刑法没有对“个人信息”进行界定,在此之前,刑法一般是参照林林总总的法律法规或者司法解释来界定其犯罪对象,如网络安全法、两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》、身份证法、消费者权益保护法等。那么,民法典、个人信息保护法出台之后,应当如何理解侵犯公民个人信息罪的犯罪对象呢?对这个问题的回答分为以下两个层次:1.了解民法典、个人信息保护法对个人信息的界定;2.从刑法的角度对个人信息进行界定并明确民法规定的借鉴意义。
张新宝教授梳理了民法典与个人信息保护法中有关个人信息的规定。其中,民法典第一千零三十四条采取“概念+列举”的方式对个人信息进行了界定,即个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。张新宝教授认为匿名化处理后的信息不属于个人信息的范畴。
而在个人信息保护法中,第四条对个人信息进行了原则性规定,即个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。在此基础上将个人信息划分为一般个人信息与敏感个人信息。法律为了强化对敏感个人信息的保护,对其设置了特殊的处理规则,在敏感信息之外的其他个人信息则属于一般个人信息。敏感个人信息的保护,是个人信息保护法的重中之重。具体来说,依据法律的规定,敏感个人信息分为以下三类:
一是一旦泄露或者非法使用容易导致自然人人格尊严受到侵害的个人信息。如人脸信息等生物识别信息、宗教信仰和特定身份信息、医疗健康信息等。这些个人信息如果被泄露(尽管收集可能是合法的)或者非法使用,容易导致自然人的人格尊严受到侵害,被他人非法歧视等。
二是一旦泄露或者非法使用容易导致自然人人身、财产安全受到危害的个人信息。如生物识别信息、行踪轨迹信息、金融账户及相关的信息等。这些个人信息如果被泄露(尽管收集可能是合法的)或者非法使用,容易导致自然人的人身、财产安全受到危害。比如,个人的行踪信息被泄露或者被犯罪分子掌控,就可能危及该特定个人的人身安全;个人的金融账户包括储蓄账户及取款密码等泄露或者被犯罪分子掌控,就可能危及该特定个人的财产安全,导致存款被盗取造成其财产损失。
三是不满十四周岁未成年人的个人信息。个人信息保护法草案三次审议稿增加这一规定,将不满十四周岁未成年人的个人信息规定为敏感个人信息,受到强化保护。也就是说,涉及不满十四周岁未成年人的个人信息,均属于敏感信息。
为具体把握侵犯公民个人信息罪的犯罪对象,周光权教授采取了特征归纳的方法,提炼出以下三个标准对个人信息进行界定:
1.具有可识别性。个人信息必须与自然人相关联,而且与特定自然人相关联,同时具有识别性,即通过该信息已识别或者可识别特定自然人。那种经过匿名化处理后无法识别特定个人且不能复原的信息,虽然也可能反映自然人的活动情况,但与特定的自然人无直接关联,不属于公民个人信息的范畴。
2.属于有效的信息。信息必须有效,这是定罪时不能忽略的硬性要求。对于信息没有进行匿名化处理,但行为人为获取高额经济利益,提供重复信息以增加信息数量的,或者信息经多次流转,行为人获得的信息重复量大的,或信息明显虚假、无效(例如,手机号仅有10个数字,仅有座机号)的,这些信息由于其不能对应到具体公民,不属于本罪的个人信息。
3.对某些信息突显与个人行动自由的关联性,弱化可识别性。例如公民的行踪轨迹等信息,由于与特定个人的行动自由、生命身体安全有紧密关联,根据两高2017年发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》,侵犯该等信息的入罪标准非常低。对于这类信息,在与特定个人的行动自由、生命身体安全有紧密关联的意义上,具备广义的可识别性特征即可。
周光权教授指出,关于个人信息的外延,刑法上的认识确实和其他部门法之间存在细微差别,不同部门法的规范目的不同,在概念使用上有所不同,这是非常正常的现象。但是,这丝毫不意味着刑法上的判断可以抛开民法典、网络安全法乃至个人信息保护法“另搞一套”。此外,周光权教授还认为,未来应该考虑在刑法上抛弃对于个人信息种类进行细分的思路,直接采用个人信息保护法的方案将个人信息区分为敏感信息和一般信息两种。对于一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息进行严格保护,规定相对较低的定罪数量标准。对于除此之外的一般信息,规定相对较高的定罪数量标准,同时在行为人处理一般信息实施违法犯罪行为的对其数罪并罚,以防止轻纵犯罪人。