隐私何在？5万余条求职者信息被售卖 | 案例精选

 陈兵、王骐

二审：上海市第一中级人民法院（2019）沪01刑终98号

对《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第一款第（四）项规定作等外解释时，应从敏感重要性、内容映射性和信息隐秘性等方面从严把握。行为人通过网络出售的公民个人信息数量应以实际交付量为准，购买人是否下载，不影响数量计算。二审部分改变原判量刑依据但处理结果与一审相同时，应视量刑依据的改变是否可能影响案件的实体处理而分别采用判决或裁定。

《中华人民共和国刑法》

第二百五十三条之一

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》

第五条

非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；

（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

（七）违法所得五千元以上的；

（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

（十）其他情节严重的情形。

实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：

（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

（二）造成重大经济损失或者恶劣社会影响的；

（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；

（四）其他情节特别严重的情形。

上诉人（原审被告人）：方某

法院经审理查明：

2015年

方某进入北京某网聘咨询有限公司负责向招聘企业提供招聘信息发布账号（可用于下载求职者简历）的销售服务。

北京某网聘咨询有限公司仅对企业用户提供在其网站上发布招聘信息、浏览候选人简历以及下载候选人简历等人力资源服务，不对个人用户提供上述服务，并明文要求企业用户在公司网站上注册以及签订合同时，均需提供相应有效的企业、机构、单位资质认证，同时在服务合同中明确企业用户除非事先获得北京某网聘咨询有限公司的书面同意，否则不得将购买的服务产品用于任何除自身招聘以外的其他目的，或泄露给任何第三方。

2017年1月底

陈某通过QQ结识被告人方某，以“做人力资源工作、需要购买简历”为由，提议通过方某向北京某网聘咨询有限公司购买简历。

同年2月起

方某为提高业绩，获得提成，违反公司规定，私自从公司内部资料库中找到上海某实业有限公司等十余家招聘企业信息，通过网络伪造上述企业公章，制作虚假服务合同，将电子版合同上传至北京某网聘咨询有限公司，骗取北京某网聘咨询有限公司审核通过后，方某将陈某支付的购买账号款项通过他人转账至北京某网聘咨询有限公司银行账户，方某向公司客服人员认领款项后，欺骗客服人员违规向陈某出售方某以招聘企业名义创建的北京某网聘咨询有限公司信息发布账号（内含点数，1点可以下载1份简历），供陈某用于下载求职者简历。

经北京某网聘咨询有限公司统计，上述虚假合同内包含简历下载数量为52,115条，目前简历已被下载数量为46,488条，去重后简历下载数量为46,022条。

2018年1月31日

方某被抓获，到案后如实供述上述犯罪事实。

法院生效裁判认为，上诉人方某违反国家有关规定，向他人出售公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。

根据北京某网聘咨询有限公司统计，涉案合同内包含简历数量为52,115条,实际下载量为46,488条，方某违规出售的公民个人信息数量应当以涉案合同内包含的简历数量为准，是否实际被下载，不应影响出售数量之认定，故本案方某出售的公民个人信息数量应当为52,115条，原判对此认定欠妥，予以纠正。

原判根据方某犯侵犯公民个人信息罪的事实、性质、情节及社会危害程度，并考虑到方某家属已代为退缴违法所得3万元，方某系坦白等因素，所作量刑，尚无不当，审判程序合法，遂裁定驳回上诉，维持原判。

公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第五条第一款第（三）项至第（五）项根据不同类型公民个人信息的重要程度，在侵犯公民个人信息的数量维度上，对侵犯公民个人信息罪规定了“五十条以上”“五百条以上”“五千条以上”的入罪标准。[1]

因“五十条以上”的信息入罪门槛较低，《解释》明文规定仅限于行踪轨迹信息、通信内容、征信信息和财产信息这四类与公民财产、人身安全密切相关、重要度和敏感度极高的信息，不允许司法实践中再通过等外解释予以扩大，而“五百条以上”信息，则规定了除住宿信息、通信记录、健康生理信息、交易信息外，还可以作其他可能影响人身安全、财产安全的公民个人信息的等外解释，“五千条以上”信息则是除“五十条”“五百条”外的一般公民个人信息。

