事实与规范间的往返：侵犯公民个人信息犯罪“情节严重”之界定

【摘要】根据《刑法修正案(七)》第七条的规定，出售、非法提供公民个人信息罪和非法获取公民个人信息罪以“情节严重”作为入罪标准。但有权解释机关尚未跟进相应的司法解释，导致在具体案件审理的过程中，入罪门槛悬殊、量刑标准失衡，甚至条文设置旁落等现象时有发生。鉴于此，有论者提出应当直接将“情节严重”删除，以增加刑法规范的确定性。然而，在刑法保护由结果规制向行为规制转轨的大环境下，“情节严重”具有不可忽视的积极意义。我们应当根据具体司法实践中所暴露出的问题，恰当运用刑法解释技巧，以犯罪构成为解释的逻辑基础，从犯罪行为、犯罪客体、犯罪主体和危害结果等方面出发，结合出售、非法提供公民个人信息罪和非法获取公民个人信息罪的特点，以及和其他罪名的差异，为“情节严重”划定出既利于司法实践操作，又符合普通民众的期待可能性的范围。本文荣获2012年上海法院系统学术讨论会优秀论文奖。

法律不是摆在这儿提供历史性的理解，而是要通过被解释变得具体有效。

——伽达·默尔

信息技术的飞速发展，一方面使个人信息迅速“增值”，另一方面也加大了个人信息的“被害倾向”，使其面临更为严峻的被害风险。近年来，公民个人信息被恶意泄露和滥用，已呈日益猖獗之态势，且已严重干扰着公民的正常生活，侵犯了公民的个人隐私。公民个人信息作为一种权利资源，必须依法保护其有序流动，防止其被非法泄露或出售，进而防止由此衍生的犯罪。基于此，《刑法修正案(七)》第七条规定：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；窃取或者以其他方法非法获取上述信息，情节严重¹的，依照前款的规定处罚”，即设置了出售、非法提供公民个人信息罪和非法获取公民个人信息罪两个罪名。然而立法并未对该“情节严重”予以明确，司法解释也未能及时作出回应，以致司法工作人员对情节严重的把握存在多种标准，很大程度上影响了法律的统一适用。

一、问题的提出：“情节严重”解释标准的缺位影响立法的践行和司法的统一

在我国刑法分则中，以“情节严重”作为入罪标准的罪名并不罕见，例如《中华人民共和国刑法》(以下简称《刑法》)第二百四十九条煽动民族仇恨、民族歧视罪、第二百五十条出版歧视、侮辱少数民族作品罪、第二百五十一条非法剥夺公民宗信仰自由罪等等。公民个人信息罪中“情节严重”之所以会引起理论界和实务界的极大关注，其原因在于，实际操作中，此罪的“情节严重”尚未形成一致的解释标准，给司法审判带来了不便，影响了法律适用的统一性。

(一)入罪门槛的悬殊

通常情况下，我们从以下几个角度认定“情节严重”：一是涉案公民个人信息的数量，二是犯罪人获利的金额，三是犯罪行为对公民个人权益的影响程度。基于这种标准的便利性和直观性，我们可以迅速地得出罪与非罪的结论。但不容忽视的是，在无统一标准的前提下，这种便利性和直观性所产生的结果便是入罪标准差异。如，在司法实践中，以三条公民个人信息为情节严重的有之，以数百条公民个人信息并牟利数万元为情节严重的亦有之，更有以数千万条公民个人信息并牟利数千元为情节严重的。

(二)量刑标准的失衡

在入罪标准空白的情况下，各司法机关一般通过评价信息数量、违法所得以及危害程度等确定罪与非罪，再在此基础上，通过自由心证得出量刑意见。换言之，信息数量、违法所得和危害程度等不仅是判断行为人是否构成犯罪的依据，还是对其科以何种刑罚的依据。但由于司法工作人员的认识不一致，造成实施同样犯罪行为、侵害相近数量公民个人信息、或是等额违法所得的犯罪人的实际量刑上的失衡。案例一，被告人叶某非法获取公民个人信息约250万条，并雇佣多人再次兜售上述信息，非法获利人民币4000元，被S市H区人民法院判处有期徒刑十个月，并处罚金5000元；案例二，被告人周某注册公司，非法获取公民个人信息约98万条，并指示他人兜售上述信息，被S市P区人民法院判处有期徒刑一年零六个月，并处罚金20000元。²

