潍坊市                                      刑事类 

关于侵犯公民个人信息罪若干问题的探讨

单 位: 山东求是和信律师事务所

作 者: 辛 帅

手机号码 :13396360699   

执业证号: 13707201711151257

关于侵犯公民个人信息罪若干问题的探讨

摘要：侵犯公民个人信息罪，是出售、非法提供公民个人信息罪和非法获取公民个人信息罪整合而来。2009年2月28日起施行的《刑法修正案（七）》，增设刑法第253条之一，规定了“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”。2015年11月1日起施行的《刑法修正案（九）》对刑法第253条之一作出修改完善，修改后，《刑法》第253条之一的罪名被整合为“侵犯公民个人信息罪”。本文将结合实践，对“公民个人信息”的概念与范围、“罪与非罪”、数量计算等问题进行探讨分析。

关键词：公民个人信息 违法所得 数量计算

2017年5月8日最高人民法院、最高人民检察院于联合颁布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)。《解释》对《刑法》第253条之一规定的侵犯公民个人信息罪的理解与适用问题作出了明确规定。然而,自《解释》施行以来，侵犯公民个人信息罪的司法适用仍存在一些法律适用难题，个别问题甚至争议较大。本文拟结合《解释》的新规定,对侵犯公民个人信息罪的有关问题作进一步的分析和探讨。

一、公民个人信息概念和范围界定的理解

既然是侵犯公民个人信息罪，那么何为公民个人信息?这其实是在司法实践中比较难认定的一个方面。虽然《刑法》第253条之一未对“公民个人信息”的概念和范围作出明确的规定，但是《解释》与我国2016年颁布的《网络安全法》及2013年4月23日最高人民法院、最高人民检察院、公安部发布《关于依法惩处侵害公民个人信息犯罪活动的通知》对于“公民个人信息”内涵的阐释，对于我们确定和界定公民个人信息的概念和范围有重要启示。

《解释》第一条规定：“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。概括就是指个人身份识别信息和反应个人活动情况的信息。在同日实施的《网络安全法》第76条规定：“个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。概括就是指个人身份识别信息。另外，两高一部《关于依法惩处侵害公民个人信息犯罪活动的通知》规定，公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。概括就是指个人身份识别信息和个人隐私信息。三者结合起来，公民个人信息就是指个人身份识别信息、个人活动信息和个人隐私信息。因为规定在不同的法律之中，这三者之间其实也是有重合的。

　　通过上述规定，也可以看出来，公民个人信息其实是一个广义的概念，并不是我们传统狭义的概念和理解。在司法实践中，对于公民个人信息也是有区分的，分为敏感信息和一般信息，对于涉及公民个人隐私或者说比较敏感的个人信息，比如财产信息、行踪信息，所采取的认定标准是从宽的。在《解释》第五条也规定，对于行踪、通信、财产等敏感信息，五十条就构罪，而对于其他一般信息可能要五千条才构罪。

虽然公民的个人信息概念宽泛，但必定要有一个边界，那么哪些信息不属于公民个人信息的范围之内。故名思议，公民个人信息必须是自然人的信息，而不能是单位信息。近日，南京市中级人民法院作出判决，以侵犯公民个人信息罪，判处公职人员刘某有期徒刑四年。法院审理查明，刘某在南京某机关单位担任副主任科员、主任科员期间，利用职务便利，应被告人严某的要求，非法查询大量企业信息提供给严某，造成了恶劣的社会影响。刘某在法庭上辩称，企业信息不等于公民个人信息，不构成侵犯公民个人信息罪，但法院依法驳回了刘某的辩解。笔者认为在此案中，如果刘某查询并提供的仅仅是公司的名称，公司的公开的座机号码这些信息，那么是不涉嫌侵犯公民个人信息罪的，但是如果涉及到公司的人，就涉嫌侵犯了这些特定个人的信息，那么也就涉嫌侵犯公民个人信息罪了。所以，公民个人信息的主体仅限于公民，但不包括单位。

二、罪与非罪的界限理解

在这里，笔者主要探讨为合法经营购买信息的问题。前面已经介绍侵犯公民个人信息罪其实是出售、非法提供公民个人信息罪和非法获取公民个人信息罪合并而来，而非法购买信息其实就是非法获取公民个人信息罪的情形之一。在实践中，有很多因为非法购买公民个人信息而被立案、拘留、逮捕的案件，很多人会说我又没有谋利，怎么就定我罪了呢。

