公民個人信息刑法保護的例外
【案情回放】
被告人李某自2016年起，在網上通過QQ、微信等方式向他人販賣公民個人信息。2017年3月，劉某、黃某向李某購買公民個人信息用於犯罪，李某向此二人販賣公民個人信息777313條，在繳獲的李某的電腦內查獲167354條公民個人信息。
廣東省深圳市羅湖區人民法院經審理認為，被告人出售的信息中含有公司名稱、法定代表人姓名、手機號碼、公司地址、經營範圍、註冊資金、所屬行業、企業類型等，屬於能夠單獨識別特定自然人身份的信息，該類信息屬於公民個人信息。被告人未經被收集者同意，將合法收集的公民個人信息出售給他人，情節特別嚴重，構成侵犯公民個人信息罪。被告人構成坦白，可從輕處罰。判處被告人有期徒刑四年，並處罰金人民幣4萬元。被告人不服提出上訴。
廣東省深圳市中級人民法院經審理認為，企業根據法律法規規定或為經營所需而公開的企業信息，即使包含了個人姓名、聯繫方式，亦不屬於刑法意義上的公民個人信息，原審認定該類信息屬公民個人信息有誤。本案被告人使用計算機軟體收集信息，該軟體是否具備非法竊取功能並未查明，導致查獲的個人信息是否均為企業公開信息的事實不清。遂以事實不清，適用法律錯誤為由，裁定撤銷原判，發回重審。
【不同觀點】
本案被告人利用特定軟體收集互聯網中包含自然人姓名及聯繫方式的企業信息，並將該信息出售給他人，該行為如何定性？
第一種觀點認同原審意見。《最高人民法院最高人民檢察院關於辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《公民信息解釋》）規定，未經被收集者同意，將合法收集的公民個人信息向他人提供的，屬於非法提供公民個人信息，但是經過處理無法識別特定個人且不能復原的除外。李某利用軟體在網路中搜索包含自然人姓名及聯繫方式的企業信息，屬合法收集公民個人信息，但其未經被收集者同意，將合法收集的公民個人信息出售給他人，構成侵犯公民個人信息罪。
第二種觀點認為，被告人收集、出售的信息不屬於刑法意義上的公民個人信息，被告人不構成侵犯公民個人信息罪。根據原審查明的事實，被告人收集的對象是企業在互聯網中公開的包含自然人姓名及聯繫方式的企業信息，該類公開的企業信息中包含自然人姓名及聯繫方式或者為符合法律規定，或者是經營所需，該自然人信息應從屬於企業信息範圍，不存在法益保護的需要，應屬於刑法規定的公民個人信息的例外。
第三種觀點認為，企業信息中公開的自然人姓名及聯繫方式不構成刑法上的公民個人信息，但本案還存在事實不清的問題。本案被告人利用計算機軟體收集信息，該軟體的搜索範圍是否僅限於互聯網中依法公開的企業信息並不明確。如果該軟體還具備非法侵入、竊取功能，則表明本案收集的自然人姓名及聯繫方式可能是竊取得來，竊取得來的自然人身份信息，當然不是企業依法或為經營主動公開的企業信息，該自然人信息就屬於刑法保護的公民個人信息，被告人收集、出售該類信息，構成侵犯公民個人信息罪。故應撤銷原判，將案件發回重審。
【法官回應】
企業公開信息中的自然人信息不受刑法保護
我國刑法第二百五十三條之一規定了侵犯公民個人信息罪，將違反國家有關規定，向他人出售或者提供公民個人信息，或者竊取或者以其他方法非法獲取公民個人信息的行為，均納入了刑法規制的範圍。從犯罪構成要件符合性看，行為人必須有出售、提供或者竊取及其他非法方法獲取的行為。從侵害對象或者法益看，行為對象必須是公民個人信息，如果是商業秘密則可能構成侵犯商業秘密罪，而涉及其他刑法予以保護的數據則應根據相應的刑法規範予以評價。但如果刑法沒有規定為犯罪的，則不構成任何犯罪。因此，對於侵犯公民個人信息的犯罪案件，應該把握好行為與對象兩個關鍵，並圍繞這兩個方面進行審理。本案被告人收集並出售對象是包含了部分自然人信息的企業信息，如何認定該對象的性質直接關係到本案罪與非罪及審理思路，顯得尤為重要。由此引出了本案值得關注討論的問題，一是如何理解認定企業信息中依法或者為經營公開的自然人信息；二是侵犯公民個人信息案件應如何把握行為與對象之間的關係。
1.刑法意義的公民個人信息範疇及例外
侵犯公民個人信息犯罪侵犯的對象是公民個人信息，《公民信息解釋》對於公民個人信息的概念作出了規範解釋，公民個人信息是指電子或者以其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯繫方式、住址、賬號密碼、財產狀況、行蹤軌跡等。雖然理論界對公民個人信息的屬性有所爭論，但在司法實務中嚴格按照《公民信息解釋》的規定來界定公民個人信息的範疇是罪刑法定原則的必然要求和體現。因此，只要相關信息中包含了上述類型的特定自然人身份及活動情況的信息，應認定為公民個人信息。本案被告人收集、出售的信息中就包含了個人姓名及聯繫方式，一審據此認定該信息屬於公民的個人信息。但形式上符合刑法規範意義上公民個人信息的自然人身份信息，可以存在刑法保護的例外。
