近年來，侵犯公民個人信息犯罪處于高發態勢，犯罪涉案利益鏈條長，團伙內外勾結，犯罪手法逐步升級且更趨隱蔽，受害群體已覆蓋各行各業、各個年齡階段，給人民群眾造成了巨大的財產損失和精神恐慌，已經成為嚴重侵害公民人身權利的社會公害。僅2016年，全國公安機關共偵破網絡侵犯公民個人信息案件數量達2100多起，查獲公民個人信息500多億條，抓獲的犯罪嫌疑人5000多人，其中屬于各行業的內鬼450多人。在侵犯公民個人信息犯罪的案件中，不僅涉及專門為電信網絡詐騙分子非法提供個人信息的上游團伙，還涉及金融、通信、快遞、教育、醫療等行業中的內鬼，這些內鬼已經成為實施侵犯公民個人信息犯罪的重要主體。目前，侵犯公民個人信息犯罪從非法收集、提供竊取到交易、交換等各個環節已近形成了完整的犯罪利益產業鏈，且此類犯罪還進一步擴散蔓延。
為依法懲治侵犯公民個人信息犯罪活動，保護公民個人信息安全和合法權益，最高人民法院和最高人民檢察院（以下稱：“兩高”）在廣泛調查研究和反復研究論證的基礎上，根據我國刑法和刑事訴訟法的有關規定制定和發布了《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下稱：《司法解釋》），這是“兩高”首次就打擊侵犯公民個人信息犯罪聯合出臺的司法解釋，司法解釋對侵犯公民個人信息犯罪的定罪量刑標準和有關法律適用問題進行了全面系統規定。
一、關于司法解釋的效力
按照《立法法》的規定，司法解釋屬法律解釋的一種 ，是國家最高司法機關在適用法律、法規的過程中，對如何具體應用法律、法規的問題所作的解釋。 在司法實踐中，司法解釋主要有三類，第一類是最高人民法院對于審判工作中如何具體應用法律的問題所作的審判解釋；第二類是最高人民檢察院對于檢察工作中的如何具體應用法律的問題所作的檢察解釋；第三類是最高人民法院和最高人民檢察院對具體應用法律的共性問題所作的聯合解釋。本文涉及的《司法解釋》屬于第三類。
司法解釋是我國法律解釋的重要內容，它在法學實踐和法學理論發展中發揮著不可低估的作用。應該指出，司法解釋是在法律存在漏洞和法律規定的比較原則和籠統的情況下，對法律的補充，具有填補漏洞的作用。法律漏洞的產生主要基于三個原因：一是立法者對所涉案型未予考慮或考慮得不夠周詳；二是社會現象和科技發展的日新月異，現行環境及其價值判斷不斷的發生變化，特別是網絡與信息技術進步帶來的變化，使原有法律規定對現實不相適應；三是立法者對于認識不成熟的問題不做規定，而有意讓最高司法機關來逐步完成。
根據我國《立法法》的規定，法律解釋權屬于全國人民代表大會常務委員會，最高司法機關可以向全國人民代表大會常務委員會提出法律解釋要求。在我國，司法解釋已成為保障法律正確適用的重要手段，是司法經驗的高度結晶，具有法律效力。同時司法解釋也成為了我國重要法律淵源，并在我國法律體系中占據著十分重要的地位。
二、《司法解釋》就侵犯公民個人信息犯罪對刑法條文進行了擴充解釋
為了打擊愈日益猖獗的侵犯公民個人信息的違法犯罪行為，2009年出臺的《刑法修正案（七）》首次將出售、非法提供、非法獲取公民個人信息的行為認定為犯罪，為保護公民個人信息奠定了刑法基礎。由于《刑法修正案（七）》規定的非法獲取公民個人信息犯罪的主體僅限于國家機關或者金融、電信、交通、教育、醫療等單位的工作人員，犯罪主體和侵犯個人信息行為的范圍太窄。2015年出臺的《刑法修正案（九）》對本罪條文進行了修改，正式設立了“侵犯公民個人信息罪”，并擴大了犯罪主體和侵犯個人信息行為的范圍。但在司法實踐中, 《刑法》第二百五十三條之一中的“公民個人信息”沒有確定法定范圍以及“情節嚴重”、“情節特別嚴重”等定罪量刑標準尚不明確，條款中的“違反國家有關規定”內容含混等，致使司法實踐中的法律適用問題存在很大爭議，亟需通過司法解釋予以明確。
《司法解釋》是對《刑法》第二百五十三條之一的擴充，屬法律解釋中的擴充解釋，擴充解釋是指當法律條文的字面過于狹窄，不足以表現立法意圖、體現社會需要時，對法律條文所作的寬于其文字含義的解釋。比如對《刑法》第二百五十三條之一規定“違反國家有關規定”，《司法解釋》對“國家有關規定“擴充為違反法律、行政法規、部門規章有關公民個人信息保護的有關規定；再如《刑法》第二百五十三條之一第三款規定，竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。《司法解釋》對“以其他方法非法獲取”擴充解釋為“違反國家有關規定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息”等。
鑒于侵犯公民個人信息案件定罪量刑的標準主要依據的是公民個人信息數量，《司法解釋》專門擴充規定了數量計算的規則，如《司法解釋》規定：“非法獲取了他人撥打電話的記錄五十條，將其出售給同一人或者單位的，應當認定為侵犯公民個人信息五十條。”“ 非法獲取公民個人信息后又出售或者提供的，公民個人信息的條數不重復計算。”“向不同單位或者個人分別出售、提供同一公民個人信息的，公民個人信息的條數累計計算。”等
