侵犯公民個人信息罪

第二百五十三條之一　【侵犯公民個人信息罪】違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，並處或者單處罰金;情節特別嚴重的，處三年以上七年以下有期徒刑，並處罰金。

違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。

竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。

單位犯前三款罪的，對單位判處罰金，並對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。

為依法懲治侵犯公民個人信息犯罪活動，保護公民個人信息安全和合法權益，根據《中華人民共和國刑法》《中華人民共和國刑事訴訟法》的有關規定，現就辦理此類刑事案件適用法律的若干問題解釋如下：

第一條　刑法第二百五十三條之一規定的“公民個人信息”，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯繫方式、住址、賬號密碼、財產狀況、行蹤軌跡等。

第二條　違反法律、行政法規、部門規章有關公民個人信息保護的規定的，應當認定為刑法第二百五十三條之一規定的“違反國家有關規定”。

第三條　向特定人提供公民個人信息，以及通過信息網絡或者其他途徑發佈公民個人信息的，應當認定為刑法第二百五十三條之一規定的“提供公民個人信息”。

未經被收集者同意，將合法收集的公民個人信息向他人提供的，屬於刑法第二百五十三條之一規定的“提供公民個人信息”，但是經過處理無法識別特定個人且不能復原的除外。

第四條　違反國家有關規定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息的，屬於刑法第二百五十三條之一第三款規定的“以其他方法非法獲取公民個人信息”。

第五條　非法獲取、出售或者提供公民個人信息，具有下列情形之一的，應當認定為刑法第二百五十三條之一規定的“情節嚴重”：

（一）出售或者提供行蹤軌跡信息，被他人用於犯罪的；

（二）知道或者應當知道他人利用公民個人信息實施犯罪，向其出售或者提供的；

（三）非法獲取、出售或者提供行蹤軌跡信息、通信內容、徵信信息、財產信息五十條以上的；

（四）非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的；

（五）非法獲取、出售或者提供第三項、第四項規定以外的公民個人信息五千條以上的；

（六）數量未達到第三項至第五項規定標準，但是按相應比例合計達到有關數量標準的；

（七）違法所得五千元以上的；

（八）將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數量或者數額達到第三項至第七項規定標準一半以上的；

（九）曾因侵犯公民個人信息受過刑事處罰或者二年內受過行政處罰，又非法獲取、出售或者提供公民個人信息的；

（十）其他情節嚴重的情形。

實施前款規定的行為，具有下列情形之一的，應當認定為刑法第二百五十三條之一第一款規定的“情節特別嚴重”：

（一）造成被害人死亡、重傷、精神失常或者被綁架等嚴重後果的；

（二）造成重大經濟損失或者惡劣社會影響的；

（三）數量或者數額達到前款第三項至第八項規定標準十倍以上的；

（四）其他情節特別嚴重的情形。

第六條　為合法經營活動而非法購買、收受本解釋第五條第一款第三項、第四項規定以外的公民個人信息，具有下列情形之一的，應當認定為刑法第二百五十三條之一規定的“情節嚴重”：

（一）利用非法購買、收受的公民個人信息獲利五萬元以上的；

（二）曾因侵犯公民個人信息受過刑事處罰或者二年內受過行政處罰，又非法購買、收受公民個人信息的；

（三）其他情節嚴重的情形。

實施前款規定的行為，將購買、收受的公民個人信息非法出售或者提供的，定罪量刑標準適用本解釋第五條的規定。

第七條　單位犯刑法第二百五十三條之一規定之罪的，依照本解釋規定的相應自然人犯罪的定罪量刑標準，對直接負責的主管人員和其他直接責任人員定罪處罰，並對單位判處罰金。

第八條　設立用於實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網站、通訊羣組，情節嚴重的，應當依照刑法第二百八十七條之一的規定，以非法利用信息網絡罪定罪處罰；同時構成侵犯公民個人信息罪的，依照侵犯公民個人信息罪定罪處罰。

第九條　網絡服務提供者拒不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令採取改正措施而拒不改正，致使用户的公民個人信息泄露，造成嚴重後果的，應當依照刑法第二百八十六條之一的規定，以拒不履行信息網絡安全管理義務罪定罪處罰。

第十條　實施侵犯公民個人信息犯罪，不屬於“情節特別嚴重”，行為人系初犯，全部退贓，並確有悔罪表現的，可以認定為情節輕微，不起訴或者免予刑事處罰；確有必要判處刑罰的，應當從寬處罰。

