侵犯公民个人信息罪量刑标准,关于侵犯公民个人信息罪的司法适用

在信息时代，“现代社会中每个成员自身的情况已经成为社会信息不可分割的一部分”。特别是随着信息网络技术的不断发展，公民个人信息的安全日益成为全社会关注的问题。为进一步加强对公民个人信息的保护，《刑法修正案(九)》将销售非法提供公民个人信息罪和非法获取公民个人信息罪纳入侵犯公民个人信息罪，扩大了犯罪主体范围，完善了法律处罚配置。

(一)“违反国家有关规定”的含义

《刑法修正案(九)》之前，销售或者非法提供公民个人信息定罪的前提是“违反国家规定”。《刑法》第九十六条规定：“本法所称违反国家规定，是指违反法律和全国人民代表大会及其常务委员会制定的决定、国务院制定的行政法规、规定的行政措施、发布的决定和命令。”因此，判断销售或者非法提供公民个人信息违法性的标准应当是“国家规定”，即立法机关制定的法律和国务院制定的行政法规。考虑到销售或非法提供公民个人信息“违反国家规定”仍有争议，《刑法修正案(九)》将“违反国家规定”修改为“违反国家有关规定”。

本文认为，“违反国家有关规定”不同于“违反国家规定”，前者的范围更广。我国尚未制定保护公民个人信息的专门法律，但一些专门法律法规对特定领域保护公民个人信息有专门规定。此外，违反部门规章和国家其他有关保护公民个人信息的规定，也可视为“违反国家有关规定”。但“相关国家规定”应限于相关国家规定，不包括地方规定和其他非国家规定。

(二)“公民个人信息”的范围

把握“公民个人信息”的范围，直接影响司法实践中侵犯公民个人信息罪的正确适用。但刑法对“公民个人信息”的范围并不明确，其他法律法规也缺乏对“公民个人信息”的统一规定。

1.如何把握「公民个人信息」的「公民」？“公民”是一个严格的法律概念，有着固定的内涵和外延。但对于如何把握刑法中“公民个人信息”的“公民”，尤其是是否仅限于中国公民(具有中华人民共和国国籍的人)，还是包括外国公民和无国籍人，存在不同的理解。

本文认为，公民个人信息罪中的“公民个人信息”不仅包括中国公民的个人信息，还包括外国公民和其他无国籍人的个人信息。主要考虑如下： (1)从刑法规范用语来看，《刑法》第二百五十三条的用语是“公民个人信息”，但不限于“中华人民共和国公民个人信息”。因此，从刑法术语的角度来看，这里的“公民个人信息”不应仅限于中国公民的个人信息。 (2)外国人和无国籍人的信息应当与中国公民的信息一样受到刑法的同等保护，否则就会对外国人和无国籍人的个人信息缺乏保护，这显然不符合立法的精神和宗旨。从个人信息刑法保护的角度看，“中国对在中国的中国公民、外国人和无国籍人，以及在中国受到有害行为侵害的外国人和无国籍人提供刑法保护，不主张例外。”基于刑法平等适用原则，中国享有自然刑事管辖权，无论是侵害在中国境内的外国人、无国籍人个人信息的刑事案件，还是侵害在中国境外的外国人、无国籍人个人信息的刑事案件。没有理由不适用我国刑法的规定追究此类刑事案件的刑事责任。 (3)从司法实践的具体情况来看，将大量外国人和无国籍人的个人信息排除在刑法保护之外，无疑是纵容犯罪。特别是侵犯公民个人信息刑事案件中涉及的个人信息，如果既包括中国公民个人信息，又包括外国公民和无国籍人个人信息，只处罚涉及中国公民个人信息的部分是不合理的，也是困难的。

