【期刊】出售、非法提供公民個人信息罪犯罪主體的立法完善

出售、非法提供公民個人信息罪犯罪主體的立法完善

• 期刊名稱：《人民檢察》
  

    出售、非法提供公民個人信息罪犯罪主體的立法完善
  趙桂民  [1] 韓玉勝  [2]
［關鍵詞］侵犯公民個人信息犯罪 公民個人信息犯罪主體 出售、非法提供公民個人信息罪
［摘要］《 刑法修正案（七）》規(guī)定了侵犯公民個人信息安全的犯罪，包括出售、非法提供公民個人信息罪和非法獲取公民個人信息罪兩個罪名，其犯罪主體既可以是自然人，也可以是單位。對出售、非法提供公民個人信息罪的犯罪主體中“國家機關或者金融、電信、交通、教育、醫(yī)療等單位的工作人員”的理解，理論和實務界存在一般犯罪主體和特殊犯罪主體的爭論，需要通過修改立法、進行立法解釋和司法解釋完善犯罪主體，加強對公民個人信息安全的保護。
［中圖分類號］DF624 ［文獻標識碼］A
［文章編號］1004-4043（2014）-8（上）-0032-5
隨著社會的發(fā)展，個人信息所具有的信息價值和經濟價值不斷增加，而科技的進步和網絡信息技術的普及也使得公民個人信息被非法泄露和使用的可能性大大增加。公民信息安全涉及公民的切身利益，以 刑法手段維護公民的信息安全，有利于對公民基本人權特別是個人隱私的保護，體現(xiàn) 刑法關注民生和反映社會發(fā)展實際需要的正確導向，也對保障公民個人信息的安全，促使國家機關或者金融、電信、交通、教育、醫(yī)療等單位及其工作人員誠實守信，防止以非法方法獲取公民的個人信息，有著極為重要的意義。
一、侵犯公民個人信息犯罪的刑事立法考察
當今世界各國立法十分重視公民個人信息的法律保護，許多國家都有相關立法規(guī)定。當然，不同國家的立法者在立法價值選擇上存在不同的認識和態(tài)度。如大陸法系的歐洲國家對個人信息的保護采取的是一種保護名譽和個人尊嚴的形式，將個人信息的保護重心放在肖像權、姓名權、名譽權以及信息自決權上；而美國對于個人信息更加注重對自由價值的維護，立法上注重的是如何保護公民的個人信息免受政府及他人的侵擾。  [3]
國外（地區(qū)）立法對侵犯公民個人信息的行為不僅規(guī)定了行政處罰和民事責任，還規(guī)定了相關的刑事責任。美國、法國、意大利、西班牙、葡萄牙、波蘭、瑞典、奧地利、韓國等都有相應的刑事法律規(guī)定。例如，在美國，泄露個人信息、以虛假身份騙取他人個人信息、保護個人信息瀆職行為等與個人信息相關犯罪都被明確規(guī)定為犯罪行為，美國1974年的《隱私法案》、1998年《兒童網上隱私保護法》都作了相關規(guī)定。1974年的《隱私法案》是美國最重要的一部保護個人信息方面的法律，規(guī)定任何由其工作或職務性質所決定，可以掌握或使用那些被本條或依據(jù)本條制定之規(guī)則或規(guī)章禁止泄露的包括個人識別信息之機關檔案，而且明知泄露這種檔案材料乃被禁止之行為的機關官員或雇員，如以任何方式向任何無權獲得之個人或機關泄露上述材料，則應被判為輕罪并處以 5000美元以下的罰金。該法還規(guī)定，任何人明知且故意以虛假身份向某機關申請得到或得到有關個人的檔案材料，應被判為輕罪并處以5000美元以下的罰金。
從世界各國和地區(qū)的個人信息保護立法與執(zhí)法的情況來看，對違反個人信息保護法的行為制定刑事法律規(guī)定追究行為人的刑事責任已經成為較普遍的做法。由此可見，將侵犯公民個人信息行為犯罪化已經成為世界各國和地區(qū)刑事立法的發(fā)展趨勢，大多數(shù)立法均強調要對侵犯個人信息的行為追究刑事責任，即將個人信息的法律保護納入刑事范圍已經成為刑事立法的共識，凸顯了 刑法注重對公民私權利保護的傾向，同時符合由“國家 刑法”向“公民 刑法”轉變的趨勢。  [4]相比較而言，我國保護公民個人信息的刑事立法還處在剛剛起步的階段，境外已有的立法實踐無疑具有一定的借鑒意義。因此，借鑒境外的立法模式，構建一個合理的公民個人信息 刑法保護體系，具有現(xiàn)實意義。  [5]
