被告人张某、吴某等28人犯侵犯公民个人信息罪一案
——对侵犯公民个人信息犯罪的审判坚持罪责刑相适应原则

基本案情

 2018年5月28日，被告人张某与被告人吴某在郑州市某地成立咨询有限公司，张某出资七成，吴某出资三成，利润平分；公司先后聘用、任命被告人夏某担任公司总经理，负责日常工作；被告人魏某在公司成立前期负责保管并向员工发放各类证书，持有人公民信息，2020年3月之后负责公司财务；被告人王某、时某于2020年开始先后担任业务经理并兼任业务组长；被告人鲁某等7人担任业务组长，并聘用被告人张某月等200余人为业务员。张某、吴某、夏某等公司管理人员通过窃取、购买等非法方式获取、收集各类证书持有人的公民个人信息，并将非法获取的信息提供给业务员，让业务员以打电话的方式联系证书持有人并收购该证书，后将该证书“挂靠”给用证企业，从中谋取利益。该咨询有限公司非法获取、收集各类证书持有人公民信息共计113529条，从中获利26791803元。

裁判要旨

 公民个人信息泄露事件时常发生，特别是很多个人信息被窃取、买卖后用于电信诈骗、敲诈勒索等犯罪，严重侵害了消费者的合法权益。打击非法提供、出售和获取公民个人信息等侵犯公民个人信息犯罪，有效保护消费者自身利益，维护社会公共秩序及公共安全利益。对被告人众多的侵犯公民个人信息犯罪，要结合被告人在共同犯罪中的地位、作用、主观恶性、犯罪情节等，依法区分主从犯，分类处理，落实罪责刑相适应原则。

裁判结果

一、被告人张某犯侵犯公民个人信息罪，判处有期徒刑四年十个月，并处罚金人民币一百五十万元。

二、被告人吴某犯侵犯公民个人信息罪，判处有期徒刑四年四个月，并处罚金人民币一百万元。

宣判后，平顶山市湛河区人民检察院提起抗诉，被告人夏某等7人提起上诉。该案二审维持原审对被告人张某、吴某的定罪部分及量刑中的主刑部分，撤销原审对被告人张某、吴某量刑中的罚金刑部分。

法官后语

我国正处于以数字和数据分析为核心的数字化时代当中，数据作为第五大生产要素，已经在社会经济发展中起到越来越重要的作用。对个人信息、个人数据犯罪进行刑事法律保护，通过打击非法提供、出售和获取公民个人信息等侵犯公民个人信息犯罪，不仅能有效保护消费者个人的合法权益，也能从源头上切断电信网络诈骗等犯罪、敲诈勒索犯罪甚至绑架犯罪的犯罪链条，从而有效维护社会公共秩序及公共安全利益。

一、公民个人信息的范围与犯罪对象的认定侵犯公民个人信息罪保护的法益包括公民个人权益、社会公共安全和秩序，那么作为犯罪对象的公民个人信息如何认定，《个人信息保护法》第四条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”《网络安全法》第76条第5项明确：“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条认定“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。司法解释采取正面列举的方式明确了特别敏感个人信息的范围，给刑事审判带来了较为明确的指引，但是随着信息社会的发展，个人信息的内涵已经相应扩大，个人信息种类已远超上述列举。结合《个人信息保护法》等法律法规的规定，以数据法益的认定为标准，将公民个人信息的范围予以相应的扩充，在刑事实践中可以将公民个人信息分为三类：一是以电子数据方式或其他方式记录的公民个人信息，包括考生信息、学籍管理信息、人次信息、资格证书信息、银行卡密码、身份证信息等；二是身份认证信息，包括网络游戏账号密码、购物平台账号密码、手机账号密码等；三是财产性利益信息，包括以数据形式存储于电脑、手机系统中又具有经济价值的网络积分、手机炸弹号、会员卡资金等。

