編者按
為全面提升法官的司法能力和案件的裁判品質(zhì)，進一步促進類案價值取向和適法統(tǒng)一，實現(xiàn)司法公正，上海一中院探索類案裁判方法總結(jié)工作機制，通過對各類案件中普遍性、趨勢性的問題進行總結(jié)，將法官的優(yōu)秀審判經(jīng)驗和裁判方法進行提煉，形成類案裁判的標準和方法。
本期刊發(fā)《涉公民個人信息類刑事案件的審理思路和裁判要點》，推薦閱讀時間19分鐘。
陳兵
CHENBING
刑事審判庭
普通犯罪（快審）
審判團隊審判長
三級高級法官
法學碩士
近年來，隨著信息網(wǎng)絡技術(shù)的不斷進步和大數(shù)據(jù)產(chǎn)業(yè)的蓬勃發(fā)展，涉及公民個人信息的違法犯罪活動日益高發(fā)。
涉公民個人信息類刑事案件是指，與公民個人信息的收集、存儲、使用、傳輸、刪除等相關(guān)的犯罪活動。此類案件涉及公民個人信息黑灰產(chǎn)業(yè)鏈的諸多環(huán)節(jié)，與傳統(tǒng)刑事案件相比，呈現(xiàn)行為類型多樣化、隱蔽化，信息形態(tài)變異化、雜糅化，行為目的擴張化等新特征，司法實踐中存在諸多爭議。為準確適用法律，實現(xiàn)罪刑均衡，彰顯司法權(quán)威，現(xiàn)結(jié)合典型案例，對涉公民個人信息類刑事案件的審理思路和裁判要點進行梳理、提煉和總結(jié)。
目錄
01
典型案例
02
涉公民個人信息類刑事案件的審理難點
03
涉公民個人信息類刑事案件的審理思路和裁判要點
04
其他需要說明的問題
PART 01
典型案例
案例一：涉及信息類別認定
被告人王某利用其使用的公鑰基礎(chǔ)設(shè)施（PKI）開通了交通管理綜合運用平臺查詢權(quán)限，并使用某即時通訊軟件將查詢到的車輛信息拍照出售，共計1100余條。審理中，控辯雙方對于車輛信息屬于一般信息還是財產(chǎn)信息產(chǎn)生分歧，法院經(jīng)審理后認定為一般信息。
案例二：涉及涉案信息數(shù)量認定
被告人方某違反公司規(guī)定，制作虛假服務合同，欺騙公司審核通過后，違規(guī)向陳某出售公司信息發(fā)布賬號，供陳某用于下載求職者簡歷。經(jīng)統(tǒng)計，涉案虛假合同中簡歷可下載數(shù)量為52000余條，實際下載數(shù)量為46000余條。審理中，辯護人提出應當以實際下載數(shù)量作為涉案公民個人信息數(shù)量，法院最后以可下載數(shù)量作為定案依據(jù)。
案例三：涉及獲取行為的罪名選擇
被告人廖某通過運行某平臺營銷軟件，將從他人處購買的大量郵箱賬號和密碼輸入該軟件，對登錄系統(tǒng)實施“撞庫”行為，以獲取有效的賬號和密碼。該案起訴罪名為侵犯公民個人信息罪，法院認定廖某構(gòu)成非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。
案例四：涉及關(guān)聯(lián)犯罪的罪數(shù)認定
被告人譚某利用從他人處購買的大量支付平臺賬號注冊線上店鋪，雇傭他人以銷售麻將機作弊器的名義，通過線下交易，誘騙640余人采用線上支付及貨到付款的方式支付貨款，后又不發(fā)貨或發(fā)假貨，共造成69名被害人被騙共計28萬余元。法院對譚某以侵犯公民個人信息罪與詐騙罪數(shù)罪并罰。
案例五：涉及主體身份認定
被告人李某利用擔任交警輔警的工作便利，使用民警數(shù)字證書查詢并對外提供車輛信息，公訴機關(guān)認為其系“將履行職責過程中獲得的公民個人信息出售”，應當從重處罰，但法院未予認定。
PART 02
涉公民個人信息類
刑事案件的審理難點
侵犯公民個人信息罪系涉公民個人信息類刑事案件的核心罪名，相關(guān)案件的審理難點多圍繞該罪產(chǎn)生。
（一）信息類別判斷難
最高法、最高檢《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）根據(jù)對公民人身、財產(chǎn)安全的重要程度，將公民個人信息分為三個層次，具體可稱之為敏感信息、重要信息和一般信息，并規(guī)定了不同的入罪標準。
