徐博強(qiáng),陳玉倫

(1吉林財(cái)經(jīng)大學(xué)，吉林 長春 130107；2長春市軌道交通集團(tuán)有限公司，吉林 長春 130000)

我國首部關(guān)于個(gè)人信息保護(hù)的綜合性立法——《中華人民共和國個(gè)人信息保護(hù)法》(以下簡稱《個(gè)人信息保護(hù)法》)，于2021年11月1日頒布實(shí)施。該法明確了個(gè)人信息保護(hù)的相關(guān)規(guī)則以及各有關(guān)主體的權(quán)利義務(wù)，妥善處理個(gè)人信息權(quán)利的民法保護(hù)和行政監(jiān)管兩大核心內(nèi)容；既立足我國現(xiàn)實(shí)，吸收了《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《民法》《刑法》等部門法的立法實(shí)踐，又兼采域外先進(jìn)經(jīng)驗(yàn)，與國際接軌。[1]至此，貫穿民法、行政法與刑法等多個(gè)部門法的個(gè)人信息保護(hù)法律體系已構(gòu)建完畢。《個(gè)人信息保護(hù)法》在這一體系中處于核心地位，理清它與其他部門法的關(guān)系就成為當(dāng)下亟待解決的重要問題。本文著眼于《個(gè)人信息保護(hù)法》與《刑法》的規(guī)范銜接，從法秩序統(tǒng)一原則出發(fā)，對侵犯公民個(gè)人信息罪的相關(guān)內(nèi)容予以重構(gòu)，以期對司法實(shí)踐有所助益。

一、個(gè)人信息的刑法保護(hù)歷程

2003年，我國相關(guān)部門開啟對《個(gè)人信息保護(hù)法》的起草工作。但由于一系列復(fù)雜的原因，《個(gè)人信息保護(hù)法》遲遲未能出臺，反而在刑事法領(lǐng)域率先開啟了個(gè)人信息的保護(hù)進(jìn)程。

2009年《刑法修正案(七)》增設(shè)了出售、非法提供公民個(gè)人信息罪與非法獲取公民個(gè)人信息罪，這是我國刑法中首次設(shè)立與個(gè)人信息直接相關(guān)的罪名。自此，個(gè)人信息成為獨(dú)立的刑法保護(hù)對象，此舉具有開創(chuàng)意義。而此時(shí)民事法律尚未對個(gè)人信息進(jìn)行獨(dú)立的保護(hù)，僅將其納入隱私權(quán)保護(hù)的范疇。上述兩罪名規(guī)制的主體范圍與行為方式范圍均較窄，保護(hù)力度有限，在治理侵犯公民個(gè)人信息犯罪的現(xiàn)實(shí)需求面前顯得捉襟見肘。面對洶涌而來的犯罪浪潮，立法者加快了立法完善的步伐。[2]

2015年《刑法修正案(九)》將上述兩個(gè)罪名合并為侵犯公民個(gè)人信息罪，將主體擴(kuò)展為一般主體；明確了“違反國家有關(guān)規(guī)定”作為本罪的前置性規(guī)定；擴(kuò)充了本罪的行為方式；提高了法定刑幅度。此項(xiàng)規(guī)定擴(kuò)張了刑事法網(wǎng)，加大了對侵犯公民個(gè)人犯罪行為的懲治力度，回應(yīng)了社會(huì)關(guān)切。《刑法修正案(九)》施行兩年之后，有關(guān)個(gè)人信息法律保護(hù)的其他部門法律規(guī)范才陸續(xù)出臺：2017年6月1日起施行的《網(wǎng)絡(luò)安全法》，明確了網(wǎng)絡(luò)運(yùn)營商對個(gè)人信息維護(hù)的職責(zé)；2017年7月1日起施行的《民法總則》，規(guī)定“自然人的個(gè)人信息受法律保護(hù)”；2021年1月1日起施行的《民法典》，在“人格權(quán)”編中確立了個(gè)人信息權(quán)；2021年9月1日起施行的《數(shù)據(jù)安全法》，進(jìn)一步強(qiáng)化了個(gè)人信息的法律保護(hù)。2021年11月1日起施行的《個(gè)人信息保護(hù)法》，賦予信息主體對個(gè)人信息的控制權(quán)，增加了處理者的義務(wù)，賦予國家有關(guān)部門信息監(jiān)管的職權(quán)。該法既為公民的個(gè)人信息權(quán)益提供了充分的保障，又為信息處理行為提供了全面的指引。