第十一條　非法獲取公民個人信息後又出售或者提供的，公民個人信息的條數不重複計算。

向不同單位或者個人分別出售、提供同一公民個人信息的，公民個人信息的條數累計計算。

對批量公民個人信息的條數，根據查獲的數量直接認定，但是有證據證明信息不真實或者重複的除外。

第十二條　對於侵犯公民個人信息犯罪，應當綜合考慮犯罪的危害程度、犯罪的違法所得數額以及被告人的前科情況、認罪悔罪態度等，依法判處罰金。罰金數額一般在違法所得的一倍以上五倍以下。

第十三條　本解釋自2017年6月1日起施行。

（一）行為主體

根據最高人民法院、最高人民檢察院、公安部《關於依法懲處侵害公民個人信息犯罪活動的通知》，出售、非法提供公民個人信息罪的犯罪主體，除國家機關或金融、電信、交通、教育、醫療單位的工作人員之外，還包括在履行職責或者提供服務過程中獲得公民個人信息的商業、房地產業等服務業中其他企事業單位的工作人員。

（二）行為內容

本罪的行為方式主要包括有出售行為和提供行為。在分析兩者之前，首先應當明確何為“公民個人信息”。

1、公民個人信息的認定

根據最高人民法院、最高人民檢察院、公安部《關於依法懲處侵害公民個人信息犯罪活動的通知》，公民個人信息包括公民的姓名、年齡、有效證件號碼、婚姻狀況、工作單位、學歷、履歷、家庭住址、電話號碼等能夠識別公民個人身份或者涉及公民個人隱私的信息、數據資料。由於我國目前尚未制定出台個人信息保護法，因而如何確定個人信息的概念和範圍是一個重要問題。公民個人信息是指公民個人不願為一般普通社會公眾所知並對公民個人有保護價值的信息。

2、出售行為

“出售”是指將自己掌握的公民信息賣給他人，自己從中牟利的行為。有學者認為:“出售是一種有償轉讓行為，行為人具有明確的獲利目的，在獲利意圖支配下，獲利較少或者還沒有來得及獲利的，不影響出售的認定”。

（三）責任形式

本罪的主觀是故意，即行為人在獲取公民個人信息之後故意進行侵害行為，但是行為人侵害個人信息的目的各不相同，有僅供自己使用的，有為了進行商業推銷的，也有為了用於實施其他犯罪活動的。

（一）罪與非罪的認定

非法開拆或者隱匿、譭棄郵件、電報必須達到情節嚴重，才能構成本罪。如果偶爾開拆他人一次郵件，沒有造成嚴重後果等情節輕微的行為，不宜作犯罪處理。這裏所謂的情節嚴重，依據有關司法解釋的精神通常是指以下情形:私拆或者隱匿、譭棄郵件、電報，次數較多或數量較大的；私拆或者隱匿、譭棄郵件、電報，從中竊取財物的；私拆或者隱匿、譭棄郵件、電報，給國家集體利益以及公民合法權益造成嚴重危害的；私拆或者隱匿、譭棄郵件、電報，造成其他危害後果的。

（二）本罪與侵犯通信自由罪的區別

本罪和侵犯公民通信自由罪在主觀方面相同，客觀方面的犯罪手段也近似。但是，兩者的犯罪構成要件還是有明顯區別:

1、主體不同。前者的主體只能是郵電工作人員;後者的主體雖然也可以是利用職務便利開拆或隱匿、譭棄他人信件的郵電工作人員，通常主要是郵電工作人員以外的其他公民。

2、犯罪對象不同。前者的犯罪對象既可以是信件，也可以是電報或其他郵遞物資;後者的犯罪對象則只能是信件。

3、客體不同。前者侵犯的客體既包括郵電部門的正常活動和信譽，也包括公民的通訊自由和通訊秘密;後者則僅包括公民權利。（三）情節嚴重的認定

情節嚴重是侵犯公民個人信息犯罪的客觀構成要件，也是區分罪與非罪的重要標準之一。目前就該問題尚無立法或司法上的解釋，從學理解釋的角度來看，目前基本達成的共識是：情節嚴重一般包括出售、非法獲取、提供公民個人信息數量較多、獲利數額較大以及公民個人信息被非法提供、出售給他人後，給公民造成了經濟上的損失，或者嚴重影響到公民個人正常生活，或者被用於進行違法犯罪活動等情形。

（四）本罪的處罰適用

違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，並處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，並處罰金。違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。

