劉 芳 葛曉娟

一、侵犯公民個人信息犯罪的概況

（一）公民個人信息保護面臨多重風(fēng)險

互聯(lián)網(wǎng)大數(shù)據(jù)時代，信息資源的重要性凸顯，個人信息成為競相追逐的資源。信息暢通、數(shù)據(jù)共享為人們生活帶來便利的同時，也使得個人信息安全面臨著諸多風(fēng)險。個人信息泄露問題嚴(yán)重，個人信息安全成為全社會高度關(guān)注的問題。目前，個人信息保護面臨的風(fēng)險主要有兩個方面：

1.平臺軟件過度索權(quán)，公民個人信息暴露機會增多。獲取用戶權(quán)限是平臺軟件收集用戶隱私數(shù)據(jù)的第一步。合法、正當(dāng)、必要，是網(wǎng)絡(luò)平臺運營商采集用戶信息的法定原則，然而，軟件開發(fā)商過度索權(quán)已是不爭的事實。

2.利益相關(guān)者寄生共存，數(shù)據(jù)黑市交易猖狂。在整個數(shù)據(jù)交易過程中，內(nèi)鬼、黑客、爬蟲軟件開發(fā)商、清洗者、加工者、料商、買家等寄生于此，催生出一個巨大規(guī)模的數(shù)據(jù)黑市。[3]《大數(shù)據(jù)黑市調(diào)查：內(nèi)鬼 黑客 清洗者 料商 買家等寄生的千億產(chǎn)業(yè)鏈》，《證券時報》2021年3月24日，第1版?！皟?nèi)鬼”監(jiān)守自盜是個人信息流入黑市的重要渠道之一。黑客、爬蟲軟件開發(fā)商則通過各種技術(shù)手段竊取公民個人信息。料商即數(shù)據(jù)的中間商，他們上通數(shù)據(jù)源頭下達數(shù)據(jù)買家，層級越高的料商距離信息源頭越近，所擁有的數(shù)據(jù)信息更全、更真實。從信息收集到信息販賣再到信息利用，每一個環(huán)節(jié)環(huán)環(huán)相扣，形成龐大的“灰色產(chǎn)業(yè)鏈”。一些不法分子將獲取到的公民個人信息用于實施違法犯罪活動。侵犯公民個人信息的犯罪不僅助長了傳統(tǒng)違法行為向網(wǎng)絡(luò)社會發(fā)展蔓延，也為許多違法犯罪提供信息源頭，是電信網(wǎng)絡(luò)詐騙、幫助信息網(wǎng)絡(luò)犯罪、掩飾隱瞞犯罪所得等罪名的上游型犯罪。[4]喻海松編著：《侵犯公民個人信息罪司法解釋理解與適用》，中國法制出版社2018年版，第22頁。

（二）侵犯公民個人信息犯罪的立法沿革

2009年《刑法修正案（七）》增設(shè)了“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”，首次將侵犯公民個人信息行為入刑；2013年4月23日，最高人民法院、最高人民檢察院、公安部發(fā)布《關(guān)于依法懲處侵害公民個人信息犯罪活動的通知》；2015年8月29日，《刑法修正案（九）》（以下簡稱《刑修九》）第17條又將前述兩罪修訂為一個罪名——“侵犯公民個人信息罪”，將犯罪主體從特殊主體擴大到一般主體，并且增加了單位犯。2017年5月8日，最高人民法院、最高人民檢察院發(fā)布《關(guān)于辦理公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）?！督忉尅穼η址腹駛€人信息犯罪的定罪量刑標(biāo)準(zhǔn)和相關(guān)法律適用問題作了全面、系統(tǒng)的規(guī)定。從法律體系看，侵犯公民個人信息罪置于我國刑法分則第四章“侵犯公民人身權(quán)利、民主權(quán)利罪”，因此，其所保護的法益為公民人格權(quán)利與自由。從行為方式看，本罪主要有兩種行為類型：一是違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴(yán)重的。二是竊取或者以其他方法非法獲取公民個人信息。從犯罪主體看，本罪的犯罪主體是一般主體，且單位可構(gòu)成本罪。

