广州刑事辩护律师网 www.yingkejinxin.com
【广州刑事辩护律师网导读】很多企业家或公司白领阶层都需要营销，需要开拓客户，在精准营销或主动营销的过程中绕不开的一个话题就是如何合法获取及使用公民个人信息？现实社会中有太多勇敢“裸奔”的人，为了经济利益奋不顾身的往前冲，丝毫没有想到刑事法律风险，可谓无知无畏，不懂法，不知罪，没有法律知识，更没有法律意识，没有信仰法律畏惧法律之心，等到撞得头破血流的时候，后悔已太迟。刑事辩护律师每每看到如此，都感到非常痛心，但又非常无奈。社会大众，哪怕是本科毕业生，都严重缺乏法律意识的教育，很多人都不知道犯罪为何物？很多人都停留在“杀人放火才是犯罪，没偷没抢就不是犯罪”的认知层面，其实犯罪陷阱就在我们身边，隐藏在生活的各个角落，一不留神就将你吞噬，一不留神跨越雷池，就空余千古恨。
本案涉及的是侵犯公民个人信息罪，确确实实是一个很大的“箩筐”罪，在信息爆炸的现代社会，时时都能接触公民个人信息，处处都要使用公民个人信息。2009年出台的《刑法修正案（七）》及2015年出台的《刑法修正案（九）》对侵犯公民个人信息罪作了相应的规定和修改，2017年最高人民法院、最高人民检察院又发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，可见立法机关和司法机关对侵犯公民个人信息问题的重视。人们如何规避刑事犯罪陷阱？行为人如何把握侵犯公民个人信息罪的罪与非罪的边界？
【案情简述】
一、业务模式
戴某系广州某投资管理公司的业务主管，该投资管理公司对外宣称的业务模式是作为投融资的中介机构，一边对接有投资需求的私募股权基金公司或其他资金方，另一边对接有融资需求的中小企业老板。但私募股权投资或者说风险投资的条件是很严格的，符合投资方要求的高质量的中小企业极少，所以该投资管理公司真正做成功的投融资项目是很少的，其主要业务或者或主要精力还是在于会议营销及培训，即将众多中小企业老板吸引过来举办会议，收取基本的费用（此费用扣除会务费和业务员的工资及提成后还略有盈余），然后在会议中推销价格比较昂贵的投融资培训课程，如果确实有一些成长性很好的高科技类中小企业，就收取更加昂贵的佣金，将该企业介绍给投资方。
二、丰厚利润
现实中的中小企业成长确实艰难，首要的困难就是融资难，所以该商业模式确实挺吸引人。中小企业老板缴纳基本的费用后，相当于是听了一场有偿的财经类讲座，也并没有感到吃亏。即使没有意向花费更多的金钱进一步培训，但该投资管理公司就已经不亏本或略有盈余。但也有少部分老板为了其企业的长远发展和自身的融资需求，也会进一步花钱参加培训。此培训服务，就是该投资管理公司的丰厚利润之所在。如果能进一步的收取投融资的佣金，那就是额外的超额利润了。
三、铤而走险
该投资管理公司看起来属于“高大上”的金融类行业，再加上诱人的提成激励机制，所以招收到的员工都是颜值高、形象好、口才佳的正规大学本科毕业生，他们的思维活跃，行动力强，工作积极进取，所以该投资管理公司的业务是欣欣向荣，一派热闹。这些员工在开拓业务的过程中，为了更有针对性的进行精准电话营销，均使出浑身解数，掘地三尺般的寻找各类型中小企业老板的姓名和电话，甚至他们的住址及名下的房子、车子、保险等财产信息。所以需要大量的搜集、交换或购买各种公民个人信息。
四、东窗事发
该来的始终会来。有一位中小企业老板花费了十多万元购买了该投资管理公司的培训课程，上了部分课时后，认为没什么作用，感觉被欺骗了，就要求退款，该投资管理公司予以拒绝，该老板后来只要求退还剩余课时所对应的费用，该投资管理公司依然拒绝，该老板一气之下去公安机关报案，称该投资管理公司涉嫌诈骗，并提供了十多万元的刷卡记录。一开始公安机关认为这是经济纠纷，并没有受理报案。后来该老板又找来另外其他两位老板的刷卡交费记录，均是数万元不等，并声称有数百位被诈骗者。于是公安机关就派人去该投资管理公司现场了解情况，到了现场发现数名在进行电话营销的业务员手边均有厚厚一沓公民个人信息，经询问，业务员称这些公民个人信息是购买的或是公司派发的。公安机关进一步了解该投资管理公司的经营模式后，将相关人员带到派出所调查。24小时后，公安机关并没有对诈骗案立案，却以涉嫌侵犯公民个人信息罪为由立案，并将作为业务主管的戴某及另外一位业务主管刑事拘留。
【办案策略】
一、会见要点
戴某被刑事拘留后，其父母因为经济实力雄厚，有一定的社会地位，所以根本无法接受他们眼中如此优秀的儿子被当成犯罪分子抓起来的事实，于是四处张罗，托人寻找关系，誓称一定要将儿子营救出来，但经过近一个月的努力，花费了巨资，却始终没有见到任何成效，最后才经人介绍来找律师。我们在戴某被刑事拘留的第30天前往看守所会见。辩护律师关注的焦点有三点：
