李景华 李山河

[摘 要]刑法新增出售、非法提供公民个人信息罪,该罪是指国家机关或者金融、电信等单位的工作人员,违反国家规定,将本单位在履行职责或者提供服务过程中获得的公民个人信息,出售或者非法提供给他人,情节严重的行为。本罪是特殊主体,只有国家机关或者金融、电信、交通、教育、医疗等单位及其工作人员才能构成此罪;本罪的主观方面是故意;客观方面表现为有关单位或者个人违反国家规定,将其获得的公民个人信息,出售或者非法提供给他人行为;犯罪客体是公民个人的信息自由和安全。在本罪的司法适用中,應注意此罪与彼罪的界限以及刑事处罚的相关问题。

[关键词]出售 非法提供公民个人信息罪 构成特征 司法适用

2009年2月28日第十一届全国人民代表大会常务委员会第七次会议通过了《中华人民共和国刑法修正案(七)》,该《修正案》在刑法第253条后增加一条,作为第253条之一,该条第1款规定:“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员,违反国家规定,将本单位在履行职责或者提供服务过程中获得的公民个人信息,出售或者非法提供给他人,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金。”该条第3款规定:单位犯该罪的,对单位判处罚金,并对其直接负责的主管人员和其他直接责任人员,依照各该款的规定处罚。从而以刑法立法的方式新增了一种犯罪,2009年10月16日起施行的两高《关于执行刑法确定罪名的补充规定(四)》已将该最最明确定为“出售、非法提供公民个人信息罪”。 为正确理解和适用这一刑法新增的犯罪,增加公民个人信息保护意识,本文对出售、非法提供公民个人信息罪的的立法背景、构成特征、司法适用等问题进行研析。

一、立法背景

随着社会的发展,个人信息所具有的信息价值和经济价值不断增加,而科技的发展与网络信息处理以及存储等技术的普及产生了两个方面的问题:一是大规模信息的收集变得更为便捷,一些人以窃取等方法非法获取公民个人信息;二是公民个人信息被非法泄露和使用的可能性大大增强。正是在上述背景下,近年来,一些国家机关和电信、金融等单位在履行公务或提供服务活动中获得的公民个人信息被非法泄露的情况时有发生,对公民的人身、财产安全和个人隐私构成严重威胁。社会上对这类侵害公民权益情节严重的行为犯罪化的呼声日高。为此,《刑法修正案七》新增出售、非法提供公民个人信息罪。《刑法修正案七》对侵犯公民个人信息的行为予以犯罪化,顺应了信息时代对公民个人信息保护的需要,体现了刑法关注民生和反映社会实际需要的导向。公民的信息安全涉及公民的切身利益,以刑法手段维护公民的信息安全,大大加强了公民个人信息的保护力度,对于公民个人信息的保护具有重要意义。不过,《刑法修正案七》仅对单位及其工作人员的出售、非法提供公民个人信息罪的行为方式立法化,而除上述行为方式外,还有其他的一些行为方式,如非法处理以及非法使用等侵犯公民个人信息的行为方式,也具有严重的社会危害性,也应当予以犯罪化。因此,将具有严重危害社会的所有危害公民个人信息安全的行为犯罪化,从而对公民的个人信息予以全面的刑法保护,应是下一步刑法立法所应解决的问题。

二、出售、非法提供公民个人信息罪的构成特征

根据《刑法修正案(七)》的规定,出售、非法提供公民个人信息罪,是指国家机关或者金融、电信、交通、教育、医疗等单位的工作人员,违反国家规定,将本单位在履行职责或者提供服务过程中获得的公民个人信息,出售或者非法提供给他人,情节严重的行为。其内涵主要体现在以下几个方面:

(一)犯罪客体

本罪的犯罪客体是公民个人的信息权。公民个人信息权涉及公民个人信息的安全和自由,是指公民自由支配、控制其个人信息,不容他人侵犯的权利。公民个人信息权的权利内容包括信息决定权、信息保密权、信息查询权、信息更正权、信息封锁权、信息删除权、信息报酬权和信息请求权。[1]

