【裁判要旨】

《刑法修正案（九）》将之前出售、非法提供公民个人信息罪和非法获取公民个人信息罪合并修改为侵犯公民个人信息罪，扩大了犯罪主体和侵犯个人信息行为的范围，严密了打击侵犯个人信息犯罪的刑事法网。本案的审理发生在《刑法修正案（九）》生效后，涉及被告人数较多、获取的新生儿信息数量较大、且造成了极为恶劣的社会影响。作为一个相对较新的罪名，如何认定本罪中的“公民个人信息”、如何界定“以其他方法非法获取公民个人信息”的范畴、在信息存在多方买卖和流转的情形下信息数量的计算是否存在重复以及对于本案两名被告人获取信息的行为能否适用从重处罚的规定等诸多问题都是本案的审理重点。在相关司法解释出台之前，本案的定罪量刑具有一定的示范指导意义。

【案情】

公诉机关：上海市浦东新区人民检察院。

被告人：韩某、张某、范某、李某、黄某、王某、吴某、龚某。

2014年初至2016年7月期间，被告人韩明利用其工作便利，进入他人账户窃取上海市疾病预防控制中心每月更新的全市新生婴儿信息，并出售给被告人张某，被告人张某再将该等信息转卖给被告人范某。直至案发，被告人韩某、张某、范某非法获取新生婴儿信息共计20余万条。

2015年初至2016年7月期间，被告人范某向被告人李某出售上海新生婴儿信息共计25余万条，被告人李某将上述信息提供给被告人王某、黄某，并从中获利；2015年6月至7月期间，被告人吴某从被告人王某经营管理的大犀鸟公司内窃取7万余条上海新生婴儿信息；2015年5月至2016年7月期间，被告人龚某通过微信、QQ等联系方式，向被告人吴某出售新生婴儿信息8千余条，另分别向孙某、夏某(另行处理)二人出售新生儿信息共计7千余条。

公诉机关指控，被告人韩某、张某、范某、李某、黄某、王某、吴某、龚某分别以窃取、出售、收买等方式侵犯公民个人信息，情节严重，其行为均已构成侵犯公民个人信息罪；八名被告人具有坦白情节，均可以依法从轻处罚；提请依法审判。

被告人韩某、张某、范某及其辩护人均对侵犯公民个人信息的数量提出异议，认为有几个月未进行信息交易，且交易的信息内容有重复；被告人李某、黄某、王某、吴某、龚某对上述指控无异议；被告人韩某的辩护人提出韩某有自首情节的意见；被告人黄某的辩护人提出黄某系从犯的意见；八名被告人的辩护人均提出对被告人从轻处罚的意见。

【评析】

本案的审理重点在于以下四个方面：一是新生婴儿信息是否属于本罪的“公民个人信息”；二是本案中被告人王某、黄某从事广告推销等经营活动购买信息的行为是否符合《刑法》第二百五十三条之一第三款“以其他方法非法获取公民个人信息”的范畴；三是本案中信息数量是否存在重复计算；四是本案中第一、第二被告人是否适用《刑法》第二百五十三条之一第二款从重处罚的规定。 

（一）新生婴儿信息是否属于本罪的“公民个人信息”

关于个人信息概念的界定，目前主要有以下几种认识：1.认为个人信息是指能实现对公民个人情况的识别，被非法利用时可能对公民个人生活和安宁构成损害和威胁的信息。2.认为个人信息是指本人不希望扩散，具有保护价值，一旦扩散，将可能对公民权利造成损害的信息。也有论者从《刑法》第253 条之一侵犯之法益的角度认为，个人信息具有个人隐私的特征。3.认为个人信息是指以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息。

根据以上对个人信息的不同认识，我们认为个人信息应当具有以下几个特点：1.识别性，公民个人信息承载着一些内容，通过它可以识别出特定的公民个人，并可以通过一定的形式加以固定、复制、传播。2.专属性，只有公民个人才能决定是否将其个人信息予以公开、在何时、用何种方式、以何种程度将其公开。3.重要性，公民的诸多个人信息关乎公民的人格、尊严，甚至影响到其人身安全、财产权利。

结合以上对公民个人信息的理解以及《中华人民共和国网络安全法》（以下简称《网络安全法》）中第七十六条的规定即“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息。包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”，在本案中，被告人韩明等人窃取的信息为新生婴儿信息，包括新出生婴儿的姓名、出生年月日、其父母的姓名、联系电话以及现住地址等内容，这些信息属于公民个人专有，且可以识别出公民个人，完全符合《网络安全法》中关于公民个人信息的描述，同样也属于本条规定的“公民个人信息”的范畴，仅有公民个人才能决定将其用于何种用途，但该等信息却被他人予以窃取、买卖，用作其他用途，是对公民个人信息控制权的侵害。因此，本案中的犯罪对象新生婴儿信息属于侵犯公民个人信息罪中的公民个人信息范畴。