首先是关于信息的来源。戴某如实地向我们讲述了其自身获取公民个人信息的方式及渠道。有些信息的获取是不需要花钱的，直接登录一些产品发布类的电子商务网站即可获取，这样的信息多达几百条，但另一些信息是属于职场人脉类的网站获取的，需要花钱注册会员才能予以获取，但此类的信息毕竟是少数，只有几十条。
其次是关于戴某与其他业务员的关系。戴某称，其与其手下的业务员一样，都要自己签单成功才有提成。对于下属的业绩，他会有额外的一点提成。只是因为自己具有管理的才能，再加上自己的业绩比较好，才被提拔为业务主管。但业务主管也业务员一样，都要靠自己的方法和渠道开拓客户，公司老板或业务主管根本不会提供任何公民个人信息给业务员。
最后是关于获利情况。戴某获取他人的联系方式，拨打电话吸引客户前来参加会议，然后由专门的讲师推销培训课程或推荐投融资项目，至案发时，其业绩共有几十万。
二、营救成功
在听完当事人的陈述后，辩护律师即积极准备，及时向检察机关提交不予批捕法律意见，并与经办人员进行有效沟通，观点如下：
第一、戴某在客观上虽获取了他人信息，但戴某是自行登录商贸类网站，通过公开方式直接查看到企业的信息及相关人员的联系电话，这就相当于是这些权利人自愿公开其个人信息，甚至希望相关信息能广泛传播，这虽然涉及公民个人信息，但属于广告信息和商贸信息，将其认定为犯罪明显违背一般社会公众的认知。
第二、戴某搜集后只是自行拨打其电话，没有进行犯罪活动，也没有再将信息提供或转卖给他人。
第三、戴某另外获取的一些联系电话是从职场人脉类的网站获取的，需要花钱注册会员才能看到，但这些信息只有几十条，这不能视为购买行为，更不能视为“以其他方法非法获取公民个人信息”的行为，因为戴某无法判断这些信息是权利人自行提交的还是该职场人脉类网站非法获取的，以及是否经过权利人的同意。
第四、本案没有证据证明已达到“情节严重”的程度，戴某所在的公司经营活动是合法的，其推销的培训课程虽然价格昂贵，但这是市场调节的价格，推销过程没有虚假夸大宣传，至于听课的效果只能说因人而异。
最终，等到第37天时，检察机关没有批准逮捕，公安机关当天对戴某作出取保候审的决定并予以释放，后撤案。
【律师评析】
一、如何理解“以其他方法非法获取公民个人信息”？
2015年8月29日出台的《刑法修正案（九）》（2015年11年1日施行）将《刑法》第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。”
其中规定的“以其他方法非法获取公民个人信息”该如何理解？本案案发时并没有明文规定，后来出台的司法解释对此加以明确规定。
最高人民法院、最高人民检察院2017年5月8日发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017年6月1日起施行）第四条规定，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。
什么叫“违反国家有关规定”？上述司法解释第二条规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。
什么情况下的“购买、收受、交换”是符合国家有关规定的？什么情况下又是不符合国家有关规定？《网络安全阀》第四十四条规定，“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。”所以，似乎可以理解为，上述司法解释将“购买、收受、交换等方式”一律列为非法获取公民个人信息的方式，这确实是比较严苛的，并没有秉持刑法的谦抑性和体现宽严相济的刑事政策。
二、从公开渠道获取的信息，到底是不是侵犯公民个人信息？
笔者认为，相关公民个人信息如果已经公开，那么获取行为无疑是合法的，此处的获取是指自行收集，而不是“购买、收受、交换”，也就是说，自行搜集网络公开的信息，不属于犯罪行为。一个疑问是，如果是缴纳费用才能注册进入某家网站，在该网站获取的信息是否为公开信息？是否为购买？该问题恐怕容易引起争议。笔者认为，首先，公民个人信息在该网站的公开，就已经面对不特定的社会公众公开了，虽然该网站的会员是相对固定的，但是只要不特定的社会公众缴纳费用，就马上可以成为网站会员，而没有其他任何限定条件，所以该信息应视为公开信息。其次，这种缴纳费用所对应的权利是成为该网站的会员的权利，而不是对应查看某具体公民个人信息的权利，两者不是对价关系，所以并不能视为购买。
三、合法获取公民个人信息后，又出售、提供给别人，是否构成犯罪?
