公民个人信息刑法保护的边界

金文浩 张源

摘 要：大数据时代，避免过度犯罪化以及刑法规范的不精确性极为重要。从刑法保护角度出发对个人信息范围进行限缩，合理划定个人信息刑法保护的边界；倡导个人信息保护与利用相结合的理念、信息主体“知情同意”理念、侵犯个人信息犯罪不起诉权适用理念。在刑事领域探索适用刑事被遗忘权，从案件适用类型、行使权利的方式等方面入手，在性犯罪、危害国家安全和恐怖主义等案件上限制被遗忘权的使用，建立“申请＋审查”的模式，在当事人提出删除的要求后，由特定的公权力机关进行审查。

关键词：个人信息 刑法保护 自由意志 可识别性

中图分类号：F126；D924.34  文献标识码：A

文章编号：1004-4914（2023）07-039-03

随着大数据在各个领域的深度使用，数据壁垒进一步被打通，个人信息滥用、误用、泄露事件时有发生。因社会治理需求，法律从制度层面对个人信息保护予以积极回应，扩张了个人信息的保护范围。然而，对侵犯个人信息犯罪范围不加以约束涉嫌违背罪刑法定原则。刑法在实现保护公民个人信息，惩治违法犯罪的同时，理应对该罪的适用边界予以明确，妥善解决个人利益与社会公共利益之间的紧张关系。

一、刑法所保护的公民个人信息范围的限缩

《刑法修正案（九）》及《关于办理侵犯公民个人信息刑事案件适用若干法律问题的解释》（以下简称《解释》）对我国侵犯公民个人信息犯罪进行了规定，积极对司法实践中办理该类案件存在的难点予以回应，业已将公民个人信息纳入刑法的保护范畴。但是，从目前《解释》关于公民个人信息的界定看，其内涵与外延显然难以适应大数据时代个人信息表现方式多样性的特征，容易导致刑法所保护的公民个人信息过度扩张化，这与刑法谦抑原则明显相违背。因此，在司法实践中可通过提高入罪门槛的方式，倡导刑法保护理念的同时，对侵犯公民个人信息犯罪的使用范畴加以限制。

（一）信息主体的自由意志

亦即被害人的出罪同意规则。刑事法律在惩治违法犯罪的同时，亦倡导保障个人自由，公民个人对其信息享有“自决权”，只要不危害国家利益、公共利益及他人合法权益，即使公开的信息对公民个人的相关权利有所侵害，也是其自由意志的体现，在法律上应当予以认可。据此，有学者主张个人信息的“选择退出”机制，只要信息主体不反对使用个人信息，就推定其产生了默示许可的法律效力，对“被害人同意”的解释亦更加宽泛。

（二）个人信息的可识别性

随着现代社会生活范围的日益扩大、生活方式逐渐多样化的趋势，许多与信息主体具有一定关联程度的信息正慢慢地被不法分子加以利用，如饮食习惯、兴趣爱好、出行方式等，其利用大数据技术将上述信息进行分析、结合，进而转化为具有可识别性的身份信息，与个人信息主体之间密切相关。但并不是所有不法分子都具有对信息的控制和处理能力。同一信息，在掌握较强技术能力的行为人手中会转化为可识别性的信息，在未掌握或技术较弱的人手中可能就只是一堆边缘化的无用信息。因此，司法者在具体办案中应结合犯罪分子的具体情况判断其行为是否构成犯罪。

（三）个人信息犯罪构成要件的限缩解释

1.对“违反国家有关规定”的限缩解释。根据《解释》第2条的规定，《刑法》第253条中“违反国家有关规定”是指违反了法律、行政法规、部门规章。因此，有必要进一步厘清“国家有关规定”的内涵及外延，是将其范围仅仅限定于法律与行政法规，还是拓展延伸至部门规章与地方性法规。对此，不同的学者持不同意见，有的认为应当参照最高人民法院对有关“以国务院办公厅名义颁发的文件”的相关规定，对其范围予以适度拓展，延伸至部门规章。亦有学者主张为了实现对侵犯公民个人信息犯罪的限缩，应当将部门规章与地方性法规排除在外，以防止适用范畴过于宽泛所导致的适法不明。司法实践中多采取后一种方式，将“国家有关规定”限制在法律与行政法规的范畴之内。

2.对“特殊公民个人信息”的限缩解释。首先，刑法的谦抑性要求其在介入社会管理时需保持理智与克让，过度适用扩张解释会在一定程度上抑制社会活力。公民个人信息集隐私、经济、文化资源于一体，对于社会发展具有重要的积极意义，倘使不对其财产信息加以限制，则难免会造成个人信息保护与信息自由流通之间的失衡。其次，根据《解释》对个人信息保护设置的类型化梯度保护模式，不同类别、危害程度不同的信息在构罪标准上存在差异。因此，司法实践中理应有效区分普通信息与涉及公民人身等极为隐秘信息之间的差别，只有当通过公民个人信息能够推断出其基本信息及财产状况时，才能将其纳入财产信息的范畴。

