侵犯公民个人信息罪问题研究

根据《刑法》第二百五十三条之一的规定，侵犯公民个人信息罪，是指违反国家有关规定，向他人出售或者提供公民个人信息，或者将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，以及窃取或者以其他方法非法获取公民个人信息，情节严重的行为。本罪在具体认定和适用过程中，对于何谓“公民个人信息”、如何把握“违反国家有关规定”和“非法”的含义、购买与出售公民个人信息之对向行为可能涉及的共犯类型，以及情节严重是否可以仅包括主观有责性等问题，无论在理论界还是实务部门都存在着较大的争议，这不利于执法的统一，亟待厘清，以确保司法实践行进在正确的轨道上。

一、“公民个人信息”的界定与判断

最高人民法院、最高人民检察院2017年6月1日施行的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)第一条规定，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。据此，《解释》将“公民个人信息”概括为两个特征：一是身份识别性，即“公民个人信息”能够识别特定自然人的身份；二是活动规律性，即“公民个人信息”能够反映特定自然人的活动情况。这二者的关系是各自独立，还是具有某种关联性呢？也就是说活动规律性是否须以具备身份识别性为前提，对此，本文持肯定的回答。这是因为，如果仅仅提供无法识别身份的不特定人的行踪轨迹，不可能给特定人私生活以及人身财产造成侵害或者威胁。例如，A某要报复B某，请求C某提供A某的行踪轨迹，C某不想惹是生非，胡乱编造所谓“A某”的行踪轨迹，由于该行踪轨迹并非特定于A某，故不能认定为属于A某的“公民个人信息”。因此，身份识别性是“公民个人信息”必备的实质内涵，而仅具活动规律性之单一特征，尚不能认定为“公民个人信息”。换言之，能够识别特定个人身份的信息，基本上都可以划归为“公民个人信息”的范畴。

需要研究的是，能够识别特定个人身份的信息，是否一概均应认定为“公民个人信息”，进而给予刑事处罚呢？具体来说，包含下列内容的身份信息，比如：含有某地某人姓名、联系电话，抑或某年轻女子姓名、职业及年龄的身份信息，能否径直认定为“公民个人信息”则不无疑问。这涉及保护价值的判断基准问题，也就是说是以被害人的意思，还是以社会一般人的立场，或者是以二者相关性的观点为准而为的判断。从比较法的角度来看，德日等大陆法系国家关于泄露秘密罪中的秘密，是否要考虑被害人的主观期待时，存在着诸多见解上的分歧与对立。以日本法为例，主观说认为，只要本人主观上具有作为秘密的意思就够了；客观说认为，必须是对于本人来说，具有作为秘密加以保护的客观价值；综合说认为必须是在客观上具有作为秘密的价值，而且，本人也具有将其作为秘密的愿望，才属于秘密；择一说认为，秘密是指客观上值得作为秘密加以保护，或者本人主观上特意将其作为秘密，二者只要具备其一即可*参见[日]大谷实：《刑法讲义各论》新版第2版，黎宏译，中国人民大学出版社2008年版，第142页。。美国关于隐私权保护的判例，基本上也是采取了如上综合说的立场，要求犯罪嫌疑人以美国宪法增修条文第4条为依据主张隐私保护时，除了必须明确其客观期待之外，还要明确其主观的隐私期待的具体内容。根据美国联邦最高法院大法官哈兰的解释，“合理的隐私期待”标准包括主观要件和客观要件两个方面：首先，个人必须“表现出一种真实的(主观)隐私期待”；其次，他所表现出来的期待是一种能够被社会公众认可的“合理期待”*参见[美]约书亚·德雷斯勒、艾伦·C·迈克尔斯：《美国刑事诉讼法精解》(第四版)(第一卷·刑事侦查)，魏晓娜译，北京大学出版社2009年版，第73页。。我国的侵犯公民个人信息罪的保护法益为人格尊严和个人自由，个人隐私或如个人秘密只属于其中一部分，因此“公民个人信息”的范围要宽于个人秘密。侵犯公民个人信息罪的主要保护法益为个人法益，当然要考虑法益主体的主观意思。但是，如若仅以个人的意思为判断标准，由于主观意思具有流变性，难以客观把握，而且容易造成“公民个人信息”的范围过于宽泛，不当扩张刑法的处罚范围，有损刑法的谦抑精神，也不利于对于个人信息的正当收集利用和数据共享。正因为如此，客观说在大陆法系国家为更多的学者所接受，成为刑法理论中之通说*参见赵秉志、冯军：《外国刑法各论》(大陆法系)，中国人民大学出版社2006年版，第109-110页。。美国联邦最高法院也已经认识到主观要件的内在危险，大法官哈兰的最终结论是，真正的焦点应当集中在客观期待方面*同前注[2]，第75-76页。。

