侵犯公民个人信息罪的证据法分析

【原评析文章名称】 侵犯公民个人信息犯罪的构罪要素

【作者与文章出处】 曹燕飞 、 顾建兵 载《人民司法》 2015 年第 4期

【原文章内容摘要】 结合当前严厉打击侵犯公民个人信息犯罪的刑事政策，应当对出售、非法提供公民个人信息罪和非法获取公民个人信息罪 （编者按： 出售、非法提供公民个人信息罪和非法获取公民个人信息罪 合并为侵犯公民个人信息罪） 作扩大解释。只要行为人所在单位的性质决定其能够较为系统地接触和获取公民信息，就属本罪单位之列；只要行为人无正当事由，没有获取公民个人信息的法律法规依据或资格而获取的，就属非法获取。

案号一审（ 20 1 5）崇刑初字第 00 58号

【 案情 】

公诉机关：江苏省南通市崇川区人民检察院。

被告人：沈辉、余晖映、薛天煜、蔡志峰、徐加辉。

被告单位：南通安莱装饰装潢工程有限公司（以下简称安莱公司 ） 、南通天弘网络科技有限公司（以下简称天弘公司）。

江苏省南通市崇川区人民法院经审理查明：被告人沈辉系南通市全通房产信息咨询网络有限公司职员。 20 12年10月至 20 13年12月间，被告单位安莱公司的法定代表人余晖映为拓展公司业务 ， 经介绍认识被告人沈辉，沈辉利用帮助南通市房产管理局信息中心维护房产销售系统的便利 ， 私自导出该系统中的公民个人房产信息，并以电子邮件的方式向余晖映非法提供上述信息 2 299 3条。 2013 年 3月至20 1 3年12月间，被告人薛天煜利用其安莱公司工作人员的身份 ， 通过在余晖映电脑上安装 “灰鸽子”软件 ， 窃取该电脑中存储的公民个人房产信息 2 646 0条。 2013 年 3月至20 1 3年8月间，被告单位天弘公司的合伙人蔡志峰、徐加辉为拓展公司业务，一共向被告人薛天煜购买上述公民个人房产信息 1 7 9 00条，被告人薛天煜牟利1万元。

201 4年 1 月 8日，公安机关将被告人薛天煜、蔡志峰抓获。在抓获薛天煜时 ， 被告人余晖映主动要求跟随公安民警到公安机关接受调查。 1月9日，公安机关将被告人沈辉抓获 。 1 月 1 0日，被告人徐加辉主动到公安机关投案。归案后被告人沈辉如实供述了非法提供公民个人信息的犯罪事实，被告人余晖映 、 薛天煜、蔡志峰 、 徐加辉如实供述了非法获取公民个人信息的犯罪事实。

公诉机关以被告人沈辉构成非法提供公民个人信息罪，被告单位安莱公司 、 天弘公司 ， 被告人余晖映、薛天煜、蔡志峰、徐加辉均构成非法获取公民个人信息罪提起公诉 。

被告人余晖映的辩护人提出：被告人余晖映犯罪情节相对较轻，获取的公民信息种类较少，社会危害性较小，且被告人余晖映系初犯和偶犯，有自首情节，可从轻或减轻处罚 ， 可单独适用罚金 。

被告人徐加辉的辩护人提出：被告人徐加辉通过购买而非窃取的方式获取公民个人信息，没有谋取非法利益，主观恶性小、情节轻微，属从犯，且有自首情节，建议法院从轻、减轻处罚或者免予刑事处罚。