1997年 刑法規(guī)定的與公民個人信息相關的罪名較多，如偽造、變造居民身份證犯罪，非法搜查和非法侵入住宅犯罪，侵犯通信自由犯罪，私自開拆、隱匿、毀棄郵件、電報犯罪，竊取、收買、非法提供信用卡信息犯罪和計算機類犯罪等，但聯(lián)系最為密切的是《 刑法修正案（七）》第 七條增補的侵犯公民個人信息安全的犯罪，包括出售、非法提供公民個人信息罪和非法獲取公民個人信息罪兩個罪名。這一規(guī)定對于懲治我國當前日益嚴重的非法提供、非法獲取等侵犯公民個人信息安全的危害行為，保護公民的合法權益，提供了重要的 刑法依據(jù)，對個人信息的保護起了根本性的保障作用，為公民個人信息權的保護提供了最為有力的一道屏障。它不僅是我國公民個人信息法律保護的進步，更體現(xiàn)國家尊重和保障人權的 憲法原則在社會生活的滲透和延伸。  [6]
二、出售、非法提供公民個人信息罪犯罪主體之理論分歧
侵犯公民個人信息罪是指故意侵犯公民個人信息，情節(jié)嚴重的行為。根據(jù)相關司法解釋，侵犯公民個人信息罪包括出售、非法提供公民個人信息罪和非法獲取公民個人信息罪。侵犯公民個人信息罪是一個在理論上的罪名，其犯罪主體既可以是自然人，也可以是單位。已滿十六周歲具有完全刑事責任能力的自然人均可構成本罪，包括中國公民、外國人和無國籍人。
（一）出售、非法提供公民個人信息罪的犯罪主體的一般理解
根據(jù)《 刑法修正案（七）》第 七條的規(guī)定，出售、非法提供公民個人信息罪的犯罪主體是國家機關或者金融、電信、交通、教育、醫(yī)療等能夠系統(tǒng)地接觸和獲取到公民信息的單位及其工作人員。自然人主體為特殊主體，即只能是國家機關或者金融、電信、交通、教育、醫(yī)療等單位的工作人員，而且應當僅限于因履行職責或者提供服務而有機會直接獲得公民個人信息的人員，非因業(yè)務關系而是通過道聽途說而獲得公民個人信息的上述單位人員不能直接構成本罪。單位主體是國家機關或者金融、電信、交通、教育、醫(yī)療等單位。這些單位或其工作人員，在履行工作職責和提供服務時合法知悉他人個人信息內容，但他們無權以此進行非法活動或商業(yè)活動。  [7]本罪的自然人主體出售、非法提供公民個人信息的行為應界定為行為人不是履行職務之內的行為，但出售、非法提供的公民個人信息是基于其履行職務時合法獲取的。  [8]
單位實施侵犯公民個人信息行為的情況也比較普遍。這里的“國家機關”，是指可以通過合法途徑獲得公民個人信息的機關，包括國家權力機關、行政機關、司法機關和軍事機關，如民政、統(tǒng)計、公安、計生、檔案管理等部門和人民法院、人民檢察院以及軍隊、各類黨組織等?！敖鹑凇笔侵笍氖陆鹑诨顒拥臋C構或金融部門，一般是指各種銀行、保險公司、信托投資公司、證券機構等其他金融機構，如中國人民銀行、政策性銀行和商業(yè)銀行?！半娦拧笔侵鸽娦挪块T和電信營業(yè)機構?！敖煌ā笔侵笍氖侣每秃拓浳锏冗\輸部門，如鐵路運輸、公路運輸、水路運輸以及航空運輸?shù)炔块T?！敖逃笔侵父骷壐黝悓W?；蚺嘤枡C構，包括民辦和公辦的教育機構?！搬t(yī)療”是指依據(jù)《 醫(yī)療機構管理條例》和《 醫(yī)療機構管理條例實施細則》的規(guī)定，經登記取得《醫(yī)療機構執(zhí)業(yè)許可證》的機構，如各級各類醫(yī)院、專門醫(yī)院、保健院、衛(wèi)生院、護理院、門診部、急救中心、社區(qū)診所等診療機構。