1976年着陆火星表面的“海盗1号”和“海盗2号”是火星生命探索的先驱，其主要目标是探索火星上有无生物，希望通过生物科学实验直接确定火星红色土壤中是否存在生命，但结果并没有获得火星生命的证据。

上述的综合说具有可采性。一方面，本罪主要侵犯的是个人法益，法益主体对于自己的信息具有自主决定权，如果其主观上认为没有隐匿和保护的必要，刑法则无须介入，否则有违保护法益的初衷。例如，有人想借机炒作扩大自己的影响，同意或者默许他人传播、披露自己的隐私秘密，尽管从客观上看，个人隐私无疑属于“公民个人信息”，但是由于法益主体事前的同意，使该个人隐私失去了保护的价值和利益，因此对这种传播、披露该个人隐私的行为，自难以侵犯公民个人信息罪论处。另一方面，只有存在值得作为个人信息加以保护的价值或者利益，刑法才有介入的必要，而不能单凭公民个人的主观认识作为刑法入罪的门槛。例如，对于女性年龄法益主体可能认为有保密的利益和需要，但以一般观念来说，无论如何也不具有值得动用刑法加以保护的价值和利益，因此难以侵犯公民个人信息罪论。

殷明双手紧紧扣着坑沿的泥土，双腿悬空着，似乎都能感受到蛇信子舔着自己的鞋底了。他仰起头，女友秦容冷冷站在坑边望着他。扭过头，另一边站着自己的室友郑云涛和向华杰，大笑着，看着他指手画脚。他想喊救命，可是嗓子眼似乎被堵住了，一点声音都发不出来。他的脸因为恐惧扭曲得几乎变了形，他奋力地想爬出去，双手却越来越无力。终于，他滑了下来，坠向无底的深渊……

根据《刑法》第二百五十三条之一的规定，成立侵犯公民个人信息罪，提供类型明文要求“违反国家有关规定”，获取类型也明示须“非法”，均对行为的违法性作出了明确表述。

二、行为类型与违法性判断

2017年5月～10月对自愿来我中心进行体检的99例北京白领人群进行心肺运动试验。其中，男66例（66.7%），女33例（33.3%），年龄22～67岁，平均（44.8±10.1）岁。受试者均无心脏病、慢性阻塞性肺疾病、肺血管病、外周动脉疾病。

(一)违法用语之定位

需注意的是，以上所采综合说，是针对本罪主要侵犯的是个人法益而言的。实际上，本罪的行为客体还有超个人法益的一面。如果非法获取、出售或者提供的是单一或者特定的公民个人信息，无疑侵犯了个人法益，但如果侵犯的是不特定或者多数人的信息资料，即被害人属于不特定或者众多的公民“集合”时，本罪的行为客体就具有了超个人法益的属性。司法机关无需具体落实每一条信息与现实世界具体公民之间的对应关系，只要根据可靠的事实证明此类信息“一定”与现实的个人相对应即可。同样的道理，司法机关也无需询问相关公民个人是否同意、是否反感自己的网络信息被出售、被非法提供*曲新久：《论侵犯公民个人信息犯罪的超个人法益属性》，《人民检察》2015年第11期，第9页。。这一理解，可以从立法例上得到说明。故意杀人罪、故意伤害罪属于侵犯个人法益的犯罪，因此，基于承诺的杀人和伤害得成为减轻甚至阻却不法的事由。但是，如果以杀人或者伤害故意而实施爆炸、投毒行为时，由于行为对象针对的不再是单一或者特定的个体人身利益，而是不特定多数人的生命、身体等公共安全，则其侵犯的说是超个人法益即社会法益，此时自无承诺存在之余地。

