案例｜个人信息，如何认定非法收集?

来源：肖飒lawyer

　　2015年《刑法修正案（九）》将《刑法》第二百五十三条之一修改成了现在的侵犯公民个人信息罪，这表示着我国对公民个人信息的进一步保护。从该条文的规定上看，前两款规制的都是非法的出售或提供公民个人信息的行为，只是前提条件略有不同。而第三款则对非法获取公民个人信息的行为进行了规制，但表述上仅使用了“窃取或者以其他方法非法获取公民个人信息”的文字，并没有过多列举。该条款甚至没有前两款中“违反国家有关规定”的限制，而只需要是非法获取行为即可。

　　那么，非法获取行为在实践中如何认定，以及如何判定该行为构成侵犯公民个人信息罪便成为一个重要的问题。今日文章仍然以案例的形式（（2020）川15刑终241号刑事裁定书），为上述问题进行简要的分析和回答。

　　一、基本案情

　　2018年以来，被告人沈某某违反国家有关规定，利用网络社交软件，通过购买、收受、交换等方式获取大量公民个人信息，共计29282663条。后又通过网络将其非法获取的公民个人信息予以发布、出售。其中，被告人沈某某使用QQ号在70个QQ群内发布“某市千万条数据打包，手上大批资料处理，统一打包，这几年的所有车主资源以及楼盘业主资源、工商资源。还有各类教育跟银行按揭贷款数据，有需要的联系我”的消息，累计发送1041次。

　　2018年底，被告人徐某以600元的价格向被告人沈某某购买车主个人信息10000余条，2019年4月8日，被告人徐某又以400元的价格向被告人沈某某购买5份广东省车主个人信息共7619条。被告人徐某使用自己购买的车主个人信息注册绑定某APP账号用于领取积分，从而换取实物礼品出售牟利或自用。

　　此外，被告人沈某某于2019年3月5日，将5份某市部分小区业主的个人信息共4302条出售给陈某，非法牟利40元，又于2019年3月19日，将3份某市部分学校历年就读学生的个人信息共533条非法提供给贺某某。

　　二、裁判过程及裁判结果

　　一审法院认为，被告人沈某某以牟利为目的，违反国家有关规定，非法获取公民个人信息并向他人出售，情节特别严重，被告人徐某以牟利为目的，违反国家有关规定，非法获取公民个人信息，情节严重，二被告人的行为均已构成侵犯公民个人信息罪。

　　故判决：一、被告人沈某某犯侵犯公民个人信息罪，判处有期徒刑三年，并处罚金人民币一万元；二、被告人徐某犯侵犯公民个人信息罪，判处有期徒刑一年，缓刑二年，并处罚金人民币二千元。被告人沈某某提起上诉，二审法院审理后裁定驳回上诉，维持原判。

　　三、争议焦点

　　经过整理，本案争议焦点如下：1、被告人所获得的信息是否为非法获得。2、被告人所获取的公民个人信息条数应该如何认定。

　　四、案例评析

　　（一）被告人所获得的信息是否为非法获得

　　就侵犯公民个人信息罪而言，无论信息来源如何，只要违反国家规定，将公民个人信息出售或提供给他人，达到情节严重的标准，就能够构成本罪。因此，出售或提供信息的行为构成犯罪是比较容易的，而购买或者说获取行为则不同。

　　在刑法中，购买行为其实一般不会构成犯罪，比如在毒品犯罪中，购买毒品用于自己食用，是不会构成犯罪的，但是出售毒品是一定会构成贩卖毒品罪的，此时对于购买者而言其可能会承担一定行政责任。在公民个人信息领域亦是如此。获取公民个人信息的行为，仅在特定情况下即窃取或以其他方法非法获取的情况下，才能满足侵犯公民个人信息的客观构成要件。

　　而实践中，最常见的类型，是最高法最高检《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》）中第四条规定的行为，即“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的”行为。因此获取行为的非法性，仍然体现在违反国家有关规定。只有满足违反国家有关规定的条件，该获取行为才是本罪所评价的以其他方法获取公民个人信息的行为。当然需要注意的是，窃取行为不必满足“违反国家有关规定”的要件，行为本身便是一种非法获取行为。

　　本案中，被告人沈某某上诉称其没有非法获取公民个人信息，系自己曾在担任人力主管期间公司给予的相关信息。但一方面，沈某某自身在整个审理过程中多次变更自己的供述，其变更供述没有合理解释，其内容也无相关证据佐证，而综合所涉信息内容来看，并不属于一家公司在合法的情况下能够收集的公民个人信息；另一方面，即使涉案公民个人信息来源于公司，那么根据《解释》第四条的规定，仍然应当认定为“以其他方法非法获取公民个人信息”。综上，法院据此认为其行为属于非法获取公民个人信息的行为，具有合理性。

　　（二）被告人所获取的公民个人信息条数应该如何认定

　　侵犯公民个人信息的案件中，一个重要数据便是个人信息的条数，其数量直接影响了该罪的定罪和量刑。而有关公民个人信息的数量的计算和认定，《解释》中亦有明确规定。根据《解释》第十一条的规定，“非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”依照此条，基本能够解决本罪的条数认定问题。

　　本案中，沈某某上诉称被查获的二千余万条信息存在重复的内容。但该数量实际上已经是公安机关去除重复信息后的结果，且根据《解释》第十一条的规定，是可以根据查获的数量直接认定的，并由被告方承担举证责任证明信息不真实或重复，而本案中并不存在这样的证据，因此法院的认定是适当的。

　　五、写在最后

　　近年来，个人信息越来越受到重视，数据方面的立法也开始完善，与此相对的，侵犯公民个人信息罪也逐渐受到关注。这使得我们应当关注侵犯个人信息罪的方方面面，以此规避相关的刑事风险。