来源：周虹艳 

 

 

【裁判要旨】

 

《刑法修正案（九）》将之前出售、非法提供公民个人信息罪和非法获取公民个人信息罪合并修改为侵犯公民个人信息罪，扩大了犯罪主体和侵犯个人信息行为的范围，严密了打击侵犯个人信息犯罪的刑事法网。本案的审理发生在《刑法修正案（九）》生效后，涉及被告人数较多、获取的新生儿信息数量较大、且造成了极为恶劣的社会影响。作为一个相对较新的罪名，如何认定本罪中的“公民个人信息”、如何界定“以其他方法非法获取公民个人信息”的范畴、在信息存在多方买卖和流转的情形下信息数量的计算是否存在重复以及对于本案两名被告人获取信息的行为能否适用从重处罚的规定等诸多问题都是本案的审理重点。在相关司法解释出台之前，本案的定罪量刑具有一定的示范指导意义。

 

【案情】

 

公诉机关：上海市浦东新区人民检察院。

 

被告人：韩某、张某、范某、李某、黄某、王某、吴某、龚某。

 

2014年初至2016年7月期间，被告人韩明利用其工作便利，进入他人账户窃取上海市疾病预防控制中心每月更新的全市新生婴儿信息，并出售给被告人张某，被告人张某再将该等信息转卖给被告人范某。直至案发，被告人韩某、张某、范某非法获取新生婴儿信息共计20余万条。

 

2015年初至2016年7月期间，被告人范某向被告人李某出售上海新生婴儿信息共计25余万条，被告人李某将上述信息提供给被告人王某、黄某，并从中获利；2015年6月至7月期间，被告人吴某从被告人王某经营管理的大犀鸟公司内窃取7万余条上海新生婴儿信息；2015年5月至2016年7月期间，被告人龚某通过微信、QQ等联系方式，向被告人吴某出售新生婴儿信息8千余条，另分别向孙某、夏某(另行处理)二人出售新生儿信息共计7千余条。

 

公诉机关指控，被告人韩某、张某、范某、李某、黄某、王某、吴某、龚某分别以窃取、出售、收买等方式侵犯公民个人信息，情节严重，其行为均已构成侵犯公民个人信息罪；八名被告人具有坦白情节，均可以依法从轻处罚；提请依法审判。

 

被告人韩某、张某、范某及其辩护人均对侵犯公民个人信息的数量提出异议，认为有几个月未进行信息交易，且交易的信息内容有重复；被告人李某、黄某、王某、吴某、龚某对上述指控无异议；被告人韩某的辩护人提出韩某有自首情节的意见；被告人黄某的辩护人提出黄某系从犯的意见；八名被告人的辩护人均提出对被告人从轻处罚的意见。

 

【审判】

 

上海市浦东新区人民法院经审理认为，被告人韩某、张某、范某、李某、黄某、王某、吴某、龚某违反国家规定，分别以窃取、出售、收买等方式侵犯公民个人信息，情节严重，其行为均已构成侵犯公民个人信息罪。公诉机关的指控成立，予以支持。被告人韩某、张某、范某的供述相互印证，证实有几个月未进行信息交易，故其3人获取信息的数量应当予以扣减。3名被告人及其辩护人的相关意见予以采纳，但所提重复信息应予扣除的意见，缺乏事实和法律依据，不予采纳。被告人黄某、王某系共同犯罪，黄某是购买信息的具体实施者，不能认定为从犯，故黄某的辩护人所提黄系从犯的意见不予采纳，但在量刑时对其具体情节予以酌情考虑。被告人韩某的到案情况不符合自首的法律规定，其辩护人所提韩某有自首情节的意见不予采纳。被告人韩某、张某、范某、李某、黄某、王某、吴某、龚某均如实供述罪行，且自愿认罪，依法从轻处罚。被告人韩某、张某、范某、李某、龚某、王某、黄某在家属帮助下退缴违法所得或预缴罚金，分别酌情从轻处罚。辩护人所提对被告人从轻处罚的相关意见予以采纳。依照《中华人民共和国刑法》第二百五十三条之一第一款、第三款、第二十五条第一款、第六十七条第三款、第五十三条、第六十四条之规定，判决如下：一、被告人韩某犯侵犯公民个人信息罪，判处有期徒刑二年三个月，罚金人民币五千元；二、被告人张某犯侵犯公民个人信息罪，判处有期徒刑二年，罚金人民币四千元；三、被告人范某犯侵犯公民个人信息罪，判处有期徒刑二年，罚金人民币四千元；四、被告人李某犯侵犯公民个人信息罪，判处有期徒刑一年九个月，罚金人民币三千元；五、被告人王某犯侵犯公民个人信息罪，判处有期徒刑一年六个月，罚金人民币三千元；六、被告人黄某犯侵犯公民个人信息罪，判处有期徒刑一年三个月，罚金人民币二千元；七、被告人吴某犯侵犯公民个人信息罪，判处有期徒刑十个月，罚金人民币二千元；八、被告人龚某犯侵犯公民个人信息罪，判处有期徒刑七个月，罚金人民币二千元；九、查获的作案工具和退缴的违法所得，予以没收。

