徐春晓：大数据时代侵犯公民个人信息犯罪刑法探析

【摘要】大数据时代已经来临，“过去，先知是神圣、稀有和罕见的；现在，人人皆为先知的时代来临了。”大数据时代在给人类社会带来高效、便捷的同时，侵犯公民个人信息犯罪的数量也在急剧增加。刑事辩护律师应直面挑战，敏锐发掘大数据环境下个人信息主观化，范围难界定；信息海量化，数量难计算；空间虚拟性，真实性难认定等情况留下的辩护空间，紧抓辩护要点，处理好网络数据信息所有权这一前置问题，仔细审查公民个人信息的范围界定，“非法”侵犯行为的认定，单位犯罪主体，过失泄露信息的认定等问题，有效维护当事人的权益。

关键词：大数据；公民个人信息；主体分离；刑事辩护

 

引言

你是谁？你去向何方？你又和谁共度？正是这些内容充实了你的存在。曾几何时，这些信息都属于私密，当然也很容易被人遗忘，渐渐湮没在时间的长河里。如今，这些都不再成为私密了，因为它们已流进某些人的服务器里??????

大数据时代已经开启，这种变革力量从技术领域扩展到社会的各个层面，延伸到生活的各个角落。在大数据的时代背景下，网络数据的爆炸式膨胀和数据潜在价值的惊人凸显，带来了一系列的现实问题，侵犯公民个人信息犯罪成为新的社会问题。随着《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）的通过，同年5月17日，最高人民检察院从近年来全国检察机关办理的侵犯公民个人信息犯罪案件中选取了韩某等侵犯公民个人信息案等6个典型案例亦被公布，公民个人信息安全迎来了新一轮的关注风暴。作为刑事辩护律师，需要敏锐感受到大数据环境下个人信息主观化，范围难界定；信息海量化，数量难计算；空间虚拟性，真实性难认定等情况留下的辩护空间，直面大数据时代，重新审视公民个人信息安全犯罪辩护课题。

 

一、侵犯公民个人信息罪的历史考察

（一）制定背景——大数据时代的个人信息危机

大数据时代的一个典型特征就是信息的爆炸式增长，大数据的运作也需要海量的信息作为支撑。在此种情况下，个人信息的泄露将不仅仅涉及某一小部分人群利益的问题，而是数以万计人群的风险。正是在此背景下，公民个人信息的刑法保护应运而生。

1. 个人信息传播范围无限放大

大数据主要是依托互联网产生和运作的，互联网巨大的储存空间和快速的数据处理能力，能够将世界各地不计其数的网站发布的信息加以连接、收集和处理。而互联网的开放性和即时性，也使得个人信息一经网络发布，瞬间流向全球各地。

因此，在大数据时代，一旦个人信息被置于网络的探照灯之下 ，将带来铺天盖地的传播效应。

2. 个人信息过度挖掘与不适当运用

在大数据时代，我们越来越依赖于从大数据中掘金，很多网络经营者利用cookies程序跟踪并测定用户的网络操作记录，从而深度挖掘和分析网络用户的个人信息。

不适当运用则表现为对已经掌握的个人信息进行深度二次加工，或者是利用个人信息进行骚扰式的商业推广，甚至进行非法提供和交易，诱发诈骗、抢劫、敲诈勒索等诸多下游犯罪，严重侵犯公民的人身权和财产权。

（二）罪名适用——个人信息保护的刑法路径

1. 发生在《刑法修正案（九）》之前的行为

《刑法修正案（七）》（以下简称《刑修七》）出台之前，我国刑法只是概括性地规定侵犯公民的人身权利是一种犯罪行为，未设置专门的罪名进行保护。《刑修七》增设了刑法第二百五十三条之一，规定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪两个罪名。之后《刑法修正案（九）》（以下简称《刑修九》）又将“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”整合成一个罪名——“侵犯公民个人信息罪”。

