武旭強

（四川警察學院 四川瀘州 646000）

一、問題的緣起

隨著“互聯(lián)網(wǎng)+”日漸融入生活，大數(shù)據(jù)、人工智能等技術的迅速發(fā)展，越來越多的人既獲得技術進步的紅利，也面臨著前所未有的個人信息泄露風險。在此背景下，為保護公民個人信息的正當合法權益，我國的刑事立法機關相繼通過刑法修正案的方式給予了積極回應。2009年《刑法修正案(七)》增設了第253條之一，即“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”。在此基礎上，2015年《刑法修正案（九）》對該罪的主體和前置法范圍以及量刑情節(jié)做了進一步的修訂，旨在從刑法規(guī)范角度對公民個人信息加以保護。而與此同時，學界對“侵犯公民個人信息罪”所保護的法益屬性之爭卻愈來愈不可調和，主要有“個人法益說”與“超個人法益說”之分歧。為此，筆者擬從梳理刑法關于保護“公民個人信息”的歷史沿革切入，對大數(shù)據(jù)時代下公民個人信息的實質內涵與法益結構屬性展開探討，進而明晰公民個人信息的法益結構屬性，并在此基礎上從刑法保護體系內部與外部兩方面來闡述公民個人信息法益屬性分歧的調和路徑，以期確保公民個人信息得到應有的刑法保護。

二、刑法保護公民個人信息的歷史考察

法律規(guī)范是一個發(fā)展的過程，在這種發(fā)展過程中，具有連續(xù)性與變動性的雙重變奏。故而從歷史沿革的角度考察刑法關于“公民個人信息”的保護可以更全面理解法律的內在邏輯，有助于我們正確界定“公民個人信息”的內涵與法益結構。

（一）關于“公民個人信息”一詞界定的歷史考察

我國刑法意義上有關“公民個人信息”的雛形最早見諸于2005年《刑法修正案（五）》中第177條之一第2款關于竊取、收買、非法提供信用卡信息罪的罪狀表述中。而在隨后的立法跟司法解釋中先后有“個人信息”“身份信息”“身份認證信息”等表述，直至2009年《刑法修正案（七）》增設了出售、非法提供公民個人信息和非法獲取公民個人信息罪，“公民個人信息”一詞才正式被引用在刑法規(guī)范條文中。

然而，有關公民個人信息的內涵與外延卻一直處于模糊不清的地帶。從梳理有關“公民個人信息”的法律規(guī)范文獻來看，我國第一個有關公民個人信息保護的法律規(guī)范文件是2013年頒布的《信息安全技術公共及商用服務信息系統(tǒng)個人信息保護指南》（以下簡稱《指南》），該《指南》將個人信息定義為：可以被信息系統(tǒng)所處理、與特定自然人相關、能夠單獨或通過其他信息結合識別該特定自然人的計算機數(shù)據(jù)。隨后2013年《最高人民法院、最高人民檢察院、公安部關于懲處侵害公民個人信息犯罪活動的通知》（以下簡稱《通知》）將公民個人信息定義拓展為公民個人的隱私以及能夠識別公民個人身份的信息?？梢?，“公民個人信息”的概念首次被法律文件賦予了兩個特征，即“可識別性”和“隱私性”。2016年《中華人民共和國網(wǎng)絡安全法》（以下簡稱《網(wǎng)絡安全法》）沒有將個人隱私納入個人信息的定義范圍內，只保留了“可識別性”。2017年《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《2017兩高解釋》）在保留“可識別性”的基礎之上又將“公民個人信息”背后的財產(chǎn)利益、人身利益與公共利益納入了刑法所保護范疇。在法條中設置了信息數(shù)量、涉案金額、人身傷害程度以及社會影響程度的入罪門檻。所以，縱觀近些年關于公民個人信息的密集立法，公民個人信息一詞的內涵和外延旨在“可識別性”與“隱私性”兩大方面，且更傾向于“可識別性”。

