侵犯公民个人信息罪“行踪轨迹信息”的条数计算

⊙ 本文长约5800字，阅读需时15分钟  

本文来源：大成辩护人

北大法宝律所实务库

作者：何慕，大成律师事务所高级合伙人

刑事专业委员会副主任

2021年底，《》经两轮征求意见后落地实施，对个人信息安全进行全面保护。在刑事领域，侵犯公民个人信息罪亦几经修改。2017年，两高出台《》（以下简称《个人信息解释》），更是先于前置法对公民的行踪轨迹信息进行保护。这一规定在初期引起广泛讨论，后争论渐息，大众普遍意识到了行踪轨迹作为敏感信息的重要性。

对于个人行踪轨迹信息，《个人信息解释》于第五条明确规定：行为人出售或者提供行踪轨迹信息并被他人用于犯罪，或者非法获取、出售或者提供行踪轨迹信息五十条以上即为“情节严重”，构成侵犯公民个人信息罪。可见，因行踪轨迹信息与个人人身及财产安全高度、密切相关，侵犯该等信息的入罪标准极低，刑事打击力度极大。因此，实务中如何计算涉案行踪轨迹信息更显重要。

壹

算不算：行踪轨迹的内涵

在司法实践中，部分法院将车辆GPS行动轨迹、民航订票、铁路售票、车辆卡口、滴滴打车等信息作为行踪轨迹信息，亦有法院不以为然，出现类案异判现象。归根结底，系因对行踪轨迹信息的范围存在不同理解。因此，在计算涉案行踪轨迹信息的具体数量之前，有必要明确行踪轨迹的内涵，筛除不属于刑法保护的信息类型。

例如对于个人铁路或航班出行信息的认定，实务中存在较大争议。在“韦某、陈某某、徐某某、张某某、何某某侵犯公民个人信息案”[1]中，法院认定张某某非法获取他人行踪轨迹（包含航班号、航班日期、起飞港站、到达港站、离港时间）信息80余条，并将上述部分信息用于贩卖，构成侵犯公民个人信息罪。

部分法院对此持谨慎态度，认为行踪轨迹信息应局限于可直接定位特定人的具体坐标的信息，且需结合个案的信息交易价格及使用目的。例如在“羊某某诈骗罪二审案”[2]中，法院认为行踪轨迹信息只宜理解为GPS定位、车辆轨迹信息等可以直接定位特定自然人具体坐标的信息。而该案中羊某某非法获取的航班信息的内容尚无法直接定位特定自然人的具体实时地理坐标，且羊某某获取上述信息的目的是为了发布退改签机票的虚假信息、诈骗他人财物，购买航班信息的价格较低，故不宜认定涉案航班信息属于行踪轨迹信息。又如在“朱某某、张某某侵犯公民个人信息案”[3]中，法院认为民航订票、民航离港、铁路售票、出入境、车辆卡口、滴滴打车等信息虽涉及公民个人的轨迹，但上述单个信息反映的内容需结合其他信息及查询者的目的使用，故不宜将上述信息作为单个的行踪轨迹信息计算。

笔者支持后一种观点：其一，“个人行踪”不等于“行踪轨迹”。《个人信息保护法》草案及草案二次审议稿均使用“个人行踪”[4]的表述，后修改为“行踪轨迹”一词。这一修改一方面可能出于与《个人信息解释》相协调考虑，另一方面也显示出立法对于“个人行踪”与“行踪轨迹”词汇的区别。其二，并非所有个人轨迹信息都具有高度的人身、财产安全关联性。对于记载个人行程的差旅信息而言，该等信息至多可定位某段时间内行为人于两地之间的大致行动轨迹，获取该等信息难言会对个人的人身、财产安全造成严重威胁。其三，出于刑法谦抑性，宜作限制解释。《个人信息解释》对敏感信息、次敏感信息与普通信息规定了50条、500条、5000条的不同入罪标准，且其中行踪轨迹信息的入罪标准极低，故应严格把握认定范围，切不可动辄入罪。因此，属于公民个人轨迹的信息不宜当然地认定为行踪轨迹信息。

贰

如何算：行踪轨迹的条数计算

在明确何种信息应作为行踪轨迹信息后，应进一步明确该等信息的具体计算方式。出于行文及理解便利，本文将结合实务案例及如下虚拟案例进行探讨：假设李四对张三的车辆安装了GPS装置，并于1月1日7:30及19:00分别查询到如下信息，则应如何确定涉案行踪轨迹信息的具体数量？

