华政首页

【人民法院报】张磊:从利益保护的角度进一步认识侵犯公民个人信息罪

发布部门:宣传部发稿时间:2017-12-27浏览次数:10


□张 磊     (华东政法大学人权与人道主义法研究中心副主任)

    2017年8月24日,与“徐玉玉案”关联的“杜天禹侵犯公民个人信息案”在山东省临沂市罗庄区人民法院开庭审理并当庭宣判。杜天禹被指控罪名成立,获刑6年,并处罚金6万元。在该案中,杜天禹通过植入木马程序等方式,侵入山东省2016年高考信息平台网站,非法窃取高考考生个人信息64万余条,并且将其中10万余条出售给陈文辉,获利14100余元。后者正是利用这些信息顺利实施了电信诈骗,最终酿成徐玉玉死亡的悲剧。该案既凸显了侵犯公民个人信息行为的巨大危害,也体现了司法机关打击此类犯罪的坚定决心。

    值得注意的是,2017年5月8日,江苏省南通市崇川区检察院以涉嫌侵犯公民个人信息罪对徐燕琴等29名犯罪嫌疑人提起公诉。在该案中,徐燕琴曾在一家网络公司供职。该公司专门出售用于搜索个人信息的付费软件。辞职之后,她原本也想售卖该软件,但发现直接出售个人信息牟利更快。于是,自2015年9月到2016年8月,徐燕琴等人获取和出售公民个人信息1600多万条,获利逾100万元。和往常黑客破解公民个人信息账户不同,徐燕琴等人获取个人信息的来源大多是通过软件搜索,而这些个人信息已经在互联网上公开。

    很显然,“杜天禹案”属于比较典型的案件。与之相比,“徐燕琴案”有非常大的不同。一方面,徐燕琴获取的个人信息大多已经在互联网上公开。换言之,在徐燕琴面前,这些信息既没加密,也不设防;另一方面,徐燕琴获取信息的主要手段是在互联网上搜索,既不属于非法窃取,也没有利用职务之便。不过,“徐燕琴案”与“杜天禹案”也有重要的相同之处,即他们均是在未经被收集者同意的情况下获取并向他人出售,而且涉案的个人信息数量较大,获利金额也较大。

    在“杜天禹案”中,犯罪分子获取公民个人信息的行为具有非法性。这决定了他之后出售或提供个人信息的行为也必然具有非法性。在“徐燕琴案”中,由于上述的不同之处,所以犯罪嫌疑人获取公民个人信息的行为可能是合法的。即使如此,她之后出售个人信息的行为仍然可能是非法的,因为如果向他人出售的个人信息未经被收集者同意,并且数量较大,那么这对个人信息所载利益也会构成严重的侵犯。因此,就是否构成侵犯公民个人信息罪而言,“杜天禹案”的考察标准主要是获取行为的非法性及其危害,但公诉机关在“徐燕琴案”中主要着眼于出售行为的非法性及其危害。

    所谓危害,即对个人信息所载利益的危害。那么个人信息承载了哪些利益呢?现代社会之所以保护公民个人信息,首先缘于对隐私权的保护。所谓隐私权,是公民禁止他人干涉自己个人生活秘密和个人生活自由的一种权利。美国1974年颁布的《隐私权法案》是世界上最早的单独立法。今天,世界主要国家都保护公民的隐私权。隐私权属于人格权的一种,体现了公民的人格利益。由于人格权又属于人身权最重要的组成部分,所以我国刑法将侵犯公民个人信息罪置于第二百五十三条之下,即属于分则第四章“侵犯公民人身权利、民主权利罪”。这说明该罪将人格利益的保护作为主要的出发点。在人格利益之外,随着信息时代的到来,个人信息所承载的公共利益和经济利益得到前所未有的凸显。例如政府可以通过收集和处理个人信息,更好地治理社会;同理,银行、医院、商业机构等在合法范围内也可以更好地服务社会。由此可见,个人信息至少是人格利益、公共利益和经济利益的集合体。

    在很多情况下,个人信息所承载的上述三种利益是相互关联,彼此影响的。合理使用个人信息,既可以保护人格利益,也可以促进公共利益和经济利益。反过来,侵犯个人信息,不但损害人格利益,而且会威胁公共利益和经济利益。如果将“徐玉玉案”和“杜天禹案”放在一起,我们可以看出:大规模的电信诈骗已构成对公共利益的威胁,而它的源头恰恰是对人格利益的损害。在“徐燕琴案”中,犯罪嫌疑人在互联网上搜集的个人信息既可能被用于诈骗,也可能被用于推销。如果是前者,那么它可能与“杜天禹案”类似,通过侵犯人格利益,威胁公共利益;如果是后者,那么大规模非正常推销行为的后果不仅是个人遭到骚扰,而且正常经营者的经济利益也会遭到损害。因此,这种情况是通过侵犯人格利益,威胁合法的经济利益。

    有鉴于此,我们不难明白:对侵犯公民个人信息罪的认识,不仅要从犯罪行为本身出发,而且也可以从利益保护的角度着眼。同样重要的是,利益保护既要涵盖公民的人格利益,也要考虑公共利益和经济利益。

    为了进一步保护公民个人信息,形成打击相关犯罪的高压态势,最高人民法院和最高人民检察院在2017年5月9日共同发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)。该《解释》肯定和明确了上述两个方面的认识。一方面,《解释》第三条第二款规定“未经被收集者同意,将合法收集的公民个人信息向他人提供的,属于刑法第二百五十三条之一规定的‘提供公民个人信息’”。于是,在未经被收集人同意的情况下,如果提供合法收集的个人信息达到情节严重时,那么该行为同样可以被追究刑事责任;另一方面,《解释》第五条第一款对构成“情节严重”的情形做出了列举,其中第一、第二和第七项依次是“出售或者提供行踪轨迹信息,被他人用于犯罪的”、“知道或者应当知道他人利用公民个人信息实施犯罪,向其出售或者提供的”以及“违法所得五千元以上的”。《解释》第五条第二款对构成“情节特别严重”的情形做出了列举,前两项分别是“造成被害人死亡、重伤、精神失常或者被绑架等严重后果的”和“造成重大经济损失或者恶劣社会影响的”。很显然,上述情形不考虑涉案个人信息的数量,而主要着眼于保护公共利益和合法的经济利益。

    不过,值得指出的是,《解释》仍然遗留的一个问题有待进一步澄清,即出售或提供个人信息搜索工具的行为是否构成本罪。事实上,判断网络工具的合法性在司法实践中既复杂又重要。这一点在2016年的“快播案”中可见一斑。

(来源于《人民法院报》,2017年12月27日)