《个人信息保护法》视角下侵犯公民个人信息罪要件的调整

刘宪权， 何阳阳

(华东政法大学 刑事法学院，上海 201620)

近年来，随着互联网、大数据、人工智能等技术的不断发展，人们在分享海量信息所带来的红利的同时，也饱受个人信息泄露带来的困扰。尽管我们已经在相关刑法修正案中专门设立了侵犯公民个人信息罪，并且在相关刑法司法解释中进一步明确与细化了侵犯公民个人信息罪的适用，但现实生活中大数据杀熟、应用程序(APP)过度收集个人信息等现象仍大量存在且屡禁不绝。特别是随着近期AI换脸视频、深度伪造技术的兴起，舆论又将敏感个人信息的规范处理等问题推向了风口浪尖。如何在法律框架内保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，已经成为当下我们面临且亟待解决的问题。2021年8月20日，十三届全国人大常委会第三十次会议表决通过了《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》，自2021年11月1日施行)。该法明确了个人信息保护的相关规则和各有关主体的权利义务，标志着我国在全面、综合治理个人信息的法治轨道上迈出了重要的一步。本文以新出台的《个人信息保护法》为视角，对个人信息的内涵、个人信息的分类、侵犯公民个人信息罪的行为方式、该罪“情节严重”的认定标准等方面重新审视，探寻大数据时代侵犯公民个人信息罪相关要件的调整路径，以期对司法实践有所裨益。

一、侵犯公民个人信息罪中个人信息内涵的调整

根据《刑法》第253条之一的规定，侵犯公民个人信息罪是指，违反国家有关规定，向他人出售或者提供公民个人信息，以及窃取或以其他方法非法获取公民个人信息的行为。虽然《刑法》第253条之一侵犯公民个人信息罪的条文中没有关于公民个人信息的明确定义，但是2017年5月8日最高人民法院、最高人民检察院联合颁行的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)第1条明确对公民个人信息下了定义。《解释》认为，侵犯公民个人信息罪中的“公民个人信息”是指，以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。而2021年颁布的《个人信息保护法》第4条第1款规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。分析上述两条规定不难发现，《个人信息保护法》对个人信息的定义作出了与刑法司法解释不完全相同的规定。(1)《解释》采用的是“公民个人信息”，《个人信息保护法》采用的是“个人信息”。笔者的理解是，“公民个人信息”与“个人信息”虽然提法不同，但实质内容相同。为了讨论方便，本文统一使用“个人信息”这一提法。笔者认为，尽管《解释》与《个人信息保护法》对个人信息的定义在内容和方式上确实存在一定差异，但它们在本质上仍具有同一性，主要有两个理由。

第一，不同部门法从不同规制的侧重点出发，在个人信息的定义上存在差异实属正常现象。《解释》规制的侧重点在于强调惩治侵犯公民个人信息的犯罪行为，以达到保护公民人身安全和财产安全的目的；《个人信息保护法》规制的侧重点则在于保护个人信息权益，规范个人信息处理活动，促进个人信息的合理利用。前者是从打击犯罪的角度出发，作为对刑法条文的补充与说明，力求详细、精确，以更好地指引司法活动的开展；后者关注的重点并非与个人信息有关的犯罪行为，而是如何构建个人信息保护的整体框架、如何明确个人信息的处理规则以及相关主体的权利义务。可见，不同部门法规制的侧重点不同，所以在对个人信息的定义上存在差异不足为怪。

第二，尽管《解释》与《个人信息保护法》对个人信息的定义有差异，但本质上不存在冲突。根据《解释》所作的定义，个人信息必须具备能够与特定自然人相关联的根本属性。换言之，只要能借助该信息识别特定自然人，那就可以认定该信息为刑法上的个人信息。《个人信息保护法》所作的定义同样指向已识别或可识别的自然人，同样要求自然人与信息之间具有关联性。同时，该定义后半句“不包括匿名化处理后的信息”的表述与《解释》第3条第2款“经过处理无法识别特定个人且不能复原的信息除外”的表述都进一步明确了不能与特定自然人相关联的信息(即缺乏可识别性的信息)应当排除在个人信息的范围之外。可见，《解释》与《个人信息保护法》所定义的个人信息的根本属性都具有“可识别性”这一特征。虽然在定义的表述上存在差别，但只要定义落脚的根本属性没有实质性区别，那就应该认为《解释》中的“个人信息”与《个人信息保护法》中的“个人信息”在本质上并无二致。

需要指出的是，《个人信息保护法》对死者个人信息的保护作了专门规定。该法第49条指出，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。在前置法对死者个人信息的处理作出规定的前提之下，死者个人信息是否可以成为刑法侵犯公民个人信息罪的对象？对此，理论上存在一定的争议。

