深刻践行以人民为中心依法维护公民个人信息安全

● 苗生明 周惠永 纪丙学 /文

习近平总书记在党的二十大报告中明确指出要“加强个人信息保护”。中国特色社会主义进入新时代，加强对个人信息的保护，日益成为人民群众新的法治需求。为深入贯彻党的二十大精神，全面贯彻习近平法治思想，在依法能动履职中践行人民至上，切实加强办案指导，积极回应社会关切，最高检在《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）贯彻实施一周年之际，发布“解某某、辛某某等人侵犯公民个人信息案”等5件检察机关依法惩治侵犯公民个人信息犯罪典型案例。

一、发布本批典型案例的主要考虑

（一）适应人民群众加强个人信息保护的现实需求

信息网络的迅速发展，在给人民群众带来生活便利的同时，也被犯罪分子所利用，他们采用各种手段非法获取公民个人信息，使得人民群众频遭滋扰，危害人民群众人身、财产安全，严重的信息泄露甚至危害了国家安全。根据中国互联网协会《中国网民权益保护调查报告（2021）》显示，近一年来，因个人信息泄露、垃圾信息、诈骗信息等原因，导致网民总体损失约805亿元。82.3%的网民亲身感受到了由于个人信息泄露对日常生活造成的影响。加强个人信息保护已成为全社会普遍高度关注的问题。

（二）深入贯彻落实个人信息保护法律规定的法治需要

我国宪法明确规定了公民的基本权利，强调尊重和保障人权，明确公民的人格尊严不受侵犯。民法典第四编第六章专章规定了“隐私权和个人信息保护”，彰显国家和法律对个人信息的尊重和保护。2021年11月1日颁布施行的《个人信息保护法》规定了对个人信息保护的具体举措，完善了个人信息保护的法律体系。通过典型案例梳理、选编、发布，促进个人信息保护相关法律深入贯彻实施。

（三）加强指导检察办案的实践需要

信息技术的快速发展给司法办案带来许多新情况新问题。2017年，最高法、最高检《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）对指导办理侵犯公民个人信息犯罪发挥了重要作用。但面对复杂多变的社会实践和信息技术的迅猛发展，信息类型的界定、刑事处罚标准的确定，以及庞杂的信息数量核查等，都成为司法实践亟需加强指导的问题。通过发布典型案例，以期为检察办案提供指导。

（四）落实“谁执法谁普法”普法责任制，强化教育警示和法治宣传的工作需要

通过发布案例，震慑、警示犯罪分子，如果违反国家规定，非法获取、出售或者提供公民个人信息，构成犯罪的，将受到法律严惩。提示广大人民群众在生活中，下载不明网站链接，使用所谓“颜值检测”软件，随意丢弃含有个人信息的快递包装等，都有可能造成个人信息泄露，通过发布案例，提醒人民群众提高自我保护意识和安全防范意识，避免造成人身、财产损失。同时，促进诉源治理。如针对行业“内鬼”泄露公民个人信息案件中反映出的管理漏洞和内部监管不到位等问题，检察机关通过制发检察建议，督促相关部门履行监管职责，完善管理制度，预防和杜绝泄露公民个人信息问题的发生。

二、本批典型案例的指导意义

（一）解某某、辛某某等人侵犯公民个人信息案

本案的指导意义主要在于：一是强调对非法获取、出售征信信息，情节严重的，应以侵犯公民个人信息罪依法惩处。个人征信信息属于公民个人信息，包括个人基本信息、个人信贷交易信息，以及反映个人信用状况的其他信息。具有非法获取、出售征信信息50条以上，或者违法所得5000元以上情形之一的，属于“情节严重”，依法应以侵犯公民个人信息罪定罪处罚。数量或者数额达到上述规定标准十倍以上的，属于“情节特别严重”，依法应处3年以上7年以下有期徒刑，并处罚金。二是明确对客观上无法排重计算信息数量的，可以通过确定违法所得数额作为定罪量刑的事实依据。信息数量、违法所得数额是侵犯公民个人信息罪定罪量刑的重要依据。其中之一达到司法解释规定的标准，即可认定为“情节严重”或者“情节特别严重”，按照侵犯公民个人信息罪定罪量刑。如果二者分别属于不同的量刑幅度的，可以按照处罚较重的量刑幅度处理。本案中，由于存放数据的服务器域名过期未续费导致原始信息被删除，通过后台提取的信息包含“*”，客观上无法对具体信息条数排重计算。于是，检察机关通过审查银行流水、业绩单等电子证据认定每名被告人的违法所得均超过5万元。而且，根据被告人供述、公司银行流水、业绩单及各被告人之间的微信聊天记录等证据可以证实谢某某、辛某某自2018年1月以后除出售公民个人信息外并无其他合法经营活动，所以查证的金额均系犯罪所得。根据《解释》的规定，信息数量、违法所得数额中某一项达到刑事追诉标准，即构成侵犯公民个人信息罪。本案虽然无法确定信息数量，但可以证实被告人违法所得数额达到5万元以上，属于“情节特别严重”。三是提示广大人民群众要提高自我保护意识，防止个人信息泄露。征信信息全面反映个人信贷状况，与公民人身、财产安全直接相关，被泄露后容易成为电信网络诈骗、套路贷等违法犯罪活动的被害人。生活中，要注意选择正规的金融机构贷款，不随意点击不明贷款链接，不轻易透露个人财产状况，谨防信息泄露。