筆者認為，隨著信息技術的更新?lián)Q代和大數(shù)據(jù)應用的發(fā)展，可識別性與不可識別性、隱私與非隱私的界限正在變得模糊不清，如若繼續(xù)沿用“可識別性”與“隱私性”兩特征來界定公民個人信息的內涵，會在一定程度上限縮其外延，難以實現(xiàn)對公民個人信息犯罪蔓延態(tài)勢的遏制。故而，對公民個人信息內涵的界定應著重從安全、秩序的價值角度出發(fā)，以“可識別性”與“隱私性”為基礎，兼顧考察公民個人信息背后的“人格屬性”與“財產(chǎn)屬性”，而非單純側重“人格屬性”忽略其“財產(chǎn)屬性，才更符合大數(shù)據(jù)環(huán)境下公民個人信息內涵的多元化發(fā)展趨勢。

（二）刑法關于“公民個人信息”保護的歷史沿革

“公民個人信息”在大數(shù)據(jù)時代到來之前并未得到刑法規(guī)制層面的高度重視，而是以“附屬化”的被動保護模式，依附于國家、社會等超個人法益之下進行相應的規(guī)制。從2005年《刑法修正案（五）》中第177條之一第2款關于竊取、收買、非法提供信用卡信息罪的罪狀表述來看，公民個人信息第一次在刑法規(guī)制領域內的出現(xiàn)，是依附于金融管理秩序的法益之中。隨后，2009年《刑法修正案（七）》增設了出售、非法提供公民個人信息和非法獲取公民個人信息罪，看似明確了對“公民個人信息”的刑法保護，卻由于前置法律的缺失而陷于“刑先民后”的尷尬局面，不得不附隨于公共管理秩序的法益之下。直至2015年《刑法修正案（九）》的頒布施行，才進一步明確了對“公民個人信息”的獨立化保護，但由于其內涵與外延的界定尚未明朗，學界對“公民個人信息”的法律屬性地位仍存爭議。而就目前大數(shù)據(jù)應用的快速發(fā)展趨勢來看，在刑法層面繼續(xù)沿用“附屬化”的被動保護模式，已不能很好地適應復雜變化的時代需求[1]。筆者認為，在大數(shù)據(jù)應用越來越普遍的信息化時代，無論是理論界還是實務界都應將“公民個人信息”的獨立法律地位給予明確化，積極賦予其獨立的法益屬性。

三、侵犯公民個人信息罪的法益學說之爭與結構屬性

國內學界對于公民個人信息的法益屬性一直眾說紛紜，其主要有“個人法益說”和“超個人法益說”兩種不同主張。兩種學說基于不同的定位與價值考量，來界定公民個人信息的權益屬性邊界，故而有必要對其展開討論，進而明晰分歧的癥結所在。

（一）侵犯公民個人信息罪的法益學說之爭

持“個人法益說”的學者認為，公民個人信息具有鮮明的個人屬性，其法益屬性理應限縮在個人法益層面，這是公民個人信息犯罪的立法以及司法解釋的演進趨勢，也是刑法謙抑性理念的必然要求。而該學說內部又細分為公民個人的隱私權說、人格權說、個人信息自決權說、公民個人信息權說。其中，公民個人隱私權說的學者認為，公民個人信息是指能夠識別公民個人身份的信息和數(shù)據(jù)資料以及公民個人的隱私[2]。而公民個人信息所涵蓋的隱私權，既包括公民個人的隱私權不受侵犯的權利，也包括公民對自己個人信息的控制權[3]。而主張人格權說的學者認為，侵犯公民個人信息罪所保護的法益是人格尊嚴與人格自由，個人隱私只是人格尊嚴的組成部分，不值得單獨列出[4]。還有一些學者主張個人信息自決權說，認為公民個人有權自行決定是否將個人資料交付或提供給他人利用[5]。此外，主張公民個人信息權說的學者認為，個人信息指能夠識別公民個人身份的信息[6]。縱觀持“個人法益說”學者們的觀點，盡管其都對“公民個人信息”的人身屬性作了精準的闡述與解釋，但并沒有突破其理論的局限。

