侵犯公民个人信息犯罪案件财产信息的界定

曹卫星 张涛 姚峰

一、基本案情

2015年11月至2016年6月，朱某某通过向他人购买及邮箱转发的形式非法获取公民个人信息46222条，并向顾某某、宋某某（另案处理）提供公民个人信息80427条，共计侵犯公民个人信息126649条。经查明，上述公民个人信息为包含车牌号、汽车品牌、对应的车主姓名、身份证号、住址和联系电话等车主信息，朱某某、顾某某、宋某某均系房屋销售中介，非法获取公民个人信息主要用来推销房产和贷款。

二、分歧意见

本案的争议焦点，在于朱某某等人通过非法手段获取的车主信息是否属于《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第5条第3款规定的“财产信息”，主要存在两种分歧意见：

第一种意见认为，本案涉及的车主信息应当认定为“财产信息”。理由是：朱某某等人非法收购和获取的公民个人信息均为真实有效的车牌号、汽车品牌、发动机号码、对应的车主姓名、身份证号、住址和联系电话等敏感信息，认定为“财产信息”应无疑义。而且这些信息与公民的人身和财产息息相关，一旦泄露出去极易被不法分子用于电信诈骗、盗窃、敲诈勒索等关联犯罪，具有极大的社会危害性。因此，对朱某某等人应该以50条入罪的敏感信息从严定罪量刑。退一步说，即使不能以50条入罪的敏感信息定罪量刑，也可以对照500条信息标准入罪，而这两类信息均不以行为人主观目的是否合法经营而认定侵犯公民个人信息罪。

第二种意见认为，本案涉及的车主信息不应当认定为“财产信息”。理由是：涉敏感信息50条即可入罪的条款，因入罪门槛较低，应采用严格适用的立场。基于主客观相统一原则，朱某某购买和使用的公民个人信息均用于推销房产和贷款，并无用于实施针对人身或财产的侵害行为，顾某某和宋某某等从朱某某处非法获取信息的人员也未实施侵害人身或财产的行为。而根据罪刑均衡原则，朱某某等人购买和非法获取公民个人信息的主要目的是为了增加推销房产和贷款的销售业绩，存在为合法经营而非法获取公民个人信息的情节。朱某某等人在购买和获得相关信息后，也仅仅截取了相关的姓名和电话打印出来供本单位客服人员推销使用，此种行为与《解释》中第5条第3款规定的情形存在本质区别。因而，朱某某等人侵犯公民个人信息行为适用5000条的“一般信息”条款定罪量刑。

三、评析意见

笔者赞同第二种意见。具体理由如下：

（一）《解释》有关侵犯公民个人信息犯罪的入罪、出罪标准出台背景

近年来，个人信息泄露问题日趋严重，因此引发的刑事案件高发，[1]有全国性影响的恶性案件时有发生，社会关注度高，有的地方甚至已经形成了产业链条，并由此滋生的电信诈骗、敲诈勒索、非法讨债等等次生犯罪行为。在此背景下，2017年6月1日，最高人民检察院、最高人民法院出台《解释》以规制因侵犯公民个人信息而引发的系列犯罪问题。公民个人信息种类繁杂、范围广泛、影响深远，为避免司法实践的认识差异，《解释》的第1条首先界定了公民个人信息的范围，将公民的个人信息包括为身份识别和活动情况两大部分。根据个人信息的不同，侵犯的法益也不同。具体而言，个人信息受保护的法益主要有以下内容：第一，可以区分、识别具体的个人信息。最典型的比如姓名和手机号码，这些信息一旦被非法获取，就会被商家以各种电话或者短信推销产品，破坏公民平静的生活，相信大多数人都有这种信息外泄的经历。第二，银行存款、个人消费记录等与公民财产对应的个人信息。这种信息比前一种信息对个人而言更为重要，比如商家可以更精确的知道被泄露的公民的消费习惯、购买力，甚至知道公民家新生婴儿而推销婴幼产品，给公民带来更为严重的侵扰。另外，这种信息的泄露也更容易为潜在的犯罪行为所利用，如冒充网购客服进行电信诈骗等。第三，车辆轨迹、移动轨迹、开房记录等政府管理的个人信息。这种信息是相关行政机关持有的，为特定需要收集的公民个人信息。如为了防疫需要，各级政府部门收集的公民个人的出行交通信息、一定时间的旅馆登记信息，这些行踪轨迹一旦外泄就会被犯罪分子所用，往往直接威胁到公民的人身安全和带来非常严重的财产损失。

上述信息都是公民个人不愿意主动公开的信息，不仅仅属于公民隐私，还需要刑法直接保护。因而，《解释》针对不同的个人信息制定了不同的保护策略，以及不同的入罪和出罪标准。《解释》的第5条规定了非法获取、出售或者提供公民个人信息构成“情节严重”的入罪标准，下列四种情形将处三年以下有期徒刑或者拘役，并处或者单处罚金。

第一种情形，出售或者提供行踪轨迹信息，被他人用于犯罪的;知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的;曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的。这种情形是侵犯公民个人信息最为严重的情形，只要是侵犯公民个人信息被他人用于犯罪的或者知道他人准备用于犯罪的，不以数额定罪，一条也构成犯罪。或者因侵犯公民个人信息处罚过再犯的，也不以数额入罪，一条也构成犯罪。

第二种情形，非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的。这种情形是50条信息入罪条款，把侵犯的公民个人信息严格限定在行踪轨迹信息、通信内容、征信信息、财产信息共四大类上面，不允许司法实践中的等外解释。 [2]這四类信息直接关系的公民的人身安全和财产安全，一旦泄露容易造成非常严重的后果。