（二）李某侵犯公民个人信息案

本案的指导意义主要在于：一是明确对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。侵犯公民个人信息犯罪中，涉案信息动辄上万乃至数十万条，在海量信息状态下，对信息逐一核实在客观上较难实现。所以，实践中允许适用推定规则，即根据查获的数量直接认定，但这不意味着举证责任倒置，对通过技术手段可以去重的，应当作去重处理，排除重复的信息。对信息的真实性，可以采取抽样方式进行验证。本案中，信息数量庞杂，司法鉴定机构经去除无效信息，合并去重进行鉴定，鉴定出有效个人信息8100余万条，信息数量客观、真实，符合《解释》规定的对批量公民个人信息具体数量的认定规则，且公安机关抽样验证，随机抽取部分个人信息进行核实，能够确认涉案个人信息的真实性。二是明确人脸信息是具有不可更改性和唯一性的生物识别信息。人脸识别技术给生活带来便利的同时，也容易被犯罪分子窃取利用或者制作合成，破解人脸识别验证程序，侵害隐私、名誉和财产。而且，提示广大人民群众在生活中，要谨慎下载、使用“颜值检测”等“趣味”软件，防范个人信息泄露，造成合法权益受损。

（三）谢某、李某甲等人侵犯公民个人信息案

本案的指导意义主要在于：一是强调从严惩处，全面打击上下游犯罪。侵犯公民个人信息犯罪往往呈现链条化、产业化特征，严重影响人民群众安全感，对“上游窃取信息—中间购买加工—下游运营获利”的链条式犯罪，通过加强检警协作，深挖上下游犯罪，从窃取源头到出售末端，全面排查、精准打击，彻底斩断犯罪链条。二是坚持区分情形、区别对待，落实宽严相济刑事政策。对犯罪嫌疑人众多的侵犯公民个人信息犯罪，要结合犯罪嫌疑人在共同犯罪中的地位、作用、主观恶性、犯罪情节等，依法区分主从犯，分类处理。对主犯、“职业惯犯”以及利用未成年人实施犯罪的，要依法从严处理，当捕则捕，当诉则诉，并建议从严判处实刑。对认罪认罚、积极退赃退赔，初犯、偶犯，作用较小、获利较少的从犯，要依法从宽处理，采取非羁押措施，依法不起诉或者建议判处缓刑。本案中，检察机关根据被告人的主观恶性、犯罪层级、违法所得数额等依法区分处理。对谢某等直接窃取公民个人信息的犯罪团伙成员，李某甲等专门从事网络账号灰产的购买者及其他情节较重、违法所得数额较高的犯罪嫌疑人依法作出批捕决定；对情节较轻、违法所得数额较低的中末端购买者，评估社会危险性后作出不批捕决定。根据这一标准，公安机关对后续拟提请批准逮捕的9名犯罪嫌疑人采取了非羁押强制措施。审查起诉阶段，检察机关对窃取信息源头的主犯、与谢某直接联络的始端购买者李某甲、李某乙等9人依法起诉并建议判处实刑；对团伙从犯、销售环节赚取差价及仅有购买行为的27名中末端人员，结合情节、获利、退赃情况依法起诉并建议判处缓刑；对犯罪情节轻微，依法不需要判处刑罚的1名未成年犯罪嫌疑人、1名在校就读的大学生犯罪嫌疑人作出相对不起诉处理。三是注重延伸职能，促进诉源治理。检察机关在办案中，要注意分析案件反映出的问题，加强与相关职能部门沟通，通过检察建议等方式提示风险、督促改进，及时堵塞社会治理漏洞，促进形成保护公民个人信息的合力。本案中，检察机关对办案中发现的社保认证工作的管理漏洞，向有关职能部门制发检察建议，建议规范“新农保”认证工作流程和保密规定，加强委托合作方的资质审核及转委托监督，加强个人信息保护法治宣传。

