作者：刘海涛、李栋、杨海燕
公民个人信息保护是网络社会背景下刑法所面临的新挑战。实践中，侵犯公民个人信息犯罪已经逐渐产业化，形成"提供方—中间商—使用方"的互联网犯罪链条。侵犯公民个人信息犯罪常与计算机犯罪、信用卡犯罪、网络诈骗犯罪等紧密交织。如何对此类案件准确定罪量刑，成为司法实践的重点和难点。今天，我们将结合司法判例，谈谈侵犯公民个人信息罪的罪数形态认定问题。
一、信息获取阶段：侵犯公民个人信息罪与其他罪名的竞合
（一）侵犯公民个人信息罪与非法获取计算机信息系统数据罪的想象竞合
信息时代，公民的个人信息常以电子数据形式存储于计算机信息系统中，而行为人通过黑客手段入侵计算机信息系统获取公民个人信息的新闻屡见不鲜。我们检索裁判案例和学者论述，大部分观点认为，行为人构成非法获取计算机信息系统数据罪与侵犯公民个人信息罪的想象竞合犯，应从一重罪处罚 。[1]
由于非法获取计算机信息系统数据罪的两档量刑档次与侵犯公民个人信息罪相同，因此司法实践中应当根据具体案件中行为人窃取公民个人信息的数量、次数、危害后果、违法所得、被害人经济损失等实际情形进行综合分析，分别进行两罪量刑评判，最终选择量刑更重的罪名进行定罪和处罚。
案例：杨某通过互联网向他人手机传播木马程序，非法获取被害人的淘宝、支付宝账号密码等网络金融服务身份认证信息100余组。用户发现账户失窃后，向奇虎公司投诉，奇虎公司经调查发现可疑木马信息后向公安机关报案。最终，法院认定杨某犯非法获取计算机信息系统数据罪，情节特别严重，判处有期徒刑三年，并处罚金六千元。
本案中，杨某非法获取支付结算的身份认证信息100余组，属于两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条所规定的非法获取计算机信息系统数据罪"情节特别严重"，应处三年以上七年以下有期徒刑；同时属于两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题》第五条所规定的侵犯公民个人信息罪"情节严重" ，应处三年以下有期徒刑或拘役。显然，对于杨某的行为，以非法获取计算机信息系统罪来量刑要比以侵犯公民个人信息罪来量刑更重，因此法院最终以非法获取计算机信息系统数据罪对杨某定罪处罚。
（二）侵犯公民个人信息犯罪与信用卡犯罪的法条竞合
《刑法》第一百七十七条之一第二款规定：【窃取、收买、非法提供他人信用卡信息罪】窃取、收买或者非法提供他人信用卡信息资料的，处三年以下有期徒刑或者拘役；数量巨大或者有其他严重情节的，处三年以上十年以下有期徒刑。《刑法》第二百五十三条之一第三款规定：【侵犯公民个人信息罪】窃取或者以其他方法非法获取公民个人信息，情节严重的，处三年以下有期徒刑或者拘役；情节特别严重的，处三年以上七年以下有期徒刑。
公民个人信息范围极为广泛，包括姓名、身份证件号码、账户密码、财产状况等等，显然涵盖了公民个人的信用卡信息资料。因此，上述两个法条系特别法条与普通法条的关系，成立法条竞合。在这种特别关系的法条竞合中，学术上严格采取特别法条优于普通法条的原则 。司法实践也遵循了特别法条优于普通法条的学术原则[2]，对于窃取、收买、非法提供公民个人的信用卡信息资料的行为，均以窃取、收买、非法提供他人信用卡信息罪定罪处罚。
案例：叶某以每套600-800元的价格从他人处收买26套信用卡信息资料，包括信用卡所有人的公民身份证信息、银行卡信息、银行卡账号密码、U盾、手机卡等，再以每套1000-1200元的价格出售给范某，叶某共非法获利10400元。公安先以侵犯公民个人信息罪将叶某刑事拘留。叶某收买、非法提供他人信用卡信息资料数量已超5张，达到26张，属于两高《关于办理妨害信用卡管理刑事案件具体法律若干问题的解释》所规定的收买、非法提供信用卡信息罪"数量巨大"，应处三年以上十年以下有期徒刑。因此，最终法院判决叶某犯收买、非法提供信用卡信息罪，判处有期徒刑三年二个月，并处罚金三万元。