三、《司法解釋》確定了“公民個人信息”的范圍
《司法解釋》第一條規定，刑法第二百五十三條之一規定的“公民個人信息”，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。我國《網絡安全法》第七十六條對“個人信息”的含義專門進行了文意解釋，即個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。可見，《司法解釋》確定的“公民個人信息”范圍不但包括了《網絡安全法》確定的“個人信息”的全部內容，而且還增加了公民個人的“賬號密碼、財產狀況、行蹤軌跡”等隱私內容。
筆者認為，從《司法解釋》確定的公民個人信保護范圍看，《司法解釋》重點涉及的是公民個人的隱私信息，這類個人信息的特征是與公共利益、他人利益無關的，為當事人不愿意他人知道或他人不便知道的私人信息，當事人不愿意他人干涉或他人不便干涉的私人活動，當事人不愿意他人侵入或他人不便侵入的私人空間。對此，《全國人民代表大會常務委員會關于加強網絡信息保護的決定》第一條明確規定，國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息。
四、《司法解釋》關于“情節嚴重”和“情節特別嚴重”的認定標準
根據《刑法》第二百五十三條之一關于“侵犯公民個人信息罪”的定罪與量刑的規定，“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。”可見，構成“侵犯公民個人信息罪”的要件為“情節嚴重”。司法實踐中對“情節嚴重”的判斷主要集中在信息類型、信息數量、信息用途、營利數額、犯罪主體等五個方面，為此《司法解釋》在總結司法實踐的基礎上，依照侵犯公民個人信息的信息類型和數量，違法所得數額、信息的用途、行為人的主體身份以及是否屬于屢教不改等要素，將“情節嚴重”設置了十項認定標準（包括一項兜底條款）：（一）出售或者提供行蹤軌跡信息，被他人用于犯罪的；（二）知道或者應當知道他人利用公民個人信息實施犯罪，向其出售或者提供的；（三）非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的；（四）非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的；（五）非法獲取、出售或者提供第三項、第四項規定以外的公民個人信息五千條以上的；（六）數量未達到第三項至第五項規定標準，但是按相應比例合計達到有關數量標準的；（七）違法所得五千元以上的；（八）將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數量或者數額達到第三項至第七項規定標準一半以上的；（九）曾因侵犯公民個人信息受過刑事處罰或者二年內受過行政處罰，又非法獲取、出售或者提供公民個人信息的；（十）其他情節嚴重的情形。
《司法解釋》根據侵犯公民信息犯罪的危害后果，確定了實施第五條第一款規定的行為，具有下列四種情形之一的，將認定為刑法第二百五十三條之一第一款規定的“情節特別嚴重”：（一）造成被害人死亡、重傷、精神失常或者被綁架等嚴重后果的；（二）造成重大經濟損失或者惡劣社會影響的；（三）數量或者數額達到前款第三項至第八項規定標準十倍以上的；（四）其他情節特別嚴重的情形。
五、為合法經營活動而非法購買、收受公民個人信息將構成“情節嚴重”的犯罪
目前，一些些商業機構為了經營活動公開非法購買和收受公民的個人信息，且具有明顯的經濟目的，這些行為違反了合法、正當、必要的法定原則，侵犯了公民的信息權和隱私權。對此，《司法解釋》第六條明確規定，為合法經營活動而非法購買、收受本解釋第五條第一款第三項（非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的）和第四項(非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的）規定以外的公民個人信息，具有下列情形之一的，應當認定為刑法第二百五十三條之一規定的“情節嚴重”：（一）利用非法購買、收受的公民個人信息獲利五萬元以上的；（二）曾因侵犯公民個人信息受過刑事處罰或者二年內受過行政處罰，又非法購買、收受公民個人信息的；（三）其他情節嚴重的情形。如果將購買、收受的公民個人信息在非法出售或者提供給他人，定罪量刑標準適用《司法解釋》第五條的規定。
