個人信息保護問題一直是公眾關(guān)注的焦點。2017年5月9日“兩高”發(fā)布關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋，為刑法第253條的實際適用提供了明確的依據(jù)。但是，個人信息的保護并不僅僅是一個簡單的法律問題，還涉及諸如公眾的知情權(quán)、輿論監(jiān)督等諸多因素，同時也與信息技術(shù)密切相關(guān)，因此，無論是刑法還是該司法解釋，都需要進一步改進和完善。記者根據(jù)北京師范大學法學院教授、亞太網(wǎng)絡(luò)法律研究中心主任劉德良進行的“刑法侵犯個人信息犯罪及其司法解釋的理解與檢討”研究，做了問答整理。

大數(shù)據(jù)背景下立法更應關(guān)注對數(shù)據(jù)的利用

Q：在大數(shù)據(jù)背景下，如何準確理解個人信息 

劉德良：司法解釋第一條對個人信息的界定不符合學術(shù)界對個人信息的一般理解，尤其是它把反映自然人活動情況的各種信息也納入個人信息范疇，混淆“個人信息”和“與個人有關(guān)的信息”，不當?shù)財U大了個人信息的范圍。按照解釋第一條的規(guī)定，“公民個人信息”是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。理論上講，個人信息只是能夠識別出某一特定自然人身份的信息，“身份的可識別性”是個人信息概念的核心。而“反映自然人活動情況的各種信息”則屬于“與人有關(guān)的信息”，它并不強調(diào)“可識別性”，而是強調(diào)“關(guān)聯(lián)性”。因此，該解釋把個人信息界定為身份識別信息和反映個人活動情況的各種信息的做法不符合理論上一般對個人信息的理解和界定，不當?shù)財U大了個人信息的范圍。

所謂識別的相對性，是指作為識別的主體，他/她之前是否對被識別人熟悉或認識;對于一個之前熟悉或認識的人來說，一看(聽或聞)到某些信息(如照片或聲音、氣味)就可以直接識別出某個特定的人，或者將其與某個特定的自然人聯(lián)系在一起;而同樣的信息，如果之前不熟悉或不認識的，可能就不會據(jù)此識別出某個特定的自然人，或者不會將該信息與某個特定的自然人聯(lián)系起來。另外，利用人的感官識別不出來的，可以利用計算機或人工智能技術(shù)識別出來;在大數(shù)據(jù)技術(shù)之前識別不出來的話，在大數(shù)據(jù)背景下可能就沒有問題了。

個人信息是能夠直接或間接識別出一個人的信息或信息的組合。值得注意的是，在互聯(lián)網(wǎng)背景下，個人信息是碎片化(以數(shù)據(jù)形式)存在的，它是由N個數(shù)據(jù)片斷組合而成的，N個片斷的組合在一起(整體)才是某個人的個人信息，那么即使是N – 1個片斷，由于不是完整的，所以不能識別出特定自然人，因此也就不能稱為個人信息。同時，個人信息在網(wǎng)絡(luò)環(huán)境下也是動態(tài)存在的，即同一個人的個人信息在不同的使用網(wǎng)絡(luò)(購物、瀏覽網(wǎng)頁等)條件下所呈現(xiàn)出來的形態(tài)或表現(xiàn)形式是不盡相同的。現(xiàn)在商家通過互聯(lián)網(wǎng)所收集的消費者的消費偏好等數(shù)據(jù)，(這些被大部分人稱作個人信息，)實際上并不是個人信息，最多只能算是與個人有關(guān)的數(shù)據(jù)。在商家眼里，一般來說，它并不關(guān)心某個消費者是張三，還是李四;他只關(guān)心他們有何種偏好即可，這樣便于它做有針對性的營銷。

