李艷霞

《刑法修正案（九）》第十七條規(guī)定：將刑法第二百五十三條之一修改為：“違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。”根據(jù)這一關(guān)于侵犯公民個人信息罪的規(guī)定，“情節(jié)嚴(yán)重”是構(gòu)成本罪的重要成罪要件。即若某人侵害他人個人信息，達到情節(jié)嚴(yán)重的程度才構(gòu)成犯罪，但該修改并未闡釋“情節(jié)嚴(yán)重”的判斷標(biāo)準(zhǔn)，這一模糊性給刑事司法實踐帶來了困難，阻礙了有效防范侵犯公民個人信息的犯罪。為保障刑法的準(zhǔn)確、統(tǒng)一適用，2017年5月9日，最高人民法院、最高人民檢察院《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡作《解釋》）正式出臺，并于2017年6月1日與《網(wǎng)絡(luò)安全法》共同正式實施?！督忉尅访鞔_了侵犯公民個人信息罪“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)，第五條第一款設(shè)十項將“情節(jié)嚴(yán)重”予以詳細解釋，有利于司法實踐的正確適用?！督忉尅肥状螌Α敖】瞪硇畔ⅰ庇枰粤嗣鞔_保護，但對其類型和數(shù)量方面“情節(jié)嚴(yán)重”的認(rèn)定堪憂，有礙侵犯個人健康生理信息犯罪的司法認(rèn)定，不利于保護作為個人信息重要組成部分的個人健康生理信息。

一、《解釋》對侵犯個人健康生理信息犯罪中“情節(jié)嚴(yán)重”類型數(shù)量界定的缺陷

關(guān)于“個人信息”的概念，我國學(xué)界至今尚存在較大爭議。理論界關(guān)于個人信息的不同界定，主要源于其對個人信息內(nèi)涵的核心要素理解不同，當(dāng)前具有代表性的觀點可以分為三種類型——關(guān)聯(lián)型定義、隱私型定義、識別型定義，其中識別型定義是其主要觀點。由我國社會科學(xué)院法學(xué)所周漢華主持編寫的《中華人民共和國個人信息保護法（專家建議稿）》第九條，采用了識別型定義的方式；我國《網(wǎng)絡(luò)安全法》亦采用了這一觀點，其第七十六條規(guī)定：“個人信息”，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。中國人民大學(xué)王利明教授的觀點具有代表性，其認(rèn)為個人信息是與特定個人相關(guān)聯(lián)的、反映個體特征的具有可識別性的符號系統(tǒng)，包括個人身份、工作、家庭、財產(chǎn)、健康等各方面的信息。[1]

“健康生理信息”是指反映生物機體的生命活動和各個器官機能的信息，是可用以判定特定主體的信息，個人健康醫(yī)療信息是其重要內(nèi)容。“個人健康醫(yī)療信息”指在醫(yī)療衛(wèi)生活動中所涉及的患者個人的生理健康狀況、基因圖譜及遺傳病史等諸多信息。隨著醫(yī)學(xué)和社會的不斷發(fā)展，個人健康醫(yī)療信息的外延不斷變化，域外許多國家和地區(qū)的法律法規(guī)都對“個人健康醫(yī)療信息”采用了廣義的界定。美國1996年經(jīng)國會參議院和眾議院通過并由克林頓政府發(fā)布的《健康保險流通與責(zé)任法案》（以下簡稱“HIPAA法案”）中明確規(guī)定，醫(yī)療信息是經(jīng)由醫(yī)療機構(gòu)、公共健康機構(gòu)、保險人、學(xué)?；蜥t(yī)療信息交換中心所創(chuàng)造或取得的，無論以口頭或以任何其他形式、媒介記錄的信息。[2]美國對個人醫(yī)療信息隱私的保護最全面，其在個人健康信息的法律保護方面樹立了可操作的先例。[3]總之，個人健康生理信息具有個人信息的共性特征——識別性，可以直接或間接反映出信息主體的個人識別性特征。在當(dāng)前的科技狀況下，指紋、基因圖譜、視網(wǎng)膜、聲音等都是獨一無二的個人信息，掌握這些單一的個人健康生理信息，即可以在狹小范圍內(nèi)識別具體個人，可見，較之于身份信息、工作信息、家庭信息、財產(chǎn)信息等類別，個人健康生理信息的識別性更強。所以，對個人健康生理信息的保護要強于一般信息。走在立法前列的HIPAA法案的Privacy Rule部分[4]，以及2012年1月由歐盟發(fā)布的《個人數(shù)據(jù)保護指令修正案》，都將患者的個人健康醫(yī)療信息作為敏感信息加強保護。筆者認(rèn)為，我國也應(yīng)對個人健康生理信息設(shè)置嚴(yán)密的保護?！督忉尅返谝粭l規(guī)定：刑法第二百五十三條之一所規(guī)定的“公民個人信息”，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。可見，其把反映特定自然人活動情況的信息如行蹤軌跡等，明確納入“個人信息”的范疇，但卻缺乏對個人健康信息的關(guān)注。

