浅谈侵犯公民个人信息罪的司法实务
及具体适用
婺源县人民检察院 张涛
随着大数据时代的到来，信息数据井喷式的增长给社会经济生活带来了翻天覆地的变化。作为其中重要组成部分的公民个人信息，无疑是各阶层、各群体关注的核心数据之一，由此引发的公民个人信息的泄露而带来违法犯罪行为日益增多，诸如侵犯公民个人信息罪、非法利用信息网络罪、帮助信息网络犯罪活动罪，拒不履行网络安全管理义务罪以及利用非法获取的公民个人信息实施的网络诈骗、盗窃等侵财犯罪或利用非法获取的公民个人轨迹等信息实施的侵犯公民人身权利犯罪层出不穷，这不仅影响公民的正常生活，造成公民财产损失，甚至危及公民的生命安全。因此，我国刑法也规定、修订了相关罪名进行规制，其中侵犯公民个人信息罪作为进行了重大修改，作为直接保护公民个人信息安全和自由的罪名在司法实务中的适用值得我们进行关注探讨。
一、侵犯公民个人信息罪的新旧变化
侵犯公民个人信息罪为我国刑法第二百五十三条之一所规定，是为2009年2月28日全国人大常委会《中华人民共和国刑法修正案（七）》第七条增设，设定罪名分别为出售、非法提供公民个人信息罪、非法获取公民个人信息罪，2015年8月29日全国人大常委会《中华人民共和国刑法修正案（九）》第十七条修订，统一罪名为侵犯公民个人信息罪。对比刑法修正案七和刑法修正案九，对该罪的修订变化体现在以下几个方面：
一是主体要求发生了变化。刑法修正案七第一款出售、非法提供公民个人信息罪是特殊主体，指的是国家机关或者金融（一般是指各种银行、保险公司、信托投资公司、证券机构、财务公司、信用合作社等）、电信、交通、教育（各级各类学校或者培训机构，包括民办和公办的教育机构）、医疗等单位的工作人员。第二款非法获取公民个人信息罪是一般主体。而刑法修正案九全部统一为侵犯公民个人信息罪，其主体要件均改为一般主体，特殊主体作为该罪的第二款条文从重处罚，反映出国家对侵犯公民个人信息犯罪的打击面和打击力度的加强。
二是行为方式发生了变化。刑法修正案七第一款出售、非法提供公民个人信息罪要求实施了违反国家规定，将本单位在履行职责或者提供服务过程中（必须是利用公权力或者提供公共服务过程中依法获得的）获得的公民个人信息，出售或非法提供（不应提供而予以提供）给他人（包括个人和单位）的行为。第二款非法获取公民个人信息罪要求实施的窃取或其他方法获取。刑法修正案九侵犯公民个人信息罪修正之处为：首先，将违反国家规定变为违反国家有关规定，违反国家有关规定是唯一标准，并不以是否经权利人同意作为判断标准。根据2017年5月8日两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《公民个人信息解释》）第二条的规定“违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一的‘违反国家有关规定’”，违反国家有关规定的范围更为广泛。
其次，行为方式修改为三种：向他人出售或者提供公民个人信息；将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人；窃取或以其他方法非法获取公民个人信息的行为，去除掉了原先“非法提供”的限制。《公民个人信息解释》第四条的规定“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一规定的‘以其他方法非法获取公民个人信息’”，对其他方法的理解不是只包括诈骗、胁迫等本身就是非法性质的方法，也包括购买、交换等本身不非法性质的方法。要从行为人获取行为的本质属性去判断，不管获取的行为是否违反了法律的禁止规定，只要行为人没有获取公民个人信息的法律依据或资格而获取了就可以认定为非法获取。比如说具有特定职责的办案人员利用职务便利，处于履职意外的目的私自进入系统获取公民信息，也是以其他方法获取公民信息。
三是构罪要件和量刑要件发生了变化。刑法修正案七规定的为“情节严重的，处三年以下有期徒刑或者拘役，并处或单处罚金”，刑法修正案九除了构罪这一档外，还额外增加了一档，即“情节特别严重的，处三年以上七年以下有期徒刑，并处罚金”。《公民个人信息解释》第五条第一款对“情节严重”规定了十种情形，第二款对“情节特别严重”规定了四种情形。
二、侵犯公民个人信息罪中“公民个人信息”的理解和适用
“公民个人信息”从字面上解析，它应该包括“公民”和“个人信息”两个层面。“公民”从刑法的周延性来说，它应当包括中国人、外国人、无国籍人。“个人信息”根据2013年4月23日两高一部《关于依法惩处侵害公民个人信息犯罪活动的通知》规定，公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者设计公民个人隐私的信息、数据资料。根据《公民个人信息解释》第一条的规定“公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证号码、通讯联系方式、住址、账号密码、财产状况、行踪轨迹等”。 综合而论，公民个人信息也就是包括识别个人身份的信息和涉及公民个人隐私的信息两大类。
