关键词：侵犯公民个人信息；信息内容；形式条款；情节严重
【裁判要点】
侵犯公民个人信息罪中的“公民信息”既包括能识别公民身份的静态信息，亦包括能体现公民行踪的动态信息。对于行为人违法性的判断应持实质性考察的立场，结合其获取的信息数量、信息类型、营利数额、信息用途、危害后果、获取手段等因素，达到“情节严重”程度的，构成侵犯公民个人信息罪。
【相关法条】
《中华人民共和国刑法》第二百五十三条之一 违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
案件索引
一审：上海市浦东新区人民法院（2016）沪0115刑初4109号（2017年5月22日）
二审：上海市第一中级人民法院（2017）沪01刑终1344号（2018年3月20日）
基本案情
上海市浦东新区人民法院、上海市第一中级人民法院经审理查明：2014年间，上海锐英公司总经理肖江获悉英国的CARRO公司拥有入侵全球GSM通信网络的定位技术，遂要求其公司副总经理严时浪与CARRO公司接洽并签订合同。双方约定“每査询一次手机定位信息需要1至4个点，每个点支付4英镑费用”。其后，严时浪组织公司技术人员研发出了中文査询界面，与CARRO公司实现了网络同步对接，并先后6次向对方公司支付钱款折合人民币70余万元，用于购买查询手机定位信息的点数。自2015年7月起至案发，肖江、严时浪以及其公司创新事业部副经理阳烽等人通过公司的销售网络推出手机基站定位业务，并使用下属关联企业锐浩公司名义与多家公司订立名为云平台取证服务、实为买卖公民手机定位信息的合同（但在合同中标明仅用于司法机关办案所需）。其中，2015年7月至11月期间，阳烽以锐浩公司名义先后四次与普天科信技术有限公司法定代表人李勇（另案处理）签订上述性质的合同，实际售出点数1100点，总计金额为人民币71万余元。李勇在购得上述査询点数后，再以每条定位信息350元至600元不等的价格向曹俊峰、胡骏（另案处理）等人出售。
裁判结果
上海市浦东新区人民法院于2017年5月22日作出（2016）沪0115刑初4109号刑事判决:被告单位上海锐浩软件技术有限公司犯侵犯公民个人信息罪，判处罚金人民币80万元；被告人肖江犯侵犯公民个人信息罪，判处有期徒刑一年九个月，缓刑一年九个月，并处罚金人民币16000元；被告人严时浪犯侵犯公民个人信息罪，判处有期徒刑二年，缓刑两年，并处罚金人民币2万元；被告人阳烽犯侵犯公民个人信息罪，判处有期徒刑一年十个月，缓刑一年十个月，并处罚金人民币18000元。
一审宣判后，被告单位与三名被告人均不服，提出上诉。上海市第中级人民法院审理后，于2018年3月20日作出（2017）沪01刑终1344号刑事裁定:驳回上诉，维持原判。
裁判理由
法院生效裁判认为:被告单位锐浩公司非法获取公民个人信息并向他人出售，情节严重，已构成侵犯公民个人信息罪。被告人肖江、严时浪作为该公司直接负责的主管人员，被告人阳烽作为该公司的直接责任人员均成立侵犯公民个人信息罪。被告单位锐浩公司及被告人严时浪、阳烽到案后能够如实供述罪行，可以从轻处罚。被告人肖江接到严时浪打来的电话后主动至公安机关接受调查，并如实供述罪行，具有自首情节，依法可从轻处罚。根据本案的事实、性质、情节和对于社会的危害程度，遂作出上述裁判。
案例注解