《司法解釋》明確了對侵犯公民個人信息犯罪的單位刑事責任，我國刑法對單位犯罪在絕大部分情況下采取兩罰制，一是對單位的罰金，二是對直接責任人的刑罰。《司法解釋》在兩罰制中，對單位是判處罰金，判處罰金采取無限額罰金制，即對罰金的數額未作規定；對直接負責的主管人員和直接責任人員是判處刑罰。《司法解釋》第七條規定，對單位觸犯刑法第二百五十三條之一規定之罪的，依照對相應自然人犯罪的定罪量刑標準，對直接負責的主管人員和其他直接責任人員定罪處罰，并對單位判處罰金。
六、設立網站侵犯個人信息將構成非法利用信息網絡罪
《司法解釋》對《刑法》中的非法利用信息網絡罪也進行了擴充解釋，《刑法》第二百八十七條之一規定，利用信息網絡實施下列行為之一，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金：(一)設立用于實施詐騙、傳授犯罪方法、制作或者銷售違禁物品、管制物品等違法犯罪活動的網站、通訊群組的；(二)發布有關制作或者銷售毒品、槍支、淫穢物品等違禁物品、管制物品或者其他違法犯罪信息的；(三)為實施詐騙等違法犯罪活動發布信息的。
網絡時代，侵犯個人信息和實施通訊信息網絡詐騙是兩大主要新型網絡違法犯罪類型，其中違法犯罪活動的網站和通訊群組以及利用網絡發布與實施詐騙是上述兩大犯罪的兩個終端。我國《網絡安全法》第四十六條有針對性的設定了兩項禁止性規定，一是任何個人和組織應當對其使用網絡的行為負責，不得設立用于實施詐騙，傳授犯罪方法，制作或者銷售違禁物品、管制物品等違法犯罪活動的網站、通訊群組；二是不得利用網絡發布涉及實施詐騙，制作或者銷售違禁物品、管制物品以及其他違法犯罪活動的信息。對此，《司法解釋》第八條規定，設立用于實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網站、通訊群組，情節嚴重的，應當依照刑法第二百八十七條之一的規定，以非法利用信息網絡罪定罪處罰；同時構成侵犯公民個人信息罪的，依照侵犯公民個人信息罪定罪處罰。
七、網絡運營者拒不履行管理義務將觸犯刑法
目前，一些網絡運營者和其他商業機構對個人信息的收集、使用、加工、傳輸，已經到了公開化、常態化、系統化階段，但是有不少網絡運營者是因為履行職責或者提供服務的需要獲取公民的個人信息，這些網絡運營商掌握了海量的公民個人信息，一旦泄露將造成惡劣社會影響和嚴重危害后果。我國《網絡安全法》第四十五條明確規定，依法負有網絡安全監督管理職責的部門及其工作人員，對在履行職責中知悉的個人信息、隱私和商業秘密嚴格保密，不得泄露、出售或者非法向他人提供。該條重點強調了對個人信息私權的保護。
刑法修正案(九)專門設定了一個新的罪名“拒不履行信息網絡安全管理義務罪”，《刑法》第二百八十六條之一規定，網絡服務提供者不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金：(一)致使違法信息大量傳播的；(二)致使用戶信息泄露，造成嚴重后果的；(三)致使刑事案件證據滅失，情節嚴重的；(四)有其他嚴重情節的。《司法解釋》第九條進一步明確，網絡服務提供者拒不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，致使用戶的公民個人信息泄露，造成嚴重后果的，應當依照刑法第二百八十六條之一的規定，以拒不履行信息網絡安全管理義務罪定罪處罰。
《刑法》第二百八十六條之一與《司法解釋》第九條在“個人信息”的表述上略有不同，前者使用了“用戶信息“，后者則確定為“用戶的公民個人信息”。筆者認為，盡管“用戶信息”與“公民個人信息”存在交叉，但《司法解釋》使用了“公民個人信息”的表述更為準確。事實上，用戶信息應該是指用戶在接受網絡服務提供者的服務過程中被采集、存儲、傳輸的信息，這類信息不僅包括了公民個人的姓名、身份證件號碼、通信通訊聯系方式、住址等自然信息，也包括了公民個人的賬號密碼、行蹤軌跡、交易記錄、瀏覽記錄、通信記錄、位置記錄等，這些信息均涉及公民個人的隱私信息。關于“造成嚴重后果”，《司法解釋》沒有做出明確解釋，我以為可以參照《司法解釋》第五條的內容，從泄露信息的數量、涉及的用戶數量、造成的損失數額等三個方面認定是否致使用戶信息泄露達到“造成嚴重后果”的程度。 至于“拒不改正”，應當包含兩種情形，一是監管部門責令采取改正措施，而網絡服務提供者不采取改正措施的行為；二是雖然采取了改正措施但仍然沒有達到監管部門要求的預期結果和目標。
“兩高”的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》是辦理侵犯公民個人信息刑事案件的司法經驗的高度結晶，具有法律效力，每個公民、法人和其他組織都必須給與高度重視和尊重，認真學習與領會，并努力在實際工作中加以貫徹。在此，筆者告誡：任何組織和個人均不得非法獲取、出售或者提供公民的個人信息，尤其告誡網絡服務的經營者教育自己的員工：遵守規則、公平競爭、依法經營、遠離犯罪。