公民个人信息权在性质上属于人格权,是人格权中隐私权的具体表现之一。隐私权是关于隐私的权利,是人的基本权利之一。虽然公民个人信息权属于基本人权,但它不属于“不可克减”之人权,即国家为了社会公共利益可以在一定范围内处理个人信息,因此,由其公民个人信息权本身的特点所决定,如果公民个人允许有关单位及其工作人员将其个人信息出售或者提供给他人的,或者有关单位及其工作人员依法将信息提供给他人的,并且没有危害到国家或者公共利益的,或者国家为了公共利益依法使用公民个人信息的,则不构成对公民个人信息自由和安全的侵犯,因而不构成该罪。

本罪的犯罪对象是有关单位合法收集、保管的公民个人信息。所谓公民个人信息,是指以任何形式存在的、与公民个人存在相关联并可以识别特定个人的信息。其外延十分广泛,几乎有关个人的一切信息、数据或者情况都可以被认定为个人信息。一般来说,一个人的种族、肤色、肖像、性别、年龄、婚姻状况、家庭情况、宗教信仰、思想观点、爱好、受教育情况、财产状况、血型、指纹、病历、职业经历、住址、电话、电子邮件等都属于他的个人信息。[2]

(二)犯罪的客观方面

本罪在客观方面表现为国家机关或者金融、电信、交通、教育、医疗等单位的工作人员,违反国家规定,将本单位在履行职责或者提供服务过程中获得的公民个人信息,出售或者非法提供给他人,情节严重的行为。

1.违反国家规定

本罪中的“违反国家规定”,是指违反国家法律、法规或者规章中关于公民个人信息的规定。目前我国尚未制订专门的个人信息保护法,只有一些相关规定散见于一些法律、法规和规章中,从当前我国相关法律、法规和规章的规定情况看,主要在下述方面有规范关于单位和个人收集、管理公民个人信息活动的法律法规:一是关于公民个人健康的医疗信息的法律法规,如《中华人民共和国职业医师法》、《中华人民共和国传染病防治法》等法律法规就规定医生不得披露治疗中获得的健康信息,传染病人的个人隐私受到法律保护。二是关于公民个人的存款信息的法律法规,如《中华人民共和国商业银行法》规定,商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯,为存款人保密等。三是关于未成年人个人信息的法律法规,《中华人民共和国未成年人保护法》规定,任何组织和个人不得披露未成年人的个人隐私;《人民检察院办理未成年人刑事案件的规定》规定,人民检察院办理未成年人刑事案件,不得公开或者传播该未成年人的姓名、住所、照片及可能推断出该未成年人的资料。四是关于公民个人身份信息的法律法规,如《中华人民共和国居民身份证法》规定,公安机关及其人民警察对因制作、发放、查验、扣押居民身份证而知悉的公民个人信息,应当以予保密,如果泄露必须承担相应的法律责任。五是有关档案、统计方面的个人信息的法律法规,如《中华人民共和国统计法》规定,属于私人、家庭的单项调查资料,非经本人同意,不得泄露;统计机构、统计人员违反规定泄露上述资料或者统计调查对象的商业秘密,造成损害的,须承担相应责任。

由于本罪中的“违反国家规定”的构成要件的存在,因此,如果国家法律、法规或者规章中没有相关的针对公民个人信息收集、管理的单位及工作人员的义务性规定,相关单位及工作人员也就缺乏了成立本罪的前置性法律义务,即便其存在出售或者提供公民个人信息的严重行为,也不宜将其认定为犯罪。关于公民个人信息的范围,学界对此有不同认识,应当从广义上对其进行界定。

2.将本单位在履行职责或者提供服务过程中获得的公民个人信息

所谓“履行职责”,是指国家机关及其工作人员行使职权、履行职责,如公安机关对犯罪嫌疑人侦查,等等。所谓“提供服务”,是指金融、电信、交通、教育、医疗等单位及其工作人员提供上述单位的公共服务。所谓“获得”,是指上述单位在前述工作过程中取得公民的个人信息。如果上述单位及其工作人员将并非在履行职责或者提供服务过程中获得的公民个人信息出售或者非法提供给他人的,则不构成该罪。所谓“获得”,是指取得,获取,由于是在履行职责或者提供服务过程中的“获得”,因此此处的“获得”应从狭义理解,仅包括合法取得的情况。如果是非法获取,则可能构成非法获取公民个人信息罪而不构成本罪。

