侵犯公民个人信息罪

……

第六条 为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017年6月1日）（本章以下简称《个人信息刑事案件解释》）

【犯罪构成及刑事责任】

1.客体要件。关于本罪的保护法益多有争论。有学者指出，公民个人信息罪的保护法益为“个人‘匿名性’存在方面的权益”，具有“一体两面性”，“既指向个体权利层面又指向社会权利层面。”另有学者梳理了本罪争议的观点，观点一：侵犯公民个人信息罪保护的核心法益的重要方面为隐私和生活安宁；观点二：核心法益为公民人格尊严与个人自由；观点三：独立的个人信息权；观点四：个人信息权中的信息自决权。笔者采取个人信息安全说，本罪侵犯的客体是公民个人信息的安全。在信息社会，“对数据的渴求就像对石油的渴求一样＂，个人信息安全随着技术进步和普及而风险叠加，风险的“种类与规模”与传统社会相比早已不可同日而语。公民个人信息，尤其是敏感个人信息，与公民的人格尊严、人身安全、财产安全密切相关，个人信息安全成为人们生活、工作中须臾不可分离的一部分。公民个人信息安全，是指能够没有危险地、合法地、合理地使用和处理个人信息。

①违反国家有关规定，向他人出售或者提供公民个人信息的行为。出售，是行为人将他人信息出卖给他人以牟利；提供，是指供给的行为，在本罪中还包括“发布”的行为，以及将合法收集的信息予以非法提供的行为。具体是指：《个人信息刑事案件解释》第3条规定的“向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的”行为，以及“未经被收集者同意，将合法收集的公民个人信息向他人提供的”行为，该司法解释还规定了合法收集者的除外情形：“经过处理无法识别特定个人且不能复原的除外”，这种除外情形需要同时具备以下条件：一是未经被收集者同意，二是经处理无法识别特定个人，三是不能复原。如果经处理虽然无法识别特定个人，但是信息能够被复原的，标志着其仍然具有识别特定个人的功能，属于非法提供的行为。

③窃取或者以其他方法非法获取公民个人信息的行为。根据《个人信息刑事案件解释》第4条的规定，“其他方法”是指“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息”的行为。

（2）以上三种行为方式，构成本罪均要求达到“情节严重”。《个人信息刑事案件解释》第5条、第6条规定了情节严重的认定标准，有的情形要求达到个人信息条数的数量标准（不同内容的信息情节严重的条数标准不同）、违法所得数额、获利数额三类的数量、数额标准，而“曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的”、行踪轨迹信息被他人用于犯罪，以及“知道或者应当知道他人利用公民个人信息实施犯罪”，本身就属于情节严重的情形，因而没有条数和违法所得的数额限制。最后，该司法解释第6条用“其他情节严重的情形”作为兜底性规定，以应对没有明文列举的情形发生。

（3）本罪中的“他人”，包括自然人和单位。

3.主体要件。本罪的犯罪主体包括自然人和单位，自然人主体的刑事责任年龄起点为16周岁。

窃取或者以其他方法非法获取公民个人信息的，依照第1款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

【疑难指导】

一、公民个人信息的理解

（一）立法机关在法律、决定中规定的“个人信息”

1.最早对个人信息作出保护规定的是2012年12月28日的《全国人民代表大会常务委员会关于加强网络信息保护的决定》，当时并未使用“公民个人信息”这一用语，而是表述为“公民个人电子信息”，并在第1条明确了国家对个人电子信息的保护以及个人电子信息能够识别个人身份的特点，并针对个人电子信息的非法行为作出了禁止性规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息，不得出售或者非法向他人提供公民个人电子信息。”个人电子信息的范围，是一个窄于个人信息的词语。此后的相关法律均使用的是“公民个人信息”的表述。决定强调了个人电子信息的身份识别特征，并在两处提到对公民个人隐私信息的保护。

2.接着是2016年11月7日公布、自2017年6月1日施行的《中华人民共和国网络安全法》（以下简称《网络安全法》），该法在附则中规定了个人信息的定义，第76条第5项规定“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”。该法采取了概括加列举的方式加以规定，关于自然人个人信息的范围，使用了“包括但不限于……等”这一具有兜底性质的文字表述，将立法时未能列举的其他形式的个人信息也囊括进来，一并进行规范和保护。

