潘文婕

2017年6月1日，最高人民法院和最高人民檢察院共同出臺了《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱“《解釋》”）。而在此前的3個月，《民法總則》（征求意見稿）提交全國人大審核通過，其中最引人注目的莫過于民法典增加了對公民個人信息的保護?？梢姡徽撌敲穹ㄟ€是刑法，均加大了對侵犯公民個人信息等違法行為的打擊力度，并細化了對涉及此類犯罪的量刑標準，使侵犯公民個人信息犯罪案件的定罪更清晰，打擊更精準。對于普通民眾來說，國家的法律體系將對公民個人信息進行全方位的保護，如果發(fā)生涉嫌侵犯公民個人信息的不法行為，其不但要承擔民事責任，更要承擔相應刑事責任。

網(wǎng)絡科技的迅猛發(fā)展，讓很多信息都全民化、公開化，尤其是公民個人信息。只要你鼠標一點，就可能成為“透明人”。2013年以來，上海市浦東新區(qū)人民檢察院共辦理涉侵犯公民個人信息26件54人，涉及被泄露的個人信息多達數(shù)千萬條。信息的源頭涉及電信、醫(yī)療、司法、銀行等，涉案人員多來自于此類單位的工作人員，其中不乏國家工作人員。盡管公安機關對此類案件進行了長期重點專項打擊，一定程度上遏制了其高發(fā)態(tài)勢，但案件仍屢禁不止，并不斷變化，呈現(xiàn)出新動向。

犯罪環(huán)節(jié)新：形成“源頭—中間商—非法使用者”利益鏈

在浦東新區(qū)檢察院辦理的韓子明等八人侵犯公民個人信息案中，韓子明系某疾病預防控制中心工作人員，2014年初起其利用職務便利，私自將某疾病預防控制中心每月更新的全市新生嬰兒信息出售給張小峰，再由張小峰加價層層倒賣給專門從事嬰幼兒產(chǎn)品銷售的范金萍、李云婕，最終由李云婕販賣給上海某母嬰產(chǎn)品公司，用于推銷其公司的嬰幼兒產(chǎn)品。直至案發(fā)，韓子明等人非法獲取新生嬰兒信息30萬余條，涉案金額高達21萬余元。

不難看出，此案是一例較為典型的侵犯公民個人信息案件。韓子明等人非法獲取、出售、轉(zhuǎn)賣、利用、牟利的行為自上而下、環(huán)環(huán)相扣，源頭就是掌握公民個人信息的政府部門工作人員，直接下線是第一層級的中間商，二級下線是不同層級的代理商，三級下線是商業(yè)用戶。

上下線之間沒有直接接觸，從聯(lián)系到交易，均是單線，形成了“源頭—中間商—非法使用者”的交易模式，并逐漸呈現(xiàn)以非法獲取、販賣、使用的利益鏈條，繼而形成以牟取不法利益為目的的市場化運作、專業(yè)化分工、交易金額巨大的地下黑色產(chǎn)業(yè)，導致大量新生兒個人信息外泄，給公民個人人身權(quán)、財產(chǎn)權(quán)造成了潛在的威脅。

犯罪手段新：利用境外“云”平臺和授權(quán)合法身份肆意作案

侵犯公民個人信息犯罪已經(jīng)成為其他某些犯罪的上游犯罪，敲詐勒索、電信詐騙等多數(shù)是以非法獲取個人信息為前提的。我國刑法在2009年增設“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”。2015年又作了修正，將上述兩個罪名統(tǒng)一為“侵犯公民個人信息罪”。

2016年8月，浦東新區(qū)檢察院辦理的上海首例以出售手機定位查詢系統(tǒng)侵犯公民個人信息的案件中，上海某英科技股份有限公司（以下簡稱“某英公司”）是一家信息安全類企業(yè)，系涉密類合作單位，主要負責信息安全行業(yè)中的電子取證及網(wǎng)絡信息安全的軟件開發(fā)等項目，所服務的客戶群體主要是相關的政府部門。