二、 侵犯公民个人信息行为方式的认定   侵犯公民个人信息的行为包括非法收集、窃取、买卖等方式，一般而言，为了公共利益或者具有合理使用目的的处理、利用公民个人信息的行为，不会构成侵犯公民个人信息罪。那么，对于侵犯公民个人信息的行为方式的认定应当结合行为人的主观目的和客观使用情况。本案中，被告人非法获取建造师资格证书持有人个人信息后联系企业“挂靠”，从中牟利，是典型的侵犯公民个人信息犯罪。但是个人信息不等于私有信息和个人隐私，如消费者日常在商场、超市、公园等公共空间留下的大量登记信息、活动轨迹等内容既不完全属于个人隐私，也不完全由个人享有支配权，对该类信息的利用是否属于侵犯公民个人信息罪值得讨论。如行为人通过购买方式获取公民名下的车辆轨迹信息，仅仅是为了推销车辆保险，对公民的合法权益并没有主观上的侵害，此时是否构罪？《公民个人信息司法解释》第六条规定，为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为“情节严重”：（一）利用非法收购、收受的公民个人信息获利五万元以上的；（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的：（三）其他严重情节的情形。如此规定，可能考虑到为合法经营活动而非法购买、收受公民个人信息的社会危害性不大，因此对入罪标准作出了限制。行为人获取公民个人信息的方式只要是非法的，即便是为了合法经营活动，不影响本罪的认定。

三、 区分情形、区别对待，落实罪责刑相适应原则对被告人众多的侵犯公民个人信息犯罪，要结合被告人在共同犯罪中的地位、作用、主观恶性、犯罪情节等，依法区分主从犯，分类处理。对主犯、累犯以及利用未成年人实施犯罪的，要依法从严处理，对认罪认罚、积极退赃退赔，初犯、偶犯，作用较小、获利较少的从犯，依法从轻处理。侵犯公民个人信息犯罪具有明显的牟利性，为剥夺被告人再次实施此类犯罪的经济能力，在综合考虑被告人犯罪情节的基础上判处罚金。所以，本案中对部分业务员认定为从犯，综合考虑各被告人犯罪的危害程度、犯罪的违法所得数额、前科情况、认罪悔罪态度等，决定对其减轻处罚，判处违法所得一倍以下罚金；对魏某（张某前妻）因其积极退缴全部或者部分违法所得，在认定其为从犯的同时，决定对其适用缓刑，但为体现罪责刑相一致原则，对其判处违法所得三倍以上罚金。

法官提醒

 1.人脸识别技术给生活带来便利的同时，也容易被犯罪分子窃取利用或者制作合成，破解人脸识别验证程序，侵害隐私、名誉和财产。消费者在生活中要谨慎下载使用“颜值检测”等软件，防范个人信息泄露，造成合法权益受损。

 2.行踪轨迹信息可以直接定位特定自然人的具体位置，消费者要注意提高对快递地址、手机号码、定位信息等个人信息的保护和安全防范，防止被不法分子窃取利用。

 3.在处理个人事务过程中，消费者向有关机关或者商业机构提供公民信息，要审查必要性，尽量不提供或者少提供。如果发生了侵害个人信息的事件，消费者应及时投诉、报警或者进行民事诉讼，用法律途径维护自己的合法权益。

 该案例入选中国法学会消费权益保护法学研究会“3.15典型案例”

 邢瑞英，女，中共党员，硕士研究生，刑事审判庭五级法官助理，负责辅助刑事审判、少年审判、未成年人保护宣传及调研案例写作等工作。

 撰写的论文《数据犯罪类案刑事规制的挑战与出路——以数据法益为中心》获得河南省法学会审判理论研究会征文三等奖，办理的被告人魏某某等4人犯生产、销售伪劣产品罪和被告人李某等3人犯销售假冒注册商标的商品罪案入选中国外商投资企业协会优质品牌保护委员会“2021-2022年度知识产权保护十佳案例”。先后荣获国家版权局2022年度查处重大侵权盗版案件有功个人、全市禁毒工作先进个人、平顶山市打击传销办案能手等荣誉称号。