个人基因信息的刑法保护路径研究*——兼论侵犯公民个人信息罪所涉的法益

王雪松

基因（遗传因子）是产生一条多肽链或功能RNA所需的全部核苷酸序列，是控制生物性状的基本遗传单位。基因技术的产生与发展不仅被称为生物科学领域的“哥白尼革命”，而且掀起了诸如医疗与制药、就业与保险等社会各个层面的变革[1]；尤其是在法律领域，基因医疗作为尖端医疗技术，传统的医疗伦理和法律已经很难对其作出合理规制[2]。随着大数据技术对信息收集、处理能力的增强，个人信息在其应用和商业价值提升的同时，也面临着前所未有的被泄露与滥用危机。尽管为加强个人信息的保护，《网络安全法》及《个人信息保护法》《刑法》进行了立法上的努力，但在当下学界的研究之中，个人基因信息仍处于被忽视的状态。本文试图从基因信息的特殊性出发，通过阐释侵犯公民个人信息罪所涉的法益，以探究个人基因信息在刑事法律中的定位与保护路径。

一、基因与基因信息

（一）基因是基因信息的原初物质载体

有观点认为“基因”一词，通常是指基因物质或基因信息”。[3]但是，“信息并不是物质、也不是能量，基因与基因组都不能直接产生价值”[4]。因此，严格来说；基因物质不是基因信息，基因也不等同于基因信息。“基因具有兼顾物质性与信息性的双重属性”这一命题，揭示出基因作为物理的客观存在是基因信息的原初物质载体，而正是这一点也在一定程度上误导了部分学者对二者关系的解读，使基因物质与基因信息被混为一谈。

鉴此，笔者认为，有必要将基因的物质性与信息性予以拆分，对二者进行精细化的区分更有利于研究的展开：“基因”特指基因物质；而“基因信息”指与遗传有关的个人信息。同时，对于人体遗传物质的研究来说，基因与基因信息的重要性会不断变化。在基因与基因信息分离之前，基因作为客观存在具有较大的研究价值。不同类别的基因会携带不同的遗传信息，如结构基因、调控基因和RNA基因。可以说，识别不同类别的基因是分析基因信息的前提与基础。但是，当基因信息通过特定的提取技术与基因相分离后，基因就可能成为无关紧要的存在，因为此时记录着个人出生、成长、衰老、死亡等重要资料的基因信息，便可以不受基因这一原初物质载体的限制而任由基因信息的处理者记录于物理空间或虚拟空间。这就如同公民的普通个人信息一样，基因信息可以被记载于纸张或文书，也可以被存储于闪存盘或者云端服务器之中。所以，在公民个人信息的研究范畴中，“基因信息”成为核心概念，而非基因。

（二）个人基因信息是侵犯公民个人信息罪的行为对象

基因信息不仅记载着个体的独特遗传资料，更是关于一个国家、族群，甚至是关乎全人类的“生命密码”。根据有关学者的研究，基因信息可以分为三类：整个人类共同所有的基因信息；某一人类族群所共同拥有的基因信息；标志着个人特征的基因信息。[5]另外也有观点采取了二分法，即群体基因信息与个人基因信息[6]；前者的内涵大致与三分法中的“族群基因信息”相同。

根据有关法律的规定①，自然人的“可识别性”作为认定个人信息的核心要素已经成为学界共识。因此，只有凸显出个人特征的基因信息才能成为侵犯公民个人信息罪的行为对象。其理由为：一是如同仅仅凭借自然人所共同具有的某些生理特征无法“锁定”某人一样，人类共同所有的基因信息显然不能成为识别特定自然人的依据。作为人类的共同财富，此类基因信息的利用应遵循以“合作与共享”为核心的共同继承原则。二是虽然较人类共同所有的基因信息而言，群体基因信息具有较大的种群差异性，可以体现出群体之间的生物多样性，并且关乎民族团结与国家安全，但是通过该类基因信息仍无法达成准确识别个体的目的，因此该类信息也不属于侵犯公民个人信息罪的行为对象。对违规使用或泄露群体基因信息的行为，可依照《人类遗传资源管理条例》中的相关规定或《刑法》中有关泄露国家秘密的犯罪进行处理。三是尽管家庭所共有的基因信息虽具有群体特征，但仍应注意，其原则上属于个人基因信息。尽管家庭成员的数量显然不能与种群、族群、民族、国家的成员数量相提并论，但家庭成员间的亲疏关系却比上述群体概念中的成员关系更为密切，其基因信息之间的相似性也更高。从可识别性的角度来看，只要掌握了一个家庭成员的基因信息，就可以较为轻易地推测出其他家庭成员的生理遗传信息；而如果获取了整个家庭的基因信息，则识别出其中的某个个体也并非难事。所以，将家庭所共有的基因信息归入个人基因信息，更加有利于个人信息的保护。

