解读侵犯公民个人信息罪

解读侵犯公民个人信息罪贾凌1 常秀娇2[摘要] 本文从刑事司法实务操作的角度对刑法修正案（七）规定的“侵犯公民个人信息罪”进行剖析，提出个人信息概念具有群体性特征论断以及界定“情节严重”的“质”与“量”标准，从所保护的法益来看，该法条以不区分特殊主体、一般主体为宜。

[关键词] 刑法修正案（七）；个人信息；犯罪主体；情节严重2009年2月28日，十一届全国人大常委会七次会议表决通过了《刑法修正案（七）》，修正案的第7条在刑法典第253条后增加了一条关于侵犯公民个人信息罪的规定，作为第253条之一，具体条文如下：“国家机关或者金融、电信、交通、教育、医疗等单位工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。

单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

”对上述条款的含义，有学者认为，该条第1款和第2款分别规定了“出售、非法提供个人信息罪”和“非法获取个人信息罪”的构成要件及量刑，第3款将单位纳入本罪的主体范围。

出售、非法提供个人信息罪，是指特殊主体（即国家机关或者金融、电信、交通、教育、医疗等单位工作人员）在明知自己出售或者非法提供其所获得的公民个人信息的行为会对公民个人信息安全造成伤害，而希望或者放任这种危害结果发生的主观心态支配下，违反国家法律、法规或者规章中关于公民个人信息的规定，实施的将本单位在履行职责或者提供服务过程中合法获得的公民个人信息，出售或者非法提供给他人，造成公民个人信息大量泄露、使个人信息大量流向境外、造成被害人人身严重伤害以及造成财产重大损失的危害行为。

非法获取个人信息罪，是指一般主体在明知自己窃取或者以其他方法非法获得公民个人信息的行为会对公民个人信息安全造成危害，希望或者放任这种危害后果发生的主观心态支配下，实施的秘密窃取或者以其他方法非法获取公民个人信息，造成公民个人信息大量泄露、使个人信息大量流向境外、造成被害人人身严重伤害以及造成财产重大损失的危害行为。

①从规范刑法学角度看，上述理解符合法条的字面含义。

但此文并非探讨对字面意义的再理解，而是结合司法实践，从本罪法条设置的应然角度解读，笔者认为上述理解存在可完善空间。

一、对本罪规定特殊主体的必要性思考从学界对《刑法修正案（七）》第7条撰文理解适用的相关内容看，认为本条文前两款规定了两个罪名：第1款是关于“出售、非法提供个人信息罪”的规作者简介：1.贾凌（1971-），女，云南昆明人，昆明理工大学法学院教授，北京师范大学刑事法律科学研究院博士研究生。

研究方向：刑法学。

2.常秀娇（1984-），女，辽宁锦州人，北京师范大学刑事法律科学研究院硕士研究生。

研究方向：刑法学。

①参见赵秉志主编：《〈刑法修正案〉最新理解适用》，中国法制出版社2009年版，第114-123页。

定，其主体为特殊主体；第2款是关于“非法获取个人信息罪”的规定，其主体是一般主体。

侵犯个人信息的行为，区分特殊主体和一般主体从而分别设立两个法定刑完全一致的罪名是否必要？条文中所做出的列举性主体是否表明此条文所涉及的犯罪只能由特殊主体构成？笔者认为，从刑法理论及司法实践看，分款设置区分特殊主体、一般主体的意义不大，主要理由如下：（一）从立法保护的法益分析一种行为之所以被规定为犯罪，是因为其对法所保护的利益和价值造成了侵害或者侵害的危险性。

我国刑法分则十章的划分标准，正是行为侵害的法益。

修正案新增侵犯公民个人信息的犯罪并将其纳入刑法分则的第四章“侵犯公民人身权利、民主权利罪”第253条之一进行明确规定，可以看出，侵犯公民个人信息罪的本质是对公民人身权利侵害，其所保护的法益不会因主体不同而导致受侵害程度不同，故笔者认为，本条文所要强调的核心内容是因为侵犯公民个人信息而导致公民人身权利受到侵害的行为应当追究其刑事责任，是否具备特殊身份并不会影响到犯罪本质的认定和量刑的区别，换言之，如果特殊主体和一般主体实施行为会导致侵犯法益的区别，或者会导致量刑的不同，立法做出主体的区别在司法实践中才有其存在的必要性和意义，否则就不必做出区分。

根据前述理由，结合第253条之一的内容，笔者认为，不应将该条第1款理解为特殊主体。

第一，第253条之一规定的侵犯公民个人信息的犯罪，其惩罚的是因侵犯公民个人信息而导致公民人身权利被侵害的行为，行为主体不同不会导致定性不同。

这完全不同于必须是特殊主体实施行为的犯罪，例如，刑法规定贪污罪的犯罪主体是特殊主体，是因为贪污罪主要是侵犯了职务的廉洁性，国家工作人员的特殊身份与法益受到侵害有直接联系，如果不具有该身份就不可能造成国家公职人员职务廉洁性这一法益的侵害。

故贪污罪只能由特殊主体构成。

而第253条之一规定侵犯公民个人信息罪的犯罪行为不会因为主体不同而产生定性的不同。

第二，结合司法实践看，侵犯公民个人信息的犯罪并不仅限于条文中所列举的主体，除国家机关或者金融、电信、交通、教育、医疗等单位工作人员外，包括房地产公司、酒店、高级会所等在内的服务机构甚至公民个人（如心理咨询师、个体医生、理疗师等），都能获得公民个人信息，都可能实施本条所规定的犯罪行为。