对于发生在《刑修九》实行前的侵犯公民个人信息行为，大部分法院是按照《刑修九》中的“侵犯公民个人信息罪”定罪处罚，也有按照《刑修七》中的“出售、非法提供公民个人信息罪”、“非法获取公民个人信息罪”定罪处罚。

2. 利用非法获取的公民个人信息实施诈骗等犯罪行为

对于利用非法获取的公民个人信息实施诈骗等犯罪行为的，大部分法院认为分别构成“侵犯公民个人信息罪”和“诈骗罪”，按照数罪并罚原则进行处罚，也有法院认为诈骗行为与侵犯公民个人信息行为属于牵连关系，按照诈骗罪定罪处罚。

3. 侵入计算机信息系统获取公民个人信息的行为

对于侵入计算机信息系统获取公民个人信息的行为，有的法院适用侵犯公民个人信息罪，有的法院则适用非法获取计算机信息系统数据罪。

 

二、侵犯个人信息犯罪的实证分析

（一）关于“公民个人信息”的认定与适用

为客观、真实地反映司法实务对于“公民个人信息”的认定现状，笔者又从无讼案例库中筛选1662件侵犯公民个人信息案件，通过归纳整理刑事判决书，发现司法实务中，公民个人信息的认定可以具体划分为三类：

第一，身份信息，如姓名、性别、出生日期、居住地址、身份证号码、电话号码、教育情况、工作单位、政治面貌、血型、指纹等，通过此类信息可以准确识别个人特征，具有专属性。

第二，隐私信息，如婚姻情况、医疗记录、宗教信仰、身体缺陷、通信秘密、恋爱史等，此类信息属于不愿公开的范围。

第三，社会信息，如车辆信息、房产信息、个人的储蓄账户及存款信息、个人贷款记录、个人信用情况等，此类信息可以反映社会地位。

总体而言，这些个人信息包括能在一定程度上反映公民身份、隐私、财产情况等[1]。

（二）关于“非法获取、提供”行为的认定标准

在整理归纳刑事判决书的基础上，主要从获取方式、提供对象以及信息用途三个角度展现司法现状。

第一，获取手段多样化。由于采用“窃取或者其他方法”例示性规定阐述行为手段，因此为司法实务认定“非法获取”留有余地。值得注意的是，司法实务将通过购买、电脑下载、信息交换等途径获取个人信息的行为认定为犯罪。纵然“窃取及相当行为”属于刑法释明的行为手段，但案件数量较少，行为人主要通过其他方法获取个人信息。其中购买是最为主要且常见的行为方式。

第二，提供方式的网络化。随着互联网的发展，通过网络向不特定多数人提供公民个人信息已成为信息发布的重要路径。从搜集的案例中可知，其中有769件案件的行为人通过互联网渠道出售或者提供公民个人信息，而且是未经被收集者同意出售或者提供的。

第三，信息用途的复杂性。从各类案件中得知实践中，行为人获取公民个人信息后的处置方式多样，有的是用做商业用途（如推广公司业务或者推销公司产品），有的是直接出售牟利或者为他人推广业务进而牟利，有的是用来在网站虚假注册，以骗取网站相关优惠，有的则是用来直接从事诸如诈骗等违法犯罪活动，还有的是将信息提供给其他人从事违法犯罪活动。此外，也有个别裁判文书中并未说明行为人获取信息后如何使用。

（三）关于“情节严重”的认定标准

研读现有1662份刑事判决书，笔者在整理过程中发现“情节严重”的认定存在如下特点：

1. 裁判结果相同，但认定的案件情节尚未达成一致

通过整理判决书可知，虽然部分案件被告人判处刑罚相同，但定案情节存在较大差异。例如，判处有期徒刑一年三个月,并处罚金人民币二千元的案件，（2015）松刑初字第1474号（《刑修九》前）与（2016）粤0904刑初713号（《刑修九》后），虽然判处刑罚相同，但定案情节是不同的，两件案件无论在信息数量，还是在信息用途方面均存在较大差异，前者在信息数量和获利数额方面都高于后者，但前者获取的信息是用于推广业务，而后者则是出售给他人进行犯罪活动。（见表1）

