摘要：刑法對公民個人信息犯罪，經(jīng)歷了立法層面的間接保護到直接保護的模式轉變，以及司法層面的個案探索與規(guī)范解釋的交替進行的演變軌跡。其基本思路是規(guī)制場景的單一化與公民個人信息內(nèi)涵的擴張。但這種類比隱私權的保護模式已不適應數(shù)據(jù)開放共享的時代要求以及信息不當濫用的泛化趨勢，技術進步也使可識別性標準面臨虛化危機。應當在侵犯公民個人信息罪的行為類型構造、規(guī)范射程等多方面進行調(diào)整，將犯罪的規(guī)制鏈條向全場景延伸。并引入優(yōu)越利益原則，將其作為社會公共事件等緊急事態(tài)下個人信息開放的正當化免責機制。

關鍵詞：公民個人信息;開放共享;自主控制;利益平衡

中圖分類號：D922.7 ? ?文獻標志碼：A ? ?文章編號：1001-862X（2020）03-0114-009

一、問題的提出

在信息化時代，海量的電子化數(shù)據(jù)每天不斷在網(wǎng)上生成、存儲、轉移與被利用，數(shù)據(jù)的規(guī)模呈幾何指數(shù)增長。據(jù)國際信息技術咨詢企業(yè)國際數(shù)據(jù)公司（IDC）的報告，2020年全球數(shù)據(jù)存儲量將達到44ZB，到2030年將達到2500ZB。[1]同時，得益于數(shù)據(jù)處理技術的進步，各類集合性數(shù)據(jù)、結構化數(shù)據(jù)和非結構化數(shù)據(jù)，成為商業(yè)機構追捧的熱點?！皞€人數(shù)據(jù)是新型石油，也是21世紀最具價值的石油。”[2]數(shù)據(jù)管理不但是企業(yè)競爭力的核心指標之一，對提升國家社會治理和公共服務能力也有直接的價值和意義。在2020年的“新冠肺炎”疫情期間，一些互聯(lián)網(wǎng)公司運用自己的數(shù)據(jù)分析能力，在傳染人員篩查、傳播路徑跟蹤、疫情發(fā)展模型、風險預警等方面為政府決策提供了大量數(shù)據(jù)支撐，為控制疫情作出了突出貢獻。與此同時，疫情期間發(fā)生了大量的侵犯公民個人信息的行為也給我們提出了一個尖銳的話題：在發(fā)生國家重大突發(fā)公共事件或者其他緊急事態(tài)時，如何實現(xiàn)社會利益與個人利益的平衡？

如果拋開重大公共事件這樣特殊的歷史時期，而轉入常態(tài)化視角，我們依然會發(fā)現(xiàn)，對公民個人信息的侵犯不但在數(shù)量與規(guī)模上呈現(xiàn)激增態(tài)勢，伴隨著技術場景的多元化，侵犯公民個人信息的行為樣態(tài)上也出現(xiàn)明顯的復雜化趨勢。除了電話營銷、精準詐騙這類傳統(tǒng)的滋擾與侵害行為，如針對個人的數(shù)據(jù)畫像、價格歧視、深度偽造、強制推送等等層出不窮，大有要將個人信息附著的最后一點油水榨干吃凈的意味。近年來，民法、刑法、行政法等領域出臺了各類保護公民個人信息的法律規(guī)范，意圖形成部門間合力，但是至少在刑法領域，不但沒有遏制住傳統(tǒng)的信息不法流轉型的犯罪行為，對于更新型的信息濫用型的犯罪更是束手無策。

公民個人信息刑法保護的現(xiàn)實困境不僅來自于罪刑規(guī)范的缺陷與不足，更深層次的原因在于大數(shù)據(jù)時代下刑法規(guī)制個人信息犯罪的基本立場和價值取向是什么？基于個人信息對數(shù)字經(jīng)濟、政務輔助決策的巨大作用，個人信息不再是排他性權利的承載者，而是一種特定公開、多元共享的可識別的信息形式。在保障個人信息中的個體人格利益的同時，又要給社會以信息利用的充分空間，實現(xiàn)社會公共利益與個體利益的平衡。

二、公民個人信息保護的刑法軌跡演變

整體來看，刑法對公民個人信息的保護策略或許可以滿足傳統(tǒng)互聯(lián)網(wǎng)時代的規(guī)制需求，但是與人工智能、大數(shù)據(jù)時代需求相去甚遠。

（一）立法層面：從間接保護到直接保護的模式轉換

自1997年刑法以來，刑法對公民個人信息的保護，在保護模式上經(jīng)歷了從間接保護到直接保護的轉變，在保護范圍上經(jīng)歷了從單一內(nèi)容保護到多元復合保護的轉變。刑法保護策略的轉變，是與公民個人信息法益內(nèi)容的不斷更新密不可分的。

