王玉瑊　高志華

一、基本案情

被告單位安徽X網(wǎng)絡(luò)科技有限公司，住所地安徽省合肥市蜀山區(qū)。

被告人張某，男，系安徽X網(wǎng)絡(luò)科技有限公司法定代表人。

被告人盧某，男，系安徽X網(wǎng)絡(luò)科技有限公司股東。

被告人楊某某，男，系安徽X網(wǎng)絡(luò)科技有限公司員工。

被告人劉某，男，系杭州Y數(shù)字技術(shù)股份有限公司員工。

2016年12月，盧某、張某共同出資成立安徽X網(wǎng)絡(luò)科技有限公司（以下簡(jiǎn)稱(chēng)“安徽X網(wǎng)絡(luò)公司”），成為浙江Z供應(yīng)鏈管理有限公司（以下簡(jiǎn)稱(chēng)“浙江Z供應(yīng)鏈公司”）在安徽省的校園驛站服務(wù)商。

2017年8月，盧某、張某商定，通過(guò)非法獲取浙江Z供應(yīng)鏈公司的快遞用戶(hù)信息的方式，提高安徽X網(wǎng)絡(luò)公司微信公眾號(hào)粘性，從而發(fā)送廣告獲利，并實(shí)現(xiàn)通過(guò)微信發(fā)送驛站包裹取件通知（需配合使用浙江Z供應(yīng)鏈公司不同意使用的閘機(jī)系統(tǒng)才能實(shí)現(xiàn)）從而節(jié)約運(yùn)營(yíng)成本。盧某、張某通過(guò)網(wǎng)絡(luò)指使劉某某反向編譯浙江Z供應(yīng)鏈公司的APP，制作了能夠獲取浙江Z供應(yīng)鏈公司快遞用戶(hù)個(gè)人信息的插件程序，指使楊某某將該插件安裝到安徽X網(wǎng)絡(luò)公司所服務(wù)的大學(xué)校園驛站巴槍上。當(dāng)使用巴槍掃描快遞單條碼時(shí)即能獲取用戶(hù)的姓名、手機(jī)號(hào)碼等個(gè)人信息，并將信息存儲(chǔ)到安徽X網(wǎng)絡(luò)公司控制的網(wǎng)絡(luò)服務(wù)器上。2017年8月至2018年6月，盧某、張某指使楊某將上述插件安裝到安徽某信息工程學(xué)院、合肥某職業(yè)技術(shù)學(xué)院校園驛站的巴槍上，通過(guò)上述插件共計(jì)非法獲取浙江Z供應(yīng)鏈公司的快遞用戶(hù)個(gè)人信息共計(jì)522687條。此外，盧某、張某將該插件程序免費(fèi)提供給江蘇、山東、山西等省份的浙江Z供應(yīng)鏈公司校園驛站服務(wù)商使用、共享。

二、分歧意見(jiàn)

安徽X網(wǎng)絡(luò)公司和盧某等人在正常經(jīng)營(yíng)校園驛站過(guò)程中，制作插件程序批量獲取快遞用戶(hù)信息并存儲(chǔ)至相關(guān)服務(wù)器，未向他人出售或者提供的行為是否構(gòu)成侵犯公民個(gè)人信息罪，在辦案過(guò)程中形成了兩種不同的意見(jiàn)。

第一種意見(jiàn)認(rèn)為安徽X網(wǎng)絡(luò)公司和盧某等人的行為不構(gòu)成侵犯公民個(gè)人信息罪。主要理由是安徽X網(wǎng)絡(luò)公司和盧某等人在正常經(jīng)營(yíng)校園驛站過(guò)程中，使用技術(shù)手段收集快遞用戶(hù)的個(gè)人信息，目的僅為增加公司自有微信公眾號(hào)用戶(hù)粘性和節(jié)約取件通知信息成本，并未向他人出售或提供收集到的用戶(hù)信息，屬于經(jīng)營(yíng)過(guò)程中的“合理使用”行為，不應(yīng)當(dāng)追究刑事責(zé)任。

第二種意見(jiàn)認(rèn)為安徽X網(wǎng)絡(luò)公司和盧某等人的行為構(gòu)成侵犯公民個(gè)人信息罪。主要理由是安徽X網(wǎng)絡(luò)公司和盧某等人雖未向他人出售或提供公民個(gè)人信息，但其制作插件程序獲取公民個(gè)人信息的行為應(yīng)當(dāng)認(rèn)定為“竊取或者以其他方法非法獲取公民個(gè)人信息”的犯罪活動(dòng)，應(yīng)當(dāng)追究相應(yīng)刑事責(zé)任。