（二）出售、非法提供公民個人信息罪犯罪主體的理論分歧
關于本罪的犯罪主體，有一般犯罪主體和特殊犯罪主體的爭論，爭論的焦點在于對法條之中的“等”應當作何解釋。在漢語中，“等”既可以表示列舉后的收尾，也可以表示列舉未盡。如果是前者，那么，本罪的犯罪主體就是特殊犯罪主體，即承擔公共管理職能和公共服務職能的上述主體；如果是后者，那么，就相當于“以及其他單位”的含義，則本罪的主體就不僅限于上述帶有“公權力”色彩的特殊主體，只要是依據(jù)職責和服務獲取公民個人信息的單位（如各種辦理會員制的商家）都可能構成本罪，即本罪主體是一般主體。  [9]具體而言，對于本罪犯罪主體之范圍的觀點，主要有兩種對立的主張。
第一種主張是“一般主體”說，即“等外”說。如有觀點認為，本罪單位犯罪主體應該涵蓋所有單位，即將本罪規(guī)定犯罪主體中的“等”字作列舉未窮盡的解釋。這樣理解，似乎更有利于加強對個人信息權的全面保護。  [10]筆者認為，目前從公民個人信息受到侵害的客觀情況看，本罪的犯罪主體應作擴張性解釋，將合法收集公民個人信息的單位均作為本罪的犯罪主體。  [11]有觀點認為，結合我國當前社會現(xiàn)狀以及該條的立法目的，應采用一種相對確定性的概念界定，即除了國家機關或者金融、電信、交通、教育、醫(yī)療單位及工作人員以外，其他有機會掌握或了解公民個人信息的公用事業(yè)單位，比如電力、廣播電視、供熱單位及其工作人員也可構成本罪。因此，本罪的犯罪主體應為有機會掌握或了解公民個人信息的國家機關、公用事業(yè)單位及其工作人員。  [12]比如，旅游公司、賓館、餐飲企業(yè)、商場等單位也可能在提供服務過程中獲得公民的個人信息，這些單位或其工作人員也可以成為該罪的主體。  [13]應該看到，國家機關或者金融、電信、交通、教育、醫(yī)療等單位的工作人員較其他社會人員能更方便、更容易得到公民個人信息，實施侵犯個人信息行為的可能性更大。同時，由于特殊的主體身份要求上述單位必須恪守職業(yè)操守、維護政府公信力，對這些機構的工作人員以更嚴格的法律進行約束，是完全有必要的。然而，這并不意味著這些主體之外的其他人員，在符合此項法條所規(guī)定的行為要件時，可以不受刑事追究。  [14]
至于單位如何界定，我國 刑法總則第 三十條對此有明確的規(guī)定，包括單位是指什么，至于這個范圍，關鍵是看這個單位是不是負有依法取得和依法保密的權力義務，如果有此義務，其違反了此義務，那就有可能構成犯罪。認定單位是否構成出售、非法提供公民個人信息罪，應從以下三個方面作出認定：一是行為人出售、非法提供公民個人信息的行為必須在其職務范圍內進行的；二是行為人出售、非法提供公民個人信息的行為是以單位的名義進行的，并且是為了本單位的利益，而不是為了個人利益；三是出售、非法提供公民個人信息的行為達到構成犯罪的程度。  [15]此外，有觀點指出，從世界各國的立法例來看，對公民個人信息的 刑法保護中犯罪主體不是特定主體，通常只強調行為人的目的和動機，以及信息來源系其工作或職責所得，很少對行為人所處的崗位或領域進行限制，  [16]法律規(guī)定的追究刑事責任的主體比我國更寬。但《 刑法修正案（七）》中僅限于“國家機關或者金融、電信、交通、教育、醫(yī)療等單位的工作人員”，事實上，其他單位（例如中介機構、法律服務機構等）中的工作人員也同樣可能實施嚴重侵害公民個人信息的行為，如不將其納入打擊范圍，似乎與草案立法建議的初衷并不吻合。  [17]
