侵犯公民个人信息行为的刑事制裁

王梓臣

摘要：为加大对公民个人信息的保护力度，《中华人民共和国刑法修正案(七)》第七条增设了一个新罪。从学理上分析，本罪的罪名可以确定为非法传播、获取公民个人信息罪。在新法刚刚颁布之际，从刑法谦抑原则、罪刑法定原则、罪刑相当原则的进路，对刑事立法作进一步考量，以检验和总结立法的得失；对刑事司法进行理论预设，以期司法实践能更好地理解和适用本罪。

关键词：公民个人信息；刑法基本原则；罪名；犯罪构成

中图分类号：D924.34文献标识码：A文章编号：1004-1605-(2009)07-0053-05

近年来，一些国家机关和金融、电信等单位在履行公务或提供服务活动中获得的公民个人信息被非法传播的情况时有发生，而非法获取此类信息的人又不正当使用，对公民的人身、财产安全和个人隐私构成严重威胁。2008年2月28日，全国人民代表大会常务委员会颁布了《中华人民共和国刑法修正案(七)》(以下简称《刑法修正案(七)》)，并从即日起施行。该修正案第七条的规定，旨在加大对公民个人信息的保护力度。值此新法刚刚颁布之际，首先，该条文的理解与适用仍然是个问题，其实践意义仍然是个未知数。其次，当前理论与实务界甚嚣尘上的个人信息保护问题，并没有就此终结。因此，有必要进一步研究。

一、刑法基本原则视野下的侵犯公民个人信息行为

1刑事法网扩张与刑法谦抑原则

从总体上看，世界的潮流是刑法趋向轻缓化。而我国的刑法却日益趋向膨胀，犯罪化的速度惊人。这一方面显示了我们立法技术水平的提高，另一方面也显示了刑法控制范围的扩大化。由于社会生活的日新月异，适度的废除不合理罪名、增设新罪名都是现实需要。但是，在增设新罪名的时候一定坚持刑法的谦抑原则。

刑法的谦抑性是刑法的基本原则之一，刑法谦抑精神主要包括三个方面的内容：(1)刑法的有限性，即对刑法的限制，是指刑法的调控范围以及刑罚手段的运用是有限的，而不是无穷的。(2)刑法的迫不得已性，是指不到万不得已不得不把某种行为在刑法中加以规定，不到万不得已不得在刑法中规定以及动用较重的刑罚。包含着“刑事立法的迫不得已性”和“刑事司法的迫不得已性”。(3)刑法的宽容性，是指给任何人以人文的关怀，刑法要尊重人的自由和尊严，能不干涉的领域尽量不去干涉，能用较宽和的刑罚手段的尽量用较宽和的手段。

对于侵犯公民个人信息的行为，首先，如果能用民法制裁的，应该先采用民法制裁方式，这方面已经有法律效果较好的判例了。其次，如果民法制裁不能奏效，而能用行政制裁可以解决的，那就优先考虑行政制裁，而不应采用刑事制裁方式解决。换句话说，《修正案(七)》第七条是在尚未采取行政处罚措施的情况下，径直采用刑事处罚方法的。这难免有违背刑法谦抑性之“刑事立法的迫不得已性”的嫌疑。依照刑法的谦抑性，对任何危害行为，如果能用其他方法加以遏止的话，就不应适用刑法加以遏止。对于侵犯公民个人信息的各类行为，尚未采取过行政处罚的方法，很难做出必须用刑法加以遏止的结论。

既然如此，就应当对上述行为先采用行政处罚的方法，如果此方法不能奏效，再采用刑法措施也不迟。可以为此参照的是刑法第一百八十七条规定的吸收客户资金不入账罪。在1997年刑法公布之前的数年间，金融机构吸收客户存款不入账的行为十分普遍，却未对其进行过行政处罚。假如中国人民银行对此种行为进行哪怕是轻微的行政处罚，就足以制止住这种行为的泛滥。立法机关却径直采用刑事处罚的措施。这当然很有效，一经刑法将此种行为规定为罪，这种行为很快便销声匿迹。于是，刑法第一百八十七条成了闲置无用的，这不能不说是刑事立法的一种浪费。与此近似，《修正案(七)》第七条对出售或非法提供公民个人信息的行为的遏止，相当于杀鸡用了宰牛刀，不符合刑法的谦抑性。

