浅析侵犯公民个人信息罪的“情节特别严重”的界定——基于侵犯公民个人信息罪个案的分析

我国信息化建设的全面推进使公民个人信息资源成为一种重要的社会财富，如何有效保护公民个人信息成为国家和社会高度关注的问题。《刑法修正案（九）》对《刑法》第253条之一进行修改，将“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”整合为“侵犯公民个人信息罪”一罪，并将侵犯公民个人信息罪的犯罪主体由特殊主体扩张至一般主体，同时增设了“情节特别严重”的规定，扩大了财产刑的适用。但是，本次立法修改总括性较强，法律适用过程中仍存一定细节化分歧，影响案件的定性。最高人民法院、最高人民检察院为了有效遏制信息犯罪蔓延，进一步强化公民个人信息的刑法保护，于2017年5月发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），对信息犯罪的定罪量刑标准和法律适用问题详加规定。其中，《解释》第5条第2款明确规定了“情节特别严重”的四种情形，即人身损害情节、财产损害情节、信息受损情节和社会受损情节。相对于基本犯，加重的犯罪构成提升了行为的可罚性，行为人只有对此存在一定认识才可以适用加重的法定刑。笔者认为，以上加重情节均属于加重的犯罪构成，应受行为人主观罪过支配。本文通过探讨蒋发某侵犯公民个人信息罪这一典型案例，旨在厘清“情节特别严重”的理论内涵和认定方式，以期益于信息犯罪的司法判定，避免刑法打击范围无休止扩张。

一、公民个人信息案件的诉辩事实分析

本文选取的案例，是一例违反国家规定非法获取公民个人信息及出售的案件。被告人蒋发某通过在网络上向他人购买或交换数据等方式，非法获取公民个人信息，并存储于其个人使用的电脑及移动硬盘中。2015年6月至11月，蒋发某向黄某多次出售其非法获取的本市数十个中小学的学生信息，获利共计人民币11，000余元。2016年6月15日，公安机关抓获被告人蒋发某，当场查扣电脑、移动硬盘等存储介质，并从中提取大量数据文件，涉及公民个人信息共计2，487，400条。法院认为，原审被告人非法获取的公民个人信息数量特别巨大，还通过QQ群与不特定人交换公民个人信息，公民个人信息散播范围无法控制，虽尚未造成被害人伤亡、重大经济损失等严重后果，但性质极为恶劣，对社会的潜在威胁极大，应认定为情节特别严重。

（一）案件的犯罪构成分析

1.犯罪客体。侵犯公民个人信息罪已经成为电信诈骗、网络诈骗、敲诈勒索等人身、财产犯罪的上游犯罪，当行为达到情节严重、情节特别严重的标准之时，往往会超出初始的信息自由权法益，进而对公民的人身权和财产权法益造成重大损害，甚至产生恶劣的社会影响，严重损害社会利益与公共利益。因此，侵犯公民个人信息罪的保护法益既包含与单个人有关的信息权，又关注超个人信息权之外的人身法益和财产法益、集体法益和公共法益，从而实现个人主义与集体主义的双重保护。该案被告人蒋发某非法获取、出售本市数十个中小学学校的学生学籍信息，内容包括学生姓名、家长姓名、家庭地址、出生年月、家长电话等，非法获利。同时，出售信息后，学生和家长受到电话骚扰，学习和生活被严重影响。蒋发某的行为不仅侵犯了学生和家长的个人信息权，还侵害了一定的社会生活秩序，因而符合该罪的客体要件。

2.犯罪客观方面。该罪客观方面主要包括三种手段行为：出售、提供行为；履职或提供服务过程中的获取行为；窃取或以其它方法非法获取行为。从社会一般人标准来看，蒋发某从百度云下载、与他人交换、获取公民个人信息的行为虽然不属于窃取行为，但其行为未获得信息所有权人批准，使大量公民个人信息处于随时可能被暴露、被侵犯的危险状态，因而属于以其他方法非法获取公民个人信息。再者，蒋发某非法获取的公民个人信息达248万余条，已满足入罪标准。蒋发某将非法获取的部分信息出售给黄某，满足出售公民个人信息的行为要件。蒋发某非法获利金额满足违法所得5000元以上的入罪标准。

