侵犯公民信息，你不知道的细节

肖飒

近年来，大量公民个人信息的泄露引发各种问题，轻则接收到各种莫名其妙的推销、骚扰信息，重则引发各类犯罪，例如电信诈骗、网络诈骗、合同诈骗、敲诈勒索等犯罪。这些犯罪严重危害社会稳定，公民信息的保护也面临越来越严峻的环境和考验，尤其是在当今数字化的信息时代，如何有效地保护公民个人信息是一个紧迫的社会现实问题。

侵犯公民个人信息罪的立法沿革

为了更加有效地保证公民个人信息的安全，有关国家机关也在不断推进立法工作，以彰显对公民个人信息保护的关注与重视，此点从各种法律文件的出台过程上就可以看出来。

如2009年2月28日，《刑法修正案（七）》在第253条之后增设出售、非法提供公民个人信息罪和非法获取公民个人信息罪作为第253条之一，将非法获取、出售、提供公民个人信息的行为纳入刑事规制范围。此条规定：

（1）国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

（2）窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。

（3）单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2012年12月28日，全國人大常委会通过《关于加强网络信息保护的决定》，全面规范公民个人电子信息的保护，确立国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息的原则。规定任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息，不得出售或者非法向他人提供公民个人电子信息。

2013年10月25日，全国人大常委会通过《关于修改〈中华人民共和国消费者权益保护法〉的决定》，强调消费者享有个人信息依法得到保护的权利，明确经营者收集、使用消费者个人信息的规则，并规定了侵害消费者个人信息的责任追究。

2015年8月29日，全国人大常委会通过《刑法修正案（九）》，其中修改了刑法第253条之一，扩大了犯罪主体范围，即将本罪的特殊主体（即国家机关或者金融、电信、交通、教育、医疗等单位的工作人员）改为一般主体，并增设了从重处罚的规定。修改后“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”被整合为“侵犯公民个人信息罪”。条文内容为：

（1）违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

（2）违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

（3）窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

（4）单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2016年11月7日，《网络安全法》规定个人信息是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”，明确网络运营者处理个人信息的规则。

2017年3月15日，《民法总则》第111条明确个人信息受法律保护，确立个人信息的独立民事权利地位，规定了自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

2017年5月8日，“两高”联合发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，全面系统规定侵犯公民个人信息罪的定罪量刑标准和相关法律适用问题。

2018年8月24日，最高人民检察院通过了《检察机关办理侵犯公民个人信息案件指引》，详细规定了在办理侵犯公民个人信息刑事案件时，应注意审查的要素。

侵犯公民个人信息罪的基本认定标准

侵犯公民个人信息罪，是刑法修改前的“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”的整合。根据《刑法》第253条之一的规定，侵犯公民个人信息罪，是指违反国家有关规定，向他人出售、提供公民个人信息，或者以窃取及其他方法非法获取公民个人信息，情节严重的行为。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）和《检察机关办理侵犯公民个人信息案件指引》对侵犯公民个人信息罪的构成要件要素的认定以及适用标准进行了较为明确的规定。

 “公民个人信息”的认定

根据该《解释》第1条和第3条的规定，“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。但是经过处理无法识别特定个人且不能复原的信息，则不属于公民个人信息。

对于企业工商登记等信息中所包含的手机、电话号码等信息，应当明确该号码的用途。对由公司购买、使用的手机、电话号码等信息，不属于个人信息的范畴，从而严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。

 “违反国家有关规定”的认定

在《刑法修正案（九）》修改前，本罪的前提是“违反国家规定”，后被修改为“违反国家有关规定”，前置法律规范范围明显扩大。根据《刑法》第96条，“违反国家规定”是指违反全国人大及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。而“违反国家有关规定”应该还包括部门规章。这些规定散见于金融、电信、交通、教育、医疗、统计、邮政等领域的法律、行政法规或部门规章中。

 “情节严重”的认定

根据《解释》第5条第1款的规定，“情节严重”的情形包括以下几个方面：

（1）信息类型及数量。①非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的;②非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息500条以上的;③非法获取、出售或者提供除上述两类信息以外的其他公民个人信息 5000条以上的。

（2）信息的用途。公民个人信息被他人用于违法犯罪活动的，不要求他人的行为必须构成犯罪，只要行为人明知他人非法获取公民个人信息用于违法犯罪活动即可。

（3）主体身份。如果行为人系将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，涉案信息数量、违法所得数额只要达到一般主体的一半，即可认为“情节严重”。

（4）主观恶性。曾因侵犯公民个人信息受过刑事处罚或者两年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，即可认为“情节严重”。

（5）违法所得数额。违法所得5000元以上的为情节严重。

此外，针对为合法经营活动而非法购买、收受公民个人信息（除去行踪轨迹信息、通信内容、征信信息、财产信息、住宿信息、通信记录、健康生理信息、交易信息等以外的其他信息）的行为，具有下列情形之一的，应当认定“情节严重”：①利用非法购买、收受的公民个人信息获利5万元以上的;②曾因侵犯公民个人信息受过刑事处罚或者两年内受过行政处罰，又非法购买、收受公民个人信息的;③其他情节严重的情形。

“情节特别严重”的认定

根据《解释》第5条第2款的规定，“情节特别严重”包括以下几个方面：

（1）信息数量及数额。①非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息500条以上的;②非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息5000条以上的;③非法获取、出售或者提供除上述两类信息以外的其他公民个人信息 5万条以上的;④将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，涉案信息数量、违法所得数额达到一般主体的一半的10倍以上的;⑤违法所得5万元以上的。

（2）行为后果。行为造成被害人死亡、重伤、精神失常或者被绑架等严重后果的，或者造成重大经济损失、恶劣社会影响的，为情节特别严重。