3.出售或者非法提供给他人

所谓“出售”,是指以获得对价的商业目的而卖出去,所谓的“非法提供”,是指不以获得对价的商业目,但违背国家规定而提供。这就排除了合法向他人提供公民个人信息构成犯罪的情况,例如,为了国家安全、侦查犯罪或者案件审判而向有关机关或工作人员提供公民信息的,上述单位合法并入其他单位,从而其所掌握的公民个人信息为后继单位所合法承继,等等,就不属于非法提供。

4.情节严重

所谓“情节严重”,主要指出售或者向他人非法提供公民的个人信息数量大、使个人信息大量流向境外、造成了被害人人身严重危害、造成财产的重大损失等情况。[3]司法机关应当根据具体情况在司法实践中予以合理而准确地认定。情节严重是本罪的成罪标准,虽有出售或者非法提供的行为,但情节不严重的,不构成犯罪。

(三)犯罪主体

本罪的犯罪主体是国家机关或者金融、电信、交通、教育、医疗等单位及其工作人员。这些单位由于其工作性质而能够较为系统地获取公民的个人信息。本条主体规定中的“等”字表示未尽列举之意,因此,除了上述列举的五个单位以外,其他单位及其工作人员,只要其单位性质决定其能够较为系统地接触和获取到公民信息的,都属于本罪所规定的单位之列,如酒店、从事商业经营的公司、网站等也存在收集个人部分信息的情况,这些单位也应涵盖其中。[4]因此,本罪的犯罪主体应作出合理的解释,将具有能够较为系统地收集公民个人信息的单位及其工作人员均作为本罪的犯罪主体。

本罪是特殊主体,其特殊性体现在,就自然人而言,只有国家机关或者金融、电信、交通、教育、医疗等单位的工作人员才能构成此罪,就单位犯罪而言,尽管253条之一第3款仅一般性地规定“单位犯该罪的,……”但由于本条第1款的规定,从法条系统解释的角度出发,对于本罪而言,第3款所规定的单位应是国家机关或者金融、电信、交通、教育、医疗等由其单位性质能够获取公民个人信息的单位,因此该罪的单位主体实际上是特殊单位主体而非一般单位主体。

(四)犯罪的主观方面

本罪的主观方面是故意,包括直接故意和间接故意,行为人明知自己出售或者非法提供其所获得的公民个人信息的行为会对公民个人信息安全造成危害,而希望或者放任这种危害后果的发生。行为人的动机一般为获利。

关于的动机和目的,从司法实践中的情况看,行为人的动机和目的一般是为了谋取经济或者其他非法利益。根据刑法的规定,行为人是否具有这一动机和目的不影响本罪的成立。

三、出售、非法提供公民个人信息罪的司法适用

(一)此罪与彼罪的界限

1.与侵犯知识产权犯罪的界限

从静态的角度,本罪与侵犯知识产权犯罪的界线是明显的,但是如果公民个人信息涉及到知识产权的,如涉及到商业秘密的,则可能成立想象竞合犯,根据想象竞合犯罪的处理原则,从一重罪处罚。

2.与内幕交易、泄露内幕信息罪,利用未公开信息交易罪的界限

从静态的角度,本罪与内幕交易、泄露内幕信息罪,利用未公开信息交易罪的界限是明显的。如果公民个人信息涉及内幕信息或者未公开信息,行为人在履行职责或者提供服务过程中获取并用来进行内幕交易或者利用未公开信息交易的,构成想象竞合犯罪,根据想象竞合犯罪的处理原则,从一重罪处罚。

