关键词：侵犯公民个人信息；刑法溯及力；信息核心要素；举证责任
【裁判要点】
在新旧法律过渡阶段，在坚持从旧兼从轻原则的同时，所适用的罪名可独立于法定刑。在“两高”司法解释对侵犯公民个人信息罪中的情节严重及情节特别严重作了具体界定时，仍需结合信息的核心要素及举证责任的要求来认定信息类型及信息数量。
【相关法条】
《中华人民共和国刑法》第二百五十三条之一 违反国家法律规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或拘役，并处或单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或提供给他人的，依照前款的规定从重处罚。
窃取或以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
《中华人民共和国刑法》（2009年修正）第二百五十三条之一 国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。
窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚
单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
【案件索引】
审：浙江省杭州市江干区人民法院（2017）浙0104刑初694号（2018年2月7日）
【基本案情】
浙江省杭州市江干区人民法院经公开审理查明：被告人周琦系房地产自由经纪人，自2014年起被告人周琦在从事日常业务过程中，以购买、交换等方式非法获取了300余万条楼盘业主、车主、股民等各种类型的公民个人信息。后将上述信息先后出售给被告人项延兵、滕美琴等人，其中2015年11月1日后出售公民个人信息的违法所得共计人民币26000余元。被告人项延乓等41人为推销、拓展各自经营的业务，于2014年至2016年9月间分别向被告人周琦购买包含姓名、电话、地址等内容的可能影响人身、财产安全的汽车车主、楼盘业主等公民个人信息2000余条至52万余条不等。
本案审理期间，被告人周琦家属代为退出违法所得人民币26000元。
【裁判结果】
浙江省杭州市江干区人民法院于2018年2月7日作出（2017）浙0104刑初694号刑事判决：被告人周琦犯侵犯公民个人信息罪，判处有期徒刑四年，并处罚金人民币3万元；累犯被告人何光犯侵犯公民个人信息罪，判处有期徒刑一年四个月，并处罚金人民币1000元；其余40名被告人均犯侵犯公民个人信息罪，判处拘役六个月至有期徒刑三年，缓刑十个月至五年不等，并处罚金。判决已发生法律效力。
【裁判理由】
法院生效判决认为：被告人周琦违反国家规定，以其他方法非法获取公民个人信息并向他人出售，情节特别严重；被告人项延兵滕美琴等32人违反国家规定，以购买等方式非法获取公民个人信息，情节特别严重；被告人何光等9人违反国家规定，以购买等方式非法获取公民个人信息，情节严重，其行为均已构成侵犯公民个人信息罪。公诉机关对侵犯公民个人信息罪的指控罪名成立，对被告人何光等7人构成非法获取公民个人信息罪指控罪名不当，予以纠正。其中被告人何光系累犯，但其在与被告人付天印的共同犯罪中起次要、辅助作用，系从犯，可予从轻处罚。卖家被告人周琦归案后能如实供述犯罪事实，案发后退出违法所得，可予从轻处罚。考虑到同案的买家被告人项延乓等41人在实施犯罪行为时均有合法正当的工作，基本都以开展业务、提高业绩为初衷，最终实施了本案所涉的犯罪行为，现有证据证明涉案公民个人信息基本未用于进一步的传播、扩散，且至案发时尚未造成引发其他犯罪等严重的实际危害后果，各被告人归案后认罪态度较好，除去被告人周琦系本案的源头犯罪，被告人何光系累犯，该二被告人不宜适用缓刑，其余在案的项延乓等40名被告人根据各自的犯罪情节及悔罪表现，均可适用缓刑。
