基本案情
龙某某案发前系北京某证券投资顾问有限公司法定代表人，2021年5月至2022年7月，龙某某为拓展其经营的证券投资顾问有限公司的业务，通过网络购买等非法方式从他人处获取被删减姓名、住址等信息的股民群体纯手机号码46万余条，后安排业务推销员使用上述手机号码向他人推荐股票并获利人民币110万余元。经查，龙某某经营的证券投资顾问有限公司系未经中国证监会批准设立的证券投资咨询机构，不具备经营证券投资咨询业务资格。2022年10月17日，北京市公安局通州分局以龙某某涉嫌侵犯公民个人信息罪向北京市通州区人民检察院移送审查起诉。2023年1月12日，通州区人民检察院以龙某某涉嫌侵犯公民个人信息罪向北京市通州区人民法院提起公诉。2023年5月26日，通州区人民法院作出一审判决，认定龙某某构成侵犯公民个人信息罪，判处有期徒刑三年四个月，并处罚金人民币110万元。
♦主要问题
特定群体纯手机号码能否达到识别特定自然人身份的要求，是否属于刑法上的“公民个人信息”？
♦意见分析
☆意见分歧
根据“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)第1条的规定，《刑法》第253条之一规定的“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息相结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。在手机号码实名制背景下，手机号码具有较强的识别性，比如“姓名+手机号码”等个人信息组织方式下就能够识别到特定的自然人，但是存在争议的是，无识别标签的单纯手机号码能否属于公民个人信息，其可识别程度能否纳入刑法保护范围，存在较大争议。正如本案，关于刘某某的行为定性，主要有两种意见：第一种意见认为，龙某某不构成犯罪。特定群体的纯手机号码不能单独识别特定自然人身份或者反映特定自然人活动情况，单纯号码的数字排列不具有公民个人信息的可识别性、可区分性以及专属性，故不能认定为公民个人信息。理由是：其一，在可识别性上，纯手机号码的可识别程度较低，虽然在实名制下手机号码对应着特定自然人信息，但非经法定程序无法精准定位到特定自然人，也需要结合其他信息才能进行识别；其二，在社会危害上，纯手机号码无法对特定自然人准确地识别，对个人生活安宁的侵扰程度、人身财产安全造成的风险较低，尚未达到须以刑罚处罚的程度；其三，在法益侵害性上，虽然手机号实行实名注册制，但纯手机号码不能对应到具体的自然人，无法直接侵害公民的人身和财产权益，其法益侵害是无法体现的；其四，从行为人的主观目的来看，其并不追求识别手机号码背后的自然人，目的仅在于通过拨打电话推荐股票从而获得会员收入。第二种意见认为，龙某某构成侵犯公民个人信息罪。涉案手机号码能够识别特定自然人的身份，属于刑法保护的公民个人信息。理由是：其一，手机号码属于通信通讯联系方式，在实名登记制下申请手机号码需要公民的姓名、身份证号码进行登记，一个手机号码对应一名身份真实有效的机主，指向使用该号码的特定自然人。在实名登记制下手机号码能够识别特定自然人的身份。其二，在网络高速发展的时代下，手机不仅具有通信功能，同时具有移动支付、实时定位、金融操作等多种功能，能够反映机主的身份情况、行踪轨迹、财产情况等各种信息，能够识别特定自然人身份或者反映特定自然人的活动情况。[1]一旦被非法利用，可能对公民的人身、财产造成侵害，属于刑法意义上的公民个人信息，对于违反国家有关规定，非法获取、出售或者提供特定群体纯手机号码的行为，应认定为侵犯公民个人信息罪。
☆意见评析