犯罪嫌疑人非法购买公民通话清单后予以转卖牟利的在刑法修正案九出台之前定位非法获取公民信息罪，在刑法修正案九之后应认定为侵犯公民个人信息罪，如《刑事审判参考》第612号案例（周建平非法获取公民个人信息案）。公民个人电话通话清单属于“公民个人信息”。“公民个人信息”是指专属于某自然人的一切能用于识别其特定身份的重要信息，包括姓名、职业、职务、年龄、婚姻状况、种族、学历、学位、专业资格、工作经历、住址、电话号码、网上登录姓名和密码、身份证号码、护照号码、社会保险卡号码、医疗保险卡号码、驾驶证号码、指纹、声音印记、DNA、书写的签名和电子签名。电话通话清单是电信部门电脑对某一电话主叫或被叫情况、对方电话号码、是否能接通及通话时间起止等情况的实时记录，通过对一定时段内某一电话的通话记录进行分析，有可能发现该电话使用者的身份、经济状况、生活规律、与通话对方关系等相关情况。因此，电话通话清单隐含着公民个人的某些信息，属于刑法第二百五十三条之一罪状中“公民个人信息”的范畴。
那么手机定位是否属于刑法保护的“公民个人信息”？根据刑事审判参考第741号案例（谢新冲出售公民个人信息案）的裁判要旨来看可以归入，而且《公民个人信息解释》亦明确了行踪轨迹属于公民个人信息范围。手机定位是随着手机在社会生活中的广泛运用二出现的一种技术手段。其做法是通过特定的定位技术来获取移动手机或终端用户的位置信息（经纬度坐标），在电子地图上标出被定位对象的位置。通过对手机号码进行定位，定位人能够知道被定位人的大概位置。但这种位置可能会发生变化，故手机定位属于动态信息。从生活经验看，公民在某个时间内所处的具体位置在一般情况下并不具有明显的隐私性或者权益性，对于其本人或他人而言都并非值得关注的问题。但是，当公民从事某些活动不希望被他人获悉，因其所处具体方位与所从事的活动之间具有直接联系，一旦被他人获悉，其所从事的活动也就相当程度被暴露，损害其利益，故其所处具体位置就具有明显的隐私性和权益性，属于刑法所保护得公民个人信息。此时，对公民的手机进行定位，就属于侵犯公民隐私的行为。正是基于手机定位存在公民隐私和权益的危险，当前电信部门把手机定位作为一项特殊业务来开展，有着较为严格的办理手续。在此类案件中，如何计算手机定位信息的数量是一个较为复杂问题。如果基于同一个人的申请，在相对固定的时间内（如一周、一个月或者一年）对同一部手机进行连续多次定位，可以计算为一条信息，但量刑时不应仅以一条信息而论，还必须考虑这种连续定位行为的危害性，体现于仅定位一次的区别。如果对手机定位后，经过一段时间再次对同一部手机进行定位，特别是申请定位人不是同一人时，则不宜计算为一条信息，可根据实际定位次数计算信息数量。
三、侵犯公民个人信息罪司法实务认定中常见难点问题
一是“情节严重”如何认定的问题。《公民个人信息解释》中第五条列举了9种情形，并以“其他情节严重的情形”作为兜底条款，第六条对为合法经营活动而非法购买、收受的公民个人信息列举2种情形，亦以“其他情节严重的情形”作为兜底条款。从司法解释的刑法技术角度来说，这是一种概括列举的方法，并不能穷尽所有可能，所以才会在最后加上一款“其他情节严重的情形”兜底。分析其列举的情形，主要从以下几个方面进行考虑设置：1、数量标准，视信息的重要程度分别设置为50条以上、500条以上、5000条以上；2、金额标准，违法所得5000元以上、获利5万元以上；3、打击犯罪的角度，如被用于犯罪的，曾应侵犯公民个人信息受过刑事处罚或行政处罚的，还有就是针对特殊主体从重打击的角度相关标准同一般主体相比减半设置。除此之外，对“其他情节严重的情形”如何理解和把控呢？一般而言，多次出售、向多人出售或者出售多人信息的；给公民造成严重经济损失或者严重影响公民个人正常生活的；对国家安全或者社会民生造成影响的；将公民个人信息出售给境外机构或者个人的等等，均应列入“其他情节严重的情形”范畴之内。
二是非法使用公民个人信息的定性。侵犯公民个人信息罪规定了非法获取、出售或者提供公民个人信息三种行为入罪，但只是非法使用的行为并未规定入罪。具体而言，如果公民个人信息是被窃取或者非法获取的可以定侵犯公民个人信息罪，如果使用公民个人信息用于诈骗、敲诈勒索等违法行为的可以定其他犯罪，但如果只是一般的违反国家规定和权利人意愿非法使用所掌握的公民个人信息的不构成犯罪。
三是针对网络人肉搜索行为的定性。应当说，人肉搜索行为不能直接适用侵犯公民个人信息罪，但视搜索的情形，传播内容的真实程度可能可以构成侮辱罪、诽谤罪等，如果在人肉搜索的过程中及后续行为有触犯刑法的行为，则构成其他的犯罪。刑事审判参考第719号案例（周娟等非法获取公民个人信息案）对网络信息进行整合然后出售的，之前定非法获取公民个人信息罪，现在则可定侵犯公民个人信息罪。
四是非法获取公民个人电子信息的行为定性。公民个人电子信息肯定被包含在公民个人信息的范围之内，非法获取公民的个人电子信息行为可能或触犯非法获取计算机信息系统数据罪，如果违反国家规定，侵入计算机系统和采用其他技术手段获取了电子信息，则属于想象竞合犯，从一重处罚。
此外，如果公民个人信息属于商业秘密，则非法获取、出售或提供公民个人信息的行为可能触及侵犯商业秘密罪，处断原则也是构成想象竞合犯，从一重处罚。当然，出售或提供公民个人信息的行为还可能成为其他犯罪的手段行为，如故意杀人、绑架等，如部分人为了实施绑架行为，可能会有一段时间的跟踪行为，如果跟踪行为达到了非法获取公民个人信息的入罪标准，则可能被绑架行为牵连，从一种处罚。