正如前所说，刑法的谦抑精神也包含着“刑事司法的迫不得已性”。以此为指导，对侵犯公民个人信息的行为不到万不得已就尽量不要动用刑罚，不到万不得已就不要动用较重的刑罚：

一是从宽把握情节严重。本罪实际是情节犯，在解释何谓“情节严重”时，如果传播的是非隐秘性个人信息，如个人的电话号码、家庭地址、所在单位等，能够通过正常途径得知的信息，一般不解释为情节严重。如果传播的是隐秘性个人信息，如生理缺陷、谈话隐私、家庭隐私等，只有通过国家机关或者金融、电信、交通、教育、医疗等单位才能获知，才解释为属于本罪情节的范畴，并还需在司法实践中具体分析。

二是大力提高缓刑适用率。在一般情况下，国家机关或者金融、电信、交通、教育、医疗等单位的工作人员一旦被判处有罪，其将不可能再保有现在的工作岗位，客观上其也不可能再通过此类行为来危害社会。根据刑罚预防功能的合理性，刑罚必须与犯罪人的人身危险性相适应。因此，能适用缓刑的尽量使用缓刑。

三是坚持刑法的保障法地位。《修正案(七)》对犯罪行为作了“违反国家规定”的限定，意味着本条规定具有保障法的性质。尽管现在这类“国家规定”还不完善，但是相信不久的将来是会完善的。刑法从部门法发展为保障法，是法律的一大进步。这表现在只有适用其他法律不足以保护合法权益时，才使用刑法，刑法成为保障其他法律实施的法律。

2信息社会道德困境与罪刑法定原则

个人身份信息是构建社会主义和谐社会的基础，也是作为主体的人生存和发展需要保持的个人私密空间，保留一些自己不希望为外界所知晓的信息，是维持正常的社会交往的必需。一旦公民个人信息泄露，导致的后果以及危害是显而易见的，轻则给我们正常的工作和生活带来混乱，重则还引发一些更严重的后果包括刑事案件的发生。同时，个人信息的泄露还严重影响着我国社会各个方面的健康正常发展。试想一下，如果个人信息数据得不到良好的保护，在上述现象蔓延，受害人群就会自发防范，导致各类企业、机构很难合情合理地获取和使用个人信息数据，进而会影响社会政治、经济的健康发展。

尽管全国人大常委会法工委刑法室的官员表示，这条规定并不是针对所谓的人肉搜索。但是，一般社会公众仍然会将其与“人肉搜索”相联系。并且，笔者也认为，人肉搜索是引发一般社会公众关注公民个人信息保护的切入点。综观一系列的人肉搜索事件，为何人们会急切关注他人的私人行为?“理由”是此个人事件触犯公共道德的边界。殊不知这样的“理由”常常会引发网络上的非法的“私力救济”，很多参与其中的人越过道德的底线。退一步说，即使被“人肉”者犯了错，这种以暴制暴的非法方式，也是文明社会所不齿的。托克维尔在《美国的民主》一书中这样写道：“多数既拥有强大的管理国家的实权，又拥有也几乎如此强大的影响舆论的实力。多数一旦提出一项动议，可以说不会遇到任何障碍。”信息社会的道德控制，本质上是人类控制自身，言论自由限制行为

自由。

根据目前我国理论界的通说，罪刑法定原则的基本要求是：(1)罪刑法定化，即犯罪和刑罚必须由法律加以明文规定，不允许法官的擅断；(2)罪刑实定化，即对构成犯罪的行为和犯罪的具体法律后果，刑法应作出实体性的规定；(3)罪刑明确化，即刑罚的条文必需文字表达确切、意思清楚，不得含糊其辞、模棱两可。罪刑法定主义所包含的明确性原则，要求立法者必须具体地并且明确地规定刑法法规，以便告知人们成为可罚对象的行为，使一般社会公众能够预测自己的行为，并限制法官适用刑法的恣意性。