關(guān)于侵犯個人健康生理信息的“情節(jié)嚴(yán)重”，《解釋》第五條第一款第四項規(guī)定，非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的，屬于“情節(jié)嚴(yán)重”，但這一對侵犯個人健康生理信息犯罪“情節(jié)嚴(yán)重”的信息類型和數(shù)量的界定存在缺陷：一方面，個人健康生理信息中一部分與個人隱私密切相關(guān)，如患有某種疾病、流產(chǎn)記錄、艾滋病、乙型肝炎、精神病等，皆涉及個人最隱秘的隱私信息，具有很強的敏感性。此類信息如果被公開泄漏，將對個人的社會生活產(chǎn)生負面影響，影響職業(yè)前景或?qū)е戮蜆I(yè)歧視等，如社會生活中較為嚴(yán)重的艾滋病歧視現(xiàn)象——艾滋病病毒感染者等個人健康生理信息的泄露，將給其帶來嚴(yán)重的來自社會、生活等各方面的不良影響，造成嚴(yán)重的歧視現(xiàn)象。而普通的個人健康生理信息，如身高、體重、血型，對其非法獲取、出售等所造成的后果，與非法獲取、出售與隱私權(quán)直接相關(guān)的個人健康生理信息的后果截然不同，泄露這兩種醫(yī)療信息對信息主體的意義大不相同，因而《解釋》第五條第一款第四項對個人健康生理信息并未區(qū)分類型是有待商榷的。另一方面，鑒于不同種類的個人健康生理信息對個人影響不同，非法獲取、出售或提供不同種類的個人健康生理信息“情節(jié)嚴(yán)重”的界定亦不應(yīng)相同，但是《解釋》不分個人健康生理信息的種類，統(tǒng)一界定，以五百條以上作為“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)，應(yīng)當(dāng)進一步斟酌。

二、“情節(jié)嚴(yán)重”的信息隱私型分類闡釋

隨著科技的進步和社會的發(fā)展，信息、數(shù)據(jù)成為一種新的生產(chǎn)力，健康生理信息隨之成為一種社會資源、生產(chǎn)要素和社會財富，并衍生出商業(yè)價值，但同時也成為犯罪攻擊的重要目標(biāo)。根據(jù)美國衛(wèi)生與公民服務(wù)部統(tǒng)計：從2013至2015年，在影響超過500人次的醫(yī)療信息泄露事件中受影響的人數(shù)呈“爆發(fā)式”增長。2016年前三個月，美國已經(jīng)發(fā)生了51起泄露事件，牽扯人數(shù)達到347萬。[5]我國侵犯健康生理信息的犯罪亦不勝枚舉。通過對這些案件的梳理，發(fā)現(xiàn)侵犯個人健康生理信息犯罪的行為方式主要分為兩類：其一，對健康生理信息的非法泄露和公開、傳播；其二，對健康生理信息泄漏后的濫用行為。前者主要體現(xiàn)為與隱私權(quán)直接相關(guān)的個人健康生理信息，后者則為普通的健康生理信息。