裁判结果	判处非法提供公民个人信息罪；有期徒刑一年三个月,并处罚金人民币二千元	判处侵犯公民个人信息罪；有期徒刑一年三个月,并处罚金人民币二千元
案件名称	（2015）松刑初字第1474号	（2016）粤0904刑初713号
手段	利用职务便利 非法提供	出售
数量	居住地址2条、开房记录1条、报警人电话4条	9550条个人信息
用途	提供给请托人以牟利	出售牟利

表1 裁判结果相同的案例比较

    2. 侵犯公民个人信息案件的轻缓处理未形成统一认识

综观1662件侵犯公民个人信息案件，有 15件案件的被告人免予刑事处罚，其中11件案件属于非法获取公民个人信息案件，2件属于出售或者提供公民个人信息案件，1件两名被告分别涉及非法获取公民个人信息和出售或者提供公民个人信息罪，1件是侵入计算机信息系统篡改公民个人信息。

值得注意的是，非法获取公民个人信息案件存在较多相似之处，表现在：

第一，12个案件的被告人的信息均来源于两个方向：1. 向他人购买；2. 指使他人利用职务之便获取公民个人信息；

第二，个人信息主要涉及电话、住址等内容；

第三，信息用途也只涉及两个方面：1. 电话销售；2. 拓展保险业务。

与此同时，被告人获取信息数量是案件的重要差别，信息数量少至 50 余条多至 2000 余条，数量存在较大差距，但法院认定几名被告人均免予刑事处罚。

而2件出售或者提供公民个人信息案件，则体现了三大相似之处：

第一，从取得方式上看，均为利用职务之便获取公民个人信息；

第二，从提供对象上看，均为向特定人提供；

第三，从情节上看，数量均在2000余条。

 

三、大数据环境下的辩护空间

（一）个人信息主观化，范围难界定

侵犯公民个人信息犯罪研究的逻辑起点是“公民个人信息”，然而无论是《刑法修正案（七）》还是《刑法修正案（九）》均未对“公民个人信息”的概念在法律条款中进行明确，《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》虽然对此进行了规定，然而“能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况”的表述仍然具有主观性，而且因人而异、因情而异。公众人物和普通民众的识别度必然不同，主动公开的个人信息也不应该成为刑法保护的对象，这都是刑事辩护中值得探讨的点。

（二）信息海量化，数量难计算

    大数据时代，信息呈现海量化发展，随之带来的亦是侵犯公民个人信息罪中的“公民个人信息”的海量化。在此情况下，传统的犯罪计量方法不可能实现完全计算。

在刑事辩护中，需要注意的是，我们在刑事辩护的过程，要注意仔细审查每一条公安机关所认定的个人信息或数据材料。因为只有能够“指向一个特定的人”的个人信息才属于有效信息，作为定案的依据，而并不是公安机关所提供的每一条个人信息都能够匹配这样一个特定的人，否则就会陷入重复计算的陷阱。正如最高检和最高法在新解中论明的：“经过处理无法识别特定个人且不能复原的除外”。

（三）空间虚拟性，真实性难认定

网络空间的虚拟性同时导致网络犯罪对象的不确定性，而这一连锁效应的结果，这是个人信息内容的真实性难以认定，而让司法机关一一进行核实显然并不现实。

根据司法实践，公安机关往往采取抽样检测、全额推定的方法，即随机挑选若干信息进行核实，若随机挑选出的信息经检验系真实的，则可以推定待检的全部信息均为真实。同理，如果随机抽取的信息经检验发现存在一个虚假信息，即使数量再少，整份待检数据信息的真实性就难以判定，随之而来的问题便是，剩下的其他待检信息是否需要一一审查核实？

鉴于此种推定方式的不完善，我们可以从中寻找到刑事辩护的空间，只要对整份数据信息中的随机几条信息的真实性提出质疑，该证据的可信度就会下降，甚至不能成为证据使用。

 