值得一提的是，从刑期上来说，窃取、收买、非法提供他人信用卡信息罪最高刑期为十年有期徒刑，而侵犯公民个人信息罪最高刑期为七年有期徒刑。从量刑标准来说，窃取、收买、非法提供他人信用卡信息资料，涉及信用卡5张以上的，即属于"数量巨大"，应处三年以上十年以下有期徒刑；非法获取、出售征信信息、财产信息500条以上，或者非法获利5万元以上的，方属于侵犯公民个人信息"情节特别严重"，应处三年以上七年以下有期徒刑。可见，对于窃取、收买、非法提供公民个人的信用卡信息资料的行为，以窃取、收买、非法提供他人信用卡信息罪定罪，一般都会重于以侵犯公民个人信息定罪。在上述案例中，即便依照法条竞合在一定条件下"重法优于轻法"的特别原则 [3]，法院也应当以收买、非法提供信用卡信息罪对叶某定罪处罚。
二、信息提供、使用阶段：侵犯公民个人信息罪与诈骗罪的界限
（一）信息提供方明知他人实施诈骗犯罪，构成诈骗罪共犯
案例：吴某利用手机软件添加"附近的人"为好友，与被害人"聊感情"一段时间后，骗取对方个人信息，再将所骗取的信息提供给某酒托组织。酒托组织安排女性酒托将受害者带至酒吧，采用以低价酒水标高价的方式，诱骗被害人进行消费。后吴某从被害人消费金额中分得的40%提成。至被查获时止，吴某共参与骗取人民币7565元。后公安机关以侵犯公民个人信息罪刑事拘留吴某，但最终法院结合在案证据，认定吴某构成诈骗罪。
两高、公安部《关于办理电信网络诈骗等刑事案件适用法律若干问题的意见》规定，明知他人实施电信网络诈骗犯罪，非法获取、出售、提供公民个人信息的，以共同犯罪论处。但实践中，由于网络犯罪取证难等特点，加上行为人反侦查能力的不断提升，证明行为人主观明知的难度非常大。因此，上述司法解释特别规定，所谓"明知"，应当结合被告人的认知能力、既往经历、行为次数和手段，与他人的关系，获利情况，是否曾因电信网络诈骗受过处罚，是否故意规避调查等主客观因素综合分析认定。最高检察《检察机关办理电信网络诈骗案件指引》特别强调："对于帮助者明知的内容和程度，并不要求其明知被帮助者实施诈骗行为的具体细节，其只要认识到对方实施诈骗犯罪行为即可"。
需要注意的是，适用刑事推定认定犯罪事实时，要确保推定符合经验法则和逻辑法则，且推定事实必须排除合理怀疑。如果被告人能够提出合理解释并提供相应证据的，则应采信被告人辩解，不宜将其认定为诈骗罪的共犯。
（二）信息获取方利用非法获取的公民个人信息进行诈骗犯罪，数罪并罚
以"徐玉玉案"为例：陈某从他人手中购买5万余条山东省2016年高考考生信息，并雇用郑某、黄某等人冒充教育局工作人员以发放助学金名义对高考录取学生实施电话诈骗。2016年8月19日16时许，郑某拨打徐玉玉电话，骗取其银行存款9900元。最终法院认定，陈某犯诈骗罪、侵犯公民个人信息罪，数罪并罚，决定执行无期徒刑，剥夺政治权利终身，并处没收个人全部财产。
两高、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》规定，对使用非法获取的个人信息，实施其他犯罪行为，构成数罪的，应当依法予以并罚。对此，最高检检察官解读[4] ："这主要是考虑非法获取公民个人信息后利用该信息进行电信网络诈骗，实际上实施了非法获取公民个人信息和电信网络诈骗两个犯罪行为，但并非类型化的手段行为与目的行为之间的牵连关系，不属于牵连犯，应当数罪并罚"。
[1]欧阳本祺、曹莉:《非法获取他人APP数据的刑法定性》，载《人民检察》2018年第7期；游涛、计莉卉：《使用网络爬虫获取数据行为的刑事责任认定----以"晟品公司"非法获取计算机信息系统数据罪为视角》，载《法律适用·司法案例》2019年第10期。
[2]陈兴良：《刑法学（上）》，法律出版社，2016年7月第五版，469-470页。
[3]张明楷：《法条竞合中特别关系的确定与处理》，载《法学家》第1期。
[4]黄河、张庆彬、刘涛：《破解打击电信网络诈骗犯罪的五大难题——<关于办理电信网络诈骗等刑事案件适用法律若干问题的意见>解读》，载《人民检察》2017年第11期。
