為了打擊愈加猖狂的侵害公民個人信息行為，2009年出臺的《刑法修正案（七）》將出售、非法提供、非法獲取公民個人信息的行為認(rèn)定為犯罪，為保護(hù)公民個人信息奠定了刑法基礎(chǔ)。但時隔六年以來，立法再無新增相關(guān)的法律條文或司法解釋對本罪的具體認(rèn)定予以規(guī)范，造成司法實踐中對于本罪的適用存在較多的問題。新出臺的《刑法修正案（九）》雖然對本罪條文進(jìn)行了修改，擴(kuò)大了犯罪主體的范圍以及增加了“情節(jié)特別嚴(yán)重”情形下的法定刑檔次，卻并沒有涉及審判實踐中最為關(guān)心的“個人信息”和“情節(jié)嚴(yán)重”的認(rèn)定標(biāo)準(zhǔn)問題。在當(dāng)前侵害個人信息犯罪呈現(xiàn)高發(fā)態(tài)勢的背景下，《刑法》第二百五十三條之一的規(guī)定獨(dú)木難支。本文即在此基礎(chǔ)上對侵害公民個人信息罪定罪標(biāo)準(zhǔn)的相關(guān)問題展開研究。

    一、現(xiàn)狀探究：信息類別的認(rèn)定差異與“情節(jié)嚴(yán)重”的自由裁斷

    本文對S市轄區(qū)內(nèi)所有法院自《刑法修正案（七）》頒布后至2015年4月30日期間審理的侵害公民個人信息類案件進(jìn)行了梳理和統(tǒng)計，其中一審案件共142件，涉案人數(shù)278人，出售、非法提供公民個人信息犯罪17件，非法獲取公民個人信息犯罪125件。在這142起案件中，法官在對個人信息類型的認(rèn)定和在“情節(jié)嚴(yán)重”的判斷上存在明顯的差異。

    （一）個人信息類別的認(rèn)定種類繁多

   圖表1：個人信息類別的司法認(rèn)定情況

    從上表可以看出，法官對公民個人信息的認(rèn)定錯綜復(fù)雜，跨類繁多。在信息類型上，既有身份信息、財產(chǎn)信息、交易信息，還有行蹤信息、通話信息、教育信息等，幾乎囊括了個人生活的各個方面。在沒有對公民個人信息下一個準(zhǔn)確定義前，法官們只能憑借自身的經(jīng)驗和社會的一般評價進(jìn)行規(guī)范的構(gòu)成要件要素的判斷，而這也是造成目前公民個人信息認(rèn)定混亂的主要原因。

    （二）“情節(jié)嚴(yán)重”的判斷彈性較大

    圖表2：“情節(jié)嚴(yán)重”的司法認(rèn)定情況

   從上表反映的情況來看，司法實踐中對“情節(jié)嚴(yán)重”的判斷主要集中在信息數(shù)量、信息類型、營利數(shù)額等六個方面。不僅考量范圍不全面，而且在這六種情形當(dāng)中也存在認(rèn)定上的差異。例如在信息數(shù)量這一情節(jié)中，認(rèn)定的標(biāo)準(zhǔn)就存在較大的不同，既有以萬為單位認(rèn)定侵害公民個人信息數(shù)量巨大，情節(jié)嚴(yán)重的；也有以幾十條個人信息認(rèn)定行為人構(gòu)成犯罪的。