将情节严重作为定罪要素在我国刑法分则中屡见不鲜，侵犯公民个人信息罪也是如此，非法获取、出售或者提供公民个人信息只有达到情节严重之程度，方可入罪。在《解释》未出台前，关于情节严重的界定，有人认为，可以以行为人的主观恶性、危害后果以及行为造成的影响来判断是否构成“情节严重”*参见昂思梦：《论侵犯公民个人信息犯罪的司法适用》，《黑龙江省政法管理干部学院学报》2016年第2期，第33页。；有人建议，把没达到犯罪的标准但曾受到行政处罚的情况，考虑作为情节严重*参见杨新京、叶萍、黄成：《侵犯公民个人信息犯罪实证研究——以B市C区人民检察院近五年司法实践为样本》，《中国检察官》2015年第2期，第28页；王静：《论侵犯公民个人信息罪》，《广西政法管理干部学院学报》2016年第6期，第41页。；有人主张，类似于目的的主观不法的罪量因素也是情节严重的参考内容之一*参见李谦：《侵犯公民个人信息罪的法解释学释义》，《北京邮电大学学报(社会科学版)》第19卷第1期，第19页；薛培、叶小舟、王斌：《侵犯公民个人信息罪的理解与适用》，《检察日报》2016年7月13日第03版。等。以上这些观点的共通之处，就是把行为人的主观非难性纳入情节严重的范围之中，至于其理由，无非是认为出于牟利目的而非法获取信息的行为与因日常生活和工作需要而非法获取信息的行为相比，前者主观恶性明显要大，且信息的传播范围要更广，故情节更为严重*参见曹燕飞、顾建兵：《侵犯公民个人信息犯罪的构罪要素》，《人民司法(案例)》2015年第24期，第29页。。《解释》第五条第九项及第六条第二项均将“曾因侵犯公民个人信息受过刑事处罚或者2年内受过行政处罚，又非法获取、出售或者提供公民个人信息的”认定为情节严重，其理由在于行为人有前科又非法获取、出售或者提供公民个人信息，表明了行为人屡教不改、主观恶性大，故而应将其认定为情节严重*参见黄海英：《两高：侵犯公民个人信息罪最高可判7年》，转引自《中国长安网》(http://www.chinapeace.gov.cn/2017-05/09/content_11408551.htm，访问日期：2017年7月14日)。。

选择一处动人的美景，以达到最佳的效果。我们选择在沙滩上进行拍摄，焦点是远处的小岛。为了能够在黄金时段拍摄，我们赶在日落前抵达那里，这样能保证成片中的天空呈现温暖舒服的色调。

根据《解释》第四条的规定，通过购买等方式获取公民个人信息的，属于《刑法》第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。但该条解释却在购买等方式之前添加了“违反国家有关规定”这一要素，如前所述，违反国家有关规定属于构成要件要素，添加该要素就意味着购买行为只有在违反前置法规的前提下，方才该当于本罪的构成要件。可是法律、行政法规、部门规章专门规制购买、交换等方式获取公民个人信息的具体规定几近空白，由此可能导致许多购买等获取行为因为找不到规范违反的认定依据，而阻却构成要件符合性，这不当地限缩了处罚范围，不利于法益保护。因此，该条解释增添“违反国家有关规定”之要素，不得不说存有商榷与检讨的余地。

行政事业单位内部控制工作人员对该项工作认识不足，相关工作人员的总体素质不太高，需要对工作人员进行培训，做好宣传工作。工作可以分为以下几个方面：一是以省为单位，成立专门的部门，对省内行政事业单位的相关工作人员进行分批、定期的培训，增强他们内部控制意识，面对问题学会独立解决。第二，工作人员对相关工作的学习，参照相关的规章制度，对存在的问题进行分析，然后自己研究出针对性的对策，逐渐提升工作人员的素质。第三，行政事业单位对员工进行考察与考核的时候，将内部控制的指标纳入考核标准，逐渐提高相关人员的素质。

某冶炼厂成功的引进了目前世界上先进的炼镍强化熔炼技术——澳斯麦特技术，代替了原有的矿热电炉。该澳斯麦特熔炼炉体为竖式圆筒形，关键设备喷枪从炉顶中心插入炉内，喷枪头部浸没在熔体的渣层内，冶炼工艺所需要的空气、氧气、燃料通过喷枪喷入熔池。精矿从炉顶加料口加入，在喷枪末端的高速气流作用下，熔池剧烈搅动，物料迅速地熔化和反应，熔炼产物有镍锍、炉渣、烟气。镍锍和炉渣以混合熔体的形式进入沉降电炉，实现镍渣分离，镍锍再经过转炉吹炼成高镍锍。烟气经余热锅炉余热回收，收尘后制酸。

