蒋某侵犯公民个人信息案

［基本案情］
一、具体案情
　　被告人蒋某通过在网络上向他人购买或交换数据等方式，非法获取公民个人信息，并存储于其个人使用的电脑及移动硬盘中。2015年6月至11月，蒋某向黄某（已判决）多次出售其非法获取的本市数十个中小学学校的学生信息，获利共计人民币11000余元。2016年6月15日，公安机关抓获被告人蒋某，当场查扣电脑、移动硬盘等存储介质，并从上述设备中提取大量数据文件。经鉴定，从蒋某处查扣的一个数据WD移动硬盘中提取到18.7万余个文件，对其中“14年上海市幼儿3-8岁-36W”“上海初高中”“佛山家长14年-48万”等9个文件抽样，经去重后提取到公民个人信息共计2487400条。蒋某到案后供述自己的罪行。 [1]

二、各方理由与裁判结果
　　原审法院认为，被告人蒋某违反国家规定，非法获取公民个人信息，并将其中部分公民个人信息出售给他人，情节严重，其行为已构成侵犯公民个人信息罪，应予处罚。蒋某到案后如实供述自己的罪行，依法予以从轻处罚。鉴于涉案公民信息数量庞大且包括大量中小学学生信息，酌情对其从重处罚。上海市徐汇区人民法院遂作出以下判决：一、被告人蒋某犯侵犯公民个人信息罪，判处有期徒刑二年，并处罚金人民币二万元。二、被告人的违法所得应予追缴；犯罪工具予以没收。
　　上海市徐汇区人民检察院对一审判决进行了抗诉，抗诉认为：上海市徐汇区人民法院（2016）沪0104刑初1162号刑事判决书，对被告人蒋某的判决适用法律确有错误，导致量刑畸轻，应当认定蒋某的行为构成情节特别严重。上海市人民检察院第一分院的出庭意见为：本案诉讼程序合法，事实清楚，证据确实充分。一审判决适用法律明显不当，蒋某侵犯公民个人信息的数量特别巨大，其中包括在校学生的个人信息，信息被出售后，学生家长受到电话骚扰，严重影响学习和生活，社会影响恶劣，故其行为应当被认定为情节特别严重，建议二审法院依法改判。
　　原审被告人蒋某提出其出售给黄某以及与家教同行间交换的公民个人信息只占涉案公民个人信息中的很小一部分，大部分信息并未对外扩散，并已予以删除，其主观恶性较小，其行为并非“情节特别严重”。蒋某的辩护人提出蒋某从百度云下载的公民个人信息，用于自己学生课外辅导招生及广告宣传，不属于非法获取，且蒋某已经主动删除这些信息，并未用于牟利和散播，其主观上终止了犯罪行为，属于犯罪未遂，不应予以刑事处罚；出售给黄某的公民个人信息是蒋某从他人处交换所得，牟利11000余元，这部分才是蒋某的犯罪数量。蒋某的行为不应构成情节特别严重，建议二审法院考虑到蒋某系初犯，认罪态度好，对其从轻处罚。
　　上海市第一中级人民法院（即二审法院）认为，原审被告人蒋某非法获取的公民个人信息数据文件达18.7万个，仅抽取其中9个数据文件，即提取到248万余条内容较为完整的公民个人信息，其非法获取的公民个人信息数量特别巨大；原审被告人蒋某还通过QQ群与不特定人交换公民个人信息，公民个人信息散播范围无法控制，其出售给黄某的信息均为本市中小学详细的学生学籍信息，内容包括学生姓名、家长姓名、家庭地址、出生年月、家长电话等，目前虽尚未造成被害人伤亡、重大经济损失等严重后果，但性质极为恶劣，对社会的潜在威胁极大，抗诉机关认为原审被告人蒋某的犯罪行为应当被认定为《中华人民共和国刑法》第二百五十三条之一规定的“情节特别严重”，依法应处三年以上七年以下有期徒刑，并处罚金的相关意见，二审法院院予以采纳。关于辩护人所提蒋某从百度云下载公民个人信息不属于非法获取，经查，蒋某所下载的公民个人信息内容非常详尽，不属于公开的个人信息，其下载行为应当被认定为非法获取。