公民个人信息的刑法保护界限初探

(海南大学 法学院 海南 海口 570225)

据《最高人民检察院第九批指导性案例》统计，网络犯罪占我国犯罪总数近三分之一，并以每年近30%的幅度增长。[1]其中，侵犯公民个人信息犯罪呈现“井喷”态势。因此，如何在利用信息的同时构筑完善的公民个人信息法律保护体系至关重要。本文拟结合相关刑事立法和司法解释对该问题进行探讨，希冀对完善公民个人信息的刑法保护体系有所裨益。

一、“情节严重”之司法难题：“获利”要素的认定

根据2017年《关于办理侵犯公民个人刑事案件适用法律若干问题的解释》(以下简称《解释》)第6条第1款规定，为合法经营活动非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，获利五万元以上的，认定为“情节严重”。实践中，企业非法购买、收受个人信息旨在通过对目标客户的需求或者偏好进行分析，改进自身商品或者服务的质量，从而增加企业收入。但是，营业收入与“获利”之间并不能等同，信息的获取和使用仅仅是收入增加其中一个环节。因此，在司法实践中确定“获利”的数额则成为一个难题。

笔者认为，为了增强该条款的司法适用性，不至于成为僵尸条款，应当将“获利”解读为通过该非法所得的信息所获得的经营收入。据此，凡是企业通过此类信息实施相关的经营活动所获得的利益都可以视为“获利”。

二、“违反国家有关规定”之解读

根据《刑法修正案(九)》第253条之一的规定，“违反国家有关规定”属于侵犯公民个人信息罪成立的前置性条款。《解释》第2条进一步将该条款明确为“违反法律、行政法规、部门规章有关公民个人信息保护的规定”。学理上有观点采用目的犯的路径，即以非法目的出售、提供个人信息，解读违反国家规定的内涵。[2]但是，“非法目的”内涵并不明确，最后仍需落实到“非法”内容的解读上。根据“《网络安全法》第42条规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”《解释》第3条第2款规定：“未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第253条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。”据此，国家并不禁止正常的信息流通活动，这就为企业和行政机关利用信息留有空间。[3]

“违反国家有关规定”在司法适用中存在问题是条文间的协调。以法律责任为例，《消费者权益保护法》第56条：“经营者有下列情形之一，……，可以根据情节单处或者并处警告、没收违法所得、处以违法所得一倍以上十倍以下的罚款，没有违法所得的，处以五十万元以下的罚款……。”而《网络安全法》第64条规定：“网络运营者、网络产品或者服务的提供者违反本法第22条第三款、第41条至第43条规定，侵害个人信息依法得到保护的权利的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款。”据此，二者在罚款的数额解读上存在冲突。既然“违反国家有关规定”属于侵犯公民个人信息罪的构成要件要素，那么在刑事诉讼中，司法机关应当查明行为人触犯了哪条前置性规定。但是，由于条文之间的不协调，导致司法机关在具体案件裁判中一直未释明“违反国家有关规定”的内容。笔者在中国裁判书网输入“侵犯公民个人信息罪”进行关键字搜索，共搜集到案例329个，其中2018年共计79份判决书，随机抽取其中50判决书，法院在判决中基本未阐述违反了哪条前置性条款，可以说，该条款在司法实践适用中一直处于虚置状态，从证据的证明力方面，行为人的“有罪证明”存在瑕疵。

徒法不足以自行，为了消除该条款“法出多头”的弊端，需要倒逼法律体系的自新。正如众多学者所述，我国专门的信息保护法一直处于缺位状态，个人信息的规范保护内容分散在不同法律、行政法规或者部门规章内，呈现出碎片化的特征，体系性的缺乏导致条文之间矛盾丛生，司法机关陷入适法不明的窠臼。[4]鉴于刑法设立本罪的法益是个人、信息业者和行政机关的信息权，应当设立专门的信息保护法，明晰各主体的权利、义务和法律责任。侵犯公民个人信息罪作为法定犯，以“行”入“刑”是必然的入罪逻辑，专门的信息保护法的设立能够有效整合立法资源，为刑法的前置性条款提供持续的规范供给，以此满足司法机关对“违反国家有关规定”的适用需求。