侵犯个人健康生理信息犯罪中的“情节严重”类型数量阐释*——基于侵犯公民个人信息罪司法解释反思

李艳霞

《刑法修正案（九）》第十七条规定：将刑法第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”根据这一关于侵犯公民个人信息罪的规定，“情节严重”是构成本罪的重要成罪要件。即若某人侵害他人个人信息，达到情节严重的程度才构成犯罪，但该修改并未阐释“情节严重”的判断标准，这一模糊性给刑事司法实践带来了困难，阻碍了有效防范侵犯公民个人信息的犯罪。为保障刑法的准确、统一适用，2017年5月9日，最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简作《解释》）正式出台，并于2017年6月1日与《网络安全法》共同正式实施。《解释》明确了侵犯公民个人信息罪“情节严重”的认定标准，第五条第一款设十项将“情节严重”予以详细解释，有利于司法实践的正确适用。《解释》首次对“健康生理信息”予以了明确保护，但对其类型和数量方面“情节严重”的认定堪忧，有碍侵犯个人健康生理信息犯罪的司法认定，不利于保护作为个人信息重要组成部分的个人健康生理信息。

一、《解释》对侵犯个人健康生理信息犯罪中“情节严重”类型数量界定的缺陷

关于“个人信息”的概念，我国学界至今尚存在较大争议。理论界关于个人信息的不同界定，主要源于其对个人信息内涵的核心要素理解不同，当前具有代表性的观点可以分为三种类型——关联型定义、隐私型定义、识别型定义，其中识别型定义是其主要观点。由我国社会科学院法学所周汉华主持编写的《中华人民共和国个人信息保护法（专家建议稿）》第九条，采用了识别型定义的方式；我国《网络安全法》亦采用了这一观点，其第七十六条规定：“个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。中国人民大学王利明教授的观点具有代表性，其认为个人信息是与特定个人相关联的、反映个体特征的具有可识别性的符号系统，包括个人身份、工作、家庭、财产、健康等各方面的信息。[1]

“健康生理信息”是指反映生物机体的生命活动和各个器官机能的信息，是可用以判定特定主体的信息，个人健康医疗信息是其重要内容。“个人健康医疗信息”指在医疗卫生活动中所涉及的患者个人的生理健康状况、基因图谱及遗传病史等诸多信息。随着医学和社会的不断发展，个人健康医疗信息的外延不断变化，域外许多国家和地区的法律法规都对“个人健康医疗信息”采用了广义的界定。美国1996年经国会参议院和众议院通过并由克林顿政府发布的《健康保险流通与责任法案》（以下简称“HIPAA法案”）中明确规定，医疗信息是经由医疗机构、公共健康机构、保险人、学校或医疗信息交换中心所创造或取得的，无论以口头或以任何其他形式、媒介记录的信息。[2]美国对个人医疗信息隐私的保护最全面，其在个人健康信息的法律保护方面树立了可操作的先例。[3]总之，个人健康生理信息具有个人信息的共性特征——识别性，可以直接或间接反映出信息主体的个人识别性特征。在当前的科技状况下，指纹、基因图谱、视网膜、声音等都是独一无二的个人信息，掌握这些单一的个人健康生理信息，即可以在狭小范围内识别具体个人，可见，较之于身份信息、工作信息、家庭信息、财产信息等类别，个人健康生理信息的识别性更强。所以，对个人健康生理信息的保护要强于一般信息。走在立法前列的HIPAA法案的Privacy Rule部分[4]，以及2012年1月由欧盟发布的《个人数据保护指令修正案》，都将患者的个人健康医疗信息作为敏感信息加强保护。笔者认为，我国也应对个人健康生理信息设置严密的保护。《解释》第一条规定：刑法第二百五十三条之一所规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。可见，其把反映特定自然人活动情况的信息如行踪轨迹等，明确纳入“个人信息”的范畴，但却缺乏对个人健康信息的关注。

