浅议侵犯公民个人信息罪

　　摘要：

　　2015年8月29日由全国人大常委会通过的《中华人民共和国刑法修正案（九）》　对侵犯公民个人信息的犯罪作了修改，扩大犯罪主体范围、加强权益保护程度、加大犯罪处罚力度。但就司法实践而言，该罪仍存在侵犯客体不明晰、入罪条件不明确、配套规定不完善等问题，应根据立法趋势对侵犯公民个人信息罪进行进一步完善。

　　□毕明茜　彭向宇

　　2016年8月，山东省发生数起大学生因考录信息泄露遭电信网络诈骗的案件，这些案件中有两名受害学生因学费钱款被骗而猝死或自杀。该事件引起了社会广泛热议，人们在谴责电信诈骗犯罪的同时，对于实施诈骗犯罪的源头——侵犯公民个人信息犯罪也表现了极大的关注。2015年8月29日由全国人大常委会通过的　《中华人民共和国刑法修正案（九）》　（以下简称　《刑法修正案（九）》）第二百五十三条之一规定，对出售、非法提供公民个人信息和窃取、非法获取公民个人信息的犯罪作了修改。2015年10月30日最高人民法院、最高人民检察院公布的　《关于执行中华人民共和国刑法确定罪名的补充规定（六）》　将　《刑法修正案（九）》　第二百五十三条之一罪名规定为侵犯公民个人信息罪。该罪名的确定为保护公民合法权益、打击泄露信息行为起到了良好的促进作用，也为侵犯公民个人信息罪的修改和完善起到良好的导向作用。但无法否认的是，由于实践经验的缺乏，侵犯公民个人信息罪在司法实践中的运用仍存在一系列问题，有待于对该罪名作进一步完善。

　　侵犯公民个人信息罪的确立及发展方向

　　2009年2月28日由全国人大常委会通过的　《中华人民共和国刑法修正案（七）》　（以下简称　《刑法修正案（七》）增设　《中华人民共和国刑法》　第二百五十三条之一，首次明确对于出售或非法提供公民个人信息以及非法获取公民个人信息的行为需追究刑事责任。　[1]　该条款的增设是在网络通讯技术迅速发展的大背景下，为保护公民免受讯息传播过程中的不法侵害而设置的，弥补了刑法规定的不足。2015年8月通过的《刑法修正案（九）》　对于第二百五十三条之一作了修改，该条款规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；　情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。”“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。”“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他责任人员，依照各该款的规定处罚。”　《刑法修正案（九）》　对于该条款的修改主要有四项：第一，增加一款作为第一款，规定一般主体违规向他人出售、非法提供公民个人信息的犯罪；[2]　第二，除去了关于“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”特殊主体的规定；　第三，将“违反国家规定”修改为“违反国家有关规定”，将“非法获取上述信息”修改为“非法获取公民个人信息”；　第四，提高了该罪名的最高刑期。从　《刑法修正案（九）》　的相关修改可以看出该罪名的立法发展趋向。

　　（一）扩大犯罪主体范围

　　《刑法修正案（九）》　在侵犯公民个人信息罪中增加一款一般主体犯罪条款，并将原刑法中规定的“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”犯罪主体去除，实际上是将该罪从特殊主体犯罪改变为一般主体犯罪，扩大了犯罪主体范围。从司法实践来看，因为信息网络的普及和服务行业的发展，能够掌握公民个人信息的部门与单位已经扩展到许多领域，例如房产中介、物流快递、旅游航空、网络支付、保险公司等，这些领域范围已经远远超过国家机关、金融、电信、交通、教育、医疗等行业范畴，这些领域行业的相关工作人员一旦实施了侵犯公民个人信息的行为，其危害性不容小觑。且从现有社会现象来看，许多社会服务行业出现买卖、泄露公民个人信息呈现出愈演愈烈的趋势，轻则通过电话通讯的方式干扰公民正常工作生活，重则通过与其他犯罪相结合的方式危害公民人身财产安全。因此，　《刑法修正案（九）》　将该罪从特殊主体罪扩展到一般主体罪，顺应了社会发展的要求，也体现了立法者对于公民个人信息刑事保护的重视程度。

