文/法墨云边

本文为作者向无讼阅读独家供稿，转载请联系无讼阅读小秘书（wusongyueduxms）

随着两高《关于办理侵犯公民个人信息刑事案件若干问题的解释》（以下简称“《解释》”）的颁布，侵犯公民个人信息行为再次引发了全社会的关注。根据我国刑事政策的一般规律，可以预见，侵犯公民个人信息罪在短时间内将成为刑事司法关注的重点。对刑辩律师来说，如何准确把握本罪的辩护策略，实现有效辩护，就成为极具现实意义的问题。笔者认为，结合《解释》的相关规定，以下四个方面应当引起辩护律师的关注。

一、“公民个人信息”的固有属性

根据《解释》第一条的规定，“公民个人信息”的核心特征是信息内容和特定自然人身份以及特定自然人活动情况的高度关联。从更为深层的角度出发，这种关联又具有如下几个属性。

1、信息的指向性，即该信息必须指向特定自然人的身份或活动情况。如果相关信息指向的是种类人群，或者无法体现出具体身份和活动情况，那么该信息就不属于公民个人信息。例如，肖像、声音等虽然和公民隐私有密切联系，但其本身无法传递出该自然人的身份信息，因此不属于刑法中的公民个人信息。

2、信息的真实性，即只有内容真实的信息才能体现特定自然人的身份及活动情况。在司法实践中，如果行为人提供、购买、交换等行为所对应的公民姓名、电话号码、家庭住址等属于杜撰的信息，或者已经失效的信息，那么该信息根本无法和特定公民相联系，因此其也不属于公民个人信息。

3、信息的不可公开性。侵犯公民个人信息的法益侵害性体现于，违背公民意愿，将其个人信息公开、流转，从而侵犯他人人身权利。但是，如果该个人信息是特定自然人所主动公开的信息，那么该信息就不再具有本罪所保护的法益特征。例如，销售人员将自己的联系方式公布在网上，以期获得潜在客户的关注，或者公司股东将其姓名和职务公示在国家企业信息公示系统中，这些信息都属于特定自然人所自愿公开的信息，继续传播、流动这些信息并不违背他们的意愿，因此这些信息也不属于本罪所规定的公民个人信息。

因此，在公民个人信息的界定上，信息的指向性、真实性和不可公开性是构成本罪的必要条件，只要涉案信息有一个方面不符合这三个特征，相关行为就不可能构成侵犯公民个人信息罪。

二、虚假信息与重复信息的举证责任

如前文所述，信息真实性是公民个人信息的重要属性。从刑事诉讼的一般法理来看，有罪指控下举证责任应由控方承担，换言之，应由控方举证证明公民个人信息的真实性。但是，在《解释》中，最高司法机关对该等举证事项却做了一个模棱两可的规定。根据《解释》第11条的规定，对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。该条文中“直接认定”的表述似乎传递出了这样的信息：只要是批量信息，控方无需查证其真实性或重复性，即可直接认定；而所谓“有证据证明信息不真实或者重复”，则依赖于辩方提供的抗辩证据。

可以预见，出于司法效率的价值追求，实务中司法机关必然趋向于采纳前述“举证责任倒置”的观点。因为在涉及批量个人信息的犯罪中，司法机关根本无法对所有涉案信息的真实性都一一查实，而采用这种“举证责任倒置”的方式，无疑缓解了司法机关的侦查与控诉压力。

但是，笔者认为，该条文并不能被解释为“举证责任倒置”。

首先，举证责任分配是最为重要的刑事诉讼制度，司法解释无权改变《刑事诉讼法》的规定，更何况，在该《解释》中，并没有出现“举证责任倒置”等字眼。其次，对于非批量信息而言，司法机关当然承担信息真实性和重复性的查证责任，那么对于批量信息而言，其仍然属于个人信息的种类，是犯罪的罪质性构成要件要素，不可能因为信息数量的多寡，就改变了控方的举证责任。最后，从实际操作上看，如果将该规定理解为“举证责任倒置”，那么当享有国家权力资源的司法机关都无法查证信息的真实性和重复性时，又如何期待犯罪嫌疑人、被告人及其辩护人能提出有效的抗辩证据？