1.1997年刑法：基于“身份盜竊”的個人信息間接保護模式

1997年刑法對公民個人信息的保護是一種基于身份盜竊的間接保護模式?！八^身份盜竊，是指利用竊取他人身份所實施的危害他人人身、財產(chǎn)安全的行為?！盵3]例如冒用他人身份上大學等。1997年刑法涉及身份盜竊的規(guī)定有第196條信用卡詐騙罪中的“冒用他人的信用卡的”，這顯然侵犯了他人對個體信息的專屬使用權。此外還包括刑法第224條合同詐騙罪中的“冒用他人名義簽訂合同的”等情形。不過，1997年刑法相關罪名在法益類型和具體對象上都有各自指向性，并非對個體法益的專屬保護，更不是專門保護個人信息，個人信息附著于物理介質上，刑法實際保護的是信息載體而非信息本身。身份盜竊是公民個人信息的間接保護模式，而1997年刑法對身份盜竊也是一種間接保護思路，其時公民個人信息還處于非常邊緣化的境地。

2.《刑法修正案（五）》：從信用卡犯罪切入的直接保護模式

2005年《刑法修正案（五）》增設的刑法第177條之一妨害信用卡管理罪和竊取、收買、非法提供信用卡信息罪，表明在信用卡犯罪體系中，基本實現(xiàn)了對身份信息犯罪的獨立規(guī)制。立法將信用卡犯罪的早期鏈條從信用卡犯罪中獨立出去，“體現(xiàn)了從財產(chǎn)利益保護到信用工具制度保護再到卡身份信息的保護過程”[4]。也就是說，僅僅是侵犯他人信用卡信息資料的，就可以獨立構罪，而不再依賴于下游的信用卡犯罪。兩個罪的立法價值在于：立法開始重視個人信息的獨立保護價值，這是直接保護模式的開端。

3.《刑法修正案（七）》和《刑法修正案（九）》：專門處罰條款的正式確立與完善

隨著智能互聯(lián)網(wǎng)時代的到來，數(shù)據(jù)的價值得到充分認可，社會商業(yè)主體對他人信息有著旺盛的需求，信息犯罪的危害已經(jīng)由過去的某個點（信用卡信息）向整個面（全方位的個人信息）鋪開，另外，信息犯罪也開始脫離身份盜竊，向身份盜竊的上游演進，因而有必要確立關于侵犯公民個人信息的專門處罰條款或罪名?！缎谭ㄐ拚福ㄆ撸返?條增設了刑法第253條之一的出售、非法提供公民個人信息罪與非法獲取公民個人信息罪?！缎谭ㄐ拚福ň牛穼蓚€罪進行合并，擴充了犯罪主體，整合為侵犯公民個人信息罪，形成了目前的罪刑格局。

（二）司法層面：個案探索與規(guī)范解釋的交替進行

行為類型的構造是由刑事立法實現(xiàn)的，但是“公民個人信息”的內(nèi)涵探索，則是由司法完成的，2017年“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）的出臺標志著上述探索的階段化成果。

1.刑法司法解釋：“身份認證信息”的確認

2011年“兩高”《關于辦理危害計算機信息系統(tǒng)安全刑事案件應用法律若干問題的解釋》引入了“身份認證信息”的概念，該解釋第11條“身份認證信息”是指用于確認用戶在計算機信息系統(tǒng)上操作權限的數(shù)據(jù)，包括賬號、口令、密碼、數(shù)字證書等。該司法解釋雖然針對的是非法獲取計算機信息系統(tǒng)數(shù)據(jù)、非法控制計算機信息系統(tǒng)罪等，但是由于身份認證信息是可以達到個人信息的“身份可識別性”標準的，它無形中擴展了“公民個人信息”的內(nèi)涵。

2.刑法個案解釋：“推定身份信息”的引入

司法實踐對“公民個人信息”的外延也進行了積極探索。以《刑事審判參考》“謝某出售公民個人信息案”（1）和“胡某等非法獲取公民個人信息案”（2）為例。在“謝某出售公民個人信息案”中，法院認為一旦公民的方位被他人知悉，相當于公民的活動就暴露在他人面前，因而公民所處位置就具有隱私性，對公民手機進行定位屬于侵犯公民隱私的行為。[5]法院基于信息的隱私屬性而將其認定為公民個人信息，體現(xiàn)了早期司法機關對公民個人信息屬性的認識。而在“胡某等非法獲取公民個人信息案”中，法院認為，“被告人獲取的被害人的日常行動軌跡和活動地點等信息，具有個人專屬性，能反映出該公民某些個人特征，且信息內(nèi)容關系到公民日常生活的基本安全性，信息的泄露會使公民徹底失去安全感，嚴重影響其日常生活?！盵6]法院的裁判理由不再止步于信息的隱私性，而是從安全性和個人專屬性的角度出發(fā)論證個人信息保護的價值，是司法機關對個人信息價值認識的進一步深化。

手機定位信息和位置信息與公民其他信息相加，可以達到識別自然人個人身份的程度，屬于“推定身份信息”，可以被納入到公民個人信息的范疇中。司法個案的思維邏輯，在于承認推定身份信息作為公民個人信息范疇的價值。結合刑法典的規(guī)定，從1997年刑法修改至今，刑法中先后出現(xiàn)了“信用卡信息”“個人信息”“身份信息”“身份認證信息”“推定身份信息”“公民個人信息”等概念，刑法對公民個人信息內(nèi)涵的認識不斷豐富。

