最高人民法院 最高人民检察院

关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释

　　(2017年3月20日最高人民法院审判委员会第1712次会议、2017年4月26日最高人民检察院第十二届检察委员会第63次会议通过,自2017年6月1日起施行)

　　为依法惩治侵犯公民个人信息犯罪活动,保护公民个人信息安全和合法权益,根据《中华人民共和国刑法》《中华人民共和国刑事诉讼法》的有关规定,现就办理此类刑事案件适用法律的若干问题解释如下:

　　第一条 刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息,包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

　　【解读】明确了“公民个人信息”：能够单独或者与其他信息结合识别特定自然人身份（静态识别）或者反映特定自然人活动情况（动态轨迹）的各种信息。

　　第二条 违反法律、行政法规、部门规章有关公民个人信息保护的规定的,应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

　　【解读】对违反国家有关规定的界定：部门规章一级属于国家规定。

　　第三条 向特定人提供公民个人信息,以及通过信息网络或者其他途径发布公民个人信息的,应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。

　　【解读】刑法中“违反国家有关规定，向他人出售或者提供公民个人信息”包括了向特定人提供以及通过网络等途径发布信息两种形式。

　　未经被收集者同意,将合法收集的公民个人信息向他人提供的,属于刑法第二百五十三条之一规定的“提供公民个人信息”,但是经过处理无法识别特定个人且不能复原的除外。

　　【解读】将合法收集的信息向他人提供的，也被禁止。但和第一款相对比有一疑问：若通过网络发布是否也被禁止？除外的规定是，对合法收集的信息经过处理，但失去识别特定人功能且不能被恢复的除外。

　　对律师的提醒在于，在执业过程中要特别注意保护当事人的个人信息安全，特别是对于涉及隐私的案件、不公开审理的案件信息等要与刑法联系起来，否则，易触“泄露不公开审理案件信息”，严重的构成犯罪。

　　第四条 违反国家有关规定,通过购买、收受、交换等方式获取公民个人信息,或者在履行职责、提供服务过程中收集公民个人信息的,属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

　　【解读】刑法修正案在提供公民个人信息的表述中去掉了“非法”二字，但对于获取，仍然存在“非法”的表述。对于购买收受等方式获取公民个人信息属于“以窃取或以其他方法非法获取公民个人信息”容易理解，但是，“在履行职责、提供服务过程中收集公民个人信息的”属于非法获取公民个人信息，的确存在难以界定的情况，具体有两点疑问：1.从本条规定上看，只要是在履职或提供服务过程中收集了公民个人信息就构成非法获取，如果符合第五条所列情形之一就构成犯罪；2.但是，若履行职责或提供服务本身就要合法的收集公民个人信息，如果按1的理解，岂不在司法中造成困境？所以，笔者认为更严谨的表述应当是：“在履行职责、提供服务的过程中利用职务便利为牟利或传播而收集公民个人信息的”。

　　第五条 非法获取、出售或者提供公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一规定的“情节严重”:

　　【解读】一直以来“情节严重”不仅是入罪的标准，也是困扰审判实务的关键问题，由于立法上的缺位，事实上对于“情节严重”的判断标准完全授权给审判法官来综合认定。所以，本司法解释重点就是对“情节严重”做出具体规定。

　　(一)出售或者提供行踪轨迹信息,被他人用于犯罪的;

　　【解读】利用设备对他人定位跟踪，在科技时代已经不是难题，所以，本项规定，将此信息进行出售或提供给他人，并被他人用于犯罪的，属于情节严重，应予入刑。

　　但这里仍有问题需要分析：若存在通谋，则应认定为与后者为共同犯罪，而不应简单地认定为本罪。同时，对于后者“用以犯罪”的实质标准如何界定，即，后者所从事的行为，以何为参照属于“犯罪”？是被公安立案追诉、被起诉还是判决生效？

　　(二)知道或者应当知道他人利用公民个人信息实施犯罪,向其出售或者提供的;

　　【解读】这是帮助犯的表现。成立帮助犯，要求有帮助的行为与帮助的故意，共犯的从属性还要求被帮助者实行了犯罪。所以，本项在“知道或应当知道”他人利用公民信息犯罪而向其提供信息的，严格来说，不能单独成立本罪，应当于后者成立共同犯罪。

　　(三)非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的;

　　【解读】特定信息起点50条以上就构成犯罪，哪怕后者获取后并不从事违法犯罪活动。50条以上的行踪轨迹信息、通信内容（短信、电话录音等通信内容）征信信息、财产信息。

　　笔者在此认为，“通信内容”的概念还是过于宽泛，应当采取限缩解释，否则，会有打击面过宽之嫌。比如现在的微信聊天，当然也属于“通信内容”，而且，朋友圈中有时截屏转发很平常，如果不限缩解释，微信截屏也有潜在风险。

　　(四)非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的;

　　【解读】“可能影响人身、财产安全的”特定信息达到500条以上，就可入刑。本项采取的是数量标准与信息功能标准。细微的区别是，本项提及的“通信记录”区别于前项的“通信内容”。

　　(五)非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的;