【 审判 】

南通市崇川区人民法院审理认为：被告人沈辉利用帮助南通市房产管理局信息中心维护房产销售系统的便利 ， 私自导出该系统中的公民个人房产信息 ， 非法提供给他人，情节严重，其行为已构成非法提供公民个人信息罪；被告单位安莱公司、天弘公司，被告人薛天煜分别通过收受、购买、窃取等手段非法获获取公民个人信息 ， 情节严重 ， 其行为均已构成非法获取公民个 人信息罪； 被告人余晖映是被告单位安莱公司直接负责的主管人员 ， 被告人蔡志峰是被告单位天弘公司直接负责的主管人员，被告人徐加辉是被告单位天弘公司的直接责任人员，非法获取公民个人信息，情节严重，其行为亦均已构成非法获取公民个人信息罪。被告人余晖映犯罪后主动向公安机关投案，并如实供述犯罪事实，被告单位安莱公司、被告人余晖映是自首，依法可以从轻处罚；被告人徐加辉犯罪后主动向公安机关投案，并如实供述犯罪事实，系自首，依法可以从轻处罚；被告人沈辉、被告人薛天煜、被告单位天弘公司直接负责的主管人员蔡志峰归案后，如实供述犯罪事实，对被告人沈辉、薛天煜、蔡志峰、被告单位天弘公司依法可以从轻处罚。

崇川区法院依法作出一审判决：对被告人沈辉以非法提供公民个人信息罪判处有期徒刑 9个月，缓刑1年，并处罚金1 . 5万元。被告人薛天煜、余晖映 、 蔡志峰、徐加辉均构成非法获取公民个人信息罪 ， 判处薛天煜有期徒刑 1年 ， 缓刑 2年，并处罚金1 . 5万元；判处余晖映拘役4个月，缓刑5个月，并处罚金1 . 5万元；判处蔡志峰拘役4个月，缓刑5个月，并处罚金1万元；判处徐加辉拘役2个月，并处罚金 1 万元。对被告单位安莱公司、天弘公司以非法获取公民个人信息罪，分别判处罚金 3万元和2万元 。

一审判决后，各被告人被告单位均未提出上诉，该判决已生效。

【评析】

随着互联网技术的快速发展，侵犯公民个人信息的违法犯罪活动亦层出不穷。鉴于此 ， 2009 年 2月28日通过的《刑法修正案（七 ）》 ，首次在刑法规范中增设了出售、非法提供公民个人信息罪和非法获取公民个人信息罪，确立了对公民个人信息给予全面保护的立法精神。但总体上，该罪状表述仍显简略、模糊 ， 以致司法实践中困惑较多。就本案而言，主要涉及刑法保护的公民个人信息的范畴，出售、非法提供公民个人信息罪的犯罪主体，购买、受赠等中性行为能否评价为非法获取，以及情节严重的判断标准四个方面的问题 。

一、刑法所保护的公民个人信息应当具有私人专属性和价值重要性两方面特性

关于公民个人信息的范围，理论和实务界争论较大 ， 概括来说有以下几种 ： 一是认为公民个人信息是指能够实现对公民个人情况的识别 ， 被非法利用时可能对公民个人生活和安宁构成损害和威胁的信息；二是认为公民个人信息有本人不希望扩散、具有保护价值的属性，该信息一旦扩散，将可能对公民权利造成损害 ， 具有私密性；三是认为公民个人信息就是以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息 。 综合上述观点 ， 基本可归纳出公民个人信息的两个基本特征：一是私人专属性，即其与公民个人的身份紧密相关，既可以是反映其生理特征的信息 ， 也可以是反映其社会特征的信息；二是价值重要性 ， 即公民的诸多个人信息关乎公民的人格 、 尊严 ， 甚至影响其财产权利、人身安全。但公民个人信息不能等同于公民个人的隐私，即便个人信息已经通过网络或者其他方式予以公开，仍有可能成为《刑法》第 253条之一所规定之犯罪侵犯的对象。就本案而言，房管部门房产销售系统中的房产信息是与公民个人存在紧密关联性并可以识别为专属于特定个人的信息，其关乎个人人身、财产安全 ， 应当属于公民个人信息。