《解释》第6条规定了为合法经营而非法购买、收受信息的情况，利用非法购买、收受的公民个人信息获利五万元以上的；曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的，都属于情节严重，构成犯罪。那么，何为合法经营，举例如下。

某房地产开发商购买了5万余条客户的信息，用于楼盘的推销，那么这种行为是否构成犯罪呢?而且购买的信息并非敏感信息，就是一般的姓名、电话号码。司法实践中，对何为合法经营也是有争议的，我们大家都会经常接到过推销电话，最常见的就是问我们是否买房子、贷款等，那么这些行为是否属于合法经营，在这里就有必要把合法经营、违法经营、经营中的一般违法行为区分开来。合法经营和违法经营应该以公司开展的业务是否合法来着眼，而不应认为只要在经营中有违规行为就属于违法经营。像上述的购买信息用于推销房屋，就属于经营中的一般违法行为，而非违法经营。解决了合法经营的问题，那么还有一个问题就是非法购买、收受，此处其实已经非常明确的说明了两种非法获得手段，就是收受和购买，如果是其他手段获得，比如窃取、通过侵入计算机来获取，即使是为了合法经营而获取个人信息，也应当认定为构成犯罪。

因此，笔者认为如果采用非法购买、收受手段，获得公民个人信息仅仅用于一些合法的推销，而且这些信息既不属于敏感信息，获利也没有超过5万的情况下，本着刑罚的谦抑性原则，这种行为不应当别认定为犯罪。

三、违法所得与获利的合理区分

非法获取、出售或者提供公民个人信息其目的往往是为了牟利，《解释》第5条明确规定违法所得5千元以上的构成“情节严重”；违法所得5万元以上的，构成“情节特别严重”。《解释》第6条规定利用非法购买、收受的公民个人信息获利五万元以上的，构成“情节严重”。那么，在具体案件中对于数额应如何认定的问题，还存在较大争议。

例如，甲花了6千元向他人购买公民个人信息，又将这些信息作了整理，随后又以9千元的价格出售给房地产开发商。那么，甲的违法所得是9千元，还是应该扣除成本6千元认定为3千元，对于如何计算违法所得在实践中还是存在争议的。针对此案，笔者认为甲的违法所得是9千元，即“违法所得”不应该扣除成本。因为非法获取、出售或者提供公民个人信息本身就是法律所禁止从事的活动，其不存在合法经营的情形，不应当再扣除成本，且刑法中的“违法所得”，一般是指犯罪分子因实施违法犯罪活动而取得的全部财务。所以，此种情形下“违法所得”不应再扣除成本。

对于获利数额应如何计算的问题，笔者再举个例子。某房地产开发商花9千元从甲处购买了大量的个人信息，仅包括姓名、电话，用于楼盘的广告推销。至案发时，房地产开发商获利20万元。在此案中，笔者认为对于《解释》第6条规定的“获利”数额不应与第5条规定得“违法所得”数额混为一谈，获利数额应当扣除成本。《解释》第6条所针对的情形是为合法经营活动而非法购买、收受公民个人信息的特殊情况，其基于合法经营，社会危害性相对较小，且合法经营活动的获利情况十分复杂，有利用非法购买、收受的公民个人信息的因素，也有其经营的因素，所以在计算获利数额的时候应扣除成本。

四、对涉案公民个人信息数量计算规则的理解

《解释》明确了涉案公民个人信息的数量计算规则，这对于侵犯公民个人信息罪的定罪量刑有重要作用。《解释》第11条规定“非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算；向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算；对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”笔者认为，对这一规定可作如下理解。

第一，对于非法获取公民个人信息后又提供给同一单位或者个人的，在获取和提供的过程中，对象始终具有同一性。根据《解释》的规定，对于公民个人信息的条数，仅计算一次，不需重复计算。

第二，对于非法获取公民个人信息后又提供给不同单位或个人的，与前种情况相比，作为对象的信息从行为人处转手多次，被多个获取信息的单位或个人知晓。此种行为将公民个人信息传播的范围更广，社会危害性明显更大。根据《解释》的规定，对于公民个人信息的条数，应当累计计算。

第三，对于批量公民个人信息，由于通常所涉及的信息数量极为庞大，所以《解释》规定“根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”此种情形，笔者认为推定规则并不意味着举证责任的倒置，公诉机关任然需要承担对公民个人信息数量的举证责任。所以，对于批量公民个人信息仍然应当要求作去重处理，对于明显重复的信息应当予以排除，以免不合理地增加行为人的刑事责任。

                                    （字数：3739字）