3.犯罪主观方面。该罪的主观方面是故意，犯罪动机和目的不影响故意的成立，行为人只要明知或应知侵犯公民个人信息的行为会导致某种危害结果而希望或放任这种危害结果发生，就构成该罪的故意内容。即便行为人具有合法经营、合法利用个人信息的目的，也不能阻却犯罪故意的成立。第一，蒋发某明知从百度云下载公民个人信息的行为会发生非法获取公民个人信息的结果而积极追求结果的发生，符合故意的认识和意志因素；第二，该罪不要求故意内容具备牟利目的和散播目的，只要行为人基于自己的意思选择了犯罪事实，对法益侵害或者危殆化有所认识，就应当对已发生的犯罪事实承担刑事责任。[1]第三，蒋发某主动删除信息的行为不排斥购买、交换、出售公民个人信息的故意内容，犯罪行为已经既遂，该行为可在量刑时予以考量。可见，二审判决有关蒋发某主观故意的认定是正确的。

4.犯罪主体。该罪的主体为一般主体，凡已满16周岁具有刑事责任能力的自然人都可以成为该罪的主体，蒋发某满足该罪的主体要件。需要注意的是，《解释》第5条第9项规定具有犯罪前科或违法前科的主体，一旦再次实施非法获取或提供、出售公民个人信息的行为，无需考虑信息数量、违法所得等因素，应直接认定为“情节严重”，构成犯罪。

（二）案件的加重情节分析

一审、二审法院认定蒋发某构成侵犯公民个人信息罪无疑是正确的。根据抗诉机关的意见以及二审的判决结果，该案的疑难之处在于行为是否达到了“情节特别严重”的程度，从而使抽象法定刑升格，适用该罪的第二档刑罚。笔者认为，该罪的“情节特别严重”属于加重的犯罪构成，应从主客观两个方面来考查行为人的刑事责任，若行为客观上符合特定的标准，行为人主观上也应当对加重情节具有一定认识，能够对接续发生的严重情节有具体的了解。就该案来说，蒋发某侵犯公民个人信息的行为属于“情节严重”的情形，不能升格适用“情节特别严重”的法定刑。

1.行为人积极阻止、避免加重情节发生，主观上不具有希望或放任加重情节发生的意愿。一方面，蒋发某通过封闭的QQ群与不特定人交换公民个人信息的目的旨在获取自身所需的公民信息，而不是发布于开放的公众平台之上，不具有恶意散布的主观恶性。另一方面，蒋发某虽然非法获取了大量个人信息，但主动删除大部分信息，仅出售少部分信息，意在回避大规模信息扩散的危害后果发生，消除信息扩散的潜在威胁。可见，蒋发某积极履行结果回避义务，主观目的是阻塞信息扩散的途径，不具有严重危害社会的主观恶性，因而不应适用“情节特别严重”的认定标准。

2.行为人非法获取、出售信息旨在用于合法的招生宣传，未造成严重后果，不属于“情节特别严重”情形，客观上未提升行为的社会危害性。从危害结果层面来看，蒋发某的犯罪行为未造成被害人死亡、重伤、精神失常或者被绑架等严重后果。该案中，涉案学生学籍信息包括学生姓名、家长姓名、家庭地址、出生年月、家长电话等内容，这些信息一旦被犯罪分子利用，危害后果不堪设想。但是，蒋发某出售、交换公民个人信息的对象均为家教同行，信息用途旨在为学生课外辅导招生及广告宣传提供便利，情节尚未达到特别严重的境地。如果过于宽泛的解释“其他特别严重的情形”，将会使所有有关身份的信息都指向人身、财产类犯罪，不利于限制情节加重犯的适用。

二、“情节特别严重”的理论延展

根据该案的罪刑分析，判断一情节是否满足“情节特别严重”的要件，既要分析“情节特别严重”的构成内容，还要判定罪状中的“情节特别严重”本质上属于加重的犯罪构成还是量刑规则。加重犯罪构成因行为、对象、手段、结果等构成要件要素的特定性使违法行为类型或结果类型发生异变，从而导致行为违法性增加或侵犯了新的法益，其违法性和可罚性均重于基本犯。量刑规则是从客观上的抽象条件出发加重行为的违法性，没有改变违法类型的本质特征，即法条没有创设新的违法类型，只是在原违法类型的基础上设定了某些加重处罚条件。

（一）“情节”的刑法内涵

“情节”是“情节特别严重”的核心要素。刑法中的情节是反映社会危害性和人身危险性及其程度的影响定罪与量刑的各种主客观事实情况。按照情节的作用划分，可划分为定罪、量刑情节两种模式。