大数据时代，信息资源是企业参与市场竞争不可或缺的要素。企业除了注重收集、整理、分析、保护自身在经营过程中收集的信息外，尚通过外部渠道如分享、交换、购买等形式获得。侵犯公民个人信息罪作为规制信息滥用、无序利用的有力手段，需与正常使用或者民事纠纷划出界限。本案争议焦点亦集中在定性层面，笔者认为被告单位与三名被告人均成立侵犯公民个人信息罪。理由如下：
一、通过与CARO公司网页对接所获取的手机定位信息属于本罪法益所涵盖的公民个人信息范畴
公民个人信息一般指能够识别公民身份的各种信息，按照字面解释，本案中行为人通过手机定位所获取的行踪轨迹很难被纳入入公民个人信息范围。但是，诸如此类的信息与公民人身权利息息相关，将其划出保护范围无疑是不周延的。因此，《最高人民法院、最高人民检察院、公安部关于依法惩处侵害公民个人信息犯罪活动的通知》对公民个人信息采取了扩大解释的态度，将公民个人信息分为公民个人身份信息和涉及公民个人隐私的信息两类。行踪信息事关公民隐私，属于公民个人信息。
本罪所指的事关公民身份或隐私的信息应当是权利人不希望扩散的并有积极保护意义的信息。从社会一般观念分析，信息所对应的权利主体追求该信息的隐蔽性方为国家保护的范畴，如某些人希望通过网络等手段炒作使自己出名，与此相关的信息自无保护的必要。同时，本罪法益所保护的信息必须是有积极意义的，如甲将所收集的网上追逃人员信息编撰成册并加以传播，则不侵犯本罪所保护的法益。本案中，手机使用者对自身被技术定位处于蒙蔽状态，从常理可推知，极少有人希望自身处于被监视状态，因此，手机定位信息属于权利主体不希望被他人知悉的信息。保护公民隐私权是国家的义务之一，对于保护公民的人格尊严、人身自由等意义重大。行踪信息属于隐私权中相当重要的一部分，放任行为的发生可能滋生民事纠纷乃至刑事犯罪，属于国家重点保护的对象。
二、形式意义的合同免责条款不能阻却行为违法性
本案中，锐浩公司对外签订合同时，均在合同中标注所提供的服务仅用于司法机关办案，希冀撇清自身责任。一审、二审庭审中，被告单位与三名被告人均以有此条款作为抗辩理由，主张侵犯公民个人信息属于作为合同相对方的李勇个人行为。本罪的罪状表述中明确载明违反国家有关规定是构成本罪的前提条件。从合同内容的形式意义观之，本案中的服务合同不违反国家规定，甚至还属于主动帮司法机关分忧解难的积极承担社会责任的行为。
但是，该理由是站不住脚的。第一，司法机关调取公民轨迹信息并不需要向锐浩公司或者普天科信技术公司购买服务，只需持相关证明即可至官方运营商处免费调取，此外，某些单位如公安机关、国家安全机关自身即有此技术条件与相关设备。第二，锐浩公司向英国 CARRO公司获取的点对点同步信息需支付相应对价，仅限司法机关使用和企业的营利性相悖。即使真想承担社会责任，只需告知司法机关其能够提供此项服务即可，无须与众多公司订立此技术服务合同，并且收取相应费用，这相当于本公司赚钱而要求其他公司承担社会责任。第三，公民手机定位信息受到国家的严格保护，与此相关的技术的引进和销售受到严格管制。锐浩公司并未经过相关部门许可，且对自身提供的技术服务具备的功能认识明确，明知李勇可能将服务用于出售公民个人信息，且李勇的售出点数和锐浩公司利润紧密相关，但主观上仍持放任乃至追求态度。
因此，仅具备形式上的合法性，但具体履行中，与合同内容相悖或者根本不可能按照合同内容操作的行为不应该阻却行为的违法性。本案中，锐浩公司对自己与李勇共同侵犯公民个人信息主观上有意思联络，客观上相互配合，由李勇寻找客户，锐浩公司通过终极意义上的英国CARRO公司完成服务内容，形成相互联系的整体，构成侵犯公民个人信息的共同犯罪。