（三）个人基因信息的特点

个人基因信息的主体兼顾个体与家庭。如上所述，从个人与家庭的密切关系来看，家庭所共有的基因信息属于个人基因信息。个人基因信息中蕴藏着家庭的遗传信息，家庭所共有的基因信息通常也存在于每一个独立的家庭成员之中。例如，相关医学研究与临床调查资料均表明，原发性高血压具有家族聚集性的特点，父母均患高血压者之子女其患病率高达45%。[7]但是，养父母与其子女之间则不存在类似的高血压相关性。[8]由此可见，个人基因信息的主体具有多元性，不仅涉及具体的个人，还涉及与其相关的家庭成员。

个人基因信息的性质兼顾过去、当下与未来。普通的个人信息，如个人的身份证件号码、住宿信息、通信记录、通讯联系方式、住址、行踪轨迹信息等，只能表征个人当下或过去有过的某类经历及状态，但个人的基因信息则不仅可以反映主体的生活习惯、健康状况，解释其某项疾病的产生原因，还可以预测其未来是否会患上某种遗传性疾病，并且可以通过计算推演出患病的机率，从而为基因信息的主体制定相应的诊疗方案提供参考。因此，个人基因信息对主体健康状况的预测性是其区别于普通个人信息的重要特点。

个人基因信息的应用兼顾专业与价值。一方面，如果想要获知自己的基因信息，那么权利人一般需要借助于基因检测技术。[9]这意味着在没有专业人员与设备的情况下，普通人无法完成对于自身基因信息的获取、分析与解读。另一方面，专业技术的介入也使得获取并解读基因信息本身需要付出较大成本。当前基因检测的费用多数在几百至几万元人民币之间，某些癌症基因检测的费用甚至高达数十万元。此外，从数据价值上来说，基因信息具有单一体价值的有限性和集合体价值倍增性的特点，这一作用在大数据技术的加持下将日益凸显。[10]基因信息所具有的巨大商业价值，也已经被众多生物科技企业与医疗研究机构所关注，成为研发新药、进行基因治疗的重要资料。正是个人基因信息应用的专业性使其具有了普通个人信息所无法比拟的高价值性。

二、基因信息的立法与研究现状

（一）基因信息的立法现状

纵观世界各国与基因技术有关的法律，单独立法与附属立法是两种主要的立法模式。前者是指针对基因技术制定统一的法律规范，如德国的《基因技术规制法》；后者是指散落在各类部门法中的涉及基因技术的规范所共同组成的法律体系。[11]我国尚未制定有关基因技术的专门法律，相应地，与基因信息有关的规范也散落在民事、行政与刑事法律之中。

据学者考证，我国民事法律体系中“基因信息”的表述首次出现于处理信息网络空间中人身权益纠纷案件的司法解释之中。[12]该解释第十二条第一款明定了网络用户个人基因信息作为个人隐私的侵权责任。②然而可惜的是，此后6年中立法者并未对基因技术及基因信息有新的立法尝试。直至2020年《民法典》的出台，基因技术才又回归到民事立法的视野中。《民法典》第一千零九条对基因技术的应用作出了原则性规定，但未具体涉及基因信息的保护和应用规范。

