|
【202402008】《闻巍等侵犯公民个人信息案》的理解与参照——居民身份证信息应认定为其他可能影响公民人身、财产安全的个人信息
文/张鹏飞
为了正确理解和准确参照适用第193号指导性案例，现对该指导性案例的选编过程、裁判要点、参照适用等有关情况予以解释、论证和说明。
一、案例选编过程
本案由上海市虹口区人民法院作出一审判决，上海市第二中级人民法院作出二审裁定。2022年5月30日，上海市高级人民法院2022年第5次审判委员会会议同意将本案作为备选指导性案例向最高人民法院推荐。2022年9月29日，最高法院研究室召开案例专业会议讨论，与会专家学者、刑事专业法官等代表多数同意推荐该案例作为指导性案例。11月11日，该案例经最高法院刑专会第443次会议讨论，同意作为指导性案例。12月26日，最高法院以法〔2022〕265号文件将该案例编入第35批指导性案例予以发布。
二、本案例的相关情况
（一）基本案情
2019年6月至8月间，被告人闻巍（时任上海好体信息科技有限公司运营总监）经事先联系，与微信、QQ名为“发乐”“来立中”“我怕冷风吹”等人约定，以6元/张的价格为上述人员批量注册激活该公司“爱球钱包”
APP应用的“中银通·魔方元”联名预付费卡，并从上述人员处通过利用微信、QQ获得百度网盘分享链接的方式获取公民个人信息（居民身份证正反面照片），由被告人朱旭东从该网盘链接中下载至移动硬盘内，交由中银通工作人员用于批量注册激活。
2019年9月至2020年2月间，被告人朱旭东在被告人闻巍离职后，负责上述联名预付费卡的批量注册激活工作，以6元/张的价格以上述相同方式继续从“发乐”“来立中”“我怕冷风吹”等人处通过利用微信、
QQ获得百度网盘分享链接的方式获取公民个人信息（居民身份证正反面照片）并存储于其百度网盘内，后下载至其电脑硬盘内，交由中银通工作人员用于批量注册激活。
2019年10月，被告人朱旭东与张坤（另案处理）经事先用微信联系，朱旭东以6元/张的价格以上述相同方式从张坤处通过利用QQ获得百度网盘分享链接的方式获取公民个人信息（居民身份证正反面照片）并存储于其百度网盘内，后下载至其电脑硬盘内，交由中银通工作人员用于批量注册激活。
2019年12月，被告人张江涛通过其所在的QQ群向他人购买公民个人信息数据并转存在其百度网盘账号内，同时将数据分多次转卖给张坤，分多次收取费用共计19600元。
经核实，从被告人闻巍“ErnieGullit”网盘内清点出公民个人信息（居民身份证正反面照片）1万余组，从被告人朱旭东“zhuxudn”网盘内清点出公民个人信息（居民身份证正反面照片）3000余组，从张坤分享给朱旭东的网盘内清点出公民个人信息（居民身份证正反面照片）41654组，从被告人张江涛的网盘内清点出公民个人信息60101组。
虹口区人民检察院指控被告人闻巍、朱旭东、张江涛犯侵犯公民个人信息罪，情节特别严重，均应当以侵犯公民个人信息罪追究其刑事责任。
被告人闻巍及朱旭东的辩护人均提出本案指控的公民信息种类应认定为最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第5条第1款第（5）项中的普通信息范围，并非第5条第1款第（4）项中的特定信息种类范围，故根据现查获的数量，尚未构成情节特别严重。
《解释》基于现实生产、生活的丰富多样，未将居民身份证信息穷尽列为和住宿、通信等敏感信息同等保护档次。本案将居民身份证信息认定为《解释》第5条第1款第（4）项规定的“其他可能影响人身、财产安全的公民个人信息”，按照非法获取500条即情节严重、5000条即情节特别严重的标准予以掌握，明确了刑法保护公民居民身份证信息的裁判尺度。
（二）裁判结果
虹口区法院于2021年8月30日以（2020）沪0109刑初957号刑事判决，认定被告人闻巍犯侵犯公民个人信息罪，判处有期徒刑3年，并处罚金1万元；被告人朱旭东犯侵犯公民个人信息罪，判处有期徒刑3年3个月，并处罚金1万元；被告人张江涛犯侵犯公民个人信息罪，判处有期徒刑3年，并处罚金2万元；违法所得及作案工具予以追缴没收。
一审宣判后，被告人闻巍、朱旭东提起上诉。上海二中院于2021年11月11日以（2021）沪02刑终1055号刑事裁定，驳回上诉，维持原判。
三、裁判要点的理解与说明
该指导性案例的裁判要点确认：居民身份证信息包含自然人姓名、人脸识别信息、身份号码、户籍地址等多种个人信息，属于《解释》第5条第1款第（4）项规定的“其他可能影响人身、财产安全的公民个人信息”。非法获取、出售或者提供居民身份证信息，情节严重的，依照刑法第二百五十三条之一第一款规定，构成侵犯公民个人信息罪。
现围绕与该裁判要点相关的问题逐一解释和说明如下：
（一）居民身份证信息属于刑法保护的公民个人信息
