sis banner sls2
欢迎光临上海市法学会!   您是第位访客 今天是
标题 内容 作者
  • 财税法学研究会
  • 法理法史研究会
  • 法学教育研究会
  • 港澳台法律研究会
  • 国际法研究会
  • 海商法研究会
  • 金融法研究会
  • 禁毒法研究会
  • 经济法学研究会
  • 劳动法研究会
  • 民法学研究会
  • 农业农村法治研究会
  • 商法学研究会
  • 社会治理研究会
  • 生命法研究会
  • 诉讼法研究会
  • 外国法与比较法研究会
  • 未成年人法研究会
  • 宪法研究会
  • 消费者权益保护法研究会
  • 网络治理与数据信息法学研究会
  • 刑法学研究会
  • 行政法学研究会
  • 知识产权法研究会
  • 仲裁法研究会
  • 反恐研究中心
  • 教育法学研究会
  • 航空法研究会
  • 卫生法学研究会
  • 立法学研究会
  • 法学期刊研究会
  • 法社会学研究会
  • 自贸区法治研究会
  • 竞争法研究会
  • 非公经济法治研究会
  • 人民调解法治研究会
  • 欧盟法研究会
  • 海洋法治研究会
  • 破产法研究会
  • 财富管理法治研究中心
  • 法学翻译研究会
  • 慈善法治研究会
  • 司法研究会
  • 海关法研究会
  • 环境和资源保护法研究会
  • "一带一路"法律研究会
  • 案例法学研究会
  • 互联网司法研究会
  • 文化产业法治研究小组
  • 体育法学研究小组
  • 人工智能法治研究会
  • 刑罚执行与回归社会研究小组
  •       
当前位置: 网站首页 > 学会活动

崔磊:侵犯公民个人信息罪的司法认定

2020-05-13 09:12:48 字体:

image.png

崔磊  上海市杨浦区人民检察院第二检察部协助主任工作、检察官。

内容摘要

近年来,随着互联网不断向人们的生活、工作等各个方面渗透,侵犯公民个人信息犯罪案件数量急剧增加,实务界面临大量的新问题、新情况亟待解决。本文结合司法实践中办理此类案件的经验,从“公民个人信息”的范围、特殊公民个人信息的司法认定、“违法所得”与“获利”的界定、公民个人信息数量的计算规则等四个方面,提出了一些解决思路。

关键词:侵犯公民个人信息罪  司法认定  司法解释

2009年2月,《刑法修正案(七)》增设侵犯公民个人信息犯罪。九年多来,各级司法机关依据修正后刑法的规定,坚决依法惩处侵犯公民个人信息犯罪活动,取得了明显成效。
2017年5月,两高发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》。该解释在明确侵犯公民个人信息犯罪定罪、量刑标准的基础上,还对具体法律适用问题作了专门规定,为司法机关办理侵犯公民个人信息罪时提供了明确、具体的依据。但是,该《解释》自2017年6月1日施行以来,随着侵犯公民个人信息犯罪案件的爆发式增长,涌现出新的情况、新的问题,导致司法机关办理这类案件时遇到新的难题,亟待解决。

image.png

一、“公民个人信息”的范围存在争议
《解释》第1条规定:“刑法第二百五十三条之一规定的‘公民个人信息’,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息,包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”然而,从司法实践来看,在具体案件中仍然存在对于“公民个人信息”认定的争议,集中表现为公民个人信息的主体是否限于中国公民、公民个人信息是否包括公开信息、公民个人信息的关联程度如何判定等3个方面的问题。

(一)刑法第253条之一的“公民个人信息”主体如何把握

“公民个人信息”的主体范围应采取相对宽泛的理解,既包括中国公民的个人信息,也包括外国公民和其他无国籍人的信息。刑法的相关用语,如果对主体有限制的,通常会有明确规定。刑法第253条之一规定的对象为“公民个人信息”,而非“中华人民共和国公民个人信息”,故不应将侵犯公民个人信息罪的对象限制为中国公民的个人信息。

(二)公开的公民个人信息是否属于刑法第253条之一规定的“公民个人信息”

《解释》第1条没有采用“涉及个人隐私信息”的表述,而是表述为“反映特定自然人活动情况的各种信息”。因此,公民个人信息不要求具有个人隐私的特征。即便相关信息已经公开,不属于个人隐私的范畴,但仍有可能成为“公民个人信息”。然而,相关公民个人信息既然已经公开,获取行为无疑是合法的,但后续出售、提供的行为是否合法,则不应一概而论。

其一,对于权利人自愿公开、甚至主动公开的公民个人信息,行为人获取相关信息后出售、提供的行为,目前不宜以侵犯公民个人信息罪论处。

其二,对于行为人非自愿公开或者非主动公开的公民个人信息,行为人获取相关信息后出售、提供的行为,可以根据情况以侵犯公民个人信息罪论处。

(三)如何认定公民个人信息的可识别性

公民个人信息须与特定自然人关联,也即可以识别特定自然人身份或者反映特定自然人活动情况,这是任何公民个人信息都具有的本质属性。因此,经过处理无法识别特定个人且不能复原的信息,虽然也可能反映自然人的活动情况,但与特定自然人无直接关联,不属于公民个人信息的范畴。