四、侵犯公民信息案件的辩护要点

（一）前提认定：个人信息的所有权之辩

大数据时代，公民的个人信息容易被收集和使用。记忆数字化是一把双刃剑，在带来永久记忆的同时，也会使个体失去对数据信息的控制能力。

究其内在原因，随着大数据应用技术日臻成熟，越来越多的用户选择将网络变成日常生活的必须工具，这样就使网络在其巨大的空间中保留了用户的所有信息。然而，网络空间并不是封闭的，此间的活动者不仅包括网络用户，也包括网络服务的提供商，这里有一个前置性的问题亟需解决：

即，用户在网络平台中留存信息的所有权归属问题。例如，用户在淘宝留存的账号密码、IP地址、买卖记录、浏览足迹、产品偏好、cookies等数据信息，究竟属于用户所有还是属于平台所有？

首先，就网络用户而言，个人信息是基于自然人的自身属性而产生的，这些信息包括自然因素方面的信息和因参加人类社会活动而产生的信息。网络上留存的数据信息，其产生源于用户的个人活动，其存续变化依附于自然人而存在，是用户个人活动轨迹的复制和记录，而网络平台仅是数据生成的载体。因此，这些数据信息应由生成该信息的自然人所拥有。值得强调的是，个人信息的主体是产生信息的个人，不是收集、持有、加工、处理个人信息的人。

其次，就网络服务提供商而言，其不是个人数据信息的所有者，但是数据信息的持有者。大数据时代的网络数据的收集通常由公司或政府主导，这将造成数据所有者与数据持有者的分离。围绕大数据将形成的规模庞大的、具有基础设施意义的信息产业，包括数据技术产业、数据采集业如定位、支付、邮件等行业，以及数据加工业如数据挖掘、数据分析、数据咨询等产业，和数据应用业四类。直接来源于个人的网络数据和对个人已有材料资料的数字化都与个人分离，由信息产业的业内公司企业所掌握。

而数据本质上是信息，具有非排他性的特征，因此为了保证数据流转和使用，数据持有者也应当有对数据使用的权利。当然，这种权利是有限制的。

在这里，需要考量的是，网络服务提供商是否在提供自己信息的用户的掌控目的之内使用信息。具体而言，在日常生活中，公民提供自己的信息给网络平台，目的不啻于为了在接受服务的过程中更为便捷。例如，行为人只有提供准确的账号密码、浏览足迹以及其他个人信息给淘宝，才能享受到网上购物带来的便利。此时，如果淘宝平台以牟利为目的将公民的个人信息出卖给他人，就完全违背了公民提供信息的初衷。在这种情况下，网络服务提供商成立侵犯公民个人信息罪；否则，作为网络数据占有方，网络服务提供商可以在限定范围内使用该部分公民个人信息，不作为犯罪处理。

（二）犯罪客体：公民个人信息范围之辩

《解释》第一条明确“公民个人信息”包括身份识别信息和活动情况信息，规定：“刑法第二百五十三条之一规定的‘公民个人信息’，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”

    显然，相较于《刑修九》，《解释》对“公民个人信息”的范围进行了限缩，进一步明确了“公民个人信息”包括身份识别信息和活动情况信息。然而，仍然有以下几个问题值得注意：

第一，每条信息必须“指向特定人”才能被认定。实践中，并不是每一条公民个人信息都具有可识别性，“能够单独或者与其他信息结合识别特定自然人”。需要注意的是，我们在刑事辩护的过程，要注意仔细审查每一条公安机关所认定的个人信息或数据材料。因为只有能够“指向一个特定的人”的个人信息才属于有效信息，作为定案的依据，而并不是公安机关所提供的每一条个人信息都能够匹配这样一个特定的人，否则就会陷入重复计算的陷阱。