(二)具体判断方法

如前所述，是否“违反国家有关规定”和“非法”的判断方法不同，前者是构成要件合致性的积极判断，后者是违法性阶段的消极判断。

1.违反国家有关规定，一般是指违反前置法规中关于保护公民个人信息的专门性明确而具体的规定，但也包含违反前置法规中有关保护公民个人信息的一般性、原则性规定。问题是，我国并没有专门的个人信息保护法，有关公民个人信息保护的配套法规欠缺，有些出售或者提供行为找不到相应的法规作为违反国家有关规定的认定依据。那么，为了弥补处罚漏洞，能否以整体法秩序精神为依据，而认定为违反国家有关规定呢？答案应当是否定的。因为这里应是构成要件该当性的判断，不同于违法性的判断。违法性的判断是实质的判断，当然可以从法秩序的统一性及其精神原则中进行价值的整体评判和利益衡量。但构成要件具有人权保障的功能，其法条用语必须明确和具体，不能脱离文义应有的射程作任意扩张解释。因此，对于前置法规没有明文禁令的出售或者提供公民个人信息的行为，当然不能根据整体法秩序精神而将其认定为法规违反，并进而认定为侵犯公民个人信息罪。否则，一方面，缺乏明文的法规禁止，不可能清晰地为公民指明这种出售或者提供行为的不法，即使处罚这种行为，也难以起到特殊预防的效果；另一方面，恣意扩张处罚范围，亦有违罪刑法定原则。因此，我国必须加快完善有关公民个人信息保护的配套法规，以提高前置法规的保护密度，消除不当的刑罚处罚漏洞*刑法基于谦抑、不完整性等品格，不可能处罚所有侵犯公民个人信息的行为，但应尽可能体现合理、公平和正义，将那些值得动用刑法予以制裁的侵犯公民个人信息的行为纳入犯罪圈。。

2.非法，从实质意义上把握，应理解为没有正当理由。除了依法强制公民提供个人信息的情形之外，凡是未经公民个人明示或者默示之同意而获取公民个人信息的，均属于没有正当理由。有论者认为，“非法获取”是指“窃取或者以其他方法非法获取”。重点在于对“其他方法”的理解，这里应当是指与窃取的社会危害程度相当的方法，例如骗取、胁迫、利诱、恐吓、抢夺、购买等违反法律规定的获取方式*参见杨新京、叶萍、黄成：《侵犯公民个人信息犯罪实证研究——以B市C区人民检察院近五年司法实践为样本》，《中国检察官》2015年第2期，第27页；王静：《论侵犯公民个人信息罪》，《广西政法管理干部学院学报》2016年第6期，第40页。。这种观点，一方面强调手段本身违反了法律的禁止规定，因而将与窃取具有相同性质的抢夺、骗取、胁迫等行为均解释为非法获取。另一方面，却又认为购买也属于非法获取行为。这本身就是自相矛盾的。购买是一种中立的行为，其本身并不为法律所禁止，因而难以与窃取、抢夺等不法性质相提并论。诚然，从立法原意及其精神观之，购买似应理解为非法获取的其他方法，最高司法机关也持这种立场*参见《解释》第四条。。

但上述观点之论证，实有点牵强附会。如前所述，非法获取中的“非法”不属于构成要件要素，只具有违法性的提示意义或者说是注意性规定，应于违法性阶层进行实质化的理解。“信息自决权为个人信息保护立法的权利基础，公民个人信息权是公民个人自决权范围内的个人权利”*同前注[5]，第7页。，因此，应以侵犯信息自决权作为认定违法的实质根据，换句话说，即应以是否经本人同意作为阻却违法的正当化事由。只要获取行为未得到法益持有者的许可、同意，行为就具备了实质上的违法性。窃取、抢夺、恐吓、利诱、胁迫、骗取以及购买等行为，无一例外地违背了法益持有者的意思，自应合乎本罪的构成要件该当性和违法性。

2.违反国家有关规定。违反国家有关规定，不同于单纯的违法或者非法，它有其具体的内容和规范指引。根据《解释》第二条的规定，所谓“违反国家有关规定”，是指违反法律、行政法规、部门规章有关公民个人信息保护的规定。也就是说，不论是单纯提供行为，抑或职务提供行为，要成立侵犯公民个人信息罪，均须以出售或者提供行为违反前置法规为前提。因此，违反国家有关规定属于构成要件要素或者说是构成要件的前提条件，出售或者提供行为必须以违反国家有关规定为前提，方能该当于该罪的构成要件。