（三）侵犯公民個人信息罪的司法實踐現(xiàn)狀

以筆者所在檢察院（以下簡稱“S院”）為例，自《刑修九》施行以來，S院共辦理侵犯公民個人信息案件21件，經(jīng)梳理，案件主要呈現(xiàn)以下特點：

1.所涉公民個人信息數(shù)量趨于龐大。由于信息技術(shù)的不斷發(fā)展，批量處理和傳遞個人信息越來越便捷，案件所涉的公民個人信息數(shù)量呈現(xiàn)幾何式爆炸增長。近五年間，S院辦理案件所涉信息條數(shù)從普遍千余條到個別案件所涉信息十萬條、百萬條、千萬條為普遍現(xiàn)象。

2.單條公民個人信息所含要素趨于縮減?？紤]到商業(yè)推廣效率和效果，嫌疑人購買數(shù)據(jù)時往往需要精準(zhǔn)定位目標(biāo)群體，偏重信息的針對性而非信息要素的齊備性。近年來，查獲的公民個人信息中，姓名、年齡、地域、身份證號等與需求無關(guān)的要素一再刪減，呈現(xiàn)“群體+手機號碼”樣態(tài)，如，車主群、寶媽群、女司機等，有的甚至表現(xiàn)為“文檔序號+手機號碼”。

3.公民個人信息泄露的源頭趨于模糊。在個人信息的獲取渠道中，如，因履行職責(zé)或者提供服務(wù)過程中獲得公民個人信息，則信息源頭較為明確。如，最初有諸如醫(yī)院護士將新生兒信息出售給兒童攝影店的案件，信息泄露的源頭明確，便于追責(zé)。近兩年的案件中，嫌疑人獲取信息的方式多為從信息中間商處購買、收受，信息泄露的源頭難以查清。

4.公民個人信息的用途呈現(xiàn)兩級分化。個人信息的用途或為商業(yè)推銷，或?qū)ｉT出售牟利。眾所周知，個人信息是商業(yè)推廣中的重要資源，市場有對公民個人信息的需求，出售信息牟利的中間商隨即產(chǎn)生。上述案件中，有16件屬于將獲取的公民信息用于業(yè)務(wù)推銷，占案件量的76.19%；另有5人單純?yōu)槎纬鍪勰怖@取信息。

二、司法實踐中的疑難問題梳理

（一）僅有手機號碼是否認(rèn)定為公民個人信息

如前所述，司法實踐中查獲的涉案單條公民個人信息所含要素趨于縮減，個別案件表現(xiàn)為“文檔序號+手機號碼”。如，S院辦理的王某某侵犯公民個人信息案，其招募百余名員工，為京外的男士會所提供電話推銷服務(wù)。民警從其辦公電腦中查獲上海、溫州等地的手機號碼700余萬條，除了文檔名稱顯示出號碼歸屬地外，文檔內(nèi)僅有手機號碼，不含姓名、身份、地址等其他要素，是否可以認(rèn)定為公民個人信息呢？《解釋》第1條規(guī)定：“刑法第253條之一規(guī)定的‘公民個人信息’，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。”可見，公民個人信息有兩個屬性，即與特定自然人的關(guān)聯(lián)性和可識別性。手機號碼的關(guān)聯(lián)性毋庸置疑。根據(jù)工信部《電話用戶真實身份信息登記規(guī)定》的相關(guān)規(guī)定，[5]《電話用戶真實身份信息登記規(guī)定》第三條規(guī)定：“本規(guī)定所稱電話用戶真實身份信息登記，是指電信業(yè)務(wù)經(jīng)營者為用戶辦理固定電話、移動電話（含無線上網(wǎng)卡，下同）等入網(wǎng)手續(xù)，在與用戶簽訂協(xié)議或者確認(rèn)提供服務(wù)時，如實登記用戶提供的真實身份信息的活動。”當(dāng)前，手機號碼已基本實現(xiàn)實名登記，每個手機號碼都對應(yīng)特定的自然人。但關(guān)于僅有手機號碼是否具有可識別性存在認(rèn)識爭議。有觀點認(rèn)為，手機號碼不能單獨識別特定自然人身份或反映特定自然人活動情況，不應(yīng)認(rèn)定為“公民個人信息”。有觀點認(rèn)為，在當(dāng)前手機號碼已實名登記的背景下，每個號碼對應(yīng)特定的自然人，結(jié)合其他信息能夠識別公民身份，單純手機號碼應(yīng)認(rèn)定為公民個人信息。

