付玉明：侵犯公民个人信息案件之“批量公民个人信息”的数量认定规则——《解释》第11条第3款评析
侵犯公民个人信息案件之“批量公民个人信息”的数量认定规则——《解释》第11条第3款评析
文章来源：转型中的刑法思潮公众号
作者简介
付玉明，西北政法大学刑事法学院副教授，西北政法大学反恐怖主义法学院研究员，《法律科学》编辑，《法律科学》信息研究所所长，日本早稻田大学访问研究员。研究领域为：刑法学与刑事政策学。
2017年5月8日最高人民法院、最高人民检察院联合发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），并于6月1日正式施行。正确适用《解释》关乎被告人合法权益之保护，也是依法打击侵犯公民个人信息犯罪的前提。本文拟从《解释》第11条第3款出发，对“批量公民个人信息”的数量认定规则作出阐释。
一、证明标准降低、证明责任倒置抑或举证责任负担
根据《解释》的相关规定，行为人非法获取、出售或者侵犯公民个人信息的种类和条数是认定侵犯公民个人信息罪的关键所在，是认定《刑法》第153条之一“情节严重”的依据。对《解释》第11条第3款的性质认定，理论界主要有以下三种不同的观点。但本文认为，该款没有改变刑事诉讼中证明责任和证明标准的基本规定，而是关于刑事诉讼中被告人举证责任负担的规定，详述理由如下：
第一，刑事诉讼的证明标准不可能降低，这是刑事诉讼基本原则和证据规则的根本要求。根据《刑事诉讼法》的相关规定，对于案件事实清楚，证据确实、充分，依据法律认定被告人有罪的，才能够作出有罪判决。根据《刑事诉讼法》第53条的规定，证据确实、充分的要求是：定罪量刑的事实都有证据证明；据以定案的证据均经法定程序查证属实；综合全案证据，对所认定事实已排除合理怀疑。《解释》第11条第3款虽然免除了公诉机关证明批量公民个人信息真伪的负担，但是批量公民个人信息的证明标准作为认定被告人有罪的一个构成要件要素，只有当其证明达到“案件事实清楚，证据确实、充分”之程度，公诉方的主张才可能获得法庭的支持。否则就意味着公诉方提供的证据尚未达到判定行为人有罪的证明标准。所以，在刑事诉讼中，证明标准不可能也不应当降低，这是刑事诉讼法充分保障被告人合法权利的要求。
第二，刑事诉讼的证明责任不可能倒置。刑事诉讼的证明责任只在公诉方，被告人不承担证明责任，证明责任也不可能倒置于被告人。基于此，刑事诉讼被告人没有证明责任既是无罪推定原则的应有之义，也是被告人“不被强迫自证其罪”的必然要求。在刑事诉讼中只有公诉方承担证明责任，而被告人不承担证明责任。虽然我国刑法还没有完全确立刑事诉讼被告人的沉默权，但是《刑事诉讼法》第50条“不得强迫任何人证实自己有罪”的表述已然表明，被告人在任何情况下，都没有证明责任。同理，《解释》第11条第3款虽然免除了公诉机关证明批量公民个人信息真伪之责任，但是并非将证明责任倒置给被告人。根据该款的表述“……有证据证明信息不真实或者重复的除外”，《解释》没有说明这一证据提供的主体，但是根据诉讼程序的基本架构可以推测，该款提供证据的主体为被告人一方，但这并不意味着证明责任的倒置。因为被告人只需使得案件事实陷入模糊、控方证据真伪不明、不能排除合理怀疑时，就已经完成了积极的辩护，被告人反而能够据此获得有利判决。所以，证明责任自始都在公诉方，而从未发生转移。
第三，《解释》第11条第3款实际上是对“批量公民个人信息”推定证明的规定。推定的意义在于缓解司法证明的困难，体现国家的刑事政策，减轻检察官的诉讼负担。当存在“批量公民个人信息”时，逐一证明信息的真实性和可识别性势必消耗大量司法资源，也不利于刑事诉讼程序的顺利开展，因此《解释》规定，对“批量公民个人信息”的认定，以查获的数量直接认定，即公诉方只需提供基本的数量证据，而该证据按照经验法则和逻辑关系推定为都是真实的信息。推定的证明方式为公诉机关带来了极大的便利，但同时也意味着这种高度盖然性所得存在例外，允许被反驳、被推翻。推定规则没有从根本上改变公诉机关的证明责任，也没有降低证明标准，而是明确被告人对于“批量公民个人信息”的真伪存在异议时，有举证负担。审判机关认定“批量公民个人信息”的数量仍然依据公诉机关所提供之证据是否确实、充分，排除合理怀疑，而非被告人是否提供了“信息重复或不真实”的证据。