相较于民事法律，涉及基因技术的行政法规与部门规章颁行较早且门类较多。从1993年的《人的体细胞治疗及基因治疗临床研究质控要点》（卫药政发〔1993〕第205号），到国务院2019年的《人类遗传资源管理条例》（中华人民共和国国务院令第717号），20余年中不断有各个层级的各类基因技术规范出现。③一方面，这些行政法规为规范人类遗传资源采集与保藏、加强基因技术应用监管、促进人类遗传资源的合理利用提供了法律上的保障。另一方面，这类行政法规也存在一些不可忽视的问题：一是此类行政性规定较多关注人类遗传资源的公共属性，缺乏对于基因权利人个人利益的保护；二是注重基因技术的规制而鲜有针对基因信息特性的特别规定；三是管制色彩较重，有束缚基因技术与信息利用的可能。

刑事立法中有关基因技术的罪名有：非法采集人类遗传资源、走私人类遗传资源材料罪、非法植入基因编辑、克隆胚胎罪和侵犯公民个人信息罪。可以看出，前两类罪名主要是对基因技术的规制，而侵犯公民个人信息罪则可能涉及基因信息的保护。笔者之所以用“可能”一词，是因为本罪的条文与本罪司法解释中均没有基因信息的表述。虽然部分学者将基因信息归入了《人民检察院办理网络犯罪案件规定》中的“生物识别信息”之中，但如后所述，生物识别信息不等于基因信息，二者也不是包含与被包含的关系。此外，基因信息也不应属于《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简作《个人信息解释》）中的“健康生理信息”。尽管如此，基于对法秩序统一和现实情况的考量，对侵犯公民个人基因信息的行为仍可适用本罪。

（二）基因信息的研究现状

虽然有关基因信息的民事立法晚于行政法规的出台，但是民法学者们对于基因信息的研究却起步较早。总的来说，民法学者对于基因信息的认识经历了一个从完全私法概念上的“基因隐私权”到大数据时代兼顾公法利益的转变。例如，在基因信息的早期研究中，有观点认为，“基因作为个人数据是隐私的深层次内容”[13]；还有观点认为，基因信息直接关涉人的根本价值与尊严，毫无疑问是“隐私权”的客体[14]；随着“隐私权”内涵的变化，有学者注意到基因隐私权在保护机制、权利配置上都离不开公权力的介入与协助[15]，但此时基因信息的法律属性仍未脱离隐私权的范畴。近来，越来越多的学者逐渐意识到将基因信息作为隐私权的保护模式的不足[16]；并且有观点认为，基因信息在大数据时代的保护基础应从个人利益转向到公共利益[17]。可见，民法学者对于基因信息的认知经历了一个由“私”向“公”的转变过程。

虽然刑事立法中几乎没有“基因信息”表述的存在，但学界已经在基因信息属于个人信息分类中的敏感信息这一点上达成共识。[18]所以我们可以在一定程度上从刑法学者对于侵犯公民个人信息罪的法益界定中窥见刑法学界对于个人基因信息的可能态度。与民法的研究成果恰好相反，刑法学者对于侵犯公民个人信息罪的法益经历了从超个人法益向个人法益的回归。在本罪设立之初，有观点认为刑法保护公民个人信息的原因在于被害人具有较强的群体属性，所以本罪法益的公共性十分明显。[19]还有观点将侵犯公民个人信息罪的法益确立为社会信息管理秩序。[20]然而，在《个人信息保护法》颁行后，刑法学界对本罪的法益界定体现出了较为统一的转向，即将本罪法益确立为个人法益。例如，有学者通过分析本罪在刑法典中的章节地位、构成要件设计以及自然犯性质得出本罪的法益是个人信息权的结论。[21]另有观点认为本罪的法益是个人信息安全。[22]

从上述梳理中可以看出，个人（基因）信息的研究进程似乎在两个部门法中呈互相背离的趋势。对此，笔者认为可以作出如下解释：民法虽是平等主体间法律关系的规范体系，但基因信息的特殊性不得不使民法学者关注公法的规制作用；刑法在社会保障机能大行其道，不合理的扩大解释不断出现在司法解释的背景下更加强调法益保护机能，这是刑法的本质使然。当然，这也导致了个人基因信息在法律规制中的矛盾。