某英公司董事兼核心技術(shù)人員肖成江，授意其公司員工將境外公司合作的GSM網(wǎng)絡手機基站定位技術(shù)通過開發(fā)系統(tǒng)對接平臺，為國內(nèi)客戶提供手機基站定位服務。在此過程中，肖成江等人為規(guī)避法律，通過關聯(lián)企業(yè)成浩公司與多家無信息安全資質(zhì)公司簽訂購銷個人信息合同。雖然合同以提供云平臺服務為掩飾，但實質(zhì)是買賣公民手機定位信息。最終，導致公民個人手機定位信息被惡意獲取，肖成江等人非法獲利70萬余元。

該案有一定的特殊性。因為肖成江等人所在某英公司具有一定的特殊業(yè)務范圍，肖成江等人掌握了收集公民個人定位信息的潛在功能，雖然這一功能尚未得到法律許可，但肖成江為了獲取不法利益，利用了特殊的合法身份打起了擦邊球，在互聯(lián)網(wǎng)“云”端搭建了一個非法的服務器，并利用這個服務器惡意獲取公民個人的手機定位信息。

要知道，公民個人的手機定位信息屬于最隱秘的信息。根據(jù)法律規(guī)定，非因法律允許任何人不得獲取。偵查機關也只有在法律規(guī)定的范圍內(nèi)、在得到法律允許的前提下合法獲取。因此，肖成江等人在明知對方公司不具備合法資質(zhì)的情況下，借下游關聯(lián)企業(yè)的名義與此類公司簽署合同，非法獲取、出售公民手機定位信息，其犯罪手法具有較強的隱蔽性和偽裝性。

犯罪主體新：國家工作人員、金融高管、黑客內(nèi)外勾結(jié)

值得注意的是，“內(nèi)部人”作案成為公民個人信息泄露的重要原因。從打擊情況看，目前造成危害最大的主要是銀行、教育、工商、電信、快遞、證券、電商各個行業(yè)的人員，內(nèi)部人員把數(shù)據(jù)泄露出來，成為侵犯公民個人信息的主體。

在浦東新區(qū)檢察院院辦理的楊子蔚侵犯公民個人信息案中，楊子蔚利用其擔任某銀行上海浦東支行業(yè)務部經(jīng)理的職務便利，盜取并出售銀行客戶征信記錄信息10000余條，非法獲利人民幣37萬余元。 又如楊力洪、肖宏成侵犯公民信息案中，楊力洪以牟利為目的，采用黑客軟件攻擊上海市事業(yè)單位考試報名網(wǎng)站，非法獲取考生個人信息4萬條，并將上述信息販賣給肖宏成，導致大量報考上海事業(yè)單位人員名單外泄。

隨著互聯(lián)網(wǎng)技術(shù)的日益發(fā)展，泄露個人信息的機構(gòu)呈多樣化態(tài)勢，承載公民個人信息的政府部門或企事業(yè)單位重要信息系統(tǒng)成為泄露公民個人信息的主要渠道。同時，金融機構(gòu)的高層管理人員非法竊取、倒賣公民個人信息，導致侵犯公民個人信息的產(chǎn)業(yè)鏈已向一些金融部門管理層延伸。

被侵害主體新：電商平臺和政府網(wǎng)站成為最大漏洞

“大數(shù)據(jù)”時代造就了許多商業(yè)神話，也讓數(shù)據(jù)成為占領市場的最強利器。因此，具有市場主導和支配地位的商業(yè)或者服務機構(gòu)的工作人員成為侵犯公民個人信息犯罪的重要主體。一些知名的大型電子商務企業(yè)，如淘寶、京東、一號店等平臺，擁有巨大的包括客戶信息在內(nèi)的“大數(shù)據(jù)”庫。假如，這些企業(yè)的內(nèi)部員工利用電商平臺監(jiān)管漏洞將客戶信息提供給其他公司用作商業(yè)推廣，那么“大數(shù)據(jù)”就將成為侵犯公民個人信息的重災區(qū)，繼而引發(fā)“蝴蝶效應”。endprint