关于侵犯个人健康生理信息的“情节严重”，《解释》第五条第一款第四项规定，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的，属于“情节严重”，但这一对侵犯个人健康生理信息犯罪“情节严重”的信息类型和数量的界定存在缺陷：一方面，个人健康生理信息中一部分与个人隐私密切相关，如患有某种疾病、流产记录、艾滋病、乙型肝炎、精神病等，皆涉及个人最隐秘的隐私信息，具有很强的敏感性。此类信息如果被公开泄漏，将对个人的社会生活产生负面影响，影响职业前景或导致就业歧视等，如社会生活中较为严重的艾滋病歧视现象——艾滋病病毒感染者等个人健康生理信息的泄露，将给其带来严重的来自社会、生活等各方面的不良影响，造成严重的歧视现象。而普通的个人健康生理信息，如身高、体重、血型，对其非法获取、出售等所造成的后果，与非法获取、出售与隐私权直接相关的个人健康生理信息的后果截然不同，泄露这两种医疗信息对信息主体的意义大不相同，因而《解释》第五条第一款第四项对个人健康生理信息并未区分类型是有待商榷的。另一方面，鉴于不同种类的个人健康生理信息对个人影响不同，非法获取、出售或提供不同种类的个人健康生理信息“情节严重”的界定亦不应相同，但是《解释》不分个人健康生理信息的种类，统一界定，以五百条以上作为“情节严重”的认定标准，应当进一步斟酌。

二、“情节严重”的信息隐私型分类阐释

随着科技的进步和社会的发展，信息、数据成为一种新的生产力，健康生理信息随之成为一种社会资源、生产要素和社会财富，并衍生出商业价值，但同时也成为犯罪攻击的重要目标。根据美国卫生与公民服务部统计：从2013至2015年，在影响超过500人次的医疗信息泄露事件中受影响的人数呈“爆发式”增长。2016年前三个月，美国已经发生了51起泄露事件，牵扯人数达到347万。[5]我国侵犯健康生理信息的犯罪亦不胜枚举。通过对这些案件的梳理，发现侵犯个人健康生理信息犯罪的行为方式主要分为两类：其一，对健康生理信息的非法泄露和公开、传播；其二，对健康生理信息泄漏后的滥用行为。前者主要体现为与隐私权直接相关的个人健康生理信息，后者则为普通的健康生理信息。

普通的健康生理信息反映了个人生物机体的生命活动和各个器官的机能，与名誉或尊严本身并无直接关系，通常包含了患者的身体状况、肌理特征等内容，包括姓名、出生日期、身高、体重、血型、指纹、声音等。随着科学技术的发展和大数据时代的到来，一般的健康生理信息通过互联网、移动通信技术等手段综合辨析与核对相关个人信息后，可以识别出该特定个人身份的信息，对个人生活的介入程度不断加深，不当滥用不断扰乱着人们的正常生产、生活，鉴此，法律层面的规制势在必行。与隐私权直接相关的个人健康生理信息与个人的隐私、名誉、尊严直接关联，与人身权密切相关，对其泄露将严重影响信息主体的家庭生活和社会生活。如患艾滋病、乙肝、精神病等健康生理信息与一般疾病的诊疗信息差异巨大，社会对前者往往持一种不欢迎甚至歧视的态度，民事、行政法律法规等规范性文件亦对艾滋病、乙肝等患者的权利规定了一定的限制，放大了社会歧视的消极效应。如对患艾滋病隐私的泄漏将引发对艾滋病病毒感染者的歧视，而艾滋病歧视主要源于艾滋病往往被置于道德低下的层面而导致艾滋病病毒感染者被贬至污秽的境地；此歧视可以分为社会歧视和自我歧视两方面，自我歧视是艾滋病病毒感染者的主要心理问题，而社会歧视则包括了对艾滋病病毒感染者的受教育权、劳动权、医疗权等多方面权利的剥夺。对此类健康生理信息，若按照一般的个人信息进行保护，难免有不周延之处，故应当从个人健康生理信息与公民个人隐私权关联的强弱来划定保护的不同程度，来阐释“情节严重”；对与隐私权直接相关的个人健康生理信息，则应当加强刑法保护的力度，对其犯罪的成罪要件——“情节严重”，应当从严把握，对与隐私权关联不大的普通个人健康生理信息犯罪的“情节严重”，则可以适度放宽。