3.然后是自2021年1月1日起施行的《中华人民共和国民法典》第1034条第2款“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”的规定，并在该条第3款指出不同类型的个人信息保护的规定不同：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”民法典中首次出现了“私密信息”的用语，是作为隐私权【《中华人民共和国民法典》第1032条规定，自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。】的内容之一加以规定，因而适用隐私权的有关规定。该用语后来在2020年修订的《中华人民共和国未成年人保护法》中使用过，【《中华人民共和国未成年人保护法》第73条规定，网络服务提供者发现未成年人通过网络发布私密信息的，应当及时提示，并采取必要的保护措施。】规定网络服务提供者对未成年人私密信息要采取必要保护措施的特定义务，以强化对未成年人私密信息的特别保护。

4.最新的一部专门立法是自2021年11月1日起施行的《个人信息保护法》，该法第4条第1款规定了什么是个人信息：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”。这是一个高度概括性的定义，用“各种信息”予以全面涵盖，避免了列举式规定可能带来的保护疏漏，但是也排除了“匿名化处理后的信息”，可以说这一定义是具有科学性的。同时，该法第28条第1款用列举的方式规定了“敏感个人信息”的定义和范围：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”明确了敏感个人信息关乎人格尊严、人身安全和财产安全，采用列举式规定更加直观，更便于理解和适用，这是首次在法律中出现“敏感个人信息”的用语，并将不满14周岁未成年人的个人信息列入敏感个人信息的范畴，予以特别保护。个人信息保护法在第二章第二节对敏感个人信息规定了更加严格的处理规则，第28条第2款明确规定“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息”。以上两个条文必须结合起来，才能全面、准确地理解个人信息保护法中个人信息的保护范围。

（二）刑事司法中“公民个人信息”的范围

刑法对公民个人信息的保护与前述决定、法律的规定相比，起步较早，2009年刑法修正案（七）【2009年2月28日发布并实施的《中华人民共和国刑法修正案（七）》规定，七、在刑法第253条后增加一条，作为第253条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”】增设刑法第253条之一，增加了两个公民个人信息方面的犯罪：“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”，对情节严重的违反国家规定出售、非法提供公民个人信息，以及窃取或者以其他方法非法获取公民个信息的行为予以刑罚处罚。之后经过2015年11月1日施行的刑法修正案（九）的修改，将“违反国家规定”修改为“违反国家有关规定”，同时扩大了第253条之一犯罪主体的范围，不再局限于国家机关或者特定单位的工作人员，并通过《最高人民法院、最高人民检察院关于执行（中华人民共和国刑法）确定罪名的补充规定（六）》，取消第253条之一原来分设的“出售、非法提供公民个人信息罪、非法获取公民个人信息罪”两个罪名，形成了目前的“侵犯公民个人信息罪”。

刑法并没有规定公民个人信息的定义和范围，最高人民法院于2017年通过司法解释的方式界定了刑事案件中个人信息的范围：自2017年6月1日起施行的《个人信息刑事案件解释》第1条规定，刑法第253条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。其他如打击网络犯罪的相关司法文件中，也涉及有关公民个人信息的一些规定。结合这些司法解释和司法文件，下面探讨两个方面的问题：

1.如何理解《个人信息刑事案件解释》中的“行踪轨迹”信息

司法实务中对个人信息范围的理解，有个变化的过程。2017年的《个人信息刑事案件解释》则将个人信息表述为“识别特定自然人身份或者反映特定自然人活动情况的信息”，由此也引发了不同的理解。个人行踪轨迹作为能够反映特定自然人活动情况的信息，是否能够识别特定自然人的身份？如前文所述，在网络安全法、民法典、个人信息保护法中，关于个人信息的功能特征，其共性是能够“识别自然人（身份）”，并未出现“反映特定自然人活动情况”这样的文字表述，但是，民法典已经明文规定“行踪信息”属于个人信息，具有识别特定自然人的功能；个人信息保护法将“金融账户、行踪轨迹”列人“敏感个人信息”的保护范围，是更为重要、更为核心的个人信息，保护的程度更高，使用敏感个人信息的规则更加严格。

通过《个人信息刑事案件解释》中对“情节严重”认定标准的规定可见，侵犯公民行踪轨迹信息是予以重点打击的范围，该解释规定有四类“敏感”个人信息：【此处本文借用个人信息保护法中的“敏感个人信息”的用法，《个人信息刑事案件解释》中并未出现该用语。】

