上政学报 | 敬力嘉：出售个人数据的刑法规制路径

文摘 2024-08-29 19:30 上海

点击蓝字

关注我们

新兴权利法律问题研究

出售个人数据的刑法规制路径

本文刊登于《上海政法学院学报》2024年第4期

摘要

出售未经去识别化、匿名化个人数据的行为在实践中广泛存在，可能涉及的主要罪名是侵犯公民个人信息罪。刑法定性可能存在争议的，主要是出售内容已公开个人数据与实名认证社交平台账户两种情形。对于前者，二次授权说、合目的性考察说、客观开放程度说等既有观点多仅以已公开个人信息为行为对象，对于后者，司法实践的判决仅以通讯录好友个人信息为对象，忽视了数据权益的维度，难以对出售行为是否构成本罪提供妥当的判断标准。超越本罪仅保护信息主体个人信息权益的认识，基于不同的个人信息处理场景，可准确识别出售行为在前述两种情形下分别对信息主体的个人信息自决权造成了实害结果，给社交平台好友的人身、财产权益造成了抽象危险。应将出售个人数据的行为纳入本罪的规制范围，并通过司法解释与刑事立法的进一步审慎完善，实现对关联主体合法权益的妥当保护。

关键词

数据犯罪；个人数据；侵犯公民个人信息罪；个人信息的刑法保护

作者

敬力嘉，法学博士，武汉大学法学院副教授。

引用格式

敬力嘉：《出售个人数据的刑法规制路径》，《上海政法学院学报》(法治论丛)2024年第4期。

目次

一、问题的提出

二、出售个人数据既有刑法规制路径的反思

（一）出售信息内容已公开个人数据刑法规制路径的反思

（二）出售社交平台账户刑法规制路径的反思

三、数据确权视域下出售个人数据刑法规制路径的选择

（一）个人数据（处理）的内涵与个人数据权益的配置规则

（二）出售行为不法内涵的教义学评价

一、问题的提出

随着我国社会经济发展数字化水平的大幅提升，数字经济业态规模迅速壮大。2020年出台的《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》将数据确立为生产要素，各地也展开了积极的数据地方立法尝试。随着2022年《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》的颁布，我国“三权分置”的数据产权制度得以正式确立。学界与实务界对于数据权属配置已展开了充分探讨，为数据交易合规机制的构建与完善提供了可行方向。在数据交易流转的现实场景中，获取、出售个人数据的行为非常普遍。鉴于个人数据也是公共数据与企业数据的重要组成部分，公共数据与企业数据的流转往往也伴随着个人数据的流转。然而，相较于公共数据与企业数据，有关个人数据权属配置的探讨还较为不充分。就个人数据的刑法保护而言，刑法学界对数据产权理论与实践发展的关注较为滞后，主流探讨限于虚拟财产及个人信息的刑法保护，引入数据权属配置视角的研究较少。因此，厘清刑法为获取、出售个人数据行为划定的合规底线，对于明确刑法介入数据治理的功能边界、促进数据有效利用具有基础性价值。对于获取个人数据的行为，学界一般在用网络爬虫爬取数据或非法获取公民个人信息的刑法规制的语境下展开研究，将个人信息（内容）与数据（载体）截然分离或完全混同，难以合理平衡信息主体个人信息权益与数据控制者数据权益的保护需求。

