购买公民个人信息中“购买”行为入罪空间探究

文◎黄晓丹 郑丽莉

*天津市和平区人民检察院［300040］

2017年6月1日，最高人民法院、最高人民检察院联合下发了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）。《解释》的出台，进一步明确了公民个人信息的内涵、侵犯公民个人信息罪等犯罪的定罪量刑标准，为司法实务中办理此类案件提供了更有针对性的法律指引。但在案件办理过程中，某些看似明确的规定在具体适用时存在分歧，比如实践中常见的通过互联网等途经“购买”公民个人信息的行为，此处的“购买”在何种情况下能够达到构成侵犯公民个人信息罪的程度值得探讨。对“购买”公民个人信息而不使用的行为如何甄别、如何定性，涉及到司法机关能否在现有的法律和司法解释的规定下，结合具体的案件，科学的对这些行为进行分类，并视其主观恶性、社会危害性等因素予以适当处理。

一、采用文理解释“购买”违反刑事司法基本原则

（一）违反“疑罪从无”原则

“疑罪从无”原则是现代法治观念的重要体现，是和“无罪推定”紧密联系的一项司法原则，该原则的基本内容是：存疑不起诉，存疑不定罪。在西方，早在古罗马法中即有相应的表述：“有疑，当有利于被告人之利益”，我国《刑事诉讼法》第195条第3项明确规定：“证据不足，不能认定被告人有罪的，应当作出证据不足、指控的犯罪不能成立的无罪判决。”具体到侵犯公民个人信息罪，公民个人信息之所以能够成为犯罪对象，一方面，因其承载的“特殊价值”而容易被不法分子出卖或提供并成为获利工具；另一方面，是其被非法获取后可能会被他人利用，或被用于实施违法犯罪活动，或被用于合法经营活动。正因如此，《刑法》第253条之一从“出售、提供”端和“非法获取”端两个方面对相应行为予以规制。《解释》第5条进一步从两个方面对相应行为的定罪量刑予以细化。购买者作为获取端，结合《解释》的规定，只有行为人购买公民个人信息后会或者可能会被用于违法犯罪或者合法经营并获利达到一定数额，才可能构成侵犯公民个人信息罪。但何种个人信息可能会被用于违法犯罪活动，在实践中需要综合判断。

［案例一］2016年5月，犯罪嫌疑人何某花人民币500多元从犯罪嫌疑人陈某某处购买了1万条深圳市的车主信息，每条信息内容包括车主姓名、手机号码、机动车型号、购买年份等。何某供述其购买此类信息是为了给对应车主群发短信推销加油卡，但其尚未具体实施，也无证据证实其实施了相应行为或其他违法犯罪行为。

这一案例中，关于何某的行为是否构成侵犯公民个人信息罪有两种意见：第一种意见认为，犯罪嫌疑人何某的行为构成侵犯公民个人信息罪。理由是：《解释》第4条、第5条第1款第5项明确规定，“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，且达到5000条的”，属于刑法第253条之一规定的“情节严重”。何某非法购买的公民个人信息条数已超过5000条，因此构成侵犯公民个人信息罪。第二种意见认为，犯罪嫌疑人何某的行为不构成侵犯公民个人信息罪。理由是：犯罪嫌疑人何某虽然非法购买了公民个人信息，且超过5000条，但其购买此类信息是为了推销加油卡谋利，系为了“合法经营活动”而购买。现有证据尚不能证实其行为属于《解释》第6条“为‘合法经营活动’而非法购买公民个人信息”规定的三种“情节严重”情形中的任何一种，因此不能认定其构成侵犯公民个人信息犯罪。本文认为，这两种意见均有偏颇之处。判断是否可能被用于违法犯罪等活动，应当结合信息的类型来确定。如《解释》中的行踪轨迹信息、通信内容、征信信息、财产信息等均系可能影响人身、财产安全的公民个人信息。此类信息本身具有较强的人身指向特征且被非法获取后很有可能对人身、财产安全造成相当的危险，这是社会一般公众所能理解的。除此以外的普通公民个人信息，倘若没有证据证实行为人购买的目的系用于合法经营，如果机械的适用《解释》第5条第1款第5项，认为只要购买此类信息达到5000条以上就构成侵犯公民个人信息罪，就相当于在没有任何证据证明的情况下，推定行为人购买此类信息要用于违法犯罪活动，显然违背“疑罪从无”的司法原则，也不符合刑法对打击侵犯公民个人信息犯罪的初衷。