第三种情形，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的。这种情形是500条信息入罪条款，把侵犯的公民个人信息限定在住宿、通信、生理健康、交易等信息类型上，这种情形的信息司法实践中可以做等外解释，只要是与住宿、通信、生理健康、交易的公民个人信息相当的信息即可，这种信息也容易被犯罪分子用于精准诈骗。

第四种情形，非法获取、出售或者提供前面三种情形以外的公民个人信息5000条以上的;或者违法所得5000元以上的;将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到前几种信息规定标准一半以上的。这种情形是5000条信息入罪条款，除了侵犯上述三种相对敏感的信息以外的其他信息，入罪標准需要达到5000条。

《解释》的第5条的最后还规定的几种加重情节：造成被害人死亡、重伤、精神失常或者被绑架等严重后果的、造成重大经济损失或者恶劣社会影响的、数量或者数额达到前款第3项至第8项规定标准10倍以上的及其他情节特别严重的情形，应当认定为刑法第253条之一第1款规定的“情节特别严重”，处3年以上7年以下有期徒刑，并处罚金。

《解释》第6条规定了侵犯公民个人信息犯罪的出罪条款，即将侵犯公民个人信息（5000条入罪条款的个人信息类型）的目的为合法经营活动的（仅自用，没有非法出售或者提供给他人），需要获利5万元以上的才构成犯罪，这条的规定体现了刑法的谦抑性和宽严相济的精神。

（二）认定财产信息应符合主客观相统一的刑法基本原则

主客观相统一原则是我国刑法理论一直主张并为司法实践所接受的一项原则。本案中朱某某非法收购和获取的车牌号、车主姓名、身份证号等信息确实属于刑法应予以保护的信息，一旦泄露也会给所涉及的公民造成潜在的威胁，因而，这些信息属于刑法保护的对象。但这些车主信息并不构成《解释》第5条第3项中的“财产信息”。一般而言， 财产信息既包括银行账户、第三方支付结算帐户、证券期货等金融服务账户的身份认证信息，也包括存款、房产等财产状况信息。参与起草《解释》的最高法院喻海松法官在其《侵犯公民个人信息罪司法解释理解与适用》中谈到了司法实践中有关“财产信息”的把握应谨慎的立场。 [3]同时笔者认为，本案涉及的信息也不属于“500条”个人信息入罪的信息类型，根据《解释》的规定，这种信息类型是指住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的信息，这里强调的影响财产安全的信息应是能直观表现公民个人的财产状况或者财产变动的信息，最典型的信息如公民个人在银行里的存款变动、房产变动信息或者股票交易信息等。银行存款变动、股票交易信息、房产转让信息等都直接反映公民个人的财产状况或者财产变动的信息。但是，本案涉及的车主信息却并未涉及车辆的具体购买价格、购买方式、贷款情况等可以对车辆进行估价或者评价公民个人财务变动的内容。更为更要的是，朱某某等人购买和使用该信息的主观目的就是为了推销房产和贷款，朱某某等人将信息购买后仅打印出车主的姓名和电话供自己及员工打电话推销房产和贷款，并非用于实施针对人身或财产的侵害行为，最终也没造成泄露信息后发生针对人身或财产的侵害行为的发生。因此，朱某某等人的主观方面的人身危险性并不大，他们均为房产销售，非法获得信息也是为了提升业绩，这些人虽有一定的社会危险性，但综合本案的具体情况，笔者还是主张将相关的信息而仅以普通公民个人信息定罪处罚，不能认定为财产信息。

（三）朱某某等人承担的刑事责任应符合罪责刑相适应的刑法基本原则

朱某某作为房产销售员为推销房产和贷款，购买和非法获得相关信息后又提供给他人使用，不能适用合法经营活动的出罪条款。 [4]朱某某非法获取公民个人信息后并非使用全部信息而只是截取、打印出相关的姓名和电话用于推销，笔者认为应对其适用一般公民个人信息的入罪定罪量刑（即上已述及的5000条信息入罪的情形），因其非法获取的公民个人信息总量超过10万条，已达到情节特别严重的标准，法定刑为有期徒刑3年以上7年以下，并处罚金，对朱某某的教育惩戒目的已经达到。同案行为人高某某、宋某某因合法经营活动而非法获取公民个人信息，获利未能达到5万元或者有其他情节严重情节的情形，两人均不构成侵犯公民个人信息罪，应建议公安机关给予两人行政处罚。

综上所述，朱某某作为房产销售的工作人员，违反国家有关规定，非法获取公民个人信息后又提供给他人使用，合计侵犯公民个人信息126649条，情节特别严重，应当以侵犯公民个人信息罪追究其刑事责任。顾某某、宋某某违反国家有关规定，从朱某某处非法获取公民个人信息80427条，因其二人获取信息的主观目的是为了提高工作业绩，可以认定为合法经营购买、收受的公民个人信息，又因其二人的违法所得均未能达到5万元以上，因而该二人的行为不构成侵犯公民个人信息罪。

注释：

[1] 具体数据限于篇幅不再罗列，相关内容参见喻海松：《网络犯罪二十讲》，法律出版社2018年版，第201页。

[2] 参见喻海松：《侵犯公民人个信息罪司法解释理解与适用》，中国法制出版社2018年版，第38页。

[3] 同前注[2] ，第41页。

[4]《解释》第6条规定：“为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的‘公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的‘情节严重：（一）利用非法购买、收受的公民个人信息获利五万元以上的;（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的;（三）其他情节严重的情形。实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。”