通過上述梳理可以發(fā)現(xiàn)，我國關(guān)于個(gè)人信息保護(hù)的立法實(shí)踐體現(xiàn)出“先刑后民”的特點(diǎn)。事實(shí)上，這種立法模式僅是為了應(yīng)對嚴(yán)峻的侵害公民個(gè)人信息的犯罪態(tài)勢而采取的無奈之舉。

二、侵犯公民個(gè)人信息罪與《個(gè)人信息保護(hù)法》的銜接問題

《刑法》第二百五十三條中的侵犯公民個(gè)人信息罪是個(gè)人信息刑法保護(hù)的主要法律依據(jù)，而本罪是法定犯，“違反國家有關(guān)規(guī)定”是前提條件?！秱€(gè)人信息保護(hù)法》作為個(gè)人信息保護(hù)體系中的核心，其頒布與實(shí)施必然引發(fā)法律體系內(nèi)部各部門法的銜接問題。

(一)民事權(quán)利與刑法法益的銜接問題

侵犯公民個(gè)人信息罪保護(hù)法益的內(nèi)涵，是有關(guān)本罪的諸多爭議中的一大熱點(diǎn)。圍繞這一問題，目前學(xué)界提出的學(xué)說大體可分為私法益、公法益和復(fù)合法益三類，具體觀點(diǎn)則多達(dá)十余種。這種狀況的出現(xiàn)歸根結(jié)底是由民事法律基礎(chǔ)的缺失造成的。對于一項(xiàng)新興權(quán)利，理應(yīng)先由民事法律確認(rèn)其權(quán)利屬性、權(quán)利內(nèi)容與保護(hù)邊界，構(gòu)建、塑造新的秩序類型；而刑法作為最后法、保障法，其本身并不創(chuàng)造新的權(quán)利與新的社會(huì)秩序，只是對民法、行政法等前置性法律規(guī)范所確立的權(quán)利與秩序的再次確認(rèn)。前置法律制度與理論基礎(chǔ)供給不足而刑法先行，會(huì)導(dǎo)致刑法中的罪刑設(shè)置缺乏宏觀思考，缺乏個(gè)人信息保護(hù)的底層邏輯支撐。[3]在《民法典》《個(gè)人信息保護(hù)法》等前置法律逐步完善的同時(shí)，侵犯公民個(gè)人信息罪勢必要進(jìn)行相應(yīng)調(diào)整。

(二)基礎(chǔ)概念的銜接問題

對“個(gè)人信息”這一基礎(chǔ)性概念的統(tǒng)一界定，是兩法銜接的關(guān)鍵問題。刑法典中并未明確界定“個(gè)人信息”的概念。2017年，最高人民法院、最高人民檢察院《關(guān)于辦理侵犯公民個(gè)人信息案件若干問題的解釋》(以下簡稱《解釋》)將個(gè)人信息定義為“以電子或其他方式記載的能夠單獨(dú)或與其他信息結(jié)合識別特定自然人身份或者反映特定自然人情況的各種信息”，其核心在于可識別性與關(guān)聯(lián)性。《個(gè)人信息保護(hù)法》第4條將個(gè)人信息定義為“以電子或其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名處理的信息”?？梢姡卟粌H表述有所差異，概念涵蓋的范圍與側(cè)重點(diǎn)也不盡相同。

此外，《個(gè)人信息保護(hù)法》與《解釋》對個(gè)人信息都采取了分類保護(hù)的方式，但分類方法存在差異。《個(gè)人信息保護(hù)法》將個(gè)人信息區(qū)分為一般個(gè)人信息與個(gè)人敏感信息兩類，并在本法第二十八條采取“概括+列舉”的方式對個(gè)人敏感信息予以界定。而《解釋》中的劃分標(biāo)準(zhǔn)并不明確，不同類別信息之間存在交叉與重合。因此，刑法中的罪刑規(guī)定應(yīng)與《個(gè)人信息保護(hù)法》中的個(gè)人信息分類密切配合，以破解兩法銜接的困局。

(三)違法處理個(gè)人行為方式的銜接問題

《刑法》第二百五十三條確定的侵犯公民個(gè)人信息罪的行為方式包括非法獲取與提供兩種，而《個(gè)人信息保護(hù)法》第四條第二款所列的個(gè)人信息處理包括收集、存儲、使用、傳輸、提供、公開、刪除等?！督忉尅返谌龡l、第四條明確了“非法”與“提供”可以涵蓋“公開”與“收集”。但是，“存儲”是否可以評價(jià)為“獲取”，“傳輸”是否能夠評價(jià)為“提供”，還需進(jìn)一步解釋。