笔者同意第二种意见，特定群体的纯手机号码与特定自然人的身份信息绑定，具有可识别特征，属于司法解释列举的公民个人信息中的“通信通讯联系方式”，应当认定为侵犯公民个人信息罪中的“公民个人信息”。主要理由如下。第一，特定群体的纯手机号码符合可识别性标准，具备“识别”与“关联”到具体特定自然人的双重属性。《解释》第1条明确规定了公民个人信息应当具备可识别性的核心特征，能够单独或者与其他信息结合识别到具体的自然人，即公民个人信息具有明确的目标指向性。国内学者对个人信息可识别性的解释路径各不相同。“人格形象说”认为，个人信息应当可以勾勒出作为信息主体外在标志的人格形象，实现与隐私权的分离，个人信息通过对自然人个人属性和社会属性的刻画，勾勒出可以识别到具体自然人的一幅“信息画像”；“身份要素说”将个人信息的内涵具体化为能够识别自然人的人格要素，由一般人格权延伸至具体人格权，如名誉权、隐私权、肖像权等；“身份建构说”指出个人信息保护关注的是个人的身份建构过程，是数字时代下个人信息由碎片化逐渐系统化的整合过程。由此可见，可识别性的主要内涵为定位到具体特定自然人的“识别”要素与“关联”要素，识别程度需要由抽象、概括的数字化特征识别到具体的“你是谁”。根据《电话用户真实身份信息登记规定》的规定，我国对手机号码实行实名登记制度，手机号码与具体的个人相对应。特定群体有特定的群体化标签，虽然特定群体的纯手机号码没有姓名、住址等相关信息，但手机号码可以指向每一个具体的个人。尤其是行为人获取特定群体的手机号码具有明确的目的性，即对该群体实施有针对性的诈骗或者推销活动。行为人主观上是为了追求特定群体电话号码背后的具体个人，进而实施电信诈骗或者推销股票、商品等行为，针对的对象是具体而明确的。例如，具有购买房产、股票、婴幼儿用品意向或符合行为人其他要求等特定目标群体。本案中，经过删减的股民群体纯手机号码具有很强的身份指向性，仍可以体现机主的经济能力、特定商业需求等个人特征，且仅凭手机号码就可以直接联系到某个具体的个人进而实现其推荐股票的目的。因此，缺少姓名的特定群体的纯手机号码并不影响行为人主观目的的实现，更不会削减手机号码的指向性，属于能够单独识别的公民个人信息。第二，借助利益衡量原则合理厘清“可识别性”的具体边界，明确特定群体对其手机号码具有相对的排他性支配权。个人信息背后承载着个人人格利益，这也是《个人信息法保护法》通过刑事法律保护公民个人信息的正当性根据，具体包括自然人的身份信息、财产信息、交易信息、互联网账号信息、通信通讯联系方式等信息。但是，随着数字时代信息的爆炸式增长，个人信息与公共信息的边界越发模糊，实践中认定“个人信息”需要权衡特定个体人格利益和信息流通效率利益，识别认定不同种类的个人信息：一方面从是否具备排他性支配权认定个人信息，另一方面从是否基于社会利益需求或者自愿让渡否定个人信息。而对信息流通或者社会利益的衡量，本质上还是通过对“可识别性”认定范围的限定来实现的。个人信息既具有私密性，也具有社会性。本案中，对于股民群体的手机号码而言，虽然其要在一定范围内和某些使用场景中被他人合法知悉，但该群体人员并不希望随意扩大手机号码的知悉范围，尤其被用于广告推销、电信诈骗等活动。因此，特定群体的人员对手机号码的知悉范围和使用场景具有个人信息自决权，具有法律保护的价值。需要注意的是，特定群体对其手机号码的排他性支配权具有相对性。对于主动公开的信息，除相关权利人要求“二次授权”外，宜推定存在概括同意。手机号码具有一定的社会属性，需要机主通过自愿公开、允许他人使用等方法在一定范围内放弃个人信息的保护权，此时自愿公开的手机号码由于“公开承诺”而丧失刑法保护的价值，行为人对手机号码的获取和处理行为具有合法性。但是，行为人对手机号码的使用范围和用途仍受到严格限制，超出范围的信息处理行为仍有可能构成违法犯罪。第三，从侵犯公民个人信息罪的个罪保护法益入手，以个人信息安全与生活安宁为本罪法益保护内涵，明确特定群体的纯手机号码具有法律可保护性。一是传统意义上的信息安全主要表现为涉及信息拥有者的人身、财产权益，从而具有刑法保护的真实性、价值性与必要性。确定某类信息是否属于侵犯公民个人信息罪的保护范围时，需要明确该类信息是否具有公民个人信息的权利属性，若法律不对其采取保护措施的话会导致其被非法侵害的可能性增加，在受到侵害时会威胁公民私生活安宁。