在當今信息化的浪潮中，萬物被信息化，人的活動也打上了信息化的烙印。當下社會，個人信息正逐漸突破傳統(tǒng)的人身屬性邊界，不斷兼具經(jīng)濟、社會等多重屬性。在侵犯公民個人信息罪中，所侵犯的信息邊界早已超出“個人”的范疇。據(jù)統(tǒng)計，在絕大多數(shù)的非法獲取公民個人信息案件中，涉案的信息體量都十分龐大，經(jīng)常數(shù)以百萬計，有的高達數(shù)億條[7]。在此種背景下，如若仍堅持侵犯公民個人信息罪中的法益屬性為個人法益確有不妥之處。也正是基于此，部分學者提出了“超個人法益說”，主張在大數(shù)據(jù)時代，信息的流通和利用是必要的，應將個人數(shù)據(jù)信息作為公共產(chǎn)品加以治理，著力維護社會公共利益、國家和公共安全的刑法目的，逐漸向“超個人法益”方向擴展[8]。毋庸置疑，這種觀點有著極大的說服力，但是側重強調公民個人信息的超個人屬性而忽視其個人屬性，無疑是從一個極端走向另一個極端，未免有失偏頗。

隨著大數(shù)據(jù)信息技術的應用與推廣，網(wǎng)絡空間與現(xiàn)實空間正逐步走向交叉融合，公民個人信息的私人屬性在逐漸減弱，而其社會屬性與公共屬性正逐步增強。故而，公民個人信息的權益屬性已兼具“個人法益”與“超個人法益”的雙重屬性。

情況 8.5 若f3(v)=4,此時最壞的情況是v點關聯(lián)6個6-面,4個(3,3,10)-面(兩兩不相鄰),v的非三角鄰點均為3-點,且它們各自還關聯(lián)著一個3-面。由R1,R2.1,R3.1 或R3.2或R3.4及最壞3-面9+-點情形可得

（二）侵犯公民個人信息罪的法益結構屬性

刑法法益是以國家強制力保護個人或集體享有的、在自然意義上能夠傷害的實體利益，是實體權益與規(guī)范價值的復合體。所以，刑法意義上的權利或者利益本身并不是刑法法益的全部，只是刑法法益承載的內容，刑法法益的整體應當是“法益承載的內容”+“法益的刑法評價”（或者稱之為“法益的刑事規(guī)范價值”）[9]。而侵犯公民個人信息罪的法益屬性同樣需要從其承載的權益內容與刑事規(guī)范價值兩方面進行解構。

1.侵犯公民個人信息罪承載的權益內容。侵犯公民個人信息罪在我國刑法分則體系中設置在“侵犯公民人身權利、民主權利罪”一章當中，從條文的規(guī)定來看，其權益的載體為公民個人信息。而在《2017兩高解釋》中將公民個人信息定義為“以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等”?？梢钥闯?，兩高解釋對公民個人信息內涵與外延的界定是基于“可識別性”展開的，并在此基礎上涵攝了“安全信息”①與“隱私信息”②兩個更高層級的信息范疇。如果本罪保護的權益內容僅為公民個人的信息自由和安全的話，那么其范圍拓展到“可識別性”的維度則明顯超出了刑法保護的半徑，不符合刑法謙抑性的基本理念。而從該罪的入罪標準的設置來考察，我們發(fā)現(xiàn)不僅設置了“情節(jié)嚴重”的基本情節(jié)，而且規(guī)定了“情節(jié)特別嚴重”的加重情節(jié)。如若該罪的法益僅為個人法益，而公民的人格權平等，則只要符合出售或提供公民個人信息的行為就應當構成本罪，但法條卻以“情節(jié)嚴重”作為入罪門檻，表明該罪法益不僅是個人法益還包含了因侵犯個人信息涉及的公共信息安全方面的權益。此外，從本罪的最高7年法定刑可以看出，與本章其他侵犯公民人身權利的犯罪所規(guī)定的最高3年有期徒刑相比，刑罰明顯偏重。如果本罪的權益內容僅為個人法益范疇的話，就難以解釋該罪刑罰偏重的合理性，而將該罪的法益界定為兼具超個人法益屬性的復雜法益，才更符合罪刑相一致的原則。