（三）公民個人信息保護的刑法軌跡的基本邏輯

從1997年刑法至今，刑法堅持了兩條腿走路的公民個人信息保護的演變路徑。一條路徑是，在行為類型構造上，將侵犯公民個人信息的行為限定在不法流轉這種單一場景中，無論是竊取、收買、非法提供信用卡信息還是出售、提供公民個人信息，立法高度關注個人對信息的自主可控性。盡管刑事立法從未涉及公民個人信息的權利性質之爭，但是其和隱私權強調(diào)隱私的可控性、私密性，以及防范隱私不當轉移的保護邏輯是內(nèi)在相通的。這種邏輯在網(wǎng)絡發(fā)展初期沒有任何問題，但是已不適應大數(shù)據(jù)時代有序流轉信息、充分利用信息、相對可控信息的要求了。特別是隨著信息主體與信息控制者的分離，要求嚴格限制信息流轉的做法不但在理論上不可行，在實踐中也已經(jīng)破產(chǎn)。例如，云計算平臺的開放性、動態(tài)性，個人信息存儲的泛云端化特性，已經(jīng)完美繞開了侵犯公民個人信息罪的“侵犯行為”。

公民個人信息刑法保護的第二條路徑是，通過擴展公民個人信息的范疇來擴大本罪的保護半徑。公民個人信息當仁不讓地成為整個刑法保護體系的關鍵詞，并吸引了刑事司法的絕大多數(shù)精力。刑事司法對公民個人信息犯罪的打擊，也主要聚焦于對公民個人信息的篩選和識別上，即對公民個人信息的“可識別性”的判斷上。本質上這仍然是基于點的擴張，而非保護鏈條的拉長。并且，隨著物聯(lián)網(wǎng)和智能穿戴設備的普及，對個人信息的搜集將更加高效和頻繁，預示著公民個人信息犯罪的危害性量級依然有較大的提升空間。借助大數(shù)據(jù)挖掘技術，多重來源的、碎片化的數(shù)據(jù)更易被拼接為完整的人體圖像，不同屬性和來源的數(shù)據(jù)更易被關聯(lián)與聚合。數(shù)據(jù)開放和共享的場景下，諸如對個人的價格歧視、深度偽造等新的個人信息濫用場景不斷涌現(xiàn)，已無法兼容現(xiàn)有的個人信息犯罪。

三、公民個人信息刑法保護的規(guī)范錯位與規(guī)制之失

侵犯公民個人信息罪的法益保護立場依然是傳統(tǒng)的隱私權保護路徑，盡管理論上試圖通過法益自決權、信息自決權、獨立信息權利等概念調(diào)適本罪與數(shù)據(jù)開放時代的共享需求之間的矛盾，但任何理論的詮釋都無法繞開基礎罪刑規(guī)范的制約。侵犯公民個人信息罪的兩個演變路徑目前都受到現(xiàn)實的極大挑戰(zhàn)。

（一）防范流轉型的犯罪模式無法適應數(shù)據(jù)濫用的犯罪場景

“《網(wǎng)絡安全法》確立的公民個人信息違法類型模式有五種，分別是非法收集、非法使用、非法出售、非法提供和非法獲取，然而侵犯公民個人信息罪的行為模式只有三種：非法出售、非法提供和非法獲取?！盵7]侵犯公民個人信息罪只打擊信息流轉環(huán)節(jié)，對信息濫用則缺乏必要的關注，因此它是防范流轉型的犯罪模式。數(shù)據(jù)的價值在于流動，數(shù)據(jù)是數(shù)字經(jīng)濟的基本燃料，為了搶占數(shù)據(jù)經(jīng)濟的產(chǎn)業(yè)高峰，世界各國高度重視數(shù)據(jù)開放共享工作。我國在2015年9月就發(fā)布了《促進大數(shù)據(jù)發(fā)展行動綱要》，提出“加快政府數(shù)據(jù)開放共享，推動資源整合，提升治理能力”。跨層級、跨地域、跨系統(tǒng)、跨部門的數(shù)據(jù)開放已成為大數(shù)據(jù)時代的發(fā)展導向。在新冠肺炎疫情期間，一些地方政府在本地大數(shù)據(jù)平臺持續(xù)發(fā)布疫情統(tǒng)計數(shù)據(jù)，包括確診病例的大致居住地域、活動軌跡等，這些顆粒度飽滿的數(shù)據(jù)集不但滿足了公眾的知情權利，也讓互聯(lián)網(wǎng)公司據(jù)此開發(fā)了眾多疫情查詢、防范的小程序，實現(xiàn)了政府、產(chǎn)業(yè)界與社會公眾的多方共贏。不過，開門迎客免不了混進來幾只蒼蠅，在信息巨大價值的誘惑下，公民個人信息的不法流轉依然猖獗，而信息不當濫用行為更是大有“青出于藍”的勢頭。