“行踪轨迹信息、通信内容、征信信息、财产信息”，行踪轨迹信息位列敏感信息首位。特别提到行踪轨迹信息情节严重的规定有两处：“出售或者提供行踪轨迹信息，被他人用于犯罪的”“非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的”，行踪轨迹信息的入罪条数是门槛最低的标准。这是因为行踪轨迹信息，往往会进一步引发其他犯罪行为，如实施诈骗、敲诈勒索、诽谤、利用“软暴力”实施的犯罪活动等，甚至是为了绑架、故意杀人等严重暴力犯罪，进一步侵害被害人的合法权利和社会安宁稳定。因而，在刑事司法中，个人行踪信息，是与被害人的身份密切相关的信息，具有识别特定人身份的功能，确定他人行踪信息并非为了确认而确认，往往是为了进一步实施侵害他人合法权益的犯罪，因而，个人行踪信息并未脱离识别特定自然人身份这一个人信息的核心要素，虽然字面含义可以直接得出其属于反映他人活动情况的信息，但是《个人信息刑事案件解释》的规定方式，并不必然排除个人行踪信息所具有的与特定自然人身份的关联，因为个人信息并非一定是独立识别特定自然人身份，也可以与其他个人信息相结合进行识别。因而，不能因个人行踪信息能够反映活动情况而否定其不具有识别特定自然人身份的功能。

2016年的网络安全法最早规定了“生物识别信息”，但是最高人民法院、最高人民检察院在2017年《个人信息刑事案件解释》中并没有将个人生物识别信息列人。之后民法典将“私密信息”列人隐私权保护的内容，个人信息保护法第28条更是将生物识别信息归属于“敏感个人信息”，是作为更重要的个人信息加以保护的，凸显了其重要性，因“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害”。能否对“生物识别信息”进行刑事保护？答案是肯定的。理由如下：

一方面，从刑法第253条之一规定的本罪构成中需要具备“违反国家有关规定”这一条件，网络安全法、民法典、个人信息保护法等关于个人信息的内容作为刑法判断行为性质是否违反国家有关规定的前置法，“从法秩序统一性原理”出发，上述法律关于“个人信息外延的框定，为定罪提供支撑，同时成为刑法保护个人信息的最大边界”。另一方面，刑法对个人信息法保护范围并非必然要与前置的民事、行政法律保持一致，刑法从自身保护目的出发，通常其保护的范围要窄于前置法的规定。那么，为何“生物识别信息”一定要纳入刑事司法的保护范围？

第一，随着互联网的迅速普及以及技术突飞猛进发展导致互联网功能的急剧扩张，个人信息被越来越广泛地使用到各个领域中，因而被侵犯的领域也在不断扩大，对个人信息的认识必然会发生变化，我国对个人信息保护的法律在规定个人信息的范围时都使用了“等”这一兜底文字，也是立法者权衡后的考量。对于司法实务而言，对个人信息的理解必然也会随着立法的变化和犯罪的实际情况而发生变化。第二，从危害后果上看，“生物识别信息”作为个人信息中的核心内容之一的敏感个人信息，受到侵犯后给被害人带来的后果会更加严重，如果对这类

个人信息的侵害程度达到情节严重的，应当属于刑法保护的范围。第三，刑法作为其他部门法的保护法，在对严重损害保护法益的行为用其他责任仍不足以规制的情形下，需要通过适用刑罚加以处罚。而“生物识别信息”因其更容易对个人权益中的人格尊严、人身安全和财产安全造成侵害，当前置法保护不足时，可纳入刑事保护。另外，在司法实务中，已经通过司法文件的方式明确了“生物识别信息”属于个人信息的范畴。自2021年6月17日施行的《最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（二）》指出，“生物识别信息”属于刑法第253条之一的对象范围，该意见第5条第1款规定“非法获取、出售、提供具有信息发布、即时通讯、支付结算等功能的互联网账号密码、个人生物识别信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任”。上述两个司法文件虽然在性质上不能等同于司法解释，但是司法实务中会遵照执行，也表明了最高人民法院将“生物识别信息”列入个人信息刑事司法保护范围的认识和态度。

在得出理应对“生物识别信息”予以刑事保护的肯定结论后，与此密切相随的问题是“生物识别信息”具体包括哪些信息。2020年修正的《公安机关办理刑事案件程序规定》第217条【《公安机关办理刑事案件程序规定》第217条规定，为了确定被害人、犯罪嫌疑人的某些特征、伤害情况或者生理状态，可以对人身进行检查，依法提取、采集肖像、指纹等人体生物识别信息……】规定，人体生物识别信息包括“肖像、指纹等”。最高人民检察院自2021年1月22日施行的《人民检察院办理网络犯罪案件规定》【《人民检察院办理网络犯罪案件规定》将网络犯罪的范围规定为，网络犯罪是指针对信息网络实施的犯罪，利用信息网络实施的犯罪，以及其他上下游关联犯罪。】第62条第6项规定，“生物识别信息”这一用语“是指计算机利用人体所固有的生理特征（包括人脸、指纹、声纹、虹膜、DNA等）或者行为特征（步态、击键习惯等）来进行个人身份识别的信息”，这是迄今为止，司法文件中对“生物识别信息”最为全面的一个规定，不仅包括生理特征，还包括行为特征。另外，国家互联网信息办公室通过、自2021年10月1日起施行的《汽车数据安全管理若干规定（试行）》第9条规定，汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。针对汽车数据这一类特殊性质的数据，该规定将“心律”列入具有生物识别特征信息。