因此，笔者认为，只要是在其履职或者是服务过程中能够获取公民个人信息的单位，都可能实施出售、非法提供公民个人信息的行为，都会对公民的人身权利造成侵害。

如此看来，该条所作的国家机关或者金融、电信、交通、教育、医疗等单位工作人员的规定，理解为对一般主体的列举性规定似乎更为恰当，不至于因为特殊主体而成为入罪之限制。

综上，笔者认为，修正案第7条的犯罪主体，应当理解为一般主体，立法只是采用列举的方法将常见的主体加以明示，以利于对法律条文的理解、司法机关实务操作。

如果认为条文中所指的国家机关或者金融、电信、交通、教育、医疗等单位工作人员这样具有特定身份的主体应当严惩，也可以借非法拘禁罪的立法例，将上述特殊的单位作为身份加重情况，设置从重处罚的条款。

当然，如果要这样的话，就涉及到立法的修改了，而频繁的立法修改不是本文所赞同的，笔者认为，在刑法解释（包括立法、司法、学理解释）能够和打击犯罪目标一致时，修改立法的必要性就不大了。

（二）从法条条文的内容分析从第253条之一的法条规定看，若将第1款和第2款规定的犯罪主体分别理解为特殊主体和一般主体，则此两款的题中之义是：特殊主体（国家机关或者金融、电信、交通、教育、医疗等单位工作人员）将依职权或者服务合法获取的信息出售或者非法提供给他人，情节严重的构成犯罪；一般主体只有窃取或者以其他方法非法获取信息，情节严重的才构成犯罪。

由此会产生以下问题：1.一般主体具备第253条之一第1款行为定性问题当一般主体具备符合第253条之一第1款规定的行为时如何定罪？即一般主体将合法持有的信息出售牟利或者非法提供给他人是否构成犯罪？根据刑法修正案的规定，出售、非法提供个人信息罪的主体是国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，若将此规定理解为特殊主体，带来的问题是：第一，除法条列举主体以外的其他单位的工作人员只要取得信息的手段是合法的，不是窃取或者以其他方法非法获取，即使故意实施了将公民个人信息出售牟利或者非法提供给他人的行为，都不得定侵犯公民个人信息罪。

但结合前述关于法益分析的内容可以看出，既然本罪立法所保护的法益是公民的人身权利，则只要实施了出售、非法提供等侵犯公民个人信息的行为，达到情节严重的程度，就已经侵害了法益，此时行为对法益的侵害程度和主体是否第1款规定的那些主体没有必然联系，例如，商务会所、房地产公司都可能出现将个人信息出售谋利或者非法提供给他人的行为。

第二，第253条第1款中规定的“国家机关或者金融、电信、交通、教育、医疗等单位工作人员”中的“等”是否应当理解成其他没有列举出来的各种在履职或者服务过程中能够获取公民个人信息的各种单位，如果包括其他诸如商务会所、房产公司等单位，则我们如果将第1款理解为特殊主体才能实施的犯罪，那么就会缩小此类行为法网控制的范围。

此外，公民个人也可能在服务过程中合法获取其他公民的信息，如心理诊疗所、个体诊所都可能拥有患者的个人信息，若将第253条第1款采用列举式的立法模式等同于这就是特殊主体的话，则法律无法对此部分人入罪。

当然，可能有学者会质疑：若将本罪理解为一般主体，会不会使刑法的规制范围过泛，犯罪圈过大，有违刑法的谦抑性？但笔者认为这种担忧是多余的，因为当第253条第1款理解为一般主体后，似乎扩大了犯罪圈，从而加大了打击面。

其实不然，扩大犯罪圈与刑罚处罚量不是同比增长，因为从实体法角度看可以通过刑法总则第13条但书的规定进行控制，从程序法角度看可以依靠不起诉制度将轻微的该类行为排除在刑罚处罚之外，不会施之过泛，也不违反刑法谦抑性。

不可否认，依笔者观点，将第253条之一第1款理解为一般主体后，是会一定程度上扩大了犯罪圈，但这种扩大是必要的：一方面，只有这样规定才能够保证刑法立法上对侵犯个人信息罪规定的周延性和科学性；另一方面，能体现我国的法治化程度，因为目前我国实际上对侵犯公民个人信息的行为加大了控制力度，但更多的是通过行政手段在规制，比如前述提到的国家广电总局严禁炒作名人丑闻、绯闻、劣迹的禁令以及公安部联手开展打击违法短信行动②等等。

笔者认为，与其赋予行政手段过大的裁量权，不如将其纳入到刑法的框架之内，通过司法程序规制。

综上，第253条之一第1款的主体为一般主体，只要将合法持有的信息出售牟利或者非法提供给他人，情节严重的，亦应构成本罪。

②参见：“公安部等昨起联手开展打击违法短信行动”，信息来源：/t/2005-11-02/0911754299.shtml（访问日期：2009-5-19）2.对第1款列举的主体的理解换句话讲，除了国家机关或者金融、电信、交通、教育、医疗等单位以外是否还有其他单位的工作人员将依职权合法获取的信息出售或者非法提供给他人，如房地产公司、高级会所、酒店和网络公司等单位。

通过前面的论述我们可以得出结论，只要是符合能够依职权或者服务获取公民个人信息的单位或者个人，都可以构成本罪的主体。

在此结合前面论述，进一步阐释第235条之一应为一般主体的理由：（1）这些单位能够实施完全符合本罪客观方面的行为。

该条第1款规定的行为的客观方面可以概括为“合法获取+非法提供”。

何谓合法获取？笔者理解为主体依照职权、依照相关规定取得或者相对人自愿提供。

如为了治安需要，规定入住酒店必须出示身份证并进行严格登记；又如学生或者社会人员为考试、注册等提供的个人信息，上述情形下取得的公民个人信息是合法的。