1.過度授權、強制授權等完美繞開了信息流轉的知情同意原則。侵犯公民個人信息罪規(guī)定了“違反國家有關規(guī)定”的構成要件要素，國家有關規(guī)定是本罪的違法性根據(jù)。[8]這也決定了本罪作為法定犯的定位。依照《網(wǎng)絡安全法》第41條的規(guī)定，公民個人信息的流轉遵循“知情同意”原則，這也是包括歐盟《通用數(shù)據(jù)保護條例》（GDPR）在內(nèi)的許多國家關于公民個人信息流轉的共同規(guī)范。個人信息流轉的另一個合法性依據(jù)是國家的強制性規(guī)定，例如《刑事訴訟法》第108條規(guī)定：“任何單位和個人發(fā)現(xiàn)有犯罪事實或者犯罪嫌疑人，有權利也有義務向公安機關、人民檢察院或者人民法院報案或者舉報?！钡窃趯嵺`中，“知情同意”原則逐步走入虛置甚至名存實亡。隨處可見的APP過度索權和過度讀取用戶信息，用戶面臨著“用隱私換便利”或者不接受服務的兩難選擇。大型網(wǎng)絡服務商在采集個人信息時可能會使用彈性條款和概括性授權的方式，用戶在壟斷性網(wǎng)絡服務面前的可選擇權非常有限。[9]

2.在現(xiàn)代信息場景下，濫用個人信息已不必然以非法獲取他人信息為前置條件。例如，深度偽造是依托人工智能發(fā)展起來的一項新技術，行為本質是對個人生物識別信息的濫用。合適的算法加上充足的個人生物識別信息，就能完美創(chuàng)造出以假亂真的視頻和聲音來。而網(wǎng)絡上也從來不缺乏公眾人物的各類視頻和圖像信息的。在“張富等人侵犯公民個人信息案”中，張富等人從網(wǎng)絡下載近2000萬條公民個人信息，利用軟件將公民頭像制作成公民3D頭像，通過支付寶人臉識別認證，再利用上述公民個人信息注冊支付寶賬戶，從而獲得相應的紅包獎勵。（3）法院或許認為虛假注冊賬戶的行為不好評價，而認定張富等人構成侵犯公民個人信息罪，但是實際上，張富等人掌握的公民個人信息是從網(wǎng)上公開獲得，并非侵犯公民個人信息罪的“侵犯行為”，其行為的不法性在于濫用這些信息。

3.不當濫用行為對公民個人信息的侵害不亞于非法流轉。在“可識別性”的共同特質下，公民個人信息內(nèi)部也有不同樣態(tài)的劃分。身份證號碼、家庭住址等信息具有高度的人身依附性，其產(chǎn)生由法律授予或者自然產(chǎn)生，而對于個人生活軌跡、購物習慣數(shù)據(jù)等，個人只是信息的參與創(chuàng)造者，在法理上不具有對這類數(shù)據(jù)的獨占權。歐盟雖然創(chuàng)造了可遺忘權、可攜帶權等概念，試圖在信息的多元化利用中平衡個體的利益，但是此舉又給網(wǎng)絡運營者增加了沉重的合規(guī)成本。海量的數(shù)據(jù)集合猶如一個巨大的金礦，如果沒有法律的約束，很難遏制住企業(yè)不當濫用信息的沖動。例如，堂而皇之地對個人進行數(shù)據(jù)畫像，搞價格歧視等，還美其名曰是正常營銷行為。實際上，這種信息的不當濫用還是很初級的階段。在美國，一款名為“按使用保險”（UBI）的大數(shù)據(jù)汽車保險正在迅速搶占市場。它的原理在于將用戶的駕駛數(shù)據(jù)引入風險評估模型，包括用戶的里程數(shù)、車況、周邊環(huán)境、急剎車次數(shù)、治安環(huán)境、是否開車接打電話等等所有可能想到的數(shù)據(jù)，然后據(jù)此給車主進行保險定價。一些人要么忍受極高的保費，要么不投保，這不僅給交通安全造成隱患，也架空了保險制度的功能，唯一得利的就是保險商。[10]

單純的信息非法流轉并不會直接侵害個人法益，而后續(xù)的不當濫用則將前端的非法流轉的不法性現(xiàn)實化，通過懲治不法流轉來遏制不當濫用，或可實現(xiàn)法律的規(guī)范目的，但是，隨著強制授權、過度授權以及合法獲取、不當利用現(xiàn)象的增多，制裁不法流轉已經(jīng)喪失了對不當利用的制約功能，獨立懲治不當濫用的必要性顯著升高。

（二）“公民個人信息”關鍵詞的展開及困境

公民個人信息是刑法保護體系的關鍵詞，在刑法對侵犯公民個人信息罪的行為類型構造相對固化之后，刑法司法解釋期冀擴張公民個人信息的概念來強化對公民個人信息的保護，只是，在現(xiàn)代信息技術條件下這種做法同樣困境重重。

1.公民個人信息的內(nèi)涵：技術對可識別性標準的沖擊

現(xiàn)代信息技術促進了數(shù)據(jù)價值的增長，卻也讓每個社會個體都可以被“數(shù)字化”，進入到信息技術包裹的巨大監(jiān)控之網(wǎng)中，戴維·布林所描述的“透明社會”越來越趨近于現(xiàn)實，而非僅僅停留在幻想中。個人信息的保護需求，源自技術進步帶來的對信息價值的認可，但是技術卻也在不斷消解個人信息保護的定型規(guī)范的內(nèi)核，使個人信息保護的規(guī)范目的越來越難以實現(xiàn)?！毒W(wǎng)絡安全法》確立的公民個人信息的直接識別和間接識別的標準被《解釋》所繼承（4），但是在現(xiàn)代信息技術的沖擊下，這兩個識別標準都面臨著巨大的危機。