在实名制背景下，手机号码与人们的生活场景紧密联系，尤其是大数据智能化时代，纯手机号码与移动支付、地理定位软件链接，反映出个体的消费、支付等偏好，通过手机号码进行实时认证、启动人脸识别程序等，一定程度上成为服务个体决策的重要基础。同时，手机号码作为公民的隐私信息，其仅在一定范围内予以公开，公民对其享有控制、支配的权利，非经机主同意或者授权非法泄露、利用其手机号码的行为会对公民的人身、财产安全造成威胁，具有法律保护的价值。二是个人信息的非法侵害是对个体生活安宁权的不当干涉，亦具有刑事处罚必要性。本案中，股民群体的纯手机号码虽然经过删减处理，但由于该类信息在收集之初具有较强的目的性，是对股民群体的信息进行有针对性的获取，进而出售给具有推荐股票业务需求的行为人，对该类行为人而言，姓名、年龄甚至住址等信息并非其需求对象，其更看重手机号码与具体个人之间的联系以及手机号码指向股民群体的股票购买需求，进而实施业务推销等活动，严重影响公民的个人生活安宁甚至生命、财产安全。事实上，无论手机号码被用于商业用途还是洗钱、电信诈骗、敲诈勒索等下游网络犯罪活动，都容易给公民的人身财产安全、生活安全造成难以消除的风险隐患。因此，特定群体的纯手机号码与公民的人身、财产和生活安宁等权利相关联，在法律上具有应当保护的价值。第四，经过匿名化处理的特定群体纯手机号码，因与公民个人仍然存在紧密的连接性，不应属于去识别化信息。本案中，行为人为逃避法律打击，将非法获取的股民群体的信息进行加工处理，对姓名、住址等信息进行删减，仅保留该群体的手机号码，使其在不借助额外信息的情况下无法识别特定自然人，该过程被称为个人信息“匿名化处理”或“去识别化”。《解释》第3条将经过处理无法识别特定个人且不能复原的信息排除公民个人信息的范畴，虽然实践中对去识别化的标准和程度并未达成统一的认识，但去识别化的程度越高，能够识别具体个人的信息就越少，越有利于保护公民隐私，进而达到无法识别特定个人的程度。但是，对于股民等特定群体的纯手机号码，虽然经过处理后姓名、住址等相关信息被隐匿，但其保留了手机号码这一具有特定用途价值的信息。真实、完整的电话号码提供了电话接通的高度可能性，而通过机主接听电话的声音大致可以判断出机主性别、年龄等直接信息。另外，手机号码可以暴露机主的职业和喜好，定制的企业铃声可能会暴露公司法人信息，在信息逐渐丰富的过程中，由于手机号码可以指向其目标群体中每一个具体的个人，去识别化并未达到将手机号码与特定个人进行阻断的程度，对机主隐私造成的威胁或损害的风险也未降低，仍符合可识别性标准，属于侵犯公民个人信息罪的保护范围。能否将信息界定为去识别化的个人信息并非静态的，而是跟随风险控制进行动态转化的过程。容易被混淆为去识别化的个人信息有两类：一类是经过简单隐匿化技术处理，但未达到相应标准的去识别化个人信息。此类信息存在着较大的再识别风险和可能性。经过简单的技术恢复处理便可再次指向具体个人，[1]与公民个人仍然存在紧密的连接性，仍然属于未去识别化的、应当受到法律保护的法益对象。例如，行为人通过办公处理软件将手机号码进行格式化更改，但是通过设置特定文本格式即可以还原未隐匿化的原始数据的，此种为形式上的信息更改，具有可恢复性和还原性。与此相对应，另一类是对组合信息的个别要素进行删减，但核心信息本身删减，并未影响根据核心特质链接具体的个人信息，即本案被告人龙某某等人虽然对股民群体的姓名、家庭住址等相关信息做了隐匿处理或者删减，但是个人电话号码并未作技术性处理，未对电话数字排列进行不可逆的更改与删除处理，未切断电话号码与股民群体连接造成的信息侵害等风险，不能认定为《解释》第3条所规定的“去识别化信息”，涉案手机号码能够识别特定自然人的身份，属于刑法保护的公民个人信息。
原文载《首都检察案例参阅》，北京市人民检察院法律政策研究室编，法律出版社，2025年2月第一版，P122-P128。免责声明：本号资料均来源于网络、报刊等公开媒体及个人阅读书籍摘录，本文仅供参考。如需引用，请以正式文件为准。
蒙公网安备15020302000739号