谁是泄露公民个人信息的“刺客”？

此前因从事“私家侦探”调查工作，董某被法院以侵犯公民个人信息罪判刑。出狱后他又重操旧业，成立公司，接受委托人委托，通过全程跟踪、安装电子设备等获取并记录目标对象不同时段的地理位置及实时动态情况，以此卖给委托人获利。

“董某等人接受的委托主要是家庭婚恋方面，还有涉及债务方面的。他的行为侵犯了公民个人信息的行踪轨迹信息。”案件承办人、上海市奉贤区检察院检察官胡军妹对记者解释说，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》）规定，刑法第253条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

记者注意到，《解释》将上述公民个人信息分为三个层次，并规定了不同的入罪标准。第一类为行踪轨迹信息、通信内容、征信信息、财产信息；第二类为住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息；第三类为除前述类型之外的公民个人信息。入罪标准分别是50条、500条和5000条。

“前两类因与公民人身、财产安全直接相关，入罪门槛相对较低。被非法获取、出售或者提供后，可能会对公民造成严重影响，甚至可能会让人付出生命的代价。”江苏省苏州市姑苏区检察院检察官胡舒琼告诉记者，她办理的一起案件中，因为App违法获取和泄露了女孩的行踪轨迹，女孩的前男友追踪而至，导致女孩不幸遇害。

与公民自身安全直接相关的信息，也是犯罪分子下手的主要目标。北京市高级法院对2018年至2023年全北京市法院审结的侵犯公民个人信息罪案件进行了调研统计和实证分析，发现超1/3的涉案信息属于《解释》的前两类信息。

“上述信息对公民来说属于敏感信息，因此价值也高，进而导致了易泄露。”中国政法大学互联网金融法律研究院院长李爱君教授解释道。

多位检察官在采访中向记者反映，老年人等相对数字弱势群体容易成为不法分子重点“围猎”的对象。重庆市江津区检察院检察官江娜办理的一起案件中，胡某等8人以向村民提供激活医保电子凭证志愿服务名义，针对没有使用智能手机的农村老年群体，秘密窃取其身份证信息、人脸识别信息和手机号码等个人信息。“村民朴素的观念里认为来激活电子医保凭证的工作人员就是政府工作人员，所以放心地将手机交给他们。但实际上，这些工作人员是外包人员，打着助老志愿服务的幌子窃取公民个人信息，致使317名农村老人掉入‘陷阱’。”江娜对记者说。

假冒身份骗取信息、利用黑客技术盗取信息、利用职务便利非法泄露信息、通过网络平台买卖或交换信息……犯罪分子非法获取公民个人信息的渠道十分广泛。而多名受访检察官向记者表示，行业“内鬼”是泄露公民个人信息的主要源头，这些人或通过直接接触个人信息的工作进行非法查询、下载，或间接利用职务或工作关系请托他人帮助查询、传输等方式，非法获取公民个人信息。

广东省佛山市南海区检察院检察官肖景芳前不久就办理了一起这类案件：5名高铁站员工利用职务便利，查询演艺明星搭乘高铁的行程信息或者居民身份证号码等个人信息并出售给他人获利56万余元。“办案中我们还追查了多名倒卖信息的下家，推动铁路系统以及相关部门加强内部监管并采取措施规范治理。”肖景芳介绍说。

随着近年来我国邮政快递业高速发展，快递行业“内鬼”侵犯公民个人信息违法犯罪案件也时有发生。在上海市青浦区检察院办理的一起案件中，高某利用担任某快递公司客服人员的工作便利，自己或指使同事使用快递公司的核心信息系统违规查询下载包括姓名、电话、收件地址等内容的客户信息，并通过微信出售给他人，非法获利8万余元。

“一些公司存在信息系统不健全、数据保管不严密、员工教育监管不到位等管理漏洞，让不法人员有了可乘之机。他们或者通过违规爬数据，或者通过‘拍面单’等方式，窃取公司保管的公民个人信息，非法泄露，具有一定的社会危害。”该院党组成员、副检察长王喆骅对记者说，青浦区作为全国快递转型发展示范区，多家全国和区域快递总部聚集于此，除了严惩相关违法犯罪行为，还针对办案中发现的问题，他们从快递专区实名制进出、操作系统刷脸式认证、可疑软件拉网式排查、快递流程全天候监控等方面，向涉案快递公司提出可行性强的检察建议。