笔者认为，侵犯公民个人信息罪的对象只能是具有生命的特定自然人的个人信息，死者个人信息不能成为侵犯公民个人信息罪的对象，主要有两个理由。其一，从文义角度分析，侵犯公民个人信息罪中“个人信息”的范围限定在“公民”，而公民的定义为，具有某一国国籍，并根据该国法律规定享有权利和承担义务的人。显然死者不属于公民的范围，死者个人信息也就不能成为侵犯公民个人信息罪的对象。其二，从法益角度分析，侵犯公民个人信息罪被规定在刑法分则第四章侵犯公民人身权利、民主权利罪中。众所周知，自然人的人身权利、民主权利都以生命的存在为前提，因此该章中的所有犯罪指向的对象都应该是具有生命的自然人。例如，侮辱罪的对象必须是具有生命的活人，如果行为人对死者进行侮辱，可能构成《刑法》第302条的侮辱尸体罪；如果行为人对英雄烈士的名誉、荣誉进行侮辱，则可能构成《刑法修正案(十一)》新增设的侵害英雄烈士名誉、荣誉罪。由于死者已经失去了生命，其人身权利也随之消失，而其人身权利之下的个人信息自由、安全权和隐私权当然就不可能存在。由此可见，侵犯公民个人信息罪的犯罪对象不能也不应包含死者个人信息。刑法分则设置与死者有关的罪名是出于维护社会管理秩序的需要，只有当死者的相关利益与社会管理秩序发生重合时，才会从维护社会管理秩序的角度出发，对这部分重合的利益予以刑法上的保护。侮辱尸体罪和侵害英雄烈士名誉、荣誉罪都被设置在刑法分则第六章妨害社会管理秩序罪之中，这足以证明刑法层面对死者相关利益的保护完全是基于社会管理秩序，而不是死者相关利益，也进一步证实了死者个人信息不能成为侵犯公民个人信息罪的犯罪对象。

事实上，《个人信息保护法》第2条规定，自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。也即只有自然人的个人信息受法律保护，已经失去了生命的死者不能称之为自然人，死者个人信息当然不属于《个人信息保护法》中“个人信息”的保护范围。《个人信息保护法》第49条之所以会对死者个人信息的处理作出规定，实际上是为了保护死者近亲属合法、正当的权益。死者虽然已经去世，但死者的许多近亲属依然在世。死者的近亲属作为有生命的自然人，基于合法、正当的目的，有权在有限的范围内处理死者的相关个人信息。应该看到，《个人信息保护法》第49条的规定，很大程度上是受到了《民法典》相关规定的影响。《民法典》第994条规定，死者的姓名、肖像、名誉、荣誉、隐私、遗体等受到侵害的，其配偶、子女、父母有权依法请求行为人承担民事责任；死者没有配偶、子女且父母已经死亡的，其他近亲属有权依法请求行为人承担民事责任。依笔者之见，《个人信息保护法》关于死者个人信息处理的规定是对《民法典》第994条规定的具体细化。《民法典》是从保护人格权益的角度出发，概括性地表明死者人格权益需要被保护，但对于其中的死者个人信息如何保护并没有详细规定。《个人信息保护法》则是在《民法典》的基础上，从保护个人信息安全的角度出发，进一步细化了对死者个人信息的保护方式。但是，由于个人信息的定义排斥死者个人信息，导致《个人信息保护法》只能从保护死者近亲属合法、正当权益的角度出发，制定与死者个人信息处理有关的法条，就此才有了第49条的规定。不同于《民法典》和《个人信息保护法》，《刑法》是规定犯罪、刑事责任和刑罚的法律规范，我们不能因为前置法对死者个人信息的处理作出了规定，就想当然地认为《刑法》侵犯公民个人信息罪的对象也应该包含死者个人信息。综上所述，死者个人信息不能被解释为侵犯公民个人信息罪中的“个人信息”。

二、侵犯公民个人信息罪中个人信息分类的调整

应该看到，《解释》和《个人信息保护法》对于个人信息分别作了不同的分类。《解释》第5条第1款第3、4、5项明确规定，侵犯公民个人信息罪中的个人信息有三类，分别是行踪轨迹信息、通信内容、征信信息、财产信息(第一类信息)；住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的个人信息(第二类信息)；以及上述两类信息之外的个人信息(第三类信息)。《个人信息保护法》中的个人信息则被分为两类，分别是敏感个人信息和一般个人信息。比较《解释》与《个人信息保护法》对个人信息所作的不同分类，笔者认为，《解释》的规定似乎存在一定的不合理性。

其一，《解释》很难将融合度较高的信息精准归入某一类别的信息之中。众所周知，在大数据时代，个人信息的融合度越来越高，一条信息中包含的内容可能是多条信息内容的整合，如防控新冠肺炎疫情期间人们使用的“健康码”。“健康码”是反映个人身体健康状况的电子凭证，依据《解释》对个人信息的分类，可被归入第二类信息中的“健康生理信息”。但随着“互联网+医疗健康”服务的不断推进，各地正在积极推动通过技术手段将核酸检测、疫苗接种和是否去过中高风险地区等信息在本人无需填报的情况下自动整合到“健康码”里。(2)参见《健康码将整合疫苗接种和行程信息》，《潇湘晨报》2021年3月24日，A05版。一旦将是否去过中高风险地区等信息整合进“健康码”中，“健康码”又可被归入第一类信息中的“行踪轨迹信息”。此时就会产生《解释》中的第一类信息与第二类信息之间交叉、重合的问题。对于融合度较高的信息，《解释》很难精准归类，且容易在司法认定中出现分歧。

