收集提供公开个人信息未获二次授权同意，仍然有可能被定构成侵犯公民个人信息罪

徐某A、范某B、李某C等侵犯公民个人信息罪二审刑事裁定书

  审理法院：福建省泉州市中级人民法院

  案号：(2020)闽05刑终155号   

  案由：刑事

  原公诉机关福建省安溪县人民检察院。

  上诉人（原审被告人）徐某A，因本案于2018年10月18日被安溪县公安局抓获，同年10月19日被刑事拘留，同年11月24日被逮捕。现羁押于安溪县看守所。

  原审被告人范某B，因本案于2018年9月14日被抓获，同年9月15日被刑事拘留，同年9月29日被逮捕。现羁押于安溪县看守所。

  原审被告人李某C，因本案于2018年8月3日被安溪县公安局抓获，同年8月4日被刑事拘留，同年9月7日被逮捕。现羁押于安溪县看守所。

  原审被告人李某D，因本案于2018年9月11日被安溪县公安局抓获并刑事拘留，同年9月29日被逮捕。经本院决定，于2020年3月10日被取保候审。现在家候审。

  安溪县人民法院审理安溪县人民检察院指控原审被告人范某B、徐某A、李某C、李某D犯侵犯公民个人信息罪一案，于2019年12月6日作出（2019）闽0524刑初397号刑事判决。原审被告人徐某A不服，提出上诉。本院依法组成合议庭，于2020年8月18日公开开庭审理了本案。泉州市人民检察院指派检察员出庭履行职务，上诉人徐某A及其辩护人到庭参加诉讼。现已审理终结。

  原审判决认定，2017年9月至2018年9月间，被告人范某B利用手机ＱＱ和微信联系，向被告人徐某A等人购买公民个人信息，非法获取公民个人信息共计481758条，并将部分公民个人信息出售给李某2（已判决）等人，从中获利11634.88元。

  2017年9月至2018年9月间，被告人徐某A通过网络非法获取公民个人信息，并将414994条公民个人信息出售给被告人范某B，从中获利12420元。

  2017年10月至2018年8月间，被告人李某C利用手机ＱＱ和微信联系，向微信好友购买公民个人信息，非法获取公民个人信息共计57729条，其中可能影响人身、财产安全的公民个人信息18502条；并将部分信息出售给李某1（已判决）等人，从中获利3130元。

  2017年8月至2018年9月间，被告人李某D利用手机ＱＱ和微信联系，向微信好友购买公民个人信息，非法获取公民个人信息共计43393条，并将部分公民个人信息出售给薛某（已判决）等人，从中获利2750元。

  一审审理过程中，被告人范某B向法院退缴了违法所得11,634.88元；被告人李某C退缴了违法所得3,130元及预缴罚金5,000元；被告人李某D退缴违法所得2,750元及预缴罚金5,000元。

  原判认定上述事实的证据有：证人李某1、薛某、李某2的证言、受案登记表、立案决定书、扣押笔录、扣押清单、查获现场照片、提取笔录、公民个人信息统计表、统计情况说明、信息抽样核实情况、微信、支付宝交易记录、搜查笔录、涉案手机、电子证物检查记录、人员基本信息表、人口信息查询表、户籍证明、罚没款收据、到案经过、被告人范某B、徐某A、李某C、李某D的供述等。

  原判认为，被告人徐某A关于其涉案信息条数的辩解，经查，其通过网络非法获取公民个人信息414994条出售给范某B获利12420元的事实。有电子证物检查记录、支付宝交易明细、徐某A、范某B的聊天记录、涉案公民个人信息统计表及信息抽样核实情况及徐某A、范某B的供述相互印证，足以认定；徐某A供述，其每条信息出售价格2至3分共获取12420元，亦佐证了该事实。故其辩解不予采纳。