二、出售、非法提供公民个人信息罪的犯罪主体是一般主体

《刑法》第 253条之一第1款对刑法保护的公民个人信息进行了来源条件的界定，列举了“国家机关或者金融、电信、交通、教育、医疗等单位”法律条文中“等”字的表述就给予司法机关一定自由裁量空间。结合《刑法》条文的目的，解释和整体性解释方法，从本罪所在的章节来看，其被置于侵犯公民人身权利 、 民主权利罪一章，保护的法益乃是公民个人的信息安全。在公民现实生活中，除了金融、电信、交通、教育 、 医疗等单位之外，诸如网络购物、物流快递、房产 、 保险等服务性行业 ， 与社会公众也具有紧密的联系 ， 这些单位掌握着大量的公民个人信息。由于此类单位在公民个人信息保护方面存在漏洞，某种程度上也成为违法犯罪分子重点觊觎的对象。就此而言，如果仅仅将《刑法》对公民个人信息的保护限定在金融、电信、交通等刑法所明确列举的单位，势必不利于对公民人身权利的保护，也违背了《刑法》当初设定本罪打击非法获取公民个人信息、侵害公民人身权利行为的立法目的。故对于出售、非法提供公民个人信息罪的主体，只要行为人所在单位的性质决定其能够较为系统地接触和获取到公民信息的，就属于本罪的单位之列，而不必限于国家机关等公权力机关。本案被告人沈辉虽然不具有国家机关或其他公权力单位工作人员的身份，但其利用帮助南通市房产管理局信息中心维护房产销售系统的便利，私自导出该系统中的公民个人房产信息，正是利用了工作便利获取并向他人提供公民个人信息，其作为犯罪主体的身份是适格的 。

三、购买、获赠或收受的行为能够被评价为非法获取

《刑法》第 253条之一第 3 款将非法获取公民个人信息罪的实行行为规定为 “窃取或者以其他方法非法获取上述信息”。对此有观点认为，窃取即秘密取走，其本身就是一种非法手段，故其他方法应当与窃取具有同质性，也必须是非法的，比如诈骗。相反，对那些自身不具非法性或比较中性的方法，由于其与窃取不具有同质性，就不应当认为是非法获取，如本案被被告人蔡志峰、徐加辉的购买行为、被告人余晖映的获赠、收受行为等。由于我国没有出台专门的个人信息保护法，没有明确将公民个人信息规定为禁止买卖和互易的商品，也不能认定该买卖或互易的手段本身就具有违法性，但如此一来，就可能无法给予刑法上的评价，这样处理显然不符合刑法全面保护公民个人信息的立法目的。从实践来看，倒卖公民个人信息违法呈常态，已经初步形成了犯罪产业链，并成为诈骗 、 敲诈勒索甚至绑架等诸多下游犯罪的诱因和源头。如果对这类行为不予 刑法 规制，显然让人无法接受。笔者认为，本罪的非法并非就获取手段或方法行为的性质而言，而是指行为人的获取行为无正当化事由，在本质上是非法的，亦即行为人没有获取他人信息的法律 、 法规依据或资格而获取相关个人信息的 ， 就可能构成犯罪。事实上，即便从立法经验来看，现有刑法体系内 “窃取”也多与“收买”相提并论。如《刑法》第 11 0条规定：“为境外的机构、组织、人员窃取 、 刺探、收买、非法提供国家机密或者情报的 ” ，《 刑法》第 177条第2款规定：窃取、收买或者非法提供他人信用卡信息资料的”故将“购买”、“收受”等中性行为解释为“非法获取”亦有刑法体系上的支持。就本案而言，被告人余晖映通过人情关系从被告人沈辉处获赠、收受公民个人信息，被告人徐加辉、蔡志峰向被告人薛天煜购买公民个人信息，其取得显然不具法律上的授权，违背了公民的意愿，应当认定属于以其他方法非法获取的范畴。

四 、 情节严重应结合行为人的主观恶性和法益的受侵害程度综合判断

情节严重是侵犯公民个人信息犯罪的客观构成要件，也是区分罪与非罪的重要标准之一。目前就该问题尚无立法或司法上的解释 ， 从学理解释的角度来看，目前基本达成的共识是：情节严重一般包括出售、非法获取、提供公民个人信息数量较多、获利数额较大以及公民个人信息被非法提供、出售给他人后 ， 给公民造成了经济上的损失，或者严重影响到公民个人正常生活，或者被用于进行违法犯罪活动等情形。在笔者看来，判断情节严重，应结合行为人的主观恶性和对法益的侵害程度予以综合把握。就本案而言，可做如下具体分析：