首先看直接識別。識別的本意，是區(qū)分和辨認，通過識別，信息和個人之間建立直接的通道，進而兩者的形象完全等同和融合起來。因此識別還具有信息的篩選甄別功能，即將不具有識別性的信息從公民個人信息的范疇中排除出去。這樣做的意義，一方面強化對個人信息自決權以及背后所代表的個人的價值與人格尊嚴的保護，另一方面，則是為社會充分運用非個人信息的數(shù)據(jù)提供了法律空間，這部分數(shù)據(jù)，盡管也受到其他法律的約束，但是其保護的強度畢竟顯著弱于公民個人信息。然而，隨著數(shù)據(jù)挖掘包括人工智能深度學習技術的進步，原先不具有識別性的數(shù)據(jù)可能也具有了識別性。例如，地鐵、十字路口抓拍的個人面部圖像，原來只有治安的監(jiān)控功能和治安、刑事案件的證據(jù)法意義，而現(xiàn)在則基本實現(xiàn)了由場景監(jiān)控到人的監(jiān)控的轉變。但身份可識別信息（identifiable）與身份不可識別信息（non-identifiable）之間的界限已經(jīng)越來越模糊[11]，技術進步對法律的挑戰(zhàn)日趨明顯。

其次看間接識別。數(shù)據(jù)開放的先決條件是數(shù)據(jù)脫敏，即去除信息的可識別性，經(jīng)過處理后的數(shù)據(jù)無法被指引到特定的個人。2018年5月1日起實施的《信息安全技術個人信息安全規(guī)范》將其具體又分為去標識化和匿名化?！督忉尅返?條將“經(jīng)過處理無法識別特定個人且不能復原的”信息作為侵犯個人信息罪的出罪條件，為大數(shù)據(jù)的合理利用留下了合法空間。但是，在大數(shù)據(jù)環(huán)境下，任何所謂的“脫敏”“匿名”都是相對的。表面上已經(jīng)去除了可識別性的信息經(jīng)過大數(shù)據(jù)的挖掘尤其是與其他信息對比之后，依然可以重新建立對個人的數(shù)據(jù)畫像。在所謂的“去識別”（de-identification）之后，通過一定的手段，特別是依賴公開來源信息，數(shù)據(jù)挖掘者可以實現(xiàn)“再識別”（re-identification）。[12]例如，美國在線曾經(jīng)將用戶搜索信息刪除用戶名稱和用戶地址后附加上唯一數(shù)字編碼發(fā)布，記者通過這些數(shù)據(jù)卻識別出了部分用戶。[13]當然，對于再識別的個人信息也不是沒有應對的方案，技術上的應對措施是要求對數(shù)據(jù)進行深度脫敏，徹底匿名化，不過這樣做的代價可能是數(shù)據(jù)沒有利用的價值;法律上的應對法案是再次獲得用戶的同意許可，不過這樣做恐怕更加不現(xiàn)實。

即使是原本不屬于公民個人信息的數(shù)據(jù)，也可能基于多個不同來源數(shù)據(jù)的組合、匹配與碰撞，而重新生成新的公民個人信息。在此情況下，還要不要獲得個人的同意授權就成為疑問，且不說法律操作的可行性，這類數(shù)據(jù)不是直接從公民個人處獲得，而是企業(yè)再加工和創(chuàng)造的產(chǎn)品，凝結了企業(yè)的智力與經(jīng)濟投入，個人的同意授權就不再具有天然的正當性。此外，企業(yè)對個人數(shù)據(jù)畫像的合法性范圍未必有明晰的認識，而很可能陷入無意識地侵權甚至犯罪中。公民個人信息的識別性越來越具有場景的相對性，技術不斷進步帶來的識別性難題與定型規(guī)范之間的撕裂遲早將公民個人信息的法律保護（包括刑法保護）推入這樣的境地：個人信息的范圍不可遏制地蔓延，并由此帶來刑法規(guī)制范圍的擴張，但是擴張肯定是有限度的，結果可能也像黑洞一樣：在吞噬了周邊的一切星體和物質后，最終走向自身的塌陷。

2.公民個人信息的外延：刑法與《網(wǎng)絡安全法》的規(guī)制錯位

我國目前關于公民個人信息保護的法律體系雖然不夠系統(tǒng)且略顯凌亂，但是其法律規(guī)范的數(shù)量卻蔚為大觀，《網(wǎng)絡安全法》《民法總則》《消費者權益保護法》《電子商務法》等均有關于公民個人信息保護的規(guī)定。由于侵犯公民個人信息罪規(guī)定了“違反國家有關規(guī)定”的構成要件要素，上述民法和行政法律就成為侵犯公民個人信息罪的違法性根據(jù)。[8]這也決定了侵犯公民個人信息罪的法定犯的底色。不同于以保護人的自然情感和社會共同的倫理道德為目的的自然犯，法定犯是基于行政監(jiān)管需要而設定的犯罪，它懲罰的是對行政義務的違反行為。對法定犯的處罰也是對其違反義務行為的矯正，不帶有過多的倫理和道德非難因素。盡管自加羅法洛提出自然犯與法定犯的概念后，法定犯的概念得到了刑法學界的認可，且一百多年來法定犯在世界各國刑法典中均處于強勢擴張狀態(tài)。然而，刑法的最終目的是維護良善與有尊嚴的人類生活，保障公權力不過度和肆意侵入公民個人的空間。法定犯雖然為了保護行政秩序的有效運轉，防范和處置違反行政義務的行為，具有立法上的正當性和必要性。但是，基于人權保障的客觀需求，作為法定犯上位法依據(jù)的行政法律規(guī)范，對法定犯不但具有違法性的解釋功能，還具有立法的指導功能和處罰范圍的限縮功能。然而，由于刑法中的公民個人信息概念與《網(wǎng)絡安全法》等行政法律中的規(guī)定并不一致，已違背法定犯的立法初衷。