（三）基因信息刑事法研究中的概念误用

当前有关个人信息的刑事立法并没有明确将基因信息纳入其中，但是这并没有阻挡学者们对基因信息的研究，并且已经出现了与之相关的学术成果。可是，深入分析该类成果的研究方法与论证过程，便可发现此类研究并没有突出基因信息的特殊性，而是仅将“基因信息”作为生物识别信息、个人健康信息的相邻属概念。这种做法有概念误用之嫌，值得商榷。

一则，个人基因信息并不属于个人健康信息的范围。有观点认为，一方面，“当许多健康信息汇聚在一起，特别是包含一些具有专属性的生理纹理、基因图谱等信息时，组合起来已经可以指向某一个特定的个体”；另一方面，“‘个人健康信息’是指在疾病预防、体检、诊断、治疗、医学研究过程中所涉及的个人身体、精神的健康状况和家族病史等信息”[23]。根据这样的界定，个人健康信息所关注的是个人的既往病史与各类身体指标，并不包含具有预测性、共享性特点的个人基因信息。与此相关，考察相关技术规范《信息安全技术个人信息安全规范》（以下简作《规范》）对《个人信息解释》中“健康生理信息”的解释，“个人健康生理信息”与“个人健康信息”具有较高的相似性。④但是，在《规范》规定个人基因属于个人生物识别信息、与个人健康生理信息相并列列举的情况下，显然不宜将个人基因信息归属于个人生理信息的范围内。

二则，尽管《规范》通过列举将个人基因归入了个人生物识别信息的范畴，但是从个人基因信息的本质特点来看，这种做法值得商榷。第一，个人基因与《规范》中所列举的其他生物识别信息具有较大差异。指纹、声纹、虹膜、掌纹、耳廓、面部识别特征与普通个人信息相比，可识别性更强，并且指纹、虹膜、面部识别特征等信息作为支付以及解锁个人通讯设备的技术应用已较为广泛且成熟；但与个人基因信息相比，上述生物识别特征并不具有预测信息主体未来生理变化以及生活习惯的特点，而且该类信息作为完全体现私人特点、反映个人状态的信息，相对于其家庭成员的信息应属独立的存在，不可能据此推测出其家庭成员的相关信息，所以将个人基因与指纹、声纹、掌纹等生物识别信息并列列举并不合理。第二，在生物识别信息的已有研究中，对于个人基因信息的归属的确认较为模糊。例如，有的学者虽然采纳《规范》的规定，将个人基因归属于个人生物识别信息，但是其论述过程中又将生物识别信息与基因信息相并列。[24]显然，这样的处理方法并不严谨，会产生二者究竟属于何种关系的疑问。此外，现有对于生物识别信息的刑法保护研究中，多数学者都将研究重点集中在了人脸识别技术上，但如前所述，面部识别特征并不具有个人基因信息的特点，所以当下对于个人生物识别信息的研究其实未能涵盖个人基因信息。第三，欧盟相关立法关注基因信息的特殊性，并将基因信息独立于生物识别。[25]这在一定程度上表明，基因信息与生物识别信息的差异性大于二者共性这一观点已得到较大范围的认可。

三、个人基因信息与侵犯公民个人信息罪所涉法益的界定

（一）侵犯公民个人信息罪所涉法益的争议

1.个人法益论。

随着理论界对于刑法法益保护机能的日渐重视与强调，有关侵犯公民个人信息罪法益的相关研究集中于个人法益与超个人法益的对比。个人法益论在个人信息的收集、利用环节奉行传统的“知情同意”原则，这在基因信息的保护问题上将面临较大的困境。作为绝对私人属性的具体人格权，个人信息权说是个人法益论中的代表性观点。[26]个人信息权说论证路径是：个人信息的私人（有）性——自决权的行使范围（“违反国家有关规定”对信息自决权限制功能）——“同意”（被害人承诺）阻却违法、“不同意”则违法。但是，个人法益论遭到了较多来自于超个人法益论者的质疑与否定，对于基因信息来说，将本罪的法益界定为纯粹的个人法益与其特点并不契合。