（二）被告人王某、黄某从事广告推销等活动购买信息的行为是否符合第二百五十三条之一第三款“窃取或者以其他方法非法获取公民个人信息”的范畴

本案中被告人王某和黄某与其他几名被告人的行为表现有些区别，王某、黄某只是购买信息，并没有再经过流转转卖给其他被告人或第三方，也并未通过转卖流转行为获利，其二人购买信息是为了推销其公司产品，对于他们的行为能否适用《刑法》第二百五十三条之一第三款“窃取或者以其他方法非法获取公民个人信息”的规定呢？

从实践来看，购买、获取公民个人信息从事广告推销等活动的情形较为普遍。这类行为的主要特点体现在以下几个方面：1.为了合法经营活动而购买、获取公民个人信息，其行为主要是为了推销自己公司产品，而非实施电信诈骗等违法犯罪活动；2.犯罪对象一般限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息；3.信息没有再流出扩散，即行为方式限于购买、获取。

如何界定“以其他方法非法获取公民个人信息”是本案评判被告人王某和黄某行为的关键。对此，存在以下二种认识：1.认为“其他方法非法获取公民个人信息”应当采用前文窃取行为同等的标准判断，即“其他方法”必须自身就具有非法的性质，如诈骗、胁迫或者暴力侵害等；那些自身不具有非法性质或者比较中性的方法，并不会使得获取行为具备非法的性质，如购买、馈赠等。2.认为这里的“非法”并非指获取手段或者方法行为的性质，而是指行为人的获取行为在本质上为非法，即行为人不符合获取公民个人信息的法律或者法规的规定。行为人只要没有获取公民个人信息的法律依据或者资格而获取相关个人信息的，就可能构成犯罪。

对此，我们赞同第二种观点，并且认为“以其他方法非法获取公民个人信息”行为应具有以下两个要件：1.没有征得公民个人的同意或违背了信息所有人的真实意思表示。公民个人享有自由地决定在何时、用何种方式、以何种程度向他人传递与自己相关的信息的权利，因此未经公民个人同意而将其个人信息进行传播、利用、篡改、交易等处置行为就体现着此种行为的非法性。2.获取相关信息没有法律依据。例如，根据法律的规定，公安机关和检察机关为了追查刑事犯罪的需要，可以依法检查公民的通信，此种情况下对公民个人信息的获取即是有法律依据的获取，但是获取信息的方式、获取的内容、传播的范围等必须严格遵守法律的限制性规定。如行为人并无合法依据而获取公民个人信息，即应当界定为“非法获取”。

综上所述，如果行为人在未经公民个人同意且没有其他法律依据的情况下获取公民个人信息，则侵犯了公民的信息安全与自由，属于“以其他方法非法获取公民个人信息”。

本案中，被告人王某与黄某没有取得新生婴儿父母的同意，且购买信息的行为亦没有法律依据，故其二人的行为符合“以其他方法非法获取公民个人信息”的范畴，构成侵犯公民个人信息罪，应当被追究刑事责任。

（三）第一、第二被告人是否应当从重处罚

本案中，第一、第二被告人分别是上海市疾病预防控制中心和黄浦区疾病预防控制中心的工作人员，属于国家工作人员，对于其二人在工作过程中获取的新生婴儿信息是否适用《刑法》第二百五十三条之一第二款的规定“……违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚……”？

综合本案的证据，第一被告人虽在上海市疾病预防控制中心工作数十年，但其工作的领域主要是负责全市人口死亡信息监测及登记工作，不负责新生婴儿信息管理工作，其获取新生婴儿信息的方式是通过之前获悉负责管理新生婴儿信息的同事的电脑用户名和密码。第一被告人在没有征得其同事的同意下，秘密窃取其同事电脑中的新生婴儿信息，故其获取信息的手段不是其履行职责或者提供服务过程中获得的，而是秘密窃取，故不应适用《刑法》第二百五十三条之一第二款的规定对其从重处罚。但考虑到本案信息的来源源头是第一被告人，其在整个犯罪锁链中起着至关重要的作用，所以在量刑上酌定考虑。

第二被告人虽然在黄浦区疾病预防控制中心工作，但其工作岗位系黄浦区疾控中心综合应急管理办公室，其工作内容也不包括管理新生婴儿信息。第二被告人获取的信息均由第一被告人提供，因此其也不属于将在履行职责过程中获取的信息非法提供他人，也不适用《刑法》第二百五十三条之一第二款的规定，不能对其从重处罚。