第二，死者的个人信息不应属于刑法的保护范围。刑法理论中一般认为去世的人并非法学意义上的人，不能继续享有活着的人才有的人身权益。因为逝者已去，一个死去的自然人不再具有公民本身所具备的社会属性和自然属性。至于侵犯死者信息的过程中可能侵害到死者个人信息所派生出的财产性利益，则完全可以在民法的范围内予以解决。在民法上，一旦自然人死亡，就不具有民事权利能力，也就不享有民事权利，所以，直接保护死者的个人信息于法无据，但是如果死者的个人信息与生者有关，那么保护此信息在本质上就是对死者近亲属利益的保护。所以，当死者的信息关系到其生存的亲属时，民法可以对这部分权益予以保护。

第三，侵犯虚假的公民个人信息的行为，没有刑法进行规制的必要性。换句话说，必须先审查公民个人信息的真实性，这是公诉机关需要举证的事实。只有能够真实识别特定自然人身份或者反映特定自然人活动情况的信息，才能成为本罪的犯罪客体。

第四，与公共利益有关的个人信息，不应作为本罪的适格主体。公民个人信息内含的是个人利益，个人利益与社会利益有时相互一致，有时相互冲突，而当公民个人利益与社会利益发生冲突时，公民的个人信息就不应当属于刑法保护的范围。例如，为了追捕犯罪嫌疑人或逃犯，在媒体和网络上披露犯罪嫌疑人和逃犯的姓名、性别、年龄以及其他体貌特征等个人信息，这些个人信息就不属于刑法所保护的个人信息。

（三）犯罪客观方面：“非法”行为方式之辩

侵犯公民个人信息罪规定了两种侵犯公民个人信息的行为，其一，是“向他人出售或者提供公民个人信息”的行为；其二，则是“窃取或者以其他方法非法获取公民个人信息”的行为。这两种行为的行为方式在本质上具有很大的差异。对于“窃取或者以其他方式非法获取”，无论是窃取还是以其他方式非法获取，其核心都突出了“非法”，这意味着其行为方式本身就为法律所禁止，其获取公民个人信息的行为缺乏合法性基础。而“向他人出售或提供”行为本身属于一种中性的行为。所谓“出售”一般指有偿的交易；“提供”可以涵盖非交易性的数据共享或移转行为。如果出售和提供的标的（即公民个人信息）和目的没有违反法律规定，单纯出售和提供公民个人信息的行为并无所谓合法或非法的问题。因此，两者的可苛责性是不同的，尤其是没有牟利目的的提供行为。

根据《解释》第三条第二款规定[2] ，合法提供公民个人信息仅限于以下两种情形：一是“经得被收集者同意”；二是“匿名化处理”。

然而，何种情况下属于“经得被收集者同意”，何种程度得到“经得被收集者同意”的标准，这些都存在着考量的空间。

第一，公民在日常生活中不可避免地存在将个人信息向外泄露的可能性。笔者在案例搜集的过程中发现，公民提供个人信息的渠道涉及金融、电信、教育、医疗、工商、房产、快递等多个领域，这些领域渗透于公民生活的每一个角落。在这种情况下，公民自我提供信息的行为是否可以认定为“经得被收集者同意”？

第二，在大数据时代，如果公民将自己的信息自发公开在网上，行为人通过搜集加以利用，最终以牟利为目的将搜集的信息出售或者向特定或不特定人提供，能否理解为“经得被收集者同意”？例如，网红现象中，为了一夜成名，而在网络上不断披露自己惊爆性的个人信息或者在接受媒体采访时，主动披露自己的个人信息，并同意媒体刊发的。

（四）犯罪主体：单位主体之辩

根据《刑法修正案（九）》的规定，侵犯公民个人信息罪的主体系一般主体，即既包括自然人，也包括单位。由此可见，合法掌握着大量的公民个人信息的国家机关是可以成为侵犯公民个人信息罪的单位犯罪的主体。但有一个值得探讨的问题，单位的分支机构或者职能部门不具有独立法人资格，是否可以成为侵犯公民个人信息罪的主体？

在这方面目前没有相应的法律规定，但是最高人民法院在2001年1月发布的《全国法院审理金融犯罪案件工作座谈会纪要》中提到，单位的职能部门、分支机构实施金融犯罪并占有违法所得的，应按照单位犯罪论处。不能由于犯罪主体没有可供执行的财产，就只能认定个人犯罪。由此可见，有两个因素决定是否将单位的职能部门或分支机构认定为单位犯罪主体：一是实施犯罪的违法所得是否由本职能部门或分支机构支配或占有；二是实施犯罪的名义是否是本职能部门或分支机构。至于有没有独立的财产可供执行，并不属于认定单位犯罪主体的必备要素。??

