汇业评论 | 企业公开征信信息不属于刑法上的公民个人信息
文 | 阚宇 合伙人 程溪 汇业律师事务所
随着社会信息化建设的推进，信息资源成为重要的生产要素和社会财富，在诸多信息资源中，个人信息的价值逐步提升，成为了社会信息化建设中最重要的信息资源。同时，与之相伴生的侵犯公民个人信息犯罪情况也日益严重，由此滋生了电信网络诈骗、敲诈勒索、绑架等一系列犯罪，扰乱社会公共秩序、引发社会信任危机，侵犯公民个人信息犯罪也因此被称为网络犯罪的“百罪之源”。另一方面，对于侵犯个人信息刑事打击力度也在逐年增强。笔者以“侵犯公民个人信息罪”为案由，检索了2015-2019年度（2015年11月1日至2019年12月31日）中国裁判文书网5483件一审刑事判决书。数据如下图：
刑事司法机关对侵犯公民个人信息犯罪的打击力度、广度的拓展也引发了一定的争议。在企业征信业务领域，部分个人或企业通过网络等公开渠道所获取的企业征信信息等材料中含有公司名称、法定代表人姓名、手机号码、公司地址、经营范围、注册资金、所属行业、企业类型等信息，征信机构在对企业公开信用信息的采集过程中，不可避免的会包含法定代表人姓名、手机号码等信息，此类信息相互结合后能够识别出具体的自然人身份，是否将该信息认定为公民个人信息，关系着相关主体经营或使用企业公开征信信息行为的罪与非罪问题。
一
司法实践中认定的差异
企业公开征信信息，是指征信机构依据《征信业管理条例》、《征信机构管理办法》、《企业征信机构备案管理办法》规定，对企业、事业单位等组织（以下统称企业）的信用信息进行采集、整理、保存、加工，并向信息使用者提供的信息。对于此类信息是否能认定为刑法上的公民个人信息，司法实践中存在较大出入。既有将企业公开征信信息中个人信息的认定为公民个人信息而入罪的判决，也存在将企业公开征信信息中个人信息排除在公民个人信息之外而出罪的判决。
（一）人民法院判决认定的差异
1. 入罪判决
2、出罪判决
（二）人民法院判决认定的差异
1. 入罪案例
除相关司法实践中的认定差异之外，人民法院所刊载的部分指导案例中对企业公开征信信息中的个人信息是否属于刑法意义上公民个人信息的范畴也存在不一致的观点。在最高人民法院主办的《人民司法（案例）》2018年第32期中刊载了《公开的工商企业登记信息也可成为公民个人信息》一文，文中援引案号为（2017）渝0154刑初342号的刑事判决，在裁判要旨中认定：个人信息权，具体可以归纳为可识别信息、活动情况和可能影响人身、财产安全的信息三大类。公开性并非公民个人信息的排除事由，行为人未经被收集者同意，将部分能够识别到特定自然人的网络公开的工商企业登记信息出售或提供给他人，即使其获取手段合法，亦属于提供公民个人信息行为。
2. 出罪案例
同样是最高人民法院主办的《人民法院报》在2018年6月21日刊载了《公民个人信息刑法保护的例外》一文，援引了经历广东省深圳市罗湖区人民法院一审，广东省深圳市中级人民法院二审的案例，在裁判要旨中认定：企业根据法律法规规定或为经营所需而公开的企业信息，即使包含了个人姓名、联系方式，亦不属于刑法意义上的公民个人信息，原审认定该类信息属公民个人信息有误。
在上述判决以及有关指导案例中，不论是将企业公开征信信息中个人信息认定或不认定为公民个人信息，均引述了两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《侵犯公民个人信息刑事案件解释》）作为其裁判依据。上述判决及案例中的认定冲突，体现了对侵犯公民个人信息犯罪惩治与企业正常生产经营中信息需求之间的矛盾。
二
企业公开征信信息不应当认定为公民个人信息
根据我国刑法第二百五十三条之一款规定，侵犯公民个人信息，是指违反国家有关规定，向他人出售或者提供公民个人信息，或者窃取或者以其他方法非法获取公民个人信息的行为。从犯罪构成要件符合性看，若要认定被告人是否构成侵犯公民个人信息犯罪，行为人必须有出售、提供或者窃取及其他非法方法获取的行为。从侵害对象或者法益看，行为人所进行行为的对象必须是公民个人信息。可以说，企业信息中依法或者为经营公开的自然人信息是否属于公民个人信息直接关系到有关案件罪与非罪的问题。