【案例注解】
本案在审理过程中有三个较大的争议焦点：第一，本案犯罪时间跨越《中华人民共和国刑法修正案（七）》（以下简称《修七》）、《中华人民共和国刑法修正案（九）》（以下简称《修九》），罪名亦从非法获取公民个人信息罪演变为侵犯公民个人信息罪，对于部分涉案犯罪行为有新旧两个罪名规定，在适用从旧兼从轻原则时如何确定罪名规制犯罪行为；第二，涉案的信息中“地址”是否属于《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第五条第（四）项规定的“住宿信息”；第三，根据《解释》第十一条规定，已经抽样的基础下涉案信息数量的举证责任。首先，对于本案部分被告人罪名的认定，我们认为刑法溯及力并不必然牵涉罪名的变动，本案仍以新罪名侵犯公民个人信息罪定罪，但在法定刑上适用从旧兼从轻原则。
本案中，被告人何光等7人实施犯罪行为的时间均发生于《修七》施行期间，在此之后并没有再实施犯罪行为，理应依照从旧兼从轻原则，对上述被告人以《修七》规定的非法获取公民个人信息罪予以处罚，但因本案案发时，经过《修九》的修订，非法获取公民个人信息罪这个罪名已经不复存在，已被侵犯公民个人信息罪所吸收。我们认为，罪名变动具有独立形态，并不当然等同于法定刑、罪状的变动，刑法溯及力关于从旧兼从轻原则的规定在内容上是对刑罚有无和轻重的变更，罪名无轻重之分，在罪名发生变动时适用从新原则更有利于发挥罪名的各种功能，符合法的规范指引作用的要求，适用新罪名的同时在法定刑上适用从旧或从轻原则并不加重被告人的刑罚，仍符合罪刑法定原则，故对上述7名被告人以侵犯公民个人信息罪定罪更为妥当。
另外，本案中被告人汪超烨等6人实施犯罪行为的时间系横跨《修七》《修九》两个法律施行阶段，因上述6名被告人对在《修七》施行期间“以其他方法非法获取”的公民个人信息呈持续非法持有或使用状态，行为一直延续至2015年11月1日《修九》施行期间且再次实施相同违法行为，应认定相关被告人系出于一个主观故意而实施的呈持续状态的犯罪行为，对上述被告人在2015年11月1日前发生的犯罪行为不适用从旧兼从轻原则单独定罪量刑，但因为《修九》的法定刑较重，在适用《修九》的罪名后可考虑酌情从轻处罚。具体理由可参考《最高人民检察院关于对跨越修订刑法实行日期的继续犯罪、连续犯罪以及其他同种数罪应如何具体适用刑法问题的批复》中第二点：对于开始于1997年9月30日以前，连续到1997年10月31日以后的连续犯罪，或者在1997年10月1日前后分别实施的同种类数罪，其中罪名、构成要件、情节以及法定刑均没有变化的，应当适用修订刑法一并进行追诉；罪名、构成要件、情节以及法定刑已经变化的，也应当适用修订刑法，一并进行追诉，但是修订刑法比原刑法所规定的构成要件和情节较为严格，或者法定刑较重的，在提起公诉时应当提出酌情从轻处理意见。
其次，涉案的“地址”属于《解释》规定的“住宿信息”。根据《解释》第一条对公民个人信息概念的界定可知，公民个人信息的核心要素包括“可识别性”及“隐私性”，前一类信息能够精准定位到信息所属的公民个人；后一类信息则触及公民的个人隐私，间接影响公民人身、财产安全。《解释》中的第五条“情节严重”中的第（三）、（四）项的规定正是基于该核心要素才对数量加以明确，因行踪轨迹信息、通信内容、征信内容等皆属于可识别性的信息，能够单独或与其他信息结合定位到公民个人，一旦暴露在外，个人身份信息也呼之欲出，故非法获取、出售或提供该类信息50条以上即构成情节严重；而住宿信息、通信记录、健康生理信息等则属于隐私性的信息，虽泄露会间接影响公民人身、财产安全，但没有可识别性信息泄露的结果严重，为加以区别，故非法获取、出售或提供该类信息500条以上即为情节严重。