其二，《解释》对生物识别信息没有明确规定和归类，无法体现应有的刑法保护。近年来，公众对人脸信息、指纹信息等生物识别信息的关注度越来越高，杭州某动物园“人脸识别第一案”等事件引发的社会热议，将生物识别信息的法律保护问题推向了舆论焦点。可见，生物识别信息的重要性在大数据时代愈发凸显，且越来越引起人们的重视。事实上，《解释》在个人信息的分类中没有直接提及生物识别信息，这在很大程度上容易引起理论上对生物识别信息归属问题的争议。有观点认为，生物识别信息应被归入第二类信息中的“健康生理信息”；也有观点认为，生物识别信息应被归入第二类信息中的“……等其他可能影响人身、财产安全的个人信息”这一兜底规定；另有观点认为，生物识别信息应被归入第三类“一般个人信息”。(3)参见欧阳本祺、王兆利：《人脸识别的合法性边界与刑法适用限度》，《人民检察》2021年第13期；李怀盛：《滥用个人生物识别信息的刑事制裁思路——以人工智能“深度伪造”为例》，《政法论坛》2020年第4期。

笔者对上述三种观点均不赞同。笔者认为，应将生物识别信息归入第一类信息。

首先，生物识别信息不同于健康生理信息。健康生理信息是指，反映自然人身体机能以及器官功能的信息，如自然人因生病医治等产生的相关记录以及与自然人身体健康状况相关的信息。生物识别信息是指，自然人所固有的生理特征和行为特征信息,如指纹、人脸、虹膜、笔迹、声音、步态等。根据全国信息安全标准化技术委员会发布的《信息安全技术个人信息安全规范》，生物识别信息和健康生理信息分别属于个人信息下的两种不同信息。既然生物识别信息和健康生理信息是并列的，说明这两种信息的概念在外延上是相互排斥的，那么，就不能将这两种信息视为同一信息。因此，刑法上不能将生物识别信息与健康生理信息混同。

其次，将生物识别信息归入第二类信息中的“……等其他可能影响人身、财产安全的个人信息”或者第三类“一般个人信息”，都不妥当。原因在于，生物识别信息具有独一无二性、较难更改性和可作密码性等特性。其中，独一无二性是指，相对于其他自然人而言，某一自然人的人脸、虹膜、声音等生物识别信息具有排他性。较难更改性是指，自然人的虹膜、静脉、视网膜等信息完全无法更改；人脸、声音、笔迹等信息尽管可以通过整容手术、后期训练等方式进行有限度的更改，但需要付出较高的代价，通常情况下较难被轻易更改。可作密码性是指，自然人的指纹、人脸等信息可以被当作密码在移动支付领域广泛使用。不难看出，生物识别信息与公民人身安全、财产安全有着密切的联系。正是由于同时具有上述特征，因而生物识别信息非常特殊，在刑法层面应该对其予以重点保护。

但按照《解释》的规定，对于行踪轨迹信息、通信内容、征信信息、财产信息(即第一类信息)，认定“情节严重”的标准是“50条以上”;对于住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的个人信息(即第二类信息)，认定“情节严重”的标准是“500条以上”；对于一般个人信息(即第三类信息)，认定“情节严重”的标准是“5 000条以上”。不难看出，《解释》对第一类信息设置的入罪门槛最低，对第二类信息设置的入罪门槛相较第一类信息稍高，对第三类信息设置的入罪门槛相较第一类信息更高。这也就意味着《解释》对于第一类信息的保护力度最强，对第二类信息的保护力度相较第一类信息稍弱，对第三类信息的保护力度相较第一类信息更弱。如果将生物识别信息归入第二类信息中的“……等其他可能影响人身、财产安全的个人信息”，侵犯公民生物识别信息的入罪门槛就是500条；如果将生物识别信息归入第三类“一般个人信息”，侵犯公民生物识别信息的入罪门槛就是5 000条。显然，500条或5 000条的入罪门槛对于侵犯公民生物识别信息而言过高，无法凸显刑法层面对于生物识别信息的重点保护。

最后，在笔者看来，应将生物识别信息归入第一类信息。即侵犯公民生物识别信息与侵犯公民行踪轨迹信息、通信内容、征信信息、财产信息一样，认定“情节严重”的标准是“50条以上”。虽然《解释》中的第一类信息在列举相关示例之后并没有加上“等”字，导致司法实践中无法将第一类信息的内容扩大到其他类型的个人信息，但是生物识别信息与第一类信息中所列举的行踪轨迹信息、通信内容、征信信息、财产信息的重要性基本相同，即符合刑法中的同质性要求，因此刑法层面应当对与第一类信息重要性基本相同的生物识别信息给予基本相同的保护力度。依据《解释》的规定，第一类信息中所列举的内容不包含生物识别信息，这恰恰暴露了《解释》存在的问题。为了实现对生物识别信息的重点保护，我们应该着眼于“实质”，而不是囿于“形式”。(4)“实质”是指具有同质性的个人信息，“形式”是指《解释》的文字性规定。可见，将生物识别信息归入《解释》中的第一类信息无疑是较为合理的做法。

综上，《解释》对融合度较高的信息无法准确分类以及对生物识别信息缺乏明确规定和归类等问题，在很大程度上反映了其相关规定确实具有较大的缺陷或弊端，从而进一步证明了其采用的“三分法”存在漏洞。