在司法实践中，出售未去识别化、匿名化个人数据的行为普遍存在。例如（案例1），“探客查”与“励销云”平台有偿提供查询经实名认证的企业法人、股东电话的服务，以及直接针对此类主体的精准电话推销服务。两平台宣传其掌握相关个人数据过亿条，数据来源包括运用技术手段整合网络公开数据，以及向电信运营商、其他网络平台合作进行实名认证或购买数据。以上两平台大规模收集的企业法人、股东电话号码若属未公开的，应认定为违反国家有关规定非法获取个人信息，达到情节严重标准的，即可认定为侵犯公民个人信息罪，对此并无争议。若有关电话号码已公开但并未匹配到真实的号码所有人，对此类个人数据进行实名认证后向社会公众出售是否合法则不无疑问。又如（案例2），刘某、白某、宋某三人为同学，均做过58同城代理商，实名认证微信号、微信好友均较多。刘某将自己的两个微信号及相应好友信息卖给了某男子，获利580元。刘某继而帮助宋某与该男子谈好微信号出售价格，宋某出售微信号给该男子获利8 000元。宋某继续将白某介绍给该男子，白某出售微信号获利7 500元。最终，该男子利用白某微信号在朋友圈发布诈骗信息，导致被害人（白某微信好友）被骗357 920 元，法院判处三人构成侵犯公民个人信息罪，理由是三人未经同意出售了微信通讯录中好友的个人信息，且达到情节严重的标准。通讯录数据含有可识别好友个人身份的信息，而好友对其并不享有权益。如何理解此类数据与其蕴含的信息的关系，三人作为微信账号持有者是否有权不经好友同意出售此类数据？本文拟围绕以上两类案例，对出售个人数据的既有刑法规制进路进行反思，并在此基础上引入数据确权视角，探索确立出售个人数据刑法规制的边界。

二、出售个人数据既有刑法规制路径的反思

依据我国现行刑法的规定，出售个人数据可能涉嫌的罪名主要是侵犯公民个人信息罪。对于案例1 中两平台出售信息内容已公开个人数据，以及案例2 中三被告人出售实名认证微信号这样的社交平台账户的行为是否构成本罪，学界与实务界提供的既有刑法规制进路值得深入反思。

（一）出售信息内容已公开个人数据刑法规制路径的反思

1. 二次授权说及其反思

在我国整体的法秩序体系中，个人信息的法律保护无疑是刑法先行的。早在2007年《刑法修正案（七）》就通过增设刑法第253条之一，创设了出售、非法提供公民个人信息罪和非法获取公民个人信息罪，2015年《刑法修正案（九）》将以上两罪调整为侵犯公民个人信息罪，并对其规定进行了系统完善。2017年，最高人民法院、最高人民检察院还出台了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称“《解释》”），明确了该罪构成要件要素的具体内涵与情节标准。在个人信息已被公开的情况下，司法实践曾基于《解释》第3条第2款形成了所谓二次授权说，即如果收集这些信息并再次向他人提供，需要获得权利人的二次授权，否则属于违反国家有关规定，有可能构成“出售型”或“提供型”侵犯公民个人信息罪。若依据该说确立的标准，案例1中两平台的出售行为应当构成本罪。但学界一般认为，《民法典》《个人信息保护法》（以下简称“《个保法》”）生效后，依据《民法典》第1036条第2款与《个保法》第27条的规定，除非权利人明确拒绝或相关获取、提供行为侵害了其重大利益，或对其个人权益造成重大影响，行为人获取、向他人提供或出售已公开个人信息的行为均属于“合理处理”，不宜再认定为犯罪，“二次授权”规则已被否定。关于向他人提供、出售已公开个人信息的行为能否构成本罪，学界存在诸多观点争议。

实务界较有影响力的观点在认同仍应区分评价对已公开个人信息的获取行为和再次提供行为的基础上，主张对于自行公开或其他已合法公开的个人信息，只要法律法规没有明确禁止的处理行为，均可认定为“合理处理”。这一标准相当模糊，难以提供如案例1中对象为信息内容已公开个人数据时本罪行为不法的判断标准。首先，区分评价获取行为与提供/出售行为的规范依据不清。获取行为与提供/出售行为只是个人信息处理的不同行为类型，其法益侵害性分别在前置法与刑法层面无区别。其次，认可已公开个人信息的获取行为已获得“一次授权”理据不足。在前置法层面，《民法典》与《个保法》有关“合理处理”的要求无疑应当适用于获取行为。信息内容已公开的确表示信息主体未明确拒绝社会公众获取相应个人数据，但获取行为是否属于对已公开个人信息的“合理处理”，尚需判断获取行为是否侵害信息主体的重大利益或对其个人权益造成重大影响。而在侵犯公民个人信息罪刑事不法判断的层面，需要以“国家有关规定”，即前置规范与个人信息保护合规要求作为判断依据。无论是信息主体的“知情同意”还是个人信息处理者的“合理处理”，均属于“违反国家有关规定”的下位概念。因此，本罪应当属于法定犯，而非自然犯。前述有关信息主体默示同意与“合理处理”的形式判断标准是“违反国家有关规定”，其实质判断标准无论是在前置法还是刑法层面，均为是否侵害信息主体的重大利益或对其个人权益造成重大影响。因此，仅依据个人信息已公开无法直接得出获取行为已获信息主体“一次授权”的结论。最后，法律规范的完善速度一定滞后于数据交易业态的发展，认为法律法规没有禁止的提供、出售行为无需获得信息主体“二次授权”，难以据此得出此类行为均为“合理处理”的结论。例如，虽并无法律法规明确禁止案例1中两平台对企业法人、股东电话进行实名认证后出售，该行为是否侵害信息主体的重大利益或对其个人权益造成重大影响还需进一步判断。综上可知，司法实践形成的二次授权说及其改良版均存在较大疑问。