侵犯公民个人信息属行为犯，辩护人所提在到案前蒋某主动删除了大部分数据的行为，系犯罪未遂，无法律依据；但其主动删除信息，未再对外扩散的行为在量刑时予以考量。蒋某到案后能如实供述其罪行，构成坦白情节，依法从轻处罚。据此，二审法院作出如下判决：一、撤销上海市徐汇区人民法院（2016）沪0104刑初1162号刑事判决第一项，即“被告人蒋某犯侵犯公民个人信息罪，判处有期徒刑二年，并处罚金人民币二万元”。二、维持上海市徐汇区人民法院（2016）沪0104刑初1162号刑事判决第二项，即“被告人的违法所得应予追缴；犯罪工具予以没收”。三、原审被告人蒋某犯侵犯公民个人信息罪，判处有期徒刑三年，并处罚金人民币二万元。

［疑难问题］
　　被告人蒋某的行为侵犯了公民的个人信息权，给社会秩序带来了一定的负面影响，符合本罪的客体要件。蒋某违反国家有关规定，非法获取公民个人信息数据文件达18.7万个，提取了248万余条内容较为完整的公民个人信息，非法获取、出售的公民个人信息数量、违法所得数额符合入罪标准，符合本罪的客观要件。本罪只要求行为人主观罪过为故意，目的与动机不影响罪过的成立。虽然行为人主观上是为了合法经营辅导课程，不具有非法目的与动机，但其具有侵犯公民个人信息的故意，因而符合本罪的主观要件。行为人具有刑事责任能力，满足刑事责任年龄，符合本罪的主体要件。综上，一审、二审法院认定蒋某犯侵犯公民个人信息罪的判决是正确的。根据抗诉机关的意见以及二审的判决结果，本案的疑难之处在于行为是否达到了“情节特别严重”的程度，从而使抽象的法定刑升格，适用本罪的第二档刑罚。二审法院从行为人非法获取公民个人信息的数量、公民个人信息的类型、侵犯公民个人信息的行为形态三种客观因素出发，认为行为符合“情节特别严重”的条件。笔者认为，“情节特别严重”的认定应当从主客观两个方面来考查，若客观上符合特定的标准，行为人主观上也应当具备预见可能性，能够对接续发生的严重情节有具体的了解和认识。就本案来说，蒋某侵犯公民个人信息的行为属于“情节严重”的情形，不能适用“情节特别严重”的法定刑。

［法理分析］

一、本罪“情节特别严重”的理解
（一）“情节特别严重”的概述1.“情节”的刑法内涵
　　“情节特别严重”以“情节”为基本前提，厘清刑法中“情节”的内涵实属必要。刑法中的情节是反映犯罪社会危害性和行为人人身危险性及其程度的影响定罪与量刑的主客观事实情况。按照情节的功能划分，可分为定罪情节与量刑情节。就定罪情节而言，有学者认为定罪情节是区分罪与非罪的构成犯罪所必备的情节，而有学者认为定罪情节指刑法分则中规定的犯罪行为基本犯罪构成以外的，与行为或行为人密切相关的影响行为是否构成犯罪的各种具体事实情况。 [2]上述观点分歧的核心之处在于情节是否属于犯罪构成的基本、共同要件。笔者赞同第二种观点，定罪情节不是犯罪构成的基本要件，而是具体犯罪构成的必备要件。在具体犯罪中，行为具备特定的情节才能构成犯罪。例如，刑法第二百五十三条之一规定“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的”，“违反国家有关规定，向他人出售或者提供公民个人信息”属于犯罪构成的基本、共同要件，行为人出售、提供公民个人信息的行为只有符合前述的基本犯罪构成，才有必要评价“情节严重”。2017年《最高人民法院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第五条细化了“情节严重”的具体标准，填充了定罪情节的特定规范内容。