我国有关公民个人信息定义的规定比较分散，主要见于网络安全法、民法典、个人信息保护法以及《解释》等规定中。网络安全法第七十六条第（五）项规定，“个人信息是指以电子或其他方式记录的能够单独或与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。”民法典第一千零三十四条规定，“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”个人信息保护法第四条规定，“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”《解释》第1条规定，刑法第二百五十三条之一规定的公民个人信息，是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等”。
从上述法律、司法解释的规定来看，立法和解释采用了两种不同的定义方式，个人信息保护法采用了高度概括的定义方法，而其他的法律和司法解释则采用了非穷尽式列举的定义方法。在列举式的定义中，公民的姓名、身份证件号码、住址等内容是高度重合的，说明上述信息属于公民个人信息系立法共识。另外，综合起来看，上述规定方式虽有区别，但核心的立法意图和内涵是一致的，即均认为，认定某一信息是否属于公民个人信息，应从该信息对公民个人的可识别性这一特征予以综合考量。从刑法保护的必要性来看，符合刑法保护要求的公民个人信息，“可识别性”是其一，与公民人身、财产安全等法益关联的紧密程度和紧迫程度则是其二。只有当非法泄露、获取、使用这些信息将对公民的人身、财产安全造成严重侵害或使其处于遭受严重侵害的危险之中时，才有必要将该信息纳入刑法保护的范畴。
具体到本案中，居民身份证法第三条规定，“居民身份证登记的项目包括：姓名、性别、民族、出生日期、常住户口所在地住址、公民身份号码、本人相片、指纹信息、证件的有效期和签发机关。公民身份号码是每个公民唯一的、终身不变的身份代码，由公安机关按照公民身份号码国家标准编制。”由此可见，居民身份证信息内容十分丰富，不仅仅包含了公民姓名、常住户口地址、公民身份号码等已被立法确认为公民个人信息的信息，还有公民照片、出生日期、性别、民族等其他信息，这些信息显然可对公民个人实现精准识别，完全符合公民个人信息“可识别性”的特征。同时，这些信息的泄露为实施其他犯罪大开方便之门，危及公民人身、财产安全的现实危险也显然存在。
因此，虽然《解释》未明文规定居民身份证信息属于公民个人信息，但无论是从居民身份证上记载的公民姓名、身份号码、户籍地址等内容来看，还是居民身份证与刑法保护的法益关联程度来看，都应从居民身份证信息认定为需由刑法保护的公民个人信息范畴。
（二）居民身份证信息属于《解释》第5条第1款第（4）项规定的“其他可能影响人身、财产安全的公民个人信息”
《解释》第5条第1款第（3）项至第（5）项确立了公民个人信息分类分级保护原则，根据信息的敏感重要程度依次设置了“五十条以上”、“五百条以上”和“五千条以上”的情节严重认定标准。《解释》第5条第1款第（4）项规定，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的，应当认定为刑法第二百五十三条之一规定的情节严重；《解释》第5条第2款规定，信息数量达到前述标准的十倍以上的，应认定为刑法第二百五十三条之一规定的情节特别严重。具体到本案中，争议焦点即为涉案身份证照片是否属于《解释》第5条第1款第（4）项规定的信息类型，是应适用“五百条以上”入罪、“五千条以上”量刑数量标准，还是适用一般信息“五千条以上”入罪、“五万条以上”量刑的数量标准。
居民身份证的照片属于《解释》规定的“其他可能影响人身、财产安全的公民个人信息”。基于罪刑法定原则的要求，首先应对《解释》的规定内容予以明确。对《解释》第5条第1款第（4）项规定，“本项规定有等其他可能影响人身、财产安全的公民个人信息的表述，司法实践中可以根据具体情况作等外解释，但应当确保所适用的公民个人信息涉及人身、财产安全，且与住宿信息、通信记录、健康生理信息、交易信息在重要程度上具有相当性”。[1]这说明，《解释》的制定者在对需要刑法保护的公民个人信息分类时，在非穷尽式列举的前提下，赋予了司法实践对该条予以适度扩张解释的空间。非封闭式规定为司法适用预留了解释空间，随着社会发展，法官可经过严密的论证，将司法实践中与列举信息具备相当性的其他公民个人信息纳入此类信息范畴。
（三）居民身份证信息具有《解释》所列信息相同的危害程度
应当明确，居民身份证信息与司法解释所明确列举的信息种类具有相同程度的社会危害性。本案在作等外解释时，重点从居民身份证信息的私密程度以及与公民人身、财产安全关联的紧密紧迫程度两大方面进行实质审查。上述私密程度、紧密紧迫程度与《解释》第5条第1款第（4）项中所列“住宿、通信、健康生理、交易信息”等具有相同的危害程度。具体而言：