二、“违反国家有关规定”的理解

在2009年刑法第253条之一设立之时，规定的是“违反国家规定”，刑法第96条明确了什么是违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。无论在立法上还是司法实务中，部门规章均不属于“国家规定”的范畴。

法律方面，除民法典和专门的个人信息保护法外，目前已经有几十部法律中规定了相关机构及其工作人员不得泄露、出售或者非法提供个人信息，其中下列法律中均明确了“违反本法规定，构成犯罪的，依法追究刑事责任”的规定：审计法、兵役法、医师法、数据安全法、预防未成年人犯罪法、未成年人保护法、档案法、社会保险法、公共图书馆法、旅游法、电子商务法、国家情报法、核安全法、网络安全法、出入境管理法、居民身份证法、护照法、统计法、消费者权益保护法、反洗钱法。例如，《中华人民共和国电子商务法》规定，电子商务经营者应当履行个人信息保护方面的义务，对依法收集、使用的个人信息应“严格保密，不得泄露、出售或者非法向他人提供”。上述法律中比较特殊的是反洗钱法，该法中并没有出现“个人信息”用语，而是使用“客户身份资料和交易信息”的表述，这里就包含对公民个人信息保密、非依法不得提供的内容，反洗钱法第3条、第5条规定，在我国境内设立的金融机构，应当“建立健全客户身份识别制度、客户身份资料和交易记录保存制度、大额交易和可疑交易报告制度，履行反洗钱义务”“对依法履行反洗钱职责或者义务获得的客户身份资料和交易信息，应当予以保密；非依法律规定，不得向任何单位和个人提供。”对于这些资料和信息，行政部门“只能用于反洗钱行政调查”，司法机关“只能用于反洗钱刑事诉讼”，严格限定了有关机关在履行职责过程中对个人信息和资料的使用权限。

行政法规方面，自2021年9月1日起施行的《关键信息基础设施安全保护条例》第14条、第15条规定，运营者应当设置专门安全管理机构，其职责的第6项为“履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度”，并规定了出现“较大规模个人信息泄露”事件时的报告义务【《关键信息基础设施安全保护条例》第18条规定，关键信息基础设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当按照有关规定向保护工作部门、公安机关报告。发生关键信息基础设施整体中断运行或者主要功能故障、国家基础信息以及其他重要数据泄露、较大规模个人信息泄露、造成较大经济损失、违法信息较大范围传播等特别重大网络安全事件或者发现特别重大网络安全威胁时，保护工作部门应当在收到报告后，及时向国家网信部门、国务院公安部门报告。】。此外，《医疗保障基金使用监督管理条例》《国务院关于在线政务服务的若干规定》《社会救助暂行办法》《缺陷汽车产品召回管理条例》《戒毒条例》《全国经济普查条例》《人力资源市场暂行条例》《残疾人教育条例》《地图管理条例》《居住证暂行条例》《征信业管理条例》《彩票管理条例》《现役军人和人民武装警察居民身份证申领发放办法》等均明确有保护个人信息，不得泄露的规定。

部门规章方面，是数量较多的部分，本文不一一列举。其中《儿童个人信息网络保护规定》《电信和互联网用户个人信息保护规定》《未成年人学校保护规定》《网络交易监督管理办法》《公共航空运输旅客服务管理规定》《侵害消费者权益行为处罚办法》都是非常重要的涉及个人信息保护的部门规章，此外，《征信业务管理办法》《市场监督管理行政处罚信息公示规定》《税务稽查案件办理程序规定》《小微型客车租赁经营服务管理办法》《重大税务案件审理办法》《医疗保障行政处罚程序暂行规定》等也都规定了对个人信息的保护。例如，自2021年2月1日起施行的《互联网保险业务监管办法》第38条规定，“保险机构应承担客户信息保护的主体责任，收集、处理及使用个人信息应遵循合法、正当、必要的原则，保证信息收集、处理及使用的安全性和合法性：（一）建立客户信息保护制度，明确数据安全责任人，构建覆盖全生命周期的客户信息保护体系，防范信息泄露……”该办法针对保险业务等特点，要求保险机构设置“覆盖全生命周期的客户信息保护体系”。有的部门规章还特别规定了敏感个人信息，国家互联网信息办公室审议通过、自2021年10月1日起施行的《汽车数据安全管理若干规定（试行）》第3条第5款规定，敏感个人信息，是指一旦泄露或者非法使用，可能导致车主、驾驶人、乘车人、车外人员等受到歧视或者人身、财产安全受到严重危害的个人信息，包括车辆行踪轨迹、音频、视频、图像和生物识别特征等信息。