上述司法解释第一条将“公民个人信息”表述为反映特定自然人活动情况的各种信息，没有限定为个人隐私信息。因此，公民个人信息不要求具有个人隐私的特征，即便相关信息已经公开，不属于个人隐私的范畴，但仍有可能成为“公民个人信息”。使用不当，也可能构成犯罪。
对于合法取得的公民个人信息，后续又出售、提供给他人的行为是否合法，是否构成侵犯公民个人信息罪，在司法实践中存在争议。譬如行为人从商贸网站和政府部门公开的企业信息网、招聘类网站上搜集企业公开发布的信息，例如公司名称、办公地址、法定代表人姓名、联系人姓名及电话，或者通过各种公开会议及派发、交换名片的场合搜集公民个人信息，然后将上述信息存入数据库，供他人付费查询使用。该如何认定？笔者认为，是否应追究刑事责任，应进一步审查出售、提供给他人的行为是否违反法律、行政法规、部门规章的禁止性规定（其实截至目前找不到相应的明确规定）。对于权利人自愿公开、甚至主动公开的公民个人信息，经整理而未形成新的信息内容的，如果向他人提供的行为，应该可以推定被收集者存在概括同意，从而无需就出售或提供行为再次获得被收集者的同意。除权利人在自愿公开、主动公开的时候特别要求“二次授权”，否则应该推定其存在概括同意，不宜再对收集后出售或提供的行为要求“二次授权”，故应该不属于犯罪。
对于非自愿公开或非主动公开的公民个人信息，行为人获取相关信息后出售、提供的行为，是否构成犯罪？譬如政府部门为救济、救助或者奖励、惩罚而公示的个人信息。对于这种情况，关键是如何认定权利人非自愿或非主动？如果权利人发现其个人信息被别人收集后，主动要求行为人删除，则可认定权利人非自愿公开或非主动公开，在这种情况下，行为人的后续出售、提供行为如果对权利人的隐私和生活安宁造成困扰，则可能构成侵犯民事权利，但是否构成犯罪，则要具体情况具体分析，情节严重的可能会涉嫌犯罪。
四、网络经营者收集及提供公民个人信息的合法边界？
《网络安全法》第四十一条规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。”违反上述规定，未经他人同意收集公民个人信息，或者收集与提供的服务无关的公民个人信息的，应当认定为“非法获取公民个人信息”。以此为基础，上述司法解释第四条专门明确，违反国家有关规定，在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。
基于大数据发展的现实需要，《网络安全法》在法律层面为个人信息交易和流动留有一定空间（但还没有进一步的法律法规出台）。《网络安全法》第四十四条规定，“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。”换一个角度来理解，即，允许有关个人和组织合法的提供公民个人信息。
《网络安全法》第四十二条第一款进一步明确了合法提供公民个人信息的情形，规定：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”据此，经得被收集者同意，以及匿名化处理（剔除个人关联），是合法提供公民个人信息的两种情形，不能纳入刑事规制范围。基于此，上述司法解释第三条第二款规定：“未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的‘提供公民个人信息’，但是经过处理无法识别特定个人且不能复原的除外。”当然，这里只是明确此种情形属于“提供公民个人信息”，是否构成侵犯公民个人信息罪，还需要根据“违反国家有关规定”等要件作进一步判断。
五、为了合法经营活动而购买、收受公民个人信息，是否构成犯罪?
从实践来看，购买、收受公民个人信息从事广告推销等活动的情形较为普遍。上述司法解释第六条第一款规定：“为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的’情节严重’：（一）利用非法购买、收受的公民个人信息获利五万元以上的；（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；（三）其他情节严重的情形。”
这是针对为合法经营活动而购买、收受公民个人信息的行为设置的专门的定罪量刑标准。而且只规定了“情节严重”的具体情形,没有规定升档量刑的情形。
需要注意的是，适用该定罪量刑标准须满足三个条件：
一是为了合法经营活动，对此可以综合全案证据认定，但主要应当由被告方提供相关证据；
二是限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息；
三是信息没有再流出扩散，即行为方式限于购买、收受。根据该解释第六条第二款的规定，如果将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准应当适用该解释第五条的规定。
六、在合法经营活动中交换公民个人信息，是否构成犯罪?
应当注意的是，上述司法解释第六条没有明确“交换”这一非法获取公民个人信息的行为表现方式。主要考虑是，交换信息是双方对向提供、收受信息的行为，性质比“购买、收受”更为恶劣，对为合法经营活动而非法交换信息的，应当按照第五条的定罪量刑标准定罪处罚。也就是说，即使为了合法经营活动，只要交换了公民个人信息的，达到数量标准都构成犯罪。
作者：金鑫律师 北京市盈科（广州）律师事务所 刑事部副主任
整理：广州刑事辩护律师网 www.yingkejinxin.com/
粤公网安备 44010602002182号