二、个人信息保护的刑法理念

（一）个人信息保护与利用相结合的理念

如何妥善处理好个人信息保护与信息自由流通是立法及司法实践中面临的最大难题。一方面，在保障信息主体自由意志的同时，最大化实现个人信息的保护，合理把控、掌握好这两者之间的限度。另一方面，在适用知情同意原则的同时，应当保障数据经济的稳定向好发展。据此，应当从法律层面为个人信息数据的利用构建相应的豁免空间。《网络信息安全法》对上述问题进行了一定程度的回应，對司法实践中适用知情同意规则进行了一定的区分，集中体现在第41条与第22条的规定中。收集个人信息的主体涉及方方面面，既可以是个人信息使用者、亦可以是网络平台及网络服务的提供者等，个人信息所具有的公共属性决定了其具有一定的流通性，在这一过程中，信息权利主体对个人信息的控制力逐步减弱，而收集使用者的影响力则日趋强化。质言之，个人信息保护与有效利用之间存在着零和博弈。刑法在实现保护公民个人信息的同时，理应从不同层面对不同信息主体的权利义务有所回应，以实现个人信息的有效利用。

（二）信息主体“知情同意”理念

根据《个人信息保护法》第14条之规定，同意行为的作出应当在充分知情的前提下。倘使个人自愿、明确同意，则可以据此推定信息处理活动的合法性，反之则涉嫌违法。一方面，个人信息的知情同意应当以明示方式作出，只有在法律明确规定的极少数特定场景下，才允许信息主体的默示同意。《个人信息保护法》所规定的“明确同意”，究其实质并不是一种同意的类型，而是对同意行为的规范性限制。“明确”要求信息主体的意思表示必须明白无误、清晰明了，显然默示方式的同意并不符合该要义。但是在特殊场域，默示方式的同意也许更加契合日常生活习惯。然而，默示同意在解释路径上不符合“明确性”的要求，存在一定的瑕疵，所以对于个人信息保护，一般不允许默示同意的适用。尤其是在大数据、网络等领域，默示同意往往容易产生歧义，且难以明确界定其含义。譬如：倘使某一网站设置了隐私条款，用户的接续访问行为是否意味者其“明确同意”？一般情况下，网络用户不会详细阅读该隐私条款，或者即使看到也不置可否，甚至在绝大多数情形下其并不知晓个人信息已经被收集。据此，基本可以肯定的是默示同意在网络领域很难找到统一的判断基准。相较而言，通过选项勾选等方式明示同意更加明晰、无歧义。有学者指出，拟制同意可以化解知情同意规则因僵化、苛刻而造成的弊端。拟制同意作为一种立法技术手段，是在特定情形下将沉默视为同意，虽然其法律效果与明示同意并无差异，但是从意思表示的自由程度而言，却以法律的强制性规定代替了当事人的意思表达，显然与知情同意的自愿性、明确性要求相悖。

虽然关于被害人同意（承诺）的出罪功能在学界尚存在一定争议，但认同者居于多数。在大数据时代，不同的经营者利用个人信息进行经营活动比比皆是，如果不从法律上确定其权利义务，则难以实现对不同需求的最大化保护。在公民个人信息保护领域肯定“被害人同意”出罪事由的基础上，还应当进一步厘清其能够产生的法律效果。在收集、获取与公民个人身份及财产全貌有关的敏感信息时，应当取得信息主体的明示同意，这已经在法律上予以明确，但是对于一般信息的授权方式却并未予明确，但从个人信息的使用特征及利用效率来看，默示同意更加契合一般个人信息“利用+共享”的实践需求。

（三）侵犯个人信息犯罪不起诉权适用理念

实践中，司法机关应当将办案重点聚焦于利用个人信息实施违法活动及倒卖牟利的情形，以合理把控个人信息保护的刑法边界。对于利用个人信息进行合法经营且未对公民个人造成实质损害的，应当依法正确行使不起诉权，在依法惩治犯罪的同时，最大化引导实现个人信息的有序流通。首先，我国关于公民个人信息保护的法律法规尚有待完善，如果过于强调刑法的惩治作用，则不可避免出现社会治理过度刑法化的问题。其次，从个人信息犯罪所保护法益来看，不起诉权的合理适用可以合理把控刑法的适用边界，在个人信息保护与利用之间寻求最大“公约数”。从司法办案情况来看，一些中小企业收集、购买个人信息并非是为了违法犯罪或者倒卖牟利，而是通过大数据分析客户的需求，从而提供更加精准的服务。上述行为虽然在犯罪构成要件上达到了构罪的标准，但其并未对公民合法权益产生实质性损害，在主观恶性及社会危害性上远小于倒卖牟利等违法行为，如果机械司法以购买个人信息数量达标就简单予以定罪，其社会效果及法律效果并不佳。此时，检察机关可以探索稳妥适用不起诉权，并及时向公安机关制发检察建议，能通过行政处罚解决的尽量不进入诉讼程序，实现刑事处罚与刑事犯罪的有效衔接。

