刑事辩护律师刘高锋：通过典型案例谈侵犯公民个人信息罪

刑事辩护律师刘高锋：通过典型案例谈侵犯公民个人信息罪

理解侵犯公民个人信息罪应当从“侵犯”与“公民个人信息”的认定入手。

一、什么是“侵犯”

《个人信息保护法》规定了对公民个人信息的处理（收集、存储、使用、加工、传输、提供、公开、删除等）规则、方式和范围。同时明确，“任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。”当然，刑法对于侵犯行为的认定有其认定标准。

侵犯的行为包括以下几种行为：（一）违反国家有关规定出售、提供公民个人信息的行为。（二）违反国家有关规定，将合法取得的公民个人信息，出售或者提供给他人的行为。（三）窃取或者以其他方法非法获取的行为。

《刑法修正案（九）》将“违反国家规定”调整为“违反国家有关规定”。其中，国家有关规定指的是违反法律、行政法规、部门规章有关公民个人信息保护的规定，这些规定散见于金融、电信、交通、教育、医疗、统计、邮政等领域的法律、行政法规或部门规章中。

在侵犯行为中，“出售、提供”包括在履职或提供服务的过程中将合法持有的公民个人信息出售或者提供给他人的行为：向特定人提供、通过信息网络或者其他途径发布公民个人信息、未经被收集者同意，将合法收集的公民个人信息（经过处理无法识别特定个人且不能复原的除外）向他人提供的，均属于“提供公民个人信息”。而在“窃取或者以其他方法”非法获取公民个人信息的行为中，“窃取”比较容易理解，“其他方法”是指与窃取行为具有同等危害性的方法，比如采取骗取、胁迫、植入木马程序侵入他人计算机系统等方式非法获取信息等。在实践中，购买和交换是最常见的非法获取手段。

二、什么是“公民个人信息”

本罪中的公民个人信息指的是能够识别特定自然人身份或者反映特定自然人活动情况的各种信息。

识别和反映特定自然人身份和活动的标准要求信息达到精准的程度。比如在“注销京东金条”事件中，行为人能够精准说出被害人的身份证号、学历以及银行账号信息等，就属于典型的能够确定和反映自然人特定身份和活动的信息。

具体而言，公民个人信息的种类包括：（一）行踪轨迹信息、通信内容、征信信息、财产信息，此类信息与公民人身、财产安全直接相关，数量标准为五十条以上，且仅限于上述四类信息，不允许扩大范围。对于财产信息，既包括银行、第三方支付平台、证券期货等金融服务账户的身份认证信息（一组确认用户操作权限的数据，包括账号、口令、密码、数字证书等），也包括存款、房产、车辆等财产状况信息。（二）住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息，数量标准为五百条以上，此类信息也与人身、财产安全直接相关，但重要程度要弱于行踪轨迹信息、通信内容、征信信息、财产信息。对“其他可能影响人身、财产安全的公民个人信息”的把握，应当确保所适用的公民个人信息涉及人身、财产安全，且与“住宿信息、通信记录、健康生理信息、交易信息”在重要程度上具有相当性。（三）除上述两类信息以外的其他公民个人信息，数量标准为五千条以上。

当然，在犯罪构成要件中，如果出售或者提供的信息被用于犯罪的，会被直接认定为达到了“情节严重”的标准，无数量限制。

三、侵犯公民个人信息罪的审查认定

公民个人信息类型和数量标准除如前所述之外，还包括出售用于犯罪的、违法所得数额达到五千以上的以及各信息种类混合情形下的，具体认定标准可以参见最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件的法律适用解释。当然，确定数量的前提是相关信息能够识别和反映特定自然人信息或者活动情况。

对于经过匿名化处理的信息，辩护律师在辩护时应当慎重对待。简言之，辩护律师应当重点审查该类信息是否能够识别或者反映特定自然人的身份或者活动情况。

（一）对主观故意的审查认定

认定构成本罪除需要达到“情节严重”标准即信息类型和数量达到立案追诉标准之外，认定构成本罪亦应当符合本罪的犯罪构成要件。从主观方面上讲，行为人应当具有主观故意。从证据审查角度上讲，认定主观故意采用的是主客观结合，以客观行为推断的方式。具体审查的证据类型包括证人证言、被害人陈述、犯罪嫌疑人供述和辩解以及证人、被害人提供的短信、微信或QQ截图等电子数据。