方式一：以查获的数量直接认定

对于个人信息数量计算问题，《个人信息解释》第十一条第三款规定：“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”部分法院循此规定，以查获的数量进行认定。例如在“王某某、吴某某侵犯公民个人信息案”[5]中，辩护人提交了一份写有“晋Ａ×××××晋Ａ×××××晋Ａ×××××任选一个出”的聊天记录，认为被告人王某某仅从上家购买了一辆车的行踪轨迹信息，其他信息系卖家打包发送，部分信息不真实或者重复，不应计入其侵犯公民个人信息条数的辩护意见。法院认为对批量公民个人信息的条数，应根据查获的数量直接认定，且被告人王某某及其辩护人亦未提供上述信息不真实或者重复的相关证据证明，故对辩护人的该项辩护意见不予采纳。在“董某某、黄某某、谢某某侵犯公民个人信息罪二审案”[6]中，法院对于涉案行踪轨迹存在重复计算的诉辩意见作出了类似的回应。

然而该方式是否具有合理性值得思考。正如最高人民法院喻海松法官指出：“对于敏感公民个人信息不宜适用《解释》第11条第3款的规定，而应当逐一认定。主要考虑如下：1.从司法实践来看，一般公民个人信息的价格相对较低，甚至不会按条计价，故要求逐一认定不具有可操作性；而公民个人敏感信息价格通常较高，通常按条计价，逐条认定不存在难题。2.涉敏感信息的案件入罪标准较低，50条或者500条即达到入罪标准。为此，对于此类案件要求逐一认定敏感信息的数量，对于确保定罪量刑的准确，完全必要。”[7]

方式二：按“点”算

行踪轨迹一词尚无前置法进行明确界定，因此有必要从词义上探究其原始属性。“行踪”意为人或动物走过留下的脚印，“轨迹”则指一个点在空间移动所通过的全部路径。因此从语义看，行踪轨迹具有动静结合、点面结合的特点。

因此，部分法院在计算行踪轨迹信息时采用统计涉案位置信息、扣减静止的重复坐标的方式。例如在“裴某某侵犯公民个人信息案”[8]中，因涉案GPS定位器为每十分钟自动定位一次，导致受害人王某正常生活轨迹处于静止状态时出现重复性定位。故经法院核实，公诉机关当庭提供的GPS轨道数据在2356个位置数据中有2041条信息为被害人在静止状态下的重复位置信息，应当予以扣除。最终法院认定被告人裴某某获取被害人的有效位置（行踪轨迹）信息为323条。

参照这一方法，则上述虚拟案例中应统计“地点”要素，并扣除张三于1月1日在家的静止的、重复的位置信息，故涉案行踪轨迹数为5条。

方式三：按“线”算

如前所述，虽行踪轨迹一词在语义上囊括了静止的位置定位，但部分法院更强调其动态属性。例如在“师某某、罗某某侵犯公民个人信息罪二审案”[9]中，法院认为行踪轨迹是一个动态的、发展的且能够反映位置移动的行动过程，该信息的特点为能够反映特定自然人过去和现在（实时）行为、动态活动情况。本案85辆车2679条卡口信息中单条卡口信息并不能完整反映车辆的行踪轨迹，需要串联该时段内其他卡口信息才能反映该车的行踪轨迹。因此，一审法院将2679条卡口信息全部认定为行踪轨迹信息不当，二审法院予以纠正。

然而，如何进一步计算轨迹的数量成为棘手的问题。对于不同的位置移动形成的轨迹，在数理上存在多种轨迹计算结果，即若存在N个地理位置，理论上存在N*(N-1)/2种轨迹结果。在虚拟案例中，由于存在家、咖啡店、公司、餐厅与电影院多个位置，便存在10种不同的轨迹计算结果。

这一问题始终困扰实务，实践中往往通过计算违法所得等其他入罪标准以回避动态轨迹具体条数的计算难题。例如在“霍某某、高某某侵犯公民个人信息罪二审案”[10]中，辩护人认为车辆轨迹信息是一个连续动态过程，不应简单以车辆卡口信息数量计算，对此法院表示一审判决认定霍某某、高某某将大量的公民个人所有车辆的卡口信息出售给他人，并未以车辆通过卡口的数量作为涉案公民个人信息数量进行认定，而因霍某某、高某某出售公民个人信息的违法所得达数十万元，据此认定属“情节特别严重”。

方式四：按“查询次数”算

除前述方法外，部分法院亦关注到行为人的查询次数因素，将特定期间内查询所得的数据作为一组行踪轨迹信息。例如在“池某某侵犯公民个人信息案”[11]中，法院认为单个天网过车信息属于静态信息，确实不宜认定为行踪轨迹信息，但如对一辆车进行多次查询，得到该车辆一定时间内的多个天网过车信息，串联起来就能直接形成车辆的行车轨迹进而能够定位特定自然人的具体坐标。该案中，被告人对相关车辆均进行了多次、长期的查询，进而确定该车驾驶员的特定坐标，故对特定时间内查询获得的一组天网过车信息应当认定为“行踪轨迹信息”。

