缪春华，殷思源

（上海市浦东新区人民检察院，上海 201210）

在大数据时代，包括个人信息在内的数据通过网络、各类社交媒体、应用软件、物联网、电子商务等多种途径在不断的流动、共享，促进着信息产业、共享经济的发展。一方面部分个人信息的使用、公开等权利让渡可以为我们带来很多“红利”，但另一方面个人信息的日益透明化也引发了电信诈骗、绑架、敲诈勒索等下游犯罪活动，不断吞噬着居民的“安全感”。如何既有效预防和打击侵害公民个人信息的犯罪行为，又促进大数据发展和信息化建设，达到安全与发展的平衡，这就需要妥善地认定和把握侵犯公民个人信息罪中的“公民个人信息”，明确该罪保护的对象范围。同时在认定“公民个人信息”时需要判断法益侵害性、社会危险性、目的用途、可识别的程度、信息是否公开等诸多因素，寻求刑事政策加大处罚力度的精神与“有利于”被告人原则之间的平衡。

一、认定“公民个人信息”需确定该罪所保护的法益

公民个人信息具有法益性，该罪所保护的法益附着于公民个人信息，并通过个人信息表达和反映出来。关于该罪所保护的法益，学界观点不尽相同，存在个人法益、超个人法益以及公共信息安全法益三类学说。其中个人法益相对主流，从内容上可归纳为三个角度：一是人格权，如公民的人身权利、人格尊严与个人自由；二是信息权，信息安全与自由、信息自决权；三是隐私权，公民不愿公开或让他人知悉个人秘密的权利。还有些学者观点相对综合，认为该罪侵犯的是双重或多重法益，如信息自由安全权和隐私权、隐私权和公权主体对公民个人信息的保有，以及个人信息安全权、人身财产安全权、隐私权及生活秩序安宁权均属所要保护的法益等。超个人法益方面，认为公民个人信息不仅关系到个人信息安全和生活安宁，而且关系到社会公共利益和国家安全，因此具有超越个人法益的社会法益属性。少数学者在被害人教义学理论框架下论证，该罪侵犯的法益是公共信息安全。还有部分学者认为将本罪法益构建为作为个人法益的信息自决权，或者作为公共法益、不具备实质内涵的信息安全，都不能明确本罪的处罚范围，应当是具备实质权利内涵的集体法益，具体为信息专有权，也就是法定主体对于所占有个人信息的处分权限。笔者认为个人信息兼具个体性和公共性的双重属性，对个人信息的获取与使用之间因可能存在犯罪主体的断层而具有不确定性、不可控性，既可能因为一条行踪信息的非法提供而导致一名被害人被杀害，也可能因为非法入侵网站获取巨额数量的个人信息进行贩卖，规模之大、人数之多已经影响到公共的信息安全，因此该罪保护的法益也兼具个人法益与公共法益，二者之间既可能是并列，也可能是选择关系。涉及侵犯公民个人信息的案件中，信息安全与自由是必然被侵犯的，但在判断是否构罪时并无太多实质帮助，从当前形势看，设立该罪的目的更加侧重打击因信息泄露引发的电信诈骗、敲诈勒索、绑架和非法讨债等社会危害性严重的下游犯罪。因此在司法实践中应当以人身财产、隐私及生活安宁被严重侵害作为法益保护的重要方面，在判断是否属于“公民个人信息”时，结合涉案信息进行法益侵害性的实质判断。

二、关于“解释”中公民个人信息的理解和适用

最高人民法院、最高人民检察院联合发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第一条规定：“刑法第二百五十三条之一规定的‘公民个人信息’，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”该解释通过概括加列举的方式为公民个人信息的认定提供了指引，确定为身份识别标准和活动情况标准，其中身份识别又分为“单独识别”和“结合识别”两种情况。但身份识别本身是一项较为含混的标准，并不精确。对“身份”究竟是何种意义上的身份，“识别”究竟是对谁而言的识别等具体操作性问题也莫衷一是。笔者认为在司法实践中可做如下考量：

（一）身份识别标准的实质在于明确的目标指向性

信息泄露的危害在于获取信息者能够通过信息锁定特定的个人，并通过信息反映的特定个人的具体情况，进而有针对性的侵害行为甚至犯罪行为。因此，身份识别标准的用途和最终目的在于能够锁定到特定具体的个人，具有较强的目标指向性，才能进而产生法益侵害的可能性。如嫌疑人利用黑客手段侵入某金融投资类公司网站服务器获取注册用户的手机号，出卖给他人进行电话推广牟利，手机号数量多达三十万条，虽然手机号不能识别身份，但是可以指向每一个具体的个人，针对的对象是明确而具体的，也能够反映手机号持有人系具有购买股票期货贵金属活动或意向的特定目标群体，从法益侵害的角度来说也严重侵犯了众多公民的生活安宁。因此，该案的手机号虽不能满足身份识别的形式标准，但是达到了实质目的，所以不应拘泥于“身份”进行判断。此外，现如今手机号背后常常绑定各类银行卡号、微信账号、支付宝账号、打车软件等内容，对于每个公民来说已经远远超出一个手机号的功能价值，与公民的人身财产安全密不可分。只要提供给网络上信息贩卖者一个手机号，往往就能轻易获得照片、身份证号码、户籍所在住址、所属派出所、出行轨迹等诸多身份信息。

