苏义飞律师

    近期办理了一个侵犯公民信息案，之所以将“公民”二字划掉，是因为本案的特殊之处在于：被告人刘某贩卖的信息为经其加工整理之后的企业注册信息，包括公司名称、法人经营者姓名地址、经营范围、联系电话等信息69万余条。那么这种收集、出售企业信息的行为是否构成《刑法》第二百五十三条之一规定的侵犯公民个人信息罪？

      个人拙见

      贩卖企业、个体工商户信息不构成侵犯公民个人信息罪。侵犯公民个人信息罪的对象是“公民个人信息”，工商企业、个体工商户信息不属于该罪的犯罪对象。主要理由是：

      第一，从公民个人信息本身的定义和属性来看，刑法中的“公民个人信息”不宜作扩大解释。

      公民个人信息范围极广，一般认为，刑法意义上的公民个人信息不同于普通意义上的公民个人信息。《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条规定，“‘公民个人信息’，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”

      因此，侵犯公民个人信息犯罪的对象“公民个人信息”，至少具备以下三个特征：

      第一、可识别性。侵犯公民个人信息罪的直接客体则是公民个人的对其信息的一种控制权即公民的个人信息权。倘若出售、提供、窃取或通过其他方法获取的个人信息无法直接或间接识别出具体的、特定的个人，那刑法保护的个人信息权便无所依附，也无刑罚处罚的必要。司法解释将这种提供的个人信息经过处理无法识别特定个人且不能复原的情形作为提供危害行为的例外，也说明了个人信息的识别性特性。 涉案文件中的信息内容如前述第一部分所述，其中的地址是企业经营地址，电话是法定代表人的营业号码，并不具备可识别性。我们做过实验，我们给本案的电话通话时，很多的一句话就是“您好，我们是....公司”“您好，这里....”这些号码，联系到时是公司或者个体工商户，不是公民个人。

      第二、私密性。如个人家庭信息、银行账户及密码、通讯记录等不愿为人所知的私人信息，亦如反映个人活动情况的行踪轨迹。侵犯个人隐私权就是对个人信息权的侵犯，所以从某种程度上来说，法律保护个人信息是为了防止个人隐私的非法披露和公开，维护个人信息的私密性。公司、企业、个体工商户的信息，主体本身就愿意将其公之于众，主动公开的个人信息并不具有私密性。公民个人信息，具有一定的私密性。工商企业、个体工商户信息是可以在网站中查询得到的（如下图所示）。企业名称及法定代表人姓名均可以在国家工商总局的国家企业信用信息公示系统中查询，而公司的电话（通常为法定代表人电话）也可以在该系统中查询，具体的内容在企业年度报告之中。根据《企业信息公示行条例》（国务院令第654号，2014年10月1日实施），第八条、第九条规定企业应当于每年1月1日至6月30日，通过企业信用信息公示系统向工商行政管理门报送上一年度报告，并向社会公示，包括：企业通信地址、邮政编码、联系电话、电子邮箱等信息。可以看出，企业联系方式属于应当向社会公示的范畴。而在公示的联系方式中，有相当部分就是公司法定代表人手机号码。

      此外，最高人民法院研究室法官喻海松，执笔《最高人民法院、最高检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，其在《侵犯公民个人信息罪司法解释理解与适用》一书中讲到“对于权利人自愿公开、甚至主动公开的公民个人信息，行为获取后出售、提供的行为，目前不宜侵犯公民个人信息罪论处。主要理由考虑如下：

      （1）关于公民个人信息的权利属性....一般认为...是从隐私权中分离出来的权利。特别是在我国，以往对公民个人信息的界定采用了‘涉及个人隐私’的表述。......由于行为人自愿公开，通常不会对权利人的隐私和生活安宁造成侵犯.....有些情形下行为人希望相关信息传播，如涉及公民个人信息的广告信息和商贸信息，将其认定为犯罪明显违背一般人的认知。

     （2）根据刑法第二百五十三条之一的规定，须以‘违法国家有关规定’为前提。......对于权利人自愿公开、甚至主动公开的公民个人信息，经整理后（未形成新的信息内容）向他人提供的行为，....本书认为，.....宜推定为概括同意，不宜对收集后出售或者提供的行为要求二次授权，也就不应认定行为人具有出售或者提供公民个人信息的行为系‘违法国家有关规定’。

