公民个人信息刑法保护的路径拓展

王婉祯

(中南财经政法大学 法律硕士教育中心 湖北 武汉430073)

互联网和智能手机的发展让数据变得无处不在，个人数据被誉为“21世纪的石油和钻石矿”。公民个人信息价值凸显的同时，引发的个人信息犯罪也时常出现。频繁发生的侵犯个人信息行为不仅给社会治理造成了很大的压力，也对当前法律治理环境产生挑战。《民法典》《网络安全法》和即将出台的《个人信息保护法》等法律法规以及其他相关司法解释都在不同层面对个人信息的保护做了规定。刑法中有关个人信息保护的条款自《刑法修正案(七)》出台始，至今一直沿袭2015年颁布的《刑法修正案(九)》的版本。刑法作为法律规范体系的最后手段，面对目前的网络技术和网络环境，其对于侵犯公民个人信息行为的惩处已经无法制约现阶段各式个人信息犯罪类型。因而分析我国刑法对个人信息保护的问题，转变刑法对于个人信息保护的策略，与各部门法中涉及个人信息的条文形成统一、有序的体系化保护模式是我国对于未来个人信息保护刑事立法的应有之义。

一、个人信息保护的刑事立法沿革

我国刑法对个人信息立法最早可追溯到1997年《刑法》。2005年《刑法修正案(五)》第177条规定的信用卡犯罪中首次规定了个人信息保护的内容，但仅限于对信用卡信息资料的保护，这是立法者开始重视个人信息价值的开端。囿于信息技术发展有限，个人信息往往附于有形载体之上，并不具有成为独立法益的属性，故先前阶段的是一种间接保护模式[1]。为适应改革开放以来信息技术的发展，《刑法修正案(七)》直接增设了出售、非法提供公民个人信息罪和非法获取公民个人信息罪。两罪名属于身份犯即国家机关或者从事特定行业的工作人员，其构成要件为在履职过程或提供服务的过程中，获取、违法出售或非法提供个人信息的行为。《刑法修正案(九)》较于前次修正，是一次较为全面的完善，将以上两个罪名合并为一个并进行了对应的修改补充。犯罪主体从特殊主体转变为了普通主体，客观方面规定为“违反国家有关规定……”并删除了“非法提供”的“非法”两字(1)《刑法修正案(九)》第十七，将刑法第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。，进一步扩大了犯罪行为类型。2017年两高出台的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)扩展了公民个人信息的内涵以及侵犯个人信息行为的入罪标准。个人信息刑事立法的变迁在主客观上延伸了其保护的范围，自此形成了现阶段个人信息刑法保护的立法格局。

二、个人信息刑法保护转变之基础

1.个人信息概念之内涵与外延

从我国颁布的各项法律法规来分析，有学者将个人信息的概念分为三种模式：概括型定义模式、概括列举混合型定义模式、识别型定义模式[2]。概括型定义就是将个人信息用概括方式表述为抽象统一的集合体；混合型定义即用抽象的概括概念与条目列举两种方式混合表述个人信息；识别型定义即通过个人信息定义的内容可直接或者间接地识别到该信息主体。《关于加强网络信息保护的决定》(以下简称《决定》)是我国关于个人信息的首部立法，其中第一条关于电子信息的界定标准采取“可识别性”和“个人隐私”双重模式。可见我国早期立法将个人信息与个人隐私混同，个人信息的判断标准为识别性和隐私性。2013年《两高和公安部关于依法惩处侵害公民个人信息犯罪活动的通知》(以下简称《通知》)中，公民个人信息的概念界定模式与《决定》相同，但在个人信息的内涵增加了数据资料的内容。我国法律对个人信息和个人数据未做区分，而在最早使用“个人数据”的欧美法律语境中，个人数据是具有可识别性的个人信息的一部分[3]。2017年两高《解释》第一条采取概括列举形式拓展了个人信息概念，附加了“活动情况”这一动态信息即反映特定自然人活动的信息。《信息安全技术个人信息安全规范》对个人信息的定义范围与前述《解释》保持一致，但强调“识别性”的同时对“匿名化”、“去标识化”等概念进行定义。自此，各部门法不再局限于以隐私性为特征的个人信息，而将“可识别性”作为个人信息保护的范畴。