單位犯前三款罪的，對單位判處罰金，並對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。

柯某侵犯公民個人信息案

——未經同意傳播房源信息構成侵犯公民個人信息罪

（一）案情介紹

公訴機關：上海市金山區人民檢察院。

被告人：柯某。

2016年1月至2017年10月期間，被告人柯某創建及經營管理房利幫網站，主要通過從房產中介人員處有償獲取上海市二手房出租、出售房源信息，或者安排公司員工從微信羣、其他網站等獲取部分房源信息，對信息的準確性進行核實後，將房源信息以會員套餐方式提供給房利幫網站會員付費查詢使用，被告人柯某以此獲利。其間，房產中介人員向房利幫網站上傳房源信息時未事先取得信息權利人即房東的同意及授權，被告人柯某在獲取房源信息時也未對信息的合法性進行審查，並在安排公司員工通過電話向房東核實信息過程中，存在冒充其他中介（包括知名中介）名義進行核實的情況，未如實告知房利幫網站的真實身份及使用信息的方式、目的等並取得房東的同意、授權。至案發，被告人柯某共獲取房源信息30餘萬條，並通過收取會員套餐費方式獲利150餘萬元。

（二）裁判要旨

以買賣房源信息牟利為目的，在未取得房東授權、同意的情況下非法獲取、提供、出售房源信息，侵害了房東的隱私及生活安寧，違反了國家有關規定，應當以侵犯公民個人信息罪追究刑事責任。

裁判結果

上海市金山區人民法院經審理認為，本案中，涉案房源信息包含房東聯繫方式、具體房產地址、門牌號碼等信息，且部分房源信息包含房東姓名或姓氏，能夠單獨或者與其他信息結合識別特定自然人身份，屬於公民個人信息。涉案房源信息由房東掛牌至房產中介門店，其僅向特定範圍公開，或即使通過公開網站發佈，也只公開非重要、敏感信息，且房東公開的目的僅為促成房產交易，因此，房源信息不屬於向社會公開的信息。關於被告人柯某的行為是否構成侵犯公民個人信息罪的問題。首先，被告人柯某的行為侵犯了房東的公民個人信息權利。房源信息經房利幫網站發佈後，導致房東的房源信息由在特定範圍公開轉變為向全社會公開，由公開非重要、敏感信息轉變為公開全部隱私信息，侵害了房東的隱私及生活安寧，極易被不法分子利用從而造成房東相關人身、財產權益受到侵害。其次，被告人柯某的行為未經房東授權、同意，未盡審查義務。房利幫網站作為網絡運營者，應對獲取的房源信息合法性進行審查，但其未盡審查義務，並在核實房源信息時冒充其他房產中介身份欺騙房東，在未取得房東授權、同意的情況下將房源信息對外出售。最後，被告人柯某的行為本質上屬於非法買賣房源信息牟利行為。房利幫網站並非專業房產中介機構，且獲取房源信息並非為了促進房產交易，而系將房源信息作為商品用於出售牟利，與房東發佈房源信息的目的相悖。綜上，被告人柯某在未取得信息權利人同意及授權的前提下，在網站上公開房源信息，使信息陷入失控及泄露風險，並從中獲取鉅額違法所得，其行為違反國家規定，侵犯公民個人信息權利，被告人柯某到案後能如實供述自己主要犯罪事實，可以從輕處罰。綜合本案犯罪事實、性質、情節及社會危害性，對被告人柯某可適用緩刑。

金山區法院根據刑法第二百五十三條之一，第六十七條第三款，第七十二條第一款、第三款，第七十三條，第六十四條之規定，以侵犯公民個人信息罪判處被告人柯某有期徒刑3年，緩刑4年，並處罰金160萬元一審判決後，被告人柯某未提出上訴，檢察院亦未提出抗訴，判決已發生法律效力。

（三）案件評析

一、涉案房源信息不屬於信息權利人主動、自願公開的信息，屬於限制公開的信息

第一，涉案房源信息不屬於公開信息。涉案房源信息主要來源於房產中介人員向房利幫網站上傳的信息。房產中介人員上傳房源信息的主要來源途徑包括：從工作中獲取的房源信息（從公司系統中查詢獲取房源信息，公司的房源信息來源包括：房東上門掛牌登記，各業務員將手頭房源信息錄入，其他同事從其他公司獲取等）、從房產中介微信朋友圈（房產中介交流共享房源信息）獲取的房源信息、從其他網站蒐集房東發佈的掛牌信息（沒有門牌號碼）後通過電話詢問具體房源地址從而獲取的房源信息。前述房產中介人員向房利幫網站上傳的房源信息應不屬於房東直接通過公開網站向全社會公開的信息，不屬於公開信息。

