|
【202002024】公民个人信息的司法内涵
文/蔡云
【裁判要旨】
公民个人信息是指能够识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、住址、账号密码等。工商行政管理办公系统内储存着市场主体的全部注册信息，其中包含法定代表人姓名、移动电话号码等具有公民个人属性的信息，行为人入侵工商行政管理系统扒取大量市场主体信息，其非法获取带有明显公民个人属性组合信息的行为，构成侵犯公民个人信息罪。
□案号 一审：（2018）辽0191刑初418号
【案情】
公诉机关：辽宁省沈阳经济技术开发区人民检察院。
被告人：王化琼、张龙、孙九桓。
沈阳经济技术开发区人民法院经审理查明：2016年10月全2018年5月期间，被告人王化琼利用能够通过二级密码登陆进入辽宁省工商行政管理一体化办公系统的便利条件，使用抓取软件，从该系统中批量获取企业工商登记信息共计219124条，扣除重复信息及无电话信息后约为206701条。王化琼将其中10万余条信息经过处理后通过QQ、微信等网络形式贩卖给被告人张龙，获利16300元。2017年4月至2018年5月3日间，张龙将从王化琼等处购得的工商登记信息中的131732条通过QQ网络平台贩卖给被告人孙九桓，被告人张龙从中获利12270元。被告人孙九桓将从被告人张龙处购买的上述信息除用作自己POSS机销售联系使用后，于2018年2月23日、2018年5月2日两次将上述信息中的两万余条卖给于某，获利600元。
【审判】
沈阳经济技术开发区法院经
审理认为，被告人王化琼违反国家有关规定，非法获取并向他人出售公民个人信息，情节特别严重，被告人张龙、孙久桓向他人出售公民个人信息，情节特别严重，其行为均已构成侵犯公民个人信息罪，依法应予刑罚处罚。关于辩护人所提市场主体信息属依法公开信息，非公民个人信息的意见。法院认为，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，王化琼非法获取的信息中包含注册电话、住址等依法不公开的内容，该部分信息具备识别特定自然人身份的效能，属于公民个人信息部分，理应受到刑法的保护。关于信息数量的认定。根据最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）的相关规定，对信息不真实或者重复的予以扣除，并根据有利于被告人原则，可以按照辩护人所做实验记录的4.5%的重复率在总数中予以扣除，并计算出客观的信息数量。依照刑法第二百五十三条之一第一款、第六十七条第三款、第七十二条、第七十三条、第五十二条、第五十三条、第六十四条，《解释》第1条、第2条、第5条、第12条之规定，法院判决：一、被告人王化琼犯侵犯公民个人信息罪，判处有期徒刑3年，缓刑4年，并处罚金3万元；被告人张龙犯公民个人信息罪，判处有期徒刑3年，缓刑4年，并处罚金2万元；被告人孙九桓犯侵犯公民个人信息罪，判处有期徒刑10个月，缓刑1年，并处罚金3000元。
一审宣判后，公诉机关未提出抗诉，被告人均未提出上诉，判决已经发生法律效力。
【评析】
当今世界各国都将个人信息保护置于重要地位，不少国家对个人信息保护都有专门立法。我国迄今尚未制定一部完整、统一的公民个人信息保护法，只在相关法律中作出了相应规定。为进一步加强对公民个人信息的保护，刑法修正案（九）将出售、非法提供公民个人信息罪和非法获取公民个人信息罪整合成侵犯公民个人信息罪，扩大了犯罪主体的范围并提升了法定刑配置。根据修改后的刑法规定，《解释》对侵犯公民个人信息犯罪的定罪量刑标准和有关法律适用问题作了全面、系统的规定。然而，《解释》自2017年6月1日起施行以来，侵犯公民个人信息罪的司法适用仍存在一些法律适用难题，个别问题甚至争议较大，其中本案涉及的市场主体登记信息是否属于公民个人信息、信息有效数量的认定等即是争议焦点。
一、公民个人信息须与特定自然人关联，这是公民个人信息所具有的关键属性
首先，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，因此，经过处理后无法识别特定个人且不能复原的信息，虽然也可能反映自然人的活动情况，但与特定自然人无直接关联，不属于公民个人信息的范畴。与特定自然人关联，既可以是识别特定自然人身份，也可以是反映特定自然人的活动情况、资产状况。需要注意的是，无论是识别特定自然人身份，还是反映特定自然人的活动情况，都不应要求是相应个人信息单独所具有的功能。例如，身份证号与公民个人身份——对应，可以单独识别公民个人身份，无疑属于公民个人信息的范畴；而工作单位、家庭住址等虽然通常无法单独识别公民个人身份，但同其他信息结合就能识别公民个人身份，所以也属于公民个人信息的范畴。随着移动电话号码实名制的推行，手机号不仅有打电话、发短信的功能，还具备了显示实时位置、移动支付等多种功能，单纯的移动电话号码不具有特定公民身份属性，但“姓名+移动电话号码”对于大部分公民来说，就有了十分精确的辨识度，所以，“姓名+移动电话号码”组合信息属于刑法意义上的公民个人信息，受刑法保护。本案中，王化琼非法获取的信息中虽然大部分属于企业信息，依法应当公开，但注册电话（移动电话号码）并不在依法公开信息之列，且根据其同时窃取的法定代表人姓名与注册电话（移动电话号码）能够相匹配，具备识别特定自然人身份的效能，因此王化琼非法获取的信息系公民个人信息，理应受到刑法的保护。