  被告人范某B、徐某A、李某C、李某D非法获取公民个人信息予以出售获利，其行为均已构成侵犯公民个人信息罪，其中范某B、徐某A、李某C属情节特别严重，李某D属情节严重。公诉机关指控四被告人犯侵犯公民个人信息罪的罪名成立。范某B、李某C、李某D归案后能如实供述自己的罪行，徐某A如实供述自己主要罪行，均予以从轻处罚；被告人范某B已退缴了违法所得款，李某C、李某D退缴了违法所得款及预交罚金，均酌情从轻处罚。徐某A及其辩护人提出的本案中信息属于公开信息，不应当认为是犯罪的辩护意见，经查，根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第三条第二款的规定，未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外，故该辩护意见不予采纳；提出被告人徐某A如实供述的辩解意见，因徐某A认为范某B的电子文档可能被编辑过，对提取该电子文档的信息条数提出质疑，故只可认定其如实供述主要的犯罪事实；关于宣告缓刑的辩护意见，其因涉嫌犯侵犯公民个人信息罪被取保候审期间再犯侵犯公民个人信息罪，主观恶性较大，不宜适用缓刑；关于应考虑本案部分信息条数存在错误的可能性，建议对其从轻处罚的辩护意见，予以采纳。辩护人提出的本案侵犯公民个人信息的条数应该当根据出售的条数来认定的辩护意见，经查，根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第十一条第三款的规定，对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。本案中在认定信息条数时已将重复的信息条数予以扣除，故该辩护意见不予采纳。辩护人提出的被告人李某D获利较小，如实供述自己的罪行，全部退赃，系初犯，有悔罪表现，请求从轻处罚的辩护意见，予以采纳。为维护社会秩序，保护公民个人信息权利不受侵犯，根据四被告人的犯罪事实、情节及认罪态度，依据《中华人民共和国刑法》第二百五十三条之一第一款、第三款、第六十七条第三款、第六十四条及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第三条、第四条、第五条、第六条、第十一条、第十二条之规定，判决：一、被告人范某B犯侵犯公民个人信息罪，判处有期徒刑三年四个月，并处罚金人民币一万五千元。二、被告人徐某A犯侵犯公民个人信息罪，判处有期徒刑三年二个月，并处罚金人民币一万五千元。三、被告人李某C犯侵犯公民个人信息罪，判处有期徒刑三年，并处罚金人民币五千元（已缴交）。四、被告人李某D犯侵犯公民个人信息罪，判处有期徒刑一年六个月，并处罚金人民币五千元（已缴交）。五、追缴被告人徐某A的违法所得款12420元和被告人范某B、李某C、李某D分别退缴在本院的违法所得款11634.88元、2750元、3130元，均予以没收，上缴国库。六、没收被告人范某B、徐某A、李某C、李某D被扣押的作案工具电脑一台、手机七部。