值得注意的是，堅持“有限的一般主體說”的觀點認為，將刑法規(guī)制的范圍理解為僅僅限定在法條所列舉的五種單位之內，這顯然是不妥當?shù)摹Ｅc此同時，“等”未盡列舉的用法并不意味著 刑法將所有單位主體都納入調整范圍。  [18]但這里的列舉未盡卻只能限定在“擁有采集公民個人信息的公權力”的其他單位，而諸如購物網站、物流企業(yè)、獵頭公司、中介組織、市場調查公司、房地產公司，盡管也是泄漏公民個人信息的個人場所，但由于其并未擁有采集公民個人信息的公權力，自然就不能成為本罪的犯罪主體。對此，相反的觀點認為，對本罪的犯罪主體不能作過于僵硬機械之狹義理解，更不能將本罪主體限定在所謂“擁有采集公民個人信息的公權力”的單位或組織中的工作人員。因為僅從本罪“等”字的應有之義來看，其并未顯示立法者對本罪主體應作此種限制之意圖，否則，在本罪罪狀中，該條文完全可以用“國家機關或者金融、電信、交通、教育、醫(yī)療等擁有采集公民個人信息的公權力單位的工作人員”的表述，……既然立法者白紙黑字所書寫的法條文字并未明文規(guī)定將諸如購物網站、物流企業(yè)、獵頭公司、中介組織、市場調查公司、房地產公司的工作人員拒絕在外，就應當寬泛理解所謂的“立法原意”，而司法者也不必受這種“立法原意”的束縛，而放棄對購物網站、物流企業(yè)、獵頭公司、中介組織、市場調查公司、房地產公司的工作人員泄漏公民個人信息行為的處罰。  [19]
第二種主張是“特殊主體”說，即“等內”說。持特殊主體說的觀點認為，本罪的犯罪主體是特殊主體，即國家機關或者金融、電信、交通、教育、醫(yī)療等單位的工作人員。國家機關負有公共管理職能，金融、電信、交通、教育、醫(yī)療等單位肩負著為社會和大眾提供公共服務的職責，在這些機關或單位工作的人員，可以很容易接觸到大量公民個人信息。  [20]如有觀點認為，基于罪刑法定明確性的要求，刑法規(guī)范中的“等”原則上應解釋為“等內”。因此，本罪的犯罪主體應當是限定為國家機關工作人員以及特定單位的工作人員。從法條系統(tǒng)解釋的角度出發(fā)，對于本罪而言，第三款所規(guī)定的單位應是國家機關或者金融、電信、交通、教育、醫(yī)療等由其單位性質能夠獲取公民個人信息的單位，因此該罪的單位主體實際上是特殊主體而非一般單位主體。  [21]依筆者之見，如果 刑法對某一個犯罪規(guī)定自然人犯罪的主體是特殊主體的，其相應的單位犯罪的主體也應為特殊主體，即自然人與單位在主體的身份上應保持一致性。事實上，《 刑法修正案（七）》的立法規(guī)定，也傾向于將本罪中單位犯罪的主體限定于國家機關等公共服務機構。
三、出售、非法提供公民個人信息罪犯罪主體之立法完善
《 刑法修正案（七）》采用了列舉式方法來加以明確，但現(xiàn)實中故意泄露公民個人信息的遠非上述單位的工作人員，大量存在此類單位及其工作人員出售、非法提供公民個人信息，嚴重侵犯公民個人信息安全的情況。因此，《 刑法修正案（七）》對侵犯公民個人信息犯罪主體的規(guī)定引起了學界和實務界對下述問題的思考：
一方面， 刑法的目的是保護法益，法益成為 刑法解釋的重要客體。 刑法將非法獲取公民個人信息罪規(guī)定在侵犯公民人身權利、民主權利罪一章，保護的是普通民眾自身信息的私密性。如果將“單位”的范疇限定在金融、電信、交通等 刑法列舉的行業(yè)領域，則不利于對普通民眾個人信息的保護，亦不符合立法者打擊目前一些行業(yè)中濫用公民個人信息、侵害公民人身權利現(xiàn)象的立法目的。  [22]從國外的立法例來看，大多數(shù)國家和地區(qū)均選擇將法律不加區(qū)別地適用于公共部門（包括其工作人員）與私營部門（包括其工作人員以及普通個人）。