“黑灰产”型侵犯公民个人信息犯罪的全链条打击实践

● 林晓萌 韩粮远 黄 鹏/文

谢某、李某甲等人侵犯公民个人信息案

一、基本案情及办理过程

2020年，上海某科技公司针对新型农村社会养老保险（以下简称“新农保”）研发了一款具备快速注册和人脸识别功能的生存认证APP。为推广该APP软件，由公司为购买地区承担社保生存认证工作。谢某获悉后，主动联系该科技公司，表示可免费为公司承担认证操作工作并获许可。2021年4月至7月间，谢某为牟取非法利益，先后组织杨某等10人前往吉林省辉南县、辽宁省西丰县、桓仁满族自治县等多地农村，使用该APP对参保村民进行认证。期间谢某经与天津市宁河区的李某甲、李某乙等人预谋，由上述人员向谢某提供事先批量注册的百家号“白号”（未实名认证账号），谢某团伙借新农保认证之机采集村民姓名、身份证号码和人脸信息，将“白号”激活为具备发布功能和商业营销价值的实名认证账号，再向李某甲、李某乙等人出售。通过此种方式，李某甲、李某乙从谢某处购得实名认证的百家号、抖音账号1.9万个，连同从张某、刘某甲等人处非法获取的其它账号，向高某、刘某乙等20余人出售。高某、刘某乙等人将所得账号出售或者成立自媒体工作室批量运营，致使包含公民个人信息的实名账号被多次转卖，被加工成营销号用于流量返利等活动。经查，李某甲非法获利70余万元，谢某等11人非法获利共计人民币31万余元，李某乙、刘某甲等26人非法获利数千元至十余万不等。

2021年8月至10月间，天津市宁河区人民检察院（以下简称“宁河区检察院”）先后对谢某、李某等18人批准逮捕，后公安机关将全案38名犯罪嫌疑人移送审查起诉。宁河区检察院经依法审查，认为谢某、李某甲等人非法获取、提供公民个人信息，情节严重，构成侵犯公民个人信息罪。涉案人员在审查起诉阶段均认罪认罚并退缴违法所得。2021年12月14日、2022年3月19日，宁河区检察院先后将谢某、李某甲等36人提起公诉（另对2人作相对不起诉处理）。2022年6月8日、21日，天津市宁河区人民法院依法作出判决，采纳全部指控事实和量刑建议，以侵犯公民个人信息罪对谢某、李某甲等9人分别判处有期徒刑4年至2年不等，并处罚金；对李某乙等27人分别判处有期徒刑3年至6个月不等，适用缓刑，并处罚金。各被告人均未上诉，一审判决已生效。

二、办案中的要点分析

（一）链条化犯罪中身份同一性证据的收集与识别

本案属于典型的“黑灰产型”侵犯公民个人信息犯罪，呈现产业化、链条化特征，“专业人员”批量获取公民身份信息，将其加工为信息物料后直接流入下游违法产业。谢某、李某甲等人分属上游信息窃取者、中游贩卖加工者，此外还涉及下游账号运营者，上述人员通过网络结识和交易，相互不知晓真实身份，不具有辨认条件。为有效指控犯罪，收集身份同一性证据、建立账号与涉案人员之间的对应关系至关重要。

以谢某为例，本案中谢某的下家李某甲最先到案，公安机关通过技术手段锁定谢某并将其抓获归案。检察机关经过审查，发现在案缺乏身份同一性证据，遂引导公安机关多方面收集证据，建立谢某网络身份与现实身份关联：一是补充调取微信账号实名注册信息，查明与李某甲联系和交易的“中正”微信号注册人即为谢某；二是从资金流入手，调取微信号绑定的银行账户信息及流水，查明该账户开户人为谢某，资金流向其他团伙成员，并用于谢某个人消费；三是专门就微信号控制使用情况开展针对性讯问，谢某供述该微信号注册于2020年、专门用于贩卖百家号，成为证实身份同一性的直接证据。综合在案主客观证据，谢某关于交易的时间、数额、方式的供述与客观证据能够相互印证，全案形成证明身份唯一性的闭环。