故对于部分未在《解释》中列明的公民个人信息是否属于“五百条以上”信息，在司法实践中存在争议。此外，《解释》第十一条对公民个人信息的数量计算规则作了相关规定，但仅规定了信息的累计计算规则和批量信息的计算规则，未对信息数量具体起算基准作规定。

基于此，本案的审理难点有二，一是简历应适用《解释》第五条第一款中的何种数量标准，“五百条以上”还是“五千条以上”；二是认定公民个人信息具体数量，应以交付数量计还是以实际下载数量计。

《解释》第五条第一款第（四）项所规定的住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息在重要程度上不及该款第（三）项规定的行踪轨迹信息、通信内容、征信信息和财产信息，但因与公民人身、财产安全直接相关，入罪门槛依然相对较低。

司法实践在对第（四）项“五百条以上”信息作等外解释时应从严把握，具体而言，可着重从以下两方面予以考量：

第一，内容映射性及敏感重要性

刑法所规范的公民个人信息，其重要特征为能够识别特定自然人身份和反映特定自然人活动情况。

住宿信息、通信记录、健康生理信息和交易信息除了能够反映公民的基本身份信息外，还能够指向公民日常活动的深层要素，反映出特定公民在特定时间段的与人身、财产安全密切相关的活动信息，如住宿信息反映公民特定时间的地理定位、通信记录反映公民的日常交际对象及频次、健康生理信息反映公民特定时间的就诊情况、交易信息反映公民的交易对象、邮寄地址、消费喜好等，该类信息所指向的深层内容往往能够让犯罪分子直接实施精准诈骗等犯罪活动，[2]系直接关联到公民的人身及财产安全的高度敏感信息和重要信息。

故适用该项规定时，一方面应确保所适用的公民个人信息与该项所列举的四项信息在敏感性及重要程度上具有相当性，另一方面还应考量所适用的公民个人信息指向的具体内容深度是否足以让犯罪分子直接实施精准诈骗等犯罪活动，从而使公民人身、财产安全处于危险状态。

第二，获取难度及隐秘性

首先，住宿信息、通信记录、健康生理信息、交易信息往往直接涉及个人隐私，一般均由酒店服务商、通讯服务商、医疗服务机构、交易平台等特定单位依法依规保存，未经授权，任何单位及个人不得擅自调取或查阅，即该类信息均具有一定保密性。

其次，上述信息系公民具体日常生活中所必然留下之轨迹，信息提供人通常希望相关信息获取方或持有方等不要对外泄露或使用上述信息，即该类信息均具有一定的隐秘性。

再次，国家亦对此类信息进行严格保护，禁止任何单位或个人依据此类信息获利，即该类信息均具有不可经营性。故在适用该款规定时，还应考量所适用的公民个人信息是否具有相应的保密、隐秘特征。

本案中，方某出售的公民个人信息系从招聘网站下载的简历，一般而言，简历系一组包含公民姓名、出生年月、通信通讯联系方式、教育信息、历史履职信息及求职意向等信息的信息集合，具有信息完整度高、关联度高、有效性高的特点。

相比较一般公民个人信息，简历确实能够更加具体、真实地反映出特定公民的身份信息，但简历所涉信息多为公民基本信息，其指向的信息深度内容仅能够大体反映公民的生活轨迹和求学、履职信息，并非与公民人身、财产安全直接相关，简历信息被泄露后也多被用于电话营销等活动，难以被犯罪分子直接利用实施精准诈骗等犯罪活动，故一般不会直接威胁到公民的人身、财产安全。

此外，简历一般系公民求职所用，投递对象多、范围广，求职者在向招聘企业投递简历时，对于其中相关信息的流转权利已经作出部分让渡，甚至某种程度上希望更多招聘企业和个人知晓，特别是存于招聘网站的简历，求职者在招聘网站上投递、制作简历时，已经就其简历体现的个人信息作了保密解除，供招聘企业浏览。故简历在敏感重要性、内容映射性及信息隐秘性上均不及《解释》规定的“五百条以上”信息标准，仅能适用于“五千条以上”的一般公民信息。