被告人供述，其出售的信息是利用一款名為「卓訊」搜索軟體在阿里巴巴網站內搜索得來，信息中包括企業名稱、地址、座機電話、法定代表人姓名、手機號碼、經營範圍、註冊資金等，該供述與查獲的企業信息清單基本一致。根據目前的證據可以認定被告人收集、出售的是企業的基本經營信息，只是該信息包含了自然人姓名及聯繫方式。企業在經營過程中主動公開相關企業信息，包括自然人姓名及聯繫電話信息，既是國家相關法規的要求，也是企業經營必需，從這個意義上講，企業信息包含的自然人姓名及聯繫方式，不能等同於刑法意義上的公民個人信息。從刑法法益保護角度分析，當個人姓名及聯繫方式等信息根據國家有關規定或者為經營需要以企業基本信息的方式在互聯網公開時，是企業為了符合法律規定或者經營需要選擇將自然人信息從屬於企業信息。如果限制該信息的流轉、使用，反而與該信息公開的目的相違背，因此對於該部分自然人信息刑法並無介入保護的必要。同時，企業公開的企業信息中包含自然人姓名及聯繫方式，對個人來講是個人為企業讓渡、犧牲了部分公民個人信息的利益，個人對其相關信息會被擴散和周知應該有所認知並同意該信息向社會公開，公眾可以自由查詢，對該類信息合理合法的利用屬於公眾合理的期待範圍。從這個角度講，亦無將此類個人信息列入刑法侵犯公民個人信息罪調整對象的必要。因此，企業信息中依法或者為經營需要公開的自然人信息應屬於刑法上公民個人信息保護的例外，刑法不應對此予以調整。
2.行為與對象關係的把握
審理侵犯公民個人信息犯罪案件，首先要明確侵犯的對象是否屬刑法意義上公民個人信息，只有確定屬於公民個人信息，方有必要進一步判斷行為是否受刑法規制，即是否屬違反國家有關規定向他人出售或者提供公民個人信息，或者竊取或者以其他方法非法獲取公民個人信息的行為；是否屬違反國家有關規定通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息的行為。同時，由於案件及實際情況的複雜性，應綜合把握行為與對象的有機關係，方能更準確判斷涉案信息是否屬刑法意義上的公民個人信息及相關行為是否構成犯罪。
本案首先就要對被告人收集、出售的信息是否屬公民個人信息作出正確的判斷。一審認為涉案信息屬公民個人信息，被告人收集行為合法，因未經被收集人同意，故出售行為構成犯罪。但如果侵犯對象是公民個人信息，被告人的收集行為同樣是侵犯公民個人信息，因為其收集公民個人信息沒有合理的業務因素或者合法的授權因素，僅是為了出售獲利，該行為也受刑法規制。二審法院認為企業信息雖然包含了自然人姓名及聯繫方式，但該信息屬於刑法公民個人信息保護的例外，被告人收集、出售的行為不構成侵犯公民個人信息罪。案件如果審理到此就會得出被告人無罪的結論，但審理案件不能僅限於此。由於涉案的信息中含有自然人姓名及聯繫方式等自然人信息，從形式上判斷該自然人信息就屬於能識別特定自然人身份信息，如果該信息不屬於企業公開的企業信息，那麼仍屬於公民個人信息範疇。
之所以要考慮這個問題，一是企業信息中確有不公開或者有限制的公開的信息，比如限制了公開的範圍、對象、時間；二是被告人是使用搜索軟體搜索信息，雖然被告人供稱該搜索軟體僅能搜索互聯網中企業公開的基本信息，但公安機關並未對此進行查實，無法認定該軟體是否類似「黑客」軟體具備竊取企業未公開信息的功能。如果該軟體具備竊取功能，本案中包含的個人信息就可能不屬於企業公開的信息，不屬於公開的自然人信息無疑還在公民個人信息範疇，被告人通過竊取手段獲得並出售該類信息，仍構成侵犯公民個人信息的犯罪行為。（本文源自《人民法院報》，作者：吳心斌、溫錦資，單位：廣東省深圳市中級人民法院。）
--------------------
微信公眾號名稱：「個人信息與數據保護實務評論」
微信號：DataProtectionReview
我們致力於提供中國個人信息/數據保護/隱私保護最新資訊，包括法規速遞、執法機關動態、行政執法、民事訴訟、中外執法交流、學術研究等。提供案例解析、理論介紹、律師實務操作指南，以及原創個人信息/數據保護/隱私保護評論和文章，部分內容為中英文雙語。歡迎您的關注。
