刑事審判參考（2022年第3輯，總第133輯）
[第1496號]董某雷等侵犯公民個人信息案-侵犯公民個人信息罪中公民個人信息及數(shù)量的認定
節(jié)選裁判說理部分，僅為個人學(xué)習(xí)、研究和說明問題，如有侵權(quán)，立即刪除
二、主要問題
(一)在排除鑒定意見的情形下，如何認定侵犯公民個人信息罪的犯罪對象和數(shù)量?
(二) 如何區(qū)分侵犯公民個人信息罪與非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪?
三、裁判理由
(一) 在排除鑒定意見的情形下，綜合在案其他證據(jù)可以認定犯罪對象為公民個人信息且屬于可能影響公民人身、財產(chǎn)安全的敏感信息及其數(shù)量
近年來，針對公民個人信息的犯罪行為日益凸顯，嚴重威脅公民人身和財產(chǎn)安全。司法實踐中，行為人侵犯公民個人信息的數(shù)量從"倍數(shù)級”進階至“指數(shù)級”，且公民個人信息內(nèi)容存在重復(fù)、混同、龐雜等特點，信息本身識別困難，故司法機關(guān)通常依據(jù)鑒定機構(gòu)出具的鑒定意并結(jié)合其他證據(jù)來予以綜合認定。而作為鑒定依據(jù)的電子數(shù)據(jù)的收集、提取程序及規(guī)范，《最高人民法院、最高人民檢察院、公安部關(guān)于辦理事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》規(guī)定了明確、嚴格的程序要求和技術(shù)標準。
本案中，公安機關(guān)僅對被害公司自行提供的電子數(shù)據(jù)進行了勘驗檢查，但并未對該電子數(shù)據(jù)的真實性、原始性進行核對，亦未能對此作合理說明、故勘驗檢查筆錄及鑒定意見均未被法院采用。因此，在缺乏鑒定意見或者鑒定意見達不到證據(jù)采用標準而不能被采用的情況下，如何準確認定侵犯信息屬于公民個人信息及其數(shù)量成為本案審理的重點和難點。案件審理過程中，對所涉犯罪行為能否認定為侵犯公民個人信息罪及是否符合“情節(jié)特別嚴重”的情形存在兩種觀點:第一種觀點認為要認定侵犯信息屬于公民個人信息及其數(shù)量必須依據(jù)鑒定意見，在無符合證據(jù)采用標準的鑒定意見的情況下，宜根據(jù)“其他情節(jié)嚴重”或“情節(jié)特別嚴重”的情形，認定為非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪;第二種觀點則認為在缺乏鑒定意見的情形下，可以綜合在案其他證據(jù)認定為侵犯公民個人信息罪且屬于“情節(jié)特別嚴重”的情形。筆者同意第二種觀點，具體分析如下。
1.綜合在案證據(jù)可以認定本案犯罪對象為公民個人信息，且屬于可能影響公民人身、財產(chǎn)安全的敏感信息
公民個人信息是指以電子或者其他方式記錄的，能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼財產(chǎn)狀況、行蹤軌跡等。其中根據(jù)敏感程度并結(jié)合《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》(以下簡稱《解釋》)的規(guī)定，公民個人信息分為行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息類極其敏感的個人信息，住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的敏感個人信息以及除上述兩類信息之外的普通個人信息。對于敏感個人信息中“等其他可能影響人身、財產(chǎn)安全的公民個人信息”的表述，司法實踐中可以根據(jù)具體情況作等外解釋，但應(yīng)當確保所適用的公民個人信息涉及人身、財產(chǎn)安全，且與“住宿信息、通信記錄、健康生理信息交易信息”在重要程度上具有相當性。