二、从市场主体信息中剥离出的自然人信息属于公民个人信息
我国现行法律规范对公民个人信息没有提出只有个人隐私特征的要求，对此实践中须注意的是，即便相关信息已经公开，不属于个人隐私的范畴，但仍有可能成为公民个人信息。此外，虽然市场主体与公民是带有截然不同法律属性的概念，其内涵和外延相去甚远，但并不意味着法人信息与公民个人信息毫无关联，恰恰相反，法人信息中的重要组成部分——法定代表人的姓名及身份证件号码、家庭住址、通讯方式均具有十分明显的公民个人信息属性。因此，侵犯市场主体信息可能构成侵犯公民个人信息罪。再者，我国市场主体信息是通过国家市场监督管理局设立的国家企业信用信息公示系统对社会公开，但作为监管机关，市场监督管理部门内部另有办公系统负责登记、管理市场主体的全部信息。该办公系统与公示系统关于市场主体记载的信息是包含关系，可以说内部系统的信息更为全面、详细，而公示公信系统则是经过市场监督管理部门的筛选，留存可以公开供社会查询的信息，去除的基本为公民个人信息。内部系统是授权登录系统，不具有相应资格无法登陆查看，而公示系统是公开系统，面向社会，任何人都可以查看。
三、有证据证实系重复计算的公民个人信息应在总数中予以扣除
从实践来看，除公民个人敏感信息外，涉案的公民个人信息动辄上万条甚至数十万条。此类案件中，不排除少数情况下存在信息重复，如针对同一对象并存“姓名+住址”“姓名+电话号码”“姓名+身份证号”等数条信息，但要求做到完全去除重复信息则较为困难，对于信息的真实性也难以一一核实。本案就是这种情况，被告人通过非法手段获取了20余万条公民个人信息。逐一认定个人信息是否真实会消耗过多的司法资源，但无条件地全部认定为公民个人信息亦有不妥，因为“姓名+住址”“姓名+电话号码”“姓名+身份证号”存在重复的概率比较高。所以，笔者认为，对于此类公民个人信息，特别是在海量状态之下，要求逐一核实信息的真实性，实践中确实难以做到。因此，在被告人及其辩护人不提异议的情况下，应当允许适用推定规则。推定规则的适用并不意味着背离刑事诉讼的证据规则，更不意味着举证责任的转移。在被告人及其辩护人提出有重复计算的辩解时，应当由公诉机关承担举证责任，被告人及其辩护人亦可以自行提交佐证材料。
本案中，关于王化琼侵犯公民个人信息数量的认定是控辩双方争议的焦点。公诉机关指控王化琼非法获取个人信息219124条；电子证据检查笔录显示侦查机关从王化琼处扣押的台式机电脑E盘共提取涉企业及法人信息219124条，辩护人提交的实验记录能够证实王化琼获取的个人信息存在重复情况。《解释》第11条第3款规定：“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”本案辩护人提交的实验记录虽然仅是对部分样本进行筛查后得出的，但鉴于本案涉案个人信息数量过于庞大，对每条信息进行逐一甄别不具有现实意义，而且辩护人系随机选取数据，并非有意查找具有重复信息的数据，该样本具有代表意义。根据有利于被告人原则，可以按照辩护人所做实验记录的4.5%的重复率在总数中予以扣除，扣除后的信息数量约为20.9万条。同时再根据辩护人提供的实验记录，证明被告人获取的信息中无法人电话的占统计数的6.6%，无注册电话的占6.2%，既无法人电话也无注册电话的占1.1%，上述1.1%亦可计为被告人所获取的信息中没有移动电话的信息，故扣除此部分后，被告人非法窃取的公民个人信息数量约为206701条。正如《解释》第11条第3款规定，根据查获的数量直接认定公民个人信息的条数，同时允许剔除不真实或者不充分的信息，实际上兼顾了公正与效率的关系，无疑是妥当的。本案中，被告人王化琼的辩护人通过随机抽取涉案信息的方式进行的实验确实能够证实公诉机关指控的涉案信息存在重复计算的情况，公诉机关对此也予以认可。但鉴于数据海量，无法精准认定重复计算的条数，但实验所得结论（重复率）是客观的，将该实验所得结论推定适用于全部数据在总数中予以扣除，亦具有合理性，充分体现出保障被告人合法权益的公平理念。
【注释】
作者单位：辽宁省沈阳市沈河区人民法院
|