2. 合目的性考察说及其反思

出于对司法实践形成的二次授权说的反思，有学者提出了合目的性考察说，即主张如果处理个人信息明显违背个人公开其信息的目的和用途，即侵犯了信息主体的法益处分自由，有可能构成侵犯公民个人信息罪；如果处理个人信息的行为与个人公开其信息的目的没有根本抵触，则不宜定罪。对于如何判断个人公开信息的目的和用途，该说采纳的标准实质是依据个人信息处理的场景进行推定。该学者主张个人选择在企业公开的信息中对于自己的姓名、通讯方式等予以公开的目的，在于使自己所在的企业的设立和运行符合国家行政主管机关的要求，为企业合法获取商业利益创造机会，是其采纳以上标准的体现。该说不再区分评价获取行为与提供/出售行为，提供了合目的性这一法益侵害性的实质考察标准，相较于二次授权说无疑逻辑更加周延，有利于为信息内容已公开人数据的出售行为提供更多出罪的可能。若依据该学说确立的标准，很难说案例1中两平台的出售行为“明显违背”个人数据承载的信息内容的公开目的和用途，不应构成本罪。但该说存在的核心疑问在于，依据个人信息处理场景推定个人信息公开的目的和用途，以及个人信息处理者处理个人信息的目的与用途是否与前者相一致理据不足。以美国学者海伦·尼森鲍姆（Helen Nissenbaum）提出的场景一致性（contextual integrity）判断标准对该说进行考察，可以更清晰地看到该说存在的上述疑问。

首先，该说对个人信息处理场景的理解存在偏差。尼森鲍姆教授在《何为场景？——隐私场景理论中场景概念之解析》一文中明确指出：“场景一致性理论的基本视角是，信息流通可能全面地影响主体利益以及社会价值的实现，所以可能被用作规范考量的评价标准。”关于利益和价值考量涉及的第三个层面，即考虑具体场景的价值及目的，尼森鲍姆教授阐述道：“在具体场景中，信息流通的模式可能支持个人自由价值，也可能完全相反地支持安全价值，场景一致性可能可以解决这种冲突。在某些时候，自由价值会胜出，也有时候安全价值会优先，这取决于具体的场景和基于何种目标和价值考量……第三层面始终认为，将隐私视为一种合理的信息流通，不仅将利于个别信息主体的利益，还将有利于场景和社会的最终目的及价值。”可以看出，尼森鲍姆教授清晰认识到，不同场景中信息流通关联主体利益面临的风险存在显著区别，利益和价值考量的优先顺序也就存在显著区别。其主张的“场景一致”判断的内容，是初始场景和当前场景中个人信息流通面临的客观环境为相应主体利益带来的风险是否一致，这为法律规范准确识别当前场景中应当优先保护的利益与价值提供了客观、清晰的标准。具体到侵犯公民个人信息罪来看，“场景一致”判断能为行为对象（个人信息）的类型化与行为风险的识别同时提供较为明确的标准。然而，合目的性考察说对“场景一致”判断内容的理解存在偏差。该说所主张的“信息公开目的与用途的一致性”实质是指个人信息处理的商业场景而非客观的社会环境的一致性。尼森鲍姆教授已经明确指出，不能用商业模式和商业实践定义其主张的“场景”，因为这样一来，商业利益标准一定会占据绝对主导地位，个人信息处理客观环境变化给相应主体利益带来的风险会被追求特定商业利益的目的或用途所掩盖。例如，主张如果信息处理的目的、用途产生错误或变更之后，信息处理的社会场景仍然能够保持一致，就没有违反信息主体的合理期待、没有超出原初同意的射程，反之则否的观点即体现了以商业模式和实践定义“场景”带来的弊端。

