论我国公民个人信息刑法保护现状

刘 轶

(湖南警察学院 治安系，湖南 长沙 410138)



论我国公民个人信息刑法保护现状

刘 轶

(湖南警察学院 治安系，湖南 长沙 410138)

随着大数据时代的到来，我们几乎每天都会接到各种推销和诈骗电话，我们的个人信息为何会泄露？近年来，各种诈骗案件层出不穷，震惊全国的徐玉玉事件，只是揭开了电信诈骗案件的冰山一角，我们在大力讨伐、抨击骗子的同时，更应该深刻思考此次事件的背后原因。公民的信息安全如何维护？我国目前还没有出台一部专门的法律来保护公民的个人信息，窃取、买卖个人信息能够带来巨大的经济利益，导致不法分子铤而走险，最终形成一条窃取、买卖公民个人信息的黑色产业链。在专门的法律出台以前，刑法作为维护公民权益和安全的最后的一道防线，在斩断这条黑色产业链上应该发挥积极的作用，当然这种刑事立法先行的立法模式也存在不少隐患。

公民个人信息；刑法保护；积极作用；隐患

随着通信与互联网技术的飞速发展，人与人之间沟通与交流方式也发生翻天覆地的变化。从web1.0时代，人们被动地获得资讯，到今天人们可以随时通过微博、微信、QQ等社交媒体直接成为信息的发布者与传播者，然而随之而来的是个人信息被非法收集、泄露、买卖等社会乱象。我们每天都会收到大量的垃圾短信，因个人信息泄露导致违法犯罪案件频发，侵害的主体从最初的个体发展到现在的群体，信息安全已成为制约网络社会发展的主要矛盾。由于各种各样的原因，我国迟迟没有制定一部保护公民信息安全的专门法律。为了更好地打击犯罪，净化我国的网络信息环境，我国刑法先于其他法律，通过刑法保护的方式，来打击各种侵犯公民个人信息的犯罪，从而维护公民的信息安全。通过这种刑法先行的保护方式，一方面确实在很大程度上打击侵犯公民个人信息的犯罪分子，有利于我国的信息安全；另一方面，由于刑法规定过于空泛和简单，导致在司法实践的具体适用上仍存在诸多问题和争议。

一、公民个人信息刑法保护之立法概况

近年来信息安全问题频发，各种因个人信息泄露而引起的违法犯罪案件接踵而来，我国的公权力机关才开始意识到保护公民个人信息安全的紧迫性和重要性，在我国的宪法、民法、行政法等领域，立法者开始涉及有关公民个人信息保护方面的条款，但是直到现在，我国仍未出台一部专门的法律来维护个人的信息安全。2009年2月，我国立法机关在《刑法修正案(七)》中增设出售、非法提供公民个人信息罪和非法获取公民个人信息罪这两种侵犯公民个人信息的犯罪，开始通过刑法制裁这种最严厉的惩罚手段，来打击侵犯信息安全的犯罪。这使我国法律在对公民个人信息的保护上向前迈进一大步，体现国家机关对民生的重视和保护，有助于加强对公民人权的全面保障[1]。

《刑法修正案(九)》的出台，对进一步对相关的法条进行修改，从而更好地维护公民的信息安全。首先，扩大犯罪主体的范围。之前的《刑法修正案(七)》采取列举的方式，把犯罪的主体限定为“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”。这使得在司法实践中，各地方对主体范围的把握不一致，有些地方限制得比较窄，仅限于条文中列举的那几项内容，使得对个人信息的保护力度受到很大的限制。而《刑法修正案(九)》取消明确列举的方式，扩大犯罪主体的范围，因而能够更全面地保护公民的信息安全。其次，扩大侵犯个人信息行为的范围，“向他人出售或者提供公民个人信息”，意味着只要是出售或者违反规定提供，情节严重的都要追究，这可以更好地斩断非法获取、买卖个人信息的黑色产业链。但是目前只有刑法规定，最高人民法院没有出台更加详细的司法解释，导致在具体适用过程中仍存在很多问题。

二、公民个人信息刑法保护之不足

(一)尚未彻底贯彻罪刑法定原则

由于我国的立法机构尚未制定专门的个人信息保护法，因此，在法律界对公民个人信息具体包含的范围存在巨大的争议，难以达成统一的界定。比如说“个人信息”的含义，有的学者认为是“可以实现对公民个人情况识别”的信息[2]；有的学者则认为是“体现个人隐私权”的信息[3]。除此以外，刑法规定的“非法获取公民个人信息罪”的犯罪主体和犯罪的行为方式等要素在法学界也存在相当大的分歧。将来出台正式的个人信息保护法后，如何平衡刑事制裁和行政制裁的关系，也是迫切需要解决的问题。