　　（二）加强权益保护程度

　　近年来，随着网络化的普及，侵害公民个人信息的违法犯罪愈发突出。2012年以来，公安部门在全国范围内先后开展数次打击侵害公民个人信息犯罪专项行动，破获大批出售、非法提供和非法获取公民个人信息的案件，查获公民个人信息数十亿条，涉及金融、电信、保险、公安、快递、交通、教育、医疗、国土、房产、工商、物业等多个部门行业。　[3]　因此，对于犯罪主体范围的扩大也是加强公民合法权益的刑法保护，以避免发生公民个人信息侵害行为后，因侵害主体不适格而无法追究其相应刑事责任。除此之外，　《刑法修正案（九）》　第二百五十三条之一规定，将原条款中非法获取的“上述信息”修改为“公民个人信息”，也是加大了公民合法权益的保护力度。根据原刑法条文规定，司法机关一般会认为“上述信息”是原条文第一条中的特殊主体履行职务或者提供服务过程中出售或者非法提供的公民个人信息，如果这样认定，行为人从网上或者其他途径获得的公民个人信息就不在非法获取的规制行列。例如，山东大学生被骗案中学生招录信息的泄露就是由行为人通过木马程序侵入学校教育系统获得的，如果要限定公民个人信息的来源途径，无法有效保障公民个人信息不受非法侵害。因此，《刑法修正案（九）》　在侵犯公民个人信息罪中对于非法获取对象的修改，也体现了立法对于公民权益的保护呈现更全面更深入的发展趋势。

　　（三）加大犯罪惩罚力度

　　《刑法修正案（七）》　将出售、非法提供公民个人信息罪和非法获取公民个人信息罪两罪法定刑都规定为三年以下有期徒刑或者拘役，并处或者单处罚金。　《刑法修正案（九）》　将两罪并为侵犯公民个人信息罪，除保留原量刑档外，还增加“情节特别严重的，处三年以上七年以下有期徒刑，并处罚金”。与原条文相比，将法定刑从最高可以判处三年有期徒刑提高至可以判处七年有期徒刑，加大了对此类犯罪的打击力度。对于侵害公民个人信息的行为经历由民法、行政法保护到刑事保护，再到刑事保护范围扩大的过程，对于该罪行的量刑档也是经历了从三年以下有期徒刑提高到七年以下有期徒刑的过程。从上述立法演变过程可以看出，鉴于侵犯公民个人信息行为产生的社会危害性越来越大，立法者意图通过更为严格的法律程序以及更为严厉的打击手段对此类行为加以规制，进而保障公民权益，维护社会稳定。

　　侵犯公民个人信息罪的实践及存在问题

　　自2009年　《刑法修正案（七）》　将侵犯公民个人信息的行为纳入刑法规制以来，司法实践中对于侵犯公民个人信息犯罪的法律适用，在取得良好效果的同时也积累了一定的实践经验。　[4]从现有的办案实践看，侵犯公民个人信息犯罪呈现信息涵盖面多量广、犯罪对象种类繁多等特点，除此之外，该类犯罪还存在与敲诈勒索、绑架等暴力型犯罪以及盗窃、诈骗等财产类犯罪相结合的特征。　[5]　囿于犯罪类型的多样性、行为特征的复杂性，使得侵犯公民个人信息罪在司法实践运用中还存在一些问题。

　　（一）侵犯客体不明晰

　　侵犯公民个人信息罪是对于通过出售、非法提供或者非法获取“公民个人信息”的行为加以刑法规制，但是该条文并未对“公民个人信息”内容予以规定，我国其他法律法规中也没有相应规定，学术界对于这个概念的界定亦是莫衷一是。　[6]　这就造成在司法实践中，对于该罪侵犯客体难以界定的困境。

　　就传统概念而言，公民个人信息包括姓名、身份、联系方式、住所等，这些信息在一定范围内属于半公开化的内容，对于这些信息的利用是否构成侵犯尚属疑问。随着社会日益发展，新型的公民信息又不断涌现，例如上下班途径、日常活动轨迹等，对于这些信息是否应该纳入“公民个人信息”范畴，应当由相关的法律法规予以明晰。