“疑罪从无”，是刑事案件穷尽侦查手段后证据仍不充分的情况下认定事实应当遵循的原则。任何罪名的构成要件均概莫能外。在刑事案件中，做出对犯罪嫌疑人、被告人不利的推定应当非常慎重，否则就容易犯“有罪推定”的错误。

（二）违反“罪责刑相适应”原则

“罪责刑相适应原则”也是我国刑事立法和司法实践中的一项重要原则，是指犯多大的罪,就应该承担多大的刑事责任,也应该判处其相应轻重的刑罚,即有罪当罚,无罪不罚;轻罪轻罚,重罪重罚。《刑法》第5条规定：“刑罚的轻重，应当与犯罪分子所犯的罪行和承担的刑事责任相适应”。对于侵犯公民个人信息罪，根据《解释》第6条第1款规定，“为合法经营活动而非法购买、收受本解释第5条第1款第3项、第4项规定以外的公民个人信息，并利用非法购买、收受的公民个人信息获利5万元以上的，应当认定为刑法第253条之一规定的‘情节严重’”。第5条第1款第3项、第4项规定以外的公民个人信息即本文探讨的普通公民个人信息。可见，在合法经营场合，购买普通公民个人信息，并利用该信息获利超过5万元，才能构成侵犯公民个人信息罪。如若根据《解释》第4条、第5条的规定，简单地认为尚未使用的“购买”行为也可入罪，通过和第6条进行比对不难发现，同一法律规范下的同一法律用语在法律适用中存在着逻辑上的障碍。假设犯罪嫌疑人A为了合法经营活动购买了1万条普通公民个人信息，但在利用该信息过程中，实际获利并未超过5万元，根据《解释》第6条，A的行为尚不构成侵犯公民个人信息罪。假设犯罪嫌疑人B购买了5000条普通公民个人信息，B并未将这些信息用于“合法经营”活动，也未利用该信息从事任何其他违法犯罪活动，仅仅是购买了该些信息，但根据《解释》第4条、第5条之规定，B的行为却构成侵犯公民个人信息罪。但很明显，B的行为并不比A的行为更值得科处刑法。可见，如果简单适用规定，明显违背罪责刑相适应原则。

进一步看，根据《解释》第10条之规定：“实施侵犯公民个人信息犯罪，不属于‘情节特别严重’，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚”。该条是对侵犯公民个人信息犯罪认罪认罚从宽处理的规定，其中明确提到“全部退赃”。还以前述的A、B为例，假设A将购买的公民个人信息用于合法经营并获利5万元，后在刑事诉讼过程中依法退赔了全部获利，依据《解释》第10条之规定，对A可以从宽处理。但B因为并没有获利，所以不存在全部退赃的问题，因此无法适用从宽处理的规定，依旧需要依法定罪判刑，对A、B的处理同样明显违反罪责性相适应原则。

综上，本文认为，对《解释》第4条、第5条之规定的不正确适用不符合疑罪从无和罪责刑相适应的司法原则，不能仅因行为人购买了普通公民个人信息并超出5000条就认定其行为构成侵犯公民个人信息犯罪。