從《個(gè)人信息保護(hù)法》所列的個(gè)人信息處理行為來看，該法致力于個(gè)人信息的生命周期保護(hù)。而從侵犯公民個(gè)人信息罪的行為方式——非法獲取、提供來看，本罪僅側(cè)重打擊個(gè)人信息的非法流轉(zhuǎn)，對公民個(gè)人信息的保護(hù)并不周延。[4]與單純的不法流轉(zhuǎn)相比，合法獲取個(gè)人信息后續(xù)的信息濫用行為才具有更大的社會(huì)危害性。如利用人臉、聲音等生物識別信息，通過深度偽造技術(shù)合成虛假的視頻、音頻，不僅嚴(yán)重侵犯個(gè)人的肖像權(quán)、名譽(yù)權(quán)等人格權(quán)，甚至可能危及人身安全。

非法濫用個(gè)人信息行為刑法規(guī)制的缺位，導(dǎo)致司法實(shí)踐中的一系列困惑與爭議。在作為前置法的《個(gè)人信息保護(hù)法》已經(jīng)作出詳盡規(guī)定的情況下，刑事立法也應(yīng)適時(shí)調(diào)整。

三、侵犯公民個(gè)人信息罪的規(guī)范構(gòu)建

《民法典》《個(gè)人信息保護(hù)法》等前置性法律頒布之后，刑法的歷史使命已經(jīng)完成，理應(yīng)恪守其謙抑性的基本立場，主動(dòng)迎合前置規(guī)范，以調(diào)整與之相沖突的內(nèi)容，發(fā)揮其后位保障作用。同時(shí)，根據(jù)法秩序統(tǒng)一原則，刑事立法與司法解釋在基本原則、價(jià)值目標(biāo)、條文規(guī)范上均應(yīng)與前置法律保持體系統(tǒng)一、秩序統(tǒng)一，以實(shí)現(xiàn)民、行、刑協(xié)同共治，更好地保護(hù)公民個(gè)人信息，維護(hù)國家數(shù)據(jù)安全，促進(jìn)數(shù)據(jù)合理流動(dòng)。

(一)保護(hù)法益的銜接

個(gè)人信息具有多元屬性，既事關(guān)信息主體的人身、財(cái)產(chǎn)、人格利益，又關(guān)乎國家數(shù)據(jù)安全、公共事業(yè)發(fā)展，承載重大公共利益。有學(xué)者據(jù)此提出侵犯公民個(gè)人信息罪的法益為公共利益、超個(gè)人法益等。要準(zhǔn)確界定侵犯公民個(gè)人信息罪的保護(hù)法益，當(dāng)然要將《民法典》《個(gè)人信息保護(hù)法》等前置法律中的相關(guān)規(guī)定以及相關(guān)民法理論作為首要考量因素。

從《民法典》第一千零三十七條之規(guī)定來看，個(gè)人信息權(quán)的權(quán)能包括查閱、復(fù)制、提出異議、更正、刪除等，其核心在于信息主體對其信息的控制與決定?！秱€(gè)人信息保護(hù)法》中的相應(yīng)內(nèi)容與《民法典》之規(guī)定相一致且更為細(xì)化，明確了信息主體對其信息具有知情、決定、保密、查閱、復(fù)制、可攜帶、刪除、補(bǔ)充、更正等權(quán)能。二者均以個(gè)人權(quán)益為視角，強(qiáng)調(diào)公民人格權(quán)益的保護(hù)?！秱€(gè)人信息保護(hù)法》確認(rèn)了信息主體的知情同意為判定信息處理行為正當(dāng)性與否的關(guān)鍵性條件?？v觀該法的全部條文，以“個(gè)人同意”為前提條件的規(guī)則有30處之多，實(shí)質(zhì)上是對信息主體自我決定權(quán)的確認(rèn)與維護(hù)。而個(gè)人信息的刑法保護(hù)也應(yīng)在此基礎(chǔ)上展開，將侵犯公民個(gè)人信息罪的保護(hù)法益界定為個(gè)人的信息自決權(quán)。