其次，该说以违背主观目的作为行为不法的判断标准具有不确定性，司法实践难以把握，也会因此导致一般公民与企业对个人信息处理的合规要求缺乏稳定预期。主要原因有以下两点。第一，信息主体公开个人信息的主观目的与依据客观处理场景推定得到的信息公开目的与用途完全可能存在冲突。例如，在“房利帮案”中，尽管可以推定使用该网站公开房源信息的业主具备促进房产交易的目的，但该网站以现金激励房产中介未经业主允许上传真实业主房源信息（含业主住址、姓名、电话），并安排员工冒充房产中介核实，最终将有效房源信息有偿提供给网站会员（房产中介），无疑可能对业主的人身、财产等个人权益产生威胁，公开房源信息的业主的主观目的中一定含有对该网站履行个人信息保护合规义务的要求，推定目的与信息主体的主观目的即存在冲突，依据该说主张本案无罪的观点有待商榷。第二，在出售信息内容公开的个人数据时，行为人一般只具有牟利目的，而对购买者在后续处理中可能产生不法目的持放任心态，依据该说难以清晰界定出售者主观目的的具体内容，更加难以衡量其与信息主体公开个人信息的目的是否一致。

3. 客观开放程度说及其反思

出于对前述两种标准的反思，有学者提出了客观开放程度说。该学说主张以信息的客观开放程度为判断标准，将提供的个人信息分为完全开放个人信息、限制开放个人信息与违法公开个人信息。对完全开放个人信息的处理实际已获得基于个人同意或法律法规推定的概括授权，一般无需刑法介入，只有在自然人明确拒绝或者信息处理行为侵犯权利人重大利益时，此类行为才例外具有刑事可罚性，限制开放与违法公开个人信息原则上均应受到刑法规制。

该学说提供的标准相较于前两种标准而言较为客观、明确，易于把握。然而，该学说也存在以下两点疑问。第一，个人信息公开程度的判断标准难以做到真正客观。以案例1中有关企业法人、股东的电话号码为例，在未经实名认证之前，此类电话号码无疑应属于完全开放的个人信息，经过实名认证之后再进行公开并出售，似乎就转变为限制开放甚至违法公开的个人信息，以公开程度作为两平台出售行为入罪的违法阻却事由（“合理处理”）的适用标准难言客观、妥当。此外，“限制开放”与“违法公开”的边界也相当模糊。第二，既然不同开放程度的个人信息均可纳入刑法的保护范围，进行这样的区分就缺乏显著的规范意义。基于以上认识，认为该说试图将个人信息保护前置规定中的免除同意模式引入刑事责任的判断中，与前述修正的二次授权说并无本质区别。

（二）出售社交平台账户刑法规制路径的反思

案例2中法院认定三被告人的出售行为构成侵犯公民个人信息罪的实质理由在于，法院认为该行为侵犯了微信好友的个人信息自决权。然而，微信账号的通讯录数据与其承载的好友信息并非相互隔绝，两者是一体的，均受行为人控制。微信能够成为“超级APP”，根源在于其庞大的日活用户群形成的活跃社交网络。微信通讯录属于典型的社交关系链数据，是微信号社交功能的根源所系，也是微信号财产价值产生的源泉。从微商到微信接入的各种公众号、小程序，微信生态系统中价值生成的最底层基础便是其社交功能。在当今时代，微信通讯录已成为大多数微信用户最重要的人际关系/社会关系资本储存载体。而微信通讯录这一重要的社交关系链数据，是由用户和平台持续深度合作生产得到的承载了用户好友个人信息的数据产品。