我國界定公民個人信息的行政法律，主要有2012年全國人大常委會通過的《關于加強網(wǎng)絡信息保護的決定》（以下簡稱《決定》）和《網(wǎng)絡安全法》?！稕Q定》第1條規(guī)定：“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息。任何組織和個人不得竊取或者以其他非法方式獲取公民個人電子信息，不得出售或者非法向他人提供公民個人電子信息?！笨梢钥闯?，《決定》采取了“識別性”+“隱私”的雙標準模式界定公民個人信息（法條表述是“公民個人電子信息”），體現(xiàn)出我國早期立法尚未完全明了個人信息與個人隱私信息的各自內(nèi)涵，因而較為保守地將識別性和隱私性共同作為公民個人信息的標準?！稕Q定》作為我國首部規(guī)定公民個人信息的專門性法律，其立法的前期探索意義值得肯定?！毒W(wǎng)絡安全法》第76條第5項規(guī)定：“個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等?！痹摱x較之《決定》的進步意義在于：不再將個人信息局限于電子化方式，以任何形式記錄的個人信息均是法律保護的對象;其次，不再強調(diào)公民個人信息的隱私性，而是采用了單一的識別性標準;再次，將識別性標準由狹義擴展到廣義，識別性包括直接識別和間接識別。

《解釋》的頒布時間正值《網(wǎng)絡安全法》生效前夕，但是《解釋》顯然沒有打算對《網(wǎng)絡安全法》“照搬照抄”，而是基于自身獨立的規(guī)范目的和懲處犯罪需求設立了獨立的“公民個人信息”的界定模式?！督忉尅返?條認可了《網(wǎng)絡安全法》的廣義可識別性標準，但是同時又附加了“活動情況”信息。再結合《解釋》第5條的規(guī)定，所謂的“活動情況”信息其實是一旦泄露可能影響人身、財產(chǎn)安全的各類信息，包括“行蹤軌跡”、“財產(chǎn)狀況”、“賬號密碼”等，如果說“行蹤軌跡”還好理解，將“財產(chǎn)狀況”和“賬號密碼”也納入到公民個人信息范疇中就令人費解了。司法者從打擊犯罪的目的出發(fā)，基于相關信息被他人濫用造成的后續(xù)的嚴重社會危害性而借助于公民個人信息犯罪實現(xiàn)前端的處置，卻忽視了可識別性對公民個人的框定功能，造成處罰范圍的不當擴大。

四、關于公民個人信息刑法保護的策略轉換

在《解釋》出臺之前，刑事司法領域還有一個司法解釋性文件對公民個人信息作出界定，即2013年“兩高”和公安部聯(lián)合發(fā)布的《關于依法懲處侵害公民個人信息犯罪活動的通知》（以下簡稱《通知》），從刑事立法到刑事司法，從《通知》到《解釋》，刑法花費了大量筆墨去探索和界定“公民個人信息”的核心語義，除了明確處罰范圍之外，未嘗沒有限縮侵犯公民個人信息罪處罰范圍的動機，然而，技術進步帶來的公民個人信息范疇的泛化趨勢警示我們，應當將注意力轉移到個人信息濫用的后果上，注重對信息濫用風險的控制和評價[14]，而不是僅僅拘泥于公民個人信息的范圍。

（一）行為類型構造：從信息的自主控制轉向信息的自主使用

如前所述，刑法解釋超越行政法的界定，大力拓展公民個人信息的范疇，而在行為模式上，刑事立法又遠較行政法限縮。行政法高度關注個人信息的收集和不法使用，如在個人信息的收集方面，《決定》最先確立了合法、正當、必要的原則，此后又被《網(wǎng)絡安全法》確認，《民法總則》明確了對個人信息的七種不法形式：收集、使用、加工、傳輸、買賣、提供、公開，貫穿個人信息的收集、流轉和使用所有環(huán)節(jié)。而刑法主要打擊個人信息的不法流轉環(huán)節(jié)。侵犯公民個人信息罪規(guī)定的是非法出售、提供和獲取個人信息的積極轉移信息行為，拒不履行信息網(wǎng)絡安全管理義務罪制裁的是間接故意造成信息泄露的放任信息轉移行為。[15]侵犯公民個人信息罪不處罰個人信息的不法收集環(huán)節(jié)，也不處罰信息的后續(xù)濫用環(huán)節(jié)。當然，重視對個人信息收集的控制變得越來越?jīng)]有意義，除非個人信息一經(jīng)使用即會給個人帶來人身或財產(chǎn)上危害，否則應當將規(guī)范重點放置于如何安全使用上，減少使用給個人帶來不必要的風險。[16]也就是說，應當將刑法打擊的鏈條向后延伸，將對公民個人信息的不法使用納入刑法的打擊范圍中，側重對信息濫用后果的規(guī)制與防范。數(shù)據(jù)犯罪與信息犯罪界限的表征之一，就在于刑法只處罰針對公民個人信息的非法獲取、出售和提供行為，其他諸如非法修改、非法刪除、非法傳播、非法使用個人信息的行為無法納入公民個人信息犯罪的框架中，最后只能借助數(shù)據(jù)犯罪或者其他犯罪予以規(guī)制。而當前公民個人信息利用中，基于個人“數(shù)據(jù)畫像”對個人進行堂而皇之的價格歧視、個性化營銷，運用個人生物識別信息進行“深度偽造”，擾亂社會秩序等行為大行其道，更凸顯了對公民個人信息進行全流程干預的必要性。

