包头律师张万军教授：公开信息的刑法保护规则

作者：张万军，西南政法大学法学博士，内蒙古科技大学法学教授，内蒙古钢苑律师事务所律师。

公开信息可自由买卖？王某侵犯公民个人信息案敲响法律警钟

一、本案基本事实及裁判观点

被告人王某于2015年至2016年间，多次向他人出售、提供或交换包含个人姓名、电话等内容的公民个人信息，总量超过31万条。这些信息被分为两类：第一类是标注为“通讯录”、“参会表”、“酒店客户总表”、“车主”等明显具有非公开属性的信息，约9.2万余条；第二类是从阿里巴巴、百度、天眼查、自助贸易网等公开商业网站上获取的企业法定代表人（联系人）姓名及手机号码信息，约21.9万余条。

江苏省苏州市姑苏区人民法院经审理认为，本案的核心争议在于对第二类（来源于公开网站）信息的性质认定。王某当庭演示了从公开网站查询到相关信息的过程，法院据此确认这部分信息属于“已合法公开的信息”。法院指出，在信息已合法公开的前提下，要求行为人收集、整理、交换仍需逐一征得“被收集者同意”过于严苛且不合理。因此，在计算构成侵犯公民个人信息罪所要求的信息数量时，涉案的第二类公开信息不应计入犯罪数量。扣除这部分后，认定王某涉及犯罪的公民个人信息数量为9.2万余条（即第一类信息）。综合全案情节，法院以侵犯公民个人信息罪判处王某有期徒刑三年，缓刑四年，并处罚金人民币一千元。该判决已生效。（案例来源：人民法院案例库，题目：王某侵犯公民个人信息案，入库编号：2024-18-1-207-003）

二、信息性质认定：区分公开与非公开是关键

王某案的核心法律问题在于涉案信息性质的精准区分。刑法所保护的“公民个人信息”，其核心在于信息的“可识别性”和“未公开性”或“非授权获取性”。本案中，法院基于信息的来源和表现形式，将涉案信息清晰划分为两类，并赋予截然不同的法律评价。第一类信息，如“通讯录”、“参会表”、“酒店客户总表”、“车主”信息等，其标注名称已强烈暗示这些信息是特定场景下（如内部管理、会员登记、特定服务）收集的非公开信息，或者是从非公开渠道（如内部系统、私下收集）获取。这类信息通常未经信息主体广泛公开的授权，其收集、获取本身就存在非法可能性，后续的出售、交换行为更是直接侵害了信息主体的个人信息权益，具有明显的刑事违法性。相反，第二类信息是企业法定代表人或联系人主动在公开的商业网站（如阿里巴巴、天眼查）上展示的姓名和联系方式。这类信息的公开，本质上是信息主体为特定商业目的（如拓展业务、方便联系）而进行的“自行公开”。法院通过王某当庭演示确认了其来源的公开性与合法性。将这类已合法公开的信息排除在刑事打击范围之外，体现了法律对个人信息权益保护的边界设定——刑法主要规制的是对私密信息或非授权获取信息的侵害行为，而非对已主动置于公共领域信息的正常流通进行过度干预。

三、公开信息的合理处理：法律推定的“概括同意”

王某案判决最具启发性的法理价值，在于其清晰阐释并实践了民法典与个人信息保护法确立的“公开信息合理处理规则”。民法典第一千零三十六条第（二）项明确规定：“合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外”，行为人不承担民事责任。个人信息保护法第十三条第一款第（二）项）、第二十七条也体现了相同精神。我们注意到，法院在裁判中创新性地援引了民法典精神，明确指出：对于自行公开或其他已合法公开的个人信息，法律推定信息主体存在一种“概括同意”。这意味着，社会公众或商业主体在合理范围内收集、整理、甚至在一定范围内交换、使用这类公开信息，原则上无需再逐一通知并征得信息主体或其监护人的明确同意。这种“推定同意”是法律为了平衡个人信息保护与信息自由流通、社会正常交往特别是商业活动而设定的规则。当然，这种“自由”并非无边无际。法律同时设置了重要的“安全阀”：一是信息主体的“明确拒绝权”，一旦信息主体明确表示不希望其公开信息被用于某些特定目的，处理者即应尊重；二是“重大利益侵害禁止”，即使信息已公开，如果处理行为，如用于诈骗、人肉搜索、恶意骚扰，侵害了信息主体的重大人身、财产利益，仍可能构成违法甚至犯罪。本案中，王某获取并向他人提供第二类公开信息的行为，在无证据证明其处理方式侵害了信息主体的重大利益或遭到明确拒绝的情况下，被法院认定为属于对公开信息的“合理处理”范畴，故不纳入侵犯公民个人信息罪的打击范围。

四、刑法谦抑性在个人信息保护中的体现

王某案的裁判结果深刻体现了刑法在规制个人信息处理行为时应秉持的谦抑性原则。最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条详细规定了定罪量刑的信息数量标准。若机械地将王某获取的21.9万余条公开信息也计入犯罪数量，其刑罚将远重于三年有期徒刑。然而，法院基于涉案信息性质的实质性区分，排除了公开信息的入罪数量，最终在法定刑幅度内判处了相对较轻的刑罚。这种做法具有双重积极意义。一方面，它坚守了刑法的最后手段性。刑法是保护法益的最后防线，其适用应具有必要性。对于已在公共领域流通的信息，其后续的合理流转利用本身具有一定的社会价值，若不加区分地将所有处理公开信息达到一定数量的行为都纳入刑事处罚，会过度限制信息自由，妨碍正常的社会经济交往，导致刑罚打击面过宽，违背刑法的谦抑精神。另一方面，它引导了精准执法司法。该判决明确释放了一个信号：司法机关在处理侵犯公民个人信息案件时，必须对涉案信息进行实质性审查，仔细甄别信息来源是公开还是非公开、是自行公开还是非法获取。不能仅凭信息条数“一刀切”入罪。这要求执法者和司法者投入更多精力去核实信息的性质、来源和处理方式，确保将真正侵害公民个人信息私密空间和自决权的行为纳入刑法规制，而将符合社会常情常理的对公开信息的利用行为排除在外。这种精细化司法的导向，对于在数字经济时代既有效保护个人信息安全，又保障数据要素的合法有序流动，至关重要。

包头钢苑刑事律师团队是包头市优秀专业律师团队，由内蒙古科技大学法学教授张万军博士领衔组成，刑法理论功底深厚、实践经验丰富。团队秉持专业、精英、品牌的发展思路，推行刑事辩护的标准化、规范化和精细化，致力于维护当事人的合法权益。