●黃 帆

一直以來，我國沒有一部專門針對公民個人信息進行保護的法律，對公民個人信息的保護散見于多部法律中，所保護的對象只是具體的、特定的某一部分個人信息，屬于個人信息的下位概念。2009年刑法開始介入公民個人信息保護的領(lǐng)域?！缎谭ㄐ拚福ㄆ撸吩鲈O(shè)了出售、非法提供公民個人信息罪和非法獲取公民個人信息罪，給公民個人信息予以了全面的、嚴厲的保護。但當(dāng)時的目光主要集中于一些國家機關(guān)和電信、金融等單位，原因是其在履行公務(wù)或提供服務(wù)的過程中能夠較為輕易地獲取個人信息，因此當(dāng)時刑法所規(guī)制的只是特殊主體的犯罪。2015年《刑法修正案（九）》出臺，將上述兩罪合并為侵犯公民個人信息罪，主體由特殊主體調(diào)整為一般主體，犯罪的客觀方面、量刑等也相應(yīng)進行了調(diào)整，形成了當(dāng)前對公民個人信息的保護現(xiàn)狀。

一、侵犯公民個人信息罪所保護的法益分析

法益是指法所保護的利益，在刑法領(lǐng)域內(nèi)，法益就是刑法所保護的利益。犯罪行為必須是實質(zhì)上為法律所不允許的行為，如果一個行為不具備實質(zhì)違法性，那么不能將其認定為犯罪。筆者贊同“法益侵害說”，認為法益侵害性就是實質(zhì)違法性?；貧w到侵犯公民個人信息罪，行為人只有針對本罪所保護的法益實施了侵害行為，才有可能被認定構(gòu)成本罪。

侵犯公民個人信息罪所保護的對象是公民個人信息，但公民個人信息的法律屬性卻一直有爭論，總的來說有以下幾種觀點：其一，所有權(quán)說；其二，隱私權(quán)說；其三，人格權(quán)說；其四，個人信息權(quán)說。

筆者認為，首先，所有權(quán)說主要著眼個人信息的“價值性”，但忽略了“人格性”，個人信息與物的概念應(yīng)當(dāng)予以區(qū)別。其次，所謂“隱私”，最明顯的是具有私密性的特征，一般只能在特定的范圍內(nèi)公開，超出這一范圍則會打擾到隱私權(quán)人的私生活安寧。但隱私被侵犯、私生活被打擾的標準實際上因人而異，尤其在我國，受傳統(tǒng)文化的影響，比如父母對子女、老師對學(xué)生、基于養(yǎng)育和管教上的原因?qū)ζ潆[私的涉及大多被認為是理所應(yīng)當(dāng)?shù)??？梢哉f，我國對隱私權(quán)的重視是比較弱的，這與英美等國家不同。另外，個人信息的外延明顯寬于隱私，2017年最高人民法院、最高人民檢察院出臺的《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下稱《解釋》）中對個人信息進行了定義，其列舉的姓名、聯(lián)系方式、住址等信息很難說都屬于個人隱私的范疇。在《解釋》出臺前，對于個人信息的界定，實務(wù)上是根據(jù)最高人民法院、最高人民檢察院、公安部在2013年發(fā)布的《關(guān)于依法懲處侵害公民個人信息犯罪活動的通知》（以下稱《通知》）進行判斷。《通知》規(guī)定的是“個人信息包括公民的姓名、年齡、有效證件號碼……等能夠識別公民個人身份或涉及公民個人隱私的信息，數(shù)據(jù)資料”。但《解釋》將個人信息的定義更改為“以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息……”。對比二者可知，在概括何為個人信息時，《解釋》刪除了《通知》中“涉及公民個人隱私”的表述。由此也可以看出，至少在當(dāng)前的我國，個人信息的法律屬性不應(yīng)當(dāng)限制為隱私權(quán)。最后，人格權(quán)說與個人信息權(quán)說不存在矛盾，只不過個人信息權(quán)是作為一個具體的人格權(quán)被提及。

筆者贊同人格權(quán)說，認為對個人信息的保護實際上是對人格權(quán)的保護，侵犯公民個人信息罪保護的法益是個人的人格尊嚴與自由，保護依據(jù)來源于《憲法》。具體來說是在排除了基于國家管理等公共利益的前提下，個人享有的決定個人信息是否被收集、如何被使用的權(quán)利，有學(xué)者稱之為“信息自決權(quán)”。

二、對“侵犯”的認定

概括來說，我國侵犯公民信息罪規(guī)定的“侵犯”有兩種模式，一是“出售或提供”模式，二是“竊取或以其他方法非法獲取”模式。

出售或提供模式中，被出售或提供的個人信息的來源是否合法在所不問，均構(gòu)成對公民個人信息的侵犯。侵犯公民個人信息罪保護的法益是人格尊嚴與自由，具體說是公民對個人信息是否被收集與如何被利用享有的自我決定權(quán)。即使是合法收集的個人信息，公民個人也僅僅對收集時所表明的合法事項進行了授權(quán)，合法收集后再出售或提供都超出了授權(quán)的范圍，因此會造成對公民個人信息的侵犯。