大數(shù)據(jù)時代的公民個人信息，糅合了個體人格利益、經(jīng)濟價值、社會公共利益等屬性，傳統(tǒng)的隱私權、財產(chǎn)權等權利屬性均無法完全包容公民個人信息，故而將公民個人信息視為一種新型的獨立權利的觀念越來越受歡迎。另一方面，大數(shù)據(jù)時代要求信息有序流動、多邊共有、開放共享，過于強調(diào)信息的自主控制而忽視自主使用的觀念將禁錮數(shù)據(jù)價值的發(fā)掘。因此，刑法應當以公民個人信息的積極趨利替代消極抗爭的權利姿態(tài)，適當降低自主控制的保護強度，同時將保護的延長線拉伸到信息的不當濫用。

（二）規(guī)范射程界定：公民個人信息概念的部門法統(tǒng)一

當前，公民個人信息保護已經(jīng)成為貫穿民法、刑法、行政法、網(wǎng)絡法等各個部門法的高頻詞匯?！睹穹倓t》第111條關于“自然人的個人信息受法律保護”的表述確立了公民個人信息民法保護的基礎。客觀上，公民個人信息概念的擴張性、應用場景的復雜性、保護難度的遞增性等特點要求不同部門法協(xié)調(diào)并進，但是各部門分別立法的現(xiàn)狀又導致了立法部分與相關信息部門之間隔離，進而引起法律的規(guī)制落后于信息技術的實踐。[17]回顧十幾年來公民個人信息保護的法律進展和不同部門法出臺的先后次序，《民法總則》在2017年10月1日生效實施，《網(wǎng)絡安全法》在2017年6月1日生效實施，而在刑法領域，即使不考慮1997年刑法的先期探索，從《刑法修正案（七）》確立兩個獨立公民個人信息罪名算起，迄今也有十年時間了。因此，公民個人信息保護實際上走了一條“刑先民后”的發(fā)展路徑。在相關規(guī)范初創(chuàng)的時期，刑法的提前介入有助于提升社會公眾的規(guī)范意識，起到敲山震虎的作用。但是，僅靠聲勢奪人是不能長久的，在《網(wǎng)絡安全法》等其他部門法的相關規(guī)范陸續(xù)建立的背景下，刑法應當回歸其本源地位，由公民個人信息保護的“刑先民后”變更為“民先刑后”，其最關鍵的做法就是公民個人信息的刑法概念與行政法概念的統(tǒng)一。

概念術語的調(diào)整并非語言游戲，它牽涉法律規(guī)范的定位、法律的規(guī)制范圍等一系列問題。例如，真正激活侵犯公民個人信息罪中“違反國家有關規(guī)定”的犯罪構成要件要素，發(fā)揮行政法對侵犯公民個人信息罪的上位法定型功能和違法性審查功能，回歸侵犯公民個人信息罪的法定犯本色。將“賬號秘密”“財產(chǎn)狀況”等不具有識別性功能的信息從公民個人信息中排除。盡管這類信息的濫用確實會造成公民個人權益的受損，但是這類基于信息的后續(xù)犯罪行為完全可以使用其他罪名予以有效規(guī)制。將其納入到公民個人信息范疇中，雖然堅持了預備行為實行化和法益保護前置的思想，但是運用侵犯公民個人信息罪保護這類信息，不符合信息自決權的法益初衷。

（三）法益邊界銜接：公民個人信息的分類立法保護

識別性概念將所有的公民個人信息聚合在自己麾下，實際上，隨著公民個人信息范圍的擴大，公民個人信息內(nèi)部不同類別信息的保護必要性強度是有差別的，保護力度也是可以有區(qū)分的。在其他部門法中，無論是公民個人信息的界定，還是具體場景下的保護要求，都開始進行公民個人信息的分級分類保護的探索?！缎畔踩夹g個人信息安全規(guī)范》在“個人信息”的條目下，規(guī)定了“一旦泄露、非法提供或濫用可能危害人身和財產(chǎn)安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息”，即“個人敏感信息”。《信息安全技術個人信息安全規(guī)范》對敏感信息提出了收集、傳輸、信息共享等方面的特殊要求。另在個人信息場景應用方面，《居民身份證法》《反恐主義法》《征信業(yè)管理條例》等法律法規(guī)又做出了針對個人生物識別信息利用和管理的專門性規(guī)定。在行政法中對公民個人信息進行分級分類保護是必要的，而我國公民個人信息刑法保護規(guī)范中，“信用卡信息”—“個人信息”—“身份信息”—“身份認證信息”—“推定身份信息”—“公民個人信息”的立法傳導路徑也暗含了公民個人信息分類保護的路徑是可行的。

