完善刑法对公民个人信息的保护——评《刑法修正案（九）》（草案）第十六条

随鲁辉

（华东政法大学，上海200063）

【执法研究】

完善刑法对公民个人信息的保护
——评《刑法修正案（九）》（草案）第十六条

随鲁辉

（华东政法大学，上海200063）

《刑法修正案（九）》（草案）第十六条主要从犯罪主体、犯罪的客观方面以及法定刑的设置三方面对现行《刑法》第二百五十三条之一规定的出售、非法提供公民个人信息罪和非法获取公民个人信息罪进行了修改，这些修改的总体趋势是扩大两罪名所涵盖的打击范围，在一定程度上代表了国家对公民个人信息保护力度的增强，值得肯定。但前置法的缺失往往会造成刑法罪名认定的困难，因此为了更好地保护公民个人信息，我们国家亟需制定并颁布一部完整的《公民个人信息保护法》。

公民个人信息；犯罪主体；客观方面；法定刑

随着我国社会信息化进程不断深入，公民的个人信息在当今社会中的价值和作用变得愈发突显。科学技术的发展与传播技术的普及使得公民个人信息的大规模采集与传播变得更加便捷，这同时也导致了公民个人信息被恶意使用、非法泄露、非法窃取及篡改等风险的提升。在信息化的大背景下，任何一条信息的价值都是无法估计的，一些利欲熏心的人寻求通过获取公民的个人信息来谋取不正当的利益，据人民网估计，在2011年中，因网络犯罪侵犯公民个人信息导致的损失近2800亿元。[1]然而危害远非于此，由于目前我国侵犯公民个人信息犯罪愈演愈烈，还导致大量下游犯罪的发生，进一步严重威胁到了人们的人身安全和财产安全。

在这种情况下，2009年2月28日全国人大常委会通过的《刑法修正案（七）》中增加了两个罪名：出售、非法提供公民个人信息罪和非法获取公民个人信息罪，通过这两个罪名对侵犯公民个人信息的行为进行了规制。这是我国首次以刑事手段维护公民个人信息安全的立法尝试，不但体现了我国政府顺应民众要求保护个人信息的呼声，也体现了刑法贴近民生的价值取向，这在司法进程上具有里程碑式的意义。然而，《刑法修正案（七）》增设的两个罪名毕竟是对公民个人信息刑法保护的立法尝试，在肯定这种尝试所代表的立法价值取向的同时，对一种新的违法行为犯罪化的首次条文规定必定会因经验欠缺等原因而存在一定的问题。例如，《刑法修正案（七）》第七条第一款仅仅把履行职责与提供服务中获取的公民个人信息的特殊主体规定为犯罪主体，排除了一般主体，这样的规定有失合理性；第七条第一款罪状的描述中“等”的内涵无法确定；第七条第二款中“上述信息”的含义模糊不清等等。正是由于这些缺陷的存在，使得该两条罪名在具体的司法适用的过程中存在一定的问题。在这种情况下，2014年年底全国人大法工委公布的《刑法修正案（九）》（草案）（以下简称《草案》）第十六条拟再次对出售、非法提供公民个人信息罪和非法获取公民个人信息罪两罪名进行修改。笔者认为，该《草案》对原罪名的主体、客观要件以及法定刑设置的修正代表了国家对公民个人信息保护力度的加强，具有一定的合理性，但是仍然存在一些需要进一步完善的地方。

一、关于犯罪主体的修正及评析

刑法第二百五十三条之一第一款规定了出售、非法提供公民个人信息罪的主体为“国际机关或者金融、电信、交通、教育、医疗等单位的工作人员”，这样的规定其实并没有讲清楚该罪名的犯罪主体是一般主体还是特殊主体，因为我们并无法判断“等”字所涵盖的范围，其到底是“等内”还是“等外”众说纷纭。有的学者认为，单纯用“等”列举的主体通常具有一定的共同性，主体范围是封闭的，不包括性质不同的其他单位的工作人员。而且从刑法谦抑性，司法适用的统一与稳定上来看，也不易对犯罪主体的理解超出统一性质的单位。[2]因此出售、非法提供公民个人信息罪的犯罪主体只能是特殊主体。但是也有学者认为，目前侵犯公民个人信息的犯罪态势较为严重，从打击犯罪的角度出发，可以把“等”理解为“等外”，做适当的扩大解释。[3]如果这么理解的话，出售、非法提供公民个人信息罪的犯罪主体应当扩大为一般主体。对法条中任何字眼的理解务必准确，否则将影响罪名的认定，进而影响公民的合法权利。立法者在立法的过程中也应当尽量避免使用这种模棱两可的字眼。

