其他
原创 | 出售新生儿信息，这事儿可不小！
左越琪
浙江大学法律硕士
案情简介
2014年初至2016年7月期间，上海市疾病预防控制中心工作人员韩某利用其工作便利，进入他人账户窃取上海市疾病预防控制中心每月更新的全市新生婴儿信息（每月约1万余条），并出售给黄浦区疾病预防控制中心工作人员张某某，再由张某某转卖给被告人范某某。直至案发，韩某、张某某、范某某非法获取新生婴儿信息共计30万余条。
2015年初至2016年7月期间，范某某通过李某向王某某、黄某出售上海新生婴儿信息共计25万余条。2015年6、7月，吴某某从王某某经营管理的大犀鸟公司内秘密窃取7万余条上海新生婴儿信息。2015年5月至2016年7月期间，龚某某通过微信、QQ等联系方式，向吴某某出售新生婴儿信息8千余条，另分别向孙某某、夏某某二人出售新生儿信息共计7千余条。
上海市浦东新区人民检察院于2016年8月18日以韩某等8人涉嫌侵犯公民个人信息罪批准逮捕，11月25日提起公诉。2017年2月8日，上海市浦东新区人民法院以侵犯公民个人信息罪分别判处韩某等8人有期徒刑七个月至两年三个月不等。
法条分析
对于个人信息的刑法保护，我国在2009年的《刑法修正案（七）》中首次增设“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”，在2015年的《刑法修正案（九）》中修改为“侵犯公民个人信息罪”。
对于这一法条内容，学说争议之处主要涉及公民个人信息的内涵与外延、犯罪主体的性质与范围、行为方式的认定、情节严重的标准这四个方面。
01
公民个人信息的内涵与外延
个人信息是以任何形式存在，可以识别特定个人的信息；个人信息是与公民个人直接相关，具有法律保护价值的信息；个人信息是本人不希望扩散，且具有法律保护价值的信息。综合以上不同观点可以发现，专属性和重要性是个人信息须具备的两项基本特征。从立法宗旨和刑法保护个人信息必要性的角度来分析，在个人信息的定义上应采取限制说，即个人信息的法律保护范围受到公共利益、知情权、新闻和言论自由等因素的制约；在具体判断标准上应同时考虑个人意愿与社会评价，即刑法所保护的是主观上本人不希望扩散，客观上具有保护价值的个人信息。
另外，也有学者对“公民”这一限定词提出意见，认为基于法律适用与现实情况的考量，此处的公民不应仅局限于我国公民，而应对处于我国境内的外国人和无国籍人以及遭受我国领域内危害行为侵犯的外国人和无国籍人，一视同仁地提供刑法保护。
02
犯罪主体的性质与范围
从《刑法修正案（七）》到《刑法修正案（九）》，犯罪主体的表述有了明显的变化，修改之前第一款限于特殊主体，即“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”，第二款为一般主体，第三款为上述单位；修改之后前三款均为一般主体，第四款规定特殊主体。
对于修改之前的规定，有学者认为立法原意是将“出售、非法提供公民个人信息罪”的犯罪主体限制为具有公权力的单位及工作人员，考虑到我国相关法律并不完备和国外个人信息立法保护现状，暂时不宜将非利用公权力获取公民个人信息的单位及个人作为本罪主体；也有学者对此提出异议，认为具有公权力并非本罪单位主体的基本特征，只要是合法成立的单位均可成为本罪主体，因为除了公权力机关，非国有单位在工作过程中亦能获取公民个人信息，如非法利用同样会侵犯他人合法权益，因此应将本罪的适用主体扩大为一般主体。
从修改之后的规定可以看出，后一观点得到了采纳，原本区分的“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”也统一为“侵犯公民个人信息罪”。
03
行为方式的认定
本条涉及的行为方式包括出售、提供、窃取、非法获取，前三种行为的含义较为明确，“非法获取”行为的范围则需要进一步的厘清。
首先，对于“非法”，一般认为指的是没有法律依据。但有学者指出在这里应理解为违反法律法规的禁止性规定，因为公民获取他人信息的途径有很多，并非全都有法律依据，并且本条已经列举“窃取”这一非法获取的手段，“其他方法”在性质上应当与窃取具有相当的社会危害性，如通过骗取、胁迫、抢夺等手段。