二、“购买”公民个人信息但并未使用的行为涉及犯罪形态问题

从犯罪形态理论而言，《刑法》第253条之一及《解释》第5条规定的非法获取公民个人信息的行为（本段不探讨为了合法经营活动而获取的情形），在实质层面上更像是一种犯罪预备行为。《刑法》第22条第1款规定：“为了犯罪，准备工具、制造条件的，是犯罪预备。”正如前文所言，公民个人信息之所以能够成为犯罪对象，是因为其本身易被他人利用，用于其他合法或非法活动。虽然不能推定行为人购买公民个人信息是为了实施违法犯罪活动，但如果犯罪嫌疑人、被告人购买公民个人信息并已经对其加以利用，例如通过互联网将购买来的公民个人信息非法出售，或用于实施电信诈骗、网络诈骗、敲诈勒索、绑架和非法讨债等违法犯罪活动。那么，其先前购买公民个人信息的行为实际上是在为后续的违法犯罪行为创造条件，是后续犯罪行为的犯罪预备阶段。根据张明楷老师的观点：“犯罪预备行为不能直接对法益造成侵害结果与具体的危险状态，因而对法益的威胁并不紧迫，在通常情况下没有值得科处刑罚的实质违法性”，［1］这也是为何本文不对购买《解释》第5条第1款第3项、第4项的信息构成犯罪产生质疑而仅仅质疑购买第5项普通公民个人信息构成犯罪的一个理由。本文认为，购买普通公民个人信息对法益的威胁并不紧迫，在行为人尚未将此信息用于犯罪活动时，购买行为的实质违法性并未体现出来，因此不应对其进行刑法评价。因为无论如何，我们不能排除行为人购买普通公民个人信息仅仅系购买并未想侵害任何法益的极端状态。在司法实践中，也不排除行为人会以此对自己作无罪辩解的情形，如辩解购买他人姓名、联系方式信息系为了交友等。

从《解释》第5条条文来看，其处罚非法获取公民个人信息的行为不是从犯罪预备行为角度考虑的。因为《解释》第5条是对“非法获取”行为本身的处罚，并不考虑行为人利用非法获取的公民个人信息实施其他违法犯罪的情况。根据2013年4月23日“两高一部”共同下发的《关于依法惩处侵害公民个人信息犯罪活动的通知》，“对使用非法获取的个人信息实施其他犯罪行为，构成数罪的，应当依法予以并罚”。而对于预备犯，刑法规定的是“可以比照既遂犯从轻、减轻、或者免除处罚”。因此，一方面，从法律适用的角度看，《解释》第5条第1款第5项规定，非法获取普通公民个人信息，且达到5000条的，属于刑法第253条之一规定的“情节严重”，应当被判处3年以下有期徒刑或者拘役，另一方面，根据前文论述，又不能简单机械的认为只要购买了普通公民个人信息并超出5000条就认为其行为构成侵犯公民个人信息犯罪，那么《解释》第5条第1款第5项的适用空间何在？如果这一项规定在逻辑上没有适用的空间，那么就是对法律规范的解释存在问题，必须要进行修正，使这一罪名的各种犯罪情形及其处罚相协调，并同刑法总则的规定不出现矛盾。这就涉及到对购买公民个人信息行为入罪的证据采纳标准问题。

［案例二］2016年3月3日，犯罪嫌疑人张某某为牟取非法利益，利用互联网QQ软件，向犯罪嫌疑人陈某某非法购买名为“深圳”的电子表格，内含包括姓名、身份证号码、手机号码、职业在内的公民个人信息15093条。犯罪嫌疑人张某某供述其购买这些公民个人信息是为了加价转卖，且侦查人员从张某某使用的电脑中提取到了其与“下家”商谈出售这些信息的聊天记录，但“下家”并未在案。