普通的健康生理信息反映了個人生物機體的生命活動和各個器官的機能，與名譽或尊嚴(yán)本身并無直接關(guān)系，通常包含了患者的身體狀況、肌理特征等內(nèi)容，包括姓名、出生日期、身高、體重、血型、指紋、聲音等。隨著科學(xué)技術(shù)的發(fā)展和大數(shù)據(jù)時代的到來，一般的健康生理信息通過互聯(lián)網(wǎng)、移動通信技術(shù)等手段綜合辨析與核對相關(guān)個人信息后，可以識別出該特定個人身份的信息，對個人生活的介入程度不斷加深，不當(dāng)濫用不斷擾亂著人們的正常生產(chǎn)、生活，鑒此，法律層面的規(guī)制勢在必行。與隱私權(quán)直接相關(guān)的個人健康生理信息與個人的隱私、名譽、尊嚴(yán)直接關(guān)聯(lián)，與人身權(quán)密切相關(guān)，對其泄露將嚴(yán)重影響信息主體的家庭生活和社會生活。如患艾滋病、乙肝、精神病等健康生理信息與一般疾病的診療信息差異巨大，社會對前者往往持一種不歡迎甚至歧視的態(tài)度，民事、行政法律法規(guī)等規(guī)范性文件亦對艾滋病、乙肝等患者的權(quán)利規(guī)定了一定的限制，放大了社會歧視的消極效應(yīng)。如對患艾滋病隱私的泄漏將引發(fā)對艾滋病病毒感染者的歧視，而艾滋病歧視主要源于艾滋病往往被置于道德低下的層面而導(dǎo)致艾滋病病毒感染者被貶至污穢的境地；此歧視可以分為社會歧視和自我歧視兩方面，自我歧視是艾滋病病毒感染者的主要心理問題，而社會歧視則包括了對艾滋病病毒感染者的受教育權(quán)、勞動權(quán)、醫(yī)療權(quán)等多方面權(quán)利的剝奪。對此類健康生理信息，若按照一般的個人信息進行保護，難免有不周延之處，故應(yīng)當(dāng)從個人健康生理信息與公民個人隱私權(quán)關(guān)聯(lián)的強弱來劃定保護的不同程度，來闡釋“情節(jié)嚴(yán)重”；對與隱私權(quán)直接相關(guān)的個人健康生理信息，則應(yīng)當(dāng)加強刑法保護的力度，對其犯罪的成罪要件——“情節(jié)嚴(yán)重”，應(yīng)當(dāng)從嚴(yán)把握，對與隱私權(quán)關(guān)聯(lián)不大的普通個人健康生理信息犯罪的“情節(jié)嚴(yán)重”，則可以適度放寬。

三、“情節(jié)嚴(yán)重”的信息量化闡釋

《刑法修正案（七）》規(guī)定了“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”。《刑法修正案（九）》將其整合為“侵犯公民個人信息罪”，并對其修改完善、擴大犯罪主體、加重法定刑等。但由于“情節(jié)嚴(yán)重”這一成罪要件立法的模糊性，在信息類型、數(shù)量這一“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)中，一直以來司法實踐中多采用侵犯公民個人信息數(shù)量這一單一、客觀標(biāo)準(zhǔn)，這一傾向性從《解釋》第十一條中可見一斑；對侵犯個人健康生理信息犯罪的“情節(jié)嚴(yán)重”的司法認(rèn)定，亦是如此。

一般而言，侵犯個人健康生理信息數(shù)量越多，危害越大。針對中國裁判文書網(wǎng)中2013年-2016年間所涉及的侵犯公民個人信息類刑事案件的研究表明，侵犯個人信息的數(shù)量驚人，其中非法處置公民個人信息在5000條以上的占七成，平均涉及個人信息70.2萬條，最高涉及個人信息65億條（刪除重復(fù)數(shù)據(jù)后，為3.4億余條）；近四分之一的案件涉及數(shù)罪，其中約有51.2%案件中的個人信息被用于出售牟利，28.6%案件中的個人信息被用于詐騙、信用卡盜刷、偽造證件等違法犯罪活動。[6]可見，當(dāng)前侵犯個人信息犯罪處于高發(fā)態(tài)勢，侵犯個人健康生理信息犯罪亦然。對健康生理信息非法獲取、出售或提供的數(shù)量越多，越有可能引發(fā)電信詐騙、敲詐勒索、綁架等下游犯罪，而且，這一危害在大數(shù)據(jù)運用的當(dāng)下呈指數(shù)級擴散。計算機網(wǎng)絡(luò)的廣泛普及以及電子病歷的普遍應(yīng)用，使得個人健康生理信息傳輸更加便捷、高效，亦使得侵犯他人健康生理信息的犯罪成本更加便宜，這從經(jīng)濟分析角度而言屬于成本低而獲益大。當(dāng)越來越多旳個人健康生理信息暴露于公眾面前，則個人健康生理信息侵權(quán)、犯罪行為會頻頻發(fā)生，司法實踐也不斷證明這一點。