在大數(shù)據(jù)技術(shù)出現(xiàn)之前，界定個人信息不僅具有重大的理論意義，還具有重要的現(xiàn)實意義。但是，在大數(shù)據(jù)時代背景下，對個人信息下定義也就僅僅具有理論意義了，其現(xiàn)實意義已經(jīng)所剩無幾了。這是因為，只要有足夠多的數(shù)據(jù)，就一定能夠識別出特定的自然人。這就意味著在大數(shù)據(jù)時代的今天，乃至未來，我們之前關(guān)注個人信息的識別性特征已經(jīng)失去了意義，即我們的理論和立法更應該關(guān)注對個人信息的利用環(huán)節(jié)，而不是收集和加工環(huán)節(jié)。換言之，收集、加工或處理的目的就是利用，而這些難以發(fā)現(xiàn)和規(guī)范的收集、加工或處理階段只是利用前的過程，利用才是目的;一般來說，除了法律意義上的隱私(直接攸關(guān)主體的名譽或尊嚴但又與公共利益和社會利益無直接關(guān)系的個人信息)外，也只有利用才會對主體構(gòu)成傷害或消極影響。因此，在大數(shù)據(jù)背景下，立法更應該關(guān)注的是對數(shù)據(jù)的利用，而不應該是利用前的收集、加工和處理環(huán)節(jié)了。

個人信息法律保護制度的實施效果很差

Q：刑法第253條自2009年頒布以來，全國進入法院的有關(guān)案件和判刑的人數(shù)分別是1464件和2112人。這些數(shù)字和個人信息保護的現(xiàn)實對比說明了什么 為何會如此 

劉德良：這些數(shù)字說明了現(xiàn)行有關(guān)個人信息法律保護制度的實施效果很差，缺乏可操作性。實際上，與天文數(shù)量級別的所謂個人信息泄露數(shù)字相比，這些數(shù)字幾乎可以忽略不計。我們每個人都會遇到很多次所謂的個人信息泄露，從升學、找工作，再到買房、租房等都會遇到所謂的個人信息泄露問題，我們每天都會接到很多垃圾短信和騷擾電話，但這些個人信息泄露問題幾乎沒有被公安發(fā)現(xiàn)，沒有被作為刑事案件立案、偵查和起訴到法院。為什么呢 因為沒有人會到公安機關(guān)去報案;為什么沒有人愿意去報案呢 是因為個人去報案時公安機關(guān)十有八九會以沒有什么危害或者以我們的(證明信息泄露的出處)證據(jù)不足為由而拒絕受理。而實際上，如果沒有引起社會的強烈關(guān)注或沒有出現(xiàn)人命關(guān)天的事件時，公安機關(guān)一般是不會主動介入的。這也可以從既有的案例中得到印證。因此，僅僅憑借司法解釋是無法改變這種現(xiàn)狀的，畢竟司法解釋的適用前提是案件進入司法程序。

Q：互聯(lián)網(wǎng)企業(yè)利用合同條款分享其所收集到的個人數(shù)據(jù)及企業(yè)的合并、分立等都會涉及到所謂的“收受”、“交換”，這些情形能否適用該解釋 

劉德良：司法解釋第四條規(guī)定，違反國家有關(guān)規(guī)定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息的，屬于刑法第二百五十三條之一第三款規(guī)定的“以其他方法非法獲取公民個人信息”。

在互聯(lián)網(wǎng)企業(yè)領(lǐng)域，通過格式合同條款或者所謂的隱私政策條款對于收集的用戶數(shù)據(jù)(有些甚至就是個人信息)的分享做出規(guī)定是慣例。一般情況下，用戶實際上根本沒有機會看到這些條款，因此其所謂的同意和知情實際上是一句空話。在此情況下，互聯(lián)網(wǎng)企業(yè)通過合同條款分享用戶的個人信息(數(shù)據(jù))比較盛行。按照司法解釋的規(guī)定，互聯(lián)網(wǎng)企業(yè)之間對基于格式合同獲取的個人信息(數(shù)據(jù))相互分享行為是否屬于該條規(guī)定 如果屬于，這不僅對互聯(lián)網(wǎng)產(chǎn)業(yè)的發(fā)展是一個極大的打擊，也會對大數(shù)據(jù)戰(zhàn)略的實施帶來法律障礙。