　　【解读】其他信息达5000条以上的。

　　(六)数量未达到第三项至第五项规定标准,但是按相应比例合计达到有关数量标准的;

　　【解读】司法解释的用语“按相应比例”难以明确。

　　(七)违法所得五千元以上的;

　　【解读】无论哪种信息，哪怕数量不达标，但获利数额达到5000元以上的，也要入刑。

　　(八)将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人,数量或者数额达到第三项至第七项规定标准一半以上的;

　　【解读】对应数量一半也要入刑。但限于“在履行职责或者提供服务过程中获得的公民个人信息”。

　　(九)曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚,又非法获取、出售或者提供公民个人信息的;

　　【解读】通常意义上的“再犯”情形。

　　(十)其他情节严重的情形。

　　实施前款规定的行为,具有下列情形之一的,应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”:

　　(一)造成被害人死亡、重伤、精神失常或者被绑架等严重后果的;

　　(二)造成重大经济损失或者恶劣社会影响的;

　　(三)数量或者数额达到前款第三项至第八项规定标准十倍以上的;

　　(四)其他情节特别严重的情形。

　　【解读】“情节特别严重”的情形，采用了危害后果、社会影响和数量或数额倍数的标准。

　　第六条 为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一规定的“情节严重”:

　　(一)利用非法购买、收受的公民个人信息获利五万元以上的;

　　(二)曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚,又非法购买、收受公民个人信息的;

　　(三)其他情节严重的情形。

　　【解读】尽管获取信息用于合法经营，但达到前三项的标准也要入刑。

　　实施前款规定的行为,将购买、收受的公民个人信息非法出售或者提供的,定罪量刑标准适用本解释第五条的规定。

　　第七条 单位犯刑法第二百五十三条之一规定之罪的,依照本解释规定的相应自然人犯罪的定罪量刑标准,对直接负责的主管人员和其他直接责任人员定罪处罚,并对单位判处罚金。

　　【解读】“双罚制”，单位构成犯罪，即处罚直接负责的主管人员、直接责任人员，也对单位判处罚金。而且，入刑标准适用“相应自然人犯罪的定罪量刑标准”。

　　第八条 设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组,情节严重的,应当依照刑法第二百八十七条之一的规定,以非法利用信息网络罪定罪处罚;同时构成侵犯公民个人信息罪的,依照。

　　【解读】本条属于“创新”解释。即，“设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组情节严重的”笔者理解，这里的“情节严重”的判断标准，也适用第五条的标准。在竞合的情况下，以侵犯公民个人信息罪定罪处罚。

　　第九条 网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务,经监管部门责令采取改正措施而拒不改正,致使用户的公民个人信息泄露,造成严重后果的,应当依照刑法第二百八十六条之一的规定,以拒不履行信息网络安全管理义务罪定罪处罚。

　　【解读】与第八条的创新相同，即，增设“拒不履行信息网络安全管理义务罪”的罪状：“网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务,经监管部门责令采取改正措施而拒不改正,致使用户的公民个人信息泄露,造成严重后果的”。

　　第十条 实施侵犯公民个人信息犯罪,不属于“情节特别严重”,行为人系初犯,全部退赃,并确有悔罪表现的,可以认定为情节轻微,不起诉或者免予刑事处罚;确有必要判处刑罚的,应当从宽处罚。

　　【解读】笔者学习至此，看到此条甚感欣慰。实务中，有“被动接收信息”的情形，如果仅按数量标准定罪，显然，罪刑不适应。比如笔者办理的案件，委托人与“信息贩子”反复讨价还价，但信息贩子在没收到钱的情况下，直接通过QQ将文件发给获取信息者，这个文件数个G，信息量巨大。收到信息后，委托人根本没有使用，也没有泄露，没有造成任何的危害后果，所以，对于此种情况，不仅属于“情节轻微”，还应属于“情节显著轻微”，可以不作为犯罪处理。

　　所以本条规定，止步于“情节轻微”是欣慰中的遗憾，还应当有“情节显著轻微”的判断标准。

　　第十一条 非法获取公民个人信息后又出售或者提供的,公民个人信息的条数不重复计算。

　　向不同单位或者个人分别出售、提供同一公民个人信息的,公民个人信息的条数累计计算。

　　对批量公民个人信息的条数,根据查获的数量直接认定,但是有证据证明信息不真实或者重复的除外。

　　第十二条 对于侵犯公民个人信息犯罪,应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等,依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。

　　【解读】关于本罪的罚金刑规定。有违法所得的，最高可处五倍以下罚金。

　　第十三条 本解释自2017年6月1日起施行。

　　【解读】《关于适用刑事司法解释时间效力问题的规定》第二条对司法解释具有溯及力则作出了明确规定:“对于司法解释实施前发生的行为，行为时没有相关司法解释，司法解释施行后尚未处理或者正在处理的案件，依照司法解释的规定办理。” 所以，在2017年6月1日之后，对于“尚未处理或者正在处理的案件”本解释是有条件的具有溯及力。

                                                                               （文章来源：微信公众号“吴世柱律师”）