三、“情节严重”的信息量化阐释

《刑法修正案（七）》规定了“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”。《刑法修正案（九）》将其整合为“侵犯公民个人信息罪”，并对其修改完善、扩大犯罪主体、加重法定刑等。但由于“情节严重”这一成罪要件立法的模糊性，在信息类型、数量这一“情节严重”的认定标准中，一直以来司法实践中多采用侵犯公民个人信息数量这一单一、客观标准，这一倾向性从《解释》第十一条中可见一斑；对侵犯个人健康生理信息犯罪的“情节严重”的司法认定，亦是如此。

一般而言，侵犯个人健康生理信息数量越多，危害越大。针对中国裁判文书网中2013年-2016年间所涉及的侵犯公民个人信息类刑事案件的研究表明，侵犯个人信息的数量惊人，其中非法处置公民个人信息在5000条以上的占七成，平均涉及个人信息70.2万条，最高涉及个人信息65亿条（删除重复数据后，为3.4亿余条）；近四分之一的案件涉及数罪，其中约有51.2%案件中的个人信息被用于出售牟利，28.6%案件中的个人信息被用于诈骗、信用卡盗刷、伪造证件等违法犯罪活动。[6]可见，当前侵犯个人信息犯罪处于高发态势，侵犯个人健康生理信息犯罪亦然。对健康生理信息非法获取、出售或提供的数量越多，越有可能引发电信诈骗、敲诈勒索、绑架等下游犯罪，而且，这一危害在大数据运用的当下呈指数级扩散。计算机网络的广泛普及以及电子病历的普遍应用，使得个人健康生理信息传输更加便捷、高效，亦使得侵犯他人健康生理信息的犯罪成本更加便宜，这从经济分析角度而言属于成本低而获益大。当越来越多旳个人健康生理信息暴露于公众面前，则个人健康生理信息侵权、犯罪行为会频频发生，司法实践也不断证明这一点。

司法实践表明，在对涉及信息类型、数量的“情节严重”的认定标准中，司法实践所惯常采用的，是仅以数量为认定“情节严重”的标准，难以体现个案中个人信息权被侵犯的严重程度，导致出现标准不一、出入罪不合理的情况，亦有放纵犯罪的倾向，这从我国打击侵犯公民个人信息犯罪的实践中可管中窥豹。《刑法修正案（七）》施行后，在2009年2月至2015年10月六年多时间里，全国法院共审结出售、非法提供公民个人信息、非法获取公民个人信息刑事案件969起，生效判决人数1415人。《刑法修正案（九）》施行后，在2015年11月至2016年12月一年间，全国法院审理侵犯公民个人信息刑事案件495件，审结464件，生效判决人数697人。[7]但这些显著增长的数量，较之于现实中实际发生的个人信息受侵犯事件、侵犯公民个人信息的巨大犯罪数，仍反映了我国个人信息刑事保护的薄弱；侵犯个人健康生理信息犯罪亦是如此。司法实践的困境反应了立法的缺陷。《解释》在第五条第一款第三、四、五项中虽对实践中单一的数量判断标准的“情节严重”予以修正，增加了信息类型这一变量，如非法处置个人财产信息50条以上的、健康生理信息500条以上的即可认定“情节严重”，但正如本文第一部分所言，个人健康生理信息“情节严重”的类型数量标准却仍有不足。

四、侵犯个人健康生理信息犯罪中的“情节严重”类型数量厘定

“情节严重”的认定对于判断侵犯个人健康生理信息的犯罪而言至关重要。应当明确，侵犯个人健康生理信息犯罪“情节严重”的认定标准，应当基于“隐私型”分类和信息数量的双重考虑，根据不同的“隐私型”个人健康生理信息分别采用不同的“情节严重”标准。