因此，侵犯公民個人信息罪所承載的權益內容，既包括以公民個人的信息自由和安全為內容的個人法益也包含一定程度上有規(guī)范社會數(shù)據(jù)信息秩序的超個人法益成分，即公民個人信息的權益內核應為“個人屬性+超個人屬性”的復雜法益綜合體。

2.侵犯公民個人信息罪的刑法規(guī)范考量。刑法規(guī)范是基于立法者的意志而制定，其本身具有一定的完整性和體系性，考察侵犯公民個人信息罪的規(guī)范價值，有助于從宏觀視角探求其法益結構。面對信息技術的發(fā)展，人們對網(wǎng)絡技術的依存度愈發(fā)凸顯，公民的個人信息在大數(shù)據(jù)技術的支撐下，蘊含著巨大的經(jīng)濟、社會價值。一旦大數(shù)據(jù)技術被個人、企事業(yè)單位甚至政府組織濫用，勢必會給公民個人、社會乃至國家造成無可估量與不可挽回的損失。正是基于此種緊迫的形勢，刑事立法者才不得不在短時間內，對公民個人信息進行密集立法。從侵犯公民個人信息行為的入刑到對該罪主體和前置法范圍以及量刑情節(jié)做進一步的修訂，再到《2017兩高解釋》的出臺，體現(xiàn)了刑法對于互聯(lián)網(wǎng)時代非法獲取、出售、提供公民個人信息行為亂象的積極回應。而從立法條文中“違反國家有關規(guī)定、竊取、非法獲取”等關鍵詞可以看出，立法者的初衷并非只是保護公民個人信息的安全，而是兼顧規(guī)范公民個人信息的管理與使用秩序。換而言之，只要不違背國家有關規(guī)定，在合法的前提下，國家是允許相關主體對公民個人信息進行商業(yè)化的加工利用，所以本罪的設定旨在建立一種對公民個人信息可控的秩序，其設立之初就已潛藏著“個人屬性+超個人屬性”的復雜法益屬性

此外，從近些年司法實踐對于侵犯公民個人信息罪的判處也可窺探本罪的復雜法益屬性。在Openlaw裁判文書網(wǎng)上，通過檢索“侵犯公民個人信息罪”關鍵詞，共檢索到7338個結果，對檢索結果的案由進行歸納分類發(fā)現(xiàn)，以“侵犯公民人身權利、民主權利”為案由的案件為3230件，占比約為44%，以“侵犯財產(chǎn)、危害公共安全、妨害社會管理秩序、破壞社會主義市場經(jīng)濟秩序”為案由的案件為2334件，占比約為32%，其他類案由的案件為1774件，占比約為24%。③可以看出，雖然以侵犯公民人身權利、民主權利的案件為主，但是涉及財產(chǎn)、公共安全、社會管理秩序、市場經(jīng)濟秩序等超個人法益的案件占比也很高。顯然，司法實踐中關于涉及侵犯公民個人信息罪的法益定性已非單純地認定為個人法益，一定程度上正在向著“個人屬性+超個人屬性”的復雜法益方向邁進。

綜合以上分析，侵犯公民個人信息罪無論是從其所承載的權益內容還是從規(guī)范價值的立法初衷來看，公民個人信息的法益結構屬性理應界定為復雜法益則更為妥當，單純將其限縮為個人法益或者擴張為超個人法益，都難免存在不周延。一方面，大數(shù)據(jù)時代，公民個人對自己信息的自我支配能力在不斷減弱，其社會性與公共性逐漸增強?；诠駛€人信息的社會公共屬性，涉及侵犯公民個人信息行為所導致的危害結果，兼具個體性與公共性，若繼續(xù)固守個人法益的傳統(tǒng)限縮式保護模式則很難全面評價其行為的全部法律意義。另一方面，不容忽視的是公民個人信息的超個人法益屬性其內容過于抽象和模糊，若脫離了公民個體的限縮則容易出現(xiàn)刑罰權擴張的風險，而傳統(tǒng)個人法益的限縮式保護模式正好可以有效防范刑罰濫用和處罰范圍越界。所以，在平衡好個人信息安全與實現(xiàn)公民信息經(jīng)濟價值社會化之間緊張矛盾的迫切形勢下，把公民個人信息界定為兼具“個人屬性+超個人屬性”的復雜法益，既契合刑法規(guī)范價值的要求又貼近司法實踐的需要。