私法领域关注的是社交关系链数据持有者是否应对其享有财产权益。以“腾讯诉抖音/ 多闪案”为例，关于抖音是否有权在好友推荐功能中使用用户的微信/QQ头像和昵称，抖音是否有权将通过微信/QQ开放平台获取的用户头像和昵称数据许可给其关联方（多闪）用于登录服务，以及多闪是否有权在好友推荐功能中使用前述数据，法律层面的核心争议在于微信/QQ用户通讯录这一社交关系链数据的权属配置。法院判决支持了原告腾讯公司的主要诉求，学界则就如何在保障用户对此类数据利用权的基础上，协调用户、平台与此类数据迁移平台之间对此类数据应享有的权益作出了有益探索。而在刑法视野中，微信账号通讯录数据的控制权限仅处于账号持有人支配之下，但此类数据不仅能识别账号持有人包括其个人信息自决权在内的人格权益，腾讯公司所享有的竞争利益，还能基于账号持有人真实的社交关系识别好友的人身、财产等个人权益。正因如此，实名认证的微信账号已成为电诈关联犯罪（如帮信、掩隐）依赖的重要犯罪工具。如案例2，正是由于实名认证微信账号所承载的真实社交关系带来的信赖，被告人的好友才会被成功诈骗。因此，三名被告人作为微信账号的持有人向不特定或多数人出售账号牟利导致朋友圈好友被诈骗，能否因该三人的知情同意阻却出售行为涉嫌侵犯公民个人信息罪的不法，存在较大疑问。

三、数据确权视域下出售个人数据刑法规制路径的选择

通过上述分析可知，若不考虑数据维度，仅将侵犯公民个人信息罪的行为对象限定为作为内容的个人信息，难以为实践中广泛存在的出售个人数据行为确立应当遵循的个人信息保护合规底线。本文拟引入数据确权视角，通过厘清个人数据及个人数据处理的内涵，将出售个人数据的行为纳入本罪规制范畴，并进一步尝试明确个人数据权益的配置规则，择定出售个人数据的刑法规制路径。

（一）个人数据（处理）的内涵与个人数据权益的配置规则

1. 个人数据（处理）的内涵

关于个人数据与个人信息的关系，依据我国《数据安全法》第3条第1款的规定，应当是载体和内容的关系。基于这一前提，学界仍存在完全等同、截然分离以及部分交叉等不同观点的争议。本文认为，所谓个人数据，是标准化、可再处理的个人信息表达形式，是个人信息内容的荷载符号。通过处理个人数据，可以获得个人信息。而且，个人信息不是静态存在的客体，而是在不同主体控制个人数据的交换中产生的。个人信息的“个人”属性只能依托于数据交换过程而存在。基于以上认识，尽管《个保法》第4条第2款对“个人信息处理”的界定和《数据安全法》第3条第2款对“个人数据处理”的界定完全一致，但正如有学者所指出的那样，“个人数据处理”是技术行为，而对“个人信息处理”的界定应当以识别分析为核心，将其限缩解释为收集、控制、分享、分析、应用等行为。

我国刑法规定事实上采纳了信息范式，明确区分了数据/信息以及数据处理/信息处理的内涵，仅将信息纳为直接保护对象，并规定了通过信息处理侵害各类法益的罪名。我国《刑法修正案（九）》新增的第286条之一拒不履行信息网络安全管理义务罪、第287条之一非法利用信息网络罪、第 287条之二帮助信息网络犯罪活动罪、第 291条之二编造、故意传播虚假信息罪，以及修改的第 253条之一侵犯公民个人信息罪，使用的均为“信息”的概念。此外，我国《刑法》中对“事实”“内容”“秘密”等进行规制的罪名，所评价的实质对象就是信息，具体包括注册资本信息、企业经营信息、商业秘密、著作权信息、虚假信息、淫秽信息、公民个人信息，以及涉民族歧视、侮辱信息和通信秘密信息等。

