詹奕嘉．广州检察院首次以出售公民个人信息罪批捕犯罪嫌疑人[N]．法制日报，2009 - 07 -10.
{24}吴贻伙，陈婧．保护个人信息，刑法入罪只是开始[N]．检察日报，2009 - 08 -08.
{25}李凤梅．个人信息安全的刑法保障[J]．河北法学，2009,(12).
{26}梁恒．风险·规制·完善：刑法视域下的个人信息保护[J]．重庆邮电大学学报，2009, (6).
{27}李克杰．“电信内鬼”出售个人信息击中刑法软肋[N]．法制日报，2010-06-10.

作者简介：张 磊 北师大刑科院讲师，法学博士。
文章来源：《当代法学》2011年第1期。