根据《检察机关办理侵犯公民个人信息案件指引》的规定，认定行为人主观故意还应当综合审查电子数据司法鉴定意见、银行账户明细、第三方支付平台账户明细等，以明确行为人在实施犯罪时的积极作为，即是否具有窃取、交换以及买卖行为等。

（二）对客观行为的审查认定

对客观行为的审查认定集中于“侵犯”行为，详见文首关于该行为的论述。就证据而言，对“出售、提供”行为的审查，通过对远程勘验笔录、扣押笔录、扣押物品清单、电子存储介质、网络存储介质等的司法鉴定意见进行认定。对于“窃取或者以其他非法方法获取”的行为，则结合犯罪嫌疑人供述、证人证言、被害人陈述，着重审查证明犯罪嫌疑人侵入信息网络、数据库时的IP地址、MAC地址、侵入工具、侵入痕迹等内容的现场勘验检查笔录以及涉案程序（木马）的司法鉴定意见等综合认定。

值得说明的是，在司法实践中，被用于犯罪的个人信息通常不要求下游行为必然构成犯罪，只要行为人明知他人非法获取公民个人信息用于违法犯罪活动即可。

四、典型案例

案例：柯某侵犯公民个人信息案（上海市金山区人民法院(2018)沪0116刑初839号）

基本案情：柯某运营“房利帮”网站并开发同名手机APP，以对外售卖上海市二手房租售房源信息为主营业务。运营期间，柯某对网站会员上传真实业主房源信息进行现金激励，吸引掌握该类信息的房产中介人员注册会员并向网站提供信息，有偿获取了大量包含房屋门牌号码及业主姓名、电话等非公开内容的业主房源信息。

柯某在获取上述业主房源信息后，安排员工冒充房产中介人员逐一电话联系业主进行核实，将有效的信息以会员套餐形式提供给网站会员付费查询使用。员工在联系核实信息过程中亦未如实告知业主获取、使用业主房源信息的情况。

截至案发，柯某通过运营“房利帮”网站共非法获取业主房源信息30余万条，以会员套餐方式出售获利达人民币150余万元。

金山区人民法院作出判决，采纳金山区人民检察院指控的犯罪事实和意见，以侵犯公民个人信息罪判处柯某有期徒刑三年，缓刑四年，并处罚金人民币一百六十万元。

五、刑事辩护律师分析

柯某的行为有二，第一通过激励业务员的方式获取业主信息的行为。第二出售业主信息的行为。

（一）对获取行为的性质审查

在本案中，柯某通过激励方式获取业主信息的行为实质上是购买行为。该购买行为可以认定，但是该类信息是否属于公民个人信息应当予以审查。如果该类信息不能被认定为识别特定业主个人信息的，则在此环节中不应当认定柯某构罪。

（二）对出售行为的性质审查

柯某获取相关信息后，采用了自行核实的方式确定了业主的信息。对于此种行为的认定应当一分为二审查。如果在核实业主信息时，明确告知业主获取、使用业主房源信息的，比如在交易环节会根据实际情况将相关信息交由其他的房产公司进行使用，以便能够完成交易等。在这种情形下，柯某交换、出售行为并非必然构罪。进一步讲，在证据审查环节应当排除业主同意部分的信息数量。

对于没有经过业主同意而擅自出售获利的，认定无罪难度大，无罪辩护不太现实。此时，就要考虑罪轻辩护。

侵犯公民个人信息罪打击的行为是双向的，包括买卖双方、交换双方等。辩护律师认为，行为人是否构成犯罪，应当区别对待。第一相关信息是否属于刑法规定的公民个人信息。第二如果信息主体自愿、主动向特定的主体提供信息的，即使数量达到侵犯公民个人信息罪的立案追诉标准，也不应当定罪处罚。