三、“情节严重”和“情节特别严重”的理解

1.未规定数量、数额标准的情形

（1）行踪信息，作为敏感个人信息之一，出售或者提供后被他人用于犯罪的，即属于“情节严重”，没有数量和违法所得、牟利等要求。

（2）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（4）数量未达到前述条数标准，但是按相应比例合计达到有关数量标准的；

（5）违法所得五千元以上的；

（6）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到前述规定标准一半以上的；

四、本罪从宽处罚的适用

（一）从宽处罚的条件

《个人信息刑事案件解释》第10条规定，对于实施了本罪，如果同时符合以下条件，可以从宽处罚：

（三）还应考量认罪认罚从宽制度的适用

对于确有必要判处刑罚的，还应结合认罪认罚从宽制度的适用，来考量刑罚的适用。

认罪认罚从宽制度已经于2018年修改刑事诉讼法时正式加以规定，该法第15条规定：“犯罪嫌疑人、被告人自愿如实供述自己的罪行，承认指控的犯罪事实愿意接受处罚的，可以依法从宽处理。”

五、本罪从重处罚的适用

第253条之一第2款规定，违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

2.主体为履行职责或者提供服务的机关、机构、公司等，及其工作人员。例如，《中华人民共和国数据安全法》第38条规定：“国家机关……对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供”。第52条第2款规定：“违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。”根据上述规定，国家机关及其工作人员在履职过程中，如果将知悉的公民个人信息非法向他人提供，达到情节严重，构成本罪，需要追究刑事责任的，就属于应当从重处罚的情形。

区分从重处罚与从轻处罚”。也有观点表述为“不是一律判处最高刑或者一律适用较重的刑种、较长的刑期或者一律在法定刑的平均刑期以上判处刑罚”。总之，不能简单地直接适用较重的刑种或者较长的刑期。

关于罚金刑的适用，虽然刑法第253条之一规定的是无限额罚金，但是《个人信息刑事案件解释》第12条还是作了一般性的限制，规定本罪的“罚金数额一般在违法所得的一倍以上五倍以下。”罚金刑适用的时候，要“综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等”，依法判处罚金。

六、侵犯公民个人信息罪与其他相关犯罪之间的关系

《个人信息刑事案件解释》第8条和第9条还涉及非法利用信息网络罪、拒不履行信息网络安全管理义务罪两个罪名，对于“设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的”，应当依照刑法第287条之一的规定，以非法利用信息网络罪定罪处罚。刑法第287条之一第3款规定，触犯该罪同时构成其他犯罪的，依照处罚较重的规定定罪处罚。因非法利用信息网络罪只有一个法定刑档次，与侵犯公民个人信息罪的第一档法定刑没有区别，但是后者有加重法定刑情节，最高可以判处7年有期徒刑，因而，同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。

【办案依据】

一、刑法规定

二、司法解释

（一）《人民法院在线诉讼规则》（2021年6月16日法释［2021］12号）

（四）便民利民原则。优化在线诉讼服务，完善诉讼平台功能，加强信息技术应用，降低当事人诉讼成本，提升纠纷解决效率。统筹兼顾不同群体司法需求，对未成年人、老年人、残障人士等特殊群体加强诉讼引导，提供相应司法便利。

（五）安全可靠原则。依法维护国家安全，保护国家秘密、商业秘密、个人隐私和个人信息，有效保障在线诉讼数据信息安全。规范技术应用，确保技术中立和平台中立。

第三十八条 参与在线诉讼的相关主体应当遵守数据安全和个人信息保护的相关法律法规，履行数据安全和个人信息保护义务。除人民法院依法公开的以外，任何人不得违法违规披露、传播和使用在线诉讼数据信息。出现上述情形的，人民法院可以根据具体情况，依照法律和司法解释关于数据安全、个人信息保护以及妨害诉讼的规定追究相关单位和人员法律责任，构成犯罪的，依法追究刑事责任。