相比之下，《个人信息保护法》对个人信息的分类则较为科学、明确、合理，主要有两个理由。

第一，《个人信息保护法》在个人信息的分类上归纳性较强。《个人信息保护法》采用“二分法”，将个人信息分为敏感个人信息和一般个人信息。《个人信息保护法》第28条第1款规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。敏感个人信息之外的其他个人信息就属于一般个人信息。笔者认为，《个人信息保护法》以“信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害”作为划分敏感个人信息和一般个人信息的标准，无疑归纳性较强，且具备一定的科学性，并能够对大数据时代融合度较高的个人信息进行精准归类。以前述“健康码”为例，按照《个人信息保护法》对个人信息的分类，无论是将“健康码”认定为医疗健康信息还是行踪轨迹信息，都不会发生类似于《解释》中的不同类别信息之间交叉、重合的问题，因为《个人信息保护法》将医疗健康信息和行踪轨迹信息都归入了敏感个人信息的范畴。大数据时代个人信息的融合度越来越高，在确定某一信息的性质时容易产生性质判断上的困惑。但是，只要该信息一旦被泄露或者被非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，该信息就属于敏感个人信息。正是由于《个人信息保护法》在个人信息的分类上归纳性较强，因而该法可以对融合度较高的个人信息精准“定类”，这无疑更有利于具体的司法适用。

第二，《个人信息保护法》突出了对生物识别信息的保护力度。《个人信息保护法》第28条对敏感个人信息的定义采取的是“概括+列举”的方式，在该条罗列的具体对象中，生物识别信息被放在首位。《个人信息保护法》将生物识别信息纳入敏感个人信息这一范畴，予以该信息与行踪轨迹信息、金融账户信息等其他敏感个人信息同等的保护力度，进一步突出强调了生物识别信息的重要性。这也在一定程度上证实了笔者的前述观点(即在《解释》尚未对生物识别信息予以明确规定和归类的情形下，司法实践中应当将生物识别信息归入《解释》中的第一类信息)是正确的。

综上，《个人信息保护法》对个人信息分类采用的“二分法”更加科学、明确、合理。在《个人信息保护法》对个人信息的分类有了明确规定的前提下，两高应及时对相关司法解释进行修订或重新颁发，按照《个人信息保护法》对个人信息分类的“二分法”，将侵犯公民个人信息罪中的个人信息分为敏感个人信息和一般个人信息。这样既能体现刑法层面对《个人信息保护法》较为科学的信息分类标准的肯定，又能使保障法与前置法之间的衔接更加顺畅，无疑是明智之举。

三、侵犯公民个人信息罪中行为方式的调整

《刑法》第253条之一第1款和第3款规定，侵犯公民个人信息罪的行为方式是“向他人非法出售或者提供公民个人信息”以及“窃取或者以其他方法非法获取公民个人信息”。依笔者之见，现行刑法有关侵犯公民个人信息罪行为方式的规定并不能够完全涵摄现实生活中纷繁复杂且严重侵犯公民个人信息的行为表现，尤其是大数据时代侵犯公民个人信息行为的表现形式远不止非法出售、非法提供、非法获取这三种行为方式。侵犯公民个人信息罪将“侵犯”一词限缩为“非法出售、非法提供、非法获取”这三种行为方式，似乎存在罪名设定太大、行为方式范围规制太小的问题。就此而言，在《个人信息保护法》已经出台的时下，应适时调整现行刑法对侵犯公民个人信息罪行为方式的规定，特别是应将合法获取个人信息后非法使用个人信息的行为纳入侵犯公民个人信息罪的行为方式范畴中。

首先，从必要性角度分析，合法获取个人信息后非法使用个人信息的行为相比非法获取个人信息的行为，社会危害性更大。互联网的飞速发展使我们身边的信息呈“指数级”爆炸式的增长，个人信息暴露于公众视野之下的概率越来越高，由此引发的对个人信息进行非法使用的行为，在当下有愈演愈烈之势。近年来，AI换脸软件所依托的深度伪造技术(deepfake)在网络上走红。深度伪造技术是指，借助于人工智能的深度学习功能，对音、视频进行分析和映射，使用名为递归神经网络的深度学习算法，将音、视频中的声音或画面元素更换，用他人的声音或人脸取代原有音、视频中的声音或人脸，拼接合成虚假内容的人工智能技术。(5)参见《世界周刊：深度伪造》，http://tv.cctv.com/2019/04/28/VIDE0aLKiWV83f2PrbZDF4G0190428.shtml，访问日期：2021年8月19日。2018年4月，一段主角为美国第44任总统奥巴马的视频在推特上获得200多万次的播放和5万多个点赞。奥巴马在视频中说“特朗普是个彻头彻尾的笨蛋”，但实际上这段话并非出自奥巴马，而是美国一位导演公开发表的言论。(6)参见《眼见为实？“深度伪造”了解一下》，http://www.banyuetan.org/kj/detail/20190925/1000200033136211-569379673975945653_1.html，访问日期：2021年8月19日。深度伪造技术的出现，导致传统的“眼见为实”“耳听为虚”“百闻不如一见”等观念面临着前所未有的挑战。应该看到，借助深度伪造技术对个人信息进行非法使用的行为大部分是合法获取行为与非法使用行为的结合。当下，互联网上存在着大量可随时获取的公开信息，其中就包含了政治领导人或者公众人物的声音以及人脸等敏感个人信息。获取上述个人信息并不需要借助非法手段，行为人可直接利用互联网资源，合法取得所需要的信息，这就导致了侵害个人信息的主体呈现多元化，侵害手段日益专业化和复杂化。(7)黄丽勤、宋骏男：《未成年人数据权的二元保护研究》，《青少年犯罪问题》2020年第4期。如果行为人合法获取了公众人物的声音或人脸信息后，利用深度伪造技术对这些个人信息实施非法使用行为，不仅对个人信息的安全造成了严重危害，而且严重侵犯了个人的肖像权、名誉权等基本权利，更可能衍生出侮辱、诽谤等侵犯公民人身权利的犯罪行为，甚者可能危及社会经济秩序以及国家安全。