第二，涉案房源信息屬於限定公開的信息，其公開性具有一定限制，包括內容的有限性、目的的特定性和公開對象的有限性。本案中，房產中介人員向房利幫網站上傳的房源信息，其源頭雖主要為房東主動掛牌至房產中介門店，或主動發佈到其他房產網站後經房產中介人員詢問後獲取。對於前者，房東向相關房產中介門店公開了具體房源地址、面積、價格、聯繫人聯繫方式等，但房東公開的範圍僅是告訴中介人員，並不意味着無限制地向社會公開。對於後者，房東通過網站向社會公開的內容僅為待售、待租房屋所在小區名稱、面積、價格、房東姓名或姓氏、聯繫電話等，並未公開房屋的具體門牌號碼。相關房產中介人員通過網上預留的電話號碼聯繫房東詢問房源地址，房東只是將該房源信息告訴房產中介人員，並希望該房產中介人員將該房源推薦給意向客户，從而實現房產交易目的，但房產中介人員將該房源信息上傳至房利幫網站並獲利，顯然違背房東意願。綜上，涉案房源信息屬於限定公開的房源信息，限於向房產中介人員傳播，且房東公開房源信息的目的僅在於促進房屋的出售、出租，而本案中，被告人將房源信息直接作為商品出售，顯然是超出房東預期的。

二、被告人從房產中介從業人員處收購房源信息、安排話務員冒充其他房產中介名義向房東核實房源信息、將房源信息出售給房產中介的行為均違反國家有關規定，屬於非法獲取、提供、出售公民個人信息行為

第一，房產中介從業人員向房利幫網站上傳房源信息時未告知信息權利人（房東）並獲得同意，被告人柯某收購、獲取房源信息時未進行審查，也未獲得房東的同意及授權，屬於非法獲取行為。被告人柯某主要是從房產中介從業人員處收購獲取房源信息，房產中介從業人員將自己工作中掌握的房源信息，或通過房產中介交流微信羣、網站等收集、獲取的房源信息，在未徵得信息權利人同意和授權的情況下，上傳到房利幫網站。

1.網絡安全法第二十二條規定，網絡產品、服務具有收集用户信息功能的，其提供者應當向用户明示並取得同意；涉及用户個人信息的，還應當遵守本法和有關法律、行政法規關於個人信息保護的規定。第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和範圍，並經被收集者同意。第四十二條第一款規定，網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。但是，經過處理無法識別特定個人且不能復原的除外。第四十四條規定，任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。第四十七條規定，網絡運營者應當加強對其用户發佈的信息的管理，發現法律、行政法規禁止發佈或者傳輸的信息的，應當立即停止傳輸該信息，採取消除等處置措施，防止信息擴散，保存有關記錄，並向有關主管部門報告。

2.侵權責任法第三十六條規定，網絡用户、網絡服務提供者利用網絡侵害他人民事權益的，應當承擔侵權責任。網絡用户利用網絡服務實施侵權行為的，被侵權人有權通知網絡服務提供者採取刪除、屏蔽、斷開鏈接等必要措施。網絡服務提供者接到通知後未及時採取必要措施的，對損害的擴大部分與該網絡用户承擔連帶責任。網絡服務提供者知道網絡用户利用其網絡服務侵害他人民事權益，未採取必要措施的，與該網絡用户承擔連帶責任。

3.《信息安全技術公共及商用服務信息系統個人信息保護指南（GB/Z 28828-2012）》（2013年起實施，屬國家標準，不屬司法解釋規定的國家有關規定）5.2收集階段5.2.2規定，收集前要採用個人信息主體易知悉的方式，向個人信息主體明確告知和警示如下事項：a）處理個人信息的目的；b）個人信息的收集方式和手段、收集的具體內容和留存時限……5.2.3處理個人信息前要徵得個人信息主體的同意，包括默許同意或明示同意。收集個人一般信息時，可認為個人信息主體默許同意，如果個人信息主體明確反對，要停止收集或刪除個人信息；收集個人敏感信息（包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等）時，要得到個人信息主體的明示同意。5.4轉移階段5.4.1不違背收集階段告知的轉移目的，或超出告知的轉移範圍轉移個人信息。

4.《個人信息安全技術規範》5.3a）（屬國家標準）規定，收集個人信息前，應向個人信息主體明確告知所提供產品或者服務的不同業務功能分別收集個人信息類型，以及收集、使用個人信息的規則（例如收集和使用個人信息的目的、收集的方式和頻率、存放地址、存儲期限、自身的數據安全能力、對外共享、轉讓、公開披露的有關情況等），並獲得個人信息主體的授權同意（該規定雖然是在2018年5月施行，相對於本案是新法，但該規定應該視為網絡安全法等相關法律規定的具體細化操作，規範的規定沒有超出網絡安全法的基本立法目的，可作本案中評價被告人行為的評價標準）。

