文/田玉琼

江苏省连云港市海州区人民检察院

文/尹贺

江苏省连云港市海州区人民检察院

一、基本案情

2020年10月至2022年6月，魏某作为江苏某网络科技有限公司法人代表，为了销售其公司POS机而向被告人张某等人购买公民个人信息。经查，2021年8月30日至2022年6月5日，魏某向张某购买公民个人信息19559条，支付张某3195212元。扣除成本后，魏某通过购买公民个人信息出售POS机器获利98万余元。张某明知魏某为销售POS机，与魏某达成合意，由张某通过拨打电话或者短信的方式对购买的经他人筛选过的电话号码继续进行精准筛选，将其中确定办理POS机的客户手机号码、收货地址、意向品牌等信息出售给魏某。

二、分歧意见

第一种意见认为，“合法经营”是侵犯公民个人信息罪的降低责任型情节，应当严格审查。只有经营者将非法购买、收受的公民个人信息用于合法业务才可认定为合法经营，出现一般违法行为也不宜适用“为合法经营”。本案中，行为人作为POS机经销商，明知国家严令禁止电销POS机，仍然为了牟利从他人处非法购买公民个人信息，不能适用“为合法经营”而得到宽宥处罚。

第二种意见认为，“为合法经营”应当主要审查经营者的经营业务是否违法，仅有一般违法行为的，不影响“为合法经营”的认定。魏某作为有资质的POS机经销商，经营的产品以及经营行为并未违反国家规定，仍应肯定其具有为合法经营活动的目的。其和张某等人之间达成客户信息合作意向，由张某进行精准筛选客户信息提供给魏某方继续对接出售POS机，二人实质上成立共同犯罪关系，可一并评价“为合法经营”。

第三种意见认为，魏某为出售POS机购买公民个人信息，没有再次出售或者提供情况，系“为合法经营”侵犯公民个人信息。张某按照魏某方需求，精准筛选公民信息，按照信息的数量收取费用，张某与魏某之间成立上下线关系，张某属于出售公民个人信息，违法所得数额远超5万元，应当以“情节特别严重”予以规制，但是量刑上可以考量信息的具体用途、社会危害性作为酌定从轻处罚情节。

三、评析意见

笔者同意第三种意见。个人信息安全作为全社会高度关注的问题，如何平衡信息使用与信息安全之关系，贯彻宽严相济的刑事政策，是刑事法治需要慎重对待的命题。现结合侵犯公民个人信息罪“为合法经营”的涵摄范围、罪名的规范本质、罪刑均衡等方面进行分析。

对“为合法经营”的审查，应当以经营业务行为是否合法作为判断标准，一般违法行为不影响合法经营的认定。

两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第6条对“为合法经营而非法获取公民个人信息行为”的定罪量刑设置了特殊标准，即使构成犯罪也无须提升量刑档，因此实务中“为合法经营”之辩成为侵犯公民个人信息罪获取宽宥处理的最重要利器。在本案中，魏某、张某、刘某某的辩护人均以信息的最终用途是为了推销POS机，主张成立“为合法经营”。本文认为，界定“为合法经营”应当结合侵犯公民个人信息罪的构成要件、规范本质等做实质判断。首先“为合法经营”既然作为侵犯公民个人信息罪中从宽处罚情节，而“违反国家有关规定”作为侵犯公民个人信息罪构成要件要素，二者自然不应当是互斥的，不能仅因存在违反规定情形即排斥“为合法经营”的适用。“为合法经营”是对所获信息用途的审查，与信息的获取行为无直接关系，这是不同层面的问题。其次，经营行为属于民事行为，而民事行为是遵循“法不禁止即可为”原则，过度限缩“合法经营”与解释中条款设立初衷相矛盾，也背离宽严相济的刑事政策，刑法的谦抑性决定了可以容忍一般违法行为。合法经营应当与刑法非法经营罪里的“非法经营”互斥，只要不存在刑法中的非法经营行为，就有“为合法经营”的成立空间，应当以经营业务“不违反国家规定”且不“严重扰乱社会秩序”作为审查标准。若行为人经营的产品、服务内容以及经营行为并未违反国家规定，即使在经营过程中违反经营方式要求、未经消费者同意进行推销等一般违法行为，仍应肯定具有为合法经营活动的目的。

明知他人购买公民个人信息用于合法经营，出售公民个人信息牟利，应当排除适用“为合法经营”特殊规定。

《解释》适用特殊量刑标准的前提除了“合法经营”，还存在对信息类型的限制以及未再向他人提供、出售等行为，只有都满足才能符合“为合法经营”特殊规定适用轻缓刑罚。此外，“为合法经营”同样应当遵循从客观到主观的适用路径，避免径直在不区分目的的情况下将获取公民个人信息推销产品行为等同对待不加区分作为侵犯公民个人信息罪降低责任刑的情节。因为“为合法经营”作为一种目的性表述，是区分行为人主观罪过程度以及行为社会危害程度的重要体现，是定罪量刑的重要依据。被告人刘某某、张某虽然都辩解获取公民个人信息是为了做POS机销售，且与信息的获取下线属于联合售卖POS机，但是从客观上看，二人将获取的公民个人信息进一步精准筛选，按照信息的精准程度、数量分别独立收取费用，违法所得甚至远高于经营带来的获利。综上，刘某某、张某的非法获取后再提供、出售的行为使得公民个人信息进一步扩散，本质上属于买卖公民个人信息牟利，不能认定“为合法经营”的目的动机和不法行为。

“为合法经营”属于量刑情节，因出售信息不法行为无法适用特殊条款时，可以基于罪刑均衡原则适当从轻责任刑“为合法经营”属于犯罪成立之后的量刑问题，对刑罚裁量发挥作用。正是因为作为一种正当值得宽宥的动机或事实，获取信息者为合法经营活动而使用个人信息，给予了较轻的责难。在实务中，信息犯罪常呈现产业链条，上下游侵犯公民个人信息犯罪的量刑问题中，上游犯罪作为收集后扩散信息法益侵害的直接制造者，下游犯罪的法益侵害性附随于上游犯罪，本身的法益侵害性并未超出上游犯罪的范围，那么下游犯罪因“为合法经营”获得降低责任刑的轻缓处罚，是否可以作为上游犯罪适当从轻的量刑情节？笔者认为应当结合上游犯罪不法行为的具体危害性综合考量，从整体上把握上下游犯罪之间的量刑平衡问题。首先，侵犯公民个人信息罪中信息的流通去处是判断法益侵害性的关键要素。上游犯罪明知下游犯罪的具体用途，知晓信息的去向，但是因其出售信息之不法行为导致无法适用“为合法经营”特殊条款的情况下，其行为在法益侵害性上同样值得宽宥。其次，审查上游犯罪扩散信息是“一对一”还是“一对多”，显然定点式的提供信息可谴责性低于向多人扩散信息，直接反映犯罪的严重程度，“责任”的降低可促成责任刑的减少。综上，张某即使明知信息具体用途，但是出于牟利动机再次出售信息行为不成立“为合法经营”侵犯公民个人信息，结合信息获取方只有一人，且用于合法经营活动，可综合全案对其适当从轻其责任刑。