三、評(píng)析意見(jiàn)

上述分歧意見(jiàn)中，筆者同意第二種意見(jiàn)。具體理由如下：

通過(guò)梳理現(xiàn)行法律及相關(guān)司法解釋?zhuān)址腹駛€(gè)人信息犯罪的入罪標(biāo)準(zhǔn)可以概括為以下三種情形：一是違法向他人出售或者提供公民個(gè)人信息、情節(jié)嚴(yán)重的行為;二是違法將在履行職責(zé)或者提供服務(wù)過(guò)程中獲得的公民個(gè)人信息出售或者提供給他人的行為;三是竊取或者以其他方法非法獲取公民個(gè)人信息的行為。[1]

（一）違反協(xié)議，服務(wù)提供者私自收集公民個(gè)人信息

公民個(gè)人信息，是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息，包括姓名、身份證號(hào)碼、聯(lián)系方式、居住住址等。[2]本案中，經(jīng)審查發(fā)現(xiàn)，確實(shí)存在部分快遞用戶(hù)提供的手機(jī)號(hào)碼無(wú)法匹配真實(shí)姓名、部分快遞用戶(hù)未使用真實(shí)姓名的客觀情況，但結(jié)合工信部要求在2017年1月1日起手機(jī)用戶(hù)全部實(shí)名認(rèn)證的規(guī)定，即使快遞用戶(hù)未使用真實(shí)姓名，也可結(jié)合昵稱(chēng)、收件地址等信息識(shí)別特定自然人身份。因此，筆者認(rèn)為，安徽X網(wǎng)絡(luò)公司和盧某等人獲取的快遞用戶(hù)的姓名、手機(jī)號(hào)碼、收件地址等信息應(yīng)當(dāng)認(rèn)定為“公民個(gè)人信息”。

法律明確規(guī)定，快遞企業(yè)在提供物流服務(wù)過(guò)程中，應(yīng)當(dāng)加強(qiáng)寄遞用戶(hù)電子信息的存儲(chǔ)安全管理，包括且不限于設(shè)立獨(dú)立物理區(qū)域存儲(chǔ)寄遞用戶(hù)信息、禁止非授權(quán)人員進(jìn)出該區(qū)域、采用加密方式存儲(chǔ)寄遞用戶(hù)信息等。[3]由該規(guī)定可知，快遞企業(yè)能夠直接接觸到海量的用戶(hù)個(gè)人信息，其對(duì)用戶(hù)個(gè)人信息負(fù)有高度的安全管理責(zé)任及義務(wù)，進(jìn)而避免用戶(hù)信息被泄露、竊取等現(xiàn)象發(fā)生。本案中浙江Z供應(yīng)鏈公司是安徽省內(nèi)大學(xué)校園驛站物流服務(wù)商，其為嚴(yán)格保護(hù)快遞用戶(hù)的個(gè)人信息安全，建立了一套快遞用戶(hù)個(gè)人信息的涉密處理、取件通知系統(tǒng)和派送快遞操作準(zhǔn)則。對(duì)加盟的校園驛站合作服務(wù)商，其在加盟合作協(xié)議中明確提出“校園驛站合作服務(wù)商在派件時(shí)，必須使用校園驛站配備的涉密處理、取件通知系統(tǒng)、直接撥打電話(huà)或者發(fā)送短信提醒用戶(hù)進(jìn)行取件”，意在通過(guò)此形式阻止合作服務(wù)商私自獲取、收集快遞用戶(hù)個(gè)人信息。本案中，安徽X網(wǎng)絡(luò)公司作為浙江Z供應(yīng)鏈公司在安徽省內(nèi)的校園驛站合作服務(wù)商，明知雙方簽訂的合作協(xié)議約定了對(duì)經(jīng)手的快遞用戶(hù)個(gè)人信息負(fù)有保密義務(wù)，在未取得安徽X網(wǎng)絡(luò)公司授權(quán)“獲取或存儲(chǔ)用戶(hù)個(gè)人信息”的情況下，違背協(xié)議內(nèi)容和契約精神，私自收集、存儲(chǔ)、傳播沒(méi)有權(quán)限獲取的快遞用戶(hù)個(gè)人信息。