“从实践来看，侵犯公民个人信息犯罪属于上游犯罪，不法分子非法获取公民个人信息后，往往进一步实施相关犯罪。”西南政法大学副教授张永强表示。

自媒体时代，在利益的驱使下，一些自媒体想要通过雇用“网络水军”刷流量、炒热度。有买家就有卖家。在安徽省肥西县检察院此前办理的一起案件中，被告人为非法获利，购买近1万条公民个人信息，用于实名注册自媒体视频平台账号，充当“网络水军”帮别人点赞。

特别是通过侵犯公民个人信息实施的网络暴力——“开盒挂人”，相较于“人肉搜索”有过之而无不及，其信息传播范围更广、社会危害更大、影响消除更难。2019年1月至5月，刘某为泄愤报复网络主播李某，从他人处购买李某及其父母的姓名、年龄、住址、身份证号码、照片等个人信息后，编辑上述照片等信息并添加诅咒文字，通过几十个网络账号多次发布，引发大量负面评论，还私信发送李某照片等个人身份信息给李某的粉丝，并扬言要蹲点杀害李某。经湖南省醴陵市检察院提起公诉，刘某因犯侵犯公民个人信息罪被判刑。

2023年9月，“两高一部”发布《关于依法惩治网络暴力违法犯罪的指导意见》（下称《指导意见》），规定组织“人肉搜索”，违法收集并向不特定多数人发布公民个人信息，情节严重，符合刑法第253条之一规定的，以侵犯公民个人信息罪定罪处罚。“一些‘人肉搜索’‘开盒挂人’案件，可参照《指导意见》进行办理，案件中如涉及公然侮辱他人或故意捏造散布虚构事实破坏他人名誉的行为，情节严重的可能涉嫌侮辱罪和诽谤罪。”胡舒琼告诉记者。

当前，非法获取、提供个人信息已成为网络犯罪的重要环节，滋生出电信网络诈骗、骚扰电话、网络水军、“人肉搜索”等一系列黑灰产业，严重侵害公民人身权益和财产安全。近年来，检察机关加强对上游信息收集、提供、倒卖等环节犯罪行为的全链条打击，2023年1月至11月，起诉侵犯公民个人信息犯罪7300余人。

个人信息泄露，与个人生活安宁、生命财产安全息息相关，引发全社会高度关注。如何做好个人信息保护这道“必答题”，防止违法犯罪行为发生？

在张永强看来，个人信息保护法自2021年11月1日施行后，我国已建立起全方位法治保护体系，在此背景下，从源头预防和治理侵犯公民个人信息违法犯罪有了现实可行的基础和依据。

如何将末端治理调整为前端预防，从源头遏制此类行为，形成综合治理格局？“要发挥前置法效能，对享有信息收集、存储、使用等重要权限的行业、领域进行重点监督和防控，尤其是涉及高敏、敏感信息、特殊群体个人信息的行业，尽快完善行业规范和填补监管漏洞。”张永强进一步指出，监管部门要督促企业加强技术保障和数据监控，增强自律意识和构建有效的自我监管机制，在企业内部形成一套实时、定期、长效的个人信息泄露监管机制。同时，定期对内部员工开展相关培训，明确投诉举报渠道，鼓励各方监督主体积极参与。

李爱君建议，要加强部门联动，定期举行联席会议，共同构建安全防线，构建全链条打击侵犯公民个人信息犯罪的合力。

个人信息保护法明确授权检察机关可以提起个人信息保护领域公益诉讼。胡舒琼表示：“如果侵犯公民个人信息的行为可能损害社会公共利益，我们在办案时会将相关线索移送公益诉讼检察部门审查。”肖景芳建议，可以在个人信息保护公益诉讼中探索、推动适用惩罚性赔偿制度，以此提升违法犯罪成本，起到有效预防、震慑作用。

据了解，在检察机关今年开展的“检护民生”专项行动中，最高检专门下发通知要求积极稳妥扩大个人信息保护领域办案规模，加强刑事检察与公益诉讼检察衔接协作，集中办理一批个人信息保护重点案件，强化精准监督和源头治理。