在對個(gè)人信息的刑法保護(hù)中追求個(gè)人利益與公共利益的平衡，而侵犯公民個(gè)人信息罪的保護(hù)法益是個(gè)人法益，這二者并不矛盾。個(gè)人信息承載著個(gè)人的人格與財(cái)產(chǎn)利益，也涉及公共利益與國家安全，無法采用單一模式的保護(hù)。事實(shí)上，人類的社會(huì)屬性決定了個(gè)人信息具有公共利益屬性，只要個(gè)體處于社會(huì)交往之中，其個(gè)人信息勢必會(huì)被統(tǒng)一收集、利用以加強(qiáng)社會(huì)聯(lián)系。近年來侵犯個(gè)人信息的刑事案件無不涉及海量個(gè)人信息，造成的損害都是群體性的，且往往并不關(guān)聯(lián)到具體被害人。這更加印證了當(dāng)今個(gè)人信息的刑法保護(hù)必須實(shí)現(xiàn)個(gè)人屬性與公共屬性的平衡。[5]

(二)個(gè)人信息概念的部門法統(tǒng)一

《解釋》與《個(gè)人信息保護(hù)法》在個(gè)人信息定義上的差異主要有兩方面。從個(gè)人信息的核心特征來看，《解釋》認(rèn)為個(gè)人信息包括“能夠反映自然人活動(dòng)情況的各種信息”，其核心在于能單獨(dú)識別或者與其他信息結(jié)合識別，識別對象為“自然人身份”。而《個(gè)人信息保護(hù)法》所界定的個(gè)人信息的特點(diǎn)僅指向“可識別性”，識別對象為“自然人”。

不同的部門法規(guī)制的側(cè)重點(diǎn)不同，且二者對個(gè)人信息的范圍與內(nèi)容的界定在本質(zhì)上具有同一性。那么，這種差異是否不足為怪，可以忽略不計(jì)？在筆者看來，仍然有必要調(diào)整《解釋》中有關(guān)個(gè)人信息的概念表述，使之與《個(gè)人信息保護(hù)法》保持一致。首先，通過比對可以發(fā)現(xiàn)，《解釋》對個(gè)人信息的范圍界定已經(jīng)超出了《個(gè)人信息保護(hù)法》。從刑法與其他部門法的關(guān)系來看，刑法僅將嚴(yán)重違反前置性法律規(guī)范的一小部分行為規(guī)定為犯罪予以懲治。因而刑法中劃定的犯罪圈應(yīng)當(dāng)小于前置法限定的違法行為范疇。如果是相反的，就會(huì)出現(xiàn)民事、行政合法而刑事違法的尷尬局面。其次，從法益屬性來說，《解釋》將賬號密碼、聯(lián)系方式等與自然人相關(guān)聯(lián)的數(shù)據(jù)也界定為個(gè)人信息，納入侵犯公民個(gè)人信息罪的保護(hù)框架。這顯然將個(gè)人數(shù)據(jù)與個(gè)人信息相混同，是先刑后民、前置法缺位導(dǎo)致的后果。目前，我國已通過《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》以及《個(gè)人信息保護(hù)法》建立起數(shù)據(jù)與信息的二元保護(hù)模式。據(jù)此，刑法也應(yīng)將兩種法益相區(qū)分，將個(gè)人數(shù)據(jù)從侵犯公民個(gè)人信息罪中的“個(gè)人信息”剝離出去。綜上，有必要對公民個(gè)人信息的概念進(jìn)行限縮性解釋。[6]

對個(gè)人信息的分類方面，《解釋》存在一定的不合理之處。例如疫情防控期間各地普遍使用的“健康碼”，就是一種囊括個(gè)人身份、健康狀況、行蹤軌跡等多種類別的高度集成化個(gè)人信息。對這種融合度較高的個(gè)人信息，依據(jù)《解釋》很難實(shí)現(xiàn)對其精準(zhǔn)歸類認(rèn)定，容易產(chǎn)生分歧。對人臉、指紋、虹膜等生物識別信息，《解釋》則沒有明確分類標(biāo)準(zhǔn)，無法實(shí)現(xiàn)對其更高層級的保護(hù)。而《個(gè)人信息保護(hù)法》將個(gè)人信息分為一般個(gè)人信息與個(gè)人敏感信息的劃分方法，比較科學(xué)合理，且歸納性強(qiáng)，應(yīng)被《解釋》采納。如此既能實(shí)現(xiàn)刑法與前置法的流暢銜接，也能在刑法層面對不同類型信息實(shí)現(xiàn)不同力度的保護(hù)。