行为人既可能因出售、提供行踪轨迹信息被他人用于犯罪而符合构成要件，也可能因侵犯公民个人信息的数量达到一定标准而符合构成要件。就量刑情节而言，量刑情节指犯罪构成事实之外的，对犯罪的社会危害程度和犯罪人的人身危险性具有影响作用的、法院在对行为人量刑时需考虑的各种事实情况。 [3]依照情节对量刑结果产生有利影响还是不利影响为标准可以将其划分为从宽量刑情节和从严量刑情节。从严量刑情节中只需考虑情节的不利影响，反映犯罪的社会危害性和行为人的人身危险性，在我国刑法分则中通常表现为从重处罚、加重处罚。从重处罚表现为在相对确定的刑度范围内选择较重刑罚；加重处罚表现为法定刑升格，例如刑法第二百六十三条规定了抢劫罪的8种法定刑升格条件，第三百一十八条规定了组织他人偷越国边境罪的7种法定刑升格条件。2.“情节加重犯”的刑法内涵
　　当犯罪情节满足加重、从严处罚条件时，由刑法加重法定刑，便可以“情节加重犯”指称。由于情节加重犯在基本犯的基础上加重了法定刑，如果不能慎用，将会导致非情节加重犯的行为被误认为情节加重犯、属于情节加重犯的行为被误认为非情节加重犯，严重违背罪刑均衡原则。因此，理顺基本犯与情节加重犯的关系是正确界定情节加重犯内涵的关键步骤。有关二者关系的学说，理论界大体包括以下观点：（1）派生的犯罪构成说。基本犯是普通的犯罪构成，行为具有普遍、一般的社会危害性。派生的犯罪构成指以独立的犯罪构成为基础，具有较重或较轻社会危害性而从独立的犯罪构成中衍生出来的犯罪构成。情节加重犯作为加重的犯罪构成，有别于基本犯罪构成而独立存在。（2）加重罪责说。加重罪责说主张情节加重犯是以较重情节作为加重罪责而构成的犯罪，此时加重犯不单是量刑幅度的问题，应当置于连接犯罪与刑罚的刑事责任中考虑。（3）依附说。这种观点主张基本犯是情节加重犯的前提，情节加重犯若不符合基本犯罪构成的定罪要求，则不具备法定刑的加重基础。 [4]基本犯指刑法分则规定的不具有法定加重、减轻情节的犯罪，加重犯指分则以基本犯为基准规定了加重情节与较重刑罚的犯罪，后者又可分为结果加重犯与情节加重犯。申言之，因实施的基本犯罪具有其他严重情节而由刑法加重法定刑的犯罪，即为情节加重犯，情节加重犯在本质上依附于基本犯。 [5]在依附说内部，又存在同一说和非同一说两种学说。同一说认为基本犯与情节加重犯须符合同一犯罪构成要件，只不过成立情节加重犯应以基本犯为前提。因此，情节加重犯中的情节应当与基本犯中的情节保持同一性，属于定罪情节。非同一说认为，基本犯中的“情节严重”“情节恶劣”属于构成要件，而依附于基本犯的“情节特别严重”“情节特别恶劣”属于法定升格条件。易言之，前者是定罪情节，后者是量刑情节。 [6]笔者赞成非同一说，情节加重犯附属于基本犯，加重情节不是基本犯罪构成的必备要件，不会改变犯罪的性质，不影响罪与非罪的认定。换言之，情节加重犯中的加重情节影响的是社会危害程度和行为人罪责程度，意在区分重罪与轻罪、普通社会危害性和严重社会危害性，因而有别于定罪情节。3.“情节特别严重”的刑法内涵
