手机号码是否属于公民个人信息

作者：苏州市吴江区人民检察院 张能

手机号码是不是公民个人信息？某信息是否属于公民个人信息与以该信息为侵害对象的行为是否构成侵犯公民个人信息罪是什么关系？识别特定自然人身份是什么意思？与其他信息结合识别特定自然人身份中的“其他信息”或者两个以上的结合信息是否限于被侵害的信息？实名制是否影响手机号码单独识别特定自然人身份的功能？

一、什么是公民个人信息

2009年2月28日施行的《刑法修正案（七）》增设了刑法第二百五十三条之一，规定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪。2015年11月1日施行的《刑法修正案（九）》对该条进行了修改，将出售、非法提供公民个人信息罪和非法获取公民个人信息罪整合为侵犯公民个人信息罪。但是，均未对何谓“公民个人信息”作出明确规定。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017年6月1日起施行）第一条规定：“公民个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等”。

《网络安全法》（2017年6月1日起施行）第七十六条规定“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码等”。

《民法典》（2021年1月1日起施行）第一千零三十四条规定“公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。

从上列司法解释和《网络安全法》《民人民法典》的规定看，公民姓名也是公民个人信息，因为公民姓名虽然不能单独识别特定自然人身份，如行为人获得的“梓轩”这个姓名，可能对应着几十万个自然人。但是，“姓名”结合“住址”等其他信息，就可以识别特定自然人身份。但如行为人出售的只是几十万个姓名，而没有出售相关住址信息，肯定没有人会认为这种行为构成侵犯公民个人信息罪。所以说，就信息本身的性质而言，“姓名”是公民个人信息，“住址”也是公民个人信息，但不是非法获取、出售、提供“姓名”或者“住址”这种“公民个人信息”，就构成侵犯公民个人信息罪。

二、如何理解“单独识别”“与其他信息结合识别”

“与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，“与其他信息结合识别”是什么意思？如本文前述，“姓名”结合“住址”可以识别特定自然人身份。但这种结合其他信息可以识别特定自然人身份或者反映特定自然人活动情况的功能，只是某一信息的客观功能。某一信息具有“结合识别”的功能，并不等于行为人实际侵害了相关的可以识别特定自然人身份或者反映特定自然人活动情况的公民个人信息。换而言之，所谓“与其他信息结合识别”，应是指结合的信息都在行为人侵害（非法获取、出售或者提供）的对象之列。例如行为人必须同时出售了公民的姓名和住址信息，才能认定为侵犯公民个人信息罪。如果只是出售了公民姓名信息或者住址信息，就不能因为公民姓名信息或者住址信息均具有结合识别的功能，就认定出售公民姓名信息或者住址信息的行为构成侵犯公民个人信息罪。

有论者认为“在大数据时代，就理论上而言，任何信息与其他足够多的信息相结合都可以别特定自然人身份或者反映特定自然人活动情况。因此，对于不能单独特定自然人身份或者反映特定自然人活动情况的部分关联信息中的哪些可以纳入“公民个人信息” 的范畴，必然会存在较大的认识分歧。本文主张，在司法适用中具体判断部分关联信息是否有可以认定为公民个人信息时应当注意以下几点：一是需要结合的其他信息的程度。如果涉案信息本身与特定自然人身份、活动情况关联程度高，需要结合其他的信息相对较少，则认定为个人信息的可能性较大；反之，如果需要结合的其他信息相对较少，则认定为公民个人信息的可能性较小。二是信息本身重要程度。如果涉案信息与人身安全财产、财产安全密切相关，敏感程度较高，则对于此类信息在认定是否属于公民个人信息时，可以采取相对从宽的标准。三是行为人主观目的。如果行为人主观上获取涉案信息就不需要识别特定自然人身份或反映特定自然人活动情况，则此类部分关联信息一般不宜认定为公民个人信息”（喻海松《侵犯公民个人信息罪司法适用探微》，载于《中国应有法学》2017年第4期）。 但是，该观点的合理性值得商榷。