3.与侵犯公民通信自由罪的界限

侵犯公民通信自由罪,是指隐匿、毁弃或者非法开拆他人信件,侵犯公民通信自由权利,情节严重的行为。本罪与侵犯罪公民通信自由罪在主体、客观方面、犯罪客体方面均有所不同。如果公民通信包含公民个人信息内容的,行为人隐匿、毁弃或者非法开拆,特别是毁弃他人信件的行为有可能构成此罪与侵犯公民通信自由罪的想象竞合犯罪,根据想象竞合犯罪的处理原则,从一重罪处罚。

4.与私自开拆、隐匿、毁弃邮件电报罪的界限

私自开拆、隐匿、毁弃邮件、电报罪,是指邮政工作人员利用职务上的便利,私自开拆或者隐匿、毁弃邮件、电报的行为。本罪与私自开拆、隐匿、毁弃邮件电报罪在主体、客观方面、犯罪客体方面均有所不同。如果邮件电报罪涉及公民个人信息内容的,行为人隐匿、毁弃或者非法开拆,特别是毁弃他人邮件电报的行为有可能构成此罪与私自开拆、隐匿、毁弃邮件电报罪的想象竞合犯罪,根据想象竞合犯罪的处理原则,从一重罪处罚。

5.本罪与侵犯秘密类犯罪(为境外窃取、刺探、收买、非法提供国家秘密、情报罪,故意泄露国家秘密罪,非法获取军事秘密罪,为境外窃取、刺探、收买、非法提供军事秘密罪,故意泄露军事秘密罪)的界限

从静态的角度,本罪与上述各类侵犯秘密类犯罪的界线是明显的,关键是如果公民个人信息涉及到国家秘密、情报或军事秘密的情况,此时本罪与上述各类侵犯秘密类犯罪有可能构成想象竞合犯罪,根据想象竞合犯罪的处理原则,从一重罪处罚。

(二)刑事处罚

根据刑法典第253条之一的规定,犯本罪的,处三年以下有期徒刑或者拘役,并处或者单处罚金;单位犯该罪的,对单位判处罚金,并对其直接负责的主管人员和其他直接责任人员,依照上述对有关单位工作人员的规定处罚。

在司法实践中,应根据犯罪人情节的严重程度,合理的确定刑罚。虽然情节严重,将危害后果还不是非常严重,犯罪人也给予了受害人经济赔偿的,一般可以判处罚金;虽然情节严重,也造成了一定程度的严重后果,但情节还不是非常严重的,可以判处拘役;如果情节较为严重,一般应判处有期徒刑,但也应根据具体情节,合理确定有期徒刑的刑期。由于本罪的犯罪人在触犯该罪时一般具有贪利的动机,因此应注意罚金刑的并处运用。另外,由于本罪的侵犯的对象是公民个人信息,具有私密性,一般对受害人精神产生一定程度的伤害,因此,在科处刑法的时,应注意一些非刑罚处理方法,如由于犯罪行为而使得被害人遭受经济损失的,对犯罪分子判处赔偿经济损失,训诫或责令悔过、赔礼道歉等。

结语

出售、非法提供公民个人信息罪等侵犯公民个人信息犯罪的刑法立法化,为公民个人信息权的保护提供了最为有力的最后一道屏障。但是,正是因为刑法本身的最后手段性,所以,为了真正全面、有力和有效地保护公民个人信息权利不受侵犯,必须使刑法和其他有关法律、法规携手配合,共同构成起保护公民个人信息权的坚固防线。但是,我国刑法之外的个人信息保护方面的法律还不很完备,公民个人信息保护法至今还未出台,此种情况下,要在刑法中科学合理地规定该罪,在司法实践中准确理解和认定该罪,就会存在一定的问题。应該大力完善和有效实施刑法之外的公民个人信息保护的法律法规和制度,从某种意义上讲,这是治理侵犯公民个人信息违法犯罪行为的治本之举。

参考文献

[1]参见齐爱民:《拯救信息社会中的人格》,北京大学出版社2009年版,第138页

[2]参见赵秉志、王东阳:《信息时代更应强化人权保障》,载《法制日报》2009年3月4日

[3]参见赵秉志、王东阳:《信息时代更应强化人权保障》,载《法制日报》2009年3月4日

[4]对于本条第2款所规定的非法获取公民个人信息最而言,本条第3款所规定的单位是一般单位主体