同时，检察机关引导公安机关对后续到案的犯罪嫌疑人，按照上述标准及时收集、固定身份同一性证据，提升了侦办质效，精准进行全链条打击。

（二）实名账号能否认定为公民个人信息

实名账号能否认定为本罪中的公民个人信息，是本案的一项焦点问题。否定意见认为，本案中作为交易对象的是实名认证的百家号和抖音账号，买卖双方并没有利用与账号关联的人脸、身份证号码等具体信息的主观故意，也无法通过账号获取上述信息。同时，根据《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第4条规定，匿名化处理后的信息不属于个人信息。涉案账号登陆后不能直接查看人脸、身份证号等具体信息，属于本条规定的匿名化处理后的信息，不应认定为公民个人信息。

检察机关经审查认为，涉案实名账号应当依法认定公民个人信息。理由如下：

首先，实名账号认定公民个人信息具有法律依据。《中华人民共和国网络安全法》第76条和“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第1条采用概述加列举的方式对公民个人信息的内涵及外延作了解释，《解释》更是明确将账号密码列举为个人信息，2021年颁布的《个人信息保护法》继续将可识别性作为个人信息的基本内核，从立法精神上与上述规范一脉相承。涉案百家号和抖音账号，通过实名认证，在账号与自然人身份之间形成了唯一性联系，使账号包含了公民（实名认证人）个人的姓名、身份证号码等具有较强识别性的公民个人信息基本要素，此时的实名账户具备了法律法规及司法解释规定的“公民个人信息”的本质属性，可以成为侵犯公民个人信息罪的犯罪对象。

其次，涉案账号未经匿名化处理。笔者认为，《个人信息保护法》所称的匿名化处理需要具备两方面条件：在处理目的上，是为了消除可识别性有意为之；在处理结果上，需要经过针对性加工，实现“去标识化”效果，例如，针对姓名、身份证号码，通过“*”隐去重点段位内容，即为常见的匿名化处理方式。本案中，虽然登录时只需要账号、密码，无须输入身份证号、手机号等信息，但这系相关网站的系统设置规则，而非行为人意向指示下的匿名化处理导致的结果。账号登录后，在后台也能查找到实名认证人的身份信息及脸部识别情况。由此可见，涉案账号没有进行有目的性的匿名处理，在结果上也没有实现“去标识化”效果。此外，本案中账号买卖系通过微信以Excel表格形式进行，表单中包含账号名称、密码、注册人真实姓名、身份证号码、手机号等信息，是具有形式和实质内容的公民信息综合载体，而涉案人员对上述信息始终未进行匿名化处理。

最后，账号泄露会造成实质危害。伴随我国数字化程度的提高以及数字技术与社会生活深度融合，个人信息的应用价值和商业价值日益明显。［1］参见张旭：《侵犯公民个人信息犯罪刑事治理研究》，《吉林大学社会科学学报》2022年第6期。本案大量涉案人员系专职的灰产从业者，其之所以批量贩卖相关实名账号，就是看中其背后数量的广泛性、来源的易得性及最终利润的丰厚性，这也是近年来各种侵犯公民个人信息违法犯罪行为急剧增长的根本原因之一。网络平台运营机制下，实名账号具有较高的经济属性，非法获取和利用实名账号，无论是对公民个人隐私保护，抑或个人信息的潜在商业价值，都会造成不利影响。

（三）本罪的违法所得应否扣除犯罪成本

本案中大量信息贩卖人员，系通过“低买高卖”方式、赚取差价以牟利。诉讼中辩方有观点认为，在计算违法所得时应当将买入价格作为成本扣除。对此，检察机关认为，本罪中的违法所得不应扣除犯罪成本，应当以出售价格全额认定。

