侵犯公民个人信息案件中单纯手机号码的认定

侵犯公民个人信息案件中单纯手机号码的认定

——江某某侵犯公民个人信息案

裁判要旨

案例索引

一审：上海市杨浦区人民法院(2020)沪0110刑初1425号(2021年1月5日)

二审：上海市第二中级人民法院(2021)沪02刑终236号(2021年3月18日)

基本案情

被告人江某某对指控事实、罪名及量刑建议没有异议，且在辩护人的见证下签字具结，在开庭审理过程中亦无异议。

一审法院经审理，对公诉机关起诉指控的事实予以认定。

裁判结果

上海市杨浦区人民法院于2021年1月5日作出(2020)沪0110刑初1425号刑事判决：以侵犯公民个人信息罪判处江某某有期徒刑三年，罚金人民币5000元；查扣的作案工具应予没收。

宣判后，被告人江某某及其辩护人以手机号码不能识别特定自然人、不属于刑法上的“公民个人信息”等为由提起上诉。上海市第二中级人民法院于2021年3月18日作出(2021)沪02刑终236号刑事裁定：驳回上诉，维持原判。

裁判理由

案例注解

本案中，江某某违反国家有关规定，向他人提供的文件中既有公民姓名、身份证件号码、手机号码、邮箱等记录，又有大量的单纯手机号码(即“裸号”)。司法鉴定机构根据公安机关的托付事项，一揽子认定涉案文件去重后符合手机号码规则的记录共计90余万条。毋庸置疑的是，手机号码在识别性较强，例如“姓名＋手机号码”等个人信息组合方式下能够识别特定的自然人，属于公民个人信息。本案的争议关键在于无识别标签的“单纯的手机号码”是否属于公民个人信息，其可识别程度是否足以纳入刑法保护的范畴，在认定个人信息数量时应否予以剔除？

本案在审理中，关于单纯手机号码的定性，主要有两种观点：第一种观点认为，单纯的手机号码不属于公民个人信息。从手机号码的可识别性看，在实名制下，虽然手机号码对应着特定自然人，但非经法定程序一般公众无法查询出特定自然人，并且单纯手机号码的可识别程度较低，需要结合其他个人信息才能进行识别；从行为人的主观目的看，行为人主观上并不追求识别手机号码背后的自然人，其目的仅在于出售手机号码牟利；从危害后果看，提供他人手机号码的行为势必对个人生活造成打扰，但仅凭单纯的手机号码无法对特定自然人准确地识别，对个人生活安宁的侵扰程度、人身财产安全造成的风险较低，尚未达到须以刑罚处罚的程度。

一审和二审法院均持第二种观点，本文同意生效裁判的认定，具体分析意见如下：

一、公民个人信息的概念和内涵

个人信息的核心特点为可识别性。从识别的客体看，个人信息的可识别性既包括对自然人个体身份的识别，也包括对自然人特点的识别；对自然人身份的识别是确定自然人“是谁”，对自然人特点的识别是确定信息主体“是什么样的人”。从识别的程度看，识别性的个人信息包括可以单纯、直接识别出特定自然人的“已识别”(或称“直接识别”)信息和需要结合其他信息才能识别出特定自然人的“可识别”(或称“间接识别”)信息。也就是说，诸多个人信息通过对自然人个人属性和社会属性的刻画，从而或深或浅地为自然人勾勒出一幅“信息画像”。

二、手机号码具有合理识别的特别功能

三、单纯的手机号码属于刑法意义上的“公民个人信息”

认定单纯的手机号码属于侵犯公民个人信息罪的犯罪对象——公民个人信息，在于其真实地反映自然人特定身份或活动情况，具有与刑法所保护的法益相关联的实质内涵，在此基础上评判行为人非法猎取或者提供手机号码具有值得科处刑罚的法益侵害性。具体而言，在审理此类案件中，应当围绕涉案手机号码的真实性、可识别性、法益关联性进行审查，以幸免个人信息范畴的不当扩张，确保对侵犯公民个人信息行为的刑法规制具有必要性。

第一，手机号码的真实性。侵犯公民个人信息罪保护的个人法益在于个人的信息自由和安全。只有真实的个人信息才能够成为侵犯公民个人信息罪的犯罪对象，虚假的个人信息无法承载本罪所保护的个人法益。在实名登记制下，申请手机号码需要公民的姓名、身份证号码进行登记，一个手机号码对应一名身份真实有效的机主，指向使用该号码的特定自然人，能够识别特定自然人的身份。值得注意的是，行为人非法使用手机号码产生的衍生信息，系受犯罪行为作用影响的具体事物，仍属于个人信息的范畴。例如，行为人未经同意，使用权利人的手机号码注册App所猎取的验证码，系行为人非法操作他人手机号码产生的身份验证信息，亦属于个人信息。在司法实践中计算手机号码条数时，对于“黑卡”(实名空开的卡、未实名的境外卡等)由于其形式上真实存在并指向特定的自然人、实质上具有法益侵害性，不应当剔除。对比《个人信息保护法》的立法目的和个人信息保护范畴的规定，应当剔除的是“白卡”(未生效的手机号码)、注销的手机号码以及物联网卡(面向企业的流量卡)。涉案的手机号码已经过鉴定机构去重、筛查处理，将重复和不符合手机号码规则的数据予以删除，是否还需要核实抽样拨打接通率确保手机号码的真实性呢？笔者认为，手机号码具有一定的动态性，抽样时无法接通的手机号码不等于案发时就是不准确的手机号码，是否需要核实总体接通率应视具体案情而定。本案中，江某某供述涉案手机号码系其从事教育培训十余年来从各招聘网站、论坛等处不断积存的数据，对真实性具有一定的保证，即使依据江某某供述的“交换的信息20%是真实的”，则真实有效的手机号码也达18万余条，也远远超过“情节特别严峻”的标准，因此不必一概通过抽样接通率认定手机号码的真实性。

在此背景下，个人信息特别是“可识别”(或称“间接识别”)个人信息的可识别性内涵也随之发生变化。第一，识别的主体不限于侵犯公民个人信息的行为人，应当考虑行为人将他人信息置于风险之下，任何第三人识别自然人的可能性。司法实践中越来越多的行为人非法猎取个人信息，主观目的并不在于识别特定自然人。行为人购买手机号码，主观上是为了追求商业利益而非识别自然人，不能以此否认其行为的法益侵害性。事实上，不论行为人有无识别的意思，个人信息都是一种不受主观意图影响的客观存在。其次，识别的对象不限于特定的自然人，可扩大解释为具备某种共同特点的特定群体乃至于没有共同特点的不特定群体。司法实践中较为常见的是行为人提供或者猎取女性的手机号码、购买过某类药品的手机号码、有炒股意向的手机号码 等，目前审判实践中较为突出的是行为人侵犯不特定用户的“手机号码＋验证码”，且公诉机关多以损害公共利益为由提起刑事附带民事公益诉讼。再次，识别的方式不限于行为人现实采取的识别方式，还应当考虑行为人或者第三人可能合理使用的其他识别方式。手机号码本身具有合理识别自然人的功能，一般人能够合理使用手机号码对机主进行溯源识别。最后，识别的程度达到识别可能性即可，并不要求达到确切的程度。“识别性”主要是在规避风险源的意义上使用的，是为了防止通过对相关信息的挖掘而将个人识别出来 ，手机号码的识别性亦在于识别可能给公民人身财产安全带来的法益侵害风险。

编写：丁净玉 江苏省南通市中级人民法院