对此，超个人法益论者的质疑存在合理性。第一，从个人信息的属性来看，公共属性客观存在，“个人信息不仅关系到自己还关涉他人，个人对自己信息的披露会影响到其他信息主体，因此，仅个人授权、个人同意是不够的。”[27]第二，从“知情同意”原则在现实中的落实情况来看，该项权利已经渐渐沦为“纸面上的权利”，成为相关主体不合理收集、滥用个人信息的“挡箭牌”。第三，从大数据技术与个人信息利用融合度不断加深的背景来看，过于强调个人信息的私有不利于信息的流通，也无法发挥个人信息在社会治理、经济发展中的巨大价值。

另外，上述个人信息权说的论证路径不符合个人基因信息的特点。第一，个人法益论的立论基础，即“基因信息的私人（有）性”存在疑问。如前所述，个人基因信息兼顾个体与家庭，个人与其家庭成员间分享着相同度较大的基因信息。所以，在通过基因检测收集权利人的基因信息时，就不可避免地面临着可能同时收集到与权利人有关的第三人的基因信息，而第三人并未像权利人一样完成“知情——同意”流程，那么基因检测机构获取并分析第三人基因信息的行为在个人法益论中便存在合法性上的疑问。第二，基因信息获取与利用过程中，信息收集者与权利人存在“信息不对称”，[28]这将导致“知情同意”的纸面化、形式化被进一步放大。面对自己近乎没有任何知识储备的生物基因领域，处于弱势地位的权利人往往被迫通过“一揽子同意”，授权基因检测机构对个人基因信息予以采集，这种缺乏全面说明与真正同意的做法实质上是对“知情同意”原则的背离。第三，基因信息的利用并不是一蹴而就的，而是伴随着基因技术的不断进步以及信息主体自身变化而充满调整的长期过程。因此，信息主体的意志很可能会在这个过程中发生改变，最初的“知情同意”也可能随着时间的流逝而失效。若此时基因检测机构没有征得信息主体的“二次同意”分析或利用该类信息，那么也会面临存在违法性的可能。但是，在每次对基因信息分析之前都要进行“知情——同意”的相关流程，势必会增加基因信息正常利用额外的成本。

2.超个人法益论。

与个人法益论的困境相类似，超个人法益论也受到了来自于个人法益论者的质疑。超个人法益论认为，侵犯公民个人信息罪的法益是公共信息安全或公共信息管理秩序。公共信息安全说认为，“公共”一词需要从公民社会、国家的角度进行解释，个人信息不仅关乎个人安全，还影响国民的安全感与整个社会的和谐稳定。[29]公共信息管理秩序说则认为公民个人信息权属于社会信息管理中的内容，《刑法》设立本罪的初衷并非单纯保护个人信息安全。[30]

对此，将本罪的法益界定为超个人法益存在不妥。一则，超个人法益论不能解释相关法律将“可识别性”作为认定个人信息的核心要素的原因。虽然个人法益论内部存在隐私权、财产权、信息自决权等的争论，但共同认可个人信息的人格权属性。换言之，只有承认个人信息的人身属性，才存在通过个人信息“识别”特定个体的可能。如果过于强调个人信息对于社会稳定的作用，那么“可识别性”则丧失了存在空间。二则，公共信息安全说与公共信息管理秩序说不利于刑法法益保护机能的实现，有扩张处罚范围的可能。超个人法益论倾向法益保护的前置化、预备化，但是个人信息的违法收集、使用行为对于公共安全的危害并不十分紧迫，对人身、财产的损害多数属于下游信息利用行为的犯罪结果。[31]三则，将本罪的法益界定为超个人法益不符合体系解释的要求。[32]立法者将本罪置于《刑法》第四章，这表明侵犯公民个人信息罪的法益应该与本章其他罪名所保护的法益类型相一致，即公民人身、民主等个人权利。