社会公众对保护公民个人信息立法的呼声很高。一般社会公众就认为，既然需要立法，我国属于成文法国家，因此，刑法对于侵犯公民个人信息行为的应对，自然而然地表现为立法规定。《修正案(七)(草案)》向社会公开征询意见时，中国青年报社会调查中心通过腾讯网对2422名公众展开的一项调查显示，88.8％的人表示自己有因为个人信息泄露遭受困扰的经历，98.9％的人认为有必要通过立法保护个人信息，并且有62.3％的人觉得新增的条款“很好很及时，能有效遏制各种泄露公民信息的现象”。很多学者也撰文指出，中国目前在信息网络领域中，在法律责任承担方面，对于收集、营销以及其他非法使用个人信息的，构成犯罪的，也应当纳入刑事追究的体系。

在国家还未构建起个人信息保护法框架的前提下，《修正案(七)》第七条规定设立一个新罪，能在一定程度上缓解民众对个人信息保护的立法需求，也能有效遏制现实中严重侵犯个人信息的不法行为。但是，这样做并不能一劳永逸地解决问题。在将道德不良行为人罪的问题上应当特别慎重。遇到道德上的困境，不应该立刻想到去批判，而是应当保持基本的理性与宽容，通过理性引导来改变民意。法律说到底只不过是将社会共同价值标准强加在那些不服从于这种价值标准的人身上而已。真正的关键问题并不在于法治的理性，而在于为社会公众所易于认同并内在化的价值标准之制度化、习俗化。所以，问题的解决是政治性的，就一定程度的社会失范而言，甚至是革命性的。换言之，问题并不是如何解释这个世界，而是如何改变这个世界。

在立法已经作出规定的时候，刑事司法绝对不能再刻意追求完善立法而使新刑法成为“嘲笑的对象”，这不符合经济性原则。刑事司法应在解释的合理性上做文章。关于本罪的司法实践问题，要特别注意“明文规定”与司法解释的“公众认同”问题。《修正案(七)》第七条所称“等单位”、“公民个人信息”、“情节严重的”的含义，是不是与我们日常生活中的理解和用法一样呢?法律用词的内涵有时候并不是那么清晰可辨的，在这种情况下，就更需要进行解释了。从抽象的法律到十分具体的个罪处理之间总有一定的距离，这中间的桥梁就是司法解释，从这个意义上说，没有不被解释的法律，法律运用的前提就是解释。对于本条规定，除了法条本身做出的特别规定之外，对其解释是应当符合公众的一般认知，必需得到大家的认同。这就是刑事司法的保守性。如果我们的解释可能出现与普通民众理解不一致的情况，就必须由法律作出明确的特殊规定，就是要特别的告知。反过来，如果没有法律的特别规定和告知，我们对上述法律用语的解释，就应当以符合公众认同为原则。

3以刑制罪与罪刑相当原则

根据目前我国理论界的通说，罪刑相当原则的基本要求是：首先，刑事立法对具体犯罪构成处罚的原则性规定，对刑罚裁量、执行制度及个罪法定刑的设置，不仅要考虑犯罪的社会危害性，而且要考虑行为人的人身危险性；其次，司法实践中刑罚裁量，不仅要考虑犯罪行为及危害后果，而且应综合分析整个犯罪事实和犯罪分子个体的各方面因素，力求刑罚个别化。孟德斯鸠指出，惩罚应有程度之分，按罪大小，定刑罚轻重。贝卡利亚为做到轻罪轻刑、重罪重刑，还别出心裁地设计了一个罪刑阶梯。罪刑相当原则离不开立法确认和司法实现。

公民个人信息的法律保护，包括刑法保护，是当前国际社会关注的立法热点问题，有关保护公民个人信息的规定需要根据我国国情，在充分考虑实践需要和吸收国外经验的基础上不断充实、完善。在本条起草过程中，考虑到我国个人信息保护方面基本法律还不是很完备，《修正案(七)》对非法泄露公民个人信息的犯罪行为作了“违反国家规定”的限定。尽管如此，根据罪刑相当原则，我们仍然会产生疑问。让我们从比较法角度来看，其他一些国家如法国、日本等刑法中规定有侵犯私人秘密罪，法国刑法第266－1条甚至把“未经本人同意，监听、录制或传播私人性质的谈话或秘密谈话”也规定为犯罪。但是，这些都是侵犯隐秘性个人信息而规定的犯罪。《修正案(七)》第七条规定的国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务过程中获得的公民个人信息，很多是可公开的个人信息，在尚没有先将侵犯隐秘性个人信息的行为规定为犯罪，却将出售或者非法提供公民个人非隐秘性信息的行为规定为犯罪，至少没有一个罪刑阶梯，难以看出轻罪轻刑、重罪重刑，不太符合罪刑相当原则。