我们认为，企业公开征信信息所包含的个人信息属于法人在企业中的履职信息，不属于刑法、行政法意义上的个人信息；且在网络信息数据特别是企业公开征信信息已经成为现代企业基本经营需求的情况下，将企业公开征信信息认定为公民个人信息打击面过广，不符合刑法谦抑性、补充性以及最后手段性的原则。
（一）企业公开征信信息不属于行政法意义上的个人信息
根据《刑法》第二百五十三条之一的规定，向他人出售或者提供公民个人信息构成侵犯公民个人信息罪，须以违反国家有关规定为前提。对于企业公开征信信息中个人信息是否属于公民个人信息的认定，应当进一步审查出售、提供行为是否违反法律、行政法规、部门规章的禁止性规定。
以笔者所办理的相关案件经验，相关案件中的企业公开征信信息大都来自与“企查查”、“天眼查”等企业征信信息查询平台。以“企查查”为例，该平台由苏州朗动网络科技有限公司（以下简称“苏州朗动”）所运营。苏州朗动为中国人民银行依据《征信业管理条例》、《征信机构管理办法》、《企业征信机构备案管理办法》接受备案的企业征信机构。
我们认为，苏州朗动公司所从事征信业务中所采集并公示的信息为依法应当公开的企业公开征信信息，不属于公民个人信息的范畴，即使其所公示的信息中含有部分企业法人的姓名及联系方式，根据《征信业管理条例》第十三条的相关规定：采集个人信息应当经信息主体本人同意，未经本人同意不得采集。但是，依照法律、行政法规规定公开的信息除外。企业的董事、监事、高级管理人员与其履行职务相关的信息，不作为个人信息。
（二）企业公开征信信息不属于刑法意义上的公民个人信息
在相关判决中，部分司法机关认为企业公开征信信息属于企业工商登记信息的范畴。对于其中所包含的手机、电话号码等信息，是否属于“公民个人信息”的范畴，应当参照最高人民检察院《检察机关办理侵犯公民个人信息案件指引》（高检发侦监字〔2018〕13号，以下简称“《侵犯公民个人信息案件指引》”）中对“公民个人信息”的审查认定进行审查，即对于企业工商登记等信息中所包含的手机、电话等号码信息，应该“明确该号码的用途”。由公司购买、使用的手机、电话号码等信息，不属于个人信息的范畴，从而严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。
笔者认为，这种观点实际上是混淆了企业公开征信信息和工商登记信息两个概念。实际上，企业公开征信信息虽然与工商登记信息具有高度重合性，但是并不能等同于企业工商档案登记信息。
国务院在2014年制定的《企业信息公示暂行条例》第九条规定，企业年度报告中应当包括：（一）企业通信地址、邮政编码、联系电话、电子邮箱等信息；……。根据《企业信息公示暂行条例》规定，上述信息属于企业应当向社会公示的信息。企业在经营过程所公开的相关信息经征信机构、企业采集后，相关信息就应当属于企业公开征信信息的范畴，而非企业工商档案信息。从刑法法益保护角度分析，当个人姓名及联系方式等信息根据国家有关规定或者为经营需要以企业基本信息的方式在互联网公开时，是企业为了符合法律规定或者经营需要选择将自然人信息从属于企业征信信息。从这个意义上讲，企业征信信息包含的自然人姓名及联系方式，不能等同于刑法意义上的公民个人信息。
三
结语
值得注意的是，虽然企业公开征信信息不属于刑法意义上的公民个人信息，但并不意味着所有从事企业征信业务的行为都不构成犯罪。相关单位或个人未取得经营资质的情况下对企业的信用信息进行采集、整理、保存、加工，并向信息使用者提供、出售、交换的行为可能构成非法经营罪。对于司法实践中购买企业公开征信信息仅用于满足企业正常生产经营中的数据需求的单位和个人，则不宜以非法获取公民个人信息罪定罪处罚，这也符合刑法谦抑性、补充性以及最后手段性的原则要求。
作者往期文章推荐：