（四）陈某甲、于某、陈某乙侵犯公民个人信息案

本案的指导意义主要在于：一是强调对非法获取、出售或者提供行踪轨迹信息，构成犯罪的，应当依法从严惩处。行踪轨迹信息属于公民个人信息。行为人出售或者提供行踪轨迹信息，被他人用于犯罪的，应认定为“情节严重”，依法构成侵犯公民个人信息罪。实施前述行为，造成被害人死亡等严重后果的，属于侵犯公民个人信息罪“情节特别严重”，依法应判处3年以上7年以下有期徒刑。本案中，被告人通过采用手机定位、查看快递信息、蹲点守候等手段非法获取被害人郭某的个人信息并提供给闵某，闵某据此信息将被害人郭某找到并杀害。根据《解释》的规定，出售或者提供行踪轨迹信息，被他人用于犯罪的，应当认定为“情节严重”；造成被害人死亡的，应当认定为“情节特别严重”。二是提示广大人民群众提高行踪轨迹信息自我保护意识，维护自身安全。行踪轨迹信息可以直接定位特定自然人的具体位置，与公民的生命、健康、财产、隐私等息息相关。犯罪分子通过窃取、非法提供行踪轨迹信息谋取不法利益，严重危害公民人身、财产安全和社会管理秩序。生活中，要注意提高对快递地址、手机号码、定位信息等个人信息的保护意识和安全防范意识，防止被不法分子窃取利用。

（五）韦某、吴某甲、吴某乙侵犯公民个人信息案

本案的指导意义主要在于：一是强调要依法从严打击行业“内鬼”内外勾连出售公民个人信息犯罪活动。本案的犯罪行为发生在医疗系统，产妇分娩信息等是医院在开展医疗活动过程中掌握的公民健康生理信息。对于医护人员将其在履行职责或者提供服务中获得的产妇健康生理信息出售或者提供给他人的行为，构成犯罪的，应依法予以打击。对下游非法获取公民个人信息的犯罪也应依法打击，实现全链条惩处。本案中，涉案信息不仅有产妇姓名、家庭住址、电话号码等一般信息，还涉及分娩日期、分娩方式等隐私信息，敏感程度高，韦某作为某医院产科的主管护师，将在履职或者提供服务过程中获得的信息出售给他人，不仅侵害孕产妇的个人权益，还危害了整个医疗体系的信用，依法应从重处罚。吴某乙虽然未直接参与获取信息，但与吴某甲共同出资购买信息，并用于经营活动，在共同犯罪中起主要作用，系主犯，应当按照其所参与的全部犯罪处罚。二是注重通过检察建议促进诉源治理。行业“内鬼”泄露公民个人信息，反映出部分重点领域公民个人信息管理存在漏洞，内部监管机制不到位，相关从业人员法律意识淡薄。检察机关办案中通过制发检察建议，督促医疗单位履行监管职责，完善对患者健康生理信息的安全管理制度，预防和杜绝泄露公民个人信息问题的发生。本案中，检察机关针对涉案医院对公民个人信息管理不善、对从业人员纪律约束不强、法治教育不足等问题制发检察建议，促进了涉案医院倒查信息安全管理状况，完善患者信息安全管理措施与制度，从源头防范公民个人信息泄露。

三、下一步的工作谋划

为贯彻落实党中央决策部署，切实保障人民群众合法权益，维护社会安全稳定，检察机关将强化履职，认真落实《中共中央关于加强新时代检察机关法律监督工作的意见》，不断加强公民个人信息保护。一是结合打击治理电信网络诈骗犯罪等深挖关联犯罪，依法追溯个人信息泄露的渠道，加强对上游信息采集、提供、倒卖等环节犯罪行为的全链条打击。聚焦金融、电信、房产、酒店、劳务中介等重点多发行业，依法从严打击行业“内鬼”侵犯公民个人信息犯罪。二是加强对公民个人信息“信息类型”和刑事处罚标准的研究，推进完善个人信息保护法律体系。三是完善检察机关刑事检察和公益诉讼检察部门之间的线索移送、同步介入、人员协作、会商研判机制，协同推进个人信息保护刑事检察和公益诉讼检察一体化办案，推动形成个人信息保护多元共治新格局。四是充分发挥检察监督职能，促进网络平台、行业完善内部管控。加强与行业主管部门和行业协会沟通，推动建立健全个人信息保护常态化机制，完善行业规则、加强行业自律，强化个人信息的源头保护，促进在全社会全行业营造保护公民个人信息的良好环境。