提供包含了有償與無償兩種方式，有償提供里最常見的就是出售，是指相對方必須支付一定的財產(chǎn)或財產(chǎn)性利益為對價。除此之外，有償提供還包括支付非財產(chǎn)性利益進行交換的方式。無償提供則不需要相對人支付對價。筆者認為，從主觀惡性上看，有償提供行為的主觀惡性要大于無償提供行為。行為人在獲得對價時應(yīng)該謹慎地認識到自己用以交換的個人信息實際上并不屬于自己，“任何人不得從自己的錯誤行為中獲利”，提供別人的信息使自己獲益的行為比僅使他人獲益的無償提供行為更應(yīng)該被處罰。在刑法條文上雖然沒有明確區(qū)分，但從《解釋》中可以看出違法所得的數(shù)額是認定是否構(gòu)成“情節(jié)嚴重”的標準之一，如《解釋》第五條規(guī)定了違法所得五千元以上的應(yīng)當(dāng)認定為“情節(jié)嚴重”，正是基于行為人主觀惡性的考慮。

以“竊取或者其他方法非法獲取公民個人信息”中的“其他方法”是僅限于竊取等性質(zhì)上明確的非法方法，還是包括購買等中性的手段，一直以來引發(fā)了諸多討論。因此《解釋》第四條明確指出違反國家規(guī)定的購買、收受、交換等均屬于其他方法。事實上《解釋》只是起到了引導(dǎo)作用，即使未作出解釋也應(yīng)當(dāng)認定這些行為屬于刑法條文規(guī)定的其他方法。侵犯公民信息罪的設(shè)置是為了保護公民能夠依照其意愿自由決定個人信息的收集與使用，以竊取這類違法手段或是購買這類中性手段都不是本質(zhì)問題，關(guān)鍵看是否侵害了本罪保護的法益。竊取或購買個人信息均不是遵循信息所有人的意愿完成的信息流動，如果遵從了信息所有人的意愿則不會有“竊”一說。購買雖說本身是正常手段，但其購買指向的對象僅僅是信息持有人而并非信息所有人，因此如果違背了信息所有人的意愿則應(yīng)當(dāng)認為是侵害了其個人信息的自決權(quán)，也就侵害了本罪保護的法益，那么可能構(gòu)成本罪。

在出售或提供的模式中，公民個人信息的流向是由行為人向外走，在竊取或其他方法非法獲取的模式中，公民個人信息的流向是從外指向行為人。只要是侵犯了公民自由的決定個人信息的收集使用等權(quán)利，不論處于箭頭的何方都被規(guī)制。但是如果信息沒有流動，并不存在流向環(huán)節(jié)，而是直接利用，即行為人合法獲取公民個人信息后利用這些信息的行為，應(yīng)該如何認定？筆者認為要分情況進行討論：首先，合法獲取時，信息的所有人實際上會對該信息的使用范圍有一個明示或默示地授權(quán)，獲取信息的一方在授權(quán)的范圍內(nèi)利用這些信息則毫無疑問是合法的。其次，若合法獲取信息的一方對所獲取的信息超過了信息所有人的授權(quán)范圍進行使用，尤其在默示授權(quán)的場合，不論進行何種解釋均不能合乎情理地將其使用行為解釋在授權(quán)范圍內(nèi)時，則侵害了信息所有人的利益。個人信息的所有人并沒有決定自己的信息可以被超出授權(quán)地使用，合法收集非法利用個人信息的行為已經(jīng)侵害到了侵犯公民個人信息罪所保護的法益，但“利用”無論如何也不能解釋為“出售或提供”或“竊取或以其他方法非法獲取”。在當(dāng)前的法律體系下，基于罪刑法定原則，合法獲取非法利用個人信息的行為還不能以侵犯公民個人信息罪進行處罰。如果其利用個人信息進行了犯罪活動，構(gòu)成其他犯罪的，則是另一個層次的問題。有學(xué)者建議將非法利用個人信息的行為入罪，筆者贊同這一建議，侵犯公民個人信息罪沒有對合法獲取非法利用行為進行規(guī)制是一個缺陷，應(yīng)在本罪的行為模式中增加“非法利用”模式，使得對公民個人信息的保護更加完善。

三、對“公民”的認定

侵犯公民個人信息罪罪名中使用了“公民”一詞，根據(jù)《中華人民共和國憲法》規(guī)定，凡具有中華人民共和國國籍的人都是中華人民共和國公民。這是否表明本罪所指的個人信息僅限于具有中華人民共和國國籍的自然人的個人信息？筆者認為答案是否定的，事實上對這一問題進行過討論的學(xué)者基本都認為應(yīng)該包括外國籍人士與無國籍人士。