(三)条文设置的旁落

“情节严重”缺乏定量性，一方面使得司法机关难以把握准确的入罪标准，另一方面也打击了司法机关在实践中适用本罪的积极性，进而导致条文设置的旁落。被告人吴某和马某在J省C市成立调查公司，为了非法获取他人公民个人信息，以伪造的国家安全部门证件和介绍信的方法，多次在上海、江苏等地的移动公司，非法调取他人的手机通话记录和短信内容，同时还应多家调查公司要求，以上述方式非法查询手机用户信息、通话详单、短信等。该案在审查起诉阶段，检察机关认为由于非法获取公民个人信息罪之“情节严重”尚无相关司法解释跟进，不便于实务操作，因而以伪造、变造、买卖国家机关公文、证件、印章罪提起公诉。

二、理性的选择：侵犯公民个人信息犯罪“情节严重”设置之合理性解读

刑法规范中，以“情节严重”作为入罪标准的罪名并不罕见。有学者指出，这类“情节严重”内涵不清，外延不明，使得司法工作人员拥有较大的自由裁量权，不利于在实践中形成统一的认识。³司法实务界对“情节严重”作为入罪标准也颇有微词，认为“情节严重”的模糊性致使相关法律规范在现实生活中难以把握，可操作性差。⁴

虽然“情节严重”存在不足之处，但在本罪的设置中将其作为入罪标准却是有一定合理性与必然性的。我们认为，“情节严重”的立法设置并不是立法粗疏、抑或者是为了简便而故意为之。相反，“情节严重”在一定程度上保证了本罪的包容性和延展性，消弭、填补了固定的法律文字与社会风险之间分歧和落差，是贯彻和落实刑法谦抑性的具体体现。

(一)在社会层面，本罪之“情节严重”是应对风险社会的客观需要

面对当下普遍存在的社会风险，刑法需要积极予以回应，既要坚持传统刑法的基本品质，又要兼顾社会发展，实现现代刑法维护社会安全秩序的控制目的。因此，刑法立法模式应由结果本位过渡为行为本位，将刑法所保护的客体由实体化转化为抽象化。⁵也就是说，刑法规制重心将会前移，由结果控制向风险控制转变，提前介入犯罪打击。从我国近年来的刑法修正案的内容来看，已经呈现出一种由规制结果犯向规制行为犯转轨的趋势。⁶

我们认为，本罪中的“情节严重”迎合了这种转变趋势的需要。在侵害公民个人信息犯罪中，犯罪人犯罪手法多样且隐蔽，鲜有痕迹、难以取证查实。公民在正常的生活、工作时难以察觉个人信息已经被他人非法利用，往往是在诸如盗窃、诈骗等下游犯罪被侦破后，追根溯源才发现侵害公民个人信息的犯罪。“情节严重”的设立则将刑法对于公民个人信息的保护由结果规制转向行为规制，并在一定程度上彰显了刑法保护公民个人信息的决心，增强了打击相关犯罪行为的力度。

(二)在立法层面，本罪之“情节严重”是衔接立法与司法的需要

立法者是从宏观层面对同一类行为作出规范，而司法工作人员则是在微观层面将规范适用于具体的案件之中。立法者完成归纳工作，司法工作人员履行演绎职能。

社会生活事实纷繁复杂，且易变多变，立法者不可能凭借有限的认知能力预见到所有的情况，所以，太过刚性的法律规范会压缩司法工作人员的自由裁量空间，不利于司法实践中的具体问题具体分析。例如刑法设立危险驾驶罪后，各地司法机关逢醉驾必入罪。对此，2011年5月10日，最高人民法院张军副院长在全国法院刑事审判工作座谈会上强调醉驾是否入罪，还是要根据具体情节具体分析。就侵害公民个人信息犯罪而言，由于我们现在平日生活、日常工作中或多或少都会涉及到个人信息的收集、交换等，因此，必须划清罪与非罪的界限。司法工作人员作为法律执行者，面对的是具体的法律事实，为了实现个案公正，可以借助本罪“情节严重”的规定，根据具体案件的特定时空、背景等因素对法律条文进行解释，以便将法律规范与法律事实两者顺利地衔接起来，得出合乎正义的结论。

(三)在司法层面，本罪之“情节严重”是犯罪的二次性违法的体现

刑法所规制的都是具有严重社会危害性的行为，而这类行为都是已经超越了民法、行政法等前置法律的规制范畴才进入到刑法视野之中的。⁷因此，任何犯罪行为都具有二次性违法的特征，侵害公民个人信息犯罪亦是如此。在出售、非法提供公民个人信息罪中明确出售、非法提供必需以违反国家规定为前提，才能进入刑法评价范畴。