第三条向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

第四条 违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

第五条 非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；

（十）其他情节严重的情形。

实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：

（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

（二）造成重大经济损失或者恶劣社会影响的；

（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；

（四）其他情节特别严重的情形。

第六条 为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

第九条 网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。

第十条 实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。

第十三条 本解释自2017年6月1日起施行。

（三）《最高人民法院、最高人民检察院关于执行（中华人民共和国刑法）确定罪名的补充规定（六）》（2015年10月30日法释〔2015〕20号）

刑法条文：第二百五十三条之一（《刑法修正案（九）》第十七条）

刑法条文：①第253条之一第1款（《刑法修正案（七）》第7条第1款）②第253条之一第2款（《刑法修正案（七）》第7条第2款）

罪名：①出售、非法提供公民个人信息罪②非法获取公民个人信息罪

三、部门规章

《汽车数据安全管理若干规定（试行）》（2021年8月16日）

第三条 本规定所称汽车数据，包括汽车设计、生产、销售、使用、运维等过程中的涉及个人信息数据和重要数据。

汽车数据处理，包括汽车数据的收集、存储、使用、加工、传输、提供、公开等。

（二）车辆流量、物流等反映经济运行情况的数据；

（三）汽车充电网的运行数据；

（四）包含人脸信息、车牌信息等的车外视频、图像数据；

（五）涉及个人信息主体超过10万人的个人信息；

（六）国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。

第七条 汽车数据处理者处理个人信息应当通过用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式，告知个人以下事项：

（一）处理个人信息的种类，包括车辆行踪轨迹、驾驶习惯、音频、视频、图像和生物识别特征等；

因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或者对画面中的人脸信息等进行局部轮廓化处理等。

第九条 汽车数据处理者处理敏感个人信息，应当符合以下要求或者符合法律、行政法规和强制性国家标准等其他要求：

（一）具有直接服务于个人的目的，包括增强行车安全、智能驾驶、导航等；

（二）通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性以及对个人的影响；

（三）应当取得个人单独同意，个人可以自主设定同意期限；

（四）在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；

（五）个人要求删除的，汽车数据处理者应当在十个工作日内删除。

汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。

五、非法获取、出售、提供具有信息发布、即时通讯、支付结算等功能的互联网账号密码、个人生物识别信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。

对批量前述互联网账号密码、个人生物识别信息的条数，根据查获的数量直接认定，但有证据证明信息不真实或者重复的除外。

……

（3）出售、提供、帮助获取公民个人信息的；

……

上述规定中的“明知他人实施‘套路贷’犯罪”，应当结合行为人的认知能力、既往经历、行为次数和手段、与同案人、被害人的关系、获利情况、是否曾因“套路贷”受过处罚、是否故意规避查处等主客观因素综合分析认定。

人民法院、人民检察院、公安机关要针对电信网络诈骗等犯罪的特点，坚持全链条全方位打击，坚持依法从严从快惩处，坚持最大力度最大限度追赃挽损，进一步健全工作机制，加强协作配合，坚决有效遏制电信网络诈骗等犯罪活动，努力实现法律效果和社会效果的高度统一。

三、全面惩处关联犯罪

（一）在实施电信网络诈骗活动中，非法使用“伪基站”“黑广播”，干扰无线电通讯秩序，符合刑法第二百八十八条规定的，以扰乱无线电通讯管理秩序罪追究刑事责任。同时构成诈骗罪的，依照处罚较重的规定定罪处罚。

（二）违反国家有关规定，向他人出售或者提供公民个人信息，窃取或者以其他方法非法获取公民个人信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。

六、严禁任何单位和个人非法获取、非法出售、非法向他人提供公民个人信息。对泄露、买卖个人信息的违法犯罪行为，坚决依法打击。对互联网上发布的贩卖信息、软件、木马病毒等要及时监控、封堵、删除，对相关网站和网络账号要依法关停，构成犯罪的依法追究刑事责任。

五、其他法规

（一）《中华人民共和国个人信息保护法》（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过，自2021年11月1日起施行）

第七十一条 违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

（二）《中华人民共和国数据安全法》（2021年6月10日第十三届全国人民代表大会常务委员会第二十九次会议通过，自2021年9月1日起施行）

在统计、档案工作中开展数据处理活动，开展涉及个人信息的数据处理活动。还应当遵守有关法律、行政法规的规定。

（三）《中华人民共和国网络安全法》（2016年11月7日第十二届全国人民代表大会常务委员会第二十四次会议通过，自2017年6月1日起施行）

第六十三条第三款 违反本法第二十七条规定，受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。

第七十四条 违反本法规定，给他人造成损害的，依法承担民事责任。

二、网络服务提供者和其他企业事业单位在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得违反法律、法规的规定和双方的约定收集、使用信息。网络服务提供者和其他企业事业单位收集、使用公民个人电子信息，应当公开其收集、使用规则。