首先，上列第一、第二点，不具有理论涵摄性和实践操作性。以姓名和住址为例：其一，姓名或者地址，作为“部分关联信息”，均只需要相互结合，就能识别特定自然人身份，即该种情况下需要结合其他信息的数量相同，无法比较需要结合其他信息的数量多少。那么，既使认为住址与姓名相比，与特定自然人身份的关联程度高，如果行为人只是出售了住址信息，也不能据此认为住址信息作为“部分关联信息” 可以认定为“公民个人信息”，相应的将出售五千条以上的公民住址信息的行为认定为构成侵犯公民个人信息罪。其二，如果一个信息需要结合其他信息才能发挥识别的功能，那么，在结合识别的意义上来说，这数个信息的重要程度实际上是无差别的，缺一不可实现识别功能，不能说因为“住址”与“姓名”相比，与人身安全财产、财产安全相关程度或者敏感程度更高，就认为出售住址信息五千条以上，就构成侵犯公民个人信息罪。因此，上述两点，任何一点或者两点结合在一起，都无法说明在“结合识别”的情况下，各种信息的性质和功能，并指引司法实践操作。

其次，“公民个人信息”是一种不受主观意思影响的客观存在。因为所谓“部分关联信息”，前提是该部分信息客观上不具有单独识别功能。那么，既使行为人主观上有识别的意思，也不能改变该部分信息本身的客观功能。反之亦然，如何该部分关联信息具备结合识别功能，也不会因为行为主观上没有识别的意思，就改变该部分信息客观上具备的识别功能。当然，后者的情形，可能不一定构成侵犯公民个人信息罪，但理由并不是行为人的主观意思改变了信息的客观功能，或者行为人的主观意思决定了部分关联信息是否适宜认定为公民个人信息。而是因为该部分信息虽然客观上是公民个人信息，但是在刑法意义上，按照“主客观一致”的原则，出售、提供、非法获取该部分信息，不被评价为侵犯公民个人信息罪。落实到司法实践中，如果行为人非法获取的是客观上能够结合识别特定自然人身份或反映特定自然人活动情况的信息，恐怕难以证明其主观意图却并非为此。根本问题在于，实践中是否存在这样一种不为识别特定自然人身份的“非法获取”的类型？如果行为人系合法获取，如某些企业合法获取某些公民个人信息。那么，根据刑法第二百五十三条之一第三款规定，不构成侵犯公民个人信息罪的理由是这种行为不是“非法获取”而是“合法获取”，合法获取的基本条件是没有违反国家有关规定，事先征得了被收集者同意，而与行为人获取的主观意图没有关系。如果合法获取之后，未经被收集者同意就向他人提供的，则按照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第三条第二款规定“未经被收集人同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外”，即该种情形下，行为人的行为构成侵犯公民个人信息罪，除非行为人将信息处理成无法识别特定个人且不能复原。但是，出罪的理由是因为信息本身客观上已不具备识别功能，而非因为行为人主观上没有识别的意思。如果行为人主观上不具备识别的意思，但客观上没有对信息进行上述“去识别化”处理的，其向他人非法提供的信息就仍然是“公民个人信息”，可以认定构成侵犯公民个人信息罪。

三、手机号码能否识别特定自然人身份

通过搜索“检答网”，2019年至2022年的部分（11条）咨询、解答信息显示，其中10条的咨询、解答意见均认为手机号码属于公民个人信息（以下简称“肯定论”）。理由主要是：

1.司法解释所列举的公民个人信息包括了“通信通讯联系方式”即手机号码或电话号码。

2.无论是识别特定自然人身份，还是反映特定自然人活动情况，都应当是能够单独或者与其他信息结合所具有的功能，不应要求是相应个人信息单独所具有的功能。电话号码虽然无法单独识别公民个人身份，但本身能够与特定自然人直接关联，且结合其他信息能够识别公民个人身份，属于公民个人信息的范畴。

3.电话号码已实名登记，每个电话号码都对应特定的自然人，经查询也可以单独识别特定自然人身份；由于实名办卡，手机号码显然属于个人信息。手机号码因此直接与特定的自然人关联（与自然人身份证信息绑定），具有明确的特定性和指向性，虽然未与姓名一起非法提供，仍可根据手机号码联系到公民个人；公民的手机号码用途很多，除了可以通讯外，还可以在各种社交软件上注册，甚至绑定涉及资金的各种账户，手机号码在很多情况下可以用来验明公民的个人身份，应该即便没有姓名也可以识别特定自然人的身份，应当认定为公民个人信息；现代网络科技社会，很多信息都与手机号码息息相关，包括网银账号、个人社交平台等等，通过手机号码可以识别出特定自然人的身份，结合其他信息，可以反映出特定自然人的各种信息。