  上诉人徐某A诉称，一、一审判决据以裁判的证据取得程序违法，系非法证据，依法当予以排除，且审判程序存在瑕疵，其虽提供企业信息给范某B，但电子数据极易被编辑、复制，不能确定从范某B处所提取的电子数据未被编辑过。根据《最高人民法院、最高人民检察院、公安部关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第十四条的规定，公安机关办理刑事案件在提取手机电子数据的过程中，应当制作笔录，记录案由、对象、内容、收集、提取电子数据的时间、地点、方法、过程，并附电子数据清单，注明类别、文件格式、完整性校验值等。公安机关出具的“范某B存储公民个人信息统计表”中未载有文档的完整性校验值，其要求当庭出示涉案的相关Ｅｘｃｅｌ文档供核对，以确认相关Ｅｘｃｅｌ文档是否存在被增加、删除、修改等影响电子数据真实性的情形。从公安机关对范某B所作的提取笔录所显示的提取时间是2018年9月15日16时20分至2018年9月15日16时43分，但随案移送的Ｅｘｃｅｌ文档仅有三份文档（即“吉林长春2018部分”“兰州201803”“云南玉溪2018”）是在该时间段提取，而其他218份文档的提取时间均不在该时间段。二、其所出售的信息是公开的企业信息，并非公民个人信息，关于包含企业法定代表人及其履行职务所公示的联系方式在内的信息能否作为公民个人信息来处理，国家相关法律、司法解释及行政法规已早有论断。《征信业管理条例》第十三条规定，采集个人信息应当经信息主体本人同意，未经本人同意不得采集。但是，依照法律、行政法规规定公开的信息除外。企业的董事、监事、高级管理人员与其履行职务相关的信息，不作为个人信息。《企业信息公示暂行条例》第八条规定，企业应当于每年1月1日至6月30日，通过企业信用信息公示系统向工商行政管理部门报送上一年度报告，并向社会公示。第九条规定，企业年度报告内容包括：（一）企业通信地址、邮政编码、联系电话、电子邮箱等信息。……前款第一项至第六项规定的信息应当向社会公示，第七项规定的信息由企业选择是否向社会公示。经企业同意，公民、法人或者其他组织可以查询企业选择不公示的信息。根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条规定，“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。也就是说，公民针对的主体是自然人，不包含单位（企业）与死者在内。三、一审判决适用法律错误，关于公开的公民个人信息获取后出售或者提供的行为，是否需要权利人“二次授权”，目前法律法规和部门规章缺乏明确规定。最高人民法院喻海松在《侵犯公民个人信息罪司法解释理解与适用》一书中认为，在此背景下，除相关权利人要求“二次授权”的外，宜推定存在概括同意，不宜对收集后出售或者提供的行为要求“二次授权”，也就不应认为行为人出售或者“违反国家有关规定”。《信息安全技术个人信息安全规范》规定，个人信息控制者所收集、使用的个人信息系个人信息主体自行向社会公众公开的、从合法公开披露的信息中收集的无需征得个人信息主体的授权同意。四、其在本案中存在不可回避的违法性认知错误，最高人民法院核心刊物《人民法院报》刊载了《公民个人信息刑法保护的例外》一文指出“企业公开信息中的自然人信息不受刑法保护”。《征信业管理条例》第十三条规定，采集个人信息应当经信息主体本人同意，未经本人同意不得采集。但是，依照法律、行政法规规定公开的信息除外。企业的董事、监事、高级管理人员与其履行职务相关的信息，不作为个人信息。张明楷教授在其《刑法学》一书中也指出，行为人遵从最高人民法院的判例产生了违法性的错误时，或者在判例有分歧，行为人遵从了上级法院的判例而产生了违法性的错误时，以及行为人信赖了主管机关的见解产生了违法性的错误时，均应认定为不可避免的错误。其是一家征信公司的老板，对《人民法院报》刊载的案例及《征信业管理条例》第十三条规定产生了合理信赖，其缺乏违法性的认识具有“相当的理由”，可以阻却责任的成立。综上，其不构成非法侵犯公民个人信息罪，请求二审法院对其改判无罪。其辩护人以基本相同的理由提出辩护意见。

  出庭检察员提出，关于徐某A称一审法院据以裁判的证据取得程序违法，系非法证据，依法应当予以排除，不得作为案件处置的依据，且审判程序存在瑕疵的问题。经审查，侦查机关在扣押和提取证据的过程中，均有见证人见证，原审被告人签字确认，程序合法。徐某A提及信息容易被篡改，但是却没有提出具体的证据证实上述信息有被篡改过，仅是其主观臆断。关于徐某A所提及的公安机关对范某B所作的提取笔录所显示的提取时间是2018年9月15日16时20分至2018年9月15日16时43分，但随案移送的Ｅｘｃｅｌ表格文档仅有三份文档（即“吉林长春2018部分”“兰州201803”“云南玉溪2018”）是在该时间段提取，而其他218份文档的提取时间均不在该时间段的问题，公安机关已经出具工作说明对该问题进行解释。关于徐某A及其辩护人称一审法院错误认定事实，徐某A所出售的信息是公开的企业信息，并非公民个人信息的问题。经审查，公安机关抽样进行查询并电话联系企业法人核实，未发现有企业法人授权“企查查”等在网上公布法人的手机号码，经公安机关随机抽取公司或商户的手机号码，被核实对象均表示手机号码为本人私人号码且未授权网上公开。因此，该部分信息非行为人主动公开的公民个人信息，属于被核实对象的私人手机号码，应认定为公民个人信息，即便是公开的信息，公开性也并非公民个人信息的排除事由，国家企业信用信息公示系统通过合法渠道收集工商企业信息并进行网络公开，其设立目的是方便民众查询以确认该企业信息是否真实有效。可以推断，在该系统进行公开之前，需要经过被收集者（企业法定代表人）的同意，同意的内容应该仅限于在该系统公开，而不包括同意其他人收集其信息并提供给他人，也就是说，行为人可以通过国家企业信用信息公示系统来查询收集相关信息供自己使用，但并不允许行为人在未征得被收集者同意的情况下收集整理，未进行匿名处理的情况下提供给他人。关于徐某A称一审判决引用的司法解释错误的问题。经审查，徐某A引用最高人民法院喻海松的观点认为，个人信息控制者所收集、使用的个人信息系个人信息主体自行向社会公众公开的、从合法公开披露的信息中收集的无需征得个人信息主体的授权同意。但《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》规定，未经被收集者同意合法收集，向他人提供的属于刑法第二百五十三条之一规定的“提供公民个人信息”，并未区分该信息是否已向社会公开，一审判决对司法解释的适用准确。关于徐某A称在本案中存在不可回避的违法性认知错误的问题。经审查，人民法院报的文章仅是个别法官关于该理论的个人观点，并非最高人民法院的判例，不具有普遍适用性，该文章中所涉案件明确并未查实信息是否属于应该公开的信息，而将案件发回重审。而本案中，经公安机关随机抽取公司或商户的手机号码，被核实对象均表示手机号码为本人私人号码且未授权网上公开，该部分信息属于被核实对象的私人手机号码，应认定为公民个人信息。综上，本案一审判决认定的犯罪事实清楚，证据确实充分，法律适用正确，审判程序合法，建议二审法庭维持原判。