2.如何把握「公民个人信息」的「个人信息」？关于“个人信息”的含义，理论界和实务界有不同的理解，主要包括以下观点： 第一种观点认为，个人信息是指能够实现对公民个人情况的识别，在被非法使用时可能对公民的个人生活和安宁造成损害和危险的信息。 第二种观点认为，个人信息是指我不想传播，具有保护价值的信息。一旦传播开来，可能会对公民权利造成损害。其中，也有评论者从刑法第253-1条侵害法益的角度，认为个人信息具有个人隐私的特征。 第三种观点认为，个人信息是指以任何形式存在的、与公民个人相关联的、能够识别特定个人的信息。本文认为，上述对“个人信息”的不同看法，实际上涉及到对“个人信息”范围的把握问题。对此，我们应该把握两个原则：

(1)从更有效地保护公民权利的角度来看，个人信息的范围不宜过窄。一方面，个人信息不应局限于个人隐私。个人信息不等于个人隐私。个人信息即使已经公开，仍可能是公民个人信息刑事侵权的对象，如相关部门公开的公民个人信息用于救济和救助。另一方面，个人信息不应局限于能够识别公民个人身份的个人特定信息。换句话说，能够识别公民个人身份的信息，如公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、教育背景、简历、家庭住址、电话号码等，属于“个人信息”的范围，但不是全部。综上所述，个人信息不仅包括个人的具体信息，还包括涉及公民隐私的信息。

(2)掌握个人信息的范围，应充分考虑与相关法律法规的协调一致。全国人民代表大会常务委员会第一条第一款规定：“国家保护能够识别公民个人身份、涉及公民个人隐私的电子信息。”虽然上述规定并非直接针对《刑法》第253-1条规定的“公民个人信息”，但为准确把握“公民个人信息”提供了参考依据。在此基础上，《两高一署》《关于加强网络信息保护的决定》(工通字[2013]12号，以下简称《关于依法惩处侵害公民个人信息犯罪活动的通知》)明确规定：“公民个人信息包括公民姓名、年龄、有效身份证号、婚姻状况、工作单位、学历、简历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息和数据。

本文认为《通知》中“公民个人信息”的定义是合理的，明确了公民个人信息主要包括两类：能够识别公民个人身份的信息和涉及公民个人隐私的信息。需要说明的是，“能够识别公民个人身份的信息”应当理解为能够单独或者与其他信息结合识别公民个人身份的信息。比如身份证号与公民个人身份一一对应，公民个人身份可以单独识别；但是，工作单位，家庭住址等。不能单独识别公民的个人身份，需要结合其他信息来识别公民的个人身份。但是，以上两类信息无疑属于公民个人信息的范畴。

(三)“情节严重”的认定

根据《刑法》第二百五十三条之一，出售、非法提供公民个人信息、窃取或者非法获取公民个人信息，均以“情节严重”为入罪要件。情节不严重的，如初犯，涉案公民个人信息少，获利少，不构成犯罪，可根据具体情况给予行政处罚。

至于“情节严重”的具体标准，《刑法》第二百五十三条第一款没有规定，也没有相关司法解释予以明确。基于司法实践的具体情况，本文认为“情节严重”可以从以下几个方面认定： (1)公民个人信息的数量。出售、非法提供、窃取或者非法获取大量公民个人信息的，应当认定为“情节严重”。需要注意的是，各类公民的个人信息差异较大，在确定量化标准时应区别对待。比如手机位置、车辆轨迹等信息直接关系到公民的人身安全，是高度敏感的信息。对于此类信息，应设定相对较低的定罪标准。 (2)违法所得数额。实践中，许多侵犯公民个人信息的案件，特别是出售和非法提供公民个人信息的案件，主要是为了谋取经济利益。因此，违法所得数额应作为衡量“情节严重”的标准之一。 (3)后果的严重性。违反国家有关规定，将公民获得的个人信息出售或者提供给他人，被他人用于犯罪，造成受害人人身伤害甚至死亡，或者造成重大经济损失和不良社会影响的，可以认定为“情节严重”。以其他手段窃取或者非法获取公民个人信息，造成其他严重后果的，也可以认定为“情节严重”。 (4)演员的一贯表现。出售、非法提供、窃取或者非法获取公民个人信息的，特别是因侵犯公民个人信息受到行政处罚或者刑事处罚的，在认定情节严重时，应当予以充分考虑。