【论坛回顾】孙雪洁：从辩护角度谈公民个人信息的认定

【论坛回顾】孙雪洁：从辩护角度谈公民个人信息的认定本站　　随着信息技术的高速发展，数据已经渗透到商业、经济、人文等各个行业和领域，可以说“大数据”时代已经降临

　　随着信息技术的高速发展，数据已经渗透到商业、经济、人文等各个行业和领域，可以说“大数据”时代已经降临。为了有效利用信息资源，促进生产率增长，人们对海量的数据进行挖掘和运用，在这个过程中，公民个人信息面临着遭受侵害和滥用的风险。我国在《刑法修正案（七）》中首次对侵犯公民个人信息的行为进行了规定，在《刑法修正案（九）》中，对侵犯公民个人信息罪做出了修订和完善，2017年两高出台关于该罪的司法解释，2021年《个人信息保》也正式颁布。虽然与个人信息相关的法律法规、司法解释不断出台与完善，但在司法实践中，对该罪的认定仍存在很多法律依据不明确、界定标准模糊等问题，值得进一步探讨。笔者从侵犯公民个人信息罪的辩护角度出发，探讨公民个人信息的认定问题，探索如何实现公民个人信息保护与利用的平衡之路。

　　《司法解释》中将公民个人信息分为三类，一类是行踪轨迹信息、通信内容、征信信息、财产信息；二类是住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息；三类是上述规定以外的公民个人信息。不同类别的信息入刑数量起点差别甚大，对涉案信息所作的分类，有时甚至决定了行为人是否构成犯罪，但在司法实践中，有些信息之间界限不清，导致在认定所属类别的过程中存在较大争议。因此，在司法实务中应仔细审查各类信息的重要程度，确定好所属类别。

　　在日常生活中，有些人可能需要提供手持身份证拍摄的照片，那么此类包含身份证和人脸信息的照片应属于哪一类公民个人信息呢？如果认为身份证上包含当事人的住址，将其认定为住宿信息，那当非法获取、出售或提供该类信息达到五百条就能达到了入刑标准。然而，如果认定其属于第三类公民个人信息，那么数量需要达到五千条才有入刑的可能性。那此种信息到底属于哪一类别，笔者认为，住址信息作为较为固定不会轻易变动的信息，如果被泄露个人并不会有隐私被严重侵犯的感觉，因为个人的固定地址并不会反映出这个人移动场所的变更，并不涉及当事人的行踪。而住宿信息不同，如果自己曾在某宾馆入住过的信息被泄露，这仿佛给人被监视的感觉，难免会担忧他人是否会利用自己的住宿信息实施侵害人身财产安全的行为。更甚者，如果自己的住宿信息被实时掌握和泄露，行为人很可能被评价为非法提供行踪轨迹信息。因此，基于二者的差异性，笔者认为不宜将住址信息直接视为住宿信息。

　　相比于二类个人信息，对第一类信息的认定更应当慎重，按照《司法解释》的规定，只要该类涉案信息达到五十条以上行为人就可以入罪，在当下动辄就上万条信息被出售的情况下，《司法解释》五十条的规定，足以看出刑法对此类信息重视、保护程度之高。而且此项规定明确限定了四种信息种类，其中较易在司法实务中引发争议的便是财产信息的认定。虽然财产信息一般指能反映出公民个人财产状况的信息，但笔者认为，为了保持刑法的谦抑性，体现《司法解释》对不同类别信息规定的差异性，应对财产信息作限缩性理解。对于能据此评估出公民个人财务状况的信息，才可认定为财产信息，比如银行存款、第三方支付结算账户类信息。在司法实务的判断中，还应根据信息泄露的危害性、信息来源以及内容，进一步判断是否属于财产信息。

　　例如，对于财产信息中房产信息的认定，就应作进一步区分，不可“一刀切”了事。一类信息中的行踪轨迹信息、通信内容和征信信息都是通过一定技术手段或者通过某些专业机构获取的，对于从房地产交易中心等单位获取的包含产权证、房产抵押、等能体现公民个人财产状况的信息应认定为财产信息。如果是开发商提供的记载公民购房时间、房产面积和交易金额类的信息，其获取方式较一类信息来说较为简单，认定为交易信息更为合适。而从物业处获得的记录户主姓名、房号、车位等业主信息，财产属性较弱，泄露后带来的危害也有限，则应认定为一般信息。

　　此外，2021年颁布的《个人信息保》，其中第13条规定个人信息处理者可以依照该法规定，在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。依据相关法律规定，在实务中处理此类案件时，不能一律作犯罪处理，然而罪与非罪之间的判断因素和界限在哪里，仍是值得探讨的问题。有学者就此指出，应以个人公开其信息的目的以及信息的用途，确定是否是合理处理个人公开信息。在李某某侵犯公民个人信息案中，行为人收集企业的公开信息，其中包含法定代表人姓名和联系电话，然后进行出售。由于企业最初公开该信息是为了履行法定义务，便于民众查询该企业信息，而不是让他人出售，然后便于从事电信活动，因此再审法院依旧认定其构成侵犯公民个人信息罪。