在某种意义上，“情节严重”正是提醒了我们在评价犯罪行为时须“三思而后行”。“情节严重”一方面将严重危害社会秩序和个人权益的行为纳入到刑事制裁的范畴中，另一方面也将情节轻微，通过民法、行政法等前置法律即可处理的行为排除出刑法视野。因而，“情节严重”体现了刑法的谦抑性原则，强调了犯罪的二次性违法的审查过程，避免刑法过分扩张而侵入前置法律的领地。

综上所言，本罪之“情节严重”是一个弹性标准，既能确保刑法及时打击犯罪保护法益，又可以克服立法模式转轨所带来的刑法肆意扩张的可能性。因此，本罪使用“情节严重”是必要的，也是不可避免的，是具有一定积极意义的。

三、从特殊到一般的归纳：“情节严重”实践界定之典型与非典型思路

(一)界定“情节严重”的典型思路

“情结严重”在1979年《刑法》中就已经出现，例如其第一百一十七条规定，违反金融、外汇、金银、工商管理法规，投机倒把，情节严重的，处三年以下有期徒刑或者拘役，可以并处、单处罚金或者没收财产。此时起，如何正确解释、把握“情节严重”这一问题成为了法律人所关注的热点之一。

司法机关一般在两种情况之下需要对“情节严重”进行解释和量化。一是解释机关对“情节严重”进行了司法解释，但司法机关遇到了该解释无法关照的法律事实；二是解释机关对“情节严重”尚未进行司法解释，司法机关处理法律事实时无刑法上的参照依据。

在第一种情况下，我们通常做法是以本罪已经公布的相关司法解释为参照。此类罪名的犯罪构成一般具有高度抽象性，语义范围广，开放性高，例如非法经营罪。⁸当出现了新的情节需要评价时，参照已有的解释，首先可以保证解释结果具有一定的可预见性，其次能够确保定罪量刑的均衡化。

在第二种情况下，我们一般先根据相关民事法律、行政法律等法律规定的内容确定违法行为达到了犯罪的程度。例如，投放虚假危险物质，编造、故意传播虚假恐怖信息的行为，《中华人民共和国治安管理处罚法》规定实施相关行为就要接受行政处罚，而《刑法》规定实施该行为必须达到严重扰乱社会秩序的程度才可被视为犯罪行为。当前置法律处于空白时，我们则会转向其他与需解释的罪名最相近的罪名的司法解释，以此为参照，对本罪的相关情节进行客观评价。⁹

(二)界定“情节严重”的非典型思路

当有权解释机关未对罪名中的“情节严重”作定量化解释，前置法律没有相关规范内容，同时也没有其他相近罪名的解释可供参考时，“情节严重”的定量解释就回到了最原始状态，此时我们就要通过非典型思路的方法给予“情节严重”客观的评价。所谓非典型思路就是指解释相关“情节严重”时应根据罪名自身的特性，以犯罪构成为基础，并结合个案具体事实得出恰当的量化结论。

我国《刑法》中包含“情节严重”的罪名并不罕见，其中一部分已经通过司法解释的方式，或是通过确立立案追诉标准进行了量化，我们对此类罪名以及解释“情节严重”的路径进行了较为粗浅的归纳：

由此表可见，解释机关在对某一罪名“情节严重”进行解释的思路，主要是从犯罪行为、犯罪客体、犯罪所得、危害结果这四个方面加以考虑，在特殊情况下还会考虑犯罪人的主观方面、犯罪次数以及前置法律的规定内容。细言之，遵循非典型思路就是从犯罪构成出发——从犯罪行为、犯罪客体、犯罪所得、危害结果、主观方面、犯罪次数和违反前置法律次数等角度进行解释。

(三)界定侵犯公民个人信息犯罪“情节严重”之路径选择

采用何种解释方法，决定了结论是否符合客观正义，是否能够实现个案平衡。如前文所述，解释“情节严重”一般应遵循典型思路。但就侵害公民个人信息犯罪来看，无法直接套用典型思路。第一，作为新增的罪名，到目前为止只有刑法本身的规定，再无其他可供参考的依据，故侵害公民个人信息犯罪可以说是一张白纸，无法从其本身的解释寻找相应的线索；第二，侵害公民个人信息被设置在侵害公民人身、财产权利一章中，该罪名条款的前后有数条法益相似的罪名设置，但解释机关均未给予进一步的细化，故亦无法从这些罪名中找到解释的参照依据。因此，在典型思路受阻的情况下，我们就需要转向非典型思路，即以本罪的犯罪构成为基础，综合评价各个案件情节。

