论侵犯公民个人信息罪中“经被收集者同意”责任豁免之适用

　　【内容摘要】《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第3条规定，“经被收集者同意”是合法流转公民个人信息行为的必要条件。个人信息的收集者假借“合法授权”形式收集公民个人信息并流转，并不符合个人信息流通的正当性要求。具体个人信息收集过程不符合国家标准规定的一般形式规程，个人信息授权合同因缺乏正当性、以合法形式掩盖非法目的而无效。由于个人信息来源的非法性，也不应以“被害人危险接受”为由，排除个人信息收集、流转的有责性。

【关键词】侵犯公民个人信息罪  经被收集者同意  责任豁免  适用

□雷澜珺

数字经济时代下，公民个人信息的适当流通规则需契合个人安全与社会利益、便捷效率之间平衡的要求。以“知情同意”为核心的个人信息传统利用理论认为，在收集公民个人信息时，收集者应清晰阐释信息收集的目的及处理情况，并获得被收集者默示或明示的同意，从而达到合法使用公民个人信息的目的。

据此，《网络安全法》第22条、《信息安全技术  个人信息安全规范》  （GB/T 35273—2017）等国家标准及《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第3条确认“知情同意”为合法收集个人信息的前置条件。

然而以“合法收集公民个人信息”之外观，行后续“非法流转”之实的行为并不鲜见。被收集者出售个人信息以获利，收集者收购个人信息并获得被收集者的书面同意，例如“城郊或农村地区的民工、老人等群体出售的个人信息被不法分子用于售假、诈骗。”①然而，基于形式合法的“被收集者同意”，一概豁免收集、流转公民个人信息行为的刑事风险，与保护公民个人信息安全一般观念存在抵牾：个人信息流通应限于国家安全、经济发展等正当目的，否则秘密保有个人信息的权利不应做出让位。

《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第3条规定，合法提供公民个人信息必须“经被收集者同意”。而“经被收集者同意”必须从以下具体方面加以考察适用。

首先，从形式上考察个人信息被收集者书面同意的有效性。

国家标准《个人信息安全规范》第5.3条规定个人信息控制者在收集个人信息时，“应向个人信息主体明确告知所提供产品或服务的不同业务功能分别收集的个人信息类型，以及收集、使用个人信息的规则，并获得个人信息主体的授权同意”。若收集者未明确告知使用情况与规则，而采用欺诈、诱骗、强迫以及隐瞒的方式获取被收集者同意，被收集者并不知情个人信息的使用范围或者个人信息的使用范围超出了被收集者概括同意的合理预期的，不符合国家标准所规定的收集个人信息的规程，不视为有效的同意。

其次，从实质上考察个人信息被收集者书面同意的有效性。

第一，授权行为未超出个人信息自决权的限度。传统个人信息立法所涉的个人信息自决权主要包含个人信息告知权、个人信息更正权、个人信息封锁权以及个人信息删除权。②强调个人信息自决权的扩张，以防止个人生活受到侵扰。然而，个人信息自决权并非是无限度的。个人信息自决权所涉事务并非仅与个体生活相连，而且也是社会生活的反映，所以并非是绝对的个人权利。《网络安全法》第41条规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则”。《个人信息安全规范》第4条也规定了“目的明确原则”，即个人信息处理目的应当是合法、正当、必要、明确的。所以即使被收集者明知个人信息的非法用途并给予授权，由于目的的不正当，授权行为无效。第二，《合同法》第52条规定，“恶意串通，损害国家、集体或者第三人利益”“以合法形式掩盖非法目的”的属于无效合同。被收集者知情个人信息的非法用途而订立的买卖个人信息的合同应属无效。

再次，个人信息的收集者假借“合法授权”形式收集公民个人信息并流转，该行为符合侵犯公民个人信息罪的构成要件，且不应以“被害人危险接受理论”为由排除有责性。

其一，应当承认个人信息的被收集者对个人信息具有处分权，有权决定是否向他人公开自己的个人信息。其二，被收集者对收集自己个人信息行为是否造成自身利益的损害具有充分的认知且对授权个人信息的意思决定不存在认识错误，否则就不对法益侵害的结果自我答责。只有信息收集者充分告知收集个人信息的使用情况且被收集者有意识地接受收集个人信息可能造成的结果，才能认为被收集者合法转移了自己的个人信息。由于个人信息用途的非法性，个人信息的收集者假借“合法授权”形式收集公民个人信息，不可能充分告知个人信息的使用情况，个人信息被收集者处分个人信息的意思决定存在瑕疵。缺乏合法的个人信息来源，应当对信息收集者后续流转或利用个人信息的行为做否定评价。

个人信息被收集者基于信息自决权处分个人信息，是个人信息合法流转的前提条件。然而，收集个人信息必须出于合法、正当的目的，收集过程中必须充分告知个人信息的使用情况并获得同意。个人信息收集者出于违法犯罪的目的，向个体购买其个人信息并获得同意，应当排除个人同意的合法性，不应豁免其就后续实施的个人信息流转、利用行为承担侵犯公民个人信息罪的刑事责任。

①  高艳东：《经同意买卖个人信息也属违法犯罪》，载《检察日报》2018年8月15日第3版。

②  参见赵宏：《从信息公开到信息保护:公法上信息权保护研究的风向流转与核心问题》，载《比较法研究》2017年第2期。

SourcePh" style="display:none">