有疑问的是，消极或者被动接受公民个人信息的，例如拾得公民个人信息的，或者个人邮箱被动接收到不知何处发来的公民个人信息的，能否认定为本罪的获取行为？因上述拾得之类的行为客观上也违反了信息持有者的意思，从而不具备“经本人同意”的正当化事由，似乎应具有违法性。这或许是《解释》第四条之所以要增添“违反国家有关规定”的真正原因，即为了把这类消极或者被动接受公民个人信息的行为，排除出本罪的构成要件之外。但是，本罪的获取行为是有而为之的积极作为，只有以主动、积极作为的方式实施获取他人信息的行为，方才该当于本罪的构成要件。拾得行为是偶然取得的行为，属于消极被动的接受，不能被评价为侵犯公民个人信息罪之构成要件的获取行为。因此，从犯罪成立的体系上考察，拾得等行为能否认定为非法获取，属于构成要件符合性的判断问题，而同意与否的判断，属于违法性阶层的检验问题，二者不应混为一谈。但是，如果被动、消极获得者有进一步的后续行为，如将拾得的公民个人信息向他人出售或者提供的，有可能成立上述单纯提供类型的侵犯公民个人信息罪。如此解释，即可消除上述疑问，同时也说明《解释》第四条增添“违反国家有关规定”纯属画蛇添足，反而人为派生出处罚漏洞之问题。因此，为合法经营活动而非法购买、收受《解释》第五条第一款第三项、第四项规定以外的公民个人信息的，属于主动积极的获取行为，应认定为《刑法》第二百五十三条之一第三款“以其他方法非法获取公民个人信息”之行为，而没有必要像《解释》第六条第一项规定的那样，给予不同的区别对待*《解释》第六条规定：“为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”:(一)利用非法购买、收受的公民个人信息获利5万元以上的；……”而第五条规定：“非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的‘情节严重’：……(五)非法获取、出售或者提供第三项、第四项规定以外的公民个人信息5000条以上的；……(七)违法所得5000元以上的；……”，因为从客观违法论的立场出发，《解释》第六条与第五条规定的购买等行为对法益的侵害或危险没有什么不同，所不同的只是二者的主观方面：前者是基于合法经营的目的而购买、收受，后者则不具这一正当目的。可是，侵犯公民个人信息罪并没有被刑法规定为目的犯，目的和动机并不属于犯罪构成要素，不应对定罪产生任何的影响，至多只能作为量刑情节考虑。因此，二者应当适用相同的“情节严重”的定罪标准。换言之，《解释》第六条似有超越刑法规定而对本罪构成要件进行限缩解释之嫌，有失妥当性。

三、出售与购买之对向行为与共犯形态及处罚问题

例如，一年前曾因侵犯公民个人信息受过行政处罚的甲，又从乙处购得他人住宿信息、通信记录等其他可能影响人身、财产安全的公民个人信息300条余。根据《解释》第五条第九项的规定*《解释》第五条第九项规定：“曾因侵犯公民个人信息受过刑事处罚或者2年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，应当认定为情节严重。”，也仅只处罚甲方的购买行为，而不处罚与之对向的乙方的出售行为。这种情形能否以任意共犯的法理，适用刑法总则关于共犯的规定，对乙论以教唆犯或帮助犯而处罚之？对此，本文持否定的回答。因为教唆或者帮助相较于正犯而言，属于较轻类型，举重以明轻，在正犯都不予处罚的情况下，教唆和帮助犯就更不应当予以处罚，否则，有违立法者意思。

(一)对向行为双方均成立犯罪的情形，是成立共同正犯，还是成立各自的单独正犯(同时正犯)

如前所述，此种情形只是孤立的、偶然进行一次交易。对向双方通常互不相识，甚至毋须谋面(例如，利用网络实施)即可完成交易，既不存在事前共谋，也不存在明确的谋议，即使双方行为均达到情节严重的程度，似亦难以成立共同犯罪，只能成立各自的单独正犯。例如，甲通过网络从乙处购得公民个人隐私信息的，如果双方均符合定罪条件，甲、乙原则上不成立共同犯罪，而只能成立侵犯公民个人信息罪的各自的单独正犯。这是因为，虽然双方同时实行了促成交易完成的对向行为，但从主观上看，由于对向双方缺乏明确的沟通、谋议，且并不属于同一阵营，又各有其目的，“若仅仅是认可或利用他人创造的情况，则不足以认定有共同的行为决意”*同前注[9]，第431页。。如若将此种出售与购买情形一概认定为共同正犯，那么，偶尔参与公民个人信息交易的人，尤其是在网络上互不相识、亦未谋面的购买人与出售人，将无一例外地成立本罪的共同正犯，这恐怕难以为人接受。因此，认为此种情形的对向行为成立共同正犯不得不说存有疑问。