《草案》第十六条对该问题进行了回应，直接删除了现有条文第一款中的“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”字样，同时增加了一条作为第三款即“未经公民本人同意，向他人出售或者非法提供个人信息，情节严重的，处二年以下有期徒刑或者拘役，并处或者单处罚金”。笔者认为，《草案》通过这样的修改明确规定了出售、非法提供公民个人信息罪的主体既包括特殊主体，也包括一般主体。

应当看到，现有法条中规定的“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”较其他社会人员能够更容易、方便的得到公民个人信息，因此这样的人实施出售或者非法提供公民信息的行为的可能性更大。同时，由于这样一群人特殊的主体身份要求他们必须恪守职业操守，对获取的公民个人信息负有保密的义务，因此对他们进行严格的法律约束是非常有必要的。但是，随着社会的不断发展，各种新型产业纷纷出现，而这些新型产业往往在刚开始的时候具有非常强大的吸收公民个人信息的能力，以互联网金融这一新型产业为例，在不到一年的时间内，其用户数量已经达到了8100万，而这些用户往往都是通过实名认证的方式参与到互联网金融产业当中，可以说这些涉及互联网金融业务的公司都掌握着大量的公民个人信息，一旦这些公司实施了出售或者非法提供公民信息的行为，其产生的社会危害性将是巨大的。除了涉及互联网金融业务的公司外，快递公司、美容公司、民航公司等等同样掌握着大量的公民个人信息，刑法必须对其予以规制，这也是《草案》第十六条将现今法条中“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”的内容删去的原因。

还有一点需要说明的是，在今天这样一个信息化时代里，计算机和网络技术已经进入到了千家万户，给人们的生活带来便利的同时也让公民的个人信息更多的公布在了互联网上。由于我们国家对互联网信息管控方面的法律还并不完备，个人信息的收集变得越来越简单，现今流行的“人肉搜索”就是通过网络收集个人信息的一种方式。对于那些持有公民个人信息的其他人员恶意出售，甚至采取窃取、收买等方法非法获取公民个人信息的行为，如果没有刑事责任跟进，个人信息买卖产业就可能被迅速催生。[4]因此，在刑事立法中对一般主体实施的严重侵犯公民个人信息的行为也需要予以规制，这就是《草案》第十六条增加了“未经公民本人同意，向他人出售或者非法提供个人信息，情节严重的，处二年以下有期徒刑或者拘役，并处或者单处罚金”这一条款的原因。

二、关于犯罪客观方面的修正及评析

《草案》第十六条对犯罪客观方面的修改并不是很多，基本保留了现有法条的相关规定，但是有两个变动的地方值得引起我们的关注。第一个变动为《草案》第十六条将现今第二百五十三条之一第一款中的“……获得的公民个人信息，出售或非法提供给他人……”修改为“……获得的公民个人信息，出售或提供给他人……”，删除了“非法”两字；第二个变动为《草案》第十六条将第二百五十三条之一第二款中的“……其他方法非法获取上述信息，情节严重的……”修改为“……其他方法非法获取公民个人信息，情节严重的……”，将“上述信息”修改为了“公民个人信息”。

对于第一个变动，简单的删除“非法”两字到底代表了立法者何种意图呢？应当看到，不管是现今的刑法法条还是《草案》第十六条的修正，都为出售、非法提供公民个人信息罪设置了一个“违反国家规定”的前提条件。这一前置性条件与“非法”应该是一种什么样的关系呢？换句话说，“非法”在该罪名的罪状中有没有独立存在的价值。张明楷教授认为，非法提供是指使公民个人信息让他人可能知悉的一切行为。法条在“提供给他人”之前添加“非法”二字，旨在提示可能存在违法阻却事由。例如，向司法机关提供公民个人信息以便查处犯罪，就属于违法阻却事由。[5]笔者对张教授的观点不能苟同，张教授以三阶层的构成要件为理论基础，将“非法”二字作为犯罪构成之外的违法阻却事由来看待，言外之意是认为存在一种可能，即行为人违法国家的规定，将公民的个人信息提供给了他人，行为方式完全符合非法提供公民个人信息罪的犯罪构成，但是这种提供却是“合法”的，从而不符合“非法”的要素而成立违法阻却事由阻却犯罪。张教授举的例子是向司法机关提供公民个人信息以便查处犯罪，但是在这种情况下掌握公民个人信息的工作人员向司法机关提供信息是法律所允许的，也就是说这样的提供行为并未满足本罪前置性要件“违反国家规定”，从这个角度来看，张教授所举此例似乎并不妥当。