Q：是否應該區(qū)分“提供”與“出售”行為 行為人的主觀目的是否影響對行為的性質(zhì)認定 

劉德良：在我看來，從邏輯和語義上看，既然解釋要把“提供”和“出售”區(qū)別開來，說明二者確實是有區(qū)別的。實際上，出售是以營利為目的的行為，而提供則不是基于營利目的。司法解釋第三條卻規(guī)定向特定人提供公民個人信息，以及通過信息網(wǎng)絡(luò)或者其他途徑發(fā)布公民個人信息的，應當認定為刑法第二百五十三條之一規(guī)定的“提供公民個人信息”。顯然，司法解釋的這條規(guī)定忽略了很多基于知情權(quán)和輿論監(jiān)督目的在網(wǎng)絡(luò)上公開那些嚴重違法、違紀行為人的有關(guān)個人信息的正當性、合理性和必要性。如果將這條解釋付諸實施的話，就沒有人敢在網(wǎng)絡(luò)上公開那些貪官污吏的違法違紀行為了;我們的反腐倡廉政策、國民的檢舉揭發(fā)權(quán)利就在很大程度上變成一句空話了;其實施后果無異于為那些貪官污吏提供法律上的庇護傘。因此，一般人認為，以后網(wǎng)絡(luò)上所謂的“人肉搜索”行為是違反刑法的行為，可以構(gòu)成犯罪。

另外，從刑法理論上講，行為人的主觀目的不僅會影響到對行為的性質(zhì)認定，而且也會對刑事責任的具體適用產(chǎn)生影響。從行為的目的上看，如果僅僅是提供行為，其目的又具有合理性，比如向媒體采訪者或者應當事人的同學、朋友索要提供電話號碼以便采訪、聯(lián)系需要，那么，即使未征得當事人的同意，也不具有可責性，更談不上可罰性。從罰金刑適用的理念來看，它主要是針對財產(chǎn)性犯罪的，因此，即使要對提供行為定罪，也不能適用罰金，而對于出售行為，則可以適用罰金刑。顯然，司法解釋未做上述區(qū)分的做法是值得商榷的。

個人信息保護要考慮公眾知情權(quán)和輿論監(jiān)督

Q：該解釋將行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息與住宿信息、通信記錄、健康生理信息、交易信息等區(qū)別對待的依據(jù)何在 

劉德良：根據(jù)解釋第五條之(三)規(guī)定，非法獲取、出售或者提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息五十條以上的;(四)非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的;(五)非法獲取、出售或者提供第三項、第四項規(guī)定以外的公民個人信息五千條以上的。按照這種規(guī)定，似乎行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息要遠比住宿信息、通信記錄、健康生理信息、交易信息更加重要。不知道司法解釋的制定者為何做出如此規(guī)定，其重要性區(qū)分的標準是什么 財產(chǎn)信息，尤其是官員、公眾人物的財產(chǎn)信息攸關(guān)公眾的知情權(quán)和輿論監(jiān)督權(quán)，司法解釋做如此規(guī)定顯然沒有考慮到這些。至于征信信息，它對于構(gòu)建誠信社會具有重要意義，把征信信息作為重要的需要保密的個人信息，也是不利于制約失信人，不利于構(gòu)建誠信社會。

Q：基于公眾的知情權(quán)和輿論監(jiān)督，在網(wǎng)絡(luò)上披露公眾人物、政治人物乃至違法者的個人信息也應該適用該解釋 

劉德良：司法解釋第五條規(guī)定，非法獲取、出售或者提供行蹤軌跡信息、征信信息、財產(chǎn)信息、住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息屬于刑法第二百五十三條之一規(guī)定。顯然，這種解釋忽略了社會公眾的知情權(quán)、輿論監(jiān)督權(quán)，因為政治人物的健康狀況、財產(chǎn)信息、住宿信息和交易信息都可能攸關(guān)權(quán)力濫用與腐敗，因此他們的行為應該接受社會公眾的輿論監(jiān)督，社會公眾也有權(quán)知悉其有關(guān)信息。公眾人物由于從社會公眾的關(guān)注中獲得利益，因此社會公眾對其健康狀況、財產(chǎn)信息、交易信息等享有知情權(quán)。對于某些違法行為人，尤其是對于一些被判定有罪的人，社會公眾(基于自身安全)享有某種程度的知情權(quán)也具有一定的正當性。反之，如果放任了司法解釋的這種做法，社會公眾的知情權(quán)、輿論監(jiān)督權(quán)將受到極大限制，不利于監(jiān)督權(quán)力濫用和預防腐敗。