     （3）当前，我国侵犯公民个人信息违法犯罪泛滥，公民个人信息保护水平整体不高。.....对侵犯公民个人信息罪的适用应当主要以涉侵犯未公开的公民个人信息案件为重点....否则，由于涉出售、提供公开公民个人信息的案件侦办难度相对较小，公安机关可能以此类案件为打击重点，反而会造成对未公开的公民个人信息刑事保护的不力”。

      第三、危害性。法律治理的梯度性，决定了刑法只规制严重侵害或威胁法益的行为。刑法上的公民个人信息与民法、行政法中的概念有所不同。确切地说，刑法上的公民个人信息是具有法益关联性的信息，非法获取、使用、泄露这些信息将对公民的人格权和财产权造成严重的侵害或者使其处于遭受严重侵害的危险之中。只有具有如此重要价值的信息，才可以被刑法上的公民个人信息所涵摄。而本案中，从刘某对工商信息的获取渠道、行为方式及过程、事后的影响范围等各个角度来看，均未造成重大危害。

       第二，单位不应该纳入“公民”涵盖的范围之内。

      其一，本罪的罪名是“侵犯公民个人信息罪”，“个人”与“单位”是完全互斥的两个概念，无论作怎样的扩大解释，都不可能将“单位”解释到“个人”涵括的范围之内。单位信息无法直接或间接识别出具体的特定的个人，因此不属于“公民个人信息”。

      其二，单位不享有个人所具有的信息自由、安全权和隐私权，从法律上分析，绝大多数信息自由、安全权和隐私权均是产生于个人人格权，而单位又不具有个人人格权，因而单位也就不可能具有这些只有个人才有的信息权。相反，有时甚至还需要承担信息公开的义务。例如，上市公司有依照法定方式公开其经营状况或者有可能影响股票价格的信息的义务。

      其三，虽然单位也具有一定范围刑法需要保护的信息权，例如，单位所具有的“商业秘密”、“商业信誉”和“商品声誉”权等，但是对于侵犯单位有关商业秘密、商业信誉和商品声誉等信息权，完全可以侵犯商业秘密罪和损害商业信誉、商品声誉罪等罪名追究相关行为人的刑事责任。

      个体工商户的信息不属于公民个人信息，不属于特定自然人身份或者反映特定自然人活动情况的信息，其信息只能反映是个体工商户的情形。因为现在固定电话比较少，特别是对于流动性较大的个体工商户，其几乎都不会在安装固话，因此就会用一个手机号码。这一手机号码充当了原来固定电话的功能，放在店面里面，大家都可以接听电话，并不属于某一特定自然人的信息。并且这些号码都是对方公开的，个体工商户希望更多人知道号码，从而获得更好的商机。

      如下判决，亦可例证上述观点：

重庆市第五中级人民法院(2017)渝05刑终919号

侵犯公民个人信息罪

梁某某违反国家有关规定，向他人提供或通过交换、下载等方式非法获取公民个人信息6548条，其中包括非法换取车主信息5728条，从QQ群众非法下载820条公民个人信息。不包括提供和换取的法人信息4209条。

经查，梁某某向QQ昵称“J梦之星”提供和换取的法人信息4209条，因部分信息的内容与该法人向外公布的注册信息内容一致，故现有证据不能认定上述4209条涉及公民个人信息是梁某某违反国家有关规定，提供和非法换取的

河北省清河县人民法院(2017)冀0534刑初178号

侵犯公民个人信息罪

利用QQ群贩卖车主信息、保险信息、老年保健信息、信用卡个人信息等公民个人信息。

王某提供的记账日记本上记录的贩卖的公民个人信息数量并不准确，有的是按价格进行估算，且包含已进入公共领域不涉及个人隐私的企业工商法人信息，以及一些为获利而提供的虚假的重复的信息，上述信息依法不能直接或重复计算在犯罪信息量之内

重庆市第五中级人民法院(2017)渝05刑终1090号

侵犯公民个人信息罪

利用网络，加入多个以“交流信息资源”为目的的QQ群，从中交换涉及公民个人信息的企业法人等资料（包括公司名称、住所地、法定代表人姓名及手机号码等信息）。通过QQ在线传输向他人发送及接收128个文件，涉及企业法人信息共计71292条，其中周某某向他人发送信息32616条，接收他人发送的信息38676条。