另外，超个人法益论不宜忽视基因信息所具有的个人属性。首先，尽管个人基因信息具有兼顾个体与家庭的特点，但其并不具备超个人法益所具有的广泛公共属性。换言之，个人基因信息所关涉主体的范围并不能与《刑法》分则第二章危害公共安全罪等典型的超个人法益犯罪相提并论。其次，超个人法益论与有关法律规定基因检测应遵循的“知情同意”原则相背离。即便“知情同意”原则在当下有不断“纸面化”的趋势，但其作为权利人行使个人信息自决权的“第一道防线”，无论如何也不能让位于超个人法益，否则便会为不经同意的强制基因检测开启方便之门，“人之所以为人”的人格与尊严届时也将不复存在。最后，权利人不仅对自身的基因信息享有知情权，还享有不知情权。在当前相关立法已经明确进行基因检测必须征得权利人同意的情况下，不知情权指当事人自愿接受基因检测时，有权拒绝基因信息的披露。[33]不知情权之所以重要，是因为基因信息的预测性会减少权利人对未来生活的期待性，患者及其近亲属会因为提前知晓将来可能身患疾病的信息而陷入恐慌和痛苦之中。[34]如果采取超个人法益论，那么出于保障受测者自身利益，甚至是维护公共利益的需要，权利人极有可能被强行告知其不愿得知或不能承受的基因信息，对其情绪造成负担。

（二）“个人信息受保护说”之提倡

针对上述侵犯公民个人信息罪应界定为个人法益还是超个人法益的争论，有学者采取了复合法益的观点，即本罪既涉及公民个人信息安全，更涉及公共卫生健康安全乃至国家安全；既关乎个人利益，又关乎社会公共利益。[35]然而，这种综合个人法益论与超个人法益论的“复合法益说”在兼顾两说优点的同时，也吸收了两说的困境与不足，实际上并没有真正解决问题。另外，个人法益与超个人法益之间的紧张关系也决定了二者难以在同一罪名中共存。[36]所以，侵犯公民个人信息罪所涉的法益仍应在个人法益与超个人法益中选择。参考各个学说的论证过程并结合基因信息的特点，笔者认为，应当认识到，本罪所保护的法益，在个人法益之外具有公法法益属性，即个人信息受保护权。

一是“个人信息受保护说”仍将本罪所涉的法益界定为个人法益。“个人信息受保护说”是从公法的角度理解个人信息的保护目的，提倡通过规制数据处理者的行为来规避侵犯个人信息的风险。该说认为，个人信息虽是公法权利，但个人法益体现在公权力对个人信息的保护上，而并不妨碍个人信息的私人属性。[37]从基因信息的收集和利用过程来看，基因检测机构不仅是掌握专业知识的强势一方，而且必然会早于权利人知道基因信息的内容，所以需要利用个人信息受保护权对抗专业的基因检测机构。因此，该说不仅可以使个人信息的公共属性与个人法益论相契合，而且符合对于个人基因信息的特别保护要求。

二是作为“个人信息受保护说”的内容，“同意相对论”缓和了个人法益论与超个人法益论与“知情同意”原则的对立。“同意相对论”认为，经过同意的个人信息收集与利用行为不可能成立犯罪，但是未经同意的行为能否成立犯罪则不能一概而论。[38]关于个人基因信息，一方面，相关法律从正面肯定了符合“知情同意”原则的信息收集与利用的行为阻却违法；另一方面，也为未经过“知情——同意”的程序，却实质阻却违法的行为扩展了出罪空间。这与有的学者所提倡的，对个体基因信息保护中知情同意模式进行改良创新，即从“个体的一次性特定同意”走向“共同体的动态概括同意”不谋而合。[39]

三是“个人信息受保护说”为进一步完善个人基因信息的保护立法提供了方向。该说认为，公法上的个人信息权必须由法律明文设立。[40]但是如前所述，针对基因信息的专门性规定并未出现在当前的刑事立法中，且将其归入以指纹、掌纹、面部识别特征为代表的生物识别信息也缺乏合理性，因此，笔者认为，之后的有关侵犯公民个人信息罪的司法解释，有必要对基因信息设置单独的条款，以突出其特殊性与重要性。

