徐玉玉案发生后，舆论在痛恨骗子、同情徐玉玉的同时，也把侵犯公民个人信息这一违法犯罪行为捎带着推到了风头浪尖上，处于人人喊打的状态。为进一步遏制侵犯公民个人信息类犯罪的泛滥，最高人民法院也自《刑法修正案（七）》增设该罪、《刑法修正案（九）》修改完善该罪后及时出台了相关司法解释，即2017年6月1日起实施的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），以便于对该类犯罪进行定罪、处罚。同时，公安机关也针对侵犯公民个人信息的犯罪行为进行了专项打击并取得了一定效果。目前，《解释》出台已经三个多月，整体效果如何？是否存在适用上的问题？下面，笔者就结合近期以律师身份代理的两起侵犯公民个人信息犯罪的刑事辩护案件提出几个问题，以供大家在今后办案的过程中予以参考。
问题一：信息类型的认定缺乏明确标准和依据
《解释》第五条第一款第三、四、五项分别规定了三类信息，分别达到五十条（以下简称一类信息——行踪轨迹信息、通信内容、征信信息、财产信息）、五百条（以下简称二类信息——住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息）、五千条（以下简称三类信息——前述以外的个人信息）的数量要求即可用构成犯罪。然而，我国迄今尚未制定一部完整、统一的公民个人信息保护法,只在相关法律中作出了部分规定。目前,我国关于个人信息的界定,最为权威的当属《网络安全法》的规定。《网络安全法》第76条规定:“个人信息,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息,包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”《解释》第一条规定的公民个人信息指刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。” 那么如何适用《解释》的相关规定，对涉案的公民个人信息分类也是个非常棘手的问题。
以笔者代理的两起刑事案件为例，涉案的信息分别为房产信息和车辆登记信息，均用于了合法用途。房产、车辆本身是有财产属性的，可以认定为财产信息。但从获取信息的难易程度、信息的私密及敏感程度上讲，把这两种信息评价为和“通信内容”相当的信息类型又存在不妥。那是否构成二类信息中的“其他可能影响人身、财产安全的公民个人信息”？什么是“可能影响人身、财产安全的公民个人信息”？从信息本身来讲，只有类似银行账号、密码的信息本身才“可能影响到公民的人身、财产安全”。从信息用途上讲，如果获取信息的目的是用来违法或者犯罪，一切可以和具体的公民个体联系起来的信息都“可能影响到公民的人身、财产安全”。那么笔者代理的两起刑事案件中的房产信息和车辆登记信息如何认定？
房产信息、车辆登记信息是属于一类信息中的“财产信息”；还是二类信息中的“其他可能影响人身、财产安全的公民个人信息”；还是三类信息中的“第三项、第四项规定以外的公民个人信息”？如果不是三类信息，按照《解释》的规定，直接按照《解释》第五条的规定进行定罪、量刑即可，那么这两起案件，行为人都应当在三年以上量刑；如果属于三类信息，就要考虑《解释》第六条的规定，看其是否利用非法获取的信息获利五万以上，在没有证据证实获利五万以上的情况下，行为人的行为就不应当认定为犯罪。那么，信息类型的认定就非常关键，涉及到罪与非罪及量刑问题。
据笔者了解，在适用《解释》过程中，司法机关之间包括同一机关内部的认识也不一致。这样，极有可能出现打击面过大、过滥的情况，势必会影响到人们的正常行为。
问题二：在信息数量的认定上，《解释》第十一条第三款的规定过于机械
在对公民个人信息的数量认定上，《解释》第十一条第三款规定“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外”。该规定使用了事实推定的方式，解决了司法实践中对数量认定的难题。但这种推定是否适用所有情形，值得商榷。但凡批量信息，都有一个信息收集、汇总、传递的过程。在信息爆炸的时代，信息具有高速扩张、快速更新的特性，很多信息的更新周期更是很短。以笔者办理的案件为例，在涉及房产信息的案例中，行为人通过购买的方式获取了十余万条信息，内容是姓名、电话、房产地址，范围涵盖上百个住宅小区。收集、汇总这些信息需要多长的周期？这些信息又会在多长的时间内从收集者手中层层传递到行为人手中？此外，在行为人拿到这些信息时，有多少信息在收集、汇总和传递期间发生了变化，其中真正有效的信息有多少？据笔者代理的涉及房产信息案件的行为人陈述，其打过部分电话，将近一半的信息是错误的。另外一起涉及车辆登记信息的案例中，行为人联系了其中部分电话，将近三分之一的信息是错误的。在无效信息占如此大比例的情况下，无视现实，机械的按《解释》对信息数量进行事实推定是否合适？