(二)对网络上危害行为的防治力不从心

早在2003年4月，国务院信息化办公室就着手研究如何通过立法来保护公民信息安全，通过多方讨论和研究，在2005年年初制定《个人信息保护法(草案)》[4]，但是由于国家机关对网络上侵犯公民个人信息犯罪行为的危害性和严重程度估计不足，缺乏必要的重视和前瞻性，导致我国迟迟没有出台一部专门保护公民个人信息的法律，对网络的制约和规范不足，海量的个人信息遭到泄露，由此衍生的各类犯罪案件层出不穷，单靠刑法难以进行有效的打击。

三、侵犯公民个人信息犯罪司法适用

《刑法修正案(九)》的法律规定相比之前有了很大的进步，在维护公民个人信息安全上可以发挥更大的作用，但是在司法实践中，对于“公民个人信息”“情节严重”“违反国家规定”等具体内容仍存在较大的争议，为此需要出台更加详细的司法解释，来更加明确界定公民个人信息的范围，明确哪些情节属于“情节严重”，同时完善相关行政法规的内容，处理好刑法和前置性行政法规的关系，从而实现对公民个人信息的全面保护。

(一)“公民个人信息”范围之界定

目前在我国的刑法学界，对于如何界定公民个人信息的范围存在很大的分歧，而且由于公民的个人信息兼具人身性和财产性两种属性，因此，在确定公民个人信息的范围时，不仅要考虑公民个人信息权利，维护信息自由流动，还要考虑刑法的谦抑性原则，不能随意扩大公民个人信息的保护范围[5]。那么该如何把握个人信息的范围，笔者认为应该把握两个基本的原则：第一，要从更为有效地保护公民权利的角度出发，对个人信息的范围不宜限制过窄。一方面不能简单地将个人信息等同于个人隐私，要知道即便有些个人信息经过本人同意或者因为某些特殊的原因已经公开，但是该公开的信息仍有可能被犯罪分子利用，成为被侵犯的对象；另一方面，也不应该将个人信息限定为能够识别公民身份的专属性信息。总之，公民的姓名、身份证号码、工作单位、简历信息、家庭住址、电话号码等能够使自己有别于他人的专属信息当然属于“个人信息”的范围，但是这并非全部，公民隐私的信息也应该包括在内。第二，对个人信息范围的把握，可以适当地借鉴其他法律的规定。例如，由中国人民银行发布实施的《个人信用信息基础数据库管理暂行办法》，就对公民个人信用信息做出规定：“本办法所称个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。”虽然上述规定个人信息的范围不能直接适用于刑法，但是也给刑法的规定提供可资借鉴的基础。

(二)“情节严重”标准之厘定

关于侵犯公民个人信息罪中的“情节严重”，立法者并未给出可量化的判断标准，这会导致在司法实践中，难以对该罪进行清晰的认定。公民对于个人信息的价值判断具有非常大的主观性，俗话说“甲之砒霜，乙之蜜糖”，相同的信息对不同人而言意义不同，故而对于“情节严重”很难确立一个具体而量化的标准。为此笔者认为，对于情节严重的认定，可以参考以下三个因素： 第一，以公民人身、财产权利受损害的程度作为“情节严重”的认定标准。比如，是否导致他人人身伤害、死亡，干扰他人正常生活的程度，对他人名誉的侵犯程度，以及给他人带来的财产损失数额等情形。第二，以信息用途来认定是否达到“情节严重”。也就是说在实施侵犯公民个人信息的行为时，行为人是否明知或者应该知道此信息将用于实施违法犯罪行为。第三，若不存在上述情节，应以行为人的主观恶性、危害后果以及行为造成的影响来判断是否构成“情节严重”，可以根据行为人是否形成完整的犯罪组织网络，非法搜集、整理、买卖公民个人信息的数量、次数，获利金额，以及出售、非法提供公民个人信息的空间范围，是否流往境外等来判断把握。

(三)“违反国家规定”之理解

侵犯公民个人信息犯罪中“违反国家规定”应与《刑法》第96条的规定保持一致。但我国目前尚未出台专门的个人信息保护法，前置性法规的空白导致在刑法具体适用上存在一定的障碍。保护公民个人信息安全，仅仅依靠刑法是不够的，还需建立健全相应的民事、行政保护机制，实现民事、行政保护与刑事保护的对接。在民事领域，仅仅靠侵权责任法保护公民个人信息安全是不够的，可以将出售、非法提供公民个人信息的行为纳入违约领域。承认信息主体、收集者、适用者间的合同关系，一旦出现搜集、出售公民个人信息的行为，即可要求违约者就造成的损害进行赔偿。在行政领域，应尽快出台《个人信息保护法》，完善对公民个人信息安全的行政保护。

四、完善公民个人信息法律保护之建议

在大数据时代，搜集和使用公民个人信息变得十分便捷，公民个人信息安全面临极其严峻挑战，单靠某一种保护模式难以奏效。我国公民个人信息安全保护的立法仍处于发展初期，难以适应大数据时代的社会环境，在立法的系统性、全面性等方面都存在诸多的不足，应当尽快完善，从而更好地保护公民的信息安全。为此要特别重视宏观层面顶层设计，力求法律保护和技术性保障平衡，信息保护与信息利用的平衡，国家利益、社会公共利益和个人权利的平衡。