此外，记者注意到，当前犯罪分子利用AI“换脸”、通过声音合成技术实施诈骗等违法犯罪活动的苗头已开始显现，容易次生出侵害公民个人信息犯罪等上游犯罪。如何解决此类问题？

“有必要进一步完善相关领域的法律法规，细化这些技术滥用行为的法律责任及处罚标准。”胡舒琼建议。

“要用技术制约技术。”李爱君认为，鼓励和支持技术创新，引导相关企业和科研人员加强AI技术相关研究，开发有效的识别和防范技术，推动生物识别技术企业采用更为安全的数据加密和存储手段。

你会不会经常收到推销短信？频繁接到诈骗电话？或者陌生人竟能准确说出自己的家庭地址、交易记录、行踪轨迹？广东省惠州市大亚湾经济技术开发区检察院办理的一起侵犯公民个人信息案解开了这个谜团。今年1月22日，经该院提起公诉，法院以侵犯公民个人信息罪判处韩某有期徒刑三年六个月，并处罚金1万元。韩某不服一审判决，提出上诉。近日，二审法院裁定驳回上诉、维持原判。

韩某曾在企业任信息技术员，失业后于2022年8月来到惠州。为获取非法利益，韩某产生了买卖他人隐私信息的想法，随即购买了电脑、手机等设备，利用VPN软件“翻墙”后通过多个境外聊天软件账户买卖公民个人信息。为了给自己的不法行为披上合法的外衣，韩某注册了一家网络科技有限公司，招募并控制主播在多个直播平台开展直播业务，诱导观众添加指定的微信、QQ号，用于引流、转卖。

2023年4月，公安机关根据举报，在其住处抓获了正在通过境外聊天软件买卖公民个人信息的韩某，现场查获了用于作案的电脑、手机、U盘等设备，其中包括存放了过亿条公民个人信息的计算机硬盘3个。

面对讯问，韩某辩称硬盘系其购买的二手硬盘、境外聊天软件账号均为购买所得。对于被抓捕时正在进行的非法交易行为，韩某也将之辩解为：“当时是因为好奇第一次登录软件，刚好打开了买卖公民个人信息群的聊天界面，没想到同步缓存了其他使用涉案账号人员的聊天记录。”

“电脑上发现的大量公民个人信息都是境外聊天软件自动缓存的”“我买到手时二手硬盘里就有公民个人信息”“买来的聊天软件账号里就有买卖公民个人信息的群了”……面对公安机关查获的诸多证据，韩某拒不承认犯罪事实。

2023年5月，公安机关将该案提请检察机关批准逮捕。面对检察官的讯问，韩某仍拒不承认犯罪事实。办案检察官意识到，当务之急是要弄清涉案计算机软件系统的运行逻辑，捋清案件脉络、分析整合证据、辨明供述真伪，重新构建证据链条。检察官在信息技术部门、公安网监等部门专业人员的帮助下，弄清了有关软件运行规则，尤其是如何判断计算机软硬件运行的操作权限、使用逻辑、运行时间节点等问题，找到了突破口。

检察官发现，韩某使用的云网盘管家账户系用其名下手机号注册的，按照该软件的使用逻辑，上传数据需要得到使用人员操作同意；涉案硬盘均为系统安装所在盘，使用前需要重装系统，并由操作人员授权安装使用软件。

根据硬盘内部分存有公民个人信息文件的最初创建时间、操作系统的安装时间，以及韩某供述购买硬盘的时间，检察官经分析认为，韩某在购买硬盘后试图用反复擦写的方式逃避侦查，而涉案硬盘数据有相关使用痕迹，这能证明韩某收集、储存公民个人信息的主观故意。

通过恢复扣押手机中的数据，检察官还发现了韩某与上下家交流、买卖公民个人信息的聊天记录和使用虚拟货币进行支付结算的交易记录，证实了韩某确有非法买卖公民个人信息的不法行为。

经对海量数据进行梳理，在排除重复数据后，检察官认定韩某非法获取公民个人信息共计3.6亿余条。

2023年10月24日，大亚湾经济技术开发区检察院以韩某涉嫌侵犯公民个人信息罪提起公诉。