问题三：对非法获取公民个人信息用于合法用途简单定罪难以做到罪责刑相适应，有违民意，超出了国民的预测可能性，有违反《刑法》谦抑性的嫌疑
非法获取公民个人信息的行为大体可以分为两类：一类是非法出售、提供、倒卖及交换行为，即行为人利用职业上的方便，违反国家有关规定，把合法掌握、获取的公民个人信息，非法提供给他人及将非法获取的信息倒卖给他人或与他人进行交换使用的行为。第二类是非法获取并持有、使用的行为。在用途上又可以分为合法及非法用途。笔者认为，对于非法提供、倒卖及将非法获取的信息用于非法用途的，应当纳入刑事打击的范畴。但对于将非法获取的信息或与他人交换使用的信息用于合法用途的，应当慎用《刑法》来调整，否则难以做到罪责刑相适应，有违背《刑法》谦抑性的嫌疑。
《解释》第六条规定了为合法经营活动而非法购买、收受公民个人信息的，需要利用信息获利五万元以上才构成犯罪。但在适用上把第一类和第二类信息排除在外了。同时将把购买、收受的公民个人信息提供给他人的行为也排除在该条的适用范围以外了。笔者认为，对这两类情况，不应当排除适用。
首先，《刑法》将侵犯公民个人信息罪规定在了第四章的侵犯公民人身权利、民主权利罪中，这表明该罪保护的法益是公民的人身权利。为了合法用途的非法获取行为，其本身扰乱的是国家对公民个人信息的管理秩序，对公民的人身权利和财产权利并没有造成实质危害。其最大的危害是用非法手段进行合法经营，扰乱了市场经营秩序，对其他合法经营者来讲是一种不正当竞争行为。因此，《解释》第六条参照非法经营罪设置了入罪门槛，这是合理的。但从经营的角度讲，第一、二、三类信息没什么区别。为什么要排除一、二类信息的适用？
其次，不管是把第一、二类信息用于合法经营，还是把购买、收受的公民个人信息提供给他人进行合法经营，不考虑后果，简单靠信息数量来认定犯罪有违反罪责刑相适应的《刑法》基本原则，其结果难以为国民所认可。侵犯公民个人信息罪和非法持有枪支罪的量刑区间是一样的，都分为三年以下和三到七年。从国民认知上讲，公民个人信息和枪支可以相提并论吗？是否应当“同罪同罚”？
笔者办理的两起案件，行为人一个是房产中介的员工，一个是网络公司员工。非法获取了信息后均将信息用作广告推销，客观上确实影响了他人的工作和生活安宁，侵犯了他人的人身权利。但其本人及家人对追究刑事责任一事，均表示不解，感觉处罚过重；即便问一下被影响的人，恐怕其也很难认可这种处罚结果。那么，这种处罚，有多少人可以接受？
问题四：非法获取的犯罪不能问题
非法获取的前提是，非法获取的公民个人信息值得保护。现实生活中人与人的交往活动非常复杂，有些信息本身是信息指向人愿意公布与众的。以房产信息为例，按照生活逻辑常识，信息指向人到房产中介登记了出售信息，其内心是希望更多的人可以了解到这条出售信息的，只有这样才能尽快按照其期待价格出售房产；但信息指向人向物业登记时恐怕就不一定愿意让他人知道自己的相关房产信息了。司法实践中，如何处理这类问题，只能个案单独考虑了。
针对以上问题，提出如下解决办法，以供大家参考:
一、对于侵犯公民个人信息的情节严重和情节特别严重可针对用途和危害后果进行认定。
《解释》虽然设置了“五十条以上”“五百条以上”“五千条以上”的入罪标准，这种量化虽然易于操作，但是却容易僵化，造成定罪量刑一刀切的情况。因此建议侵犯公民个人信息的定罪量刑还要结合用途和危害后果进行认定。
第一，针对非法获取，用于合法用途的非法获取公民个人信息行为统一按照《解释》第六条来定罪量刑，不再区分信息类型。
非法获取，用于合法用途的非法获取公民个人信息行为其本质就是非法经营，本文已经做过论述，在此不再赘述。侵犯公民个人信息犯罪的立法本意是，通过对公民个人信息的保护来保护公民的人身权利和财产权利不受侵犯。因而，非法获取了公民个人信息行为本身并不会侵犯到该罪保护的法益，只有当将非法获取的公民个人信息在不同途径使用才可能对法益造成损害。如果行为人是抱着合法使用的（比如广告行为），其行为最多是打扰了信息指向人的正常生活，在没有获利的情况下，无需刑法介入；在获利五万元的情况下，可以参照非法经营的定罪标准，认定为犯罪行为。区分信息类型，实属不必。