1 . 在犯罪动机上 ， 根据各被告人的供述，被告人薛天煜的犯罪动机主要是为了牟利 ， 而被告人余晖映、蔡志峰、徐加辉称自己只是为了扩大业务方便。笔者认为，出于牟利目的而非法获取信息的行为与因日常生活和工作需要而非法获取信息的行为相比 ， 前者主观恶性明显要大且信息的传播范围要更广，故情节更为严重。

2 . 在犯罪手段上，被告人薛天煜通过安装软件的方式秘密窃取，被告人余晖映、蔡志峰、徐加辉则分别通过获赠、购买的方式获取。一般而言，如果手段行为本身具有违法性或破坏性，较之一般的购买、互易信息行为当然具有更大危害 。

3 . 在信息类型上，本案所涉公民个人信息是与公民个人密切相关的、其不愿该信息被特定人群以外的其他人群所知悉的信息，即属于公民的隐私信息 。 该类信息如果泄露，较之一般信息，后果更为恶劣，故情节亦更为严重。

4 . 在信息数量上，本案被告人非法提供、非法获取的信息都在 1700 0 条以上 ， 数量巨大。对信息数量上的认定，还可参考 2011 年 9月1日两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第1条对非法获取计算机信息系统数据或者非法控制计算机信息系统罪的情节严重所作出的解释 ， “获取支付计算、证券交易、期货交易等网络金融服务的身份认证信息 1 0组以上的；获取前述信息以外的身份认证信息5 00 组以上的 ” 。

5 . 在犯罪后果上，被告人薛天煜将信息转卖他人，既扩大了信息的传播，亦放任了他人对该信息所有者可能造成的危害，如被用于下游违法犯罪活动 ， 将更加严重侵害信息所有人的人身、财产安全，行为危害性较大。被告人余晖映等人将个人信息自己存留或为自己扩大业务使用，虽然亦侵害了信息所有者的信息安全，但比被告人薛天煜行为危害性更小。故综合考虑各被告人的犯罪动机 、 手段、犯罪涉及信息的类型和数量以及犯罪的危害后果，符合《刑法》有关情节严重的犯罪构成要件，应当承担刑事责任。同时，考虑到各被告人各自具体的犯罪情节还不尽相同，犯罪的危害也有所区别，故在量刑上，对各被告人分别处以拘役 2个月至有期徒刑 1 年的刑罚，对被告单位分别判处相应的罚金 。

（作者单位：江苏省南通市崇川区人民法院 ， 江苏省南通市中级人民法院）

【专家重述】

重述人：刘计划（中国人民大学法学院教授、博士生导师）

孔祥承（中国人民大学法学院博士研究生）

【法律规则】

随着非法获取公民个人信息行为的入刑化，应当妥善处理其中出现的证据法问题。在非法获取公民个人信息罪的处理中，司法人员应充分运用推论规则，对案件进行查证，不应允许公诉机关以 “无法查证”为由，豁免自己的证明责任，变相剥夺犯罪嫌疑人、被告人的诉讼权利 。