    二、路徑探索：個人信息的刑法認(rèn)定

    （一）國內(nèi)外研究現(xiàn)狀

    目前，國內(nèi)刑法理論界對于公民個人信息的概念存在著不同的學(xué)術(shù)主張，主要集中在關(guān)聯(lián)說、隱私說和識別說的爭論上。關(guān)聯(lián)說認(rèn)為，凡是與個人存在關(guān)聯(lián)的信息都屬于個人信息，如“公民個人信息是指以任何形式存在的、與公民個人存在關(guān)聯(lián)并可以識別特定個人的信息。其外延十分廣泛，幾乎有關(guān)個人的一切信息、數(shù)據(jù)或者情況都可以被認(rèn)定為個人信息”。隱私說認(rèn)為，只有與個人隱私相關(guān)的才屬個人信息，如“個人信息是指社會成員中大部分人不愿向外透露的信息；還包括不愿他人知道的個人極其敏感的信息（如大部分社會成員并不在意其他社會成員知道自己的身高，但有的人對自己的身高卻極為敏感，不愿被他人知道）”。識別說認(rèn)為，公民個人信息是指姓名、職業(yè)、職務(wù)、年齡、婚姻狀況、學(xué)歷、專業(yè)資格等能夠識別公民個人身份的信息。

    而在國外的立法研究中，各國對公民個人信息的定義也存在著差別。例如，美國將個人信息的保護(hù)歸入隱私保護(hù)之中。其對隱私權(quán)的定義為：“個人對控制個人信息范圍的請求權(quán)，在這一范圍內(nèi)主體收集、披露和利用確認(rèn)為自己的信息?！倍鴼W洲諸國在立法中則多沿用個人數(shù)據(jù)這一概念。在其法律語境中的個人數(shù)據(jù)是指設(shè)定了一定限制或者說出于某一目的而甄別出來一組個人信息，包括已識別信息主體身份的信息和可用來識別信息主體身份的信息。日本在《個人信息保護(hù)法》第二條中規(guī)定：“所謂個人信息就是指有關(guān)活著的個人的信息，根據(jù)該信息所含有姓名、出生年月以及其他一些描述，能把該個人從他人中識別出來的與該個人相關(guān)的信息?！?/p>

    （二）刑法認(rèn)定的基礎(chǔ)：個人信息的識別性

    比較國內(nèi)理論界和國外立法對個人信息的定義，可以看到，對個人信息概念定義的差別主要集中在識別性和隱私性兩種分歧上。關(guān)聯(lián)說對個人信息的定義較為寬泛，其將所有與個人相關(guān)的信息都囊括其中，“以任何形式存在并與個人存在關(guān)聯(lián)的信息”涵蓋了社會生活的各個方面，其概念仍然具有模糊性，不利于司法實踐中對個人信息的準(zhǔn)確認(rèn)定；而且事實上任何信息都能與不特定的人沾上千絲萬縷的關(guān)系，如果將所有與個人相關(guān)聯(lián)的信息都納入刑法保護(hù)范圍，也容易造成犯罪打擊面的擴(kuò)大化。因此，本文并不贊同關(guān)聯(lián)說。

   而在識別性與隱私性之中，本文傾向于將識別性作為認(rèn)定個人信息的核心屬性。理由在于：第一，相對于識別性而言，隱私性并沒有一個符合社會一般標(biāo)準(zhǔn)的定義，是否屬于個人私密領(lǐng)域，是需要通過權(quán)利人的主觀感受來進(jìn)行辨認(rèn)和定奪的。同樣類別的個人信息，有的人認(rèn)為屬于隱私，而另外的人卻并不介意公開。以隱私性作為個人信息的核心屬性并不能做到有效甄別和區(qū)分。第二，個人隱私與個人信息并不完全等同，部分個人信息雖然可以公開，但仍然應(yīng)當(dāng)在法律的保護(hù)范圍內(nèi)。法律對個人信息的保護(hù)不僅僅是對于個人隱私的保護(hù)，更重要的是對社會秩序的保護(hù)，保障社會個人免受因信息泄露而可能遭受的危害。第三，信息泄露的危害在于獲取信息者能夠通過信息鎖定特定的個人，并通過信息反映的特定個人的具體情況，進(jìn)行有針對性的侵害行為甚至犯罪行為。保護(hù)公民個人信息本質(zhì)上就是為了保障根據(jù)個人信息所識別出來的每一個具體個人享有的免受侵害而正常生活的權(quán)利。因此，以識別性作為個人信息的核心屬性，能夠合理地涵蓋刑法所應(yīng)保護(hù)的范圍，從而有效、精確地打擊犯罪，保護(hù)公民合法權(quán)益。  

