大數據時代 刑法如何保護公民個人信息

近些年來，在信息化數據化的大背景下，個人信息被非法傳播和使用的案件層出不窮。民法、行政法以及刑法等所構建的法律體系對于公民個人信息安全的保護也實為必要。

刑法體系

2009年2月28日，全國人大常委會《刑法修正案（七）》增設了“侵犯公民個人信息罪”，2015年8月29日全國人大常委會《刑法修正案（九）》第十七條修訂，將該罪主體由特殊主體修改為一般主體，增設了從重處罰的規定，并將本罪法定最高刑由三年有期徒刑提高到了七年有期徒刑。

為精準打擊侵犯公民個人信息犯罪，2017年5月9日，最高人民法院、最高人民檢察院聯合發布《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（下稱《解釋》），自2017年6月1日起施行。從企業“合規”的角度而言，如何利用大數據技術采集使用個人信息，甚至在銷毀時如何做到徹底的“脫敏”處理，成為了各企業“合規”的重要方面。

三維度劍指合規

首先，明確“公民個人信息”的范圍?！督忉尅穼Α肮駛€人信息”的范圍予以了明確規定：“指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等?！?

筆者認為，刑法上“公民個人信息”的界定與其他法律并不沖突，“等”字以兜底的方式明確了全面信息保護的現實需要，同時要符合前述“可識別性”的本質特征。根據《最高人民法院關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》（2014）、《電信和互聯網用戶個人信息保護規定》（2013）等相關規定，受法律保護的個人信息包括：其一，自然人姓名、出生日期、身份證件號碼、住址、聯系方式、賬號和密碼等能夠單獨或者與其他信息結合識別用戶的信息以及用戶使用服務的時間、地點等信息；其二，基因信息、病歷資料、健康檢查資料、犯罪記錄、家庭住址、私人活動等個人隱私和其他個人信息。對于金融消費者來說，根據國家工商行政管理總局的相關規定，消費者的性別、職業、收入和財產狀況、健康狀況、消費情況等能夠單獨或者與其他信息結合識別消費者的信息的都屬于法律保護范圍。

其次，“內鬼”入罪門檻降低?！督忉尅返谖鍡l規定：“將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數量或者數額達到司法解釋規定的相關標準一半以上的，即可認定為‘情節嚴重’，構成犯罪?！贬槍︺y行、工商、電信以及證券、快遞等行業內部人員泄露數據的行為提供了更為容易打擊的法律基礎。

同時，《解釋》還明確了網絡服務者應有的信息網絡安全管理義務，“網絡服務提供者拒不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，致使用戶的公民個人信息泄露，造成嚴重后果的，應當依照刑法第二百八十六條之一的規定，以拒不履行信息網絡安全管理義務罪定罪處罰?！本W絡服務者擁有強大的信息綜合實力，其具有信息聚合的優勢，則應在“技術可能性”即根據特有的網絡技術環境以及現有的網絡技術，確實可以客觀完成的情況下，履行相應的信息網絡安全管理義務。

第三，罰金力度加大?！督忉尅返谑l規定：“對于侵犯公民個人信息犯罪，應當綜合考慮犯罪的危害程度、犯罪的違法所得數額以及被告人的前科情況、認罪悔罪態度等，依法判處罰金。罰金數額一般在違法所得的一倍以上五倍以下?！庇捎谇址腹駛€人信息的行為大多主觀目的為非法謀取利益，因此，財產刑力度的加大可以有效剝奪其犯罪的經濟基礎。

值得注意的是，侵犯公民個人信息罪與第二百八十五條“非法獲取計算機信息系統數據罪”存在想象競合，從一重罪處罰的情況。根據《關于辦理危害計算機信息系統安全刑事案件應用法律若干問題的解釋》的規定：“（一）非法獲取支付結算、證券交易、期貨交易等網絡金融服務的身份認證信息10組以上的；（二）獲取第（一）項以外的身份認證信息500組以上的”認定為“情節嚴重”情形。因此，在金融服務領域，如何區分身份認證信息與公民個人信息，如何界定行為人客觀行為是否構成相應法益的侵害，如何判斷行為人的主觀目的都將成為界定此罪與彼罪的關鍵。