【 重述内容 】

侵犯公民个人信息罪的证据法分析

一、 问题之提出

《刑法修正案（七 ）》 正式将非法获取公民个人信息行为入罪化。虽然将在刑法规范层面已规定了非法获取公民个人信息罪 ， 但在司法实践中因适用这一罪名所遇到的问题仍层出不穷。尤其是对于 “情节严重”如何认识在界定上出现了诸多的问题。结合本案的做法可以看出在理论界与实务界一般都将非法获取公民个人信息的具体数量作为是否构成“情节严重”的一项重要标准 ， ① （ “侵犯公民人格权犯罪问题”课题组：“论侵犯公民个人信息犯罪的司法认定” ， 载《政治与法律》 20 12年第11期。付强：“非法获取公民个人信息罪的认定” ， 载《国家检察官学院学报 》 20 1 4年第2期。 ） 至于信息的真实性等问题则没有涉及。甚至某些司法工作者认为所谓的 “公民个人信息”不一定是公民个人的真实信息，对于“个人信息”的判断应从实质判断，他们认为在当今社会 ， 由于虚假、错误信息传播的行为会极大影响公民个人相关权益，因此只要对公民生活造成严重困扰 ， 即使是涉及虚假的个人信息的行为也应纳入该法条进行规制 。 ② （ 常青 、 张莉： “非法获取公民个人信息罪司法适用之解构分析” ， 载《法制与社会》 20 12年12月 （中）。） 笔者认为这种理解显然存在一些缺陷，从实体法层面而言，如果认为虚假信息的传播可能会影响个人权益，那么这种传播更应当属于侮辱诽谤罪保护的范畴，而非处于非法获取个人信息罪的规制范围。从法条规制目的层面来看，该罪要求非法获取的信息必须是真实的，因为真实的信息才有可能侵犯到公民的隐私利益 ， 只有侵犯公民个人的真实信息才可能侵犯到本罪所保护的法益。而且 ， 在非法获取的是虚假的、无用的信息时，按照刑法主客观相一致的原则，对其是否构成犯罪尚称疑虑。此外，从程序法的角度来看，根据《刑事诉讼法》第 48条 ③ （ 证据必须经过查证属实才能作为定案的根据。 ） 的有关规定，要求对涉及被告定罪量刑的证据必须查证事实，这就从程序法层面说明 “查证”与“属实”的重要性，既然个人信息的真假涉及定罪与量刑，那么在非法获取个人信息罪的审理中 ， 必须要对定罪量刑的证据 “查证”、“属实” ， 如果不进行查证，那么相当于变相卸除了公诉机关的证明责任，违背刑事诉讼的基本原则。本案中 ， 由于非法获取的信息源自政府部门，信息的真实性问题不存在问题，但是对于其他一些案件来说信息真实性问题则成为查证中的难题。

二、推论规则在侵犯公民个人信息犯罪中的适用路径

在笔者看来，在信息真实性进行查证的过程中应当妥善运用推论规则。所谓推论 ， 在本质上是一种间接证明的方法，其与事实推定同质 ， 是指根据已知事实的成立，运用日常生活的经验法则和逻辑法则推出与已知事实相关的另一事实成立的证明方法。映射在司法领域，则是司法人员从已知事实出发，根据经验法则，对待证事实的存在状态进行判断的一种方法。它由法官根据某些事实与推论事实之间相互联系的盖然性进行判断 。 其中更多地包含了自由心证的内容。推论作为一种证明方式，在理论上受到了广泛讨论，它的适用并不存在理论上的桎梏。但在我国推论是否可以适用于刑事案件中 ， 是将推论运用于非法获取个人信息罪认定时需要解决的前提性问题，此外 ， 需要克服的另一个问题则是推论规则应当以何种形式介入这种案件的处理中。

（一） 一般刑事案件中适用推论规则的可能性

推论作为一种间接证明的方法在刑事案件证明活动中其是经常被用到的方法。有时囿于直接证据的缺乏公诉机关经常需要以推论的方法证明犯罪构成要件，而这种方法也在实践中凭借司法解释得到了固化。

以最高人民法院在 20 0 8年发布的《全国部分法院审理毒品犯罪案件工作座谈会纪要》中关于主观明知要件认定部分的十种情况为例，这十种情形并非由法律规定，而是由司法解释来类型化，而根据这十项规定来认定主观“明知”也并非绝对，同时需要法官个案判断裁量，被告人亦可以进行反驳的，这些都表明最高院在实践中也大力倡导推论规则的适用。又如20 01 年最高人民法院关于印发《全国法院审理金融犯罪案件工作座谈会纪要》的通知里关于金融诈骗罪中是否具有非法占有目的也使用了推论的方法。再如 1998年关于印发《关于依法查处盗窃 、 抢劫机动车案件的规定》的通知第 17条中规定了四种视为 “ 应当知道 ”的情形。主观要件作为犯罪构成要件的重要一环，受到司法实务部分的广泛重视 ， 而在司法实践中有广泛的适用推论规则。由此可见，在刑事案件的处理过程中的推论规则已经获得了较为广泛的适用，这说明在推论适用于刑事案件时并不存在制度性障碍 。

