|
【201832010】窃取、买卖新生婴儿信息行为的认定
文/丁晓青，周虹艳
【裁判要旨】
新生婴儿信息的内容包括婴儿姓名、性别、出生日期、父母姓名、父母的联系电话及住址，属于公民个人信息的范畴；虽为正常的经营活动但没有合法依据购买新生婴儿信息的行为，属于以其他方法非法获取公民个人信息的范畴；虽是国家工作人员，但在平时工作职责中不负责管理新生婴儿信息，只是利用职务之便侵入同事的电脑获取新生婴儿信息的行为属于窃取，不属于在履行职责过程中获取的信息，故不适用刑法第二百五十三条之一第二款从重处罚的规定；同时，存在多方买卖、流转个人信息的过程中，信息的数量如何避免重复计算，均是审理重点。
案号：一审：（2016）沪0115刑初4166号 二审：（2017）沪01
【案情】
公诉机关：上海市浦东新区人民检察院。
被告人：韩明、张金峰、范霞萍、李婕、黄琰、王公仆、吴永哲、龚海滨。
2014年初至2016年7月期间，被告人韩明利用其工作便利，进入他人账户，窃取上海市疾病预防控制中心每月更新的全市新生婴儿信息，并出售给被告人张金峰，张金峰再将该等信息转卖给被告人范霞萍。直至案发，被告人韩明、张金峰、范霞萍非法获取新生婴儿信息共计20余万条。
2015年初至2016年7月期间，被告人范霞萍向被告人李婕出售上海新生婴儿信息共计25余万条，李婕将上述信息提供给被告人王公仆、黄琰，并从中获利；2015年6月至7月期间，被告人吴永哲从王公仆经营管理的大犀鸟公司内窃取7万余条上海新生婴儿信息；2015年5月至2016年7月期间，被告人龚海滨通过微信、QQ等联系方式，向被告人吴永哲出售新生婴儿信息8000余条，另分别向孙智乾、夏正玉(另行处理)二人出售新生儿信息共计7000余条。
公诉机关指控，被告人韩明、张金峰、范霞萍、李婕、黄琰、王公仆、吴永哲、龚海滨分别以窃取、出售、收买等方式侵犯公民个人信息，情节严重，其行为均已构成侵犯公民个人信息罪。
被告人韩明、张金峰、范霞萍及其辩护人均对侵犯公民个人信息的数量提出异议，认为有几个月未进行信息交易，且交易的信息内容有重复；被告人李婕、黄琰、王公仆、吴永哲、龚海滨对上述指控无异议；被告人韩明的辩护人提出，韩明有自首情节；被告人黄琰的辩护人提出，黄琰系从犯；8名被告人的辩护人均提出对被告人从轻处罚的意见。
【审判】
上海市浦东新区人民法院经审理认为，被告人韩明、张金峰、范霞萍、李婕、黄琰、王公仆、吴永哲、龚海滨违反国家规定，分另似窃取、出售、收买等方式侵犯公民个人信息，情节严重，其行为均已构成侵犯公民个人信息罪。被告人韩明、张金峰、范霞萍的供述相互印证，证实有几个月未进行信息交易，故其认获取信息的数量应当予以扣减。3名被告人及其辩护人的相关意见予以采纳，但所提重复信息应予扣除的意见，缺乏事实和法律依据，不予采纳。被告人黄琰、王公仆系共同犯罪，黄琰是购买信息的具体实施者，不能认定为从犯，故黄琰的辩护人所提黄系从犯的意见不予采纳，但在量刑时对其具体情节予以酌情考虑。被告人韩明的到案情况不符合自首的法律规定，其辩护人所提韩明有自首情节的意见不予采纳。被告人韩明、张金峰、范霞萍、李婕、黄琰、王公仆、吴永哲、龚海滨均如实供述罪行，且自愿认罪，依法从轻处罚。被告人韩明、张金峰、范霞萍、李婕、龚海滨、王公仆、黄琰在家属帮助下退缴违法所得或预缴罚金，分别酌情从轻处罚。辩护人所提对被告人从轻处罚的相关意见予以采纳。依照刑法第二百五十三条之一第一款、第三款，第二十五条第一款，第六十七条第三款，第五十三条，第六十四条之规定，判决：一、被告人韩明犯侵犯公民个人信息罪，判处有期徒刑2年3个月，并处罚金5000元；二、被告人张金峰犯侵犯公民个人信息罪，判处有期徒刑2年，并处罚金4000元；三、被告人范霞萍犯侵犯公民个人信息罪，判处有期徒刑2年，并处罚金4000元；四、被告人李婕犯侵犯公民个人信息罪，判处有期徒刑1年9个月，并处罚金3000元；五、被告人王公仆犯侵犯公民个人信息罪，判处有期徒刑1年6个月，并处罚金3000元；六、被告人黄琰犯侵犯公民个人信息罪，判处有期徒刑1年3个月，并处罚金2000元；七、被告人吴永哲犯侵犯公民个人信息罪，判处有期徒刑10个月，并处罚金2000元；八、被告人龚海滨犯侵犯公民个人信息罪，判处有期徒刑7个月，并处罚金2000元。