　　一方面，“情节特别严重”在刑法中的表现形式多样。我国刑法有关情节加重犯的立法模式主要包括三种：第一，列举立法模式。刑法通过具体条文或司法解释明确列举加重情节的内容。第二，抽象立法模式。附属于基本犯的“情节严重”“情节特别严重”“情节特别恶劣”是法定刑升格的必要条件。第三，混合立法模式。刑法分则通过“明确列举与抽象规定”的方式确定情节的特定内容，同时在最后一项设置兜底条款作为补充，以防止遗漏其他情节。因此，“情节特别严重”在刑法中表现为三种形式，即列举式、抽象式与“列举+抽象”式。另一方面，“情节特别严重”的内容综合、丰富。由于犯罪的手段、时间、地点、次数、数额、动机、对象、主体、主观等情节因素都可以影响并受社会危害性评价，因而情节是包含多种犯罪因素的综合整体。需要注意的是，广义的情节加重犯包含结果加重犯，原因在于加重结果是加重情节的一种因素，而狭义的情节加重犯将结果加重犯与之并列，旨在突出加重结果对法益的直接侵害和威胁，因此刑法有必要独立规定结果加重犯。
（二）本罪“情节特别严重”的内容
　　刑法第二百五十三条之一第一款规定了侵犯公民个人信息罪的基本犯与情节加重犯。其中，“违反国家规定，向他人出售或者提供公民个人信息，情节严重的”是本罪的基本犯，“情节特别严重的”是本罪的情节加重犯。《解释》第五条第一款、第六条第一款均明确了作为定罪情节的“情节严重”的判断标准，同时以抽象的“其他严重情节”作为兜底条款，避免制定标准存在疏漏。第五条第一款规定非法获取、出售或者提供公民个人信息满足一定情形就应当认定为本罪的“情节严重”。第一款从信息用途、信息效力、信息数量、危害后果、主体身份、行为人前科等方面出发，确定了统一的入罪标准。第六条第一款规定为合法经营活动而侵犯公民个人信息的特殊入罪标准，非法获利数额、行为人前科均成为重点考量内容。《解释》第五条第二款建立在第一款的基础之上，实施第一款的基本犯行为且满足“造成被害人死亡、重伤、精神失常或者被绑架等严重后果的”“造成重大经济损失或者恶劣社会影响的”“其他特别严重的”任一情形，就符合“情节特别严重”的规定，应当升格法定刑，对行为人加重处罚。就犯罪构成来说，主客观相统一原则指犯罪构成主观要件和客观要件的统一，行为人应在罪过支配之下实施犯罪行为、造成危害结果。就加重情节来说，行为是否具有加重情节也应当坚持主客观相统一的认定原则。通说认为行为人对结果加重犯中的加重结果至少具有过失，就情节加重犯来说，行为人对加重情节亦至少具有过失，且以预见可能性为必要，否则不成立情节加重犯。其一，当行为人对加重情节不具有预见可能性时，行为人只构成基本犯。其二，当行为人对加重情节具有预见可能性时，若行为人具有避免可能性，且积极预防、防止加重情节发生，则行为人只构成基本犯；若行为人具有避免可能性，但轻信、放任加重情节发生，则行为人构成情节加重犯；若行为人不具有避免可能性，则行为人只能构成基本犯。综上，“情节特别严重”应当遵守主客观相统一原则，不能忽视主观恶性对罪责的影响。

二、本案的犯罪构成分析
（一）犯罪客体
　　由于侵犯公民个人信息罪位于侵犯公民人身权一章，因而传统理论一直坚持法益一元论的观点，主张本罪的保护法益是公民信息自由权或个人信息权。法益二元论主张个人法益与超个人法益的结合，“公民个人信息”不应仅满足于个人法益划定的范围，还应当具有超个人法益的属性。超个人法益从社会本位的视角出发，指非专属于特定个人法益但与个人法益相关联的社会法益、公共法益。侵犯公民个人信息罪已经成为电信诈骗、网络诈骗、敲诈勒索等人身、财产犯罪的上游犯罪，当行为达到情节严重、情节特别严重的标准之时，往往会超出初始的信息自由权法益，进而对公民的人身权和财产权法益造成重大损害，甚至产生恶劣的社会影响，严重损害社会利益与公共利益。因此，本罪的保护法益既应当包含与单个人有关的信息权，又应当关注超个人信息权之外的人身法益和财产法益、集体法益和公共法益，从而保证个人主义与集体主义的双重兼顾。本案被告人蒋某非法获取、出售本市数十个中小学学校的学生学籍信息，内容包括学生姓名、家长姓名、家庭地址、出生年月、家长电话等，非法获利共计人民币11000余元。同时，出售信息后，学生和家长受到电话骚扰，学习和生活被严重影响。蒋某的行为不仅侵犯了学生和家长的个人信息权，还侵害了一定的社会生活秩序，因而符合本罪的客体要件。