需要注意的是，无论是从理论角度还是从实务角度，对“情节严重”的评价虽然是多角度、多方面的，但不是杂乱无序的，各评价要素应当按照一定的位阶排序。由于侵害公民个人信息罪是行为犯，在解释“情节严重”时，我们认为，可以“行为”作为解释的逻辑起点，而后从主体、客体和结果等方面进行评价。

四、从一般到特殊的演绎：侵犯公民个人信息犯罪“情节严重”之具体认定

(一)犯罪行为

侵害公民个人信息犯罪规定的犯罪行为包括出售、非法提供、窃取及其他非法获取的方式等四种行为。以犯罪行为作为解释的依据，一般从以下两个方面进行考虑：

第一，行为的次数。犯罪人实施侵害行为的次数越多，其主观恶性越深，所产生的危害也越大。如，被告人通过互联网向多人多次贩卖公民个人信息，致使相关公民的人身权利和财产权利处于极大的风险之中，给下游犯罪提供了温床。

一般而言，实施次数达到三次就可视为“情节严重”。就“多次”而言，有观点提出，如果前几次行为已经受到了行政法等前置法律评价的，那么就不应该计入刑法评价的次数之中，因为该行为已经处理，不得重复评价。¹⁰我们认为，出售、非法提供公民个人信息罪以“违法国家规定”前提，该内容未将已受前置法律处罚的行为排除出评价范围，反而是强调了行为的二次性违法属性。从已有罪名设置来看，例如逃税罪，立法者也认为经过行政法评价的行为不影响刑法的再评价。据此，我们认为，行为人实施出售、非法提供等行为三次，或在五年内因侵害公民个人信息行为被行政处罚二次以上的，可视为出售、非法提供公民个人信息罪的“情节严重”。非法获取公民个人信息罪虽无类似规定，但作为侵害同种犯罪客体的犯罪行为，应当一视同仁，也应以实施犯罪行为三次，或在五年内因侵害公民个人信息行为被行政处罚二次以上为“情节严重”的标准。

第二，行为的方式。侵害公民个人信息犯罪将犯罪行为归纳为四种，即出售、非法提供、窃取和其他非法获取的方式。有的犯罪人为了达到出售或非法获取公民个人信息的目的，往往会额外实施一些辅助行为。例如，犯罪人为了获取特定公民的手机号码、身份证信息、家庭固定电话等信息，假扮或找他人假扮快递员骗取被害人签收虚假快件信息单；有的犯罪人通过伪造印章等行为向电信部门骗取通信详单；有的犯罪人纠集多人通过互联网非法购买公民个人信息。我们认为，就行为方式而言，行为人以暴力、胁迫、欺诈等方式，或纠集、雇佣多人出售、非法提供、非法获取公民个人信息的，可视为侵害公民个人信息罪的“情节严重”。

(二)犯罪主体

侵害公民个人信息犯罪中包含两个罪名，一是出售、非法提供公民个人信息罪，二是非法获取公民个人信息罪。在第一个罪名中，犯罪主体必须符合特定的身份，一般身份的人即使实施了该罪名所规定的犯罪行为，也不被认为构成此罪。第二个罪名的犯罪主体则是一般主体。所以，从犯罪主体的角度分析“情节严重”时，可以从以下几个方面进行：

第一，犯罪主体的身份。行为人在特定机关或机构内担任领导职务的，对公民个人信息负有保护、保管义务的，相较于一般工作人员，如果实施或是授意他人实施出售或非法提供公民个人信息行为的，应属于本罪的“情节严重”。因为这类群体的行为会极大地冲击了民众对政府部门及相关金融机构、公共服务机构的信任与信赖，从根本上动摇了政府部门、相关金融机构或公共服务机构的诚信体系。

第二，犯罪主体的犯罪目的。有观点认为，本罪中的犯罪目的对于犯罪构成没有影响。¹¹黑格尔认为，行为必须符合目的，必须为一定的目的所服务。从一定程度上说，目的决定了行为。我们认为，犯罪目的在本罪中扮演着重要的角色，并非毫无价值。实际中，有的行为人出售、非法获取公民个人信息是为了拓展公司业务或是个人人脉，有的行为人则是为了谋取非法利益，其主观恶性差异较大。所以，行为人出于牟利或实施其他犯罪等非法目的而获取、使用或利用公民个人信息的，应当属于“情节严重”。需要强调的是，如果犯罪人尚未实际取得非法利益的，应当结合其他情节综合判断。