（二）批量信息來源不明時能否認(rèn)定為非法獲取

從實踐看，非法獲取公民個人信息的方式主要表現(xiàn)為購買、收受、交換和采用技術(shù)手段侵入計算機信息系統(tǒng)。具體到個案中，侵犯公民個人信息罪的行為方式為非法獲取時，一般應(yīng)當(dāng)查明獲取的過程。如，通過購買獲取公民個人信息的，一般需要有買家賣家的聊天記錄、資金轉(zhuǎn)賬記錄、公民個人信息傳遞記錄、已查獲的公民個人信息等證據(jù)，上述證據(jù)可形成一個完整的證據(jù)鏈證實購買公民個人信息的事實。然而，司法實踐中大部分案件中，嫌疑人供述的上家及交易過程往往無法查證，即在案查獲行為人持有大量的公民個人信息，卻無法證實信息的獲取手段是否合法。如，S院辦理的陳某某侵犯公民個人信息案，從其隨身攜帶的U盤內(nèi)查獲公民個人信息500余萬條，其本人辯解U盤不是自己的，拒不供述信息來源。此類案件中，能否推定公民個人信息的獲取手段“非法性”，存在認(rèn)識分歧。有觀點認(rèn)為，刑法沒有明文規(guī)定持有公民個人信息為犯罪行為，信息來源不明時如推定非法獲取，屬于不利于被告人的有罪推定。也有觀點認(rèn)為，對于信息來源不明的，嫌疑人拒不供述信息獲取方式或者辯解與其身份、職業(yè)不相稱，非法持有公民個人信息也應(yīng)當(dāng)認(rèn)定為非法獲取。

（三）向下屬或者同案犯提供公民個人信息是否屬于向“特定人”提供公民個人信息

《解釋》第3條對于“提供公民個人信息”的認(rèn)定作出規(guī)定。向特定人提供公民個人信息，以及通過信息網(wǎng)絡(luò)或者其他途徑發(fā)布公民個人信息的，應(yīng)當(dāng)認(rèn)定為“提供公民個人信息”，屬于侵犯公民個人信息罪的一種行為方式。司法實踐中，大部分案件中嫌疑人將獲取的公民個人信息用于商務(wù)推廣。在公司企業(yè)中，因商務(wù)推廣掌握信息的人員上至經(jīng)理、主管，下至組長、組員。如，S院辦理的寧某某侵犯公民個人信息案，寧某某為某商貿(mào)公司負(fù)責(zé)人，其雇用人員進行電話推銷破壁機，經(jīng)營期間向公司經(jīng)理發(fā)送大量公民個人信息，經(jīng)理又依次轉(zhuǎn)發(fā)給組長、組員。這種公司內(nèi)部上級將公民個人信息提供給下級，或者共同犯罪中向同案犯提供的是否屬于提供，存在認(rèn)識分歧。有觀點認(rèn)為，“特定的人”與“不特定的人”是一個相對概念，“特定的人”指的是嫌疑人自身之外某個具體的人；有觀點認(rèn)為，“特定的人”應(yīng)當(dāng)做限制性解釋，不包括公司下級或者同案犯；還有觀點認(rèn)為，對于個案中提供給下屬使用的行為如何認(rèn)定要結(jié)合公司的規(guī)章制度判斷，不能一概而論。[6]肖友廣、張爭輝等：《侵犯公民個人信息刑事案件司法認(rèn)定疑難問題研究》，《上海法學(xué)研究》第7卷（2019年），第151頁。