 

一审判决后，被告人吴某向上海市第一中级人民法院上诉，二审裁定驳回上诉，维持原判，现判决已经生效。

 

【评析】

 

本案的审理重点在于以下四个方面：一是新生婴儿信息是否属于本罪的“公民个人信息”；二是本案中被告人王某、黄某从事广告推销等经营活动购买信息的行为是否符合《刑法》第二百五十三条之一第三款“以其他方法非法获取公民个人信息”的范畴；三是本案中信息数量是否存在重复计算；四是本案中第一、第二被告人是否适用《刑法》第二百五十三条之一第二款从重处罚的规定。 

 

（一）新生婴儿信息是否属于本罪的“公民个人信息”

 

在2017年6月1日《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）施行之前，“公民个人信息”的认定存在争议。我国尚未制定和颁布《公民个人信息保护法》，对于“公民个人信息”尚无明确的界定。国家立法机关的有关专家认为“个人信息”是“可以实现对公民个人情况识别”的信息；而有学者则认为“个人信息”是“体现个人隐私权”的信息。

 

关于个人信息概念的界定，目前主要有以下几种认识：1.认为个人信息是指能实现对公民个人情况的识别，被非法利用时可能对公民个人生活和安宁构成损害和威胁的信息。2.认为个人信息是指本人不希望扩散，具有保护价值，一旦扩散，将可能对公民权利造成损害的信息。也有论者从《刑法》第253 条之一侵犯之法益的角度认为，个人信息具有个人隐私的特征。3.认为个人信息是指以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息。尹 海 山律师编辑

 

根据以上对个人信息的不同认识，我们认为个人信息应当具有以下几个特点：1.识别性，公民个人信息承载着一些内容，通过它可以识别出特定的公民个人，并可以通过一定的形式加以固定、复制、传播。2.专属性，只有公民个人才能决定是否将其个人信息予以公开、在何时、用何种方式、以何种程度将其公开。3.重要性，公民的诸多个人信息关乎公民的人格、尊严，甚至影响到其人身安全、财产权利。

 

结合以上对公民个人信息的理解以及《中华人民共和国网络安全法》（以下简称《网络安全法》）中第七十六条的规定即“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息。包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”，在本案中，被告人韩明等人窃取的信息为新生婴儿信息，包括新出生婴儿的姓名、出生年月日、其父母的姓名、联系电话以及现住地址等内容，这些信息属于公民个人专有，且可以识别出公民个人，完全符合《网络安全法》中关于公民个人信息的描述，同样也属于本条规定的“公民个人信息”的范畴，仅有公民个人才能决定将其用于何种用途，但该等信息却被他人予以窃取、买卖，用作其他用途，是对公民个人信息控制权的侵害。因此，本案中的犯罪对象新生婴儿信息属于侵犯公民个人信息罪中的公民个人信息范畴。

 

（二）被告人王某、黄某从事广告推销等活动购买信息的行为是否符合第二百五十三条之一第三款“窃取或者以其他方法非法获取公民个人信息”的范畴

 