对于本罪前置性要件“违反国家规定”，《刑法》第九十六条有过明确的解释，即本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。何为“非法”二字，并未有法律明确规定，理论界也存在不同是说法，有的学者认为“非法”一般是指没有法律根据；[6]也有学者认为非法应当理解为“违反法律法规的禁止性规定”。[7]笔者更同意第二种说法，即非法指违反法律法规的禁止性规定，原因有两个：其一，在此讨论的“非法”，是指被刑法所评价的行为，已经上升到了最为严重的刑事责任问题上了，如果公民实施了一些没有法律依据的行为就被刑法评价为“非法”，进而有可能承担刑事责任的风险，这样我国刑法的打击面未免过大，与保护公民基本人权的时代思潮极其不符。其二，刑法中有近60个罪名使用的“非法”二字，在其他罪名中，“非法”均代表着违反法律法规禁止性的规定，比较典型有非法持有毒品罪，此处的非法就是违反了我国《中华人民共和国药品管理法》、《麻醉药品管理法》和《精神药品管理法》中禁止任何人非法持有使用的规定；非法出租、出借枪支罪，此处的“非法”是指违反《枪支管理法》禁止任何单位和个人持有、制造、出租、出借枪支的规定等等。基于这样的理由，“非法”理应理解为“违反法律法规的禁止性规定”。由此可见，“非法”二字与前置性条件“违反国家规定”具有相当的含义，现今法条当中，非法提供公民个人信息罪在满足违反国家规定这一前置性条件的情况下，只要其实施了提供行为，都已经属于了“非法”的范畴，同一犯罪构成要件要素在罪状中先后规定了两次未免多余，因此《草案》第十六条将“非法”二字删除，节约了立法和司法成本。

在此，笔者需要说明一点，我国目前并没有一部专门的个人信息保护法，相关涉及公民个人信息保护的法律散见于包括《民法》、《行政法》、《未成年人保护法》、《妇女儿童保障法》、《身份证法》、《商业银行法》等多个法律法规之中，这些法律法规之间缺乏统一的体系与规划，有些公民的个人信息还存在着立法保护缺失的局面，在这种局面下极易造成罪名认定的困难，也恰恰是这个原因使得有些学者将现今法条中的“非法”理解为没有法律依据。本次《草案》第十六条删除了“非法”二字，实际上是规范了刑事立法，同时也对非法提供公民个人信息罪前置法的出台形成了一个“倒逼”机制，推动立法机关尽快制定和出台专门的个人信息保护法。

对于第二个变动，《草案》第十六条将现今条文中第二款的“上述信息”修改为“公民个人信息”，笔者认为这样的修改适当地扩大了条文第二款犯罪对象的范围，解决了处罚真空的问题。在现今条文中，针对“上述信息”的规定，根据条文结构和文意的理解，第二款的上述信息很明显指代的是第一款中的“国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务过程中获取的公民个人信息”。如果是这样的话，第二款的非法获取公民信息罪将留下非常大的处罚真空，现实生活中，绝大多数行为人都是通过网络手段从网络中非法获取大量的公民个人信息，这样的信息往往公布于网络，并不属于国家机关或者相关单位掌握的信息，很难被解释到非法获取公民信息罪当中，刑法也无法对其进行规制，然而这样的行为往往具有普遍性、易发性及严重的社会危害性，刑法对这种行为的放纵显然违背了立法原意。本次《草案》第十六条及时地发现了这个问题，将第二款非法获取公民信息罪的犯罪对象扩大成了“公民个人信息”，增加了该罪名打击面的同时，也代表了立法者对公民个人信息保护力度的增强。

三、关于犯罪法定刑的设置及评析

贝卡利亚在其《论犯罪与刑罚》一书中提到，对于对公共权益危害性不同的犯罪，应当有与之对应的刑罚阶梯。[8]这就要求立法者应当对具有不同社会危害性的行为设置不同层级的法定刑，且总体的法定刑应当根据行为危害程度呈现一种阶梯状。我们发现，不管是现今法条还是《草案》第十六条的修改，对于第一款和第二款都配置的完全相同的法定刑。笔者认为这样的设置有失妥当。应当看到，第一款的出售、非法提供公民个人信息罪的犯罪主体为特殊主体，尽管《草案》第十六条将这一特殊主体泛化，但本罪重点打击的对象还应当是处于源头的国家机关和服务行业工作人员，这些特殊的人员因职务的原因能轻而易举的接触到大量的公民个人信息，理应在公民个人信息的保护上承担更高的义务，相应的如果这类人违法国家规定，实施了出售或者非法提供公民个人信息的行为，理所当然的应当承担更重的刑罚责难。因此，笔者认为相对于由一般主体即可实施的非法获取公民个人信息罪而言，只能由特殊主体利用职务便利实施的出售或者非法提供公民个人信息的行为应当从重处罚，配置更高一级的法定刑。这是《草案》第十六条的修改有失妥当的地方。