（二）未經(jīng)同意，服務(wù)提供者無(wú)權(quán)收集公民個(gè)人信息

知情同意原則是網(wǎng)絡(luò)產(chǎn)品、服務(wù)提供者必須遵守的重要原則，是現(xiàn)代企業(yè)合規(guī)管理的重要組成部分。服務(wù)提供者應(yīng)當(dāng)本著合法、正當(dāng)、必要的原則，向用戶(hù)明示收集、使用信息的目的、方式和范圍，在取得用戶(hù)同意的基礎(chǔ)上，方可收集、使用用戶(hù)個(gè)人信息。[4]本案中，針對(duì)安徽X網(wǎng)絡(luò)公司及盧某等人未經(jīng)快遞用戶(hù)同意，收集、存儲(chǔ)用戶(hù)個(gè)人信息的行為是否具備刑罰可罰性，在辦理過(guò)程中存在兩種不同的觀點(diǎn)：

一種觀點(diǎn)認(rèn)為，安徽X網(wǎng)絡(luò)公司系浙江Z供應(yīng)鏈公司授權(quán)經(jīng)營(yíng)的校園驛站合作商，承擔(dān)大學(xué)校園快遞派送業(yè)務(wù)，是快遞派送流轉(zhuǎn)的重要環(huán)節(jié)，其工作人員可視為浙江Z供應(yīng)鏈公司一方的工作人員，在提供快遞派送服務(wù)時(shí)，有權(quán)收集快遞用戶(hù)的相關(guān)個(gè)人信息，且其收集快遞用戶(hù)個(gè)人信息的主要目的在于提供更加快捷便利的服務(wù)體驗(yàn)，該行為應(yīng)當(dāng)認(rèn)定為“合理使用”范疇，不宜輕易認(rèn)定為刑事犯罪。

另一種觀點(diǎn)認(rèn)為，安徽X網(wǎng)絡(luò)公司和盧某等人違反法律規(guī)定和合作協(xié)議約定，未經(jīng)浙江Z供應(yīng)鏈公司授權(quán)允許，在經(jīng)營(yíng)校園驛站過(guò)程中私自使用非法獲取的快遞用戶(hù)個(gè)人信息，應(yīng)當(dāng)認(rèn)定為“竊取或者以其他方法非法獲取公民個(gè)人信息”的犯罪行為，依法追究刑事責(zé)任。

司法實(shí)踐中，在辦理刑事犯罪案件時(shí)，評(píng)價(jià)一種行為是否具備刑罰可罰性，通常應(yīng)著重考量該行為是否違反刑法等相關(guān)法律、司法解釋的規(guī)定。具體到本案中，筆者認(rèn)為該行為系刑事犯罪行為，應(yīng)當(dāng)依法予以打擊。首先，安徽X網(wǎng)絡(luò)公司和盧某等人在校園驛站經(jīng)營(yíng)過(guò)程中，未經(jīng)快遞用戶(hù)本人知情同意，批量獲取、收集、存儲(chǔ)用戶(hù)個(gè)人信息，已違反刑法第253條之一、網(wǎng)絡(luò)安全法第22條、第41條等法律的規(guī)定。其次，作為安徽省內(nèi)的校園驛站合作服務(wù)商，安徽X網(wǎng)絡(luò)公司本可通過(guò)浙江Z供應(yīng)鏈公司提供的取件通知系統(tǒng)撥打用戶(hù)電話(huà)或發(fā)送取件短信等多種方式通知用戶(hù)及時(shí)取件，其非法獲取、存儲(chǔ)用戶(hù)個(gè)人信息的直接動(dòng)機(jī)在于節(jié)約派件通知成本、提高微信公眾號(hào)用戶(hù)粘性，進(jìn)而獲取廣告收入等可期待的經(jīng)濟(jì)利益?？陀^上，其非法獲取快遞用戶(hù)個(gè)人信息的行為具有非必要性和非排他性，難以認(rèn)定為“合理使用”。最后，盧某、張某、楊某某是安徽X網(wǎng)絡(luò)公司的管理層和員工，上述人員與浙江Z供應(yīng)鏈公司并無(wú)勞務(wù)關(guān)系，也不是浙江Z供應(yīng)鏈公司提供服務(wù)過(guò)程中專(zhuān)門(mén)委托管理電子信息的人員，根據(jù)《寄遞服務(wù)用戶(hù)個(gè)人信息安全管理規(guī)定》第36條的規(guī)定，上述人員無(wú)權(quán)訪(fǎng)問(wèn)收集個(gè)人信息的區(qū)域，無(wú)權(quán)對(duì)個(gè)人信息進(jìn)行復(fù)制。即使將上述3人視為浙江Z供應(yīng)鏈公司的工作人員，根據(jù)網(wǎng)絡(luò)安全法的相關(guān)規(guī)定，也不得將用戶(hù)個(gè)人信息私自攜帶離開(kāi)存放場(chǎng)地。因此，筆者認(rèn)為，安徽X網(wǎng)絡(luò)公司和盧某等人已經(jīng)違反國(guó)家相關(guān)法律規(guī)定，在經(jīng)營(yíng)校園驛站過(guò)程中實(shí)施了“非法收集個(gè)人信息”的犯罪行為。