综上，将侵犯公民个人信息罪的法益界定为公法上的个人信息权不仅可以疏解个人法益论与超个人法益论的争论，而且符合基因信息的特点。

四、个人基因信息之刑法保护的相关规定的解释与完善

（一）对“违反国家有关规定”的解释

作为侵犯公民个人信息罪的构成要件要素，“违反国家有关规定”不仅使本罪的法益界定倍受争议，而且引发了本罪在具体适用中的问题。

不可否认，“违反国家有关规定”不但体现出部分法律、行政法规维护公共信息安全与秩序的目的，作为多数法定犯的标志，还为将本罪的法益界定为超个人法益提供了可能的论证路径。但正如学者所言，本罪是“带有法定犯气质的自然犯”[41]，立法者也将本罪的结果要件限定在了产生实害的情况。笔者认为，侵犯公民个人信息罪的法益是具有公法法益特征的个人法益，正是基于公权力对公民个人信息保护的考虑。在发挥法益的司法指导机能时，对“违反国家有关规定”的解释，也应将落脚点放在个人法益上。因此，“侵犯公民个人信息的行为即便违反国家规定，但是如果没有侵犯或者威胁公民个人的人身、民主权利的，也不能认定为犯罪。”[42]

对于如何理解“违反国家有关规定”的范围，有观点认为出于满足专业性、专门性以及有关性的考虑，需要将部门规章纳入其中。[43]反对观点则坚持在整体法秩序统一的前提下，应按照《刑法》第九十六条的规定理解“国家有关规定”的范围，即部门规章不能被包含在内。[44]笔者认为，前一种观点值得借鉴：其一，“有关”一词的存在与否使得二者表述不同。在本罪的解释过程中，即使没有严格按照《刑法》第九十六条理解“国家有关规定”的范围，而将部门规章纳入其中，也不会损害法秩序的统一性。其二，尽管《人类遗传资源管理条例》在管理基因信息方面是一部规定得较为完善的行政法规，但如前所述，我国有一定数量的涉及基因信息管理的部门规章，如果将这些规定排除在“国家有关规定”的范围之外，那么有可能产生处罚漏洞或者忽略部分具有实质合理性的出罪事由。其三，基因信息收集与分析的难度远远高于普通的个人信息，因此有必要充分发挥部门规章的专业性与专门性作用，这是出于基因信息特殊性的考虑。

（二）对“情节严重”的认定

由于当下刑事立法与研究尚未对基因信息的保护进行特别规制与研究，考虑到个人基因信息与健康生理信息以及以指纹、声纹、虹膜等为代表的生物识别信息的差异性，有必要明确基因信息在个人信息分类中的定位。从立法论的角度来看，有些学者已经提出未来《个人信息解释》修改时，将生物识别信息作为个人敏感信息的一个类别进行特殊保护。[45]受此观点启发，笔者认为在今后的立法中，个人基因信息也应当作为个人信息类别中受刑法特别保护的一类。考虑到基因信息的其他特点，其入罪所需要侵犯个人信息的数量标准也应较普通个人信息更低，至少要低于《个人信息解释》中通信内容、征信信息等50条以上的要求，具体可以设置为10条或5条。

此外，由于个人信息的概念完全可以涵盖个人基因信息，所以将其纳入侵犯公民个人信息罪的规制范围即可，不需要增设新罪。从解释论的角度来看，《个人信息解释》虽然不涉及基因信息，甚至没有针对生物识别信息的规定，但考虑到侵犯公民个人基因信息较侵犯行踪轨迹信息、住宿信息等个人信息的社会危害性只增不减，所以可以考虑将侵犯公民个人基因信息的行为纳入第五条“其他情节严重的情形”或“其他情节特别严重的情形”的范围之内。当然，这并不意味着任何程度的侵犯公民个人基因信息的行为都属于“情节严重”，甚至是“情节特别严重”。由于《个人信息解释》中对侵犯个人信息的数量标准最低为50条，所以从罪刑法定原则的角度出发，侵犯公民个人基因信息至少50条才能被认定为“其他情节严重的情形”。另外，由于基因信息具有较强的人身属性，不宜单独以信息数量作为“情节严重的情形”或“情节特别严重的情形”的判断标准，应结合行为手段、损害结果进行综合评判。[46]

（三）对实质出罪事由的补充

如前所述，“同意相对论”认为，具有公法法益特论的批判与争论，而且更加契合基因信息的特点。当个人基因信息成为侵犯公民个人信息罪的行为对象时，要结合本罪法益与个人基因信息的特点对“违反国家有关规定”“情节严重”以及出罪事由作出合理解释。