综上所述，《解释》第11条第3款“批量公民个人信息”的数量认定规则没有降低证明标准，也并非证明责任倒置，而是关于被告人举证负担的规定。对于公诉机关而言，该款数量认定规则确立了推定证明“批量公民个人信息”的证明方式，从一定程度上减轻了公诉机关的证明负担，而非降低证明标准；对于被告人而言，这种推定证明方式意味着，如果要推翻公诉方的主张，则必须履行一定的举证负担以使法院支持自己的主张。
二、大数据背景下对举证责任分配的制约
（一）大数据犯罪对有限的司法资源提出挑战
在大数据体系化、结构化、智能化之前，大数据犯罪的复杂性给案件侦办活动造成极大的困难。在侵犯公民个人信息犯罪中，行为人涉案的信息数量动辄数以万计，在这种情况下，司法资源不允许也不可能逐一检验信息之真伪。
首先，从公民个人信息的角度看，检验真伪的过程本身就存在困境。因为公民个人信息和其他信息相比，具有隐私性、特定性、可识别性等特征，如果要证明公民个人信息之真伪，尤其是证明“批量”公民个人信息的真伪，无异于将“批量”的公民真实信息和涉案信息进行对比、校验。在此过程中，获取公民个人信息的过程就等于是对被害人造成了二次伤害。在更严重的情况下，公民的真实信息会因此泄露，那么检验信息真实性的行为已经背离了保护公民个人信息的初衷，反而成了侵害公民个人信息的“合法”武器。
其次，从节约司法资源的角度看，公诉机关对“批量公民个人信息”的真伪进行检验实属不易。司法资源有限，司法资源的分配也应当科学合理，因此面对大数据犯罪，公诉机关不可能投入大量司法资源，只为一一核实每一条信息的真实性。涉案的公民个人信息数量庞大是原因之一。另一个更重要的原因在于，随着犯罪信息的交流互动，一个公民往往对应多个信息，例如身份证号、家庭住址、联系电话、银行账号，甚至还包括虚拟平台的QQ号、微信号等各类用户名等等。如果法律要求公诉机关在现阶段承担这样苛刻的证明责任，不仅显得强人所难，也不利于刑事诉讼程序的顺利开展。
最后，随着时代的发展，大数据规模不仅越来越庞大，公民个人信息的变动也越来越迅速。公民个人信息在得不到良好保障时，公民会选择更换个人信息以实现自我保护，如更换手机号、邮箱、银行卡号等。这就可能导致原本真实的信息随着时间的推移不再具备识别功能，也无法与特定的人相匹配。这就给控方检验信息真实性的问题又增加了一层阻碍。
（二）推定的证明方式有助于推进刑事诉讼进程
由于大数据模型还在建立和完善的过程中，当前的信息社会、数据社会就会对刑事司法程序造成一定的影响，最显著的就是在大数据犯罪中查证慢、举证难。
面对这一难题，《解释》第11条第3款实际上是在平衡这种诉讼困境的基础上，确立了以推定的方式认定“批量公民个人信息”的数量规则。其必要性体现在以下几个方面：
第一，公诉机关的证明过程确实存在困难。推定多为了缓解公诉机关的证明困难，同时也彰显国家对待该类犯罪的打击力度。根据《解释》的规定，侵犯公民个人信息的数量针对不同的信息种类达到“五十条”、“五百条”或者“五千”条就达到“情节严重”之标准，那么面对“批量”的公民个人信息数量，行为人的犯罪恶劣程度和这些信息可能产生的社会危害是不言而喻的。对于如此庞大数量的信息证明，证明这些信息是否重复，尤其是信息的真伪，必然是繁琐而困难的。刑法不能违背其基本原则而将此证明责任赋予被告人，因此折衷选择了推定的证明方式缓解公诉机关的证明压力。
第二，运用常态的证明易使刑事诉讼程序陷入僵局。从刑事诉讼的进程来看，如果运用常态的证明方式，而非适用推定的证明过程，则意味着公诉机关出示的“批量公民个人信息”，必须每一条都真实、不重复，才能计数。这首先会在时间上妨碍诉讼程序的顺利展开，同时还会使得质证过程繁琐而难以操作。因此，批量公民个人信息的数量认定规则宜以推定的证明方式确定。控辩对抗的庭审过程使得证据的真实性和证明力逐渐得到确认，案情不断清晰化，有利于法官“发现真相”，作出准确判决。
第三，被告人“证伪”易于公诉机关“证真”。从对信息的了解程度看，被告人是与涉案信息更具密切联系的主体，一般情况下，被告人对信息的了解程度较公诉机关更深。哪部分信息为真、哪部分信息为假、哪部分信息真伪不明或者哪部分信息有所重合，被告人知道此类问题的可能性远远大于公诉机关。采用推定的证明方式，推翻公诉机关的主张需要辩护方证明该“批量公民个人信息”不真实的部分以及重合的部分，此为“证伪”的过程。显然，在刑事诉讼的举证过程中“证伪”易于“证真”。因此，被告人在“批量公民个人信息”的举证中占优势地位，无论是对信息的了解程度，还是信息真伪的证明角度。《解释》规定推定证明“批量公民个人信息”的数量就是充分挖掘被告人的优势地位，平衡控辩双方在查明案情方面的作用，以推动整个刑事诉讼活动的顺利开展。