（三）制作插件，服務(wù)提供者非法獲取公民個(gè)人信息

根據(jù)法律規(guī)定，網(wǎng)絡(luò)產(chǎn)品、服務(wù)的提供者在提供產(chǎn)品、服務(wù)時(shí)，應(yīng)當(dāng)遵守國(guó)家規(guī)定的強(qiáng)制性要求，不得設(shè)置惡意網(wǎng)絡(luò)程序，不得竊取或者以其他非法方式獲取個(gè)人信息，不得非法出售或者非法向他人提供個(gè)人信息。[5]筆者認(rèn)為，由此規(guī)定可知，快遞服務(wù)提供者在經(jīng)營(yíng)過(guò)程中購(gòu)買(mǎi)、收受、交換等方式獲取公民個(gè)人信息的行為，屬于刑法第253條之一規(guī)定的“以其他方法非法獲取公民個(gè)人信息”的情形[6]，不以對(duì)外出售或向他人提供為必要條件，以竊取或非法方式獲取公民個(gè)人信息的行為，即使不出售或提供給他人，同樣構(gòu)成侵犯公民個(gè)人信息罪。

本案中，浙江Z供應(yīng)鏈公司與安徽X網(wǎng)絡(luò)公司在合作之初明確約定，安徽X網(wǎng)絡(luò)公司在校園驛站經(jīng)營(yíng)過(guò)程中“不得竊取平臺(tái)站點(diǎn)、消費(fèi)者資料”，并負(fù)有保密管理義務(wù)，不得在校園驛站內(nèi)裝置危害快遞用戶(hù)個(gè)人信息安全的設(shè)備、設(shè)施。但安徽X網(wǎng)絡(luò)公司和盧某等人為謀取私利，違反與浙江Z供應(yīng)鏈公司約定的行為禁令和保密義務(wù)承諾，私自在經(jīng)營(yíng)的校園驛站內(nèi)加裝浙江Z供應(yīng)鏈公司明文禁止的閘機(jī)系統(tǒng)，然后通過(guò)網(wǎng)絡(luò)指使杭州Y數(shù)字技術(shù)股份有限公司的工作人員劉某某開(kāi)發(fā)了“快遞輔助系統(tǒng)”和“Xposed Installer”兩個(gè)可自動(dòng)獲取快遞用戶(hù)個(gè)人信息的插件程序，并安裝到巴槍上，在工作人員使用巴槍掃描快遞單個(gè)人信息條形碼時(shí)，上述兩個(gè)插件程序可自動(dòng)識(shí)別、截取安卓操作系統(tǒng)內(nèi)的快遞用戶(hù)電子信息，并上傳存儲(chǔ)至安徽X網(wǎng)絡(luò)公司控制的網(wǎng)絡(luò)服務(wù)器端，實(shí)現(xiàn)快速、批量獲取用戶(hù)個(gè)人信息的目的。針對(duì)上述行為，筆者認(rèn)為，安徽X網(wǎng)絡(luò)公司和盧某等人在經(jīng)營(yíng)校園驛站、提供快遞派送服務(wù)時(shí)，違反網(wǎng)絡(luò)安全法及“兩高”《關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》第4條的相關(guān)規(guī)定，在未取得快遞用戶(hù)同意的情況下獲取用戶(hù)個(gè)人信息的行為，屬于“以其他方法非法獲取公民個(gè)人信息”的認(rèn)定范疇;制作插件程序，批量、快速竊取快遞用戶(hù)個(gè)人信息并存儲(chǔ)至其控制的網(wǎng)絡(luò)服務(wù)器端的行為，屬于“竊取個(gè)人信息”的認(rèn)定范疇。安徽X網(wǎng)絡(luò)公司和盧某等人的行為應(yīng)當(dāng)認(rèn)定為“竊取或者以其他方法非法獲取公民個(gè)人信息”的犯罪行為，應(yīng)當(dāng)依法追究其刑事責(zé)任。