其次，以合法渠道获取个人信息，但用于非法目的，同样侵犯公民信息安全，也应构成犯罪。
最后，收买、收受作为出售、提供的对向行为，是否应涵括在“非法获取”之中。有学者基于对向犯的理论认为这种行为不具有可罚性，也有学者认为通常的收买、收受行为一般不具有可罚性，但若该行为在侵犯公民个人信息的犯罪中不可或缺，与其对向行为不可分割，形成共犯关系时，则应予以处罚。与此同时，相较于窃取等为法律所明文禁止的手段行为，收买、收受行为的入罪标准应更加严格。
04
情节严重的标准
对于判定情节严重应有的依据，学者的观点大同小异，或多或少地都提到了信息的数量、性质、意义、重要性，行为人获利数额，行为次数，手段恶劣程度等因素，也有学者着重指出在这些因素中，应该首先考虑公民权益的受害程度和信息的用途，在无法认定这两者的情况下，再综合考虑其他相关因素。原因在于，保护公民权益是本罪的立法宗旨，公民权益的受害程度理应是情节严重的首要判断标准；只要所获取的信息被用于实施犯罪活动，一般应直接认定为情节严重。
案例分析
本案的审理重点，一是新生婴儿信息是否属于本罪的公民个人信息；二是王某某、黄某以及孙某某、夏某某的收买行为是否应认定为刑法第二百五十三条之一第三款中的“以其他方法非法获取”；三是本案中第一、第二被告人（均为国家工作人员）是否适用刑法第二百五十三条之一第二款从重处罚的规定。
01
新生婴儿信息属于本罪的公民个人信息。
新生婴儿信息的内容包括婴儿姓名、性别、出生日期、父母姓名、父母的联系电话及住址，无论是按照学者观点，还是后来公布实施的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下称《解释》），都应认定为公民个人信息。新生婴儿信息可以识别出公民个人，属于公民个人专有，关乎公民个人的人身安全，因此具有识别性、专属性和重要性。《解释》第一条明确规定，公民个人信息“是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，新生婴儿信息也符合这一定义。
02
王某某、黄某的购买行为应认定为刑法第二百五十三条之一第三款中的“以其他方法非法获取”。
王某某、黄某自2015年初至案发，通过李某从范某某处购买新生婴儿信息共计25万余条，为连续实施且积极参与共同犯罪，并且获取信息数量可观，用于生产经营活动，情节严重，构成侵犯公民个人信息罪。孙某某、夏某某的收受行为可不认定为刑法第二百五十三条之一第三款中的“以其他方法非法获取”，其收买行为在犯罪过程中不占主导，且所获得的信息数量较少，尚未造成严重影响，故检察院对其采取另行处理。
但本案审结后公布实施的《解释》第四条已经明确规定，“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的‘以其他方法非法获取公民个人信息’”，如果根据这一规定，孙某某、夏某某的收买行为亦有可能认定为“以其他方法非法获取”。
03
第一、第二被告人不适用刑法第二百五十三条之一第二款从重处罚的规定。
本案中，第一、第二被告人分别是上海市疾病预防控制中心和黄浦区疾病预防控制中心的工作人员，属于国家工作人员，是否适用从重处罚的关键在于是否在履行职责或提供服务过程中获得公民个人信息。
证据显示，第一被告人主要负责全市人口死亡信息监测及登记工作，不负责新生婴儿信息管理工作，其获取新生婴儿信息的方式是通过获悉同事的电脑用户名和密码，在没有征得同事同意的情况下，秘密窃取其同事电脑中的新生婴儿信息；第二被告人的工作岗位为黄浦区疾控中心综合应急管理办公室，工作内容不包含管理新生婴儿信息，其获取信息的方式是由第一被告人提供。
因此，第一、第二被告人获取信息都既不是在履行职责也不是在提供服务的过程中，故不适用第二百五十三条之一第二款从重处罚的规定。但第一被告人为本案的信息源头，在整个犯罪活动中起着至关重要的作用，在量刑上应考虑到这一点。
结语
END
浙江大学《刑法学》课程成果本文作者：左越琪本文编辑：吴 芮本文审阅：涂懿敏（限于篇幅，文中注释均已省略）（本文观点和内容与本公众号无关）