三、网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供。

四、网络服务提供者和其他企业事业单位应当采取技术措施和其他必要措施，确保信息安全，防止在业务活动中收集的公民个人电子信息泄露、毁损、丢失。在发生或者可能发生信息泄露、毁损、丢失的情况时，应当立即采取补救措施。

八、公民发现泄露个人身份、散布个人隐私等侵害其合法权益的网络信息，或者受到商业性电子信息侵扰的，有权要求网络服务提供者删除有关信息或者采取其他必要措施予以制止。

九、任何组织和个人对窃取或者以其他非法方式获取、出售或者非法向他人提供公民个人电子信息的违法犯罪行为以及其他网络信息违法犯罪行为，有权向有关主管部门举报、控告；接到举报、控告的部门应当依法及时处理。被侵权人可以依法提起诉讼。

十一、对有违反本决定行为的，依法给予警告、罚款、没收违法所得、吊销许可证或者取消备案、关闭网站、禁止有关责任人员从事网络服务业务等处罚，记入社会信用档案并予以公布；构成违反治安管理行为的，依法给予治安管理处罚。构成犯罪的，依法追究刑事责任。侵害他人民事权益的，依法承担民事责任。

十二、本决定自公布之日起施行。

【指导性案例】

（一）最高人民检察院指导性案例第34号李某杰等破坏计算机信息系统案

（2017年10月10日最高人民检察院第十二届检察委员会第七十次会议决定，2017年10月12日发布）

【关键词】

破坏计算机信息系统，删改购物评价，购物网站评价系统

【基本案情】

被告人李某杰，男，1985年7月生，原系浙江杭州某网络公司员工。

2012年12月11日，被告人李某杰被公安机关抓获归案。此后，因涉嫌出售公民个人信息、非法获取公民个人信息，被告人胡某、黄某权、董某、王某昭等人也被公安机关先后抓获。

【诉讼过程和结果】

本案由浙江省杭州市滨江区人民检察院于2014年3月24日以被告人李某杰犯破坏计算机信息系统罪、被告人胡某犯出售公民个人信息罪、被告人黄某权等人犯非法获取公民个人信息罪，向浙江省杭州市滨江区人民法院提起公诉。2015年1月12日，杭州市滨江区人民法院作出判决，认定被告人李某杰的行为构成破坏计算机信息系统罪，判处有期徒刑五年；被告人胡某的行为构成出售公民个人信息罪，判处有期徒刑十个月，并处罚金人民币二万元；被告人黄某权、董某、王某昭的行为构成非法获取公民个人信息罪，分别判处有期徒刑、拘役，并处罚金。一审宣判后，被告人董某提出上诉。杭州市中级人民法院二审裁定驳回上诉，维持原判。判决已生效。

购物网站评价系统是对店铺销量、买家评价等多方面因素进行综合计算分值的系统，其内部储存的数据直接影响到搜索流量分配、推荐排名、营销活动报名资格、同类商品在消费者购买比较时的公平性等。买家在购买商品后，根据用户体验对所购商品分别给出好评、中评、差评三种不同评价。所有的评价都是以数据形式存储于买家评价系统之中，成为整个购物网站计算机信息系统整体数据的重要组成部分。

【相关法律规定】

《中华人民共和国刑法》

……

……

（一）数量或者数额达到前款第（一）项至第（三）项规定标准五倍以上的；

……

《计算机信息网络国际联网安全保护管理办法》

第六条 任何单位和个人不得从事下列危害计算机信息网络安全的活动：

（一）未经允许，进入计算机信息网络或者使用计算机信息网络资源的；

业主房源信息是房产交易信息和身份识别信息的组合，包含姓名、通信通讯联系方式、住址、交易价格等内容，属于法律保护的公民个人信息。未经信息主体另行授权，非法获取、出售限定使用范围的业主房源信息，系侵犯公民个人信息的行为，情节严重、构成犯罪的，应当依法追究刑事责任。检察机关办理案件时应当对涉案公民个人信息具体甄别，筛除模糊、无效及重复信息，准确认定侵犯公民个人信息数量。

柯某在获取上述业主房源信息后，安排员工冒充房产中介人员逐一电话联系业主进行核实，将有效的信息以会员套餐形式提供给网站会员付费查询使用。上述员工在联系核实信息过程中亦未如实告知业主获取、使用业主房源信息的情况。自2016年1月至案发，柯某通过运营“房利帮”网站共非法获取业主房源信息30余万条，以会员套餐方式出售获利达人民币150余万元。