就定罪情节而言，有论者认为定罪情节是区分罪与非罪的必备情节，而另一种观点主张定罪情节指基本犯罪构成以外的、影响犯罪成立的各种具体事实情况。[2]上述观点分歧的核心之处在于定罪情节是否属于犯罪构成的基本、必备要件。笔者赞同后者，定罪情节不是犯罪构成的基本、共同要件，而是具体犯罪构成的必备、特定要件。在犯罪中，行为无须具备某种共性情节，只要满足某种特定、具体情形就可以构成犯罪。《解释》第5条细化了“情节严重”的具体标准，填充了定罪情节的特定规范内容。行为人既可能因出售、提供行踪轨迹信息被他人用于犯罪而符合构成要件，也可能因侵犯公民个人信息的数量达到一定标准而符合构成要件。

就量刑情节而言，量刑情节指犯罪构成要件之外的反映犯罪事实和人身危险的各类情形。[3]依照情节对刑罚产生积极或消极影响为标准可以将其划分为从宽量刑情节和从严量刑情节。从严量刑情节中只需考虑情节的消极影响，反映出不利于行为人的刑罚承担，在我国刑法分则中通常表现为从重处罚、加重处罚。从重处罚表现为在相对确定的刑度范围内选择较重刑罚；加重处罚表现为加重法定刑或使法定刑升格，例如《刑法》第263条规定抢劫罪的8种法定刑升格条件。

（二）“情节特别严重”的刑法内涵

“情节特别严重”包括加重犯罪构成和从严量刑规则两种加重处罚模式。由于我国刑法未区分加重或减轻的犯罪构成同量刑规则之间的差异，司法裁判过程中往往会使二者相混淆。“情节特别严重”既可以表现为加重的犯罪构成，也可以表现为量刑规则，还可以同时兼顾加重的犯罪构成和量刑规则两种法定刑升格条件。但是，如果行为的法定刑升格条件是加重的犯罪构成而不是量刑规则，那么该行为只可以构成情节加重犯，反之亦然。

在“情节特别严重”的规范外观层面，其表现形式多样、包含内容丰富。一方面，“情节特别严重”在刑法中的表现形式多样。我国刑法有关“情节特别严重”的立法模式主要包括三种：第一，列举立法模式。刑法通过具体条文或司法解释明确列举加重情节的内容。第二，抽象立法模式。附属于基本犯的“情节严重”、“情节特别严重”、“情节特别恶劣”是法定刑升格的必要条件。第三，混合立法模式。刑法分则通过“明确列举与抽象规定”的方式确定情节的特定内容，同时在最后一项设置兜底条款作为补充，以防止遗漏其他情节。另一方面，“情节特别严重”的内容丰富。由于犯罪的手段、时间、地点、次数、数额、动机、对象、主体、主观等情节因素都可以影响并受社会危害性评价，因而加重情节是包含多种犯罪因素的综合整体。

（三）“情节加重犯”的刑法内涵

情节加重犯由基本犯和加重情节结合而来。理顺基本犯与情节加重犯的关系是正确界定情节加重犯内涵的关键步骤。情节加重犯附属于基本犯，加重情节实质上是加重犯罪构成的具体要件而不是基本犯罪构成的必备要件，不会改变犯罪的性质，不影响罪与非罪的认定。由此可知，情节加重犯中的加重情节被刑法规定的加重犯罪构成类型化，充当提升行为社会危害性和行为人罪责程度的影响因子，意在区分重罪与轻罪、一般社会危害性和严重社会危害性，因而有别于定罪情节。

（四）“情节加重犯”的认识内容

“情节加重犯”的认识内容包含两个层面。

1.成立具体的故意犯罪当然要以行为人认识到罪行的基本构成要件为必要。这里的基本构成要件指架构不法类型的违法构成要件要素，包括主体身份、行为、结果、行为与结果之间的因果关系等。当然，行为人也可以对其他加重、减轻要素有所认识，譬如附随行为或结果发生的时间、地点、方法等。[4]

2.行为人对加重的犯罪构成应至少持过失心态。客观义务违反说认为，过失犯同时违反了认识义务和避免义务，认识义务指行为人认识到自己有避免结果发生的义务，避免义务指行为人具备一般人的结果避免能力，履行避免义务时不会逾越社会规定的安全规范。[5]

当行为人构成基本犯且具有加重情节时，不能一概认定为情节加重犯，应根据行为人对加重情节的心态分情况讨论：其一，当行为人对加重情节不具有预见可能性时，行为人只构成基本犯。其二，当行为人对加重情节具有预见可能性时，若行为人具有避免可能性，且积极预防、防止加重情节发生，则行为人只构成基本犯；若行为人具有避免可能性，但轻信、放任加重情节发生，则行为人构成情节加重犯；若行为人不具有避免可能性，则行为人只能构成基本犯。综上，“情节特别严重”应当遵守主客观相统一原则，不能忽视主观恶性对罪责的影响。