四、大數(shù)據(jù)時代下刑法保護公民個人信息的路徑

刑法中公民個人信息的法益結構屬性不僅涵攝個體層面包括隱私權在內的人身權、財產(chǎn)權方面的權益，而且也兼具社會層面涉及國家和社會公共安全、利益及秩序的超個人法益。因而，大數(shù)據(jù)時代背景下，刑法保護公民個人信息的路徑需從刑法內部與外部建立多元化、多層次的體系化規(guī)范展開。也就是既要從刑法保護體系內部通過立法技術與司法解釋對公民個人信息罪進行調整，也要從刑法保護體系外部逐步完善相應的法律法規(guī)，確保刑法內部與外部其他法律法規(guī)相銜接。

（一）刑法保護公民個人信息的內部調整

在大數(shù)據(jù)技術發(fā)展的助推下，公民個人信息的法益屬性從個人層面向超個人層面發(fā)生了擴張，意味著其法益從傳統(tǒng)的個人法益轉化為兼具“個人屬性+超個人屬性”的復雜法益，而法益屬性的轉變必然要求通過立法技術對相應法條做出適當?shù)恼{整。侵犯公民個人信息罪處于刑法分則“侵犯公民人身權利、民主權利罪”的章節(jié)中，按照刑法體系的設置，該章節(jié)之下所保護的法益應屬個人法益，從而使得具有復雜法益屬性的侵犯公民個人信息罪與該章節(jié)的保護體系不相協(xié)調，而如果將該罪整體調整到其他章節(jié)亦有不妥，因為該罪的復雜法益屬性之中依然是以個人法益為主，超個人法益為輔的法益結構。故而應通過立法技術，采取法律擬制的方法將侵犯公民個人信息罪中涉及財產(chǎn)法益與社會公共法益的部分分別歸置于“侵犯財產(chǎn)罪”和“危害公共安全罪”章節(jié)之下，從而修正或補充侵犯公民個人信息罪的基本罪狀構成，對侵犯不同法益的行為準確規(guī)制，使侵犯公民個人信息的行為在刑法體系中更加完善。在刑法分則中通過立法技術采取法律擬制的做法廣泛存在，譬如《刑法》第247條規(guī)定，刑訊逼供、暴力取證，致人傷殘、死亡的，依照故意傷害、故意殺人定罪處罰。第267條第2款，攜帶兇器搶奪的，以搶劫罪定罪處罰等，都是立法者為了滿足社會需要、減少法律漏洞，補充刑法中主要規(guī)定之不足而采取的法律擬制。所以，采取法律擬制的立法技術對侵犯公民個人信息罪進行部分調整，保證該罪所蘊含的的法益屬性與所屬章節(jié)的協(xié)調統(tǒng)一，是大數(shù)據(jù)時代下刑法保護公民個人信息路徑抉擇的應然之選。

此外，對公民個人信息還應從司法解釋的層面做出客觀的等級評定，即把公民個人信息細化為“識別性信息”“安全性信息”“隱私性信息”三個等級，而對不同等級的信息可以通過多元化的法律途徑進行規(guī)制，避免產(chǎn)生刑法規(guī)制手段過度插手以致與其謙抑性精神不相符的“刑先民后”的尷尬。具體言之：應將“識別性信息”分置于民法范疇，通過民事平等主體之間相互協(xié)商、達成一致的民事法律手段進行規(guī)制，如未能協(xié)商一致，可采取民事侵權行為進行處理；對于“安全性信息”根據(jù)所涉及的信息內容、造成損害后果的嚴重度以及潛在風險的可控性進行層次化保護，即侵犯的信息內容僅涉及個人、損害程度、風險性都較低的行為，可以通過侵權法進行規(guī)制；如果信息內容范疇涉及社會層面或者造成損害后果嚴重亦或存在巨大的潛在風險的行為，則可以采取刑法手段進行評價；對于侵犯“隱私性信息”的行為一般由刑法進行規(guī)制，如果該犯罪僅危害個人層面的法益，尚未涉及超個人法益范疇，則可采取“親告罪”的模式由公民個人決定是否起訴，即案件的發(fā)起以“告訴才處理”為基本模式，以公訴為補充。綜上，可以通過司法解釋的手段對公民個人信息進行等級評定進而采取差異化的保護路徑，做到刑法保護體系內部的協(xié)調一致。