注释

①参见：《中华人民共和国个人信息保护法》第四条规定，个人信息是以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息；《中华人民共和国民法典》第一千零三十四条规定，个人信息是以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

②参见《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（法释[2014]11号）第十二条：网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。但下列情形除外：

（一）经自然人书面同意且在约定范围内公开；

（二）为促进社会公共利益且在必要范围内；

（三）学校、科研机构等基于公共利益为学术研究或者统计的目的，经自然人书面同意，且公开的方式不足以识别特定自然人；

（四）自然人自行在网络上公开的信息或者其他已合法公开的个人信息；

（五）以合法渠道获取的个人信息；

（六）法律或者行政法规另有规定。

网络用户或者网络服务提供者以违反社会公共利益、社会公德的方式公开前款第四项、第五项规定的个人信息，或者公开该信息侵害权利人值得保护的重大利益，权利人请求网络用户或者网络服务提供者承担侵权责任的，人民法院应予支持。

国家机关行使职权公开个人信息的，不适用本条规定。

③国家科学技术委员会《基因工程安全管理办法》（1993年12月24日第17号发布）、国务院办公厅《人类遗传资源管理暂行办法》（国办发〔1998〕36号）、卫生部《人类辅助生殖技术规范》和《人类精子库基本标准和技术规范》（卫科教发〔2003〕176号）、国家食品药品监督管理局《人基因治疗研究和制剂质量控制技术指导原则》《人用重组DNA制品质量控制要点》和《人用单克隆抗体质量控制技术指导原则》（2003年8月6日局令第3号发布）。

④参见《信息安全技术个人信息安全规范》（GB/T35273-2020）附录A：个人生理健康信息是指个人因生病医治等产生的相关记录，如病症、佳院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康状况相关的信息，如体重、身高、肺活量等。

征的个人法益是侵犯公民个人信息罪法益的重要内容，这一点在补充侵犯个人基因信息的实质出罪事由时具有较强的解释力，尤其是在医师或医疗（基因检测）机构的风险警示或披露义务和权利人的“知情同意”或不知情权发生冲突或矛盾的情形中。

根据“知情同意”原则，只要未经权利人的同意，个人信息的收集者、处理者与利用者就不能将收集的信息告知其他人，即使是与权利人有密切关系的第三人。但是，在医事法领域，近血亲对权利人的基因医疗信息的接近具有道德上的正当性基础。美国的判例认为，在基因科技的时代，患者的近血亲若可能罹患基因疾病，那么医师负有对该近血亲的风险警告义务。[47]可见，在关涉基因信息的情形中，医师不仅需要遵守与权利人保密义务，又负有对于第三人的风险警示与披露义务，两方面的矛盾导致其有触犯侵犯公民个人信息罪的较大可能。“同意相对论”认为，未经同意的行为能否成立犯罪不能一概而论，这为缓解上述矛盾提供了可行路径。笔者认为，基因信息不仅仅关涉权利人自身，还与其近血亲有较大联系，在遵循一定的原则与流程，如有限披露、事前通知等的情况下，[48]医师具有披露权利人基因信息的特权，这也成为侵犯公民个人基因信息行为的实质出罪事由之一。另外，基因遗传疾病的诊断与治疗相较其他疾病的复杂程度更高，难度也更大，实践过程中往往需要不同科室的配合与协作，因此医疗团队内有关基因信息传递的必要行为也应予以出罪。[49]

五、结语

大数据时代，个人基因信息面临着保护与利用的矛盾，这要求刑法合理划定侵犯公民个人基因信息罪的范围。一方面，个人基因信息具有较普通个人信息更强的人身、财产属性，利用刑事手段保护个人基因信息具有必要性与紧迫性；另一方面，个人基因信息的价值性又决定了其只有通过数据的分享与交流才能发挥其潜在的巨大作用。所以，对于侵犯公民个人信息罪的法益界定不宜坚守传统个人法益论或超个人法益论的立场，而应转变为具有公法法益特征的个人法益，这不仅可以避免上述两种法益