   （三）刑法認(rèn)定的路徑：構(gòu)建不同類型個人信息效力等級的計算框架

   在確定公民個人信息的核心屬性后，我們回到圖表1所反映的問題：個人信息認(rèn)定的雜亂無序和跨類繁多。根據(jù)統(tǒng)計情況來看，實踐中認(rèn)定的個人信息類型大概有身份信息、財產(chǎn)信息等6大類，姓名、電話、地址等22小類。但同時，未明確認(rèn)定個人信息類型的案件有52起，占到總數(shù)的36.6%。顯然，這52起案件中的個人信息能否成為適格的犯罪對象，法官并不能作出有效判定。那么，哪些信息單獨(dú)或同時存在時能夠達(dá)到可識別性的要求，從而成為適格的犯罪對象呢？本文認(rèn)為可以從以下幾個方面進(jìn)行考慮。

    1.劃定個人信息識別效力等級

   個人信息的基本功能在于識別特定的個人，而不同種類的信息在識別能力上是不同的，因此，雖然較多種類的信息都屬于刑法保護(hù)的范圍，但并非每一類信息都能獨(dú)立成為本罪的犯罪對象。在司法實踐中認(rèn)定本罪的個人信息時，就需要先對信息的識別效力進(jìn)行分類和劃定，可以包括以下三類：第一，唯一性信息。如身份證號、指紋、DNA鑒定等，該類信息為個人唯一專有，具有完整的識別能力，即使群體眾多，也能從中毫無差錯地識別出單獨(dú)的個人。第二，有效性信息。如姓名、電話、消費(fèi)記錄等。該類信息一般情況下為個人專有，但并不具有唯一性，存在重復(fù)的可能。第三，共享性信息。如年齡、職業(yè)、學(xué)校等。該類信息并非個人專有，而是部分群體共同享有的信息，識別效力較低。在效力等級上，唯一性信息>有效性信息>共享性信息。

   2.構(gòu)建個人信息識別效力計算框架

    在劃定的個人信息識別效力等級中，屬于第一層級的唯一性信息識別效力最高，如指紋、DNA等生物性信息屬于先天個人專屬信息，以目前醫(yī)學(xué)角度來看，每個人的DNA結(jié)構(gòu)都各不相同，能夠直接鎖定特定的個人。與此相類似，身份證號等標(biāo)識性信息屬于后天個人專屬信息，是國家為了進(jìn)行有效地識別和區(qū)分個人而設(shè)立的信息，其本身存在的功能即是個體識別，也具有最高識別效力。因此，屬于該第一層級的信息是以點(diǎn)對點(diǎn)的形式對應(yīng)獨(dú)立的個人，故其單獨(dú)存在也達(dá)到了可識別性的標(biāo)準(zhǔn)。

    屬于第二層級的為有效性信息，該類信息識別效力較高，但因其存在重復(fù)的可能性而無法直接對應(yīng)具體個人，例如姓名、電話等信息在一定范圍內(nèi)足以識別單獨(dú)的個人，但當(dāng)搜索范圍擴(kuò)大時其具有的識別效力將明顯降低，屬于該第二層級的信息所對應(yīng)的多人可以用線段的形式予以表達(dá)，而想要憑借線段識別獨(dú)立的點(diǎn)，就需要至少兩條以上的線段進(jìn)行交叉。因此，屬于該層級的信息獨(dú)立存在不能達(dá)到可識別性的標(biāo)準(zhǔn)，只有包含有兩條以上該層級信息的個人信息才符合標(biāo)準(zhǔn)。以目前司法實踐認(rèn)定情況來看，姓名和電話的組合是認(rèn)定個人信息的最低要求，其即是包含了兩條以上的有效性信息。