(二)对向行为仅一方成立犯罪的情形，能否适用任意共犯的规定

本罪的提供行为与取得行为各自包括出售与购买行为，二者形成对向关系。刑法关于对向犯的处罚分为三种情况：一是双方的罪名与法定刑都不同，如贿赂罪中的行贿与受贿；二是只处罚一方的行为，如贩卖淫秽物品牟利罪只处罚贩卖者，不处罚购买者；三是双方的罪名与法定刑相同，本罪的出售与购买类型的对向犯罪以及重婚罪即属于此。侵犯公民个人信息罪的出售与购买的对向行为，通常有两种情形：第一种情形是链条合作式，即对向双方通过共谋，相互间形成长期、稳固的分工协作模式，对向行为属于内部分工协作行为，代表的是犯罪组织的整体行为，对此种对向行为双方所实施的出售与购买公民个人信息的行为，自应认定为共同犯罪。第二种情形是随机偶遇式，即对向双方并不存在长期或者多次的交易关系，只是偶尔或者随机进行了出售与购买公民个人信息的情形。限于篇幅，以下着重对上述第二种随机偶遇式情形涉及的共犯等问题进行讨论。

侵犯公民个人信息罪的行为样态有两种基本类型：第一种为提供类型*本文中如无特别注明，提供行为均包括出售行为在内，下同。，是指违反国家有关规定，向他人出售或者提供公民个人信息，该类型又包含两种子行为：一是单纯提供行为，是指违反国家有关规定，向他人出售或者提供公民个人信息；二是职务提供行为，是指违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人。第二种为获取类型，是指窃取或者以其他方法非法获取公民个人信息。两种基本类型被刑法条文赋予了不同的违法用语，因此，违法性的判断呈现出差异性。

(三)同一人实施对向行为的，如何处罚

有学者认为，非法获取公民个人信息后，又出售或者提供给他人的，视情节分别认定为情节严重或者情节特别严重，不必实行数罪并罚*张明楷：《刑法学》，法律出版社2016年第5版，第922页。。本文基本认同将购买公民个人信息后又出售给他人的，作为情节严重以及不实行数罪并罚的观点，但不赞成认定为情节特别严重的观点。主要理由如下：第一，购买与出售具有手段与目的、原因与结果之牵连性质，在对向行为达到情节严重之程度时，原则上应适用从一重处断之法则，只需将其中未予评价的行为作为量刑情节考虑即可；如果对向行为均未达到情节严重，原则上不应作为犯罪处理，只有在极个别的情况下，例如综合考虑犯罪目的、行为次数、购买与出售信息条数、获利数额、给被害人造成的实际损害以及产生的社会影响等，认为确有处罚之必要时，方可将购买公民个人信息后又出售给他人的，认定为情节严重。因此，除刑法明文规定并罚的情形之外，均应从一重处断，而不应成为法定刑升格的条件，而加重其刑。第二，就危害的实质及程度而言，购买只是取得公民个人信息的行为，通常只是侵犯公民个人信息的准备行为，只要不将所取得的公民个人信息予以出售或者提供，就不会对公民个人信息造成实际的损害，从这一意义上来说，购买行为只具有侵犯法益的危险性，而只有进一步的将所购得的公民个人信息予以出售或者提供给他人的行为，才可能对公民私人生活安宁以及人身、财产安全造成实质的、现实的侵害，因此，应该认为购买行为被包括地评价在出售行为之中，亦即危险行为被实害行为、轻度行为被重度行为所吸收，而予以一体评价。第三，司法实务也支持本文的立场，《解释》第十一条规定，非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。据此，司法机关不可能因为行为人实施了对向行为，就将购买和出售的信息条数累计计算，认为达到“情节特别严重”的法定刑升格的数量标准。第四，上述认为此种情形可以认定为情节特别严重的观点，一方面，不认可对行为人应予数罪并罚而加重其刑；另一方面，却又视为情节特别严重而作为法定刑升格的条件，允许加重对行为人的处罚。这不仅自相矛盾，亦有违罪刑相适应原则。

