公民个人信息的刑法保护研究*

□ 李 霞

（河南警察学院，河南 郑州 450046）

公民个人信息的刑法保护研究*

□ 李 霞

（河南警察学院，河南 郑州 450046）

伴随着信息化时代的到来，针对公民个人信息的犯罪手段层出不穷，给社会带来极其恶劣的影响，阻碍了法治社会建设进程。围绕公民个人信息相关内容，结合《刑法修正案九》分析公民个人信息的立法修正考察及其公民个人信息在实践中的刑法保护困境，探索公民个人信息的刑法保护措施，以切实保护我国公民个人信息。

公民个人信息；刑法；保护措施

与世界发达国家相比，我国公民个人信息法律保护起步较晚，到现如今也没有形成一个完整的公民个人信息法律保护体系。并且受历史因素的影响，我国公民普遍呈现出法律意识、维权意识薄弱的现状，极大影响了我国法治社会建设进程。2015年我国新出台了《刑法修正案九》，其明确将所有与公民个人信息犯罪相关的内容都修订为侵犯公民个人信息罪。《刑法修正案九》的出台为我国公民个人信息提供了刑法制度保障。

一、公民个人信息内容介绍

（一）公民个人信息含义介绍

不同国家对公民个人信息进行了不同界定，不同学者对公民个人信息的认知也存在较大差异。公民个人信息发展到现在主要有概括型、隐私型、识别型以及列举型等多种界定模式，隐私型界定模式认为公民个人的所有私生活信息都是不能够被窥探、窃取的，否则就是犯罪，美国是这种观点的代表国家。识别型界定模式认为公民个人信息包含了公民职业、社会关系、婚姻状况、学历以及身体状况等信息在内的个人数据，这些数据是对公民的真实写照，凭借这些数据人们便能将公民个体区别开，认可这种观点的国家有荷兰、欧盟。在我国，公民个人信息主要是指包括公民个人的姓名、职务、生活事实、出生日期、身份证号码等在内的能够识别个体的所有数据信息，这些数据信息与公民人格权相关，不能被大众知晓，与公共生活没有任何联系。

（二）公民个人信息相关概念区分

公民个人信息有别于个人资料，公民的个人信息能够保护个人资料并且个人资料是承担个人信息的主要载体，个人资料是一种保存个人信息的方式。在法国的《资料保护法》中个人资料与公民个人信息是通用的，但二者之间仍存在倾向上的不同。个人资料更加倾向于物质客观状态，而公民个人信息则倾向于主观状态，并且公民个人信息并不局限于个人资料这一种表现方式。随着服务行业的不断向前发展，公民的个人信息常常被一些房产机构和中介机构侵犯，为此我国出台了保护个人信息不被侵犯的法律条文，这些保护性文件保护的是公民的个人信息而非个人资料。其次，公民个人信息与个人隐私也有所不同，隐私是个体私事，与公共利益无关，娱乐圈爆料出来的各种“艳照门”事件实质上都属于侵犯公民隐私权的典型案例。毫无疑问，公民的个人隐私是受到法律保护的，但在当前的法律中并没有具体规定。隐私是公民个体的一种独处权利，其拒绝外界干扰和外界侵害，公民个人信息比隐私的范围更广，公民个人信息包含隐私。

（三）公民个人信息法律属性分析

公民个人信息具有隐私权、人格权以及所有权等客体说法律属性，公民个人信息在不同的客体说中具有不同的属性。隐私权客体说认为隐私与公民个人信息地位等同，法律必须对二者进行同等程度的保护，美国就在1974年出台了《隐私权法》以此引导政府合理利用公民个人信息，保护公民隐私。人格权客体说认为自然人的人格权是一种绝对权，法律应当对公民的个人利益和个体信息进行同等保护，德国出台的《个人资料保护法》就明确规定要保护公民的人格权。所有权客体说认为只要不违背公共利益，公民个人享有所有信息的完全所有权，认为公民个人信息是一种物权客体，能够被公民个人支配利用并带来一定的财产利益。

二、公民个人信息立法修正考察分析

为了对侵害公民个人信息的行为进行有力规制，刑法七新增加了出售、非法提供公民个人信息罪和非法获取公民个人信息罪，刑法七的这项规定表明我国第一次以法律明文形式对侵犯公民个人信息的行为给予处罚，并为其提供了法律依据。原来的法律条文规定的犯罪主体是国家机关或者金融、电信、交通等单位的国家工作人员，只有这些人员才隶属于犯罪主体范围。随着我国经济和网络技术的不断发展，人们在网上的购物行为逐年增加，多样化的网络支付平台在方便人们生活的同时，也将公民个人信息推向了高风险状态。2013年我国因网上支付发生安全问题的受害人占整体的4%，个人信息受侵犯高达42．9%。为了有效保护公民个人信息安全，打击网络犯罪，国家新出台了《刑法修正案九》。