　　（二）入罪条件不明确

　　《刑法修正案（九）》规定，对于侵犯公民个人信息的行为，“情节严重的”，处三年以下有期徒刑或者拘役，并处或者单处罚金；“情节特别严重的”，处三年以上七年以下有期徒刑，并处罚金。但是《刑法修正案（九）》并未对“情节严重”、“情节特别严重”的情形予以细化，导致如何把握侵犯公民个人信息罪入罪条件成为司法适用难点。在实践中，多采用被侵犯的公民个人信息的数量作为标准，以衡量行为人实施侵犯行为的社会危害性，但这种单纯以数量来判定“情节严重”与否的标准有其本身的局限性。例如本文开头所举事例，学生因信息泄露遭遇诈骗，后导致死亡的情况，如仅依靠侵犯信息数量来判断，则无法客观反映侵犯公民个人信息犯罪在该案中的社会危害程度。

　　（三）配套规定不完善

　　《刑法修正案（九）》　将原条文中“违反国家规定”修改为“违反国家有关规定”，其本意是想扩大犯罪构成的范围，与国家规定相比，后者的范围更广，包括法律、行政法规、规章等国家层面的涉及公民个人信息保护的规定，有利于不同行业领域有针对性地对公民个人信息予以保护。但是，由于我国尚未建立起法律层面的行政与刑事制裁衔接体系，关于公民个人信息的规定又散见于各行政法规、规章，没有统一配套体系予以对接，因此，就现有司法实践而言，并未达到该项立法本意。

　　侵犯公民个人信息罪的完善

　　不可否认的是，　《刑法修正案（九）》　第十七条对于侵犯公民个人信息罪的确立，完善了我国刑法对公民个人权利的刑法立法保护，符合法治社会发展需求。同样不可否认的是，　《刑法修正案（九）》　规定的侵犯公民个人信息罪，囿于现有经验的缺乏与社会发展的快速，仍有需要改进完善的地方。对于该罪条款的完善应当遵循立法趋向，结合司法实际，从以下几个方面进行探索。

　　首先，对于犯罪客体“公民个人信息”范围的界定应当在国家法律层面予以统一规定，刑法规制应当具备自身的严肃性与稳定性，并且与民事关系中的相关概念加以区别，这就需要在法律层面对于犯罪构成中客体的概念与内涵加以确定；　其次，对于该罪入罪的标准应当采用多元化的衡量标准，比如信息数量、获利金额、犯罪次数、危害结果等多种情形相结合的方式，以保证犯罪责任承担与社会危害结果相当；　第三，就侵犯公民个人信息罪配套规定而言，要梳理统一分散的法律法规，健全我国的行政与刑事处罚衔接体系，为该罪的实施提供有力的支持与保障。

　　（作者单位：上海市闵行区人民检察院）

　　[1]　《中华人民共和国刑法修正案（七）》　增设第二百五十三条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。”“窃取或者以其他方式非法获取上述信息，情节严重的，依照前款的规定处罚。”“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他责任人员，依照各该款的规定处罚。”

　　[2]　参见臧铁伟主编：　《中华人民共和国刑法修正案（九）解读》，中国法制出版社，2015年10月版，第115页-116页。

　　[3]　参见何春中：　《为何会有大量公民个人信息泄露》，载　《中国青年报》，2013年6月20日。

　　[4]　参见杨新京、叶萍、黄成：　《侵犯公民个人信息犯罪实证研究——以B市C区人民检察院近五年司法实践为样本》，载　《中国检察官》2015年第2期。

　　[5]　参见韦尧瀚：　《侵犯公民个人信息罪在司法认定中的若干问题研究——兼评＜刑法修正案（九）＞第十七条》，载　《北京邮电大学学报》2016年第1期。

　　[6]　较为有代表性的学说有关联说、隐私说、识别说三种。参见齐爱民著：　《中国信息立法研究》，武汉大学出版社2009年版，第76页-第77页。