第二，对于非法获取后持有但一直未使用的，不应以信息条数区分情节严重与情节特别严重。
非法获取信息者的目的往往不是信息者本身，而是企图通过这些信息达到一定目的。然而，就笔者办理的案子中存在着两种情形，购买后即刻删掉，也未使用和保存。还有一种是其他同事离开时，作为工作交接将信息拷在其电脑上。但是其并未使用。像这两种情况，都不会对信息主体权益造成任何侵害，也不会对刑法所保护的法益造成实质性的侵害，如果其也按照财产信息500条，未免会导致量刑过重。笔者认为对于此类情形，未曾使用的不再区分信息类型，可按照《解释》中的第三类信息标准5000条来定罪量刑，而且只要持有未使用的，就可以只以情节严重来定性，不管多少条数，不再以情节特别严重来定性。
二、对批量信息的数量采取事实推定和概率计算的综合认定方式
公民个人信息具有时效性，不同类型的信息时效性会有差异。以大学录取信息为例：录取后，入学前基本都是有效信息；入学后信息还有一定的利用价值；毕业后价值就不大了。针对信息类型较为复杂的情况，单纯进行事实推定是不严谨的。可以采用采样核实，计算概率，结合信息数量及类型进行综合认定的方式来认定信息数量。
三、保持刑法的谦抑性，灵活司法
公民个人信息类型纷繁复杂，侵犯公民个人信息行为的表现形式多种多样，其危害后果也难以从一而论。一部《解释》很难涵盖所有情况。《解释》的出台，对打击侵犯公民个人信息犯罪起到了相当积极的作用，也不可避免的也带来了适用上的一些问题。当然，我们不能对此苛求，任何事物都有其正反两面。公民个人信息保护是个体系化的问题，我国迄今为止并未建立起来完善的公民个人信息保护体系。虽然《民法通则》、《网络安全法》、《治安管理处罚法》等法律、法规在民事、行政方面也进行了一些规定，但明显满足不了因经济高速发展带来的对公民个人信息的保护要求。在这种情况下，应当尽快完善相关的民事、行政、刑事立法，多种手段相互结合来保护公民个人信息，而且应当尽量做到民事、行政先行，不应当是刑事打击一枝独秀。
在处理侵犯公民个人信息的问题上，一定要时刻遵循刑法的谦抑性原则，综合案件情节、后果，灵活适用《解释》，充分发挥法律人的智慧，利用法律赋予的权利，避免机械执法、机械司法，以免处罚结果超出国民的预测可能性。在我们国家的公民个人信息保护制度完善之前，可以“把枪口抬高一厘米”，给国民一个更加自由的生存和发展空间。
或许您还想看
■ 作者简介：
张怀波，执业律师，有着十多年基层公安工作经验，熟悉刑事案件的侦查流程，方式。转行律师职业后，先后办理了上百起刑事辩护案件，案件领域涉及职务犯罪、经济犯罪及普通刑事犯罪。
■ 联系方式：
手机：13061356777
邮箱：zhanghuaibo@deheng.com
■ 作者简介：
邢丽丽，山东德衡律师事务所合伙人，山东德衡律师事务所刑事业务部副主任，具有多年检察机关工作经验，并具有刑事诉讼法专业的理论背景，恪守律师执业道德，勤勉务实。执业十余年以来，办理百余起刑事案件，尤其在经济犯罪方面的辩护成绩尤为突出。现今专注于刑事辩护领域，代理案件效果显著，获得了委托人的一致好评。代理过程中多起案件成功不起诉、罪名减少、判处缓刑，如张某某走私普通货物罪免予刑事处罚、徐某某故意杀人罪改判为过失致人死亡罪判处三年有期徒刑、林某某行贿罪改判为单位行贿罪判处三年有期徒刑等。同时，还担任多名被害人的代理人。此外，邢律师还为交通银行青岛分行等单位提供法律顾问服务，并主要集中于刑事法律风险防范工作。邢律师秉持专注、专业、专心的执业态度，最大程度维护当事人的合法权益。于2010年及2014年度荣获青岛市司法局优秀个人。
■ 联系方式：
手机：13864287346
邮箱：xinglili@deheng.com
?本文仅代表作者观点，如需转载、节选，请在文首注明作者及来源。
更多内容，敬请关注：德衡商法网
www.deheng.com（英文）
www.deheng.com.cn（中文）
山东德衡律师事务所全国免费服务热线：
手机拨打：4001191080
座机拨打：8008600880