2.个人信息刑法保护法益属性之厘定

法益是规范的利益，刑法规范作为行为规范旨在保护法益不受侵犯[4]。个人信息罪的法益在刑法、行政法、民法中皆有提及，刑法的谦抑性是规制公民个人信息犯罪的最后保障，同时厘定侵犯个人信息罪保护的法益是确定个人信息刑法保护内涵和外延的核心，因此基于全方面保护公民个人信息的立场，正确看待本罪的保护法益是信息社会治理的重要环节。刑法对个人信息的保护，一方面注重对个人权益的保障，另一方面强调对社会秩序的保障。因而学界对本罪的法益争议可以分为两类，一是传统个人法益属性，归于隐私权、人格尊严以及物权范畴；二是超个人法益属性的社会秩序法益保护[5]。

主张个人法益的学说中，第一种观点认为个人信息权属于财产权，个人信息蕴含巨大的商业价值，其在人格权保护模式下的知情同意原则的本质是财产权的交易[6]。其出发点在于保障信息财产价值和规制非信息所有者的使用行为，但忽略了个人信息在传播环节的核心是对人格权的影响。第二种隐私权说是主流观点，属于人格权的范畴[7]。侧重于对社会交往中个人私权的消极防御使之不被非法披露和传播，也是我国个人信息保护刑事立法的初衷。这种观点受美国以隐私权为基础的分散型个人信息立法模式的影响，反观我国现阶段信息技术的发展，隐私权学说不能涵盖对个人信息的全方面保护。并且这种显著排他性特征无法平衡为了公共利益而对个人信息的利用行为，如在重大公共卫生事件中。第三种新型具体人格权说认为，我国公民个人信息保护之法益兼具人身和财产属性[8]，是一种新型具体人格权，与隐私权属并列关系。这种观点认为刑事立法中的个人信息与《民法典》中个人信息权主张一致，属于信息自决权[9]。这与我国刑事立法上“可识别性”及排除匿名化信息入罪的概念界定标准一致，同时赋予了合理使用去标识化信息而获得社会效益的可能性。主张超个人法益理论的学者认为，个人信息自决权代表个人对信息的自主控制权利，只要权利人知情同意即可不再承担责任，但是忽略了个人信息集合的商业价值以及对国家安全的影响。过于强调个人利益则会有损于国家和社会利益[10]。基于此种考量，个人自主决定权并不影响刑法出于公共安全利益对其行为进行规制。尽管刑法理论界试图用多种学说对侵犯公民个人信息罪的保护法益进行合理化解释，以调和数据时代给刑法适用带来的诸多新矛盾，但刑法中侵犯公民个人信息的行为仍归类于侵犯公民人身与民主权利一章，可见刑法对于其法益保护立场依然为传统隐私权保护模式，这显然滞后于信息技术的发展。

3.个人信息刑法保护的行为类型单一

目前刑法对个人信息采取的是统一保护模式，即属于自然人身份和活动状况的个人信息就是刑法上的“公民个人信息”[11]。从刑法条文角度分析，侵犯公民个人信息罪仅规制信息的流转过程即非法出售、提供以及获取公民个人信息的行为，而信息犯罪不只发生在流转环节，特别是对信息的收集、修改和过度使用等行为。比对《网络安全法》确立的个人信息犯罪行为模式，后者额外规定了非法使用和非法收集两种情形。其一，以合法方式或者未知方式收集的公开信息满足《解释》第1条的规定，因而属于公民个人信息范畴。但在实务中争议焦点即信息主体是否履行了知情同意权，是否应将此类行为入罪也存在相应的讨论价值。其二，对信息滥用行为缺乏必要规制。数据的价值在于流动，数据流动中的危害产生于滥用，大数据产生的巨大商业价值同时也是犯罪行为滋生的温床。因此个人信息的滥用行为更加需要刑法给予处罚，而我国刑法并没有对应的罪名，这将为保护个人信息留下潜在的安全隐患。反观域外个人信息刑事立法，针对犯罪行为、手段以及犯罪对象复杂多样性的现状，总体上呈现保护扩张的趋势[12]。