第一，在信息的私密程度上，居民身份证信息与住宿、通信记录、健康生理等信息私密程度相当。居民身份证上登记的信息以及其申领、使用和查验规则由居民身份证法专门规制。该法第六条规定，公安机关及其人民警察对因制作、发放、查验、扣押居民身份证而知悉的公民个人信息，应当予以保密。这说明居民身份证信息的出示、查询有着严格的法定条件，即便是有权机关或人员获取了居民身份证信息，也应确保该信息不被泄露。而其他任何主体未经公民本人同意或无法律依据，均无权要求公民出示或查询其信息。随着信息网络时代的到来，居民身份证照片已经成为注册各类网络账号、验证公民个人身份的重要凭据，其使用频率和范围已经不亚于实体身份证件。因此，集公民姓名、性别、民族、出生日期、住址、唯一身份号码、人脸等信息于一体的居民身份证照片的保密性需求在网络时代更为凸显。
《解释》第5条第1款第（4）项所列举的信息属于公民在现代信息社会日常活动中常见留痕的信息，具备很大程度的私密性。如，住宿信息、通信信息、健康生理信息和交易信息是记录公民出行、交际、就诊和购物等日常活动情况的信息，一般由酒店服务商、通讯服务商、医疗机构和交易平台等公共服务单位依法留存，且只能按照公民指定或约定的用途使用，上述单位和个人不得随意泄露，其他单位或个人未经授权也不得擅自查阅和复制。从公民生产、生活实践来看，上述信息的生成过程中，一般伴随居民身份证信息的出示和使用。居民身份证信息与住宿信息、通讯信息、健康生理信息、交易信息存在较为紧密的捆绑关系和平等的信息保护要求，因此，无论是从法律规定上，还是从生产生活上来看，居民身份证信息和住宿信息、通信信息、健康生理信息、交易信息在私密程度上具备相当性。
第二，从与公民人身、财产安全关联的紧密紧迫程度来看，居民身份证信息与《解释》第5条第1款第（4）项所列信息相当。通常而言，信息的私密程度与其敏感性、重要性成正比，《解释》第5条第1款第（3）项规定的公民行踪轨迹信息、通信内容等信息与公民人身、财产安全直接相关，该信息的泄露所带来的危险程度和紧迫程度极高，犯罪分子据此可以直接精准实施故意伤害、敲诈勒索、诈骗、盗窃等犯罪活动，威胁公民的人身、财产安全。相对而言，该款第（4）项所列举的住宿信息、通信信息、健康生理信息、交易信息的紧迫程度稍弱于前项信息，但也与公民人身、财产安全密切相关。居民身份证信息是多个公民个人信息的综合，完整度高，行为人不仅可以据此精准锁定公民个人身份，经过简单地分析处理后，还会引发“水波效应”。如行为人可直接伪造虚假身份证件或查询他人的手机号码、通讯记录、交易信息、医疗记录等，使得居民身份证信息成为获取其他信息的“金钥匙”。在当今网络大数据社会，可据此精准地对公民进行“数据画像”，为实施精准诈骗、敲诈勒索、盗窃、抢劫等犯罪营造条件。此外，涉及公民财产安全的储蓄、借贷等金融服务普遍线上化，其注册、认证均有上传身份证照片这一关键环节，犯罪分子非法获取他人身份证照片后，即可冒名办理在线金融服务，或侵入他人的支付软件，威胁公民的财产安全、信用安全，由此引发的人身、财产安全隐患的紧密紧迫程度和住宿信息、通信信息、健康生理信息、交易信息相当。
综上，居民身份证照片经相当性比较，应认定为《解释》第5条第1款第（4）项规定的“其他可能影响人身、财产安全的公民个人信息”。
（四）居民身份证信息认定为《解释》第5条第1款第（4）项规定的“其他可能影响人身、财产安全的公民个人信息”符合罪责刑相适应原则
刑罚裁量的最终目的是实现罪责刑相适应。罪责刑相适应作为刑法明文规定的一项基本原则，要求刑罚的轻重应当与犯罪的社会危害性、犯罪分子所承担的刑事责任和其行为性质、后果相适应。具体而言，要求法官在量刑时全面考察行为人的犯罪性质、手段恶劣程度、犯罪结果、主观恶性、人身危险性等，确保罪、责、刑之间保持内在的、对应的均衡，从而作出对被告人适当的判决，有效发挥刑罚惩罚和预防犯罪的功能。居民身份证在社会生产、生活中的敏感重要程度显然高于姓名、电话号码、电子邮箱、教育经历等一般公民个人信息。本案中行为人为非法获利，非法获取数万名公民身份证照片（正反面），使数万条公民个人信息处于随时被泄露、扩散的不可控风险之下，该行为的社会危害性较为突出。该行为在刑法意义上的实质危害程度，与《解释》中明文列举的信息种类具有相同的社会危害性，从而准确确定居民身份证照片的信息类型，确定其适用的量刑标准。本案将居民身份证信息通过等外解释，归入适用500条以上入罪数量标准的信息范畴，明确该案属于情节特别严重，进而在3年以上7年以下的基准上确定宣告刑，既充分评价了该行为的实质社会危害性，也充分评价了被告人的主观恶性，符合罪责刑相适应原则。
【注释】
执笔人：上海市第二中级人民法院 张鹏飞
编审人：最高人民法院案例指导工作办公室 张华锋
[1]周加海、邹涛、喻海松：“《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》的理解与适用”，载《人民司法》2017年第19期。
|