另一方面，为了区分出售、非法提供公民个人信息罪一般主体和特殊主体的区别，《草案》第十六条单独增加了第三款的内容，即“未经公民个人同意，向他人出售或者非法提供其个人信息，情节严重的，处二年以下有期徒刑或者拘役，并处或者单处罚金”，同样是出售或者非法提供的行为，但因其与第一款主体的不同而配置了不同的法定刑，我们也能看出立法者对特殊主体从重处罚的意图。但是笔者在上文中已经提到，本条第一款法定刑的设置似乎有畸轻之嫌，那么根据第一款而设置的第三款的法定刑在笔者看来也是较轻的。

笔者认为，《草案》第十六条第三款罪名法定刑的确定可以比照第二款来设置，两罪的主体都是一般主体，行为方式上一个是窃取或者以其他方法非法获取公民个人信息，一个是向他人出售或者非法提供公民个人信息，两罪在行为方式上相似，在社会危害性上相当，可以配置相同的法定刑。

四、结语

在全面进入信息化的现今社会，加强对公民个人信息的保护已经成为了世界各国的普遍共识。2009年《刑法修正案》（七）增设的出售、非法提供公民个人信息罪和非法获取公民个人信息罪拉开了我国刑法保护公民个人信息的序幕。然而两罪名在近几年的司法认定上却存在着一定的问题，引起了学界学者们的较多争论，在这种情况下，才有了《草案》第十六条的形成。

通过笔者上文中的分析，《草案》第十六条拟从犯罪主体、客观方面以及法定刑的设置三个方面对两罪名进行适当的修改。我们看到，不管是删除部分罪状还是增设一般主体实施犯罪的条款，总体趋势是扩大两罪名所涵盖的打击范围，在一定程度上代表了国家对公民个人信息保护力度的增强，值得肯定。但是，刑法毕竟是保障公民权利的最后一道屏障，在立法层面上理应坚守着谦抑性的原则，在这种情况下，任何犯罪行为必须以违反前置的法律法规为前提，这一二次违法性原则在认定像侵犯公民个人信息罪等法定犯的时候显得尤为的重要。换言之，法定犯的行政违法性是其刑事违法性的前提，如果侵犯公民个人信息的行为并没有违反相应的法律法规，也就不能构成相应的犯罪。

很遗憾，我们国家至今还没有一部完整、系统的《公民个人信息保护法》，在前置法缺失的情况下将会造成刑法罪名认定上的诸多问题，正如有学者讲的，刑事责任引入后，必然会从刑事责任掉过头来逼迫前面需要明确行政责任的环节，这就要求健全前端的实体法，否则刑法的这些规定也很难落到。[9]因此，笔者认为为了将刑法增设和修改的出售、非法提供公民个人信息罪和非法获取公民个人信息罪落到实处，当务之急是制定并颁布一部完整的《公民个人信息保护法》，以期更好地保护公民个人信息。

[1]李春红.网络犯罪直接经济损失达2890亿元[N].深圳特区报,2012-09-13:A8.

[2]魏振英.民法[M].北京:北京大学出版社,高等教育出版社,2000:662.

[3]赵秉志,王东阳.信息时代更应该强化人权保障《刑法修正案（七）》第七条解读[N].法制日报,2009-03-04:12.

[4][9]刘宪权,方晋晔.个人信息权刑法保护的立法及完善[J].华东政法大学学报,2009,(3).

[5]张明楷.刑法学[M].北京:法律出版社,2011:825.

[6]赵秉志.刑法修正案最新理解适用[M].北京:中国法制出版社,2009:122.

[7]王昭武,肖凯.侵犯公民个人信息犯罪认定中的若干问题[J].法学,2009,(12).

[8][意]贝卡利亚.论犯罪与刑罚[M].黄风,译.北京:中国方正出版社,2004:17.

［编辑：张钦］

D924

A

1672-6405（2015）03-0043-04

随鲁辉（1991-），男，山东鱼台人，华东政法大学2013级刑法学专业硕士研究生。。

2015-06-27