4.个人信息刑法保护与其他部门法衔接错位

刑法规范是以民法等第一次规范提供法律保护为前提，刑法起第二次规范的补充作用[13]。为应对个人信息概念的扩张、侵权类型复杂、保护难度增加等特性，目前我国已经从宪法、民法、行政法及刑法层面对个人信息陆续建立了多种保护方式。但是各部门分别立法的现状并未形成科学有序的法律规范整体，刑事立法现状使之在公民个人信息保护的司法体系中未能与各部门法形成有效衔接，这无法满足个人信息刑法保护的现实需求。回顾个人信息立法的演变路径，刑法是先于民法和行政法等法律介入侵犯个人信息的行为，也即个人信息保护的法律规制特征为先刑后民(2)2015年刑法修正案(九)确立了“侵犯公民个人信息罪，《民法总则》在2017年10月3日生效实施，《网络安全法》在2017年6 月3日生效实施。。刑法中侵犯个人信息罪的构成要件“违反国家有关规定”是认定犯罪的关键。有学者认为这一表述有保护行政法律规范之意图，因而本罪属于法定犯，行政法对侵犯个人信息行为具有违法性审查功能[14]。但是“国家有关规定”这一表述同样包含了民法根据，因而具有个人法益的特征。在此罪的前置法中，最重要的法律应是制定中的《个人信息保护法》，因此产生了核心前置法缺失的问题。因此在《个人信息保护法》颁布前，《民法典》为个人信息刑法保护提供着带有自然人人格权益属性的前置法根据，基于这一特征，又影响着侵犯个人信息罪的自然犯本色。而《个人信息保护法》在法律体系中的定位属于公法还是民事特别法又影响着个人信息法律属性的判定，继而影响着刑法对个人信息保护的法益范围。目前看来《个人信息法草案》的内容也无法完全解决这一系列问题，其内容中对侵犯个人信息的处罚方式规定得过于笼统，缺乏个人私力救济的方式。其次，由于现阶段刑法对此罪保护法益界限的不确定性，使得刑法救济可能适用范围更宽泛，因而不能解决个人信息保护先刑后民的弊端。

三、个人信息刑法保护的路径拓展

1.构建公民个人信息刑法分类保护模式

对公民个人信息采取分类保护的本质是因为刑法对个人信息保护的法益范围界定不明而需要采取的方式。面对大数据时代价值现有导向，我国个人信息保护相关立法逐步向“可识别性”理论倾斜。尽管在刑事立法领域这种趋势不及其他部门个人信息立法明显，但重视个人信息保护脱离隐私权的独立法益价值，民事、行政法律和相关司法解释已经为刑法的分类保护提供了有效具体的策略。在以“可识别性”为基础的统一保护模式下，不同类别的个人信息承载的价值不同，如人身信息和财产信息、直接识别信息和间接识别信息，公开信息与非公开信息等。若采取一体化保护措施，极易引发个人利益与公共利益之间的失衡，特别是因公共利益而合理利用信息的情形。基于“可识别性”理论，信息附属于特定主体，与特定主体关联性越强的信息则是个人信息保护利益的本源，对这些信息需要刑法的强保护。对那些通过合理手段的脱敏数据排除在个人信息之外。尽管信息技术进步可能使得去识别化信息在一定条件下重新具有可识别性，但不宜在实践中过于严苛地规制此类信息的利用。因此制定识别性程度标准，根据司法实践区分识别性强弱的等级，构造个人信息的分类保护规则。