本案中被告人王某和黄某与其他几名被告人的行为表现有些区别，王某、黄某只是购买信息，并没有再经过流转转卖给其他被告人或第三方，也并未通过转卖流转行为获利，其二人购买信息是为了推销其公司产品，对于他们的行为能否适用《刑法》第二百五十三条之一第三款“窃取或者以其他方法非法获取公民个人信息”的规定呢？

 

从实践来看，购买、获取公民个人信息从事广告推销等活动的情形较为普遍。这类行为的主要特点体现在以下几个方面：1.为了合法经营活动而购买、获取公民个人信息，其行为主要是为了推销自己公司产品，而非实施电信诈骗等违法犯罪活动；2.犯罪对象一般限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息；3.信息没有再流出扩散，即行为方式限于购买、获取。

 

如何界定“以其他方法非法获取公民个人信息”是本案评判被告人王某和黄某行为的关键。对此，存在以下二种认识：1.认为“其他方法非法获取公民个人信息”应当采用前文窃取行为同等的标准判断，即“其他方法”必须自身就具有非法的性质，如诈骗、胁迫或者暴力侵害等；那些自身不具有非法性质或者比较中性的方法，并不会使得获取行为具备非法的性质，如购买、馈赠等。2.认为这里的“非法”并非指获取手段或者方法行为的性质，而是指行为人的获取行为在本质上为非法，即行为人不符合获取公民个人信息的法律或者法规的规定。行为人只要没有获取公民个人信息的法律依据或者资格而获取相关个人信息的，就可能构成犯罪。

 

对此，我们赞同第二种观点，并且认为“以其他方法非法获取公民个人信息”行为应具有以下两个要件：1.没有征得公民个人的同意或违背了信息所有人的真实意思表示。公民个人享有自由地决定在何时、用何种方式、以何种程度向他人传递与自己相关的信息的权利，因此未经公民个人同意而将其个人信息进行传播、利用、篡改、交易等处置行为就体现着此种行为的非法性。2.获取相关信息没有法律依据。例如，根据法律的规定，公安机关和检察机关为了追查刑事犯罪的需要，可以依法检查公民的通信，此种情况下对公民个人信息的获取即是有法律依据的获取，但是获取信息的方式、获取的内容、传播的范围等必须严格遵守法律的限制性规定。如行为人并无合法依据而获取公民个人信息，即应当界定为“非法获取”。

 

综上所述，如果行为人在未经公民个人同意且没有其他法律依据的情况下获取公民个人信息，则侵犯了公民的信息安全与自由，属于“以其他方法非法获取公民个人信息”。

 

本案中，被告人王某与黄某没有取得新生婴儿父母的同意，且购买信息的行为亦没有法律依据，故其二人的行为符合“以其他方法非法获取公民个人信息”的范畴，构成侵犯公民个人信息罪，应当被追究刑事责任。

 

（三）本案中信息数量的计算问题

 

根据《刑法》第二百五十三条之一的规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。关于何谓“情节严重”、“情节特别严重”，在《解释》出台之前，没有相关的立法或者司法解释对此加以规定，但司法机关并不能以法律没有规定作为不裁判的理由。由于本罪是一个典型的行政犯，同时也是一个较新的罪名，可以参照其他类似罪名中一般关于“情节严重”的认定以及相关的行政犯如非法控制计算机信息系统罪中关于情节严重的认定。在办案实践中，对此处“情节严重”标准的一般掌握是从犯罪目的、犯罪手段、信息的用途、犯罪后果、获取数量、获取次数以及获利多少等几个方面进行综合判断的。在本案中，“情节严重”的重要体现就在于被告人非法获取新生婴儿信息的数量，因此，信息数量的确定对于本案的定罪量刑具有重要的意义。

 

公诉机关根据上海市疾病预防控制中心每月更新的新生婴儿信息与被告人韩某、张某、范某等人交易的时间计算，得出共有30余万条信息的数据，针对公诉机关指控的信息数量，被告人及其辩护人提出以下三点意见：1.在2014年初至2016年7月期间，上海市疾病预防控制中心的机器设备存在更新情形，几名被告人之间存在数月未有交易行为，因此，第一、二、三被告人获取信息的数量应当予以扣减；2.获取的新生婴儿信息内容里面有部分信息没有联系电话，故不能称为有效信息，数量也相应地予以扣除；3.信息内容在几名被告人之间流转过程中存在重复提供，因此应当也要考虑这方面的因素，相应地扣减重复的信息条数。