除此之外，多次冲上热搜的大数据杀熟事件，同样引发了公众对个人信息保护的热议。大数据杀熟是指，经营者借助大数据分析手段，在同一平台、同一时段，针对同一商品或服务，在价格设置上对新老客户进行区别对待。对老客户设置明显高于新客户的价格，即所谓的“杀熟”。北京市消协的一项调查显示，88.32%的被调查者认为“大数据杀熟”现象普遍或很普遍；56.92%的被调查者表示有过被杀熟的经历。(8)参见《北京市消协发布“大数据杀熟”问题调查结果》，https://baijiahao.baidu.com/s?id=1629203913661292412&wfr=spider&for=pc，访问日期：2021年8月19日。大数据杀熟实质上可归结为借助自动化决策技术非法使用个人信息。开发自动化决策技术的本意是提高处理个人信息的效率，但借助该项技术对合法获取的个人信息进行非法使用，反倒使其成为助推大数据杀熟的工具。借助自动化决策技术对个人信息进行非法使用的行为，不仅侵害了个人信息的安全，而且可能导致公民遭受不必要的财产损失。对此，《个人信息保护法》第24条第1款规定，个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。

利用深度伪造技术与自动化决策技术对个人信息进行非法使用的行为之所以被人们诟病，是因为这些违法行为都已经严重威胁到了个人信息的安全。如果行为人是合法获取的个人信息，之后又实施了非法利用个人信息的行为，由于其获取个人信息的行为是合法的，因而其前行为无法被认定为侵犯公民个人信息罪的行为，这就需要对其后续非法使用个人信息的行为进行评价。如前所述，我国现行刑法有关侵犯公民个人信息罪的规定实际上并未将非法使用个人信息的行为纳入该罪的规制范围，导致无法对合法获取个人信息后实施非法使用个人信息行为的行为人追究刑事责任。这显然是不妥当的，因为与非法获取个人信息行为相比，非法使用个人信息行为的社会危害性更大。非法使用个人信息行为能够借助技术手段，持续扩大侵害范围。例如，AI换脸技术对公民人身安全造成的侵害不言而喻，当行为人利用AI换脸技术欺骗应用程序，实施盗刷资金等侵财行为，又会对公民财产安全造成严重损害。如果在疫情特殊时期，AI换脸技术被非法用于伪造、散播不实言论，还可能对社会秩序造成极大破坏。若放任合法获取个人信息后非法使用个人信息的行为方式游离在刑法侵犯公民个人信息罪规制的射程之外，极易衍生出个人信息处理过程中的黑灰产业链。(9)张旭、朱笑延：《“全民触网”时代儿童个人信息安全的保护路径》，《青少年犯罪问题》2020年第1期。从刑法原理分析，社会危害性相对较轻的非法获取个人信息的行为已经被归入侵犯公民个人信息罪的行为方式中，而社会危害性相对较大的非法使用个人信息的行为却未被归入，确实存在诸多不合理性。

其次，从可行性角度分析，《民法典》《个人信息保护法》等相关法律的出台，为刑法将合法获取个人信息后非法使用个人信息的行为纳入侵犯公民个人信息罪的规制范围提供了有力的依据。我国《个人信息保护法》的专家建议稿从2003年开始起草，2005年初已经完成。2005年国务院有关部门启动了《个人信息保护法》的立法程序，并交由国务院信息管理办公室正式起草，但时至2021年《个人信息保护法》才正式通过。(10)刘宪权、方晋晔：《个人信息权刑法保护的立法及完善》，《华东政法大学学报》2009年第3期。期间，2009年颁布的《刑法修正案(七)》增设了非法出售、非法提供公民个人信息罪和非法获取公民个人信息罪。然而，《刑法修正案(七)》对个人信息刑法保护的首次“试水”却引发了新的问题。那就是在民法、行政法作出相关规定之前，先行通过刑法对个人信息进行保护，导致我国对个人信息的保护陷入了“先刑后民”的尴尬局面。这多少说明我国对个人信息的民法保护已严重滞后于信息时代的实际需求，刑法只能在“配合”民法关于个人信息权利属性定位的情况下审慎入刑。正因如此，大量具有严重社会危害性的侵害个人信息的行为无法得到有效制裁。(11)于冲：《侵犯公民个人信息罪中“公民个人信息”的法益属性与入罪边界》，《政治与法律》2018年第4期。

2015年颁布的《刑法修正案(九)》将《刑法修正案(七)》增设的非法出售、非法提供公民个人信息罪和非法获取公民个人信息罪两个罪名整合为侵犯公民个人信息罪一个罪名，但对于合并之后的该罪行为方式没有作出实质性调整。一方面是因为侵犯公民个人信息罪的前置法(即《个人信息保护法》)尚未出台，立法者在修订该罪时仍旧持较为谨慎、保守的态度。另一方面是因为2015年自动化决策、深度伪造等技术尚未兴起，立法者无法预料未来可能出现的侵犯公民个人信息的新型行为方式。随着技术的不断创新，各类新科技、新事物纷纷涌现，现实生活中利用科技手段侵犯公民个人信息的行为方式越变越复杂，且已经超出了非法出售、提供、获取的范围。这些借助科技手段侵犯公民个人信息的行为方式所带来的风险，立法者不能视而不见，而应该积极回应。