　　但需要明确的是，因为公开的个人信息人人都可以查询，所以对于行为人仅收集、获取已公开个人信息的行为不应认定为犯罪。再比如律师个人信息会在官网上进行公布，但他人如果出售后用于广告推销等，无疑会违背信息所有者公开个人信息的目的。然有些公开的个人信息是为了宣传推广，如果信息处理者帮其扩大了宣传或为其企业经营带来利处，自然不能作犯罪处理，因为该行为并未侵犯信息所有者的合法权益。因此，在未明确涉案信息使用目的和用途时，应谨慎认定行为人是否构成犯罪。

　　除个人公开的信息外，死者个人信息是否属于本罪中的公民个人信息也值得探讨。笔者认为，确定死者个人信息是否受保护，首先要明确个人信息权属于何种权益。学界主流观点一般认为，个人信息权应是名誉、荣誉、隐私权之外的一种新型人格权益。从《民法典》对个人信息的保护规定在第四编第六章“隐私权和个人信息保护”中就可以发现，个人信息权是作为人格权益来保护的。而根据《民法典》第994条的规定，在死者人格权益受到侵害时，死者近亲属有权依法请求行为人承担民事责任。可见，即便自然人死亡，其个人信息权仍应受法律保护。但受法律保护刑法是否有介入的必要？死者的某些个人信息，比如姓名、电话、身份证号码等即便被出售用于非法活动，对死者而言并无影响，不会危害其人身、财产安全。而且自然人死亡后，即便涉隐私的轨迹信息等被泄露，死者也不会产生羞愧或者愤怒等情绪。

　　所以笔者认为，不应将死者个人信息认定为侵犯公民个人信息罪的行为对象。但死者个人信息权被侵犯，很可能会损害其近亲属的合法权益，对此死者近亲属可依据《民法典》第994条的规定请求侵权人承担民事责任。此外，《个人信息保》第49条规定：自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。可见，此条规定更加明确了在自然人死亡后，应将重点放在对其近亲属合法权益的保护上，而不是关注死者本身的个人信息权益。

　　自侵犯公民个人信息行为入刑以来，民众们对个人信息的保护便格外重视，法律人对该罪的关注度也只增不减，从最初探讨什么样的行为应该入刑，逐渐到对该罪的认定应持谨慎态度。本文从轻罪、出罪的辩护角度出发，探讨了公民个人信息的分类、数量以及相关信息的认定等问题，为司法实务中保护行为人合法权益提供了部分思路。但实践中个人信息种类多样，内容复杂，个案差异性大，在认定的过程中仍存在一系列的问题需要探讨。且随着信息技术的发展，个人信息必将以更多样的方式加以呈现，在数字时代，关注对侵犯个人信息行为入罪的同时，如何坚持刑法的谦抑性，实现信息保护、保障和数字经济发展之间的平衡，将是法律人共同面临的难题。

　　浙江厚启律师事务所成立于2015年9月1日，是华东地区首家以商事犯罪辩护与防控为特色的合伙制刑事专业律所，系中国人民大学律师学院商事犯罪研究中心浙江分中心挂靠单位。业务范围包括刑事辩护、控告申诉、被害人代理、职务犯罪咨询、企业合规与反舞弊，以及各类刑事风险防范。

　　厚启所的使命，是“为维护人的自由与尊严而优雅地战斗”。受到刑事追诉后，获得及时有效的律师辩护，是公民的一项基本。厚启的核心使命，是在刑事法律服务中，力求在程序内穷尽一切法律手段为当事人争取合法权利，以维护其自由与尊严。

　　厚启所的愿景，是打造一家“学术为基、技能为本、规模适度、辐射全国的刑事精品所”。厚启注重学术研究，精研刑辩技术，不追求最大的规模与最高的收费，力求以最专业的服务为当事人谋取最大的法律利益。经过多年的不懈努力，厚启已成为一家在全国刑辩界具有较高美誉度的刑事精品所。

　　厚启的价值观，是“专业精神、道德勇气与社会担当”。厚启人将专业作为立所之本，精益求精，不断锤炼；厚启人恪守律师职业伦理，杜绝配合办案，在刑事辩护中真正做到敢辩、真辩、善辩，为维护当事人的法律利益勇于坚持原则；厚启人积极承担社会责任，以委托案件的标准办理大量法律援助案件，通过公益课程与原创成果无私分享厚启经验，促进刑事法律服务行业水平的提升。

　　厚启所汇聚了一批分别具有大学教师、检察官、公安干警、刑事法研究生背景的刑辩精英，他们秉承厚启的使命与价值观，高质量地办理了不少在全国、全省有重大影响的刑事案件，如安徽马某涉恶、案、江苏郑某提供侵入计算机信息系统工具案、上海陈某非法吸收公众存款案、江西童某开设赌场案、湖北刘某提供侵入计算机信息系统工具案、山东甘某侵犯公民个人信息案、陕西的薛某涉黑、非法吸收公众存款案、甘肃的刘某控告被案、广西蒋某开设赌场案、广东某大型公司刑事法律风险防范案、“牛板金”平台集资案、金城集团集资案、陈某虚开增值税专用案、某厅长受贿案等，在司法界、律师同行与当事人当中收获了良好的口碑。

　　专业服务是我们的承诺，有效辩护是我们的追求，我们将穷尽一切法律手段最大限度地维护当事人的自由与尊严。