但司法實踐中，在對具體信息進行歸類時，依然存在諸多疑難與爭議：如敏感信息中的財產(chǎn)信息概念較為寬泛，交易信息、業(yè)主信息、車輛登記信息等均可納入，但前述信息在與公民人身、財產(chǎn)安全關(guān)聯(lián)程度上又難以與同屬敏感信息的行蹤軌跡、通信內(nèi)容、征信信息相等同，如何歸類存在分歧；又如較為常見的小區(qū)業(yè)主信息，除被認定為敏感信息及一般信息外，還有觀點認為屬于重要信息。
（二）信息數(shù)量認定分歧大
信息網(wǎng)絡社會中，涉案公民個人信息往往數(shù)量龐大，相關(guān)交易大多通過郵件、網(wǎng)盤等線上方式進行，經(jīng)常出現(xiàn)交易雙方達成協(xié)議后，賣家已經(jīng)將全部信息交付，而買家僅下載部分信息的情形。此時，在確定作為定案依據(jù)的公民個人信息數(shù)量時，以交付數(shù)量還是以實際下載數(shù)量為起算基準，對被告人的刑罰裁量有著直接影響，有時甚至會涉及罪與非罪，實踐中對此亦有不同理解。
（三）獲取行為罪名選擇難
大數(shù)據(jù)時代，公民個人信息絕大部分都是以電子數(shù)據(jù)的方式儲存于計算機信息系統(tǒng)中。而根據(jù)《刑法》第285條第2款，違反國家規(guī)定，侵入計算機信息系統(tǒng)或者采用其他技術(shù)手段，獲取計算機信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)，情節(jié)嚴重的，構(gòu)成非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。因此，當行為人非法獲取儲存于計算機信息系統(tǒng)中的公民個人信息時，其行為將同時涉嫌侵犯公民個人信息罪與非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。此時，如何選擇罪名，存在一定爭議。
（四）關(guān)聯(lián)犯罪罪數(shù)判斷難
司法實踐中，行為人先非法獲取公民個人信息，再使用獲取的相關(guān)信息從事其他違法犯罪活動的情況較為常見。該類案件中，當涉案的公民個人信息數(shù)量與下游關(guān)聯(lián)犯罪受害者數(shù)量差異巨大時，獲取行為與下游犯罪活動的關(guān)系與傳統(tǒng)刑法牽連犯理論中的手段與目的行為并不完全相同，此時，應從一重罪論處，還是數(shù)罪并罰，觀點分歧較大。
（五）適用特殊身份犯有爭議
《刑法》第253條之一第2款規(guī)定，“違反國家有關(guān)規(guī)定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰”，確定了“特殊身份犯從重處罰原則”，對于該款表述中的“履行職責或者提供服務過程中獲得”如何進行具體理解與適用，實務中存在不同意見，導致量刑差異。
PART 03
涉公民個人信息類
刑事案件的審理思路和裁判要點
審理侵犯公民個人信息類案件時，首先應當明確涉案公民個人信息的類型及數(shù)量；其次應當查明相關(guān)行為模式，準確判斷罪數(shù)；最后應當確認行為人身份及其他量刑情節(jié)，合理確定刑罰。
（一）公民個人信息歸類的總體思路
審理具體案件時，可根據(jù)涉案公民個人信息的內(nèi)容構(gòu)成及指向性特征等，緊扣《解釋》規(guī)定，結(jié)合立法意旨，準確進行歸類：
（1）敏感信息的主要內(nèi)容為行蹤軌跡、通信內(nèi)容、征信和財產(chǎn)狀況四類。
其中，行蹤軌跡、通信內(nèi)容、征信信息較為明確，對于財產(chǎn)狀況的判斷需緊扣與特定公民緊密關(guān)聯(lián)，直接涉及人身安全和財產(chǎn)安全，被非法獲取、出售或者提供后，可直接用于綁架、詐騙、敲詐勒索等關(guān)聯(lián)犯罪，重要性與敏感度極高。
（2）重要信息則涉及住宿、健康生理、交易情況、通信記錄及其他信息內(nèi)容可能影響人身、財產(chǎn)安全的。
其特征為與公民人身安全和財產(chǎn)安全直接相關(guān)，但在重要程度上弱于敏感信息，經(jīng)過加工、分析后，可被用于“精準”詐騙等違法犯罪活動等。