三、侵犯公民个人信息罪的“情节特别严重”界定标准分析

根据侵犯公民个人信息罪的法条规定及构成理论，本文认定该罪的“情节特别严重”属于加重的犯罪构成，行为人对加重犯罪构成应具有认识内容。

（一）“情节特别严重”属于加重的犯罪构成

1.加重犯罪构成使违法类型发生改变，侵犯公民个人信息罪中的“情节特别严重”使犯罪行为、危害结果发生异变，行为侵害了新的法益或大为提升了可罚性。《解释》所列举的四种情形分别代表了行为可能造成的人身受损、财产受损、社会受损和信息受损的情节，侵犯公民个人信息罪的基础违法行为类型是“违反国家规定向他人出售、提供公民信息或非法获取公民信息达到特定标准”，而非造成被害人死亡、重伤或相关社会财产受损等行为。按照违法类型说的观点，刑法规范表明违法行为类型的特征就可以归入构成要件要素。[6]“情节特别严重”所指向的加重情节改变了基础违法行为类型的特征，改变后的违法行为类型具体、特定，不仅提升了行为的可罚性，还加深了行为的社会危害程度，从而使得刑法具有加重处罚的必要性。同时，由于违法是行为作用于结果的综合体现，因而危害结果的内容改变、标准改变、性质改变同样会使违法类型发生改变，可罚的违法性会由绝对不可罚、相对不可罚向一般可罚性、加重可罚性迈进，危害结果的数量越多、损失越大，行为的社会危害性越高。此外，不属于违法类型异变的量刑规则一般表现为抽象的升格条件，例如“多次”、“首要分子”等条件，诸如此类条件属于基础违法类型的正常延伸、特别规定而非彻底改变。因此，侵犯公民个人信息罪的“情节特别严重”所涵盖的四类情节会使违法类型发生改变，均属于加重的犯罪构成。

2.加重犯罪构成同量刑规则在犯罪形态上存在差异，该罪“情节特别严重”中的加重情节存在未完成形态，与量刑规则大相径庭。前者存在未遂形态，行为人可适用总则关于未遂犯的规定，对行为人从轻或减轻处罚；而一旦犯罪事实符合相应的量刑规则，就应当在规则设定的量刑幅度内裁量刑罚，这种裁量方式没有回旋的余地。非法获取、出售、提供公民个人信息或使被害人遭受人身伤害、被绑架的严重后果，或给社会造成重大经济损失及恶劣影响，但上述行为均存在中止或未遂形态，行为人可能在实施加重行为的过程中主动或因意志以外的原因被动放弃对公民个人信息权的侵害。从这一层面来说，“情节特别严重”不属于量刑规则，应在加重犯罪构成的视阈内讨论。

3.加重的犯罪构成作为构成要件要素，能够被故意和过失所支配，需要综合主客观两个方面认定行为的当罚性，该罪“情节特别严重”所包含的四类加重情节都受到主观内容的支配。如果行为人对法定刑升格没有认识可能性，就不应将结果的发生归咎于该行为。量刑规则注重行为的抽象危害要件，只要情节具有数额特别巨大或行为特别恶劣的性质，就无须考虑行为人对量刑规则是否具有认识或认识可能性，行为人只需具备基本犯的罪过即可。在该案中，因为司法者贸然沿用量刑规则的思维定式，在罪过的评价体系中，只需验证基本犯的罪过而无须考虑行为人对量刑规则是何种心态，按照这种逻辑，判罚极有可能突破责任刑的上限。

（二）“情节特别严重”应坚持主客观相统一原则

就基本犯罪构成来说，主客观相统一原则指犯罪构成主观要件和客观要件的统一，行为人应在罪过支配之下实施犯罪行为、造成危害结果。就加重犯罪构成来说，也应当坚持主客观相统一的原则，例如，若行为人实施了侵犯公民个人信息的行为，并希望或放任被害人死亡、重伤等严重后果发生，行为人构成情节加重犯；若行为人能够预见到被害人死亡、重伤等严重后果发生，但通过各种方式无力避免这种结果发生，说明行为人无避免能力，此时不能将加重结果的发生强加于行为人；若行为人预见被害人重伤等严重后果，有能力救济却不履行避免义务，则行为人应承担加重结果的刑事责任；若行为人侵犯公民个人信息后根本无法预见自己的行为可能对被害人造成人身或财产损害，则不应追究行为人的加重责任。