周某某向他人发送的32616条信息中部分属于法定代表人信息，可以通过互联网检索查询，亦应当予以排除。

      人民法院报载文一则

      公民个人信息刑法保护的例外

    （吴心斌 温锦资）

      被告人李某自2016年起，在网上通过QQ、微信等方式向他人贩卖公民个人信息。2017年3月，刘某、黄某向李某购买公民个人信息用于犯罪，李某向此二人贩卖公民个人信息777313条，在缴获的李某的电脑内查获167354条公民个人信息。

      一审

      广东省深圳市罗湖区人民法院经审理认为，被告人出售的信息中含有公司名称、法定代表人姓名、手机号码、公司地址等，属于能够单独识别特定自然人身份的信息，该类信息属于公民个人信息。被告人未经被收集者同意，将合法收集的公民个人信息出售给他人，情节特别严重，构成侵犯公民个人信息罪。被告人构成坦白，可从轻处罚。判处被告人有期徒刑四年，并处罚金人民币4万元。被告人不服提出上诉。

      二审

      广东省深圳市中级人民法院经审理认为，企业根据法律法规规定或为经营所需而公开的企业信息，即使包含了个人姓名、联系方式，亦不属于刑法意义上的公民个人信息，原审认定该类信息属公民个人信息有误。遂以事实不清，适用法律错误为由，裁定撤销原判，发回重审。

      法官回应

      企业公开信息中的自然人信息不受刑法保护。本案值得关注讨论的问题，一是如何理解认定企业信息中依法或者为经营公开的自然人信息；二是侵犯公民个人信息案件应如何把握行为与对象之间的关系。

      1.刑法意义的公民个人信息范畴及例外

      侵犯公民个人信息犯罪侵犯的对象是公民个人信息，《公民信息解释》对于公民个人信息的概念作出了规范解释，公民个人信息是指电子或者以其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。本案被告人收集、出售的信息中就包含了个人姓名及联系方式，一审据此认定该信息属于公民的个人信息。但形式上符合刑法规范意义上公民个人信息的自然人身份信息，可以存在刑法保护的例外。

      从刑法法益保护角度分析，当个人姓名及联系方式等信息根据国家有关规定或者为经营需要以企业基本信息的方式在互联网公开时，是企业为了符合法律规定或者经营需要选择将自然人信息从属于企业信息。如果限制该信息的流转、使用，反而与该信息公开的目的相违背，因此对于该部分自然人信息刑法并无介入保护的必要。同时，企业公开的企业信息中包含自然人姓名及联系方式，对个人来讲是个人为企业让渡、牺牲了部分公民个人信息的利益，个人对其相关信息会被扩散和周知应该有所认知并同意该信息向社会公开，公众可以自由查询，对该类信息合理合法的利用属于公众合理的期待范围。从这个角度讲，亦无将此类个人信息列入刑法侵犯公民个人信息罪调整对象的必要。

      2.行为与对象关系的把握

      二审法院认为企业信息虽然包含了自然人姓名及联系方式，但该信息属于刑法公民个人信息保护的例外，被告人收集、出售的行为不构成侵犯公民个人信息罪。由于涉案的信息中含有自然人姓名及联系方式等自然人信息，从形式上判断该自然人信息就属于能识别特定自然人身份信息，如果该信息不属于企业公开的企业信息，那么仍属于公民个人信息范畴。

      之所以要考虑这个问题，一是企业信息中确有不公开或者有限制的公开的信息，比如限制了公开的范围、对象、时间；二是被告人是使用搜索软件搜索信息，虽然被告人供称该搜索软件仅能搜索互联网中企业公开的基本信息，但公安机关并未对此进行查实，无法认定该软件是否类似“黑客”软件具备窃取企业未公开信息的功能。如果该软件具备窃取功能，本案中包含的个人信息就可能不属于企业公开的信息，不属于公开的自然人信息无疑还在公民个人信息范畴，被告人通过窃取手段获得并出售该类信息，仍构成侵犯公民个人信息的犯罪行为。