（3）一般信息在內(nèi)容上并無特別限制，認定關(guān)鍵在于可識別性，信息內(nèi)容不能識別自然人身份或反映自然人活動情況的，不能認定為《刑法》所保護的公民個人信息。
值得注意的是，2021年頒布施行的《個人信息保護法》規(guī)定，生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡以及不滿十四周歲未成年人等個人信息均屬于敏感信息。該規(guī)定中的“敏感信息”與刑法意義上的敏感信息有所區(qū)別：行蹤軌跡自不待言，金融賬戶亦可歸入財產(chǎn)信息；生物識別、宗教信仰、特定身份、醫(yī)療健康以及不滿十四周歲未成年人等個人信息，在相關(guān)司法解釋修訂前，應當與住宿信息、通信記錄等一樣，屬于重要信息，非法獲取、出售或提供達到500條以上，即構(gòu)成情節(jié)嚴重。
（二）幾類易混淆的公民個人信息之明晰
第一，財產(chǎn)信息與交易信息的區(qū)分
交易信息是指能夠揭示交易雙方、標的及價格等方面的信息，指向的是特定物品的變動狀況，與反映特定公民財產(chǎn)現(xiàn)狀的財產(chǎn)信息存在著明顯區(qū)別。以房產(chǎn)網(wǎng)簽信息為例，其反映的是公民買賣標的房產(chǎn)的相關(guān)細節(jié)，但公民是否實際持有該房產(chǎn)，之后是否又有交易等均無從判斷，顯然應當歸入交易信息。
第二，車輛信息、產(chǎn)調(diào)信息、業(yè)主信息的認定
上述三類個人信息依附于特定財產(chǎn)，屬于“由物到人”，實踐中多以批量形式出現(xiàn)，行為人獲取后多用于推銷業(yè)務等活動，即便存在相關(guān)下游犯罪，也是針對特定物品，難以據(jù)之直接針對特定公民開展違法犯罪活動，原則上不宜認定為財產(chǎn)信息。但如行為人針對特定公民，獲取其名下的車輛、產(chǎn)調(diào)信息等，結(jié)合實際使用情況等，相關(guān)信息依然有被認定為財產(chǎn)信息的可能性。
如案例一中，被告人王某批量查詢車輛信息并出售，購買人的目的則是向車主進行推銷活動，呈現(xiàn)出“由車到人”的軌跡特征。綜合上述情況，應當將該案中的車輛信息認定為一般信息。
第三，不同賬號信息的歸類
賬號大體可分為非實名認證類及實名認證類，非實名認證類賬號包括論壇賬號、部分游戲賬號、手機APP應用賬號等，一般不需要提供身份證號碼及進行人臉識別等實名認證流程，不能實現(xiàn)支付、借貸等金融功能以及進行其他與線下工作生活密切相關(guān)的活動，即便綁定手機號碼，也難以鎖定到具體個人，不宜認定為個人信息；實名認證類賬號是指支付平臺、即時通訊軟件等依附于公民個人身份和信用的賬號，有著嚴格的實名認證要求。與之相適應，公民能夠通過實名認證類賬號進行絕大部分的經(jīng)濟社會活動，與公民的人身和財產(chǎn)安全息息相關(guān)。實名認證類賬號內(nèi)信息內(nèi)容往往有姓名、手機號碼、身份證號、銀行卡信息、征信信息等等，其廣泛性、復雜性決定了實名認證類賬號不能被歸入內(nèi)容被嚴格限定的敏感信息。
但有鑒于該類賬號在公民個人工作與生活中極為重要，一旦失控，無疑會極大影響公民的人身、財產(chǎn)安全，應當歸入其他可能影響公民人身、財產(chǎn)安全的重要信息。
（三）核實涉案公民個人信息數(shù)量
確認涉案公民個人信息類型后，還需統(tǒng)計、核實不同信息的數(shù)量。
原則上，涉案信息為500條以下的敏感信息或重要信息，需逐一審查；涉案信息數(shù)量達到500條以上的，可在嚴格剔除重復信息和無效、錯誤信息后，以抽樣方法鑒真，需確保底線入罪條件的證據(jù)確實、充分；涉案信息數(shù)量達到50000條以上的，則可根據(jù)批量數(shù)據(jù)的推定規(guī)則，以查獲的信息數(shù)量直接以概數(shù)認定，再輔以抽樣核實，必要時可以電子軟件抓取的方法進行，以排除人為因素干擾。需注意的是，非法獲取公民個人信息后又出售或者提供的，不重復計算；向不同單位或者個人分別出售、提供同一公民個人信息的，累計計算。