(一) 法律保护和技术性保障平衡

技术性保护措施是保护公民信息安全的基础，没有强有力的技术防范措施，就不可能有效预防、发现和阻止侵犯公民个人信息的违法犯罪行为。但是，技术保护不是维护公民个人信息的唯一途径。技术防范措施不能脱离法律的框架，否则可能会被滥用，不仅难以取得保护的实际效果，反而会带来很多负面的结果。同时，从立法层面看，法律规范的制定总是会落后于技术发展的，随着信息技术的不断发展，立法的内容也会随之丰富，越来越多的科学规律和技术原理会被立法者吸纳，从而上升为法律规范。因此，为了全面保护公民的个人信息，要加快推进技术保障体系、管理保障体系和法律保障体系的“三位一体”建设，从而平衡法律保护和技术保护，以达到更好的保护效果。

(二) 要重视刑法保护公民个人信息中的平衡问题

由于刑法对公民个人信息的范围未做明确界定，也可能导致刑法打击范围过宽或者过窄的问题。在大数据时代，公民个人信息不仅仅是个人权利的对象，对其的保护也影响着社会公共利益。“随着科学技术的不断发展，特别是生物科学、生命科学的新发现、新突破，以个人生物信息为代表的个人信息范围将会不断拓展”[6]。有关个人信息的法律问题涉及刑法、民法、行政法等各个领域，而不同法律规定的公民个人信息范围各不相同，从而导致对相关案件的处理难以达到协调统一。笔者建议，应确定一个明确统一的公民个人信息的范围标准。在立法模式上可以采取列举式与特征限制式并用的方式，解决刑法法条适用中存在的不明确性问题，同时也能更好地适应科学信息技术的更新和发展。

(三) 国家利益和个人利益的平衡

国家利益与个人利益既对立又统一，一方面忽视国家利益，个人权利也将难以得到实现；另一方面，国家利益是以个人利益为基础的，忽视个人利益也会动摇国家利益的根基，因此，要在二者之间找到一个平衡点。当然，在某些情况下国家利益和个人权利也会发生冲突，例如美国的“棱镜门”项目就是打着反恐名义，实际上侵犯包括美国公民在内的全世界公民个人隐私。“国家对私人、私营机构的信息共享应当基于民众愿意以自由换取安全之自愿基础和政府对共享信息安全的职责保护”[7](P83-84)。一个国家只有立足本国国情，通过立法来寻求一个平衡点，既能有效保障国家信息安全，又能顾及个人信息安全利益，才能实现国家安全与公民利益的共赢互利。当然保护公民个人信息安全不能只是一味强调个人的权利，应在国家安全、信息社会的正常发展的背景下，实现公民个人权利和其他方面利益的平衡和共同发展。

五、结语

在尚未出台相关的行政法规的时候，就动用刑法进行规制的现象在我国法律制定过程中屡见不鲜。先制定刑法处罚措施，从而逼迫相关公权力机关出台对应的前置性行政法律法规不失为一个提高立法效率的方法。然而，这种“倒逼”式立法也存在一定的缺陷。一方面会降低刑法威信，使得刑事立法显得依据不足；另一方面，因先制定刑法，再出台前置性行政法律法规所带来的时间差，会产生一定的法律冲突问题，使得在司法实践中的执法效果大大降低。因此，今后的刑事立法活动要尽量避免“倒逼”式立法。同时在维护国家安全思维的主导下，个人信息权往往只被视为公民的一般权益或者国家安全价值中的附庸价值，相关立法也就无法真正全面地保障公民基本权利。为此，在今后的立法中，立法者也要转变现有的立法思维，妥善处理好个人信息权保护与安全价值之间的关系，更好地维护人民的福祉。

[1]赵秉志.公民个人信息刑法保护问题研究[J].华东政法大学学报，2014(1).

[2]朗胜.《刑法修正案(七)》立法背景与理解适用[EB/OL].http://www.criminallawbnu.cn/criminal/info/showpage.asp?ProgramID=&pkID=22113&keyword=%D0%CC%B7%A8%D0%DE%D5%FD%B0%B8%A3%A8%C6%DF%A3%A9.

[3]蔡军.侵犯公民个人信息犯罪立法的理性反思[J].现代法学，2010(4).

[4]个人信息保护将出台国标明确使用后立即删除[N].新京报，2012-04-05(A06).

[5]昂梦思.论侵犯公民个人信息犯罪的司法适用[J].黑龙江省政法管理干部学院学报，2016(3).

[6]吴盛.公民个人信息的刑法保护宜更为周全——对《刑法修正案(七)(草案)》第六条的完善建议[N].检察日报，2008-09-15(3).

[7]王新雷，黄道丽.美国关键基础设施信息保护法法律模式研究[C]//全国计算机安全学术交流会论文集.2009.

[责任编辑 宋 晗]

2016-05-10

刘轶，湖南警察学院治安系副教授，研究方向：刑法、行政法。

D924

A

2095-0292(2016)04-0075-03