（二）犯罪客观方面
　　本罪的客观方面表现为行为人违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的；行为人违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的；行为人窃取或者以其他方法非法获取公民个人信息的。根据《解释》可知，信息类型不同，构成本罪的条件不同。非法获取、出售或提供行踪轨迹信息、通信信息、征信信息、财产信息应当达到五十条的标准，住宿信息、通讯信息、健康生理信息、交易信息等其他可能影响人身、财产安全的信息应当达到五百条的标准，前述信息类型之外的其他公民个人信息应当达到五千条的标准。蒋某从百度云下载、与他人交换获取公民个人信息的行为属于以其他方法非法获取公民个人信息的行为，且非法获取的公民个人信息达248万余条，已经满足了上述入罪标准；蒋某将非法获取的部分信息出售给黄某，满足出售公民个人信息的行为内容；蒋某非法获利金额达11000余元，满足违法所得5000元以上的标准。综上，蒋某的行为符合本罪的客观方面。
（三）犯罪主观方面
　　本罪的主观方面是故意，犯罪动机和目的不影响故意的成立，行为人只要明知或应知侵犯公民个人信息的行为会导致某种危害结果而希望或放任这种危害结果发生，就构成本罪的故意内容。即便行为人具有合法经营、合法利用个人信息的目的，也不能阻却犯罪故意的成立。辩护人提出“蒋某从百度云下载的公民个人信息，用于自己学生课外辅导招生及广告宣传，不属于非法获取，且蒋某已经主动删除这些信息，并未用于牟利和散播”，这种辩护意见不能证明蒋某不具备主观故意。第一，蒋某明知从百度云下载公民个人信息的行为会发生非法获取公民个人信息的结果而积极追求结果的发生，符合故意的认识和意志因素。第二，本罪不要求故意内容具备牟利目的和散播目的，只要行为人基于自己的意思选择了犯罪事实，对法益侵害或者危殆化有所认识，就应当对已发生的犯罪事实承担刑事责任。<a class="qk_text-decoration" title="［日］松原芳博：《刑法总论重要问题》，王昭武译，中国政法大学出版社2014年版，第210页。" &> [7]第三，蒋某主动删除信息的行为不排斥购买、交换、出售公民个人信息的故意内容，犯罪行为已经既遂，该行为可在量刑时予以考量。可见，二审判决有关蒋某主观故意的认定是正确的。
（四）犯罪主体
　　本罪的主体为一般主体，凡已满16周岁具有刑事责任能力的自然人都可以成为本罪的主体，蒋某满足本罪的主体要件。需要注意的是，《解释》第五条第九项规定：“曾因侵犯公民个人信息受过刑事处罚或者两年内受过行政处罚”的主体，一旦再次实施非法获取或提供、出售公民个人信息的行为，毋需考虑信息数量、违法所得数额等标准，直接认定为“情节严重”，构成犯罪。

三、本案不符合“情节特别严重”的规定
（一）本罪的“情节特别严重”与量刑规则