  经审理查明，原审判决认定上诉人徐某A、原审被告人范某B、李某C、李某D犯侵犯公民个人信息罪事实清楚，认定该事实的证据均经原审庭审举证、质证，查证属实，能相互印证，且确实充分，足以认定，本院予以确认。

  二审期间，出庭检察员提交安溪县公安局湖头派出所《工作说明》一份，证实民警从2018年9月15日12时许开始将范某B手机ＱＱ内的涉案资料导出，范某B储存在ＱＱ内的公民个人信息文档有214份，其中有3份重复文档，扣除后剩211份，民警于2018年9月15日16时20分至16时43分制作提取笔录经范某B签字确认且无异议后，开始与范某B核对公民个人信息条数并进行统计，至当日18时许，统计公民个人信息条数为5724433条。在上述调查过程中民警需打开每一份涉案文档进行核对，为方便核对民警会对文档的排版进行调整，核对后关闭文档保存修改，导致涉案211份文档的修改时间从2018年9月15日13时39分至18时04分。本案的原始文档储存在范某B的ＱＱ13×××84文件中。对该《工作说明》本院予以确认。

  关于徐某A及其辩护人提出的侦查机关提取证据不合法的问题。经查，扣押笔录、扣押清单、查获现场照片、提取笔录、公民个人信息统计表、统计情况说明、工作说明等证据可以证实，侦查机关在扣押和提取的过程中，均有见证人见证，上诉人及各原审被告人签字确认，程序合法。徐某A及其辩护人提出的不能确定从范某B处所提取的电子数据未被编辑过，但未提出具体的证据证实上述主张，该主张仅是其主观推断，不予采纳。

  关于徐某A及其辩护人提出的其所出售的信息是公开的企业信息，并非公民个人信息的问题。经查，公安机关抽样进行查询并电话联系企业法人核实，未发现有企业法人授权“企查查”等在网上公布法人的手机号码，经公安机关随机抽取公司或商户的手机号码，被核实对象均表示手机号码为本人私人号码且未授权网上公开，应认定为公民个人信息。徐某A及其辩护人提出的诉辩理由不能成立，不予采纳。

  本院认为，上诉人徐某A、原审被告人范某B、李某C、李某D非法获取公民个人信息出售获利，其行为均已构成侵犯公民个人信息罪，其中上诉人徐某A、原审被告人范某B、李某C属情节特别严重，原审被告人李某D属情节严重。原审定罪准确。原审被告人范某B、李某C、李某D归案后能如实供述自己的罪行，上诉人徐某A如实供述自己主要罪行。原审被告人范某B已退缴违法所得款，原审被告人李某C、李某D退缴违法所得款并预交罚金。原审根据上诉人徐某A、原审被告人范某B、李某C、李某D的犯罪事实、情节、认罪态度和对社会的危害程度作出判决，量刑适当，且适用法律正确，审判程序合法。出庭检察员的意见成立，予以采纳。上诉人徐某A及其辩护人提出的诉辩理由不能成立，不予采纳。据此，依照《中华人民共和国刑事诉讼法》第二百三十六条第一款第（一）项的规定，裁定如下：

  驳回上诉，维持原判。

  本裁定为终审裁定。

  二〇二〇年八月二十四日