公民個人信息刑法分類保護的基礎是：不同類別的個人信息承載的價值（人的尊嚴價值、信息的經(jīng)濟價值）是不同的，如果在“可識別性”的大旗下一體保護，則可能出現(xiàn)本該強化保護的信息類別沒有得到充分保護，本該兼顧數(shù)據(jù)使用需求和公共利益的信息類別也沒有賦予社會充分自由。理論上一般認為，個人信息保護的法律基礎源自《世界人權宣言》第12條，即個人有權自主決定個人生活，并享受不被他人侵犯和冒犯的權利。因此，盡管“可識別性”一再受到理論界的批評和現(xiàn)代信息技術的沖擊而依然屹立不倒，就在于可識別性能夠讓信息指向特定主體，并將特定主體從其他主體剝離出去。保護個人信息，就是保護信息指向的主體利益，保護主體不受侵犯、自主決定、平等對待的權利。在此前提下我們會發(fā)現(xiàn)，越是不依賴其他信息而能夠單獨識別的個人信息，越是與個人的身份高度綁定，就越是趨近個人信息保護的本源價值。對這些信息，需要刑法予以強保護。相反，越是需要現(xiàn)代信息技術深度挖掘，越是需要與其他信息結合進行關聯(lián)識別的信息，反而為其騰出社會合理使用的法律空間，對這些信息，就應當在利益平衡的基礎上，建立刑法的適度保護規(guī)則。

個人信息的過度匿名化和脫敏處理固然可以繞開“識別性”的技術局限，但是也面臨個人信息的利用價值降低等問題，長遠來看并不利于大數(shù)據(jù)產(chǎn)業(yè)和技術經(jīng)濟的發(fā)展。而且也應看到，再匿名化和碎片化的數(shù)據(jù)，都可能經(jīng)由數(shù)據(jù)挖掘技術再現(xiàn)或者復原，追求絕對的數(shù)據(jù)脫敏處理不現(xiàn)實，也可能扼殺產(chǎn)業(yè)的活力。可行的做法是適當限縮公民個人信息的范圍，將那些已經(jīng)通過合理手段進行脫敏化處理，但是依然有可能挖掘出個人信息的數(shù)據(jù)排除在公民個人信息范疇外。表面上，這降低了公民個人信息保護的強度和剛性，但是更加科學有效，更有助于法律權威性的提升。事實上，歐盟、日本等國家和地區(qū)都對公民個人信息堅持了一次識別標準。歐盟1995年《數(shù)據(jù)保護指令》前言第26條規(guī)定，控制者和任何人采取所有合理的可能措施，也無法識別特定個人的信息即為匿名信息。可以看出，歐盟即使將隱私權置于至關重要的地位，在匿名化的問題上也沒有完全遷就個人，還是考慮了技術現(xiàn)實以及產(chǎn)業(yè)界的經(jīng)營負擔的。故而對我國《解釋》第3條關于“但是經(jīng)過處理無法識別特定個人且不能復原的除外”的數(shù)據(jù)脫敏化標準，司法實踐不宜做過于硬性的要求，只要是通過正常、合理手段無法重新識別和重新復原的信息，即使事后通過特別技術手段再次還原的，依然要排除在公民個人信息的范疇外。

[7]陳璐.個人信息刑法保護之界限研究[J].河南大學學報，2018，（3）：72-78.

[8]劉艷紅.侵犯公民個人信息罪法益：個人法益及新型權利之確證[J].中國刑事法雜志，2019，（5）：19-33.

[9]范為.大數(shù)據(jù)時代個人信息保護的路徑重構[J].環(huán)球法律評論，2016，（5）：92-115.

[10]Subramanian Arumugam and R.Bhargavi，A survey on driving behavior analysis in usage based insurance using big data[EB/OL]，http：//creat iveco mmons .org/licen ses/by/4.0/.

[11]岳林.超越身份識別標準——從侵犯公民個人信息罪出發(fā)[J].法律適用，2018，（7）：36-42.

[12]P.Schwartz &D.Solove，“The PII Problem：Privacy and a New Concept of Personally Identifiable Information”，New York University Law Review，Vol.86 （2011），p.1845.

[13]儲陳城.大數(shù)據(jù)時代個人信息保護與利用的刑法立場轉換——基于比較法視野的考察[J].中國刑事法雜志，2019，（5）：48-62.

[14]李懷勝.公民個人信息的刑法保護思路[J].中國信息安全，2017，（1）：102-104.

[15]李川.個人信息犯罪的規(guī)制困境與對策完善——從大數(shù)據(jù)環(huán)境下濫用信息問題切入[J].中國刑事法雜志，2019，（5）：34-47.

[16]高富平.個人信息保護：從個人控制到社會控制[J].法學研究，2018，（3）：84-101.

[17]張文亮.個人數(shù)據(jù)保護立法的要義與進路[J].江西社會科學，2018，（3）：169-176.

[18]Health Insurance Portability and Accountability Act of 1996 （HIPAA） [EB/OL].https：//www.cdc.gov/phlp/publications/topic/hipaa.html.

（責任編輯 吳 楠）