一审宣判后，被告人吴永哲向上海市第一中级人民法院提出上诉。
上海一中院二审裁定驳回上诉，维持原判。
【评析】
本案是刑法修正案(九)实施后上海浦东新区法院受理的一起典型的侵犯公民个人信息案件，涉及被告人较多(其中第一、第二被告人均是国家工作人员)，获取的新生婴儿信息数量较大，且造成了极为恶劣的社会影响。该案被最高人民检察院评为2017年年度侵犯公民个人信息案件的典型案例。在2017年6月1日最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)施行之前，本案的审理重点在于三个方面：一是新生婴儿信息是否属于本罪的公民个人信息？二是本案中信息数量是否存在重复计算？三是本案中第一、第二被告人是否适用刑法第二百五十三条之一第二款从重处罚的规定？
一、新生婴儿信息属于本罪的公民个人信息
《解释》施行之前，对公民个人信息的认定存在争议。我国尚未制定和颁布公民个人信息保护法，对于公民个人信息尚无明确的界定。国家立法机关的有关专家认为个人信息是“可以实现对公民个人情况识别”的信息；而有学者则认为个人信息是“体现个人隐私权”的信息。[1]
关于个人信息概念的界定，目前主要有以下几种认识：1.认为个人信息是指能实现对公民个人情况的识别，被非法利用时可能对公民个人生活和安宁构成损害和威胁的信息。2.认为个人信息是指本人不希望扩散，具有保护价值，一旦扩散，将可能对公民权利造成损害的信息。也有论者从刑法第二百五十三条之一侵犯之法益的角度，认为个人信息具有个人隐私的特征。3.认为个人信息是指以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息。[2]
根据以上对个人信息的不同认识，笔者认为公民个人信息应当具有以下几个特点：1.识别性，公民个人信息承载着一些内容，通过它可以识别出特定的公民个人，并可以通过一定的形式加以固定、复制、传播。2.专属性，只有公民个人才能决定是否将其个人信息予以公开，在何时、用何种方式、以何种程度将其公开。3.重要性，公民的诸多个人信息关乎公民的人格、尊严，甚至影响其人身安全、财产权利。
结合以上对公民个人信息的理解以及网络安全法第七十六条的规定，个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。在本案中，被告人韩明等人窃取的信息为新生婴儿信息，包括新出生婴儿的姓名、出生年月日、父母的姓名、联系电话以及现住地址等内容，这些信息属于公民个人专有，且可以识别出公民个人，完全符合网络安全法中关于公民个人信息的描述，属于公民个人信息的范畴。仅有公民个人才能决定将其用于何种用途，但该等信息却被他人予以窃取、买卖，用作其他用途，是对公民个人信息控制权的侵害。因此，本案中的犯罪对象新生婴儿信息属于侵犯公民个人信息罪中的公民个人信息范畴。
二、本案中信息数量的计算问题
根据刑法第二百五十三条之一的规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处3年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处3年以上7年以下有期徒刑，并处罚金。关于何谓情节严重、情节特别严重，在《解释》出台之前，没有相关的立法或者司法解释加以规定，但司法机关并不能以法律没有规定作为不裁判的理由。由于本罪是典型的行政犯，同时也是较新的罪名，可以参照其他罪名中一般关于情节严重的认定以及相关的行政犯，如非法控制计算机信息系统罪中关于情节严重的认定。在办案实践中，对此处情节严重标准的一般掌握是从犯罪目的、犯罪手段、信息的用途、犯罪后果、获取数量、获取次数以及获利多少等几个方面进行综合判断。在本案中，情节严重的重要体现就在于被告人非法获取新生婴儿信息的数量，因此，信息数量的确定对于本案的定罪量刑具有重要意义。