（四）公開商業(yè)類信息所涉?zhèn)€人信息是否應(yīng)予以排除

在公民個人信息中，有一類信息比較特殊，公民對于信息的公開和擴散持積極追求的態(tài)度。如，公司、企業(yè)在商業(yè)經(jīng)營和推廣時，會依照相關(guān)法律法規(guī)，公示公司、企業(yè)法定代表人、負(fù)責(zé)人的姓名、職務(wù)、經(jīng)營地點、聯(lián)系方式等個人信息。行為人自行通過網(wǎng)絡(luò)搜集、整理這類信息無疑是合法的。但類似的公開信息被第一個人獲取后，經(jīng)過層層流轉(zhuǎn)，后續(xù)的人有償出售給其他人使用，是否構(gòu)成侵犯公民個人信息罪。如，S院辦理的林某某侵犯公民個人信息案，從其個人使用的電腦中查獲公民個人信息二百余萬條，林某某供認(rèn)所有公民個人信息均通過他人購買，其中50余萬條信息屬于公司法人信息。在辦理上述案件時，認(rèn)定行為人非法獲取的信息數(shù)量是否應(yīng)當(dāng)將公司法人信息予以排除。有觀點認(rèn)為，公開的公民個人信息不屬于《刑法》第253條之一規(guī)定的“公民個人信息”的范疇，對該部分信息數(shù)量應(yīng)當(dāng)全部排除。有觀點認(rèn)為，按照《解釋》第3條的規(guī)定，未經(jīng)收集者同意，將合法收集的公民個人信息向他人提供，應(yīng)認(rèn)定以提供公民個人信息入罪，第一個獲取公開信息的人可以不追究，但將公開信息再行提供給他人的，他人從中間商處獲取的，則不應(yīng)當(dāng)排除。上述侵犯公民個人信息案件的認(rèn)識分歧，導(dǎo)致司法人員對案件處理采取較為嚴(yán)苛保守的態(tài)度，部分案件不能提起公訴或者僅認(rèn)定少量公民個人信息，難以實現(xiàn)對侵犯公民個人信息行為的充分制約和打擊，故迫切需要對上述問題進行明晰。

三、侵犯公民個人信息罪常見疑難問題的司法認(rèn)定

對于以上司法實踐中的爭議問題，需結(jié)合公民個人信息的權(quán)利屬性、侵犯公民個人信息的犯罪特點和規(guī)律、刑事立法本意以及刑事犯罪的基本理論等方面探尋上述疑難問題的解決路徑。

（一）僅有手機號碼應(yīng)認(rèn)定為公民個人信息

單獨一條手機號碼是否能成為一條公民個人信息，對這個問題的爭議歸根結(jié)底在于對“公民個人信息”的權(quán)利屬性的界定。有學(xué)者認(rèn)為，刑法對于“公民個人信息”的保護，可以概括為兩類：一類是保護個人身份認(rèn)證信息的典型侵犯公民個人信息罪。另一類是通過對可能涉及公民人身、財產(chǎn)的信息進行保護進而保護公民人身、財產(chǎn)的信息。[7]于志剛：《“公民個人信息”的權(quán)利屬性與刑法保護思路》，《浙江社會科學(xué)》2017年第10期，第8頁。筆者認(rèn)同這樣的分類，手機號碼就屬于可能涉及人身、財產(chǎn)的重要信息，單個手機號碼應(yīng)認(rèn)定為一條公民個人信息。理由有以下幾點：

1.手機號碼具有關(guān)聯(lián)身份的屬性。在當(dāng)前，電話用戶實名登記的背景下，手機號碼不僅是傳統(tǒng)的聯(lián)系方式，更是重要的身份認(rèn)證方式，手機號碼多與銀行賬戶、購物網(wǎng)站、社交娛樂的賬號綁定，人們對手機號碼的忠誠度日益提高，號碼的專屬性和私密性更加重要。

2.手機號碼屬于可能涉及公民人身、財產(chǎn)的信息。手機號碼相對于其他信息，有不受地域限制、可直達接收者的特點，便于信息的利用者對信息接收者施加影響從而實現(xiàn)自己的目的。從司法實踐看，查獲的手機號碼往往具有其他特征，如，反映特定的地域、性別、職業(yè)、消費群體、資產(chǎn)狀況、興趣愛好等，一般具有很強的目的性和指向性。

3.將手機號碼視為公民個人信息符合社會大眾的一般認(rèn)知。近年來，諸如貸款理財、房產(chǎn)中介、教育培訓(xùn)等騷擾電話經(jīng)常侵?jǐn)_人們的日常生活，號碼泄露帶來的騷擾電話不僅影響著個人的通訊體驗，還讓違法犯罪行為有可乘之機。個體對手機號碼的保護意識不斷增強，對泄露公民個人信息、買賣個人信息的行為普遍深惡痛絕，應(yīng)當(dāng)納入刑罰打擊的范圍。

（二）批量信息來源不明時應(yīng)綜合認(rèn)定是否系“非法獲取”

