“非法获取公民个人信息”的认定
根据刑法第253条之一第3款的规定,窃取或者以其他方法非法获取公民个人信息是侵犯公民个人信息罪的客观行为方式之一。〔15〕具体而言,以下几个问题值得关注:
(一)购买公民个人信息的处理
从实践来看,非法获取公民个人信息的方式主要表现为购买、收受、交换和侵入计算机信息系统或者采用其他技术手段。对于“购买公民个人信息”是否属于“以其他方法非法获取公民个人信息”,存在不同认识。《解释》第4条对此明确规定:“违反国家有关规定,通过购买、收受、交换等方式获取公民个人信息,或者在履行职责、提供服务过程中收集公民个人信息的,属于刑法第253条之一第3款规定的‘以其他方法非法获取公民个人信息’。”可见,上述规定明确购买公民个人信息属于“非法获取公民个人信息”。本文认为这一规定是妥当的,理由如下:
第一,刑法253条之一第3款并未明确排除“购买”方法,且购买公民个人信息当然属于非法获取公民个人信息的情形。
第二,从实践来看,当前非法获取公民个人信息的方式主要表现为购买,如排除此种方式,则会大幅限缩侵犯公民个人信息罪的适用范围。
第三,在不少侵犯公民个人信息犯罪案件中,购买往往是后续出售、提供的前端环节,没有购买就没有后续的出售、提供。而且从侦查实践来看,相当比例的侵犯公民个人信息刑事案件都是从购买环节入手,然后顺着购买的路径发现出售、提供公民个人信息的犯罪嫌疑人。如果不将购买公民个人信息纳入刑事规制范围,对于购买的行为无法刑事立案,恐会影响对侵犯公民个人信息其他环节的侦办,进而影响对整个犯罪链条的惩治。
(二)获取公民个人信息行为“非法”的判断
对于获取公民个人信息,刑法第253条之一第3款将罪状直接表述为:“非法获取”。早在《刑法修正案(九)》之前,针对刑法第253条之一规定的“非法”获取公民个人信息,有论者从“公民个人信息”是“个人法益”且具有“超个人法益属性”的角度出发,主张“非法”无需根据前置的配套法律法规进行认定,无需等待我国公民个人信息保护法等类似的法律法规出台后才能确定,除依法强制公民提供公民个人信息的情形之外,凡是未经公民个人明示或者默示之同意而获取公民个人信息的,均属于“非法”获取。〔16〕本文认为,按照通行观点,侵犯公民个人信息罪属于行政犯而非自然犯,故而认定其行为的违法性宜以相应前置规定为基础。因此,《解释》第4条基于体系解释的原理规定明确“非法”应当以是否违反国家有关规定作为判断标准。当然,在具体案件涉及的获取公民个人信息行为是否“非法”的判断上,对判断依据“国家有关规定”可以作相对灵活的把握,只要有一般性规定即可,而不应要求专门性规定。
(三)非法收集公民个人信息的处理
《网络安全法》第41条规定:“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。”“网络运营者不得收集与其提供的服务无关的个人信息,不得违反法律、行政法规的规定和双方的约定收集、使用个人信息,并应当依照法律、行政法规的规定和与用户的约定,处理其保存的个人信息。”违反上述规定,未经他人同意收集公民个人信息,或者收集与提供的服务无关的公民个人信息的,应当认定为“非法获取公民个人信息”。因此,《解释》第4条“违反国家有关规定......在履行职责、提供服务过程中收集公民个人信息的,属于刑法第253条之一第3款规定的‘以其他方法非法获取公民个人信息’”的规定是与《网络安全法》的相关规定相衔接的,需要依据《网络安全法》的相关规定作进一步判断。
