刑法沒有對“個人信息”進行界定,在此之前,刑法一般是參照林林總總的法律法規或者司法解釋來界定其犯罪對象,如網絡安全法、兩高《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》、身份證法、消費者權益保護法等。那么,民法典、個人信息保護法出臺之后,應當如何理解侵犯公民個人信息罪的犯罪對象呢?對這個問題的回答分為以下兩個層次:1.了解民法典、個人信息保護法對個人信息的界定;2.從刑法的角度對個人信息進行界定并明確民法規定的借鑒意義。
張新寶教授梳理了民法典與個人信息保護法中有關個人信息的規定。其中,民法典第一千零三十四條采取“概念+列舉”的方式對個人信息進行了界定,即個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息,包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。張新寶教授認為匿名化處理后的信息不屬于個人信息的范疇。
而在個人信息保護法中,第四條對個人信息進行了原則性規定,即個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息,不包括匿名化處理后的信息。在此基礎上將個人信息劃分為一般個人信息與敏感個人信息。法律為了強化對敏感個人信息的保護,對其設置了特殊的處理規則,在敏感信息之外的其他個人信息則屬于一般個人信息。敏感個人信息的保護,是個人信息保護法的重中之重。具體來說,依據法律的規定,敏感個人信息分為以下三類:
一是一旦泄露或者非法使用容易導致自然人人格尊嚴受到侵害的個人信息。如人臉信息等生物識別信息、宗教信仰和特定身份信息、醫療健康信息等。這些個人信息如果被泄露(盡管收集可能是合法的)或者非法使用,容易導致自然人的人格尊嚴受到侵害,被他人非法歧視等。
二是一旦泄露或者非法使用容易導致自然人人身、財產安全受到危害的個人信息。如生物識別信息、行蹤軌跡信息、金融賬戶及相關的信息等。這些個人信息如果被泄露(盡管收集可能是合法的)或者非法使用,容易導致自然人的人身、財產安全受到危害。比如,個人的行蹤信息被泄露或者被犯罪分子掌控,就可能危及該特定個人的人身安全;個人的金融賬戶包括儲蓄賬戶及取款密碼等泄露或者被犯罪分子掌控,就可能危及該特定個人的財產安全,導致存款被盜取造成其財產損失。
三是不滿十四周歲未成年人的個人信息。個人信息保護法草案三次審議稿增加這一規定,將不滿十四周歲未成年人的個人信息規定為敏感個人信息,受到強化保護。也就是說,涉及不滿十四周歲未成年人的個人信息,均屬于敏感信息。
為具體把握侵犯公民個人信息罪的犯罪對象,周光權教授采取了特征歸納的方法,提煉出以下三個標準對個人信息進行界定:
1.具有可識別性。個人信息必須與自然人相關聯,而且與特定自然人相關聯,同時具有識別性,即通過該信息已識別或者可識別特定自然人。那種經過匿名化處理后無法識別特定個人且不能復原的信息,雖然也可能反映自然人的活動情況,但與特定的自然人無直接關聯,不屬于公民個人信息的范疇。
2.屬于有效的信息。信息必須有效,這是定罪時不能忽略的硬性要求。對于信息沒有進行匿名化處理,但行為人為獲取高額經濟利益,提供重復信息以增加信息數量的,或者信息經多次流轉,行為人獲得的信息重復量大的,或信息明顯虛假、無效(例如,手機號僅有10個數字,僅有座機號)的,這些信息由于其不能對應到具體公民,不屬于本罪的個人信息。
3.對某些信息突顯與個人行動自由的關聯性,弱化可識別性。例如公民的行蹤軌跡等信息,由于與特定個人的行動自由、生命身體安全有緊密關聯,根據兩高2017年發布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》,侵犯該等信息的入罪標準非常低。對于這類信息,在與特定個人的行動自由、生命身體安全有緊密關聯的意義上,具備廣義的可識別性特征即可。
周光權教授指出,關于個人信息的外延,刑法上的認識確實和其他部門法之間存在細微差別,不同部門法的規范目的不同,在概念使用上有所不同,這是非常正常的現象。但是,這絲毫不意味著刑法上的判斷可以拋開民法典、網絡安全法乃至個人信息保護法“另搞一套”。此外,周光權教授還認為,未來應該考慮在刑法上拋棄對于個人信息種類進行細分的思路,直接采用個人信息保護法的方案將個人信息區分為敏感信息和一般信息兩種。對于一旦泄露或者非法使用,可能導致個人受到歧視或者人身、財產安全受到嚴重危害的種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤等信息進行嚴格保護,規定相對較低的定罪數量標準。對于除此之外的一般信息,規定相對較高的定罪數量標準,同時在行為人處理一般信息實施違法犯罪行為的對其數罪并罰,以防止輕縱犯罪人。