至于交付量和下載量以何為準，由于刑法規(guī)定侵犯公民個人信息罪保護的是公民的相關(guān)信息權(quán)利及背后的人身、財產(chǎn)安全，行為人只要通過郵件、網(wǎng)盤等方式將公民個人信息進行交付，相關(guān)信息就已經(jīng)處于失控狀態(tài)，權(quán)利已經(jīng)受到侵害，人身、財產(chǎn)安全已經(jīng)受到威脅。并且，根據(jù)主客觀相一致原則，行為人主觀上有出售故意，客觀上交付信息完成交易，即已構(gòu)成犯罪。因此，應以交付量作為起算基準。
如案例二中，涉案虛假合同內(nèi)包含的簡歷數(shù)量為52000余條，實際下載數(shù)量為46000余條，兩者中應該以交易數(shù)量即52000余條作為定案依據(jù)。
（四）準確認定非法獲取公民個人信息行為
非法獲取公民個人信息包括竊取以及以其他方法非法獲取。其中，以其他方法非法獲取公民個人信息主要是指，違反國家有關(guān)規(guī)定，通過購買、收受、交換等方式獲取公民個人信息或者在履行職責、提供服務過程中收集公民個人信息，要求實現(xiàn)對信息的實際控制；“國家有關(guān)規(guī)定”則包括法律、行政法規(guī)、部門規(guī)章等。若行為人主張自己獲取行為合法的，應當提供相關(guān)證明或授權(quán)文件等。
行為人的行為同時涉嫌侵犯公民個人信息罪與非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪時，可從以下幾方面加以區(qū)分：
一是相關(guān)數(shù)據(jù)或信息的來源，是否確屬計算機信息系統(tǒng)中儲存、運輸、處理的數(shù)據(jù)。如僅僅是通過計算機信息系統(tǒng)對系統(tǒng)外數(shù)據(jù)的真實性、有效性進行驗證等，可排除非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。
二是行為手段。兩罪中的行為違反的國家規(guī)定并不相同，非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪中的國家規(guī)定不包括部門規(guī)章，且對獲取的方式并無限制，而侵犯公民個人信息罪則要求以下載、復制等方式實現(xiàn)對信息的實際控制。
三是法益侵害。涉案賬號密碼若沒有針對個人人身、財產(chǎn)等信息的識別特性，只能實現(xiàn)對相關(guān)計算機信息系統(tǒng)的掌控、使用等，則應當歸入計算機信息系統(tǒng)數(shù)據(jù)的范疇。如電子郵箱、即時通訊的賬號密碼因直接關(guān)聯(lián)到個人，可作為個人信息保護；如計算機信息系統(tǒng)登錄口令、管理員權(quán)限口令，因其法益關(guān)聯(lián)性主要歸于計算機信息系統(tǒng)安全，可作為計算機信息系統(tǒng)數(shù)據(jù)保護。
四是行為目的。由于公民個人信息被非法獲取、出售后被用于違法犯罪的可能，是刑法保護公民個人信息的重要考量，因此還可從行為人獲取相關(guān)信息數(shù)據(jù)目的及實際使用情況進一步進行輔助判斷。如獲取者無意知道信息主體身份，獲取目的在于通過系統(tǒng)認證，而非進行定向詐騙等違法犯罪活動，則應歸屬于計算機信息系統(tǒng)數(shù)據(jù)。
如審查后發(fā)現(xiàn)兩者確實存在競合，例如行為人獲取的是包含實名認證信息的特定計算機信息系統(tǒng)管理員賬號、密碼等，因非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪保護的法益為計算機信息系統(tǒng)的安全穩(wěn)定，而侵犯公民個人信息罪保護的法益為公民的個人信息安全。兩者并非一般法與特別法的關(guān)系，屬于想象競合，應從一重罪論處。無論是從信息數(shù)量還是從違法所得數(shù)額看，非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪的定罪量刑標準均更低，系重罪，應優(yōu)先予以適用。