但是,对于不能单独识别特定自然人身份或者反映特定自然人的活动情况的部分关联信息,哪些可以纳入“公民个人信息”的范畴,即达到了公民个人信息所要求的可识别性程度,实践中存在不同的认识。在司法实践中判断部分关联信息是否为“公民个人信息”时,可以从信息本身的重要程度、与其他信息的结合程度、行为人主观目的3个方面加以判断。

image.png

二、特殊公民个人信息的司法认定

基于不同类型公民个人信息的重要程度,《解释》第5条分别设置了“五十条以上”“五百条以上”“五千条以上”的入罪标准。从司法实践来看,在具体案件中仍然存在对于相关数量标准适用的争议,集中表现为特殊信息的认定问题。对于侵犯公民个人特殊信息的行为之所以设置不同于一般公民个人信息的入罪标准,就在于特殊信息涉及人身安全和财产安全,其被非法获取、出售或者提供后极易引发盗窃、诈骗、敲诈勒索等关联犯罪,具有更大的社会危害性。

(一)如何把握“行踪轨迹信息”的范围

从实践来看,行踪轨迹信息系直接涉及人身安全的公民个人信息,敏感程度最高。从交易价格来看,行踪轨迹信息通常是最为昂贵的信息类型。《解释》第5条明确规定非法获取、出售或者提供行踪轨迹信息50条以上的,即构成犯罪。鉴于行踪轨迹信息的入罪标准已极低,实践中应严格把握其范围,只宜理解为GPS定位信息、车辆轨迹信息等可以直接定位特定自然人具体坐标的信息。对于虽然也有涉及公民个人轨迹的其他信息,如火车票上的个人信息,但不宜纳入其中。

(二)如何把握“财产信息”的范围

财产信息包括存款、房产等财产状况信息等,实践中遇到非法获取的车主、车辆型号、发动机号、联系电话等信息是否属于“财产信息”呢?

鉴于涉及特殊信息的案件入罪门槛低,应当采用严格适用的立场,以缩小打击面。像上述车辆相关信息的确非常具体,符合“财产信息”的一般特征,如果行为人的主观目的并非用于实施针对人身或者财产的侵害行为,则对其适用一般公民个人信息的入罪标准更为合适。

image.png

三、“违法所得”与“获利”的界定
行为人非法出售、提供公民个人信息往往为了牟利,《解释》第5条明确规定违法所得5千元以上的构成“情节严重”;违法所得5万元以上的,构成“情节特别严重”。此外,《解释》第6条针对为合法经营活动购买、收受公民个人信息的情形,专门规定利用非法购买、收受的公民个人信息获利5万元以上的,构成“情节严重”。

从司法实践来看,具体案件中对“违法所得”与“获利”的认定存在较大争议。

(一)计算违法所得是否要扣除成本

有人认为出售公民信息的违法所得应当扣除获取信息的成本,也有人认为不应当扣除获取成本,笔者支持第二种观点。因为刑法中的“违法所得”,一般是指犯罪分子因实施违法犯罪活动而取得的全部财物。

(二)计算获利是否要扣除成本

《解释》第6条规定的“获利”数额不宜与第5条规定的“违法所得”数额采取同样的处理方式,前者应当扣除成本。原因在于:《解释》第6条之所以对为合法经营活动购买、收受公民个人信息规定定罪量刑的特殊标准,就在于该类情形较为普遍,且社会危害性相对较小,故在具体适用刑法时应秉持谦抑,体现宽严相济。因此,在适用“利用非法购买、收受的公民个人信息获利五万元以上”规定时,应当缩小打击面,扣除获取公民信息的成本。

四、公民个人信息数量的计算规则

《解释》第11条明确了涉案公民个人信息的数量计算规则,特别是第3款确立了批量公民个人信息的数量认定规则,方便了司法实务操作。但从实践情况来看,仍然存在一些问题。

第一,对于特殊公民个人信息不宜适用《解释》第11条第3款的规定,而应当逐一认定,保证定罪量刑的准确性。原因在于:从司法实践来看,一般公民个人信息的价格相对较低,数量也比较大,要求逐一认定不具有可操作性。而特殊公民个人信息价格通常较高,一般按条计价,逐条认定不存在难题。

第二,在非法获取并出售、提供同一公民个人信息的情况下,“自用目的”以及合法性问题是计算信息条数的重要因素。根据刑法理论,即使客观上存在前后关系的数个行为,但如果这些行为指向同一法益,规范上仍以一罪处断。如果行为人在实施侵犯公民个人信息行为过程中,具有同一目的支配下的数个前后行为,在计算涉案公民个人信息时,择一计算即可,无须累计计算。