 

针对公诉机关提供的证据证实的信息数量以及被告人、辩护人提出的意见，我们分析如下：

 

1.针对第一点，被告人韩某、张某、范某的供述之间能够相互印证，在2014年初至2016年7月期间上海市疾病预防控制中心的设备确实有更新过，第一、二、三名被告人之间提出有几个月未进行信息交易的意见予以采信，故其3人获取信息的数量应当相应地予以扣减，最终认定其三人获取信息的数量为20余万条。

 

2.针对第二点，根据前文的分析，公民个人信息的内容包括联系电话，但不仅限于此。联系电话对于被告人而言价值重大，但是姓名、性别以及家庭住址等内容也属于公民个人信息的范畴，不能因为没有联系电话就将该等信息排除在法律保护之外，故辩护人提出的相关意见不予采纳。

 

3.针对第三点，对于辩护人提出的信息重复性问题，上海市疾病预防控制中心的新生婴儿数据是每月更新的，被告人韩某也是根据更新的数据提供给第二被告人的，不排除二者之间存在重复提供的这种可能性，但是辩护人没有提供相关证据对此予以证明，针对辩方所提重复信息应予扣除的意见，缺乏事实和法律依据，不予采纳。   尹海 山律师编辑

 

（四）第一、第二被告人是否应当从重处罚

 

本案中，第一、第二被告人分别是上海市疾病预防控制中心和黄浦区疾病预防控制中心的工作人员，属于国家工作人员，对于其二人在工作过程中获取的新生婴儿信息是否适用《刑法》第二百五十三条之一第二款的规定“……违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚……”？

 

综合本案的证据，第一被告人虽在上海市疾病预防控制中心工作数十年，但其工作的领域主要是负责全市人口死亡信息监测及登记工作，不负责新生婴儿信息管理工作，其获取新生婴儿信息的方式是通过之前获悉负责管理新生婴儿信息的同事的电脑用户名和密码。第一被告人在没有征得其同事的同意下，秘密窃取其同事电脑中的新生婴儿信息，故其获取信息的手段不是其履行职责或者提供服务过程中获得的，而是秘密窃取，故不应适用《刑法》第二百五十三条之一第二款的规定对其从重处罚。但考虑到本案信息的来源源头是第一被告人，其在整个犯罪锁链中起着至关重要的作用，所以在量刑上酌定考虑。

 

第二被告人虽然在黄浦区疾病预防控制中心工作，但其工作岗位系黄浦区疾控中心综合应急管理办公室，其工作内容也不包括管理新生婴儿信息。第二被告人获取的信息均由第一被告人提供，因此其也不属于将在履行职责过程中获取的信息非法提供他人，也不适用《刑法》第二百五十三条之一第二款的规定，不能对其从重处罚。

 

综上，新生婴儿信息是典型的公民个人信息，窃取、买卖新生婴儿信息，数量多达20余万条，达到了情节严重程度，被告人王某、黄某购买信息用于生产经营活动的也属于以其他方法非法获取公民个人信息，第一、第二被告人并不是在其履行职责过程中获取的公民个人信息，不应当从重处罚。合议庭在综合本案被告人所有情节之后，对八名被告人分别判处有期徒刑七个月到有期徒刑二年三个月不等，作出了罪责刑相适应的判决，在相关的司法解释出台之前，本案精准的定罪量刑对同类案件的审理具有很大的指导意义。

 

（作者单位：上海市浦东新区人民法院）

 

（责任编辑：俞小海）

 

[1] 该案被最高人民检察院评为2017年度侵犯公民个人信息案件的典型案例。

 

[2]《〈刑法修正案( 七) 〉立法背景与理解适用》

 

[3]参见王昭武、肖凯：《侵犯公民个人信息犯罪认定中的若干问题》，载《法学》2009年第12期。

 

[4]参见赵秉志：《公民个人信息刑法保护问题研究》，载《华东政法大学学报》2014年第1期。

 

[5]参见赵秉志：《公民个人信息刑法保护问题研究》，载《华东政法大学学报》2014年第1期。