2.扩张侵犯个人信息罪客观行为要件

我国刑法对侵犯个人信息行为的可罚类型集中在个人信息转移环节，刑法条文中公民个人信息犯罪打击非法出售、提供和获取个人信息的行为，而收集行为和滥用行为并未囊括在内。信息主体对其信息享有的人身权利主要是支配和控制行为，出于维持社会经济秩序的目的规制非法交易个人信息的行为因而将出售行为纳入本罪规制范围内。个人信息主体和信息控制主体分离，信息采集者虽然有合法的采集权利，但若其滥用或以擦边球的形式对已获授权的信息过度采集，也无法构成刑法上的犯罪标准。其二，个人信息规制要集中于对信息的非法滥用。当下Facebook信息滥用事件和App宽口径授权推送案为代表出现的合法获取、不当滥用的问题[15]，已经证明此类问题成为了新时代刑法规制个人信息犯罪的难题。尽管《民法典》《网络安全法》和《个人信息法草案》等法律法规中对滥用信息的行为作了部分规定，但是其规定的内容过于原则缺乏针对性，不能起到有效制约的作用。这也是实践中个人信息滥用行为未能有效遏制的重要原因，故刑事手段规制仍有其必要性。但应当认清刑事规制之边界，进一步界定“滥用”之内涵。笔者认为未经授权而使用或者合法收集违法使用可作为滥用的具体特征。此外，更要量化滥用的程度，只有达到一定程度的使用才能被判定为滥用，如大规模使用，隐瞒、欺骗等手段滥用等。

3.平衡公民个人信息保护与信息有序利用关系

个人信息保护和信息的流通利用本身具有两面性，数据的采集和利用已经常态化并广泛运用于社会生活方方面面。个人信息产生的价值可以转化为财产毋庸置疑，按洛克的财产理论，如果财产的使用方式给社会繁荣带来危险，则必须对财产使用加以限制。因此对个人信息的使用也应当遵循此类原则。另一方面，刑法对个人信息保护转变之基础即为刑法中的功利主义思想。为了享受科技发展为生活带来的正面作用，同样兼具侵犯刑法中所保护法益的危险性。特别是在医疗、健康、重大公共卫生事件等领域，合理弱化利用个人信息，对实现个人利益与公共利益的平衡具有现实意义。如在新冠肺炎疫情防控期间应扩张信息主体的默示知情同意权，为了防疫需要政府及有关部门可以直接收集使用个人数据，并对数据做匿名化处理。不可否认，基于优越利益规则个人信息保护在特定情形下面临着个人利益与公共利益乃至国家利益的冲突，在这种冲突下，国家利益具有优越性，公民须让渡自身的个人信息权利以保障国家整体利益不受损害，这两者在本质上是对立统一的。然而对个人信息权利的限制也须符合比例原则即目的正当、手段必要和损害最小。具体而言应当结合个案进行分析，借助各项正当化事由来平衡二者冲突。

四、结语

大数据时代的高速发展使得侵犯个人信息的行为大肆扩张，尽管我国在加快构建各部门立法以求多方位遏制个人信息违法犯罪行为，我国首部《个人信息保护法》也在紧锣密鼓的筹备中，但现有的法律法规较为分散且尚未形成统一的保护体系。尤其在刑事立法层面，个人信息概念和法律属性的不确定以及保护个人信息前置立法的缺位，并不利于刑法对惩罚个人信息犯罪在法律体系中的适用。其次，刑法文本中个人信息罪的犯罪构成要件其客观行为要件的范围并不包含使用行为，这使得信息滥用引发的新问题不能得到刑事法律规制。此外，平衡个人信息权利和个人信息利用的关系有其现实意义。因此，必须着眼于在刑事立法上完善这一系列问题，形成以其他法律为主，刑法为辅的个人信息保护模式。