2020年颁布的《民法典》从民事层面构建了个人信息民法保护的基本框架。《民法典》第111条规定：“自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”2021年颁布的《个人信息保护法》在《民法典》的基础上进一步深化了个人信息法律保护的细则。《个人信息保护法》第10条规定：“任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。”在大数据时代，对个人信息的保护应该是多角度、全方位、综合性的。应该承认，《民法典》和《个人信息保护法》奠定了个人信息保护的基本原则和规则(12)孙益武：《儿童个人信息保护是伪命题还是真难题——兼评〈儿童个人信息网络保护规定〉》，《青少年犯罪问题》2020年第2期。，是刑法侵犯公民个人信息罪的前置法，前置法中的相关规定可为刑法侵犯公民个人信息罪规定的完善提供路径。对比上述前置法与刑法中有关个人信息的规定不难发现，现行刑法侵犯公民个人信息罪规定的非法出售、提供、获取的行为都已经明确被前置法规定为违法行为，而前置法规定的违法行为，如非法使用、加工他人个人信息的行为，则尚未被纳入刑法侵犯公民个人信息罪的行为方式之中。这里就出现了一个问题，刑法是否要将这些行为纳入侵犯公民个人信息罪的行为方式呢？在笔者看来，前置法不认为是违法的行为，刑法当然也不可能认定为犯罪；前置法认为是违法的行为，刑法并不一定都要认定为犯罪。但是，对于非法使用个人信息的行为，由于该行为具备严重的社会危害性，严重危及个人信息安全，且该行为正是现行刑法在打击侵犯公民个人信息行为时所欠缺的重要内容，前置法也已经将该行为明确规定为违法，因此刑法没有“原地待命”“保持不动”的理由。刑法有关侵犯公民个人信息罪的相关规定若继续囿于《刑法修正案(七)》和《刑法修正案(九)》制定的非法出售、提供、获取行为方式的框架，完全可能陷入刑法规制不充分的窘境。

值得一提的是，刑法中已有类似罪名将非法使用个人信息的行为规定为犯罪，如使用虚假身份证件、盗用身份证件罪。该罪是指，在依照国家规定应当提供身份证明的活动中，使用伪造、变造的或者盗用他人的居民身份证、护照、社会保障卡、驾驶证等依法可以用于证明身份的证件的行为。使用虚假身份证件、盗用身份证件的行为属于非法使用身份信息的行为，而非法使用身份信息又是非法使用个人信息的表现形式之一。依笔者之见，合法获取个人信息后非法使用个人信息行为的社会危害性与单纯的非法使用身份信息行为的社会危害性至少是相当的。既然刑法上将非法使用身份信息的行为规定为使用虚假身份证件罪的行为方式，那么，将合法获取个人信息后非法使用个人信息的行为增设为侵犯公民个人信息罪的行为方式，也就不存在障碍。

此处需要指出的是，非法使用个人信息行为的前提必须是合法获取个人信息。换言之，如果行为人非法获取个人信息后又非法使用个人信息，便不能将该行为归入“非法使用个人信息”这一新增的行为方式加以评判。这是因为，非法获取个人信息后又非法使用个人信息的行为其实是非法获取个人信息的后续衍生行为。非法获取个人信息的行为已经对公民个人信息的安全造成了侵害，后续的非法使用个人信息的行为同样是对公民个人信息安全的侵害，因而后续非法使用个人信息的行为不需要在侵犯公民个人信息罪中再被评价一次。对于非法获取个人信息后非法利用个人信息的行为，完全可以直接按照侵犯公民个人信息罪现有行为方式之一的“非法获取”行为加以认定。就好比盗窃他人财物后进行销赃，销赃行为是盗窃行为的后续衍生行为，由于盗窃行为已经对公民的财产权利造成了侵害，因此只需要评价盗窃行为即可，而不需要单独评价后续的销赃行为。但对于合法获取个人信息后非法使用个人信息的行为，因为合法获取个人信息的行为并不包含在刑法侵犯公民个人信息罪行为方式的范围中，所以需要着眼于合法获取个人信息之后所实施的非法利用个人信息的行为，对其进行刑法层面的评判。在《个人信息保护法》已经出台的时下，我们有理由借此东风适时对侵犯公民个人信息罪的行为方式作出修正，将合法获取个人信息后又非法使用的行为纳入刑法侵犯公民个人信息罪的行为方式之中，以最大程度规范使用公民个人信息的行为。

另外，需要强调的是，现行刑法有关侵犯公民个人信息罪中的个人信息不包括依法公开的个人信息。因为依法公开的个人信息任何人都可能或有权利获取，此时的获取或提供个人信息并不违反国家有关规定，相关行为也就不可能具有非法性。(13)刘宪权、房慧颖：《侵犯公民个人信息罪定罪量刑标准再析》，《华东政法大学学报》2017年第6期。但是，如果将合法获取个人信息后非法使用的行为归入侵犯公民个人信息罪的行为方式中，侵犯公民个人信息罪中的“个人信息”就可能包含已公开的个人信息。这是因为，合法获取的个人信息可能是未公开的个人信息(如经信息主体授权的未公开个人信息)，也可能是已公开的个人信息(如在互联网等平台可以随时查询到的已公开个人信息)，使用人超出授权范围处理未公开个人信息或者非法处理已公开个人信息，均属于合法获取个人信息后非法使用的行为。由此可知，合法获取后非法使用个人信息中的“个人信息”与非法出售、提供、获取个人信息中的“个人信息”不完全相同。就此而言，不能将合法获取后非法使用个人信息的行为直接加入《刑法》第253条之一第1款或第3款的规定之中。