上海市公安局金山分局在侦办一起侵犯公民个人信息案时，发现该案犯罪嫌疑人非法出售的部分信息购自“房利帮”网站，根据最高人民法院、最高人民检察院、公安部《关于办理网络犯罪案件适用刑事诉讼法若干问题的意见》的规定，柯某获取的均为上海地区的业主信息，遂对柯某立案侦查。

【检察履职情况】

（一）引导侦查取证

2017年11月17日，金山分局以柯某涉嫌侵犯公民个人信息罪向上海市金山区人民检察院提请批准逮捕。

11月24日，金山区人民检察院作出批准逮捕决定，并建议公安机关从电子数据、言词证据两方面，针对信息性质和经营模式继续取证。公安机关根据建议，一是调取了完整的运营数据库进行鉴定，确认了信息数量；二是结合“房利帮”网站员工证言，进一步向柯某确认了该公司是由其个人控制经营，以有偿获取、出售个人信息为业，查明本案属自然人犯罪而非单位犯罪。

7月27日，金山区人民检察院以柯某涉嫌侵犯公民个人信息罪提起公诉。

（三）指控与证明犯罪

2019年1月16日，上海市金山区人民法院依法公开开庭审理本案。审理中，柯某及其辩护人对柯某的业务模式、涉案信息数量等事实问题无异议，但认为柯某的行为不构成犯罪。

辩护人提出，第一，房源信息是用于房产交易的商用信息，部分信息没有业主实名，不属于刑法保护的公民个人信息；第二，网站的房源信息多由房产中介人员上传，房产中介人员获取该信息时已得到业主许可，系公开信息，网站属合理使用，无须另行授权；第三，网站对信息核实后，将真实房源信息整合，主要向房产中介人员出售，促进房产交易，符合业主意愿和利益。

（四）处理结果

2019年12月31日，金山区人民法院作出判决，采纳金山区人民检察院指控的犯罪事实和意见，以侵犯公民个人信息罪判处柯某有期徒刑三年，缓刑四年，并处罚金人民币一百六十万元。宣判后，柯某未提出上诉，判决已生效。

【指导意义】

（一）包含房产信息和身份识别信息的业主房源信息属于公民个人信息。公民个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联络方式、住址、账号密码、财产状况、行踪轨迹等。业主房源信息包括房产坐落区域、面积、售租价格等描述房产特征的信息，也包含门牌号码、业主电话、姓名等具有身份识别性的信息，上述信息组合，使业主房源信息符合公民个人信息“识别特定自然人”的规定。上述信息非法流入公共领域存在较大风险。现实生活中，被害人因信息泄露被频繁滋扰，更有大量信息进入黑灰产业链，被用于电信网络诈骗、敲诈勒索等犯罪活动，严重威胁公民人身财产安全、社会公共利益，甚至危及国家信息安全，应当依法惩处。

（二）获取限定使用范围的信息需信息主体同意、授权。对生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息，进行信息处理须得到信息主体明确同意、授权。对非敏感个人信息，如上述业主电话、姓名等，应当根据具体情况作出不同处理。信息主体自愿、主动向社会完全公开的信息，可以认定同意他人获取，在不侵犯其合法利益的情况下可以合法、合理利用。但限定用途、范围的信息，如仅提供给中介供服务使用的，他人在未经另行授权的情况下，非法获取、出售，情节严重的，应当以侵犯公民个人信息罪追究刑事责任。

（三）认定公民个人信息数量，应当在全面固定数据基础上有效甄别。侵犯公民个人信息案件中，信息一般以电子数据形式存储，往往数据庞杂、真伪交织、形式多样。检察机关应当把握公民个人信息“可识别特定自然人身份或者反映特定自然人活动情况”的标准，准确提炼出关键性的识别要素，如家庭住址、电话号码、姓名等，对信息数据有效甄别。对包含上述信息的认定为有效的公民个人信息，以准确认定信息数量。

【相关规定】

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条、第二条、第三条、第四条、第十一条

原文载《侵犯公民人身权利罪立案追诉标准与疑难指导》，朱丽欣、王翠杰著，中国法制出版社，2022年7月第一版，P307-342。免责声明：本号资料均来源于网络、报刊等公开媒体及个人阅读书籍摘录，本文仅供参考。如需引用，请以正式文件为准。转载请注明文章及公众号出处。文章来源：刑侦案审    成都夏虎律师团队【版权声明】凡本公众号注明"来源”或“转自”的文章，版权归原作者及原出处所有，仅供大家学习参考，若来源标注错误或侵犯到您的权利，烦请告知，我们将立即删除！