但从严格意义上来说，我国公民个人信息保护在立法方面还没有建立统一的成文法。无论是《刑法修正案七》还是《刑法修正案九》都只是加大了对公民个人信息的保护力度，而没有对公民个人信息进行单独的立法保护。在《刑法修正案九》中，其对犯罪主体、犯罪客观方面以及犯罪法定刑等方面进行了修正。具体而言，《刑法修正案七》第一次以明文形式为公民个人信息保护提供了法律依据，刑九在刑七的基础上删除了犯罪主体的规定并将犯罪主体扩大为一般主体及单位，为犯罪主体的违法犯罪行为提供了追责法律依据。在犯罪客观方面，刑九将刑七中的非法提供修正为提供，这表明公民个人信息的保护具有绝对性和具体性，无论是什么情况只要违反了此项规定都是犯罪行为，都会受到法律制裁，犯罪打击力度进一步加大。在犯罪法定刑方面，刑九对侵害公民个人信息罪的最高定刑是7年，这主要与信息安全密切相关。

三、公民个人信息在实践中的刑法保护困境分析

（一）公民个人信息范围模糊

在我国公民个人信息刑法保护中，对“公民”的界定不明，根据侵犯公民个人信息罪的相关规定，个人信息被侵犯的对象和刑法保护的对象都是公民，为了贯彻落实刑法九的相关规定，必须准确界定“公民”。在我国的宪法规定中，公民是指具有我国国籍，享受我国国宪法法律赋予的权利并承担一定义务的人。公民必须具备某国国籍、享有宪法赋予的权利并承担一定义务、自然人等三个特征，其体现的是国家与国民之间的关系。在我国，只要是具备中华人民共和国国籍的自然人都是我国的公民，刑法九没有单独对公民进行范围界定，表明在侵犯公民个人信息罪中的刑法保护对象是所有具备中华人民共和国国籍的自然人。但随着经济全球化的进一步发展，我国的无国籍人和外国国籍人员日益增多，如果他们的个人信息被侵犯，是否适应《刑法修正案九》的相关规定，对于这一点我国的法律并没有作特别说明。

其次，死者的个人信息是否隶属于个人信息主体，是否同样受到法律保护，这一点《刑法修正案九》也没有做特别说明。这个问题在我国学术界引起了很大争议，部分人士认为死者既然已经丧失了自然人主体资格其便不具备民事权利与义务，其个人信息不应当再受到法律保护。而一些学者认为虽然死者丧失了自然人主体资格，但其在生前所具备的个人信息仍然应当受到法律保护。1992年《欧洲保护权利》便明确提出死者的个人信息应当列入法律保护范围内，但韩国则认为个人信息是指与生存者有关的信息，死者信息不在个人信息范围内，是不应当受到法律保护的。不同国家对此问题的认知不同，具体法律规范也大相径庭，而我国是否会将死者列入个人信息保护中还有待考量。

再者，个人信息的界定范围也存在不明确之处。清晰的个人信息界定范围是对公民个人信息进行法律保护的前提，但到目前为止，国内外对此都没有达成统一的认识。在德国，其《德国联邦个人资料保护法》规定所有特定或待定的自然人的所有人事资料都隶属于个人资料，都受到个人信息保护法的保护。但在我国，公民个人信息还存在三种争议，一是公民个人信息保护法应当之保护隐私，未涉及隐私的不能纳入其中。二是所有能够识别信息主体与其他个体的信息都隶属于公民个人信息，应当而且应该受到此法保护。三是与公民人格权相关但与公共生活没有关联并且不能够被公众所了解的客观信息才是公民个人信息。对个人信息范围界定不清给司法实践造成了很多不便。

（二）“违反国家规定”难以理解

刑法是一种最后的法律保护手段，是一种最后救济原则。刑九对违反公民个人信息的罪行表述为十分抽象的“违反国家规定”，这种适用标准的表述难以分清罪与非罪之间的界限。违反国家规定是侵犯公民个人信息罪的前提，虽然《刑法》对违反国家规定作了明确规定，但在司法实践过程中仍然存在诸多问题。宽松与严格是两种主要观点，前者认为法律都具有一定的滞后性，但法律的权威性又要求法律条文绝不能朝令夕改，地方性法律法规应当纳入违反国家规定的解释中。后者认为不能放宽法律条文的适用，否则便容易出现定罪的任意性并滋生司法腐败。如何理解违反国家规定还存在疑议。