司法實踐表明，在對涉及信息類型、數(shù)量的“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)中，司法實踐所慣常采用的，是僅以數(shù)量為認(rèn)定“情節(jié)嚴(yán)重”的標(biāo)準(zhǔn)，難以體現(xiàn)個案中個人信息權(quán)被侵犯的嚴(yán)重程度，導(dǎo)致出現(xiàn)標(biāo)準(zhǔn)不一、出入罪不合理的情況，亦有放縱犯罪的傾向，這從我國打擊侵犯公民個人信息犯罪的實踐中可管中窺豹。《刑法修正案（七）》施行后，在2009年2月至2015年10月六年多時間里，全國法院共審結(jié)出售、非法提供公民個人信息、非法獲取公民個人信息刑事案件969起，生效判決人數(shù)1415人?！缎谭ㄐ拚福ň牛肥┬泻螅?015年11月至2016年12月一年間，全國法院審理侵犯公民個人信息刑事案件495件，審結(jié)464件，生效判決人數(shù)697人。[7]但這些顯著增長的數(shù)量，較之于現(xiàn)實中實際發(fā)生的個人信息受侵犯事件、侵犯公民個人信息的巨大犯罪數(shù)，仍反映了我國個人信息刑事保護的薄弱；侵犯個人健康生理信息犯罪亦是如此。司法實踐的困境反應(yīng)了立法的缺陷。《解釋》在第五條第一款第三、四、五項中雖對實踐中單一的數(shù)量判斷標(biāo)準(zhǔn)的“情節(jié)嚴(yán)重”予以修正，增加了信息類型這一變量，如非法處置個人財產(chǎn)信息50條以上的、健康生理信息500條以上的即可認(rèn)定“情節(jié)嚴(yán)重”，但正如本文第一部分所言，個人健康生理信息“情節(jié)嚴(yán)重”的類型數(shù)量標(biāo)準(zhǔn)卻仍有不足。

四、侵犯個人健康生理信息犯罪中的“情節(jié)嚴(yán)重”類型數(shù)量厘定

“情節(jié)嚴(yán)重”的認(rèn)定對于判斷侵犯個人健康生理信息的犯罪而言至關(guān)重要。應(yīng)當(dāng)明確，侵犯個人健康生理信息犯罪“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)，應(yīng)當(dāng)基于“隱私型”分類和信息數(shù)量的雙重考慮，根據(jù)不同的“隱私型”個人健康生理信息分別采用不同的“情節(jié)嚴(yán)重”標(biāo)準(zhǔn)。

一方面，對于與隱私權(quán)直接相關(guān)的個人健康生理信息，需要嚴(yán)格保密，禁止非法刺探、搜集、傳播和濫用，防止泄露和公開、傳播；而一旦非法泄露直接侵犯了公民的隱私權(quán)等人身權(quán)利，即構(gòu)成“情節(jié)嚴(yán)重”，當(dāng)以犯罪論處，以刑法規(guī)制。2016年艾滋病患者的信息集體遭泄露事件，反映了泄露事關(guān)隱私的個人健康生理信息的嚴(yán)重危害性，這一事件對相關(guān)艾滋病患者及其家庭造成巨大的身心和財產(chǎn)危害。[8]雖然中國疾病預(yù)防控制中心相關(guān)負責(zé)人于2016年7月17日有表示，國家艾滋病感染者相關(guān)信息系統(tǒng)被列為國家網(wǎng)絡(luò)信息重點安全保護對象，[9]但卻竟遭到大范圍泄露；且雖然這個案件早已報案，并已立案，但至今網(wǎng)上仍然查不到該刑事案件的任何進展情況。數(shù)據(jù)表明，我國的健康醫(yī)療數(shù)據(jù)安全保障堪憂，行業(yè)整體安全態(tài)勢嚴(yán)峻。醫(yī)療行業(yè)2015年信息安全投入不足6億元人民幣，在整體信息化建設(shè)資金中占比不足2%；醫(yī)療行業(yè)專業(yè)信息安全人員嚴(yán)重缺失。另外，我國醫(yī)藥衛(wèi)生機構(gòu)總數(shù)龐大，以藥品方面為例，我國有6000多家化學(xué)制藥企業(yè)，而美國僅200余家；我國有17000多家藥品經(jīng)營流通企業(yè)，而美國僅50余家。[10]龐雜的醫(yī)療行業(yè)增加了構(gòu)建安全的健康生理信息網(wǎng)絡(luò)的難度。無獨有偶，2015年被美國稱之為“醫(yī)療信息安全爆發(fā)之年”。近幾年來，醫(yī)療信息泄露所影響的人數(shù)呈現(xiàn)出“爆發(fā)式”增長，醫(yī)療信息安全成為被關(guān)注的焦點。在美國，黑客利用醫(yī)療信息安防漏洞獲利已成為一條穩(wěn)定的“生財之道”，其利用泄露的信息直接“變現(xiàn)”。在黑市上，個人醫(yī)療信息的價值是信用卡信息價值的50倍，因為它里面包括了患者的財務(wù)信息和健康信息等多種敏感數(shù)據(jù)，[11]不法分子能夠利用這些信息進行詐騙、勒索等?？紤]到泄露某些醫(yī)療信息的巨大危害性，美國等國規(guī)定了較為嚴(yán)格的保護隱私權(quán)的刑事規(guī)定。鑒于醫(yī)療信息的重要性以及我國醫(yī)療行業(yè)信息所存在的巨大的安全隱患，強化刑法懲治力度勢在必行。

