尚权推荐SHANGQUAN RECOMMENDATION

2022年4月8日，中国刑法学研究会成功举办了第二期“实务刑法论坛”，会议围绕“侵犯公民个人信息罪司法实务问题”，邀请各领域专家交流探讨，通过聚焦司法实践前沿案例及争议焦点，促进刑法理论与司法实务的交流互动，推动理论研究更好地面向司法实务、服务司法实务。论坛由浙江大学检察基础理论研究中心与杭州市余杭区人民检察院共同承办，论坛结束后，会务组将专家发言整理成文字，以飨读者。

以下为专家演讲内容：

有关个人信息的范围问题，与对侵犯公民个人信息罪的法益解读有关。基于此，我主要讲三个方面。

个人法益说认为侵犯的是人格权，但这样的观点没法解释为什么财产信息也包含于内；难以解释为什么本罪要以违反国家相关规定为前提，是作为法定犯而存在。与此同时，超个人法益说的解读，不符合本罪在刑法分则中的体系位置，而且也容易忽视对信息个体权益的应有保护。

鉴于法益所指向的利益具有先于法律而存在的特性，对侵犯公民个人信息罪保护法益的界定，显然有必要先行搞清相应领域究竟需要刑法保护什么利益。网络与数据技术突破了公共领域与私人领域之间的物理性界限，匿名性成为新的界限。传统法律由于是建立在公域与私域的物理隔离基础之上，在网络时代已经难以实现对私人领域的合理保护。基于此，相应领域亟待保护的利益，应当界定为通过保障个体的匿名性存在而确保私域与公域之间的重新界分。可以说，这构成个人信息法律保护体系的基本目标。据此，该罪的保护法益必须立足于个人的“匿名性”存在来展开解读，具体内容为个人在“匿名性”存在方面的权益，不是单纯的人格权。

由于“匿名性”是作为私域与公域之间新的分界线而存在，个人在“匿名性”存在方面的权益，便不能仅停留于个人层面，而应当同时放在社会秩序的层面来把握。这意味着，侵犯公民个人信息罪的保护法益具有一体两面性，类似于正当防卫中作为正当化根据的个人权利保护与法秩序确证原则之间的关系：个人在“匿名性”存在方面的权益，既指向个体权利层面又指向社会权利层面。亦即，侵犯公民个人信息罪的罪刑规范，不仅是要保护具体个人的与“匿名性”存在相关的权益，还要保护匿名性所代表的将私域与公域相区分的社会秩序安排，这两个面向均不可或缺。就二者之间的关系而言，后一面向类似于前一面向在社会秩序层面的反射，具有公法益的特性。归结而言，在侵犯公民个人信息罪的法益问题上，有必要超越当前的个体法益说与超个体法益说之争，而选择走第三条道路。

这样界定侵犯公民个人信息罪的法益，将有助于对该罪构成要件中的相关问题做出合理解读。

1. 个人信息的概念与外延

（1）开放性与变动性

由“匿名性”存在方面的权益入手，能够解释为什么对个人信息的判断要采取可识别性标准。随着破解匿名性的技术水平的提高与推广，对可识别性的要求也相应会有所变化。个人信息概念与外延的开放性与变动性，也就变得可以理解。这意味着，必须将个人信息理解为是具有开放性与变动性的概念，需作与时俱进的理解。有关个人信息立法的历史沿革，从《网络安全法》到《个人信息保护法》，对个人信息的概念，出现从注重身份到向注重与自然人相关的转变。这符合社会发展趋势的需要，因为对个人信息的利用与分析的技术也在不断提高，依靠相关信息识别特定的自然人变得越来越容易。因而，对个人信息范围的界定，不宜限制得过窄，不应限定于身份的可识别性或侧重于身份的可识别性。在现有框架下，对2017年《侵公解释》第一条中的“识别特定自然人身份或反映特定自然人活动情况的各种信息”，可考虑做与《个人信息保护法》相一致的理解。对司法解释相关规定的理解也应当与时俱进。个人信息还应包括各类活动留下的轨迹，以及性格特性、兴趣爱好、行为习惯、政治倾向、宗教信仰等，包含虚拟的网络身份。

（2）人身性与财产性

从匿名性是基于对私人领域的保护出发，可以解释为什么应当将人身信息与财产信息都包含于其中。

（3）个人信息的判断标准

与自然人相关+单独或结合可识别+指向特定的自然人。

2. 违反国家规定与个人同意之间的关系

侵犯公民个人信息罪法益内在结构中的一体两面性，可用以说明，为什么该罪的成立需要以“违反国家有关规定”为前提，以及为什么知情同意只能作为“违反国家有关规定”的下位范畴存在。这与归责机制由以知情同意为基础转变为以合规为基础，也具有内在的逻辑一致性。既然涉及对将私域与公域相区分的社会秩序安排这一公法益的保护，并为此向个人信息处理者科以包括获取同意在内的各种法律义务，侵犯公民个人信息罪作为行政犯/法定犯的特性，自然也变得容易理解。唯其作为行政犯/法定犯，才能使侵犯公民个人信息罪的存在与个人信息法律保护体系的基本目标相契合，成为确保公域与私域之间界线重构得以实现的制度技术手段。

3. 已公开个人信息是否受本罪的保护

特殊情况下仍应受到保护，因为获得个人的知情同意，只是国家相关规定中设立的义务之一，完全可能存在这样的情形，获得个人的知情同意，但行为人违反其他的义务。

1. 实名与否的意义

过多考虑身份识别方面的因素，既不符合当前的立法发展趋势，也没有考虑当前网络数据技术的发展。在认定个人信息时，不应执着于实名与否的问题，只要在形式上能指向特定的自然人，在实质上会影响该自然人的私域自主与安全即可。

2. 对三个案例的看法

后两个案例中相关信息可构成侵犯公民个人信息罪中的个人信息。第一个案例中是否构成个人信息可能有斟酌的余地，关键在于是否指向并识别特定的自然人，是否会影响该自然人的私域自主。