（二） 海量证据案件中适用推论规则可能性

虽然 ， 推论规则可以适用于刑事案件，甚至在部分情况下已经被固定为司法解释。但推论应当借助于何种形式出现在海量证据案件中，则存在一定疑问。

其实之前我国《刑法》中一些罪名已经涉及大量违法物品的认定问题，只不过这些违法物品的数量还没有突破一定量级，案件可以正常进行。比如在司法实践中，在侵犯知识产权的案件中会涉及大量非法出版物的真伪认定；假冒注册商标罪有可能涉及大量假冒产品的认定。实际上在海量证据案件出现以前，在司法实务中就已经将这种推论的方法运用到了一些大量证据真伪鉴别的案件中了。经笔者了解 ， 在北京市 A区人民检察院公诉的一些案件中便运用一些手段应用于对烟草真伪进行鉴定。一份经由A区烟草专卖局委托北京市烟草质量监督检验站的出具的检验报告为我们的研究提供了很好的蓝本。

检验报告中指出，第一 ， 关于烟草产品的检验依据，有 “1．国烟科〔20 0 6〕8 94 号《烟草产品鉴别检验管理办法》和《卷烟产品鉴别检验规程》 ， 2 . 卷烟实物对照样品和技术资料 ”；第二，关于检验项目，有“条装、盒装、烟支 、 烟丝等 ”；第三，关于抽样方法，完全依照《烟草产品鉴别检验规程》中规定的抽样方法进行抽样鉴定。

笔者认为，这种烟草产品真伪认定的规则实质上就是推论规则的适用，通过某种抽签方法创造出一个基础事实，然后通过逻辑法则和经验法则推论出一个有待证明的要件事实。在本例中，按照《卷烟产品鉴别检验规程》规定的抽签方式进行抽样的结果就作为一个基础事实 ， 在该事实基础上推论处全部烟草的真假就是一个符合经验法则和逻辑法则的推论。倘若使用其他不符合规定的抽样方法 ， 则不具有逻辑性与科学性。经验告诉我们未经论证的抽样方法的偶然性很大，不具有普遍性和代表性，由此得出的结论缺乏科学性。既然抽样检测的方法可以适用于伪劣产品认定的过程中，那么为何不能适用于以非法获取公民个人信息罪为代表的一系列海量证据案件中呢？以往这种抽样方法只片面存在于一些伪劣产品案件的鉴定中，并未进行延伸，使其扩大到整个 “海量证据”案件的处理体系中。以非法获取公民个人信息罪为例，检察机关完全可以援引推论规则，通过抽样调查的方法 ， 获取足够多的抽样材料 ， 以这些样品的真伪程度作为导出推论的基础事实，由此经过逻辑法则和经验法则推导出推论事实。同时，应当注意的是 ， 在抽样过程中 ， 采样的方法越科学、越合理，推论的过程就会越使人信服 。

虽然有些学者可能会提出抽样调查的准确性等问题。但在笔者看来 ， 对于抽样调查方法科学性的标准，并非一成不变的。以科技鉴定为例，在 20 世纪 ， 对于强奸案件来说 ， 主要是以血型检测作为确定、抓捕嫌疑人的重要工具，而随着科技的进步， DNA鉴定已取代了血型鉴定成为确定犯罪嫌疑人的主要方法 。 但这依然无法磨灭血型检测在早期强奸犯罪侦查活动中的重要作用，同样的 ， 又有谁能够担保在若干年后是否会有一种新技术取代了 DNA检测。而且 ， 即使是 DNA鉴定技术其准确率也并非百分之百。总之，以抽样为基础的推论规则是可以适用于“海量证据”案件中。不过 ， 应当予以重视的是在适用这种以抽样为基础的推论规则时