如案例三中，被告人廖某對某平臺登錄系統(tǒng)實施“撞庫”行為，表面上是侵入計算機信息系統(tǒng)并對數(shù)據(jù)進行處理，但本質(zhì)上并未獲取計算機信息系統(tǒng)中儲存、運輸、處理的數(shù)據(jù)，而是利用登錄系統(tǒng)對廖某自身所持有數(shù)據(jù)的有效性進行甄別，因此，廖某不構(gòu)成非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。有鑒于涉案賬號和密碼具有對公民人身、財產(chǎn)等進行識別的特性，對廖某應以侵犯公民個人信息罪論處。
（五）審查出售、提供、使用公民個人信息等行為
行為人獲取公民個人信息后，往往伴隨著出售、提供、使用等后續(xù)行為。
“非法提供”是指，違反國家有關(guān)規(guī)定，向特定人提供或通過信息網(wǎng)絡等途徑進行發(fā)布，但經(jīng)過處理無法識別特定個人且不能復原的除外。
“出售”廣義上也是一種提供。如有證據(jù)證明行為人出售、提供的公民個人信息又被他人用于違法犯罪活動的，包括出售或者提供行蹤軌跡信息后被他人用于犯罪，以及知道或者應當知道他人利用公民個人信息實施犯罪，仍然向其出售或者提供的，直接以侵犯公民個人信息罪論處。如出售者和提供者與下游犯罪行為人存在意思聯(lián)絡或共同故意的，則構(gòu)成共同犯罪，此種情況屬于想象競合犯，應視下游犯罪的具體罪名，擇一重罪處罰。
行為人非法獲取公民個人信息的主要目的是牟取相應利益，具體方式包括轉(zhuǎn)手牟利、推銷商品等，但也不乏利用獲取的信息進行違法犯罪活動的情況，如撥打詐騙電話、非法集資、敲詐勒索等。對以下游違法犯罪活動為目的而非法獲取公民個人信息的，如兩者均構(gòu)成犯罪，屬于牽連犯，應擇一重罪處罰；但如被用于實施下游犯罪的公民個人信息數(shù)量相對獲取總量占比較低，本著充分評價原則，則應數(shù)罪并罰。
如案例四中，被告人譚某非法獲取大量支付平臺賬號用于注冊線上店鋪，在案證據(jù)顯示，其獲取的信息中僅有一小部分成功實現(xiàn)詐騙。譚某獲取賬號的行為與詐騙結(jié)果并無牽連關(guān)系，以一罪論處不能完整評價譚某行為的社會危害性，依法應予數(shù)罪并罰。
（六）審查行為人是否具有特殊主體身份
《刑法》第253條之一第2款規(guī)定“特殊主體從重處罰”，針對的是履行職責或者提供服務過程中獲得公民個人信息的單位及其工作人員。因上述主體均具有獲取公民個人信息的便利及途徑，應當負有更高的保護公民個人信息不被泄露的責任。具體適用時應重視以下幾個方面：
第一，“職責”分為職務和責任，職務一般來源于指定或委派等，責任則是一種義務，取決于職務的性質(zhì)。因此，要審查行為人的職務特點，并據(jù)此進一步分析其獲取公民個人信息是否基于職務便利。如案例五中，被告人李某職務為輔警，負責輔助民警工作，在工作中一般可以接觸到民警的數(shù)字身份證書。然而輔警并非在編民警，沒有登錄公安系統(tǒng)的身份資格，更沒有接觸乃至于獲取系統(tǒng)中公民個人信息的權(quán)限，即李某提供給他人的并非是在履行職責過程中獲得的公民個人信息，不應從重處罰。
第二，所謂提供服務過程中獲得的公民個人信息，是指在經(jīng)營活動中公民基于獲取服務的需求以及對經(jīng)營者合理妥善保管自己信息的信任，而將個人信息提供給經(jīng)營者。經(jīng)營者對其獲取的公民個人信息負有妥善保管義務并無異議，但相關(guān)保管責任人一旦被調(diào)換崗位或離職，導致其不再具有查詢、獲取或使用在服務中獲取的公民個人信息權(quán)限的，則不再負有前述義務，不適用特殊主體從重處罰原則。
認定提供服務過程中獲得，還需考察行為人獲取公民個人信息的目的是否在于為客戶提供服務，如行為人不具有提供相應服務的資質(zhì)或在案證據(jù)能夠證明其獲取目的不在于提供服務，而是另有所圖，同樣不能認定特殊主體身份。
隨著《數(shù)據(jù)安全法》《個人信息保護法》等前置法的日益完善及信息網(wǎng)絡社會的迅猛發(fā)展，公民個人信息的類型、重要程度及被侵犯方式等勢必會不斷變化，相關(guān)審理思路也需要緊跟法律及司法解釋的修改與更新而及時調(diào)整。
文稿編校：張弘毅、郭磊
值班編輯：汪菲
聯(lián)系客服