例如，歐盟指令、歐洲理事會協(xié)定以及奧地利、波蘭、阿根廷等國的相關法律均作了基本相同的規(guī)定。因此，為加強對個人權利的保護，在刑事立法中對一般主體實施的嚴重侵犯公民個人信息的行為也予以刑罰約束，無疑已是時不我待的一項立法設計。  [23]另一方面，立法對侵犯公民個人信息犯罪的主體限定，勢必影響到實踐中司法打擊的范圍。除了《 刑法修正案（七）》所規(guī)定的工作人員之外，其他單位的工作人員同樣能夠接觸到大量公民個人信息。從應然的角度分析，其利用履行職責與提供服務上的便利非法出售或者提供公民個人信息，同樣應當受到 刑法的規(guī)制。對于同屬于侵犯個人信息且情節(jié)嚴重的行為，如果 刑法作出不同的規(guī)范認定，將會導致規(guī)范的不平等與打擊面的失衡。因此，侵犯公民個人信息罪的犯罪主體范圍尚可拓寬，而非局限于國家機關、金融、電信、交通、教育、醫(yī)療等領域的單位及其工作人員。
筆者認為，從 刑法保護的必要性看，主張將本罪主體擴大的觀點是可取的，但是，立法之所以未采納理論界的意見和世界多數(shù)國家的做法，也許是考慮到外國個人信息立法保護的現(xiàn)狀，在時機成熟時，再將犯罪主體范圍進一步擴大，可以通過以下途徑予以完善：
第一，修改立法，對侵犯公民個人信息犯罪的犯罪主體直接進行修正。目前除借助合理解釋對之予以明確外，還應考慮通過修法或至少以司法解釋將這些單位一并明確規(guī)定為本罪犯罪主體所涉單位。  [24]所以，可以在 刑法第 二百五十三條之一條第一款的堵截構成要件“等單位”之前加上“公共單位”或“服務機構”等類似的定語。
第二，根據(jù) 刑法解釋理論，可以對侵犯公民個人信息犯罪的犯罪主體范圍作出合理解釋和擴大解釋。本罪的犯罪主體應作出合理的解釋，將具有能夠較為系統(tǒng)地收集公民個人信息的單位及其工作人員均作為本罪的犯罪主體。  [25]在公民個人信息保護法尚末出臺之前，將本罪的主體限定在國家機關和提供公共服務的單位是有一定道理的。因為在目前我國的法律框架下，尚無商業(yè)機構侵犯公民個人信息的相關追責性規(guī)定，更無相應的行政處罰措施，如將其接納入刑法規(guī)制，與 刑法的謙抑性原則相違背。一旦公民個人信息保護法對商業(yè)機構侵犯公民個人信息作了相關追責性規(guī)定，并規(guī)定了相應的行政處罰措施，《 刑法修止案（七）》的犯罪主體應擴大解釋為一切單位和個人。  [26]
第三，根據(jù)現(xiàn)實需要，適時頒布立法解釋和司法解釋，擴大侵犯公民個人信息罪的犯罪主體范圍，將非特定主體納入 刑法視野。不像國家機關等單位的工作人員有諸多“前置法”的保護個人信息具體義務的規(guī)定，其他組織和人員對公民個人信息的保護義務往往沒有“前置法”的明確規(guī)定，其義務主要散見于 憲法和 民法通則等法律中的原則性規(guī)定。根據(jù)犯罪圈設定的“必要且最小”原則的要求，并結合當前我國的實際情況，除國家機關、金融、電信、交通、教育、醫(yī)療等之外的其他單位及其工作人員，還不宜納入犯罪圈……因為《 刑法修正案（七）》對該罪是一個開放性的規(guī)定，當入罪的需要產生之后，仍然存在著在不修改法律現(xiàn)有規(guī)定的前提下而對其他一般主體的侵害行為予以犯罪化處理的余地……有關該罪犯罪主體的規(guī)定就是一個類型性、伸縮性的概念描述。從長遠來看，適當擴大本罪的犯罪主體范圍是不可避免的。  [27]立法者或者司法者可以隨時通過頒布立法解釋和司法解釋的形式，根據(jù)需要適當擴大侵犯個人信息犯罪的主體范圍，對侵犯個人信息犯罪的主體要件進行填充，視情況將非特定主體納入 刑法視野，以滿足刑事調整的需求。
［編輯：喻建立

］