（二）识别具有相对性

对于不同的犯罪主体来说，因识别能力的差异、已掌握的信息程度及识别技术、手段的不同，面对同一条信息，识别的程度和结果也尽不同。比如普通人用人眼无法识别特定自然人的内容，对于熟练掌握计算机、大数据的技术人员而言识别就成为可能；再如对于熟悉或认识的人而言，本身已经掌握了部分信息，可能只需要提供工作单位、家庭住址，甚至一听声音就可以识别出特定自然人，进而掌握其行踪。因此，身份识别的可能性和识别程度因人而异、因技术应用而产生不同的结果，具有一定的相对性。因此，在判断的时候因结合识别主体的识别能力、技术手段等进行综合全面判断才能防止偏差，得出准确、合理的结果。

（三）判断信息类型应保持刑法的谦抑性

《解释》根据信息的敏感重要程度将信息类型划分为高度敏感、敏感和普通信息三类，并设置了不同的入罪标准，判定信息类型因直接关系到罪与非罪、量刑幅度的不同而变得非常关键。特别是高度敏感信息中，《解释》仅列举了行踪轨迹、通信内容、征信信息、财产信息四种情况，无兜底条款，因与人身财产安全直接相关，入罪标准极低，50条即入罪，故对此类信息应当严格把握。比如车辆信息具有财产属性，但是实践中并非均认定为财产信息。如案例一，被告人盛某为了推销提供贷款中介服务，通过购买巴豆充值的方式在酷我资料网上下载车辆信息共计五万余条，法院不认定为财产信息；①详见（2017）渝05刑终1003号刑事判决书。再如案例二，被告人钟某加入买卖公民个人车辆信息的微信群向他人购买车辆信息，又在微信中加价倒卖牟利，法院认定为财产信息。②详见（2017）鄂0506刑初153号刑事判决书。综合分析两起案件的判决书，可以看出法院认定财产信息时考虑以下两大因素：一是判断行为人的主观目的和使用范围，若是用于合法经营则倾向于不认定，若是非法目的则倾向于认定。案例一仅为了推销提供贷款，而案例二是为了牟利，为了在车辆交易中获得信息优势地位，掌握车辆交易议价权。也有学者以将购买车辆信息用于电话推广车险为例，从主客观相一致的角度来论述，前者并非用于实施针对人身或者财产的侵害行为，而倾向于不认定为财产信息。二是判断信息中是否含有影响财产价值认定的实质因素，若有则倾向于认定。案例一的车辆信息中只有车辆品牌、车辆号码、车身颜色、车主姓名、联系方式、住所地址，不含有车辆型号、排量、购买价格、行驶公里、维修情况等可以对车辆进行估价的内容。案例二的车辆信息中含有车辆抵押记录、车辆变更记录、车辆品牌型号等登记信息，不仅可以对车辆估价，还可以掌握车辆有无抵押、违章，从而在车辆交易中获得信息优势，掌握车辆交易议价权，影响交易价值的认定，而这些信息相对案例一来说更敏感、更关乎公民切身利益。因此，在判定信息类型的时候，应保持刑法的谦抑性，防止过于扩大打击面。

三、公民个人信息范畴认定的争议问题

实践中，嫌疑人会辩称其信息可以通过网络等公开渠道检索获得以表明其行为的合法性，那么公开的个人信息是否属于侵犯公民个人信息罪所保护的范畴，司法实践中也存在一定争议。

从《解释》的规定看，认定属于公民个人信息的核心在于能否识别特定自然人的身份或反映特定自然人的活动，而非隐私性，未延续2013年《关于依法惩处侵害公民个人信息犯罪活动的通知》中关于公民个人信息包括涉及公民隐私的信息及数据资料的规定，学术界也认为个人信息不完全等同、不限于个人隐私，二者之间可能呈现交叉关系。因此，《解释》所保护的公民个人信息，并不排斥公开的个人信息，信息的“公开”本身，并非否认信息属于公民个人信息的当然事由。那么，在判断公开信息是否属于侵犯公民个人信息罪中的公民个人信息范畴，笔者认为需要从以下方面予以认定：

第一，需查明信息公开的原因，是依法公开还是违法公开，这是认定的关键。对于依法公开的个人信息，参照《征信业管理条例》的精神，“依照法律、行政法规规定公开的信息”，可以直接收集而无需取得信息提供方的同意。也就意味着任何人都可能或有权利获取，此时的获取或者提供不会违反国家规定，相关行为也就不可能有非法性。因此，对于网络等公开渠道获得的信息若是依法应当公开的，后续的出售、交换等行为也不具有违法性，那么在计算信息条数时应当对该部分予以去除。