本案中，證人牛某某(被害單位 B公司反腐中心調(diào)查主管)、盧某(被害單位B公司技術(shù)經(jīng)理)、證人李某甲(C科技公司副總監(jiān))、證人劉某某(被害單位B公司員工)、證人朱某(A公司員工)的證言與被告人董某雷、周某、馬馳、劉澤旭、姜超續(xù)、李延慶、杜某飛的供述相互印證，證明了董某雷等人所需獲取信息的具體要素(如房屋地址、交易信息)、獲取信息的具體地域(如上海市等地) 及已經(jīng)獲取的信息內(nèi)容等，足以證實董某雷、周某、馬馳等人非法獲取的房屋租賃合同中包含姓名、電話、身份證號等能夠識別特定自然人身份的公民個人信息，還包括房屋信息(房屋地址、租住情況) 交易信息(租賃合同起止日期交易價格)等與公民人身、財產(chǎn)密切相關(guān)，屬于可能影響公民人身、財產(chǎn)安全的敏感信息。
2.綜合在案證據(jù)可以認定侵犯公民個人信息的數(shù)量
犯罪事實能否認定取決于在案證據(jù)能否形成完整的證據(jù)鏈條。具體到本案，首先，從被害單位 B 公司證人證言的證明力來看，證人牛某某盧某、李某乙(B公司信息安全部安全工程師) 的證言均系公安機關(guān)依法取得，三人雖是被害單位B公司的工作人員，但其中一名是反腐中心調(diào)查主管、兩名是技術(shù)人員，所作證言均是客觀反映被害公司后臺出現(xiàn)的異常情況(包括異常用戶操作賬號、IP地址等)及被侵犯公民個人信息的數(shù)量;三人并不知曉侵犯B公司數(shù)據(jù)的具體行為人及其所在公司和獲取信息的不正當競爭目的，也與A公司及本案各被告人無利害關(guān)系故三人的證言可以采納。其次，從證據(jù)印證情況來看，各被告人之間的手機微信聊天記錄、證人李某乙的證言與被告人周某、馬馳、杜某飛供述相互印證，證明了周某、杜某飛獲取信息后將信息數(shù)據(jù)傳輸給馬后又因本案案發(fā)而刪除相關(guān)痕跡等情況。證人牛某某、盧某、李某乙證育、各被告人之間的手機微信聊天記錄與被告人董某雷、周某、杜某飛的供述相互印證，證明董某雷等人非法獲取的公民個人信息數(shù)量“重”后已達至少10萬條。最后，本案的各被告人及證人盧某、朱某或是房產(chǎn)中介行業(yè)的工作人員，或是技術(shù)人員，負有保護公民個人信的重要義務(wù)和職責，他們對掌握客戶信息的行業(yè)優(yōu)勢、利用技術(shù)手“爬蟲”軟件抓取數(shù)據(jù)并進行大數(shù)據(jù) (海量數(shù)據(jù))分的效果等應(yīng)比般人認識更深入，所作出的供述或證言亦能夠相互印證，故可以作為案依據(jù)。綜上，在案證據(jù)足以證明本案侵犯公民個人信息數(shù)量遠超5000條，屬于《解釋》規(guī)定的侵犯公民個人信息“情節(jié)特別嚴重”情形。
此外，從實踐來看，侵犯公民個人信息案件中涉案的公民個人信動輒上萬條甚至數(shù)十萬條。此時并不排除少數(shù)情況下存在信息重復(fù)的可能，但要求做到完全“去重”較為困難。對此，《解釋》對批量公民個人信息的條數(shù)，也明確了可根據(jù)查獲的數(shù)量直接認定，但是有證據(jù)證明信息不真實或者重復(fù)的除外。這一規(guī)定也為本案批量信息的認定提供了依據(jù)。
(二) 侵犯公民個人信息罪與非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪的區(qū)分
非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪是違反國家規(guī)定，侵入國家事務(wù)國防建設(shè)、尖端科學(xué)技術(shù)領(lǐng)域以外的計算機信息系統(tǒng)或者采用其他技術(shù)手段，獲取該計算機信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)的行為。該罪與侵犯公民個人信息罪存在法條競合關(guān)系。是如供不小太天本案被告人通過被害公司工作人員的違規(guī)授權(quán)，利用“爬蟲”軟件竊取被害公司系統(tǒng)合同信息的行為是否構(gòu)成非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪，需要判斷是否屬于非法侵入行為以及是否屬于計算機信息數(shù)據(jù)。
1.關(guān)于“非法侵人”的認定