另一方面，對于普通的個人健康生理信息，與名譽或尊嚴(yán)本身并無直接關(guān)聯(lián)，公開之并不會造成名譽或尊嚴(yán)的損害，對信息主體所造成損害的是后續(xù)的濫用行為，所以立法規(guī)制的重心在于防止濫用，應(yīng)當(dāng)嚴(yán)格控制濫用的信息數(shù)量。根據(jù)學(xué)者對中國裁判文書網(wǎng)2013年-2016年間涉及侵犯公民個人信息類刑事案件研究，發(fā)現(xiàn)合法取得個人信息后予以非法利用是最為常見的犯罪類型；[12]在醫(yī)療行業(yè)，其主要表現(xiàn)為醫(yī)療衛(wèi)生機構(gòu)、醫(yī)療保險機構(gòu)、疾控部門等將合法取得的公民個人健康生理信息泄露、出賣。在信息時代，醫(yī)療信息的商業(yè)價值和戰(zhàn)略地位越發(fā)凸顯。由于個人健康生理信息中包含敏感的個人信息，故可以在特定的情況下參與交易、成為市場流通中的一種商品。[13]隨著信息技術(shù)的發(fā)展和電子病歷的廣泛運用，個人健康生理信息被大量存儲，許多不法商家利用技術(shù)手段竊取有用的醫(yī)療信息，并對這些信息進行批量處理、銷售等。這種信息泄露在母嬰安全方面顯得尤為突出；近幾年來，母嬰信息成為“重災(zāi)區(qū)”，各種銷售奶粉、參加補習(xí)班的商家層出不窮，各種推銷電話紛至沓來，對信息主體及家屬造成了嚴(yán)重的精神損害。如2011年底深圳發(fā)生的重大母嬰信息泄露案件，被告人處所儲存的母嬰信息竟有15萬多條，幾乎包括了該市主要醫(yī)院近年來出生嬰兒的信息，且孩子的出生醫(yī)院、血型、體重、父母聯(lián)系電話等個人健康生理信息與事實完全吻合，[14]其數(shù)量之大，影響之重，不得不引起我們的高度重視。實踐證明，泄露、販賣公民個人醫(yī)療信息的黑色產(chǎn)業(yè)鏈正日益形成，并逐漸壯大，導(dǎo)致公民個人信息被頻繁泄露。因此，防止個人醫(yī)療信息的不當(dāng)濫用，保護信息安全至關(guān)重要。

侵犯個人健康生理信息犯罪應(yīng)當(dāng)通過“侵犯公民個人信息罪”予以規(guī)制?？紤]到當(dāng)前我國國情和修改完善的可行性，侵犯個人健康生理信息犯罪中的“情節(jié)嚴(yán)重”，應(yīng)當(dāng)根據(jù)“是否與隱私權(quán)直接相關(guān)”分別采用不同的成罪標(biāo)準(zhǔn)；通過再次修訂司法解釋的方式，提高部分“非法獲取、出售或者提供健康生理信息”的“情節(jié)嚴(yán)重”的成罪標(biāo)準(zhǔn)。其具體修改完善構(gòu)想如下：

在《解釋》第一條關(guān)于“公民個人信息”界定中增加“個人健康狀況”。

修改第五條第三項、第四項為：

“（三）非法獲取、出售或者提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息或與隱私權(quán)直接相關(guān)的健康生理信息五十條以上的；

（四）非法獲取、出售或者提供住宿信息、通信記錄、普通健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的。”