(三)犯罪客体

侵犯公民个人信息犯罪所指向的犯罪客体是公民个人信息。因此，实践中，公民个人信息数量也多被用来是衡量本罪的“情节严重”程度。有观点认为，公民个人信息犯罪使公民个人的财产权利、人身权利和民主权利等处于巨大的风险之中，那么如果信息是虚构的，或是不真实的，那么就不存在公民权利面临巨大风险的可能性，故，在计算公民个人信息时，应当甄别相关信息的真伪。我们并不赞同这一观点。首先，当信息数量巨大时，逐条核实公民个人信息需耗费大量的人力和物力，而以被查获的公民个人信息的总数作为认定的数量较有利于司法实务操作。这在刑法分则中也是有先例的。例如在计算毒品数量时就不考虑毒品含量的百分比，只以实际总量为量刑依据；其次，本罪是行为犯，并不强调危害结果的实际发生，如果以出售、非法提供或是非法获取的公民个人信息总数作为评价依据，则更能产生刑罚威慑力，起到法律指引和保护的作用。因此，以公民个人信息为考察维度时，以总的信息数量作为评价依据较为妥当。

以信息数量为标准，可以从公民个人信息的可靠性、完整性、涉私性等方面对不同情况做出不同的量化标准。我们认为，当公民个人信息包含了公民的家庭住址、公民身份号码等与公民个人私有领域密切相关的信息时，信息条数的标准应当相应降低，凸显法律保护的必要性；当公民个人信息仅包含一般信息，例如电子邮件地址、QQ通讯号码、或是手机号码等，信息条数的标准应当适度放宽。此外，在设定具体标准时，还应当考虑给予前置法律充分的发挥空间，避免刑事规范过多压制前置法律规范。据此，当公民个人信息的可靠性、完整性和涉私性较高的时，可以100条信息数量为“情节严重”的评价起点；当可靠性、完整性和涉私性较低的时，可以1000条信息为“情节严重”的评价起点。需要指出的是，在认定本罪的“情节严重”时不能唯数量论。¹²

(四)风险和危害结果

公民个人信息犯罪是诈骗、盗窃等犯罪的上游犯罪。刑法规范之所以打击侵害公民个人信息的行为，是因为该行为的着手实施使得公民个人信息所指向的特定公民的人身权利、财产权利面临高度危险。因此，解释“情节严重”可以从犯罪结果的发生与否，或是特定公民的人身权利、财产权利所面临的风险大小的角度出发。一般而言，产生实际损害的情节重于面临极大风险的情节，重于面临一般风险的情节，重于无风险的情节。例如在S市X区，被告人李某非法获取公司的客户购货信息并转卖给被告人陆某，后由陆某将同等规格和价格的货物出售给这些客户。这起案件中，特定的公民的信息虽然被被告人非法买卖，但公民的相关权益并未因该行为而面临被侵害的风险，更不会产生危害结果。因此，在此类情况中就不适合将其归入“情节严重”的范围。

我们不赞同将物质损失作为主要的量化依据。犯罪人出售、非法提供或是非法获取的公民个人信息数量从三条至千万条不等，司法机关并不能找到每个被侵害的个人信息的公民的。因此，我们也就难以确定因犯罪人的犯罪行为给公民个人造成何种以及多少的物质损失。况且，犯罪人的行为与物质损失结果并非是同步发生，之间可能有着一段时间间隔，或长或短。因此，我们认为，在评价本罪的“情节严重”时，应当将产生严重危害结果的情节作为一条兜底条款，即如果发生了危害结果，则可视为“情节严重”；若没有发生，需结合其他情节综合评价。

结 语

刑法条文的适用需要解释，尤其是针对崭新的罪名而言，更是需要悉心周至的解释才能够被准确适用。侵害公民个人信息罪是刑法规范中的新罪名，就“情节严重”而言，并无现成的司法解释可供参照，也没有其他近似罪名可资借鉴，我们只能从该罪的犯罪构成展开去寻找如何正确理解“情节严重”的突破点，客观公正地把握好“度”的标准。张明楷教授曾指出，解释刑法时，心中应当充满正义，目光不断往返于事实和规范之间。这一解释理念用来诠释“情节严重”的认定和评判最为贴切不过了。

详言之，在量化本罪“情节严重”的过程中，必须坚持罪刑法定原则、坚持罪刑相适应原则，最重要的是坚持刑法谦抑性原则——在是否认定“情节严重”争议很大的情况下，既然无司法解释作为认定的明确依据，又包含着对事实的评价，则应当采取保守立场，按照有利于被告人的原则不予认定“情节严重”。这谈不上“放纵”被告人，相反却有利于稳妥处理案件。如此一来，可保证我们的认识与理解符合人权保障的基本要求，满足打击犯罪的需要，体现法律的可预测性。