代为购买公民个人信息的行为是否构成犯罪

【基本案情】 王某是某教育培训机构负责人,无前科劣迹,陈某是另一培训机构的离职销售。2021年12月,王某询问陈某是否有A市六年级学生的信息。陈某手上没有资源,便找到谢某,谢某说有8000条,要价6700元。陈某将此情况告诉王某,王某对先发来的50条数据小样验证满意后,表示8000条都要,但最多只能接受6000元。陈某将王某的报价反馈给谢某,谢某同意。陈某将王某给的6000元转给谢某,再将谢某发来的8000条信息(姓名、电话)转发给王某后,将信息删除,没有留存。随后王某利用该8000条信息进行电话招生、售卖网课,获利3.5万元。 

【分歧意见】 关于陈某行为的定性,有两种不同意见。 

一种意见认为,陈某的行为相对于王某,属于“向特定人提供”,相对于谢某,属于“购买、收受”,根据“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)规定,构成侵犯公民个人信息罪。 

另一种意见认为,王某购买、收受信息后用于合法经营,根据《解释》没有达到追诉标准,不构成犯罪,陈某是帮助王某购买信息,所以也不构成犯罪。 

【评析意见】 笔者同意第二种意见。 

从交易方式来看,本案属于“买家主导型”代购。陈某受王某委托,向谢某询价。数量、价格、内容等交易要素都由王某决定,也由王某进行抽样验证。陈某仅代为执行王某的要求,没有牟取差价。王某迫切需要生源信息,假如陈某拒绝,王某极有可能会另找他人。换言之,即便没有陈某这中间一环,信息扩散的风险依然存在。综上可判定,本案属于“买家主导型”代购,陈某与王某行为的结合力更强,陈某是否构成犯罪应当结合对王某行为的评价。 

在“买家主导型”代购中,信息的实际用途影响到代买者的罪责刑。在数字经济时代,信息的有序流转、合理利用能够创造社会财富,但侵犯公民个人信息的行为则可能成为电信网络诈骗、滋扰型“软暴力”等犯罪的上游犯罪,因此,公民个人信息的非法流转和不法滥用需要惩治。然而,从司法实践来看,公民个人信息并非完全流向下游犯罪,非法获取公民信息用于经营推广的情况并不少见,《解释》第6条将社会危害性较小的“合法经营活动”作为本罪的出罪条件之一。 

本案中,虽然陈某与王某共同完成了“购买、收受”行为,属于“非法获取”,但王某将所获得的信息用于招生、售课等合法经营,对照《解释》,王某的行为没有达到入罪标准,不构成犯罪,因而陈某也不构成犯罪。 

假如王某将所获得的信息提供给同行,或者与同行相互交换信息,且陈某事先又明知,则王某的行为已超出“为合法经营而合理利用”的范围,造成信息不当扩散,应以侵犯公民个人信息罪同时追究王某、陈某的刑事责任。 

本案可适用个人信息保护法追究陈某的行政责任。整个信息流转过程中,陈某的行为属于“传输”数据,“传输”是否属于刑法规定的“非法获取”?这涉及到对《解释》第4条“等外”方式的理解。笔者认为,不宜将“传输”直接评价为刑法上的“非法获取”。 

第一,从《解释》来看,“等外”方式的理解,应着眼于“非法”“违反国家有关规定”,且在恶性程度上与“窃取”相当。之所以单独列明“购买”“收受”,根据“两高”对《解释》的理解与适用,是因为这两种行为方式较为常见,且往往伴随着后续的出售、提供,若予以排除,则会大幅缩小侵犯公民个人信息罪的适用范围。 

第二,“传输”只是数据流转生命周期的一个中间环节,前端有出售、提供,后端有购买、收受,可以根据不同的情形,通过刑法的共犯原理来予以打击,体现宽严相济的刑事政策。 

第三,从公民个人信息保护的法律体系来看,慎用刑法手段实现“民紧刑松”的个人信息保护逻辑更加符合实践需要。我国立法对公民个人信息的保护呈现出“先刑后民”的发展顺序,2009年刑法修正案(七)增设了侵犯公民个人信息罪,直到2017年开始,网络安全法、民法典、数据安全法、个人信息保护法等相关法律才陆续施行,因此,在刑法的适用上,应当采用体系解释,综合考虑行政法、民法对相关行为的评价。比如个人信息保护法基于对公民个人信息合法流转、处理的信息秩序保护,明确规定了“收集、存储、使用、加工、传输”等行为均受到法律规制,而在刑法中,则更应关注非法获取、提供等更具有社会危害性的行为,而不宜将个人信息流转过程中的所有行为均纳入刑法的评价范围。刑法具有谦抑性、最后法、保障法的品质,转变司法理念,对能够用行政法、民法评价的一般违法行为审慎入罪,是实现“民紧刑松”、落实少捕慎诉慎押刑事司法政策的应有之义。 

本案中,陈某侵犯的是个人普通信息,非刑法单独规制的敏感、特殊信息,根据个人信息保护法第4条、第10条、第66条,可以由履行个人信息保护职责的部门来对陈某进行惩处,追究陈某的行政责任。 

(作者单位:江苏省常州市天宁区人民检察院)