　　依照上文论述，一审、二审判决均认定蒋发为构成侵犯公民个人信息罪，这无疑是正确的，二者的争议焦点在于行为人是否具有加重情节，符合“情节特别严重”的规定。如果不能正确评判本案的具体情节，将严重影响行为人的量刑，造成罪刑失衡局面，不利于刑法人权保障机能的发挥。一方面，适用“情节特别严重”的规定，使法定刑升格。基本犯的法定刑为“三年以下有期徒刑或者拘役，并处或者单处罚金”，加重犯的法定刑为“三年以上七年以下有期徒刑，并处罚金”。另一方面，若适用“情节特别严重”的规定，则缺乏法定从宽处罚的根基。《解释》第十条规定：“实施侵犯公民个人信息犯罪，不属于‘情节特别严重’，行为人系初犯，全部退赃，并有悔改表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。”可见，若犯罪情节评价为“特别严重”，则行为人失去进一步宽刑的前提。这一争议已经明显反映在判决当中。针对蒋某的自由刑，一审法院判处有期徒刑二年，二审法院判处有期徒刑三年。虽然在本案中，判处的自由刑并非过于悬殊，但是已表现出加重情节对量刑档次的剧烈影响。如果仍放纵“情节特别严重”的适用，会使量刑不均现象蔓延，同案不同判的案件逐渐增多。
（二）本案不符合“情节特别严重”的规定
　　首先，蒋某的犯罪行为未造成被害人死亡、重伤、精神失常或者被绑架等严重后果。抗诉意见认为“学生信息被出售后，学生家长受到电话骚扰”，是加重情节的一个侧面。笔者认为，电话骚扰确能在一定程度上对学生和家长形成精神强制，但不能导致被害人精神失常。因此，抗诉意见对该危害后果的认定是不准确的。其次，行为是否造成“恶劣社会影响”有待商榷。二审法院认为蒋某“通过QQ群与不特定人交换公民个人信息”、犯罪行为使“公民个人信息散播范围无法控制”“虽尚未造成被害人伤亡、重大经济损失等严重后果，但性质极为恶劣，对社会的潜在威胁极大”符合“造成恶劣社会影响”这一认定标准。笔者认为，从主客观相统一原则来看，虽然蒋某对上述加重情节具有预见可能性，但主动采取回避措施，积极预防、防止加重情节发生，因而不符合“情节特别严重”的规定。其一，蒋某通过封闭的QQ群与不特定人交换公民个人信息的目的旨在获取自身所需的公民信息，而不是发布于开放的公众平台之上，不具有恶意散布的主观恶性。其二，蒋某虽然非法获取了大量个人信息，但主动删除大部分信息，仅出售少部分信息，意在回避大规模信息扩散的危害后果发生，消除信息扩散的潜在威胁。可知，蒋某主动履行结果回避义务，客观上制止了信息的对外扩散行为，因而不应继续沿用“情节特别严重”的认定标准。最后，侵犯“学生学籍信息”是否属于“其他特别严重的情形”有待商讨。二审法院认为，基于国家保护未成年人的需要，非法获取、出售详尽的学生学籍信息应当属于“其他特别严重的情形”。同时，《解释》也极力推崇对未成年人的信息保护，其第五条规定“可能影响人身、财产安全的公民个人信息” 须达到五百条以上。本案中，学生的学籍信息包括学生姓名、家长姓名、家庭地址、出生年月、家长电话等内容。这些信息一旦被人身、财产类犯罪分子利用，后果不堪设想。然而，本案中蒋某出售、交换的对象均为家教同行，信息用途均为学生课外辅导招生及广告宣传，情节尚未达到特别严重的境地。如果过于宽泛地解释“其他特别严重的情形”，将会使所有有关身份的信息都指向人身、财产类犯罪，不利于限制情节加重犯的适用。因而，信息的现实用途和可能用途是限制“情节特别严重”的重要条件。
四、结语
　　“情节特别严重”作为一种加重量刑情节，旨在有力规制社会危害性更为严重的行为，具有立法和司法的必要性。然而，如果过于滥用加重情节，会使罪刑不均衡，刑罚过于严苛，不利于法益保护和人权保障。因此，用主客观相统一原则具体探讨“情节特别严重”的内涵，能够合理适用情节加重犯理论，完善公民个人信息的刑法保护。