笔者认为，并不是所有单位分支机构和职能部门都可以成为本罪的犯罪主体。上述会议纪要的观点值得商榷，只具有一般的参考价值。第一，犯罪的本质是法益侵害性，而不是犯罪主体是否从犯罪中获利。第二，从刑罚的目的看，之所以惩罚犯罪人，并不仅仅是为了威慑，更重要的是预防其再次犯罪。如果单位没有可供执行的财产，就无法起到其特殊预防的效果。因此，单位的分支机构或职能部门是否能成为单位犯罪的主体，关键的要素应是看其是否是独立核算的单位，是否有自己的财产，是否能以自己的名义独立承担责任，并不是所有单位分支机构和职能部门都能成为本罪主体。

（五）犯罪主观方面：过失提供信息之辩

在主观上，侵犯公民个人信息的行为人必须是故意所为。简而言之，如果行为人明知不能公开、泄露或未经同意用作它途，却仍出售或非法提供、泄露给他人。具体而言，出售行为，主观上一定是故意。如果存在被胁迫的情形，也是具有故意的意思的，不存在过失的情形；非法获取行为，可理解为一种积极主动的行为，如：收购、盗窃、非法下载等行为，这些行为主观上是故意的。也可理解为一种消极被动的行为，如：接受赠予的公民个人信息。提供行为，则可能存在故意和过失两种情形。

过失提供的行为，主要指合法掌握公民个人信息的单位或者个人负有保密义务，因为没有尽到保密义务，导致公民个人信息泄露给其他人。如铁路购票由于网站账号安全体系存在缺陷，导致超过大量用户信息被泄露。

然而，首先从法律解释的角度来看，法律条文的解释，必须在该条文的文义射程内进行，如果超过解释的限度，纵使具有可罚的必要性，也有违罪刑法定的原则。本罪既无明确的规定也无隐含的规定可以从中寻找过失犯罪解释的依托。其所使用的不论“出售”、“非法提供”或“窃取”等行为方式都是积极的作为方式，因此从解释论的角度来窥探，本罪是不能由过失构成的。

    其次，从刑法谦抑性的角度来看，“如果没有慎重考虑，并直觉反射似地把刑事威慑作为明显节省成本的实现任意行政目的或者福利目的的政治上廉价工具加以滥用，那么刑罚就失去了它的特效性，即应该是对于个体或者社会利益特别不能容忍的、道德上卑鄙的损害或者具体危险的反应。”[3]大数据时代对个人信息的深度挖掘和广泛运用，使个人信息安全面临巨大的风险，作为社会治理手段之一，刑罚的介入本无可厚非，但问题是不应该过度依赖于刑法保护。将刑法没有明文规定的犯罪构成要件强行入罪，只会减损刑法的权威性，并不能从根本上解决问题。

因此，过失提供或泄露公民个人信息的行为，不宜认定为本罪。

 

结语

大数据时代已经来临，“过去 ，先知是神圣、稀有和罕见的；现在，人人皆为先知的时代来临了。”[4]大数据时代在给人类社会带来高效、便捷的同时，侵犯公民个人信息犯罪的数量也在急剧增加。

刑事辩护律师应在仔细研究分析此类案例的基础上，结合本罪的构成要件和司法实践中的难题，研究本罪的犯罪主体，过失泄露信息行为的认定，个人信息的界定，犯罪手段的认定等争议点，深挖本罪的辩护要点，主动升级辩护思维与技能，直面大数据时代的信息风暴。

---