在经验世界里，人们都是通过刑来认识罪的，因为刑罚是一种易感触的力量。在刑事司法实践中，应当“罪刑一体化”，做到以罪定刑，同时，也要以刑制罪。特别是对本条而言，即通过对法定刑的领会和考量来加深对侵犯公民个人信息犯罪的理解，贯彻刑罚个别化。

首先，要理性认识本罪法定刑的质。从观念上看，有些罪从法定刑上看，其与本罪最高刑罚都是三年有期徒刑，如侮辱、诽谤罪。但是，如侮辱、诽谤罪针对某个特定的人而传播其个人信息(公然侮辱他人或者捏造事实诽谤他人)，与本罪是特殊与一般的关系。从规范角度看，法定刑对处罚的处断和宣告起着规范和约束作用，要求刑事司法认定本罪以及对其适用刑罚不应当逾越法律规范而曲意解释。

其次，要在比较中明确本罪法定刑的量。比较相关犯罪在同一刑罚种类或幅度的情况下，立法对拟认定的犯罪构成要件会有什么特别要求，如分别与侵犯通信自由罪和私自开拆、隐匿、毁弃邮件、电报罪相比较。本罪相对于前者，区别之一是主体具有特殊性，这是一个处罚应更重的要素；相对于后者，非法获取行为对象是一个处罚应更轻的要素。

再者，注意刑事政策对本罪法定刑认识的影响。当前，中国正在事前预防型社会走向事后惩罚性社会的转型时期，贯彻宽严相济的刑事政策具有特别重要的现实意义，其首要的长期使命是，通过满足人身和财产的安全的需要以保障社会整体的和谐和延续，其时代命题之一就是当前公民个人信息安全。

二、条文解读之罪名及犯罪构成

现实中只存在形形色色的具体犯罪和具体犯罪构成，而不存在抽象的犯罪和抽象的犯罪构成。因此，需要研究和掌握本罪的罪名和所应当具备的构成要件。

1罪名确定

在司法实践中，最高人民法院和最高人民检

察院(以下简称“两高”)曾分别发布一套罪名，后来又联合发布了补充规定，统一进行罪名确定、补充的司法解释。实际上，通过立法机关确定罪名要更具有合理性，因为罪名本身属于法条本身的问题。罪名出之罪状、罪状之价值蕴含、罪状表述方式是立法机关最为清楚的。当然，在我国当前的法治语境中，尚没有实行罪名法定的情况下，继续由“两高”对新增的罪名作出解释，确实也不失为一种权宜之计和行之有效的方法。因此，建议仍然由“两高”在合适的时候通过适当的方式对本罪的罪名作出解释。

从学理上看，罪名的确定应该遵循一定的原则和方法。有的学者认为应当坚持“法定、准确、明确和协调原则”；也有人认为应遵循“反映罪名特征原则、简洁和概括原则、主客观一致原则、适用法条文字原则、避免罪名过于细化原则”。根据这些研究成果，《修正案(七)》第七条规定的罪名应该主要考虑这样几个原则，即概括性原则、协调性原则、明确性原则。综合分析如下：(1)从罪状上看，本条文属于空白罪状，在罪状中只规定了某种犯罪行为，但是具体特征要参照其他法律、法规的规定来确定。“违反国家规定”以及“非法提供”在罪名中可以概括为“非法”。“出售”实际上也是“提供”的一种方式，“出售”与一般“非法提供”的区别在于是否牟利，但牟利与否并不是重要的节点。(2)从排列位置看，本罪位列于刑法分则部分的第四章侵犯公民权利、民主权利罪之中，其犯罪客体首先当然地是公民权利、民主权利罪，具体来讲是公民个人信息自主权。侵犯的方式概括来说，就是传播行为，因此，“出售或者非法提供”在罪名可以概括为“传播”。有人主张用“泄露”概括，笔者不以为然，因为“泄露”侧重于说明犯罪客体对管理秩序的破坏，本罪虽然也破坏了管理秩序，但更强调的是损害了他人的合法权益，“传播”更能说明这个行动指向。(3)从行为对象上看，犯罪行为直接指向就是“公民个人信息”，即国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务过程中获得的公民个人信息。因此，本条第一款的罪名可以表述为“非法传播公民个人信息罪”。(4)从协调性上考虑，本条第二款为“窃取或者以其他方法非法获取……”，应当与刑法其他条文一致，如刑法第四百三十一条规定的“以窃取……，非法获取军事秘密的，……”。罪名表述为“非法获取军事秘密罪”。因此，此款可以概括表述为“非法获取公民个人信息罪”，其与“非法传播公民个人信息罪”是并列选择关系。综上，本条文完整的罪名，可以明确的表述应为“非法传播、获取公民个人信息罪”。