一方面，对于与隐私权直接相关的个人健康生理信息，需要严格保密，禁止非法刺探、搜集、传播和滥用，防止泄露和公开、传播；而一旦非法泄露直接侵犯了公民的隐私权等人身权利，即构成“情节严重”，当以犯罪论处，以刑法规制。2016年艾滋病患者的信息集体遭泄露事件，反映了泄露事关隐私的个人健康生理信息的严重危害性，这一事件对相关艾滋病患者及其家庭造成巨大的身心和财产危害。[8]虽然中国疾病预防控制中心相关负责人于2016年7月17日有表示，国家艾滋病感染者相关信息系统被列为国家网络信息重点安全保护对象，[9]但却竟遭到大范围泄露；且虽然这个案件早已报案，并已立案，但至今网上仍然查不到该刑事案件的任何进展情况。数据表明，我国的健康医疗数据安全保障堪忧，行业整体安全态势严峻。医疗行业2015年信息安全投入不足6亿元人民币，在整体信息化建设资金中占比不足2%；医疗行业专业信息安全人员严重缺失。另外，我国医药卫生机构总数庞大，以药品方面为例，我国有6000多家化学制药企业，而美国仅200余家；我国有17000多家药品经营流通企业，而美国仅50余家。[10]庞杂的医疗行业增加了构建安全的健康生理信息网络的难度。无独有偶，2015年被美国称之为“医疗信息安全爆发之年”。近几年来，医疗信息泄露所影响的人数呈现出“爆发式”增长，医疗信息安全成为被关注的焦点。在美国，黑客利用医疗信息安防漏洞获利已成为一条稳定的“生财之道”，其利用泄露的信息直接“变现”。在黑市上，个人医疗信息的价值是信用卡信息价值的50倍，因为它里面包括了患者的财务信息和健康信息等多种敏感数据，[11]不法分子能够利用这些信息进行诈骗、勒索等。考虑到泄露某些医疗信息的巨大危害性，美国等国规定了较为严格的保护隐私权的刑事规定。鉴于医疗信息的重要性以及我国医疗行业信息所存在的巨大的安全隐患，强化刑法惩治力度势在必行。

另一方面，对于普通的个人健康生理信息，与名誉或尊严本身并无直接关联，公开之并不会造成名誉或尊严的损害，对信息主体所造成损害的是后续的滥用行为，所以立法规制的重心在于防止滥用，应当严格控制滥用的信息数量。根据学者对中国裁判文书网2013年-2016年间涉及侵犯公民个人信息类刑事案件研究，发现合法取得个人信息后予以非法利用是最为常见的犯罪类型；[12]在医疗行业，其主要表现为医疗卫生机构、医疗保险机构、疾控部门等将合法取得的公民个人健康生理信息泄露、出卖。在信息时代，医疗信息的商业价值和战略地位越发凸显。由于个人健康生理信息中包含敏感的个人信息，故可以在特定的情况下参与交易、成为市场流通中的一种商品。[13]随着信息技术的发展和电子病历的广泛运用，个人健康生理信息被大量存储，许多不法商家利用技术手段窃取有用的医疗信息，并对这些信息进行批量处理、销售等。这种信息泄露在母婴安全方面显得尤为突出；近几年来，母婴信息成为“重灾区”，各种销售奶粉、参加补习班的商家层出不穷，各种推销电话纷至沓来，对信息主体及家属造成了严重的精神损害。如2011年底深圳发生的重大母婴信息泄露案件，被告人处所储存的母婴信息竟有15万多条，几乎包括了该市主要医院近年来出生婴儿的信息，且孩子的出生医院、血型、体重、父母联系电话等个人健康生理信息与事实完全吻合，[14]其数量之大，影响之重，不得不引起我们的高度重视。实践证明，泄露、贩卖公民个人医疗信息的黑色产业链正日益形成，并逐渐壮大，导致公民个人信息被频繁泄露。因此，防止个人医疗信息的不当滥用，保护信息安全至关重要。

侵犯个人健康生理信息犯罪应当通过“侵犯公民个人信息罪”予以规制。考虑到当前我国国情和修改完善的可行性，侵犯个人健康生理信息犯罪中的“情节严重”，应当根据“是否与隐私权直接相关”分别采用不同的成罪标准；通过再次修订司法解释的方式，提高部分“非法获取、出售或者提供健康生理信息”的“情节严重”的成罪标准。其具体修改完善构想如下：

在《解释》第一条关于“公民个人信息”界定中增加“个人健康状况”。

修改第五条第三项、第四项为：

“（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息或与隐私权直接相关的健康生理信息五十条以上的；

（四）非法获取、出售或者提供住宿信息、通信记录、普通健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的。”