在笔者看来，最为妥当的方式是调整《刑法》第253条之一第2款的规定。该款规定，违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。该款规定的在履行职责或者提供服务过程中获得公民个人信息的行为即属于一种合法获取个人信息的行为，这一行为与笔者建议新增的“合法获取后非法使用”的行为在“合法获取”这一行为方式上存在重合之处。而且，该款规定对于合法获取的个人信息非法出售或者提供的行为需要从重处罚，将这一规定与第1款仅有非法出售或者提供个人信息的行为不需要从重处罚的规定对比可以看到，立法者对于行为人合法获取个人信息后实施侵犯公民个人信息的行为持更为严厉的打击态度。非法使用个人信息的行为确实会对个人信息的安全造成更大的侵害，因而将“合法获取后非法使用”的行为归入第2款的规定，对非法使用个人信息的行为从重处罚，并无不妥。另外，这种归入方式能够将刑法条文的变动控制在较小范围内，有利于刑法的稳定性。需要注意的是，该款将“合法获取”的行为限定在“履行职责或者提供服务”的条件之下，但笔者认为这一限定条件在当下没有继续保留的必要，因为合法获取的场合在现实生活中并不局限于履行职责或者提供服务，在其他场合也存在合法获取个人信息的可能性，所以建议删除这一限定条件。据此，刑法侵犯公民个人信息罪的第2款规定可调整为，“将合法获取的公民个人信息，出售或者提供给他人的，或者非法使用的，依照前款的规定从重处罚”。

还需要指出的是，现阶段对合法获取个人信息后非法使用个人信息的行为可能在取证上存在困难，实践中也确实存在公民在个人信息被侵害后，因为维权成本较高、回报率较低而放弃借助司法程序维护个人信息安全的情况。(14)参见《75号咖啡-数据霸权：“大数据杀熟”等滥用用户数据行为的检察之治》，https://mp.weixin.qq.com/s/gb_sgbebv1ogeObQuX5_sQ，访问日期：2021年8月31日。但是，随着《个人信息保护法》的颁行，社会公众对个人信息的保护意识逐渐加强，有关部门对侵犯公民个人信息行为的打击强度逐步加大，上述“取证难”“维权难”的情况将会越来越少。《个人信息保护法》第70条规定，个人信息处理者违反本法规定处理个人信息,侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。2021年8月21日，最高人民检察院下发的《关于贯彻执行个人信息保护法推进个人信息保护公益诉讼检察工作的通知》中也明确要求，要延伸拓展公益诉讼检察职能，推动形成个人信息保护多元共治新格局。(15)参见《个人信息保护纳入检察公益诉讼法定领域》，https://mp.weixin.qq.com/s/TL3YURsuAnP6_pL8JFlKHw，访问日期：2021年8月27日。检察机关可以与有关部门形成协作，在数据的固定、证据的获取等方面提供充分支持，推进构建完整的个人信息安全保护预防机制、发现机制和应急处理机制，进一步加强与政府各职能部门的信息协同，整合信息资源力量，及时发现、及时转送侵犯公民个人信息案件的线索。(16)蔡一博、吴涛：《利益衡量与场景实践下的未成年人信息保护研究》，《青少年犯罪问题》2021年第4期。相关技术部门也应加强对个人信息使用过程的监管力度，对于在使用个人信息过程中可能涉及的处理技术先行进行风险评估，定期进行检测与核查。通过前期评估、中期检测与后期防范相结合的手段，确保自动化决策技术等个人信息处理技术的向善发展，将利用技术手段处理个人信息的潜在风险降低到可控范围内，进而杜绝对个人信息非法使用现象的发生，全方位地保障个人信息安全。

四、侵犯公民个人信息罪中“情节严重”标准的调整

根据《刑法》第253条之一的规定，侵犯公民个人信息的行为必须达到情节严重的程度才构成犯罪。为此，《解释》第5条第1款设置了“情节严重”的起刑点和量刑标准。如果刑法有关侵犯公民个人信息罪的规定重新调整个人信息的分类，那么，有必要对《解释》第5条第1款规定的起刑点和量刑标准作出一定的调整。

《解释》第5条第1款中与个人信息分类直接相关的条文是第3、4、5项规定。其中，第3项对于行踪轨迹信息、通信内容、征信信息、财产信息，认定“情节严重”的标准是“50条以上”；第4项对于住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的个人信息，认定“情节严重”的标准是“500条以上”；第5项对于上述两种情形之外的个人信息，认定“情节严重”的标准是“5 000条以上”。如果按照《个人信息保护法》对个人信息分类的“二分法”，将侵犯公民个人信息罪中的个人信息分为敏感个人信息和一般个人信息，那么，第3、4、5项的规定就需要进行调整。