《最高人民法院、最高人民檢察院關(guān)于辦理危害計算機信息系統(tǒng)安全刑事案件應(yīng)用法律若干問題的解釋》以下簡稱《危害計算機信息系統(tǒng)安全解釋》)并未明確“非法侵入”的具體情形，但規(guī)定具有避開或者突破計算機信息系統(tǒng)安全保護措施，未經(jīng)授權(quán)或者超越授權(quán)獲取計算機信息系統(tǒng)數(shù)據(jù)的功能的程序、工具屬于專門用于侵入、非法控制計算機信息系統(tǒng)的程序、工具。通常理解，“非法侵入”是指未經(jīng)授權(quán)的人員違反國家規(guī)定擅自進入特定計算機信息系統(tǒng)罪包括運用計算機網(wǎng)絡(luò)技術(shù)從后臺進入，也包括使用他人的賬戶退密碼從正常的系統(tǒng)入口登錄等行為行為人利用技術(shù)手段，規(guī)避或突破被害方計算機系統(tǒng)的安防設(shè)置，未經(jīng)許可進入被害方計算機系統(tǒng)的，應(yīng)認定為非法侵入，行為人在客觀上雖沒有規(guī)避或突破被害方計算機系統(tǒng)的安防設(shè)置，如使用計算機系統(tǒng)認證的賬號密碼登錄，但如該登錄未得到也不可能得到計算機系統(tǒng)管理人的授權(quán)的，該行為仍屬未經(jīng)許可進入被害方計算機系統(tǒng)，也應(yīng)認定為非法侵入。
本案中，被告人雖然取得了被害公司員工提供的賬號密碼，通過計算機系統(tǒng)的認證登錄，但該登錄行為屬非法授權(quán)，且被告人在登錄后使用“爬蟲”技術(shù)破壞計算機防御保護系統(tǒng)，擅自下載系統(tǒng)設(shè)置僅供瀏覽的數(shù)據(jù)，可以認定為非法侵入。
2.關(guān)于計算機信息數(shù)據(jù)的認定
《危害計算機信息系統(tǒng)安全解釋》對非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪人罪的“情節(jié)嚴重”作出明確規(guī)定，其中特別明確了身份認證信息的數(shù)量要求，同時將其定義為用于確認用戶在計算機信息系統(tǒng)上操作權(quán)限的數(shù)據(jù)，包括賬號、口令、密碼、數(shù)字證書等。而對于數(shù)據(jù)的具體含義和范圍，司法解釋并未明確。本案中，行為人提供、獲取的是公民個人信息，不屬于身份認證信息，但是否屬于計算機信息數(shù)據(jù)及能否適用其他情節(jié)嚴重或者其他情節(jié)特別嚴重的情形認識不一致。我們認為，公民個人信息屬于計算機信息數(shù)據(jù)的一種。本案存在侵犯公民個人信息罪與非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪的法條競合。我國刑法第二百八十七條定，利用計算機實施金融詐騙、盜竊、貪污、挪用公款、竊取國家秘或者其他犯罪的，依照刑法有關(guān)規(guī)定定罪處罰。在案證據(jù)明確本案侵的對象為公民個人信息，宜認定為侵犯公民個人信息罪。
另外，需要說明的是，本案被告人以電子侵入的非法手段獲取競爭公司的大量商業(yè)合同等數(shù)據(jù)信息，亦屬于侵犯商業(yè)秘密行為。（刑法修正案 (十一) 對侵犯商業(yè)秘密罪的罪狀進行了修改，將“給商業(yè)秘密的權(quán)利人造成重大損失”改成“情節(jié)嚴重”，同時提高了法定刑。本案根據(jù)案發(fā)的時間，應(yīng)當適用修改前的法條。）但根據(jù)2020年9月17日《最高人民檢察院、公安部關(guān)于修侵犯商業(yè)秘密刑事案件立案追訴標準的決定》，侵犯商業(yè)秘密立案追訴條件為給商業(yè)秘密權(quán)利人造成損失數(shù)額在30萬元以上的，或因侵犯商業(yè)秘密違法所得數(shù)額在30萬元以上的，或直接導(dǎo)致商業(yè)秘密的權(quán)利人因重大經(jīng)營困難而破產(chǎn)倒閉的，或其他給商業(yè)秘密權(quán)利人造成重大損失的情形。在案證據(jù)尚不能認定被告人的行為達到侵犯商業(yè)秘密罪的追訴標準。
綜上，人民法院認定被告人等構(gòu)成侵犯公民個人信息罪，并根據(jù)在案的事實、情節(jié)認定被告人等屬于“情節(jié)特別嚴重”，是正確的。
(撰稿:北京市第三中級人民法院 方玉 楊雋男
審編:最高人民法院刑三庭 鹿素勛)