   屬于第三層級的為共享性信息，此類信息因由部分群體共享，所以每一信息所識別的都是對應(yīng)的群體，例如職業(yè)、學(xué)校等信息所包含的個體繁多，很難識別單獨(dú)的個人。屬于該第三層級的信息所對應(yīng)的群體可以用圓的形式予以表達(dá)，而無論多少圓的交叉，其所共同涵蓋的區(qū)域只是不斷縮小范圍而無法成為獨(dú)立的點(diǎn)。因此，屬于第三層級的信息即使數(shù)量眾多，也無法達(dá)到可識別性的標(biāo)準(zhǔn)。

    當(dāng)三個層級的信息互有存在時，需要考慮的是后兩個層級的信息組合如何達(dá)到可識別的標(biāo)準(zhǔn)的問題，即存在一條有效性信息和多條共享性信息時是否符合標(biāo)準(zhǔn)。同樣以圖形的形式予以模擬，當(dāng)存在一條有效性信息和一條共享性信息時，此時線段和圓的交叉的結(jié)果可能存在一個點(diǎn)，也可能為兩個點(diǎn)。例如當(dāng)個人信息包含姓名和單位時，一般情形下足以準(zhǔn)確地識別個人（此時即交叉結(jié)果為一個點(diǎn)），但不排除同一單位同姓名的人存在（此時即交叉結(jié)果為兩個點(diǎn)）。當(dāng)存在一條有效性信息和兩條共享性信息時，此時線段和圓的交叉的結(jié)果可能有唯一點(diǎn)（即線段通過兩圓切面）。因此，當(dāng)不同層級信息混雜時，至少需要一條有效性信息和兩條共享性信息才符合可識別性標(biāo)準(zhǔn)。當(dāng)然，此處借助圖形模擬分析是為了方便和直觀，司法實踐中對于不同層級信息混雜的，仍然需要在此基礎(chǔ)上結(jié)合具體信息種類予以最后認(rèn)定。

    3.最終認(rèn)定路徑和體系

    綜上，公民個人信息的具體認(rèn)定路徑包括：第一步，按照效力等級將個人信息予以分類；第二步，將不同等級的個人信息予以組合；第三步，將組合后個人信息按照計算標(biāo)準(zhǔn)予以認(rèn)定；第四步，確定最終是否構(gòu)成公民個人信息。

    三、標(biāo)準(zhǔn)構(gòu)建：“情節(jié)嚴(yán)重”的規(guī)范框架

    根據(jù)《刑法》第二百五十三條之一的規(guī)定，本罪只有在對公民個人信息的侵害達(dá)到某種嚴(yán)重程度時才構(gòu)成犯罪，情節(jié)是否嚴(yán)重是判斷行為人是否構(gòu)成犯罪的標(biāo)準(zhǔn)。目前理論界對本罪情節(jié)嚴(yán)重的判斷標(biāo)準(zhǔn)主要有：三因素說、四因素說、五因素說等。這些觀點(diǎn)從信息數(shù)量、行為次數(shù)等多個方面對影響情節(jié)嚴(yán)重的要素進(jìn)行了不同程度的列舉，但單獨(dú)分析每一個觀點(diǎn)，我們可以看到無論是幾因素說，其對情節(jié)嚴(yán)重的因素考量都沒有在一個完整的邏輯框架下進(jìn)行分析和論證，其在列舉上都缺乏周延性。例如從圖表2所列舉的6種情形來看，上述觀點(diǎn)對獲取信息的類型、獲取手段等情節(jié)都沒有進(jìn)行考量，而且在各種情節(jié)的具體認(rèn)定標(biāo)準(zhǔn)上也沒有進(jìn)行探討并給出適用建議。