关于张某某的行为是否构成侵犯公民个人信息罪，有三种意见：第一种意见认为，犯罪嫌疑人张某某的行为构成侵犯公民个人信息罪，理由是其行为符合《解释》第4条、第5条第1款第5项规定的字面含义。第二种意见认为，张某某虽然购买公民个人信息5000条以上，但无充分证据证实其确实将购买来的公民个人信息又出售给他人，因此其购买公民个人信息的行为并未造成实质性损害，不应当仅因为其购买了5000条以上的公民个人信息就认定其构成侵犯公民个人信息罪。第三种意见认为，犯罪嫌疑人张某某的行为构成侵犯公民个人信息罪，因为现有证据已经显示其购买公民个人信息的用途是为了转卖，无论是否实际转卖成功，其“非法性”显而易见，因此，应当认定张某某的行为构成侵犯公民个人信息罪。出现上述不同观点的根本分歧在于：一是对于尚未使用的单纯购买公民个人信息中“购买”行为的入罪标准如何进行评价；二是在实践中对犯罪嫌疑人为“合法经营”而购买公民个人信息的辩解，如何予以取舍。本文同意第三种意见，因为利用互联网非法售卖公民信息未遂的行为往往取证困难，购买公民个人信息达到5000条以上，如果用于违法犯罪活动，只需证明其有此目的即可，不需要证明其目的行为已经实施，也不需要确认其目的实施的对象，在本案例中，张某某的供述能够和其电脑中的电子证据相互印证，证实张某某已经着手联系“下家”，为实现其非法转卖目的开始行动，应当认为已经达到了“用于违法犯罪”活动的证据标准。

三、“购买”公民个人信息行为的证据标准应着重对行为目的的考察

本文认为，认定“购买”行为是否达到入罪标准，最重要的是要判断行为人购买普通公民个人信息的目的。对行为人用于合法经营活动等辩解，在审查过程中要把握两个原则：一要注重收集客观证据，二要适度把握证据标准，不能对其辩解不予区分全盘采纳。

所谓注重收集客观证据是指，要注重收集行为人购买信息真实用途的客观证据。以上文提到的行为人B为例，B购买了5000条普通公民个人信息，假设现有证据查实，B仅仅是购买了这些信息，但并未对信息作任何使用或处分，根据本文的观点，其行为尚不能构成犯罪；假设B辩称其购买这些信息是为了合法经营活动，就应当依据客观证据具体判断其是否有相关的实体经营及其经营行为是否合法。若确实存在合法的实体经营，适用《解释》第6条的规定。若其辩称的实体经营活动经查证并不存在，下一步要探究其购买信息是否是为了交换、转卖、从事违法犯罪活动等。若经查证不存在上述行为，只能认定其不构成犯罪，理由是其仅仅是购买了信息但并未对信息加以利用或者处理。

所谓适度把握证据标准是指，对于购买公民个人信息的行为，尽管需要通过客观证据进一步证实其购买的目的，但是对于客观证据的证明程度不能要求过于严苛。以案例二为例，现已有客观证据证实张某某和“下家”就转卖信息事宜进行了一定的交流，此证据就足以证明张某某购买公民个人信息的目的是为了加价转卖，故犯罪嫌疑人张某某的行为已构成侵犯公民个人信息罪。案例二中的第二种观点认为，张某某的行为不构成侵犯公民个人信息罪的原因是，其交易的“下家”并未在案，这种观点实际上排除了《解释》第5条第1款第5项的适用空间。假设其“下家”到案，进一步证实了张某某向其出售涉案信息的情节，很明显，张某某的行为应以“出售”公民个人信息罪定罪，那么《解释》第5条第1款第5项中关于“购买”普通公民个人信息的规定将无存在的必要。

综上，对购买普通公民个人信息行为中的“购买”不能仅从字面去理解其含义，而应深刻认识到此处的“购买”是介于单纯的购买后“静置”（尚无证据证实其购买目的）和购买后“已使用”（已由完整的证据链条证实其用途）行为之间的一种“过渡”行为。单纯购买普通公民个人信息后“静置”的，尚不能认定其构成犯罪，购买公民个人信息后“已使用”的，依据购买该信息的用途，结合《解释》其他条款判断是否构成犯罪。同时，把握该“过渡”行为入罪的证据标准要注意适度原则，注意收集足以证明购买目的的客观证据，同时注意不可过于严苛，导致挤压购买普通公民个人信息行为的入罪空间。

注释：

［1］张明楷：《刑法学》（第四版），法律出版社 2011年版，第312页。