尽管《刑法》第285条、第286条规定的计算机犯罪中使用了“计算机信息系统数据”的表述，事实上也已通过司法解释将相应罪名的行为对象解释为“身份认证信息”，并未直接将数据及数据处理行为纳入刑法规制范围。只有先判断通过数据处理所得到的信息类型，进而判断通过信息处理所侵犯的具体法益，才能结合具体的刑法规定，明确行为所触犯的具体罪名，进而进入刑法评价的范畴。相较而言，德国刑法依据欧洲《网络犯罪公约》的规定采纳了数据范式，设立了诸多真正的数据犯罪。例如，德国刑法第202a条探知数据罪处罚“无权限而突破安全防护措施，使自己或第三人取得非自己制作，且无获取权限的、被特殊防护的数据”的行为，第 202b条拦截数据罪处罚“使用技术方法，使自己或第三人从非公开的数据传输中，或数据处理设备的电子传输中，取得非其所用的数据”的行为，第 303a条变更数据罪处罚“违法删除、封锁或变更他人数据，或使之失效”的行为，第303b条破坏计算机罪处罚“对他人重要的数据处理造成显著干扰”的行为等。

关于我国刑法中是否应当增设专门、真正的数据犯罪，我国学界已有诸多探讨。出售个人数据无疑属于数据处理，从上文分析来看，我国刑法明确区分了数据处理与信息处理，与前置法不作区分的规定存在冲突。基于罪刑法定原则的要求，有关构成要件符合性的判断无疑应当以刑法有关罪名的具体规定为依据。根据我国现行立法对于侵犯公民个人信息罪的规定，能否将出售个人数据的行为纳入本罪规制范围？答案是肯定的。在出售未匿名化、去识别化个人数据的场合，数据载体与信息内容是合一的，出售此类个人数据既属于数据处理，也属于信息处理，将其纳入本罪规制范围并无疑问。但还需明确的是，是否只有去识别化、匿名化的个人数据才能够进入商业流通？例如，有观点即主张应基于《个保法》对匿名化个人信息的除外规定，以及《民法典》对个人信息与数据的区分规定，对“个人信息—个人数据”进行二元分型，将匿名化处理后的个人数据与个人信息内容进行截然区分，进而将个人数据视为公共“漂流资源”，确立“国家受托—社会用益”的权属配置思路。尽管以上观点对于个人数据的权属配置做出了有益的探索，但其理论前提，即（以隐私计算技术为保障的）匿名化处理可以完全剥离个人数据的识别性，不论从技术还是规范效果层面均有待商榷。技术的快速迭代，以及个人数据控制者的技术实力、所掌握与个人有关数据的多少等因素均可能影响匿名化的实际效果。从个人信息保护合规计划应当遵循的原则出发，要求所有行业、规模、资金实力的个人数据控制者都必须遵循当前科学技术发展阶段所能达到的匿名化最高标准，无疑是不切实际的。因此，应当基于个人数据难以匿名化、去识别化的现实，将出售个人数据关联主体的权益均纳入刑法保护范围。至于相关数据权益是否均能纳入本罪保护范围，还需根据个人数据权益配置规则与本罪法益的容纳限度进一步考察。主张出售此类个人数据时个人信息权和数据财产权可以完全分离的观点，对这一问题的复杂性缺乏充分的认识，不足为取。因此，还需进一步探索个人数据权益的配置规则，并以之作为本罪法益能否涵盖相关主体权益的判断依据。