如浦東新區(qū)檢察院辦理的繆長偉等四人侵犯公民個人信息案?？娂覀r任一家大型電子商務平臺技術(shù)部工程師，經(jīng)與同案犯彭仁湃等人合謀后，非法將該電子商務平臺配置服務器的IP地址、端口以及數(shù)據(jù)庫的賬戶密碼提供給其他電子商務公司，使得其他公司竊取該電子商務平臺的客戶訂單信息395萬余條。

對此，《網(wǎng)絡安全法》第四十條明確規(guī)定：“網(wǎng)絡運營者應當對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度?！薄督忉尅愤M一步規(guī)定：“網(wǎng)絡服務提供者拒不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡安全管理義務，經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，致使用戶的公民個人信息泄露，造成嚴重后果的，應當依照刑法第二百八十六條之一的規(guī)定，以拒不履行信息網(wǎng)絡安全管理義務罪定罪處罰?！?/p>

除此之外，值得注意的是，眾多政務網(wǎng)站存在著大量的公民信息，這也成為不法分子“垂涎三尺”之地。在大部分侵犯公民個人信息案件中，“黑客”等網(wǎng)絡技術(shù)人員成為侵犯公民個人信息犯罪的一般主體。通常，“黑客”會利用其掌握的“高科技”技術(shù)非法入侵郵政、教育、醫(yī)療、航空等部門管理系統(tǒng)網(wǎng)站，竊取、販賣公民個人信息。

在浦東新區(qū)檢察院辦理的陳明生等人入侵上海私車額度拍賣系統(tǒng)的案子中，“黑客”陳明生就是利用了拍賣系統(tǒng)中的漏洞，利用計算機技術(shù)，擅自入侵拍賣系統(tǒng)，更改拍賣系統(tǒng)的相關數(shù)據(jù)，導致拍賣系統(tǒng)大量的數(shù)據(jù)泄露、系統(tǒng)癱瘓，影響了上海私車額度拍賣的正常進行。由于陳明生的行為很快被系統(tǒng)監(jiān)控發(fā)現(xiàn)，繼而避免了涉密的拍賣系統(tǒng)數(shù)據(jù)的大量泄露。但正因如此，上海私車額度拍賣系統(tǒng)重新更換了服務器，并對此進行及時更新，消除相關漏洞，杜絕“黑客”的再次侵入。

【后記】

由于我國目前尚未制定出臺個人信息保護法，因而如何確定個人信息的概念和范圍，是一個重要問題。公民個人信息，是指公民個人不愿為一般普通社會公眾所知，并對公民個人有保護價值的信息。在刑法語境里，非法獲取公民個人信息意指侵犯了公民的隱私權(quán)，即自然人享有的私人生活安寧與私人信息不被他人非法知悉、搜集、利用和公開的一項人格權(quán)。

《解釋》第一條用列舉的方式對“公民個人信息”的涵義作出明確界定：“刑法第二百五十三條之一規(guī)定的‘公民個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。”

同時，刑法修正案（九）將刑法修正案（七）所規(guī)定的“出售、非法提供公民個人信息”中的“非法”予以刪除，這既是一種立法應然的理性價值取向，同時也是一種立法應然的規(guī)范取向。事實上，“出售、提供、獲取”行為本身即侵犯了公民的個人隱私權(quán)，這種行為無論從何種角度來說，都是違背公民之主觀愿望而“非法”的。由此，“出售、提供、獲取”之“非法”并非指出售、提供、獲取手段或者方法行為的性質(zhì)，而是指行為人的出售、提供、獲取行為在本質(zhì)上就是非法的。不能單純以獲取、出售、提供行為違背法律禁止性規(guī)定予以認定，即行為人只要沒有出售、提供、獲取公民個人信息的法律依據(jù)或者資格，也沒有得到公民個人的許可，就可能構(gòu)成犯罪。

對于“出售、提供、獲取”的方式，目前理論界和實務界關注不多。但無論以何種方式出售、提供、獲取公民個人信息，只要其超越了公民個人相應授權(quán)和許可，即沒有出售、提供、獲取資格或者根據(jù)的人，以竊取或者其他方法出售、提供公共服務提供者在服務過程中收集或者發(fā)布公民個人信息的，即可認定為“非法”。endprint