三、个人信息保护视角下的刑事被遗忘权

（一）被遗忘权概述及运用现状

信息时代如何为个人信息保护“上锁”，成为日前立法机关研究的焦点。在此，被遗忘权作为一项新兴权利应运而生，在许多国家和地区早已被接受，出现在各国法律中。被遗忘权最初出现于1995年《欧洲数据保护指令》，是指公民个人对自己的信息可以请求删除。将其运用于司法领域是在“冈萨雷斯诉谷歌”一案中，對被遗忘权的概念进行了界定。美国加州也于2013年颁布“橡皮”法律，要求互联网企业公司删除涉及个人隐私的数据。尽管我国法律并未正式提出被遗忘权，但2015年百度公司名誉权纠纷案被视为我国首例“被遗忘权”案，审理法院首次将被遗忘权视为人格利益。

被遗忘权最主要的一个特点是当事人要求被遗忘的对象是已经公开的个人信息，权利行使目的是保护网络时代背景下的人格利益，是个人信息权的一种重要表现形式，即要求删除或者屏蔽网页、自媒体等信息传播源头上与权利人个人信息相关的信息，从而阻止个人信息在网络上进一步扩散而被大众所知。由于法人与非法人组织并非享有完全的人格权，因此，被遗忘权的主体仅为自然人。

（二）被遗忘权在刑事司法领域的探索适用

信息社会催生出被遗忘权，在刑事司法领域即可被运用，即“刑事被遗忘权”。任何人的个人信息都应当被重视，不论是普通的社会公众还是罪犯，都是享有信息保护的主体，均可主张被遗忘权。追根溯源，刑事被遗忘权在我国法律中也有体现：如我国《刑事诉讼法》中关于未成年人犯罪记录封存的规定就为在刑事司法领域中确立被遗忘权打下了制度基础。

合理运用刑事被遗忘权，从实体和程序两个视角研究，平衡各项法律价值，是在刑事司法领域中确立被遗忘权制度的前提条件。互联网、区块链技术的发展，使得以大数据为核心的个人信息保护遭受了前所未有的冲击。作为部门法的刑法，该如何在着眼于整个法律体系的同时，通过内部调适对个人信息实现全面保护便显得尤为重要。笔者建议刑事被遗忘权可从案件适用的类型、行使权利的方式等方面入手：一方面在案件适用类型上，针对一些特殊案件，如性犯罪、危害国家安全和恐怖主义等案件上限制被遗忘权的使用；另一方面在权利的行使上建立“申请＋审查”的模式，在当事人提出删除的要求后，由特定的公权力机关进行审查。

（三）被遗忘权在我国司法领域的展开

《个人信息保护法》第47条确定了我国个人信息删除制度。从立法之初，删除权与被遗忘权就在学者之间争论较大。主要存在相同说、相异说与包含说三种观点。相同说主张删除权与被遗忘权两者并无差异，在内涵与外延上几乎重叠。具体而言，个人信息遗忘权所产生之法律后果就是将个人信息在相关环境及平台上被人们遗忘，与行使删除权所产生的法律后果几乎一致。相异说主张遗忘权与删除权之间存在本质差异，不应简单等同视之。在权利行使主体上，被遗忘权的权利主体较为特定，而删除权的权利行使主体为一般主体；在权利行使对象上，被遗忘权所针对的是合法收集、适用的个人信息，只是由于信息不准确或者过时而需要在检索时进行限制。删除权的对象则较为宽泛，既包括合法信息，亦包括违法信息；就适用条件而言，被遗忘权的行使条件则更为复杂，需要个人信息具有身份上的可识别性，存在的时间较长，且在当下失去了其语境含义；并对个人产生了负面影响。删除权则只需出现违法事项或者双方约定的情形即可。包含说认为被遗忘权与删除权之间是从属关系或被遗忘权是对删除权的扩张。

被遗忘权制度背后所暗含的多重价值，需在立法及司法过程中合理进行价值平衡。如何妥善解决被遗忘权与言论自由、经济社会发展需求之间的矛盾是重中之重。我国应当通过顶层设计的方式协调这些价值冲突，特殊情况下亦可在司法实践中采取个案协调的方式，科学设定被遗忘权行使的条件及范围。虽然《个人信息保护法》对删除权进行了明确规定，但其依然为被遗忘权预留了一定的制度空间。我国可在删除权的基础上，引入有限的被遗忘权规则。

参考文献：

[1] 张勇.APP个人信息的刑法保护：以知情同意为视角[J].法学，2020（08）：113-126.

[2] 冀洋.法益自决权与侵犯公民个人信息罪的司法边界[J].中国法学，2019（04）：66-83.

[3] 蔡星月.数据主体的“弱同意”及其规范结构[J].比较法研究，2019（04）：71-86.

（作者单位：兰州大学，兰州铁路检察院，甘肃政法大学 甘肃兰州 730000）

[作者简介：金文浩，兰州大学哲学社会学院，甘肃政法大学甘肃省依法推进社会治理研究中心助理研究员；张源，甘肃省人民检察院兰州铁路运输分院法律政策研究室检察官，甘肃政法大学甘肃省依法推进社会治理研究中心研究员。]

（责编：若佳）