(三)行為方式的調(diào)整

自個(gè)人信息被納入刑法保護(hù)對象以來，在行為方式上始終側(cè)重于懲治個(gè)人信息的非法流轉(zhuǎn)。但在大數(shù)據(jù)與人工智能時(shí)代，此種立法觀念顯然已經(jīng)無法滿足公民個(gè)人信息安全的保護(hù)需求。信息獲取與提供的最終目的在于使用。刑法僅僅規(guī)制非法獲取、非法提供這些流轉(zhuǎn)行為，實(shí)際上是一種預(yù)防性規(guī)制，很難觸及個(gè)人信息的使用范疇，進(jìn)而難以從根本上發(fā)揮個(gè)人信息的法益保護(hù)作用。[7]在《個(gè)人信息保護(hù)法》《民法典》已經(jīng)確定個(gè)人信息的全周期保護(hù)的原則之下，刑事立法觀念也應(yīng)及時(shí)轉(zhuǎn)變，對個(gè)人信息保護(hù)的側(cè)重點(diǎn)由流轉(zhuǎn)控制轉(zhuǎn)向信息的使用規(guī)制。具體而言，可以從以下兩個(gè)方面進(jìn)行考量。

一是增設(shè)行為類型，將“非法使用”行為入刑，以實(shí)現(xiàn)與《民法典》《個(gè)人信息保護(hù)法》《網(wǎng)絡(luò)安全法》的協(xié)調(diào)一致、有效銜接。首先，“非法使用”應(yīng)限于“合法獲取、非法濫用”。行為人如果在非法獲取個(gè)人信息后又非法使用，則非法獲取的行為可以包容評價(jià)后續(xù)的“非法使用”；正如盜竊他人財(cái)物后又私藏、銷贓的行為，前者可以包容評價(jià)后者。[8]因此，對非法使用行為的規(guī)制應(yīng)限于“合法獲取、非法使用”。在罪狀設(shè)置上，第二百五十三條之一第二款為本罪從重情形，即“行為人將其在履行職責(zé)過程中合法獲取的信息提供給他人”。這實(shí)質(zhì)上與“非法濫用”行為有一定的重合之處?？紤]到刑法條文之間的體系性，可將非法濫用行為歸入本款，表述為：“將合法獲取的公民個(gè)人信息非法使用的，在履行職責(zé)、提供服務(wù)的過程中將獲得的公民個(gè)人信息出售或者提供給他人的，依照前款規(guī)定從重處罰。”

二是細(xì)化“情節(jié)嚴(yán)重”的入罪標(biāo)準(zhǔn)及法定刑升格標(biāo)準(zhǔn)。本罪為情節(jié)犯，“情節(jié)嚴(yán)重”為入罪標(biāo)準(zhǔn)，“情節(jié)特別嚴(yán)重”為法定刑升格標(biāo)準(zhǔn)。《解釋》第五條、第六條分別將非法獲取和出售及非法提供個(gè)人信息的“情節(jié)嚴(yán)重”細(xì)化為十項(xiàng)情形，包括個(gè)人信息的類型、數(shù)量、違法所得數(shù)額等；“情節(jié)特別嚴(yán)重”則包括數(shù)量、數(shù)額、造成重大經(jīng)濟(jì)損失、造成惡劣社會(huì)影響等。對此，非法濫用個(gè)人信息行為可沿用上述入罪標(biāo)準(zhǔn)，與“非法獲取”與“出售及非法提供”行為保持統(tǒng)一，不存在障礙。另外，非法濫用個(gè)人信息的行為往往會(huì)對公民人身安全、財(cái)產(chǎn)利益甚至社會(huì)公共利益造成更為嚴(yán)重惡劣的后果，因此需要對濫用信息造成的危害性后果進(jìn)行類型化規(guī)定[9]。

四、結(jié)語

《個(gè)人信息保護(hù)法》的頒布實(shí)施，標(biāo)志著我國對個(gè)人信息的保護(hù)已構(gòu)建起完備的法律體系?！秱€(gè)人信息保護(hù)法》是這一體系的核心與基干，其他部門法均應(yīng)與之保持協(xié)調(diào)統(tǒng)一。作為最后法、保障法的刑法，也應(yīng)對侵犯公民個(gè)人信息罪的罪刑規(guī)范進(jìn)行調(diào)適。需著力化解兩法條文之間的矛盾與沖突，對刑事立法與司法解釋中的規(guī)范缺失及不周延之處適時(shí)進(jìn)行調(diào)整，以實(shí)現(xiàn)對個(gè)人信息保護(hù)與國家數(shù)據(jù)安全的平衡，在刑民銜接、刑行銜接的一體化防范理念之下打造高效、協(xié)同的個(gè)人信息保護(hù)體系。