公诉机关根据上海市疾病预防控制中心每月更新的新生婴儿信息与被告人韩明、张金峰、范霞萍等人交易的时间计算，得出共有30余万条信息的数据。针对公诉机关指控的信息数量，被告人及其辩护人提出以下三点意见：1.在2014年初至2016年7月期间，上海市疾病预防控制中心的机器设备存在更新情形，几名被告人之间数月未有交易行为，因此，第一、第二、第三被告人获取信息的数量应当予以扣减；2.获取的新生婴儿信息内容里面有部分信息没有联系电话，故不能称为有效信息，数量也相应地予以扣除；3.信息内容在几名被告人之间流转过程中存在重复提供，因此也要考虑这方面的因素，相应地扣减重复的信息条数。
针对公诉机关提供的证据证实的信息数量以及被告人、辩护人提出的意见，合议庭分析如下：
1.针对第一点，被告人韩明、张金峰、范霞萍的供述之间能够相互印证，在2014年初至2016年7月期间上海市疾病预防控制中心的设备确实有更新过，第—、二、三名被告人提出有几个月未进行信息交易的意见予以采信，故其认获取信息的数量应当相应地予以扣减，最终认定其认获取信息的数量为20余万条。
2.针对第二点，根据之前的分析，公民个人信息的内容包括联系电话，但不仅限于此。联系电话对于被告人而言价值重大，但是姓名、性别以及家庭住址等内容也属于公民个人信息的范畴，不能因为没有联系电话就将该等信息排除在法律保护之外，故辩护人提出的相关意见不予采纳。
3.针对第三点，对于辩护人提出的信息重复性问题，上海市疾病预防控制中心的新生婴儿数据是每月更新的，被告人韩明也是根据更新的数据提供给第二被告人，不排除二者之间存在重复提供的这种可能性，但是辩护人没有提供相关证据对此予以证明，针对辩方所提重复信息应予扣除的意见，缺乏事实和法律依据，不予采纳。
三、第一、第二被告人不适用刑法第二百五十三条之一第二款从重处罚的规定
本案中，第一、第二被告人分别是上海市疾病预防控制中心和黄浦区疾病预防控制中心的工作人员，属于国家工作人员，对于其二人在工作过程中获取的新生婴儿信息是否适用刑法第二百五十三条之一第二款的规定(“……违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚……”)？
综合本案的证据，第一被告人虽在上海市疾病预防控制中心工作数十年，但其主要是负责全市人口死亡信息监测及登记工作，不负责新生婴儿信息管理工作，其获取新生婴儿信息的方式是通过之前获悉负责管理新生婴儿信息的同事的电脑用户名和密码。第一被告人在没有征得同事的同意下，秘密窃取其同事电脑中的新生婴儿信息，其获取信息不是在履行职责或者提供服务过程中获得的，而是秘密窃取，故不应适用刑法第二百五十三条之一第二款的规定对其从重处罚。但考虑到本案信息的源头是第一被告人，其在整个犯罪锁链中起着至关重要的作用，所以在量刑上酌定考虑。
第二被告人虽然在黄浦区疾病预防控制中心工作，但其工作岗位系黄浦区疾控中心综合应急管理办公室，工作内容不包含管理新生婴儿信息。第二被告人获取的信息均由第一被告人提供，因此其也不属于将在履行职责过程中获取的信息非法提供他人，也不适用刑法第二百五十三条之一第二款的规定，不能对其从重处罚。
综上，新生婴儿信息是典型的公民个人信息，窃取、买卖新生婴儿信息，数量多达20余万条，达到了情节严重程度；被告人王公仆、黄琰购买信息用于生产经营活动，属于以其他方法非法获取公民个人信息，第一、第二被告人并不是在履行职责过程中获取公民个人信息，故不应当从重处罚。合议庭在综合本案被告人所有情节之后，对8名被告人分别判处有期徒刑7个月到有期徒刑2年3个月不等，作出了罪责刑相适应的判决。
（作者单位：上海市浦东新区人民法院，上海市浦东新区人民法院）
[1]王昭武、肖凯：“侵犯公民个人信息犯罪认定中的若干问题”，载《法学》2009年第12期。
[2]赵秉志：“公民个人信息刑法保护问题研究”，载《华东政法大学学报》2014年第1期。
|