基于屬地管轄原則，我國刑法的效力及于對在本國領(lǐng)域范圍內(nèi)的外國人與無國籍人，相應(yīng)的也應(yīng)該給予他們刑法保護。隨著各國交流的日益密切，我國領(lǐng)域內(nèi)的外國人數(shù)量日益增多，泄露的個人信息完全有可能包括到外國人的個人信息，因此從現(xiàn)實情況來看有必要將外國人的個人信息涵蓋其中。另外，如果僅對侵犯本國公民個人信息的行為進行規(guī)制而無視侵犯外國公民的個人信息行為，也將影響我國的國際形象，更嚴重的可能會引發(fā)國際矛盾。筆者認為，我國刑法在此強調(diào)“公民”是想與單位進行區(qū)分，侵犯單位信息的不在本罪的規(guī)制范圍。盡管與單位相對的通常是自然人，但在此語境下可以將“公民”理解為加重語氣強調(diào)的“自然人”，不僅包含中國公民，也包含了外國公民與無國籍人。

對本罪“公民”的討論從《刑法修正案（七）》出臺后就存在，今年《解釋》的出臺卻沒有涉及此問題。筆者認為原因在于，不管是學(xué)界或是實務(wù)界，對這一問題基本達成了共識，沒有過多的爭議，僅僅是文字運用上使人產(chǎn)生了一點疑慮，沒有造成實質(zhì)困惑，因此《解釋》無須對此進行說明。

四、對“個人信息”的認定

我國至今沒有出臺《公民個人信息保護法》，在《刑法修正案（七）》之前沒有任何一部法律保護完整的全面的個人信息，只是對其中的某一方面有所涉及。《刑法修正案（七）》出臺后，對于“個人信息”的定義一直爭議不斷。盡管2013年最高人民法院、最高人民檢察院和公安部聯(lián)合發(fā)布的《通知》中對“個人信息”進行了界定，但爭議的聲音也依然存在，比如有學(xué)者認為其規(guī)定的“涉及公民個人隱私的信息、數(shù)據(jù)資料”不妥，有學(xué)者認為其所給出的只是公民個人信息的主要表現(xiàn)形式，而不是對其內(nèi)涵進行的定義。直到《網(wǎng)絡(luò)安全法》的出臺，第一次在法律中規(guī)定了何為個人信息，受其影響，今年頒布的司法解釋也對侵犯公民個人信息罪中的個人信息進行了明確規(guī)定。

《解釋》第一條即規(guī)定了個人信息的內(nèi)涵，即指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。從定義中可以看出，我國侵犯公民個人信息罪規(guī)制的個人信息至少應(yīng)具備以下兩個特征：其一，必須有信息載體，未經(jīng)固定的信息不應(yīng)當(dāng)成為此處的個人信息，即《解釋》所指的“以電子或其他方式記錄”。具有信息載體也是個人信息區(qū)別于個人隱私的一個重要特征，個人隱私強調(diào)的是私密性，是否記錄下來不在其考慮范圍，或者說更多時候個人隱私是不需要記載的。而個人信息則應(yīng)當(dāng)具有流通性，能夠被人收集和利用，因此必須存在信息載體。如果僅以口頭轉(zhuǎn)達的方式提供的信息，筆者認為不屬于此處的個人信息。根據(jù)《解釋》規(guī)定，為他人提供第三者的行蹤軌跡信息并被他人用于犯罪的行為構(gòu)成侵犯公民個人信息罪，但筆者認為，如果是通過當(dāng)面的談話，且沒有被以錄音或其他方式將內(nèi)容固定下來的，不應(yīng)該構(gòu)成本罪。由《解釋》強調(diào)了“以電子方式記錄”可以看出從電子記錄中泄露的個人信息是目前被侵犯的個人信息的主要來源，近年的電信詐騙案件多發(fā)也體現(xiàn)了這一點。其二，可識別性?？勺R別性被認為是個人信息的本質(zhì)屬性，是從個人信息的功能出發(fā)得出的結(jié)論。個人信息精準的指向特定的個人，如果只是指向某個群體或僅僅為確定特定人縮小了范圍，則其不屬于個人信息的范疇。但并非說某一信息不能精準識別特定個人就一定不是個人信息，因為識別包含著單獨識別與結(jié)合識別兩種模式，具有單獨識別功能的個人信息自己就能完成識別任務(wù)，如身份證件號碼可以直接指向特定人。另一些信息則需要相互結(jié)合共同發(fā)揮作用，如住址、財產(chǎn)狀況等信息需要配合其他信息才能完成對特定人的識別。正是由于個人信息具有可識別性，信息泄露的危害才大到值得動用刑法來保護?！督忉尅返谌龡l第二款規(guī)定的“經(jīng)過處理無法識別特定個人且不能復(fù)原的除外”也再一次強調(diào)了識別性的重要地位。