4. 手机号码属于通信通讯联系方式，非法获取手机号码后往往会引发侵犯财产甚至人身的违法犯罪。

而认为手机号码不能认定或者不能一律认定为公民个人信息的理由是（以下简称“否定论”）：1.仅有手机号码，没有其他信息相结合，不能识别出特定的自然人身份。2.目前实行手机号码实名制，通常情况下手机号码都能够识别特定自然人的身份或者活动情况，但不能排除实践中存在部分黑户手机号码。因此，手机号码不能一律认定为公民个人信息，还需具体案情具体分析。

本文前述已经指出，司法解释规定“通信通讯联系方式”属于“公民个人信息”，但同时也并列规定了“姓名”“住址”。上述肯定论提出的第一种理由，如果成立的话，那么，手机号码是否属于公民个人信息这个问题，实际上就不存在了。该种观点混淆了信息的客观性质与评价犯罪时对侵犯公民个人信息罪的犯罪对象的要求。

肯定论的第二种理由是认为电话（手机）号码可以结合其他信息识别公民个人身份。但同时又认为电话（手机）号码本身能够与特定自然人直接关联。这种观点留下一个问题：“与特定自然人直接关联”与“识别公民（自然人）个人身份”含义有无差别？

肯定论的第三种理由是实名制的情况下电话（手机）号码可以单独识别特定自然人身份。但何以能够单独识别，具体表述又有所不同：一是经查询可以单独识别；二是可以联系到公民个人；三是可以在社交软件、网银账户等验明公民个人身份。那么，经查询后能够识别特定自然人身份，还是单独识别吗？“可以联系到公民个人”与“识别公民（自然人）个人身份”含义有无差别？

肯定论的第四种理由是在第一种理由的基础上，将可能导致的危害后果作为评价的标准。

笔者认为，无论是否实名制，手机号码都是公民个人信息，行为人非法获取、出售或者提供给他人的手机号码数量达到构罪标准，应认定为构成侵犯公民个人信息罪。首先，有无实名制，不影响手机号码能否单独识别特定自然人身份的客观性质。既使没有实名制，不需要结合其他信息，仅凭手机号码便可以“找到”“联系到”某个特定的自然人。而“识别特定自然人身份”在此种情形下的含义其实就是能够“找到”“联系到”特定自然人，或者说，通过拨打手机号码联系到某个人，这个结果就是识别了特定自然人。从法益侵害的角度而言，如果公民的手机号码被他人非法获取，而后随意地被电话骚扰，特定自然人的生活安宁就受到了侵害。对于拨打推销电话的人来说，接听电话的人是张三、李四，可能是无差别的，可以是芸芸众生中任何一个不特定的人。但是，被电话骚扰的人是一个个特定的具体的人，在一个公民的群体中，与那些电话号码还没有被他人非法获取和使用的人相比，这个人在通讯联系的意义上已经被“识别”出来。如果只是姓名或者住址信息，就不会在任何意义上被识别出来。其次，认为需要经过进一步查询，才能识别特定自然人身份，那么实际上就已经结合了姓名等其他信息进行识别，就不能认为实名制下的手机号码具有单独识别功能。而且该种查询也不是一般人通过任意的方式就可以方便地实现。其他的信息是否具备单独识别功能，也是如此。需要通过进一步的查询或者特别技术手段才能识别特定的自然人，就不能认定该信息具备单独识别特定自然人身份的功能。

至于否定论认为手机号码不能一律认定为公民个人信息，原因是存在部分黑户手机号码。这个问题，如果是批量的手机号码中存在一些黑户手机号码，那么只需要根据司法解释第十一条，运用可反驳的推定证明规则予以解决。而且，个别的黑户手机号码或者空号无法联系到特定自然人，并不影响“手机号码”作为一个类别的信息所具备的客观识别功能。正如一个烂西瓜的不影响西瓜具有甜味的客观性质。