在本案中，各被告人涉案的公民个人信息种类一致的首先是姓名、电话、地址三类信息，在此基础上分别涉及了身份证号码、房屋面积、销售价格、车辆品牌、车辆型号、车架号、股民开户信息等一种或几种公民个人信息。地址从功能性角度评价通常理解为长期、固定的住宿地，虽然在实践中存在地址可能系临时居住地或仅仅为户籍登记地，但是地址这一信息要素一且与公民的姓名、电话相结合，就能够达到识别特定自然人身份或反映特定自然人活动的程度，在此种情况下应将其归属于住宿信息。加之根据现有法律规定控方无需主动对涉案地址是否为公民的实际住宿地承担举证责任，司法解释将住宿信息表述为“可能”影响公民人身、财产安全的信息，即意味着不管公民是否实际居住在该地址，此类信息的泄露对公民的人身、财产存在一定的安全隐患，并非实际必然会发生人身、财产不安全的结果。
最后，批量信息条数可根据查获数量认定，信息重复项及真实性的举证责任归于辩方。因本案在侦查阶段时《解释》尚未出台，根据有利于被告人原则，侦查机关已对涉案信息进行抽样检验信息真伪及去除重复项，进入审判阶段时《解释》已经出台，并在第十一条第三款规定“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外”。
在大数据的背景下，该类案件行为人涉案的信息数量动辄以数万或几十万计，故《解释》第十一条对批量信息条数认定予以规定，该规定既没有背离刑事诉讼证据原则，也不意味举证责任倒置，而是一种推定的证明规则，也即对于批量公民个人信息数量，控方无需检查真伪可直接根据查获数量认定，控方仅凭借经验法则、逻辑关系对涉案信息的基本构罪数量进行审核，直接按查获数认定犯罪数额，不需要主动对真实性和重复项提供证据，举证责任归于辦方。具体到本案中，公安机关及公诉机关均已按有利于被告人的原则对真实性进行了抽样并扣除了重复项及简单信息，辩方虽提出因抽样存在一定的概率性、偶然性进而对真实性信息的适用比例对各被告人之间缺乏公平性的意见，但辩方均未能提供相关证据证明对各被告人指控的犯罪数量中仍有不真实或重复信息存在，故无需按各被告人的最低或平均抽样比例重新认定信息条数。
此外，批量公民信息条数无需剔除赠送信息条数。该罪法条表述为违反国家有关规定，向他人出售或提供公民个人信息、窃取或其他方法获取公民个人信息”，而“以其他方法非法获取”的认知应从行为人获取行为的本质属性角度来判断，只要行为人没有获取公民个人信息的法律依据或资格而获取相关个人信息的，即可以认定为“非法获取”。
因考虑本案所涉犯罪对广大社会公众而言是一个全新的领域，公众对出售、购买、收受公民个人信息可能是构成犯罪的行为存在普遍性的不认知。且刑法的制定和实施的根本目的不是惩罚，而是通过法律的强制力和威慑力使民众自觉懂法、守法，从而使社会秩序及生活环境更规范、有序、和谐。故在本案中，虽有33名被告人在三年以上的法定刑范围内，但除去卖家周琦及累犯何光，在落实切实监管措施后对其余40人处以非监禁刑，让他们在今后的生活工作中以自身的教训去教育、警示同行业及社会上的广大民众，所起到的宣传、普法的积极作用和社会效果会远高于将此40人收监执行，而根据各被告人的犯罪数额、情节，以缓刑考验期的长短加以区别，也符合罪刑法定及罪责刑相适应原则。
（一审法院合议庭成员：沈亚青、钱华英、郑斌；编写人：浙江省杭州市江干区人民法院沈亚青、曹圆圆）
原文载《网络司法典型案例.刑事卷.2018》，李玉萍主编，人民法院出版社2019年1月第一版，P8-14。
整理：江苏省苏州市公安局信访处（民意监测中心）“不念，不往”“诗心竹梦”。