三、情节严重属于综合性考量的入罪情
本罪属于情节犯，以情节严重作为入罪的客观要件要素之一。对于情节严重的把握，尚无明确的规定可供遵循。司法实践中，对情节严重的判断标准并不一致，有观点认为应按照侵犯的公民个人信息数量来进行划分，亦有按照后果来区分情节严重性的主张，还有以信息用途作为判断是否成立犯罪的说法。笔者持综合性判断的观点，判断情节是否严重应综合考虑信息数量、信息类型、营利数额、信息用途、危害后果、获取手段等因素，形成自由心证，强行划定标准既不现实也不必要。因为标准的划定仅具有参考意义，为了防止挂一漏万，最后仍需以其他严重情节之类的表述结尾，问题又回到原点。因此，将情节严重性的判断委之以法官的价值判断即可，但可通过对同类案例的归纳影响法官心证。
对本案而言，实际售出的点数高达11500点，即使持最保守的估算，以每4个点可査询一次，可侵犯的公民信息数量也高达2875人次；非法提供服务涉及的金额高达人民币71万余元；信息类型属于和人身紧密相关的行动轨迹，事关公民人身安全与自由；获取手段是网络，最终需在国外公司获取，风险可控性较小；信息用途和危害后果虽不明确，但可从常理推知，至少包括刺探个人隐私等。综合以上要素的分析，本案行为已然达到情节严重的程度。
四、网络定位获取公民个人信息的处断
在网络时代，侵犯公民个人信息常通过计算机这一工具进行，与其他犯罪发生竞合或者作为其他犯罪的手段行为是常态。前者如黑客侵入国家机关网络窃取相关公民个人数据，除了触犯本罪外，还可能同属触犯非法侵入计算机信息系统罪、破坏计算机信息系统罪等罪名，而本质上仍是一行为，因此，数罪之间产生想象竞合关系，应择一重处断。后者如获取公民个人信息后实施诈骗、敲诈勒索等行为，而此种类型为数行为，理论上有牵连犯择一重处断的观点与数罪并罚的观点，但是，作为司法解释性文件的《最高人民法院、最高人民检察院、公安部关于依法惩处侵害公民个人信息犯罪活动的通知》对此作出明确的规定，应当数罪并罚。
对于本案而言，锐浩公司的行为为重复性实施的一行为，而其行为利用了网络的特殊性，为李勇非法获取了多个具备计算机功能的手机中存储、处理、传输中的数据提供相应的程序支持，同时触犯了侵犯公民个人信息罪与提供侵入计算机信息系统的程序罪两个罪名。两罪的法定最高刑与法定最低刑均相同，而侵犯公民个人信息是犯罪目的，以侵犯公民个人信息罪评价行为性质更为妥帖。
综上所述，侵犯公民个人信息罪所保护的信息既包括身份信息，也包括隐私信息，对是否侵犯公民信息应进行实质性的判断，情节严重应综合考量相关因素进行价值判断，对于定罪应注意是否触犯数个罪名，如果答案为肯定回答，应区分属于一行为还是数行为，相应的按照想象竞合犯或者数罪并罚的标准确定最后的定罪。本案中，锐浩公司构成侵犯公民个人信息罪:肖江、严时浪作为公司的负责人，应对单位行为负相应的刑事责任；阳烽具体实施了对接工作，且主观上明知行为违法，不具备职务行为的犯罪阻却事由，应作为直接责任人员对侵犯公民个人信息的行为承担刑事责任。
（一审法院合议庭成员:丁晓青 李峰 褚云芳；二审法院合议庭成员:陈星 陈兵 王晓越；编写人:上海市第二中级人民法院姚翔宇）
原文载《网络司法典型案例.刑事卷.2018》，李玉萍主编，人民法院出版社2019年1月第一版，P1-7。
整理：江苏省苏州市公安局信访处（民意监测中心）“不念，不往”“诗心竹梦”。