    本文贊同張明楷教授的觀點(diǎn)，“情節(jié)嚴(yán)重”作為一種概括性的定罪情節(jié)，其內(nèi)涵與外延應(yīng)當(dāng)從犯罪的客體、客觀方面、主體、主觀方面等多角度予以考察。要具體考量影響定罪的情節(jié)，并不能單純地從個罪的角度出發(fā)，仍應(yīng)當(dāng)回到犯罪構(gòu)成的邏輯框架當(dāng)中，以之為基礎(chǔ)和角度對個罪進(jìn)行全方面的考察。在這樣一個整體邏輯框架下進(jìn)行要素考量，能夠較為全面地考察影響定罪的各項因素，從而避免遺漏。

   （一）不同類別信息的差異標(biāo)準(zhǔn)構(gòu)建

    侵害公民個人信息罪的犯罪客體是公民的個人信息權(quán)，犯罪對象即是公民的個人信息。因此，在客體因素方面，對情節(jié)嚴(yán)重的認(rèn)定結(jié)合圖表2所反映的情況主要考量侵害公民個人信息的數(shù)量和類型兩個方面。

   1.個人信息的數(shù)量。個人信息的數(shù)量即指行為所具體侵害的個人信息的條數(shù)。以個人信息的數(shù)量作為量化的標(biāo)準(zhǔn)，最能直接地反映本罪行為的社會危害性。在具體標(biāo)準(zhǔn)方面，有學(xué)者提出可以參照傳播淫穢電子信息相關(guān)司法解釋的規(guī)定，以一萬條信息作為本罪“數(shù)量較大”的具體標(biāo)準(zhǔn)。本文對此并不贊同。首先，淫穢電子信息雖然與個人信息共有“信息”二字，但二者本質(zhì)相距甚遠(yuǎn)。淫穢電子信息的傳播范圍并不廣泛，所造成的社會危害性也較小，而公民個人信息則牽連著公民個人的人身安全和財產(chǎn)安全，其被侵害后極易引發(fā)后續(xù)詐騙、敲詐勒索等犯罪的發(fā)生，具有更為嚴(yán)重的社會危害性。其次，由于目前本罪取證困難，對行為人交易記錄、存儲的信息等均需要固定電子證據(jù)，造成司法實踐中很多案件對信息數(shù)量難以進(jìn)行有效認(rèn)定。從圖表1反映的情況看，在對信息數(shù)量的112次認(rèn)定中，有42次認(rèn)定的信息數(shù)量是不足一萬條的，占比高達(dá)37%。因此，如果硬性以一萬條作為標(biāo)準(zhǔn)，將很難起到震懾犯罪的作用。在這里，本文認(rèn)為可以參照《最高人民法院、最高人民檢察院關(guān)于辦理詐騙刑事案件具體應(yīng)用法律若干問題的解釋》（以下簡稱《詐騙解釋》）第五條第二款第一項的規(guī)定：“利用發(fā)送短信、撥打電話、互聯(lián)網(wǎng)等電信技術(shù)手段發(fā)送詐騙信息五千條以上的，以詐騙罪（未遂）定罪處罰”，以五千條作為侵害公民個人信息定罪處罰的基準(zhǔn)。

    2.個人信息的類型。在同等識別效力下，個人信息依照其敏感程度的不同而劃分為不同的類型。無論是個人一般信息還是隱私信息，都可能成為被侵害的對象。信息的敏感程度不同，所屬的權(quán)重就不同，天平兩端重量的傾斜不僅取決于砝碼的數(shù)量，也取決于砝碼的質(zhì)量。如果犯罪行為侵害的是個人敏感信息，即使數(shù)量較少其對社會的危害并不一定比數(shù)量較多的普通信息更輕。在敏感程度上，按照信息類別從高到低劃分為：個人隱私信息>個人金融信息>個人身份信息。

    綜上，本文認(rèn)為，侵害個人身份等普通信息的應(yīng)以五千條作為情節(jié)嚴(yán)重的標(biāo)準(zhǔn)，侵害個人金融信息的應(yīng)以二千五百條作為情節(jié)嚴(yán)重的標(biāo)準(zhǔn)，侵害個人隱私信息的應(yīng)以一千條作為情節(jié)嚴(yán)重。