从法律规定看，《解释》第5条、第6条对非法获取和合法经营活动中获取公民个人信息进行了二元区分，在认定情节严重和情节特别严重标准时，前者以“违法所得”计算，后者以“获利”计算，暗含了“违法所得不扣除成本、获利扣除成本”的内旨。2018年《检察机关办理侵犯公民个人信息案件指引》进一步明确，“对于违法所得，可直接以犯罪嫌疑人出售公民个人信息的收入予以认定，不必扣减其购买信息的犯罪成本”。上述规定为本罪中违法所得的计算标准提供了法律层面的支撑。

从理论上分析，不扣除犯罪成本符合罪责刑相适应原则。通过梳理法律规定，可以发现刑法中常见的犯罪成本扣除情形大致有两类：一类是财产犯罪特定情形下的扣除，其原理在于，具有弥补和减少被害人损失功效的犯罪成本可扣除，因此也有严格的条件限制，要求犯罪成本应以被害人为给付对象（如诈骗罪中的反对给付），同时具有价值性、可流通性等财产属性。另一类是行政犯罪，如生产、销售伪劣商品犯罪、知识产权犯罪中，类似犯罪中犯罪数额计算标准不一，但违法所得中扣除犯罪成本通常以司法解释的明确规定为前提，例如生产、销售伪劣商品相关司法解释中，对“销售金额”与“违法所得”进行了并列规定，可当然推知此处的“违法所得”不包括进货价格等犯罪成本。具体到侵犯公民个人信息罪中，个人信息作为公民权利载体，其本身不能成为“交易物”，为购买信息付出的“成本”，其利益对价也并未给到权益受损方，而是转变为对上家的非法活动的财产补给，扣除“进货价”在一定程度上会形成司法为非法买入信息行为作“合法性背书”的不良导向。同时，在“薄利多销型”的侵犯公民个人信息犯罪中，犯罪数额的大量削减会造成轻纵犯罪，背离罪责刑相适应原则。

从司法实践看，违法所得的认定与财产刑的确定密切相关，审判机关计算罚金、没收财产数额，通常以违法所得数额为基础。正如有司法工作者指出的，“结合‘不让犯罪分子通过实施犯罪获得任何收益’的原理分析，所有通过实施犯罪而直接、间接产生、获得的任何财产都应予以没收”［2］刘晓虎、赵靓：《“违法所得”概念的界定和司法认定》，《人民法院报》2018年7月4日。。“不让犯罪分子从违法犯罪行为中获利”，既符合打击犯罪的司法价值导向，又符合公众的朴素价值观，公民个人信息不能成为交易对象，为贩卖给付的对价当然不能扣除。

此外，犯罪成本的计算和认定也存在现实困难。如贩卖行为多以隐蔽、虚拟的网络交易实施，确定数额时本就存在困难，再如网络流量费、为加工运营账号而支付的技术费用等应否计入成本、如何计算等，均存在实操困难，容易造成个案裁判尺度不一。同时，扣除犯罪成本可能会出现因经营能力或自主定价等因素影响案件处理，如部分行为人贩卖数额巨大，但因其犯罪成本投入较大、实际获利较小，因而获得较低刑罚甚至出罪，造成刑事打击的不公。

三、办理类案的实践启示

（一）分层处理，贯彻落实少捕慎诉慎押刑事司法政策

“黑灰产型”侵犯公民个人信息犯罪涉及多个链条、涉案人员众多，不同人员在主观恶性、犯罪层级、获利数额方面存在差异。办案中要以少捕慎诉慎押刑事司法政策为引领，区分情形、区别对待，审慎作出逮捕、起诉和羁押决定。具体而言，对窃取信息源头的犯罪团伙主要成员、专门从事网络账号灰产行业的顶端收购者等核心犯罪人员，要体现依法从严惩处；对团伙从犯、销售环节赚取差价及仅有收购行为等情节相对较轻、获利较低的中末端人员，可以结合情节、获利、退赃情况，依法从宽处理；对其中的未成年人、在校生等特殊身份人员，符合不捕、不诉条件的，可考虑作出相对不捕和相对不起诉决定。