四、情节严重之要素分析

1.“非法”。根据《刑法》第二百五十三条之一第三款的规定，窃取或者以其他方法非法获取公民个人信息的，成立侵犯公民个人信息罪。这里的“非法”是否属于构成要件要素呢？德国有些刑法分则条文中(例如，第303条，第123条，第239条*德国刑法典第303条第1款规定：“非法损害他人的财物的，处2年以下自由刑或罚金刑。”第123条第1款规定：“非法侵入他人住宅、经营场所或土地，或用于公共事务或交通的封闭的场所，或未经允许在该处停留，经主人要求仍不离去的，处1年以下有期徒刑或罚金刑。”第239条第1款规定：“非法拘禁他人或以其他方式剥夺他人自由的，处5年以下有期徒刑或罚金刑。”参见徐久生、庄敬华译：《德国刑法典》，中国方正出版社2004年版，第146、72、117页。)规定有“违法的”或者“非法的”这样的字眼，罗克辛教授认为，这里的“违法的”或者“非法的”就不是构成要件要素，而仅仅是一种(本身是多余的)对违法性的一般犯罪特征的提示，或者是一种必要的法益承担者作出同意可能性的提示(第303条)*参见克劳斯·罗克辛：《德国刑法学总论(第1卷)》，王世洲译，法律出版社1997年第3版，第190页。。金德霍伊泽尔教授亦认为，在一些犯罪中，这些违法的文字表述仅仅是对于(作为犯罪的一般要素的)违法性的一种没有什么特殊意义的提示*参见乌尔斯·金德霍伊泽尔：《刑法总论教科书》(第六版)，蔡桂生译，北京大学出版社2015年版，第71页。。日本的逮捕、监禁罪中也规定有“非法”一词，山口厚教授指出，由于有些逮捕、监禁是根据法令合法实施的，法条中的“非法”，只是为了确认一般的违法性要件(违法要素)，其本身并非特别的构成要件要素*参见山口厚：《刑法各论》(第2版)，王昭武译，中国人民大学出版社2011年版，第93页。。德日学者的上述解读，对我们理解侵犯公民个人信息罪中的非法获取中的“非法”一词在犯罪论体系中的地位具有启示、借鉴作用。因为如果将非法理解为构成要件要素，那么单从文字解释，非法就是违反或者不符合法律之意，等于什么也没有解释，从而也无法从正面、积极的意义上进行构成要件该当性的判断。因此，应该将侵犯公民个人信息罪中的“非法”理解为是对违法性的提示，而不属于构成要件要素。

本文不赞成将主观有责性内容单独作为认定情节严重的考量因素。以下结合《解释》中将犯罪前科或受过行政处罚之情形认定为情节严重之规定展开检讨说明。

政策五：6月11日，农业农村部组织制定了《畜禽养殖标准化示范创建活动工作方案（2018－2025年）》，提出在2018－2025年，以生猪、奶牛、蛋鸡、肉鸡、肉牛和肉羊规模养殖场为重点，兼顾其他特色畜禽规模养殖场，每年要创建100个左右现代化的畜禽养殖标准化示范场，共创建1000个。示范场要达到以下要求：生产高效、环境友好、产品安全、管理先进。

首先，刑法评价和处罚的是犯罪时的行为和事实，以及与之有因果关系的行为和事实，曾因侵犯公民个人信息受过刑事处罚或者两年内受过行政处罚，与行为人再次犯侵犯公民个人信息的行为不存在任何的因果影响力，因此，不应成为定罪的情节。

其次，根据大陆法系通行的三阶层犯罪论体系，犯罪是符合构成要件、违法且有责的行为，构成要件符合性和违法性决定了客观的法益侵害性，只有在法益侵害性达到了值得科处刑罚之程度时，才有必要论罪科刑。侵犯公民个人信息罪的构成要件中包含了情节严重这一要素，也就是说，在欠缺情节严重的场合，侵犯公民个人信息的行为所造成的法益侵害还没有达到值得科处刑罚的程度；因此情节严重起到了对法益侵害性予以补充、增强之作用，反映了法益侵害性的内容，而不可能仅仅是主观有责性的东西。主观恶性大、不法的目的等只是有责性阶段的判断问题，它本身并不能对客观违法性产生任何影响。如果情节严重中的“情节”没有反映客观违法性的内容，就不能为侵犯公民个人信息的行为增添新的不法内涵，使其能够达到值得科处刑罚之程度，那么阶层性的犯罪判断就戛然而止，犯罪即不成立，毋须再进行有责性阶层的判断，即使反映主观恶性、可谴责性的内容再多，也对犯罪的成立与否不生影响。