2. 个人数据权益配置规则

个人数据的流通与利用会对信息主体的人格权益及相关多方主体的合法权益产生广泛影响，案例1与案例2都充分体现了这一点。私法层面主张采取确权路径实现个人数据有限财产化的观点，主要关注此类数据可识别的信息主体人格权益可能受到的影响，以及数据利用所产生财产价值的分配机制。有观点主张信息主体的同意撤回权、删除权、可携带权等后端权能蕴含着二次协商功能和财产兑现功能，可为自然人参与数字红利分配、实现个人信息的财产利益提供新的路径。也有观点从交易成本理论出发，主张当信息主体个人满足数据获取具有“唯一渠道”或单独为集合性数据支付“加工成本”两者之一的实质要件，以及采取“保密措施”或实施数据权利“唯一化公示”两者之一的形式要件时，个人对于个人数据享有绝对排他的新型数据产权。还有观点跳出数据产权配置逻辑，试图运用个人数据信托的法律解释方法，探索基于“互惠性个人数据利用观念”，构建各类数据利用场景下个人数据收益的公平分配方式。近来主张可将数据分置于公共个人数据、非公共个人数据、非公共非个人数据、公共非个人数据等四个象限，对数据原始处理者与继受处理者分别确权的观点，对非公共部门处理个人数据事实上也采纳了数据信托的思路。

本文认为，在采取确权进路的观点中，“权利束”或“权利块”理论存在过度依赖个案和具体场景利益衡量方法等问题，不值得采纳。四象限确权的方案对不同类型数据确认产权的形式与实质要件作一致要求的观点，则是以区块链技术的普及应用可以使用户享有“个人数据金库”，将个人数据进行链上存储的技术设想为前提，此种设想是否具备必要性与可行性未经充分论证，其未来能否被个人数据交易市场采纳也还是未知数。而个人数据信托的解释方法试图构建的个人数据收益公平分配方式与数据确权的目标别无二致。所谓个人数据信义义务，具体包括忠实义务与谨慎义务，能完全被个人信息保护合规义务所容纳。因此，本文对个人数据承载的财产性利益采纳了“人格权财产性利益模式”，主张对于未经去识别化、匿名化个人数据的财产性利益可依附于信息主体的人格权益，而无需依靠独立的财产犯罪罪名进行保护。在此基础上，鉴于此类个人数据能够识别的权益不限于数据控制者的财产权益，还包括其它公民个人、企业的合法权益甚至公共利益，在出售未去识别化、匿名化个人数据的场合，应当超越侵犯公民个人信息罪仅保护信息主体信息权益的狭隘观念，基于不同的个人信息处理场景，准确识别出售行为可能妨害的有关主体的信息或数据权益，并判断有关权益能否为本罪的保护法益所容纳，进而明确该个人信息处理场景下的出售个人数据行为是否能被纳入本罪的规制范围。

（二）出售行为不法内涵的教义学评价

基于以上认识，首先应判断在信息主体未明确拒绝他人出售内容已公开个人数据时，出售行为造成的危害后果能否为成立侵犯公民个人信息罪要求的法益侵害后果所涵摄。案例1中两平台对有关企业法定代表人、股东的电话号码实名认证后出售的行为，尽管单纯的电话号码属于已公开个人信息，但两平台对其进行实名认证属于分析识别信息主体准确身份，该分析行为需获得信息主体同意，因而两平台未获同意出售的行为对有关信息主体的个人信息自决权造成了实害结果，也给其人身、财产权益带来了抽象危险，而此种抽象危险属于个人信息自决权受到侵犯产生的附随后果，在刑法评价中不具有独立的规范价值。此外，案例2中三被告人向陌生人出售实名认证的微信账号，并未侵犯作为账号持有人的被告人的个人信息自决权，但对微信好友的人身、财产权益带来了抽象危险，之后作为微信好友的被害人被诈骗成功，也表明这一抽象危险已通过后续的诈骗行为得到实现，转化为实害结果。

能否将抽象危险纳入本罪的法益侵害后果？这取决于如何理解本罪的保护法益，就此，学界存在个人法益说、超个人法益说、混合法益说、场景法益说等诸多观点争议。本罪保护的法益应当是法定主体的信息专有权，即个人信息控制主体在法定授权范围内处理所控制个人信息的权限。在不同个人信息处理场景下，该法益内容可分别识别为个人信息自决权或其他关联主体的信息或数据权益。如此，可将出售行为对相关主体信息或数据权益的实害结果与抽象危险纳入本罪的法益侵害后果。

