厚积薄发
启行千里
本文根据上海海事大学法学院研究生徐虎成在“第三届厚启商事犯罪论坛”上的发言整理而成
非常荣幸能参加厚启所举办的商事犯罪论坛，刚才听了张主任、马主任、孙主任对于侵犯公民个人信息罪的一些观点，让我受益匪浅。我的实务经验相对比较匮乏，还需要向大家多学习，我仅从个人学术研究方面谈谈自己的认识。我想从三个方面来讲一下侵犯公民个人信息罪。第一个是现状，第二个是归纳总结一下侵犯公民个人信息罪的辩护要点，第三个是对侵犯公民个人信息罪和其他的一些相关网络犯罪的认识。
第一个是现状，现在侵犯公民个人信息的犯罪率以及裁判率都在指数级的上升。在现实生活中，包括我们个人，获取公民个人信息也太容易了。包括小区门口、各个单位天天需要扫的健康码、通行码的收集，这些信息都会不经意间被流露出来，因此获取其他公民的个人信息也变得更加容易了。这是大数据时代、网络时代的现状。从立法现状来讲，从2005年到2020年，所有的立法逐步都从之前单一制立法到现在包括司法解释、单行法等等在内去规制公民个人信息的保护，比如《个人信息法》、《个人信息保护法》、《网络安全法》、《民法典》等等，几乎在法律体系上已经比较完备了。但是存在一个问题，就是不同法律之间对于个人信息的定义是不同的。虽然公民个人信息具有“可识别性”这一个醒目特征，但从学术以及法律统一秩序性上讲，还是应当将个人信息的定义明确，刑法作为一道后防保护线应当在民法和行政法之后发挥作用。
我认为刑法对于侵犯公民个人信息的规定中，不应该有过多其他法律中没有明确规定的内容出现，以统一法秩序。第二个就是侵犯公民个人信息犯罪当中，存在这样一个现象，即对于个人入罪门槛比较低，处罚也比较低，多半是以缓刑为主。其次是对于单位犯罪的罚金处额是比较低的，在比较法角度，相对于欧美其他国家而言，对于单位犯侵犯公民个人信息罪的，很少有超过一百万元的处罚。此外，单从侵犯公民个人信息罪的法律条款来看，无论是对于这一行为还是对于信息的认定，都是呈扩张解释的。尽管法律条文进行了非穷尽式的列举，但检察院、法院在实际办案和认定当中，对于公民信息的具体认定是逐渐扩张的，不会区分具体的信息包含什么东西，或者是不包含什么东西，只要在内存卡或在清单里的，就一窝蜂将其认定为个人信息。而且对于个人信息收集的行为边界也是逐渐扩张，这是我们所需要面对的一个现状。
第二个是从侵犯公民个人信息罪的辩护要点来讲，我认为一般要从这几个部分入手。
第一个方面是犯罪主体的认定。因为在2009年的刑法修正案中，该罪的构罪主体只是特殊主体，但在之后将主体扩张到了一般主体。所以在实际办案过程中，应当对证明主体身份的证据进行审查，尤其是对于证明特殊主体身份的，要审查有无证明犯罪嫌疑人所供职单位的工商注册资料去判断其职业范围，确认其所负责的劳动合同、工作职责范围的证明及保护协议等证据。
第二个方面是从个人信息内容认定方面。敏感信息、次敏感信息以及一般信息，不同信息的标准对于刑罚处罚程度是不同的。所以在办案过程中，需要对不同个人信息进行鉴定，到底什么样的个人信息属于敏感信息、次敏感信息或一般信息。特别是两高司法解释第十一条中规定“有证据证明信息不真实或者重复的除外”，这在以往的判例中，有些法院会据此作为量刑情节对待。如果辩护人能够提供涉案信息存在虚假或重复的证据，就能大大为被告人减轻刑罚。
第三方面是行为方式的认定。刑法第257条列举了包括出售、提供、窃取或是其他方法非法获取，重点在“以其他方法非法获取”。在辩护时要尽可能调查，避免扩大化解释，尽量将其他方法定位成以上列举的具体方法。如果以其他方法进行辩护的话，很容易以严重情节这一条款进行处罚。
第四方面是侵犯公民个人信息中对于“违反国家有关规定”的理解。此处需要注意审查的是，包括地方性行政法规，因为在以往的判例当中，也有对于违反地方性行政法规侵犯公民个人信息进行处罚的先例。
第五方面是关于“为合法经营而非法收售个人信息”的认定。两高司法解释第六条关于合法经营活动购买、收售信息的条款实际上提高了入罪门槛，但是又要求满足三个条件，其中重点关注第三条“未造成信息的扩散”。因为没有造成信息的扩散或没有获利的情形，在司法实践中对于被告人的处罚就会减轻。司法解释第六条也规定了不认定为犯罪或认定为罪轻的情形，这几个条款需要和其他条款一起进行识别后才能反映活动的信息，在司法解释中，只有此类信息是不能认定为犯罪的。所以我们在辩护的过程中应当重点关注。
在人工智能时代，网络犯罪会越来越多。特别是司法解释第七点讲到“受过行政处罚”，在侵犯公民个人信息罪中，除了工信部对于一些大型、构成垄断的企业进行处罚以外，行政处罚的机构却没有认定，我感觉这以后会是一个方向，可能会慢慢将这种刑事犯罪更多地以行政处罚的方式来解决。
非常感谢厚启所给我这个平台和机会。我的发言结束，谢谢大家！
联系客服
