2009年2月28日，十一届全国人大常委会第七次会议审议通过了《刑法修正案(七)》。第七条增补的侵犯公民个人信息安全的犯罪格外引起关注。该条是我国刑法修正案紧跟信息化时代发展步伐，强化对公民个人信息安全保护的一个重要举措。
该条规定：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务的过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。”“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。”“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”针对第七条的规定，我们试作以下学理解读。
严重侵犯个人信息行为应入罪 随着科技的发展与网络信息技术的普及，公民个人信息遭到非法收集、恶意使用、篡改乃至非法买卖等问题日益突出，以至扰乱公民个人生活安宁进而危及其人身、财产安全。例如，2004年中央电视台《今日说法》节目报道了一个典型案例：某犯罪分子利用拾得的求职者的应聘资料，冒充企业招聘人员对其实施犯罪，将其杀害。面对公民个人信息安全受到严重侵害这一现状，将一些情节严重的危害公民个人信息安全的行为在刑法中明确规定为犯罪，通过刑罚手段来强化个人信息的保护，弥补民事、行政法律制裁手段的不足，尤为必要。《刑法修正案(七)》第七条的规定正是对公民个人信息安全保护的强化，体现出刑法修正与时俱进，紧跟时代发展，强化人权保障的鲜明特色，值得充分肯定。
本条规定的罪名应为两个罪名 本条第1款与第2款规定的犯罪主体、行为方式等方面明显不同，但第二款也同时规定了本款要“依照前款的规定处罚”，这就容易产生这两款规定是一个罪名还是两个罪名的意见分歧。通观我国刑法典相似的规定，“依照前款的规定处罚”在不同法条中有不同的含义。例如刑法第104条第1款规定：“组织、策划、实施武装叛乱或者武装暴乱的，对首要分子或者罪行重大的，处无期徒刑或者十年以上有期徒刑；对积极参加的，处三年以上十年以下有期徒刑；对其他参加的，处三年以下有期徒刑、拘役、管制或者剥夺政治权利。”该条第2款规定：“策动、胁迫、勾引、收买国家机关工作人员、武装部队人员、人民警察、民兵进行武装叛乱或者武装暴乱的，依照前款的规定从重处罚。”即第2款与第1款同为“武装叛乱、暴乱罪”。又如，刑法第128条第1款规定：“违反枪支管理规定，非法持有、私藏枪支、弹药的，处三年以下有期徒刑、拘役或者管制；情节严重的，处三年以上七年以下有期徒刑。”该条第2款规定：“依法配备公务用枪的人员，非法出租、出借枪支的，依照前款的规定处罚。”该条第1款的罪名是“非法持有、私藏枪支、弹药罪”，而该条第2款的罪名却是“非法出租、出借枪支弹药罪”。鉴于此，《刑法修正案(七)》第七条两款规定究竟是一个罪名还是两个罪名，则有探讨的必要。
我们认为，第七条的这两款规定应当被确定为两个罪名，因为只有将它们确定为两个罪名才符合罪名准确揭示犯罪构成特征的要求。本条两款规定的犯罪主体、行为方式均有不同，第1款规定的是特定主体故意违背职务或者业务上职责要求，将本单位合法收集的公民个人信息出售或者非法提供给他人的行为；第2款规定的是一般主体非法获取特定单位合法收集的公民个人信息的行为，二者所体现的行为性质明显不同。因此，本条第2款规定的“依照前款的规定处罚”是指该款借用第1款的法定刑，而非与第1款同一罪名。
关于本条两款的罪名，可以将其分别确定为“出售、非法提供公民个人信息罪”与“购买、非法获取公民个人信息罪”。至于各罪的犯罪主体与公民个人信息的范围，则为了罪名的简洁，可以将其放在构成特征的理解中具体界定。这样确定的两个罪名既可以体现罪名的概括性、简洁性和明确性特征，也有利于对行为本质的揭示和把握。
两罪构成特征的理解及其认定 1、关于“出售、非法提供公民个人信息罪”的理解和认定，要注意以下几个问题：
一是特定的犯罪主体。本罪的犯罪主体是国家机关或者金融、电信、交通、教育、医疗等单位及其工作人员。上述列举的五个单位以外的其他单位及其工作人员是否属于本罪的犯罪主体范围，则涉及到本条规定中的“等”字的理解，有必要予以明确。在汉语中，“等”有表示完全列举后的煞尾之义，也可以表示未尽列举。我们认为，本条中的“等”表示列举未尽，与上述五个单位性质相同的单位也应涵盖其中。但实践中，也存在与上述五个单位不是相同性质的单位，例如酒店、从事商业经营的公司、网站等也存在合法收集个人部分信息的情况，这些单位是否也能涵盖其中，则不无疑问。在法律规定不明确的情况下，有关机关应尽快作出立法解释或司法解释，以统一其理解和认定。我们认为，从目前公民个人信息受到侵害的客观情况看，本罪的犯罪主体应作扩张性解释，将合法收集公民个人信息的单位均作为本罪的犯罪主体。
二是客观表现。本罪中的“违反国家规定”，是指违反国家法律、法规或者规章中关于个人信息的规定。我国尚未制订专门的个人信息保护法，只有一些相关规定散见于一些法律、法规及规章中。如果国家法律、法规或者规章中没有相关的针对公民个人信息收集、管理的单位及工作人员的义务性规定，相关单位及工作人员也就缺乏了成立本罪的前提性法律义务。即便其存在出售或者提供公民个人信息的严重行为，也不宜将其认定为犯罪。关于公民个人信息的范围，我们认为，应当从广义上对其进行界定。所谓“个人信息”，是指以任何形式存在的、与公民个人存在关联并可以识别特定个人的信息。其外延十分广泛，几乎有关个人的一切信息、数据或者情况都可以被认定为个人信息；最后，“非法提供”是指违背国家规定而提供。这就排除了合法向他人提供公民个人信息构成犯罪的情况。
三是成罪标准。本罪的成立还要达到“情节严重”的程度性条件。我们认为，本罪的“情节严重”，主要指出售或者向他人非法提供公民的个人信息数量大、使个人信息大量流向境外、造成了被害人人身严重危害、造成财产的重大损失等情况。司法机关应当及时就此作出相关的司法解释，以利于实践中的准确认定。
2、关于“购买、非法获取公民个人信息罪”的理解和认定，要注意以下几个问题：
一是客观行为。“窃取”，是指秘密取走；“收买”，是指以金钱或者其他财物购买；“非法获取”，就是没有法律根据而获得。即排除了一些诸如为了国家安全或者侦查机关为了案件侦破等合法事项而采用技术手段调取、获得上述信息行为的非法性。
二是犯罪对象。行为人窃取或者非法获取的“上述公民个人信息”，即本罪的犯罪对象，是指国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务的过程中收集、保存、管理的公民个人信息。除此之外，行为人通过其他途径，例如，利用网络技术或者其他手段从公民个人处直接非法获取其个人信息，即使非法获取的个人信息数量巨大，也不能认定为构成本罪。
三是成罪标准。本罪的成立还要达到情节严重的条件。我们认为，本罪的“情节严重”，主要指非法获取公民的个人信息数量大、为境外机构或者个人非法获取个人信息、造成了被害人人身严重危害、造成财产的重大损失等情况。
(作者单位：北京师范大学刑事法律科学研究院)
《变形金刚2》送票！