三、批量公民个人信息的数量认定规则
（一）适用前提：批量信息的存在
所谓批量，即成批的数量。本文认为，结合《解释》的其他规定，第11条第3款中的“批量”宜认定为数量在五千条以上的公民个人信息。
其一，按照《解释》第11条第3款的表述：“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”据此，“非批量”的公民个人信息，公诉方需要证明信息真实且不重复。而只有当信息数量成“批量”时，鉴于数量之庞大、证明之困难而直接以查获的数量计算。因此，“批量”的程度应当达到证明真伪或重复有较大困难的程度。
其二，结合《解释》第5条第（三）、（四）、（五）项的规定，涉案的行踪轨迹信息、通信内容、征信信息、财产信息达五十条以上的，住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的，其他公民个人信息五千条以上的，即构成“情节严重”。可见，不同种类的公民个人信息的数量大小直接影响到行为的定罪量刑。这意味着，如果公诉机关依据信息数量主张行为人侵犯公民个人信息的行为，则不仅要证明信息的种类，还要证明信息的数量。笔者认为，针对入罪数量较低的五十条“敏感”信息和五百条“重要”信息，必须检验其真实性和重复率。而如果信息达到五千条以上，则信息的类型就并不是处罚核心了，行为人应受到刑事追究的本质在于侵害公民个人信息数量过多。
（二）适用基础：控方抽样检测信息的真实存在
当然，针对批量的信息，如果简单以查获的数量直接认定，则可能连基本的证明标准都难以达到。为了避免涉案的批量信息全部虚假或者绝大多数重复、雷同等情形，控方抽样检测信息是否真实是必要的。一方面，抽样取证是批量公民个人信息推定为真的桥梁。在这一推定证明的过程中，需要抽样检测信息以表明该批量公民个人信息为真的高度盖然性。如果缺乏抽样检测信息的基础，则推定是没有依据的。另一方面，抽样取证的工作量有限，不会给公诉机关造成过多的证明压力。相较而言，抽样取证检测信息的真实性的工作量要比逐一验证每一条信息真实性轻得多。
（三）适用实质：辩方提出反驳
《解释》第11条第3款所确立的数量认定规则，其实质是在推定证明的基础上，赋予被告人举证负担。换言之，在“批量公民个人信息”的案件中，信息数量一般按照查获的数量直接认定，但是如果被告人举证证明信息重复或不真实的除外。辩方提出反驳的形式是举证。辩方提出反驳不能仅简单地否定公诉方的主张，而是必须举出反证，以推翻公诉方的主张或使得公诉方主张的事实陷入真伪不明的状态。如果辩护方仅用沉默、言语反驳等方式对抗公诉方的主张，那么推定事实必然不会被推翻。辩方提出反驳的目的是推翻推定的结论。为了推翻“批量公民个人信息”推定所得的数量结论，辩方必然会对批量信息的真实性、重复性提出质疑，并出示证据证明“批量”的数量认定存在问题，从而使得信息数量的认定存疑或者重新计算，以此获得一个有利于自己的判决结果。
辩方提出反驳的结果并不必然引起“批量公民个人信息”数量的变化。批量公民个人信息的认定以推定的方式证明。如果辩方举出反证，则意味着推定被推翻；如果辩方没有撼动推定结论的反证，那么法院就会依照推定的结论定罪处罚。因此，辩方提出反驳，但并不必然引起涉案数量的变化。
四、结语
“批量公民个人信息”的数量认定规则是为了解决公安机关、检察机关在司法办案过程中遇到的证明难问题，也是顺应大数据环境所作出的证明规则调整。《解释》第11条第3款并非是降低证明标准抑或是证明责任导致的规定，其实质是以推定的证明方式确认“批量公民个人信息”的数量，同时也对辩护方提出了更严苛的举证负担。“批量公民个人信息”的数量认定规则就是为了缓解这些问题将部分举证负担赋予刑事诉讼被告人，从而推进刑事诉讼程序的进程，也彰显国家对此类犯罪严厉打击的刑事政策。在未来，信息时代可能还会不断出现类似“批量公民个人信息”的真伪认定困难问题，但也可能随着大数据体系化、结构化、智能化的发展不再成为司法诉讼的难题。但是目前，推定证明的方式和被告人承担一定的举证责任是缓解此类证明困境的最佳方式。
（原文刊载于《浙江社会科学》2017年第10期。为方便阅读，以上内容为作者主要观点摘录。）