再次，无论是大陆法系还是英美法系国家或地区，前科等都不属于定罪因素，只影响量刑，甚或成为加重处罚之事由。在德国司法实务中，只是在很狭窄的前提条件下，以前实施的犯罪行为才可能作为提高刑罚的理由*参见汉斯·海因里希·耶赛克、托马斯·魏根特：《德国刑法教科书总论》，徐久生译，中国法制出版社2001年版，第1065-1066页。。我国台湾地区“刑法”第四十七条亦有关于累犯的加重科刑规定*我国台湾地区“刑法”第四十七条规定：“(累犯)受徒刑之执行完毕，或一部之执行而赦免后，5年以内故意再犯有期徒刑以上之罪者，为累犯，加重本刑至二分之一。”。即便承认前科得作为“科刑”的一般审酌事由或法定加重事由，但欧陆刑事法学者多主张应尽力隔断前科对论罪影响之管道。德国学者罗科信教授指出，在被告的第98条第2项关于因强制工作而免其刑之执行者，于受强制工作处分之执行完毕或一部之执行而免除后，5年以内故意再犯有期徒刑以上之罪者，以累犯论。

罪责未证明前，对为揭露被告之人别身份所做之调查常属多余，此对其结果亦为不利，并且会造成法官在罪责问题中受到拘束*参见克劳思·罗科信：《刑事诉讼法》(第24版)，吴丽琪译，法律出版社2003年版，第412页。。魏根特教授认为，对于审判中只与量刑有关的证据，例如被告人的前科，甚至在定罪前也可以出示的做法，将是否有罪与量刑这两个独立的法律问题混合在一起，是不妥的*参见托马斯·魏根特著：《德国刑事诉讼程序》，岳礼玲、温小洁译，中国政法大学出版社2004年版，第134页。。1969年于罗姆举行的第十届国际刑法会议也曾对将审判程序分为二部分的主张——至少在重大的犯罪案件中，表示赞成。为此，德国法学家们还提出了将定罪和量刑分开的改革提议*参见克劳思·罗科信：《刑事诉讼法》(第24版)，吴丽琪译，法律出版社2003年版，第412页；托马斯·魏根特：《德国刑事诉讼程序》，岳礼玲、温小洁译，中国政法大学出版社2004年版，第134页。。美国法官在量刑过程中也特别注重被告人的前科犯罪记录，对于被告人以前实施过犯罪的，有时会导致罪名的加重，从轻罪变为重罪，有时会导致量刑的加重。此外，美国许多州还制定了3次犯罪加重处罚法，即允许法官对已经被判决至少两次以上严重犯罪或暴力犯罪的犯罪分子施加更严重的刑罚，即便第三次的犯罪不是严重或暴力犯罪*参见陈玲：《美国刑事诉讼法》，上海社会科学院出版社2016年版，第136-137页。。但相较于大陆法系定罪与量刑程序一体化的模式，英美法系国家则采取了分离模式，只有在定罪程序中确认了被告人有罪之后，才进入量刑程序，以避免前科等对被告人定罪产生不利影响。例如，在美国的定罪程序中，只要被告人保持沉默，控方一般不得以被告人有前科劣迹弹劾被告人的信用能力，以免对事实裁判者(法官或陪审团)形成被告人是不好的印象甚或是有罪的预断*美国证据规则允许检方和辩方通过提交证人不诚实的证据来证明证人作证的不可信，并且对证人品行证据的提交也仅以证明证人诚实与否，只有这一品行才与证词的可信度有关联性。因此，当被告人选择出庭作证时，检方便可以将被告人过去的犯罪记录作为证据提交庭审，以此来证明其证词的不可信，从而让陪审团和法官了解被告人的品德瑕疵。参见陈玲：《美国刑事诉讼法》，上海社会科学院出版社2016年版，第112页。。在被告人选择不出庭作证的情况下，前科劣迹不可能为事实裁判者所听闻，这从程序上也排除了前科劣迹成为定罪情节之可能。当然，即使被告人选择出庭作证，法庭也不能以被告人曾因有过犯罪前科而据此作为定罪情节考量，因为选择出庭作证或不出庭作证都是被告人的诉讼权利，不能因此而使被告人招致有罪或无罪的不同结果。

综上，只要属于基本构成要件的情节严重，就只能以反映客观违法性的要素为必要，而不能仅仅只含有主观可非难性的内容，例如，像《解释》中将犯罪前科或受过行政处罚之情形认定为情节严重是值得商榷的。基于此，当适用《解释》第五条第十项及第六条第三项“其他情节严重的情形”时，应以客观的法益侵害观为指导，作出正确的解读。