出售行为属于本罪规定的构成要件行为，这一点并无争议，其次还需探讨的是，将对相关主体信息或数据权益造成抽象危险的出售行为纳入本罪处罚范围，是否与前置规范的规定相抵触。《民法典》第1036条第2款要求行为侵害了信息主体的重大权益，而《个保法》第27条只要求行为对信息主体个人权益造成重大影响，该行为不属于“合理处理”，行为人应承担相应法律责任。“侵害重大权益”应理解为要求实害结果，而“造成重大影响”应可涵盖抽象危险，两法的要求似乎并不一致。那么，应当如何确定判断本罪“违反国家有关规定”依据的前置规范呢？本文认为，尽管《民法典》与《个保法》基于各自不同的规范目的，对于处理已公开个人信息危害后果的要求存在显著差异，但均属于刑法的前置规定。因此，将对关联主体信息或数据权益造成抽象危险的出售行为纳入本罪处罚范围，并不违背法秩序统一性原理的要求。基于以上认识，对于案例1中两平台与案例2中三被告人的出售行为，均可认定为本罪。若出售行为妨害了其他数据控制者的竞争利益，依据现行刑法的有关罪名进行规制存在不同程度的障碍，可考虑通过司法解释、刑事立法扩张本罪的危害后果类型与行为类型，或增设反网络不正当竞争的专门罪名，对此类情形进行审慎的犯罪化，完善数字经济的刑法保障机制。

往期目录

关于本刊

《上海政法学院学报》创刊于1986年，原名《法治论丛》（2003年更名为《上海政法学院学报》）。《上海政法学院学报》是我国最早以“法治”命名的法学专业学术期刊之一。

我们立足一流期刊建设目标，坚持 “高质量”“特色化”“专题化”办刊思路，在法学期刊建设上努力探索，学术影响力稳步提升。据中国知网年报显示，《上海政法学院学报》（法治论丛）“复合影响因子”从2022年的3.19提高到2023年的5.26，“综合影响因子”从2022年的1.50提高到2023年的2.97，CI指数排名也从2022年的第33位提升到2023年的30位。此外，据中南财经政法大学2023年信息检索报告统计，《上海政法学院学报》共有42篇次（2022年31篇次）被《新华文摘》《中国社会科学文摘》《高等学校文科学术文摘》《社会科学文摘》和“人大复印资料”等二次文献全文转载或论点摘编，在全国法律类院校学报排名第4位（2022年排第7位）。

我们以“问题意识”为导向，以做好选题策划为根本，在持续推进“党内法规”“数字经济法治”“国家安全法治”等特色栏目建设的基础上，继续追踪学术前沿热点，新增设了“新兴权利法律问题研究”“经典译介”和“初创学者佳作”等专栏。2024年，本刊将新开设“交叉学科研究”“涉外法治研究”专栏及“民法典合同编解释”“新公司法解读”专题，持续对相关领域重大问题进行深入探讨。

我们将以开放姿态拥抱新技术。全面升级网站建设，完善投审稿系统，实现全流程数字化出版；提升微信公众号运营策略，同步推出作者音频视频解读，开通视频号；积极完善网络首发，同步上传作者音频视频，增强学术出版。

我们诚挚地欢迎广大海内外科研工作者关注和支持上政学报并惠赐大作，也欢迎各界朋友积极建言献策、批评指正，以期共同办好《上海政法学院学报》（法治论丛）。来稿请通过《上海政法学院学报》编辑部网站(http://www.shupl.edu.cn/xbbjb/)投审稿系统进行投稿。本刊对来稿严格遵守三审（二审外审）定稿制度，以确保稿件选用公开公平公正。

编辑：汤仙月

审核：康敬奎

以法为基，寻社会治理之策

○

以文为器，求兴国安邦之道

投稿邮箱：xuebao@shupl.edu.cn

微信公众号：law-review1986

网址：http://www.shupl.edu.cn/html/xbbjb

电话：021-39227617 39227619

更多内容请点击下方“阅读原文”进入学报官网查看

上海政法学院学报

law-review1986,汇稿件信息、法学快报、学术资讯等内容，聚纸媒、网媒、活动与服务四位一体，贴近读者、作者、专家的信息需求，做一个有耐心、有速度、有品格、可持续的法学期刊公众号。