（二）刑法保護公民個人信息的外部銜接

有鑒于此，有必要從立法層面構建行政法規(guī)優(yōu)先規(guī)制、民法重點保護的刑法前置性法律法規(guī)體系，推進“刑民銜接”“刑行銜接”的層次化、體系化保護機制的完善。具體言之，應從行政法規(guī)層面建立完備統(tǒng)一的規(guī)制體系，即對涉及搜集、處理和流通公民個人信息的相關行業(yè)，根據(jù)其行業(yè)的具體特征做出相應規(guī)范和約束，確保無論是官方渠道抑或是民間途徑，還是公共機構或是私營企業(yè)都有具體的部門行業(yè)法規(guī)。針對侵犯公民個人信息的違規(guī)、違法行為施以警告、罰款、沒收違法所得、責令停產(chǎn)停業(yè)、暫扣或吊銷許可證及執(zhí)照等相應的處罰措施，做到行政法規(guī)優(yōu)先規(guī)制。與此同時，應加快推進《公民個人信息保護法》的制定與完善，并積極梳理散見于其他法律法規(guī)中關于公民個人信息保護的規(guī)定，使其形成完備的法律法規(guī)體系。此外，恰逢我國著手編撰《民法典》之際，一些私權領域的民法研究學者已開始逐步探索公民個人信息新的保護模式，故而在刑法積極回應社會關切的同時需要做好與私法領域的主動對接，尤其是在認定“情節(jié)嚴重”的入罪邊界時，應從違法所得額、信息用途、個人信息的安全等級與類別等方面做出嚴格的刑民界限劃分。

其次，刑法保護公民個人信息的外部銜接還應從司法層面對“違反國家規(guī)定”做出明確的限縮解釋，即“違反國家規(guī)定”不只是一種違法性提示語，更具有實質性內容，在認定侵犯公民個人信息罪的過程中，應明確前置性規(guī)定的限縮作用，厘清侵犯公民個人信息行為的入罪邊界。具體言之，“違反國家有關規(guī)定”中的國家規(guī)定僅指全國人大及其常委會、國務院作為制定主體出臺的法律、行政法規(guī)、部門規(guī)章，不包括地方政府作為制定主體頒行的地方性法規(guī)。即“違反國家規(guī)定”應認定為違反全國人民代表大會及其常務委員會制定的法律和決定，國務院制定的行政法規(guī)、規(guī)定的行政措施、發(fā)布的決定和命令[10]。

五、結語

大數(shù)據(jù)技術的應用與發(fā)展，在助推傳統(tǒng)社會結構改變的同時，也促使公民個人信息蘊涵的法益結構發(fā)生著改變。本文從安全本位兼顧權利保護的角度出發(fā)，傾向于把公民個人信息界定為兼具“個人屬性+超個人屬性”的復雜法益，雖然試圖提出一些開放包容性的見解，但仍需要更多的經(jīng)驗和理論加以論證。

[注釋]：

①安全信息：主要是涉及公民個人的人身、財產(chǎn)安全的信息，例如賬戶信息、活動軌跡等。

②隱私信息：其涉及的主要是公民個人對于私密安全的感受性要求而生成的權利，例如性的隱秘性、個人癖好等基于人類羞恥心或者能夠使得公民產(chǎn)生強烈沖突性情感的信息。

③數(shù)據(jù)來源于http://openlaw.cn/analytics/search?type=&typeValue=&lawyerId=&lawFirmId=&courtId=&keyword=%E4%BE%B5%E7%8A%AF%E5%85%AC%E6%B0%91%E4%B8%AA%E4%BA%BA%E4%BF%A1%E6%81%AF%E7%BD%AA，最后訪問時間2018年10月3日。