與非法獲取公民個人信息相對的概念是合法取得，合法取得的途徑大致分為兩類：一是有意主動獲取型，如依法履行職責(zé)、提供服務(wù)過程中搜集的公民個人信息，利用網(wǎng)絡(luò)平臺、傳統(tǒng)媒體等公開途徑收集公民個人信息。二是無意被動接受型，如拾得公民個人信息，使用二手設(shè)備發(fā)現(xiàn)有他人存儲的公民個人信息，客戶主動致電垂詢留存的信息等。批量信息來源不明時，且嫌疑人拒不供認(rèn)或提出關(guān)于信息來源的具體辯解時，應(yīng)當(dāng)根據(jù)已查明的嫌疑人身份、所在行業(yè)、所從事職業(yè)綜合判斷，如不能排除有合法獲取或接受與查獲信息類型相當(dāng)?shù)墓駛€人信息，則不能認(rèn)定其非法獲取。但對于排除合法獲取可能的案件，即來源不明且無權(quán)持有是否可以認(rèn)定為“非法獲取”？筆者對此持肯定觀點，該認(rèn)定邏輯不是有罪推定，而是沒有直接證據(jù)認(rèn)定時根據(jù)間接證據(jù)認(rèn)定“非法獲取”。需要注意的是，使用間接證據(jù)認(rèn)定時應(yīng)當(dāng)嚴(yán)格遵循間接證據(jù)的適用規(guī)則，可參照最高人民法院《關(guān)于適用〈中華人民共和國刑事訴訟〉的解釋》第140條的規(guī)定。

（三）向下屬或者同案犯提供公民個人信息不宜認(rèn)定為“非法提供”

在公司內(nèi)部上級將公民個人信息提供給下級，或者共同犯罪中向同案犯提供的是否屬于“非法提供”。筆者認(rèn)為，應(yīng)當(dāng)結(jié)合立法本意對“特定人”作限制性解釋。理由如下：

1.從立法目的看，刑事立法將“非法提供公民個人信息給他人”的行為作為刑法打擊對象，是因為提供行為可能導(dǎo)致后續(xù)信息的繼續(xù)擴散及傳播。領(lǐng)導(dǎo)提供給下屬用于公司日常運營，信息在公司內(nèi)部流轉(zhuǎn)，未向外擴散。

2.從公民個人信息的價值來看，信息的價值絕不是為了占有，而是為特定用途服務(wù)。對于公司內(nèi)部，上級非法獲取公民個人信息后，僅用于個人占有是沒有意義的，上級必然將非法獲取的公民個人信息向下屬提供，如下屬與上級之間如無非法獲取信息的事先共謀，僅根據(jù)領(lǐng)導(dǎo)的安排使用信息，領(lǐng)取工資報酬，這里的提供行為實際上是上級對違法獲取信息的使用。

3.從提供行為的性質(zhì)來看，上級非法獲取公民個人信息后向下級提供屬于事后不罰行為。該行為類似于盜竊罪中竊取他人財物并使用，對于上級來說屬于事后不可罰行為，不能再以提供行為對其進行處罰。當(dāng)然，如果下屬再將信息向外擴散，則可以另行追究下屬的責(zé)任。而同案犯之間，基于不同的分工，有人負(fù)責(zé)獲取信息，有人實施其他行為，非法獲取公民個人信息后提供給同案犯使用，因未超出共同犯罪故意的范疇，應(yīng)當(dāng)認(rèn)定共同犯罪人均屬于非法獲取公民個人信息，共犯內(nèi)部之間的提供行為不再單獨處罰。

（四）公開商業(yè)類信息所涉?zhèn)€人信息應(yīng)當(dāng)應(yīng)予以排除

一般認(rèn)為，公民個人信息一定程度上是從隱私權(quán)中分離出來的權(quán)利，侵犯公民個人信息罪所保護法益的重要方面應(yīng)為個人隱私和生活安寧。公開的商業(yè)類信息所涉?zhèn)€人信息應(yīng)當(dāng)與單獨個體的公民個人信息作區(qū)別對待，不宜認(rèn)定為公民個人信息。從權(quán)利人對信息傳播持有的態(tài)度看，公開的廣告信息、商貿(mào)信息中所涉的個人信息，其權(quán)利人往往是自愿甚至主動公開個人信息，希望相關(guān)信息傳播。而一般社會個體對其個人信息持有保守態(tài)度，以保密為原則、公開為例外，不希望自己的信息傳播。[8]喻海松編著：《侵犯公民個人信息罪司法解釋理解與適用》，中國法制出版社2018年版，第22頁。當(dāng)前，我國侵犯公民個人信息犯罪泛濫，公民個人信息保護水平整體不高，更宜側(cè)重保護未公開的公民個人信息。在計算查獲公民個人信息數(shù)量時，應(yīng)當(dāng)將公開商業(yè)類信息所涉?zhèn)€人信息部分予以排除。