（二）从严惩处，全面打击上下游犯罪

随着大数据时代的来临，侵犯公民个人信息罪已成为“百罪之源”，并逐渐形成“源头—中间商—非法使用”的庞大“地下产业”和黑色利益链。［3］参见喻海松：《网络犯罪二十讲》，法律出版社2018年版，第202页。“黑灰产型”侵犯公民个人信息犯罪的危害性极大，行为人并不满足于一次犯罪所得收益，而是着眼于通过长期、稳定的犯罪模式持续牟利，在利益驱动下，个人信息以几何式规模批量流入下游黑灰产，为网络诈骗、赌博、非法运营等违法犯罪提供了条件。针对“黑灰产型”侵犯公民个人信息犯罪，检察机关在办案时应当树立全链条打击理念，上下游深挖、全方位惩处，彻底斩断利益链条。要注重对产业链条和行为模式的分析，排查可能存在的黑灰产业集群，从窃取源头直到出售末端，深挖彻查上下游犯罪，彻底铲除侵犯公民个人信息犯罪土壤。检察机关要加强与公安机关的协作配合，充分借助联席会议、提前介入以及侦查监督与协作配合办公室等体制机制优势，会商侦查难点痛点，追溯背后利益链条，梳理侦查方向思路，拓展线索发现渠道，掌握锁定关键证据，引导及时、规范、全面侦查取证。本案中检察机关多次与公安机关进行会商研究，及时引导侦查，在作出逮捕决定后，及时制发了书面补充侦查提纲，引导公安机关继续深挖上、下游犯罪，排查控制了其他上下游涉案人员，同步扣押了手机、电脑等作案工具，为查清事实奠定了基础，有效惩治了窃取源头直到最末端出售的犯罪分子，彻底清除了隐蔽的窃取、销售、运营链条，充分彰显了打击效果。

（三）延伸职能，强化完善社会综合治理

公民个人信息泄露往往伴随着监管不力、履职不到位等深层问题。检察机关在依法办案的同时，要能动履职、充分融入社会治理，推动形成公民个人信息保护合力。一是要抓前端、治未病，将诉源治理融入案件办理过程。本案中，检察机关针对在办案过程中发现的管理疏忽及制度漏洞等问题，向相关主管部门制发了检察建议，建议规范新农保认证工作流程和保密规章、注重委托合作公司资质审核及转委托监督、加强个人信息保护法治宣传，并充分发挥检察一体化优势，与当地检察机关开展异地协作，共同完成了检察建议的宣告送达和跟踪督促，促使其及时堵塞社会治理漏洞，从源头上防范公民信息泄露。二是积极追赃挽损，铲除相关黑灰产业生存土壤。本案中检察机关结合认罪认罚开展追赃工作，在提前介入黄金期建议公安机关及时摸排嫌疑人财产信息，在捕后诉前关键期突出对涉案违法获利资金的引导侦查，在审查起诉攻坚期充分释明刑事司法政策，形成退赃轻处的处置模式。经努力，本案38名犯罪嫌疑人在审查起诉阶段主动退赃共计100余万元，检察机关结合退赃情况，发挥认罪认罚从宽制度的政策优势，充分释放从宽红利，取得了良好的办案效果。三是加强普法宣传，开展以案释法，提升公民个人信息保护意识。检察机关在办案同时，要落实好“谁执法 谁普法”的普法责任制。一方面引导公民在日常生活中提高警惕，树立自我保护意识和安全防范意识，谨防以各种活动为名行侵犯公民个人信息之实的违法犯罪行为，另一方面向潜在的犯罪分子明示国家对相关犯罪行为的严厉打击，形成办理一案、警示一片的效果，形成国家治理侵犯公民个人信息犯罪打击合力，营造关注信息保护的良好社会氛围。