第二，判断公开的信息是信息主体自愿主动公开还是非自愿被动公开的。对于信息主体自愿主动公开的，有学者认为经整理后向他人提供的，可以推定为被收集者存在概括故意，无需取得被收集者同意而不构罪。原因在于构成该罪的前提是“违反国家有关规定”，而公开公民个人信息获取后出售或者提供的行为，是否需要权利人“二次授权”，目前缺乏明确规定。同时考虑到涉嫌出售、提供公开公民个人信息案件侦办难度相对较小，若以此为打击重点，会造成对未公开信息案件刑事保护不力。此外，自愿公开实际上属于对信息自由安全权的一种让渡和放弃，对责任与后果也应当具有一定预见性。对于非自愿被动公开的，如网站未经被收集者同意而公开发布公民个人信息，公民从网站上获取的行为系合法，但是后续的出售、提供行为因违背权利人意愿，造成法益的侵犯而可以适用该罪。

司法实践中，行为人从QQ群上购买、交换企业法人信息的案例并不少见，但是判决结果不一。如重庆市第五中级人民法院（2017）渝05刑终1090号判决书，因法定代表人（包括公司名称、住所地、法定代表人姓名及手机号码）信息可以通过互联网查询而予以排除。也有江苏省南京市中级人民法院（2017）苏01刑终228号判决书中写道，企业工商登记信息中涉及的公民个人信息属于法律保护范畴，且因未通过正当途径而是QQ群购买交换的非法途径获得而认定构罪。上海市静安区人民法院（2017）沪0106刑初960号、重庆市第二中级人民法院（2017）渝02刑终269号刑事裁定书均以信息中含有法定代表人手机号码或身份证号而认定属于公民个人信息范畴。众所周知，企业法人信息系法定公示内容，可通过国家工商总局的国家企业信用信息公示系统中查询，因此，依法公开的企业法人信息不应当认定为公民个人信息。法定代表人手机号因具有一定私人属性而在认定是否为公民个人信息存在分歧。笔者认为法定代表人手机号可以在企业年度报告中查到，而且公示何人的电话企业本身可以选择，并没有违反被收集者意愿，是信息主体自愿主动公开的，因此对于此类法定且自愿公示的内容，根据有利于被告人原则予以排除更为合理。但若信息中含有身份证号码等证件内容，因属于非公示项，故属于该罪保护的公民个人信息范畴，实践中应当予以仔细甄别。

四、公民个人信息认定中仍需解决的问题

《解释》第三条第二款规定：未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。这一规定体现了大数据时代下为信息的流通、企业的运作、数据的开发交易预留了一个合理使用的出口和余地，即匿名化处理。《网络安全法》第四十二条第一款也有相近的规定。但是现如今，随着信息技术的飞速发展，任何的信息片段与足够的外部信息关联比对后，均有可能重新辨识个人。如果脱敏不完整、不全面，数据融合在一起的时候就存在识别个人身份的可能。那么认定“无法识别特定个人且不能复原”时，为防止信息被再识别，则需要确定相应的技术标准和行业标准，（阿里数据安全高级专家张金提出了如差分隐私、同态加密、零知识证明等方案），在司法实践中需对照标准进行参照考量，并对“匿名化”后对公民造成的风险和负面影响进行评估，也要注意“匿名化”也具有相对性，需结合信息接收主体、识别技术水平等方面，将其放置于具体应用场景中予以综合判断。

五、如何认定公民个人信息

综上，笔者认为认定公民个人信息需要考虑如下几个方面：

1. 从信息属性予以考量。公民个人信息除了具有可识别性、关联性，笔者认为其还具有唯一性、真实性、法益性。把握身份识别的实质在于明确的目标指向，并将信息进行去重去错，考量其附着的法益对人身财产、隐私和生活安宁方面侵害的程度和可能性，对关乎切身利益的应当予以优先、重点保护。

2. 个人信息的用途。美国数据库技术专家杰克·奥尔森所言，信息的价值在于它的用途而并不取决于其本身。因此，在判断是否属于公民个人信息以及属于何种信息类型时，除了信息本身属性外，应结合信息的用途，对其社会危险性、法益侵害性进行实质判断，防止打击面过宽。

3. 信息控制者的识别能力。个人信息被识别的程度因人、因时、因势而不同，匿名化处理也是如此。在判定时需要查明和结合以上条件，实现精准、合理打击。

4. 公民个人信息的排除。以下几种类型不属于公民个人信息范围：一是依法公开的个人信息，如公开的企业法人信息、救助扶贫信息、奖励信息；二是为维护公共安全、保护公共利益而公开的个人信息，比如对被判定有罪的重大犯罪分子、失信人员身份信息的进行公开，以保证社会公众的知情权；三是未严重侵犯法益的，如近亲属之间相互单纯披露的公民个人信息。

5. 认定公民个人信息需把握的原则。刑法是我国法律体系的最后一道防线，在认定“公民个人信息”时需要牢牢把握住刑法的谦抑性原则，严格认定标准，可以在民法、行政法等其他部门法的范围内调整的，不纳入刑法调整范围，防止不当扩大公民个人信息的范畴，导致泛刑化的产生。此外，还应寻求刑事政策加大处罚力度精神与“有利于”被告人原则的平衡。如若出现无法明确信息来源、数量，无法判断信息类型，无法确定信息是否应当排除时均可适用。