笔者建议，用“敏感个人信息”代替第3项规定的“行踪轨迹信息、通信内容、征信信息、财产信息”，用“一般个人信息”代替第5项规定的“第3、第4项规定之外的个人信息”，并取消第4项的规定。这是因为，行踪轨迹信息、通信内容、征信信息、财产信息具有一旦被泄露或者被非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的特性，而这一特性与敏感个人信息的特性重合。换言之，第3项规定的这些信息都属于《个人信息保护法》中的敏感个人信息。所以，可以直接用“敏感个人信息”代替第3项规定的“行踪轨迹信息、通信内容、征信信息、财产信息”。同理，第5项规定的“第3、第4项规定之外的个人信息”都属于《个人信息保护法》中的一般个人信息，用“一般个人信息”代替第5项规定的“第3、第4项规定之外的个人信息”并无不合理之处。

同时，将侵犯公民敏感个人信息行为的起刑点设定在50条，将侵犯公民一般个人信息行为的起刑点设置在5 000条，拉开了刑法对两类不同信息保护力度上的差距，且将差距扩大到100倍能够突出刑法对公民敏感个人信息的重点保护。《解释》第5条第1款第3、4、5项中第3项规定的起刑点最低，说明《解释》对第3项规定的信息保护力度最大。《解释》第5条第1款第3项规定的信息都属于敏感个人信息，尽管敏感个人信息所包含的信息类型并不限定于第3项规定的行踪轨迹信息、通信内容、征信信息、财产信息，但不可否认，这四种信息之外的其他敏感个人信息也都与公民的人身安全或财产安全紧密相关，应该对所有的敏感个人信息予以刑法上一视同仁的强保护。所以，在将第3项规定的“行踪轨迹信息、通信内容、征信信息、财产信息”扩大到“敏感个人信息”的同时，可以继续保留原有设定的50条的起刑点，从而对所有敏感个人信息予以最强的刑法保护，以避免发生对敏感个人信息类别下某一种信息保护不平衡的情况。

另外，笔者建议取消《解释》第5条第1款第4项的规定，原因在于该项规定的住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息能够被《个人信息保护法》中的敏感个人信息所涵盖，且第4项规定的起刑点明显高于第3项规定。既然第4项所列举的信息能够被修订后的《解释》第5条第1款第3项所包含，那么再对这些具有同质性的个人信息予以力度不同的刑法保护显然是不合适的。就此而言，完全可以将第4项规定的信息并入修订后的《解释》第5条第1款第3项规定的敏感个人信息中。也即由修订后的《解释》第5条第1款第3项的规定统一对所有敏感个人信息予以刑法上最强的保护力度，不失为一个比较妥当的做法。

需要注意的是，刑法对于敏感个人信息中的生物识别信息该如何进行特殊保护，理论上尚未形成统一共识。笔者在前文已经指出，生物识别信息属于敏感个人信息，且侵犯公民敏感个人信息行为的起刑点应为50条，那么，侵犯公民生物识别信息的起刑点也应该为50条。但有学者认为，应该对侵犯公民生物识别信息设置不同于其他敏感个人信息的起刑点，并提出了将侵犯公民生物识别信息的起刑点设置在“5条以上”的观点。原因在于，将起刑点设定为5条能够与《解释》规定的50条、500条、5 000条的信息数量形成与重要性成比例的梯次。(17)王德政：《针对生物识别信息的刑法保护:现实境遇与完善路径——以四川人脸识别案为切入点》，《重庆大学学报(社会科学版)》2021年第2期。对此，笔者认为，在《个人信息保护法》已经将生物识别信息归入敏感个人信息的前提下，这种将生物识别信息的起刑点设定为5条的提议并不可取。如果在刑法上把生物识别信息从敏感个人信息中分离出来，对侵犯公民生物识别信息设置不同于其他敏感个人信息的起刑点，就相当于跨越前置法的规定将个人信息划分为生物识别信息、敏感个人信息和一般个人信息三类。如此虽然能够凸显生物识别信息的特殊性，但实际上相当于否定了前置法的分类标准。另外，如果将侵犯公民生物识别信息的起刑点设置为5条，可能会给司法适用带来新的难题。例如，《解释》第5条第1款第8项规定，将在履行职责或者提供服务过程中获得的个人信息出售或者提供给他人，数量或者数额达到第3项至第7项规定标准一半以上的，应认定为“情节严重”。如果将侵犯公民生物识别信息的起刑点设定为5条，对于特殊主体在履行职责或者提供服务过程中获得生物识别信息，并将这些信息出售或者提供给他人的起刑点就是2.5条。那么，如何认定0.5条生物识别信息又会成为司法实践中的难点。与此同时，在数量上以5条作为标准，起刑点设置得太低，会极大压缩相关前置法的适用空间。侵犯公民生物识别信息的行为动辄入罪，极有可能导致侵犯公民个人信息罪沦为一个新的“口袋罪”。

综上所述，大数据时代法律对个人信息的保护应该是多角度、全方位、综合性的。对于侵犯公民个人信息行为的规制体系，是民事责任、行政责任、刑事责任三个层面有机结合的体系。在《民法典》《个人信息保护法》出台的背景下，《刑法》中侵犯公民个人信息罪的完善路径需要以前置法为依据，改变与前置法相冲突的内容。在信息分类标准上应做到与前置法的统一；在行为方式的规定方面应参照前置法的内容进行总结、提炼与完善，增加合法获取后非法使用个人信息的行为方式；在设置起刑点与量刑标准时，应对不同类别的信息予以不同强度的刑法保护力度。只有进一步优化侵犯公民个人信息罪的内部体系，做好《刑法》与《个人信息保护法》的衔接，才能构筑牢固的个人信息刑法保护“防火墙”。