观之虚拟案例，因李四于7:30及19:00进行了两次，则将所查询到的数据分别作为两组行踪轨迹信息。这一方式避免了轨迹计算结果的多样性与不确定性，但是将行踪轨迹数量完全取决于行为人查询的频次仍有所局限。具言之，若同样将24小时的某GPS轨迹信息于约定时间提供给他人，则查询次数多、查看频率高的行为人更容易构成犯罪，而查询次数少、甚至一揽子查询并发送的行为人可能不构成犯罪，这一结论恐怕缺少说服力。

叁

笔者观点：按“人（车）/天”算并关注特殊交易情形

综上所述，对于以点计算法，由于行踪轨迹具有不同于个人行踪的动态属性，因此完全以静态的位置信息作为计算标准难言合理；对于以线计算法，由于其轨迹计算在数理上存在诸多可能，故难以统一计量标准；对于以查询次数计算法，由于仅仅关注行为人的查询频次，而忽略了行踪轨迹本身的诸多因素，有所偏颇。因此，笔者认为，应综合考虑行踪轨迹信息的构成要素（即人物/车辆、日期、时间、地点），采取“人（车）/天”作为计算标准（即将一人或一车在同一天所形成的所有行程轨迹作为一组行踪轨迹信息），同时还应额外关注特殊的交易场景，理由简要如下：

其一，考虑该罪保护法益，关注被追踪的人数或车辆数因素。侵犯公民个人信息罪旨在保护公民的个人信息自决权及背后所承载的社会管理秩序法益，因此“人”的因素尤为重要。目前已有部分法院将特定个人作为行踪轨迹信息的计量单位，例如在“曲某某侵犯公民个人信息案”[12]中，被告人提出行踪轨迹应计为1人1条的抗辩，法院认为行踪轨迹中的车辆行踪轨迹信息应按1条计算，故对被告人的有关行踪轨迹的辩解意见予以采纳。在“赵某某侵犯公民个人信息案”[13]中，经法庭质证、认证，先按照每个“人头”算一条的标准，尚未区分行踪轨迹、通讯内容及住宿信息、通讯信息等计算公民个人信息数据的数量。

其二，考虑危险性及恶性，关注追踪的时间长短因素。仅关注人数因素是不够的，还应考虑行为人对特定人追踪的时间长短，时间愈长，愈能体现其主观恶性及其行为的危险性，更应为刑法所警惕。

其三，考虑特别的交易价格及方式，关注特殊交易情形。对于个人信息的总体计算原则，喻海松法官指出：“一条公民个人信息的认定，应当综合考虑实践交易规则和习惯。例如，一条信息中涉及多个个人信息的，如家庭住址、银行卡信息、电话号码，如果是按照一条公民个人信息来交易的，则往往会认定为一条公民个人信息。”[14]对于敏感的行踪轨迹信息，行为人可能约定了特殊交易形式以及更高的交易价格（例如根据需要具体提供某人某日某时的轨迹信息并分别计价），则此类案件中，根据交易约定或习惯，该条具体的轨迹信息被作为单独的一条信息进行交易，因此亦应评价为一条行踪轨迹信息。

行文至此，对行踪轨迹信息的计算争议问题及实务态度的探讨暂告段落，其间诸多问题待与各位同仁进一步深入探讨。刑事领域作为行踪轨迹信息保护的先行军，其探索之路漫漫修远，仍需法律职业共同体继续上下求索。

注释

[1] (2018)辽0421刑初21号，辽宁省抚顺县人民法院。[2](2019)琼97刑终222号，海南省第二中级人民法院。[3](2017)苏0591刑初814号，江苏省苏州工业园区人民法院。[4]《个人信息保护法（草案二次审议稿）征求意见》第二十九条第二款 敏感个人信息是一旦泄露或者非法使用，可能导致个人受到 歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。[5](2018)皖1203刑初28号，安徽省阜阳市颍东区人民法院。[6](2019)闽01刑终548号，福建省福州市中级人民法院。[7]《最高人民法院、最高人民检察院侵犯公民个人信息罪司法解释理解与适用》，中国法制出版社2018年4月份出版。[8](2020)皖1182刑初39号，安徽省明光市人民法院。[9](2018)渝05刑终838号，重庆市第五中级人民法院。[10](2019)渝05刑终140号，重庆市第五中级人民法院。[11](2018)浙1082刑初898号，浙江省临海市人民法院。[12](2018)苏0281刑初94号，江苏省江阴市人民法院。[13](2020)闽0304刑初184号，福建省莆田市荔城区人民法院。[14]《最高人民法院、最高人民检察院侵犯公民个人信息罪司法解释理解与适用》，中国法制出版社2018年4月份出版。

-END-

编辑排版丨陈楠

审核人员丨张文硕

本文声明丨本文章仅为交流之目的，不代表北大法宝的法律意见或对相关法规/案件/事件等的解读。 

▼ 往期精彩回顾 ▼

点击下方公众号名片

获取更多信息