具体而言,下列情况不累计计算信息数量:一是行为人以出售等流转为目的非法获取公民个人信息,后将该信息流转他人;二是涉案信息属于《解释》第5条第1款第(5)项规定的公民个人信息,行为人以合法自用为目的非法获取这些信息,后又将该信息流转他人的,且不存在《解释》第6条规定的法定情节。

第三,针对司法实践中侵犯公民个人信息罪侵害的数量多、计算难的问题,《解释》第11条第3款规定了“批量认定规则”,该条规定矫正了侵犯公民个人信息罪本身存在的公正价值和效率价值不平衡的状态,并且微调了举证责任结构和方式,进而具体提出如何把握和认定海量信息条数的方法。

“批量信息”的判断标准应理解为涉案信息条数具备一定量级,并且不影响犯罪的基本认定。对于批量公民个人信息可以适用《解释》第11条第3款的规定,即根据查获的数量直接认定,但是有证据证明信息不真实或者重复的应当排除。该推定规则并不意味着举证责任的倒置,公诉机关仍然承担对公民个人信息数量的举证责任。

第四,考虑到公民个人信息类型的多样性及因侵犯不同类型个人信息的社会危害性不同,《解释》第5条分别就不同类型的公民个人信息设置了50条、500条、5000条的入罪标准,以体现罪责刑相适应原则。司法实践中,行为人非法获取或者出售、提供的信息,其类型构成可能非常复杂,《解释》第5条第1款第6项规定,倘若公民个人信息数量未达到第3项至第5项规定标准,可按相应比例合计对其数量进行认定。那么,《解释》中的“按相应比例合计”该如何处理?

“按相应比例合计”存在两种理解:一是按照《解释》第5条第1款第(3)至(5)项中对于三类信息50条、500条、5000条的规定,以1:10:100来进行换算,经换算后再进行考量《解释》第5条第1款第(3)至(5)项所规定的“情节严重”。二是在个案中将信息所包含的实质性内容进行细化,由司法者根据不同信息裁量确定不同的折算比例后再进行换算并确定其行为是否入罪。

一般认为,只有在无法认定公民个人信息是否严重危及本人正常生活或者给本人带来较大经济损失的情况下,才需要再由司法机关自由决定是否达到“情节严重”的入罪标准。《解释》将三类信息分别按照50条、500条、5000条进行平行罗列,毫无疑问是从社会危害性的角度将三类信息的入罪标准做等价衡量,即从立法的角度,将不同信息的社会危害性程度通过信息的数量进行具体衡量和比较,50条重大敏感信息包含的社会危害性等同于500条敏感信息包含的社会危害性,同时等同于5000条一般信息包含的社会危害性。因此,直接将第5条第1款第(6)项中的按相应比例合计按照该三类信息1:10:100的比例进行换算不会违反立法的本意。

但是,在司法实践中,公民个人信息不仅有信息内容上的区别,还存在信息量的不同,严格按照这一比例原则进行换算确实存在机械僵化的嫌疑。因此,在三类信息的数量各自无法达到《解释》第5条第1款第(3)至(5)项中规定的标准时,司法机关可依据三类信息按1:10:100的比例进行换算,但在采纳该计算方式有碍公正评价时,可结合信息量等因素对三类信息进行进一步细化和划分,由司法者根据个案事实裁量不同比例进行合计计算。

image.png

此外,《解释》中关于“情节严重”中“按照比例合计”的计算方式是否也适用于“情节特别严重”的认定?本文认为,“按照比例合计”的计算方式完全适用于“情节特别严重”的认定。原因在于:社会危害性是综合、整体的判断,而并非是各部分独立评价的简单相加。在行为人非法获取或者出售、提供各类信息达到“情节严重”的数量标准,但尚未达到“情节特别严重”的数量标准的场合,如果各类信息按比例折算已经达到“情节特别严重”的数量标准,意味着其已具备相当的社会危害性。

上海市法学会欢迎您的投稿  fxhgzh@vip.163.com

相关链接

罗培新:疫病境外输入压力日增,外国人可到中国免费医疗?国民待遇,绝不应等于“国民的”待遇

罗培新:医护人员“集体放弃”抗疫补助?法理事理情理,理理皆输

罗培新:境外输入压力剧增,赖账不付者,道义与法律双输,将开启人生的至暗时刻

罗培新:《上海市优化营商环境条例》英译全文及专业术语对译表

李小武:网络平台的安全保障义务研究

吴文芳:疫情防控中欧盟个人信息保护的法律困境及其对策

叶榅平课题组:强化野生动物利用的规范化管理,严禁野生动物非法交易和食用

陈邦达:聚焦5月1日起施行的《上海市司法鉴定管理条例》

邓鑫:优化网络营商环境语境下电商平台自律管理的边界

罗培新:抢了当当网的公章,除了抢走几块木头,啥也抢不走

江翔宇:中国金融数据保护相关问题研究

朱亮:私募基金管理机构的刑法规制

来源:《上海法学研究》集刊2019年第14卷(杨浦检察院院卷)。转引转载请注明出处。