本案中，被告人柯某獲取房產信息的來源均是房產中介而非房東，而這些信息並非是房東自願向社會公眾公開的。如前所述，房源信息屬於限定公開的信息，房東向房產中介掛牌交易自有房產，只是希望房源信息在房產中介之間進行傳播，即使房東通過網站發佈房源信息也會隱去具體門牌號碼，並非將具體門牌號碼等全部信息向社會公開。房東出於對自己房源信息、個人信息保護的目的，其他社會主體未經其授權，均不能傳播、獲取其房源信息。房產中介向房利幫網站上傳前述房源信息時未告知房東並取得同意，顯然違背房東意願，侵犯其合法權益。對此，被告人柯某作為網站運營者，應當加強對其用户發佈信息的管理，其與用户（房產中介）之間的內部協議（辯護人提出房利幫網站與用户有用户協議，要求用户上傳的信息符合法律規定）不能對抗法律規定。房利幫網站從房產中介處獲取房源信息時應進行審查，對於房產中介上傳的未經房東授權的房源信息，其要想合法獲取，應當明確告知信息權利人即房東並經過後者的明示同意及再次授權。被告人柯某並沒有獲取信息權利人的明示同意及再次授權，故其行為屬於前述網絡安全法第四十四條規定的非法獲取個人信息行為。

第二，被告人安排話務員核實房源信息的過程應當視為直接收集，應當履行告知義務。被告人在經營過程中，安排話務員電話聯繫房東核實房源信息準確性（核實房源地址、面積、價格、是否在售、在租等信息），在該過程中未主動告知自己房利幫的身份，存在冒充大型房產中介工作人員與房東核實房源信息的情況。在該過程中，被告人的行為具有兩方面違法性：一是未告知房東相關房源信息的真實用途、使用目的、可能產生的風險，因此信息主體對個人信息的刪除權、安全保障權等均無法實現。二是以虛假身份獲得房源信息，雖然被告人已經從房產中介處獲取了包括房源地址、房東電話等在內的信息，但在核實過程中也可能存在之前上傳的房源地址錯誤，後經核實獲取準確房源地址信息的情況，屬於以欺騙方式獲得業主信息。被告人獲取公民信息的行為違反了相關法律規定，屬於刑法第二百五十三條之一第三款規定的以其他方法非法獲取公民個人信息行為。

第三，被告人柯某出售公民信息的行為違反了國家有關規定。網絡安全法第四十四條規定，任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。本案中，判斷出售行為是否合法，有賴於對本案的信息作出以下兩個判斷：一是判斷房源信息是否屬於公民自願向社會公開的信息，二是出售行為是否違背公民的自主意願。關於是否違背公民意願問題，（一）被告人將房源信息出售給他人，並沒有徵得信息所有人也即房主同意。（二）根據公安機關出具的工作情況證實，公安機關在房利幫房源信息中抽取200個信息進行核實，其中僅20名涉案房源信息的房東願意配合調查。上述20人中有9人表示不同意將自己掛牌的房產信息通過共享、買賣、交換等手段交流出去。對房產信息掛牌之後，是否接到房屋銷售、裝修材料促銷、垃圾廣告、短信等而嚴重影響生活的，除了2人稱稍有影響外，其他18人均稱影響特別大，已經嚴重干擾了他們的生活。（三）從房源信息發佈的目的來看，將房源信息作為商品出售的做法違背了當事人的意志，當事人公佈房源信息的目的僅在於銷售房產，而非為房產關聯產業提供原始信息資源，被告人的做法固然有促進房產交易的客觀作用，但其行為超出信息主體的授權範圍，應視為違法行為。（四）被告人銷售房源信息違背了信息披露中去標示化的基本要求。信息披露應當以不損害當事人合法權益為原則，被告人是在當事人不知情的情況下犧牲了當事人合法權益而牟取了個人非法利益，該行為明顯違背法益保護原則，屬於非法出售公民個人信息行為。（五）在信息化建設過程中應注重對個人信息的保護。本案中房源信息的所有者對個人信息已經完全失控，違背了其自身意志，不知曉自己的信息已用於出售，也無法判斷信息會流向何處，是否會被用於犯罪活動。對這些潛在的危險性，被告人並不能排除，被告人的行為已經嚴重侵犯了公民人身、財產安全。

侵犯個人隱私