守运青年学丨王烁：侵犯公民个人信息罪法律法规及相关实务
守运青年学
为营造业务知识学习氛围，进一步提升青年干警分析、判断、解决疑难复杂案件的能力和水平，拱墅区检察院以“守运青年学”为平台，定期组织刑检干警学习研讨新的法律规定、司法解释、指导性案例。每期由一名主讲干警围绕一个罪名，剖析典型案例，探讨办案质效，共研办案素能。
NO.2 【侵犯公民个人信息罪】
主讲人：王烁
杭州市拱墅区人民检察院第八检察部
01
以案释法
Law
Part .1 案例剖析
王烁以拱墅区检察院办理的一起加强未成年人网络保护综合履职典型案例——肖某某、邓某某侵犯公民个人信息案为切入点，对该类案件进行剖析。
2020年4月至10月，肖某某与邓某某利用发卡平台源码，建立网络交易平台，对外开放注册，供用户进行公民身份证号码、支付宝账户等个人信息非法交易。肖某某还在平台提供资金结算等服务，并按交易额收取服务费，交易总金额超过人民币47万元。截至案发，注册平台的卖家共200余人，非法买卖未成年人个人信息95万余条，被侵害个人信息的未成年人分布在浙江、天津、河北等全国多地，严重损害未成年人合法权益。2021年2月，检察机关对肖某某、邓某某涉嫌侵犯公民个人信息罪提起公诉，法院判处肖某某有期徒刑四年三个月并处罚金，判处邓某某有期徒刑四年并处罚金。2021年10月，检察机关向法院提起民事公益诉讼，法院判令被告人肖某某、邓某某共同支付损害赔偿款人民币30万元，并在国家级媒体上向社会公众刊发赔礼道歉声明。
【典型意义】
未成年人个人信息受法律保护。侵犯公民个人信息犯罪具有成本低、获益高的特点，检察机关应当依法严惩通过互联网售卖未成年人个人信息的犯罪行为。在办理涉未成年人刑事案件过程中，应当强化未检“四大检察”融合履职，注重通过公益诉讼等职能手段，更加有力保护公共信息安全领域未成年人合法权益。检察机关应当依法履行法律监督职责，以案件办理推动社会治理，加强与网信、公安机关的协作，建立未成年人个人信息网络保护长效机制，形成未成年人网络保护合力。
相关链接：
Part .2 延伸探讨
在个案剖析基础上，参会青年干警共同学习研讨检例第140号指导性案例：柯某侵犯公民个人信息案。
2016年1月起，柯某开始运营“房利帮”网站并开发同名手机APP，以对外售卖上海市二手房租售房源信息为主营业务。运营期间，柯某对网站会员上传真实业主房源信息进行现金激励，吸引掌握该类信息的房产中介人员（另案处理）注册会员并向网站提供信息，有偿获取了大量包含房屋门牌号码及业主姓名、电话等非公开内容的业主房源信息。柯某在获取上述业主房源信息后，安排员工冒充房产中介人员逐一电话联系业主进行核实，将有效的信息以会员套餐形式提供给网站会员付费查询使用。上述员工在联系核实信息过程中亦未如实告知业主获取、使用业主房源信息的情况。自2016年1月至案发，柯某通过运营“房利帮”网站共非法获取业主房源信息30余万条，以会员套餐方式出售获利达人民币150余万元。
【解析】
（1）包含房产信息和身份识别信息的业主房源信息属于公民个人信息。业主房源信息包括房产坐落区域、面积、售租价格等描述房产特征的信息，也包含门牌号码、业主电话、姓名等具有身份识别性的信息，上述信息组合，使业主房源信息符合公民个人信息“识别特定自然人”的规定。上述信息非法流入公共领域存在较大风险。
（2）获取限定使用范围的信息需信息主体同意、授权。对生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息，进行信息处理须得到信息主体明确同意、授权。对非敏感个人信息，如上述业主电话、姓名等，应当根据具体情况作出不同处理。信息主体自愿、主动向社会完全公开的信息，可以认定同意他人获取，在不侵犯其合法利益的情况下可以合法、合理利用。但限定用途、范围的信息，如仅提供给中介供服务使用的，他人在未经另行授权的情况下，非法获取、出售，情节严重的，应当以侵犯公民个人信息罪追究刑事责任。
02
法律分析
Law
《中华人民共和国刑法》第二百五十三条之一 【侵犯公民个人信息罪】
违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
03
相关实务分析
Law
针对该类案件实务中的热点难点问题，主讲干警王烁为大家做了行为定性、法律适用等方面的盘点和梳理。
▲设立网站、通讯群组侵犯公民个人信息行为的定性
理解与适用：实践中，一些行为人通过建立网站供他人进行公民个人信息交换、买卖等活动，以非法牟利。此类网站存储、流转公民个人信息量巨大，但网站建立者、直接负责的管理者未直接接触公民个人信息，不少情形下难以按照侵犯公民个人信息罪定罪处罚。可以根据刑法第二百八十七条之一的规定的，设立用于实施违法犯罪活动的网站、通讯群组，情节严重的，认定为非法利用信息网络罪。
▲拒不履行公民个人信息安全管理义务的行为定性
理解与适用：《网络安全法》确立了“谁收集，谁负责”的原则，将收集和使用个人信息的网络运营者，设定为个人信息保护的责任主体。应当对其收集的用户信息严格保密，建立健全用户信息保护制度。因此，对于网络服务提供者未落实个人信息保护措施，符合刑法第二百八十六条之一规定的，可能构成拒不履行信息网络安全管理义务罪。
▲违法所得认定是否扣除成本
理解与适用：案例——行为人花费 5000元购买公民个人信息，加工整理后以8000元的价格出售给他人。
有观点认为违法所得应当扣除5000元的购买成本，有观点认为违法所得不应当扣除购买成本，即认定为8000元。不应扣除成本：1、刑法中的“违法所得”，一般是指犯罪分子因实施违法犯罪活动而取得的全部财物。2、从以往司法解释、规范性文件的规定来看，对于实践中需要资质的经营活动，行为人由于缺乏资质而构成非法经营罪等犯罪的，通常会区分“违法所得数额”与“非法经营数额”，此种情形下，自然不应将二者混同，对于违法所得数额的认定当然应当扣除成本。然而，对于实践中根本不允许存在的活动，构成相应犯罪的，通常只有“违法所得”的标准，则不应当再扣除成本。非法出售、提供公民个人信息本身就是法律所禁止从事的活动，不存在合法经营的情形。（参见喻海松“侵犯公民个人信息罪的司法适用态势与争议焦点探析”，载《法律适用》2018 年第7 期）
▲侵犯公民个人信息罪与非法获取计算机信息系统数据罪
理解与适用：根据2011年8月1日最高法《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》的规定，非法获取计算机信息系统罪的“情节严重”的构罪标准有：（一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息10组以上的；（二）获取第（一）项以外的身份认证信息500组以上的……而该解释也在第11条规定了“身份认证信息”是指用于确认用户在计算机信息系统上操作权限的数据，包括账号、口令、密码、数字证书等。不论是从侵入的行为方式还是从获取的数据类型等来看，生活中，像爬虫、撞库等行为就有可能同时触犯二罪。
相关链接：
编辑丨李伟
★
往期精选
★