應增加“個人信息濫用罪”“侵犯個人信息財產(chǎn)罪”

Q：如何從本次司法解釋看未來立法的修改與完善問題 

劉德良：從刑七修正案(2009年)開始設(shè)立個人信息犯罪條款以來的立法、司法實踐和侵犯個人信息的實際狀況來看，所謂的個人信息的非法泄露、買賣和提供行為幾乎無處不在、無時不有，但作為公訴案件，公安機關(guān)很少主動發(fā)現(xiàn)和立案偵查;而個人又很少去報案，即使有報案的，公安機關(guān)也基本上(認為危害很小而)不予理會。而垃圾信息和騷擾電話問題盛行不減，身份假冒和濫用問題十分猖獗。這說明我們的立法導向出現(xiàn)了問題：本應該將立法的重點放在打擊對個人信息的非法利用方面，而不是所謂的泄露和非法獲取、提供等行為。

未來立法在理論上應該區(qū)分兩類不同性質(zhì)的個人信息并分別采取不同的規(guī)制方法，即對于那些直接攸關(guān)名譽或尊嚴又與公共利益和社會利益無直接關(guān)系的個人信息(法律上的隱私)需要保密，禁止非法刺探、搜集、傳播和濫用;對于那些與名譽或尊嚴無直接關(guān)系的個人信息，立法規(guī)制的重心在于防止濫用。同時，立法應該確立個人信息商業(yè)價值的獨立法律地位，未經(jīng)允許，擅自出售他人個人信息的行為視為一種獨立的財產(chǎn)侵權(quán)行為。

根據(jù)上述分析，未來刑法有關(guān)個人信息犯罪的規(guī)定應該作如下完善：一是在侵犯人身權(quán)利罪一章中增加侵犯隱私罪，即禁止非法刺探、搜集、傳播他人隱私，違者視為犯罪。同時考慮到侵犯隱私罪所侵害的主要是個人(人格)利益，因此把侵犯隱私罪作為自訴案件處理。當然，這里的隱私不是目前學術(shù)界所謂的隱私，而是借鑒我國傳統(tǒng)陰私觀念而來的，是指與公共利益和社會利益無直接關(guān)系，同時又直接攸關(guān)名譽或尊嚴的個人信息，它包括但不限于裸照、性生活信息等。二是把侵犯個人信息商業(yè)價值的行為(即非法出售個人信息行為)納入侵犯財產(chǎn)罪中予以規(guī)范。

具體而言，就是在現(xiàn)行刑法第五章“侵犯財產(chǎn)罪”中增加一條“侵犯個人信息財產(chǎn)罪”，把那些未經(jīng)許可擅自對個人信息進行商業(yè)化利用的行為(比如未經(jīng)授權(quán)擅自對他人的肖像、姓名、聲音等個人信息進行商業(yè)化利用的行為)、非法出售個人信息的行為(僅僅規(guī)范非法出售個人信息行為，而無需規(guī)范購買或獲取行為)納入其中予以規(guī)范?？紤]到非法侵害個人信息財產(chǎn)(權(quán))罪在本質(zhì)上屬于侵害個人財產(chǎn)權(quán)益的犯罪，因此可以比照現(xiàn)行刑法第270條的侵占罪對侵害個人信息財產(chǎn)(權(quán))作為自訴案件處理。三是在現(xiàn)行刑法第六章妨害社會管理秩序罪中增加一章“個人信息濫用罪”囊括有關(guān)發(fā)送垃圾信息罪、騷擾電話罪、身份假冒和濫用罪等罪名。這樣，我們目前所擔心的個人信息保護問題都可以得到真正的解決。

來源：36大數(shù)據(jù)