2犯罪构成概述

主体方面。一类是特殊主体，主要是非法传播公民信息的主体，包括国家机关或金融、电信、交通、教育、医疗等单位的工作人员。另一类是一般主体，主要是非法获取公民信息的主体，凡是达到刑事责任年龄，并具有刑事责任能力的自然人都可以成为本罪的犯罪主体。最后，单位也可以构成犯罪。

犯罪客体。犯罪侵害的客体为公民个人信息管理秩序和他人的合法权益。公民个人信息作为识别标示，首先，当事人有权知悉和利用；其次，有关机关和单位依照法律或者约定也可以知悉和利用，但负有为当事人保密的义务。任何无权知悉这些信息第三人，将给身份信息资料管理秩序带来破坏，甚至给当事人带来经济损失和人身安全、名誉等隐患。

主观方面。表现为故意，即明知自己的传播、窃取行为违反了有关法律的规定，会对信息管理秩序和他人合法权益带来损害，而仍决意实施该行为的心态。至于行为是为了金钱、取乐等何种动机，不影响本罪的主观故意要件。

客观方面。本罪表现为行为人实施了非法传播、获取他人个人信息，情节严重的行为。传播的方式是出售或者非法提供，通过一定的途径，广泛散播他人个人信息，使其为第三人所知的行为。获取的方式是窃取或者以其他方法非法取得，获取的方式多种多样，如直接窃取载有信息资料的文本文件、电脑存贮介质以及非法购买等途径。情节严重，一是数量巨大，这个需要作出司法解释。二是其他后果严重，如非法获取公民个人信息的人实施了严重其他下游犯罪。

三、小结

在社会系统的进化过程中，犯罪化与非犯罪化、刑罚化与非刑罚化、刑事化与非刑事化，是相互交织、相互依存的。诚然，社会系统越复杂越有序；但是，社会系统越复杂，社会系统得以维系所必需的和社会系统运行所产生的越轨行为就越多。一个高度组织的社会系统能承受大量的人长时间地越轨时，当越轨渐渐严重地破坏掉对基本社会机构的社会价值观的信任时，或者当越轨引发了社会不能容纳的冲突时，社会解组才会出现。所以社会系统进化必然提出新的犯罪化、刑罚化、刑事化的要求。某种意义上讲，非法侵犯公民个人信息行为的刑事化，似乎是一种不可避免的悖论。

参考文献：

[1]王明星，刑法谦抑精神研究[M]，北京：中国人民公安大学出版社，2005，

[2]侯国云，《刑法修正案(七)》(草案)修改建议[J]，人民检察，2008(23)：6，

[3]吴允锋，个人身份信息刑法保护的是与非EJ]，法学，2008(12)：53，

[4]赵刚，聚焦刑法修正棠四大亮点[N]，人民法院报，2009-4-5(5)，

[5]焦玉良，从“人肉搜索”说起[J]，社会学家茶座，2009(1)：98--99，

[6]王作富，刑法[M]，北京：中国人民大学出版社，2003，

[7]李长喜，中国个人信息的网络立法保护[c]／／周汉华，个人信息保护前沿问题研究，北京：法律出版社，2006，

[8]儒攀基奇，刑法——刑罚理念批判[M]，中国政法大学出版社，2002，

[9]贝卡利亚，论犯罪与刑罚[M]，中国大百科全书出版社，1997：9，

[10]裘霞，李佑喜，论以刑制罪及其司法运用[c]／／游伟，华东刑事司法评论(第六卷)，北京：法律出版社，2003：71～83，

[11]江礼华，新刑法犯罪罪名及刑事诉讼实务操作[M]，北京：中国方正出版社，1998：22，

[12]刘远：刑事法哲学初论[M]，北京：中国检察出版社，2004：362。

责任编辑钱国华