因此，在司法实务中，对公民个人信息——无论数量多少——的真实性和重复性的查证义务均应由控方来承担。而《解释》第11条的规定，实际上是一项注意性规定，其作用在于提示司法机关应注意信息不真实和信息重复的情况。

三、信息类型的界定基础

《解释》第五条将公民个人信息划分为敏感信息、安全信息和普通信息三大类型，它们分别对应着不同的情节标准。不过，在具体信息的类型归属上，《解释》除了明确列举了敏感信息的范围——行踪轨迹、通信内容、征信信息和财产信息，其对安全信息和普通信息界分标准的规定并不明确。

《解释》第5条规定，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的，即可构成本罪。但是，令人疑问的是，住宿记录、通信记录、健康生理信息等内容，是否一定和公民的人身、财产安全发生关联？例如，提供他人数年前的住宿记录，并不会对他人的人身安全和财产安全造成威胁。当然，另一方面，诸如电话号码、家庭住址等普通信息，是否就一定就不会威胁公民的人身和财产安全？例如，获取公民电话后，通过电信诈骗的方式非法获得公民财物，就属于典型的侵犯财产安全行为。

事实上，任何公民个人信息，既有可能被运用用非侵权型活动，也有可能被运用于侵犯公民人身、财产安全的活动。因此，从法理上看，如果采纳抽象危险犯的标准来评判信息类型——即不考察具体案件中涉案信息对人身、财产安全的威胁程度——那么安全信息和普通信息根本无法界分。对此，笔者认为，在司法实务中，司法者不能单纯套用《解释》的字眼，将住宿记录、通信记录等一概归入安全信息类型；而更为科学的做法是，结合具体案件事实，评判特定信息和公民人身安全、财产安全的紧密程度，只有使公民人身、财产遭受现实的、具体的危险时，相关信息才属于安全信息。

四、信息条数的计算标准

在犯罪认定中，涉案信息的数量是重要的罪量要素，它既决定了犯罪构成与否，也决定了量刑情节的轻重。在《解释》中，最高司法机关采用“条”来作为信息的计量单位，并对信息数量计算中的特殊问题进行了规定。例如，非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。

但是，对于数量计算中的一个核心问题，《解释》并未提及：什么样的信息才算是“一条”信息。毫无疑问，对于常见的“姓名+电话号码”或“姓名+家庭住址”等，可以界定为一条信息。但是，在特定案件中，行为人可能多次提供或非法获取同一公民的不同信息，例如，行为人先购买了特定自然人“姓名+号码”的信息，之后，又购买了同一自然人的家庭住址信息。对此，这两次购买行为究竟涉及几条个人信息？

从形式上看，前述信息分别属于“姓名+电话号码”和“姓名+家庭住址”，并且是分别计价出售，似乎属于两条公民个人信息；但笔者认为，公民个人信息“条”的计算标准应当以信息指向的自然人人数来确定。

从本罪的罪质特征来看，如前文所述，公民个人信息的重要属性在于其身份指向性，涉及同一自然人的信息无论是拆分来看，还是统合来看，它们最终都仅指向一个自然人，其所侵犯的法益也仅是一个自然人的权利，完全没有必要将它们作为数个法益侵犯行为来认定。当然，从更为深层的刑事法理来看，无论是《刑法》，还是《解释》，都未对“条”的认定标准作出界定，这属于典型的“法无明文规定”情形。从罪刑法定的“有利于被告人”原则出发，当法律存在疑问时，应当作出有利于被告人的解释，从而确保刑法在法益保护和自由保障中取得平衡。

因此，本罪中信息条数的计算，应当结合公民个人信息自身的属性，以信息涉及的自然人数量为基准，对于数次侵犯同一自然人的不同信息的行为，其所涉及的信息数量仍然为“一条”公民个人信息。

编排/孙亚超

责编/张雨  微信号：Ann199313