（三）“情节严重”认定标准不清

情节严重是侵犯公民个人信息罪犯罪的入罪标准，但情节严重没有具体的衡量标准，在司法实践中界定入罪标准时具有很大的自由裁量空间，为冤假错案的发生埋下了隐患。当前，情节严重的适用标准主要有三要素说和四要素说两种观点。三要素说认为要考虑侵犯公民个人信息是否是用来实施违法犯罪活动，是否侵扰了公民生活并造成了巨大经济损失，信息获取量多少、侵犯手段的恶劣程度等因素。而四要素说则认为应该考虑侵犯公民个人信息次数多少、主观目的是否是实施犯罪活动，有没有造成人身、财产的重大损失、是否危害了国家社会利益等因素。这两种说法都有一定道理，但具体的适用标准还需要进一步审视。

四、公民个人信息的刑法保护措施分析

（一）明确公民个人信息范围

首先，需要准确界定“公民”一词，在侵犯公民个人信息罪中，对法律概念公民一词只进行了模糊表述，司法实践认定存在很大困难。在笔者看来，侵犯公民个人信息罪中的公民除了包括具有我国国籍的自然人外，还应当包括无国籍人和外国人。这样界定“公民”一词的原因有三个，一是随着经济全球化的进一步发展，各国之间的来往日益频繁，来到我国工作生活的外国人越来越多，这部分人在我国的个人信息应当受到我国法律的保护。二是我国的刑法也明确规定了如果没有特别的规定，凡发生在我国领域内的犯罪都适用我国刑法。这表明如果无国籍人和外国国籍人员在我国侵犯了其他公民的个人信息，同样会受到我国法律的制裁。三是国家人员在履行职务过程中既会涉及到本国公民个人信息，也会涉及到无国籍和外国国籍公民的个人信息，本着法律的公正平等性要求，应该对所有居住在我国的公民个人信息进行同等保护。

其次，应当将死者的个人信息划在个人信息主体之外。我国的民法通则规定公民一生下来就享有民事权利并需要承担相应的民事义务直到死亡。也就是说，公民一旦死亡，其就不能够再承担民事义务，不能承担义务也就不可能再享受拥有自然人主体资格的民事权利，因此死者不是侵犯公民个人信息罪中的适格主体。当然，如果不法分子侵犯了死者的个人信息并损害了死者近亲属的合法权益，死者近亲属有权提起诉讼依法维护自己的合法权益，但死者不是个人信息的主体。

最后，应当准确界定个人信息范围。刑法九虽然加强了侵犯公民个人信息罪的犯罪主体、行为方式和法定刑，但在个人信息的范围界定方面还存在操作困难，还需要对其进行一定的司法解释。在界定个人信息范围时需要考虑其是否具有被刑法保护的价值，判断其是否具有识别功能并区分其保密性和半公开性的本质特征。公民个人信息与公民个人紧密相关，能够识别公民个人特征并涉及一定的个人隐私，这些信息无论是在主观上还是在客观上都具备一定的保护价值。

（二）对“违反国家规定”和“情节严重”做出清晰界定

违反国家规定的表述在司法实践方面存在空白性罪状困难，在执行阶段会存在一定的自由裁量空间。在侵犯公民个人信息罪中关于违反国家规定的理解笔者认为应当从宽，任何法律都不可能尽善尽美，也不可能面面俱到，空白条文有一定存在空间。在理解违反国家规定时，参照法律需要限定其范围，援引法律应当尽可能具体，所以，国务院部委办颁发的规章规定以及国务院宣布认可批准的规定都应当作为侵犯公民个人信息罪中的违反国家规定的参照。

此外，要明确“情节严重”认定标准。作为侵犯公民个人信息罪的入罪标准，在认定情节是否严重时应当考虑五个因素。一是侵犯公民个人信息的数量，二是实施侵犯的频数，三是所涉及的金额标准，四是公民个人合法权益损害程度，五是侵犯个人信息后的用途。综合考虑这五大因素并以此来作为情节是否严重的认定标准，有助于减少冤假错案的发生。

［1］柴梦迪．我国公民个人信息的刑法保护研究［D］．海南大学，2016．

［2］杨宇宇．论公民个人信息的刑法保护［J］．法制博览，2016（5）：18－20．

［3］曾瑜．信息社会下公民个人信息的刑法保护［D］．四川师范大学，2015．

［4］韦尧瀚．公民个人信息的刑法保护研究［D］．广西大学，2014．

［5］杨乐．公民个人信息的刑法保护研究［D］．贵州民族大学，2014．

［6］焦月华．公民个人信息的刑法保护［D］．华东政法大学，2014．

［7］赵秉志．公民个人信息刑法保护问题研究［J］．华东政法大学学报，2014（1）：117－127．

［8］黎洁．论公民个人信息的刑法保护［D］．四川师范大学，2012．

［9］梁小龙．论公民个人信息的刑法保护［J］．法制与社会，2010（17）：24－25．

［10］赵江辉，陈庆瑞．公民个人信息的刑法保护［J］．中国检察官，2009（6）：9－11．

D922．7

A

1008－4614－（2017）02－0047－03

2017－3－16

李霞（1985—），女，河南商丘人，博士，河南警察学院讲师，研究方向：刑法学。