司法实践中，网络交易公民个人信息大多通过邮件、网盘等方式进行，案发后往往出现交易终了后“卖家”已经通过邮件、网盘进行信息交付而“买家”仅下载了部分信息的情形。

故在计算涉案公民个人信息数量时采交付数量为起算基准还是采实际下载数量为起算基准，在最终数值上往往有较大差别，直接涉及罪与非罪、罪轻与罪重的问题。

一种观点认为，刑法应采客观主义立场，法益侵害结果是刑事责任的基础，因此对公民个人信息数量的起算应以法益实际侵害结果即信息下载数量为基准。

另一种观点认为，公民个人信息只要被交付即处于失控状态，故应以交付数量为起算基准。

我们同意后者，侵犯公民个人信息罪在刑法中设置于第四章侵犯公民人身权利、民主权利的第二百五十三条之一中，位于侵犯通信自由罪和私自开拆、隐匿、毁弃邮件、电报罪之后，故侵犯公民个人信息罪所保护的法益应是与上述罪名相似的公民人格尊严和个人信息自由，因此侵犯公民个人信息罪所侵害的是公民个人信息得到合法采集、流通和使用的权利。[3]

行为人只要通过邮件、网盘等方式将公民个人信息进行交付，被交付的公民个人信息已经处于失控状态，事实上已经侵害了公民个人信息的合法采集、流通和使用权利的法益。

此外，刑法定罪处罚应采主客观相一致原则，行为人主观上有出售故意，客观上交付信息完成交易即已构罪，故应以实际交付的数量为起算基准。

本案中，北京某网聘咨询有限公司的网站账户内含点数，该点数可供招聘企业用于读取、下载相关应聘者的简历，故持有该内含点数的网站账户，即等同于控制相关简历信息，行为人交付网站账号的行为，即等同于交付公民个人信息。

方某通过伪造相关招聘企业公章的方式，欺骗第三方北京某网聘咨询有限公司违规将网站账户发放给陈某的行为，实际上已经等同于将简历信息交付给陈某。陈某取得A网站账户时，相关简历信息即已失控，对简历信息合法采集、流通和使用权利的法益即已遭受侵害。

故本案应以账户中内含的可供下载的简历数量为起算基准，即本案侵犯的公民个人信息数量应为虚假合同内包含简历下载数量52,115条。

值得注意的是，本案一审系以涉案简历下载量达4.6万条以上，且方某在本案中伪造十余个企业公章等行为综合认定方某属情节特别严重，而二审系直接依据方某实际出售和交付数量认定其属情节特别严重，但一审的定罪量刑无需更改，而司法实践中也不乏二审处理结果与一审相同，但定罪量刑依据发生变化的情形，争议之声时有，有必要予以探讨。

根据刑事诉讼法等法律法规，二审改判系二审法院根据查明的案件事实及证据情况，确认原判在法律适用、量刑适当或事实查明、证据充分性等案件的实体问题上有错误，需要依法纠正。

对于二审查明的事实及依据的证据与一审相同，只是定罪量刑所依据的部分事实发生变化时，我们认为需要区分处理：

（1）对于定罪量刑与一审相异的案件，依法应当以判决书之方式予以纠正。

（2）对于定罪量刑与一审相同的案件，应视所依据的事实部分是否可能影响案件的实体处理来决定是否采用判决之方式予以改判，如无影响，可裁定驳回上诉，维持原判；如可能影响，则应当以判决书方式处理。[4]

方某违反国家有关规定，向他人出售简历超过5万条以上，属情节特别严重，本案原审判决将简历实际下载数量46,488条认定为侵犯公民个人信息数量虽有不当，应予纠正，但原判亦综合全案情况认定方某属情节特别严重。

故上述量刑事实的差别并未影响到案件的实体处理，原判定罪量刑并无不当，可裁定驳回上诉、维持原判。

[1]《解释》第五条第一款规定，非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：……（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；……

[2]参见喻海松著：《网络犯罪二十讲》，法律出版社2018年版，第224页。

[3]参见郑旭江：《侵犯公民个人信息罪的述与评——以<关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释>为视角》，《法律适用》2018年07期。

[4] 司法实践中时有定罪量刑所依据的部分事实在二审发生变化，该变化能够影响案件实体处理，但二审定罪量刑仍和一审相同的情形，如原判遗漏情节足以影响案件的实体处理，但限于“上诉不加刑”原则而无法加重上诉人的刑罚，或已经在法定刑的起点刑量刑而无法减轻刑罚等。