公安部连续数年开展“净网”专项行动，集中打击了一批非法倒卖公民个人信息的产业链与利益链，让被称为“百罪之源”的侵犯公民个人信息罪长期热度不减。生活中常见的为了推销产品等合法经营活动而购买、收受公民个人信息的行为，虽然目的合法，但因信息获取手段不合法，也涉嫌侵犯公民个人信息罪。但针对该种犯罪模式的定罪量刑问题，因对最高法、最高检《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号，以下简称《解释》）第六条的某些规范性要素理解不一，导致法律适用上存在诸多争议，集中在：

1.“合法经营”的内涵

2.“获利数额”认定规则

3.“其他情节严重的情形”的理解

4.是否具有“情节特别严重”情形的适用空间

笔者结合立法背景、所办案件、公开判例等，对上述争议问题作如下探讨，以求为业内人士在个案中准确适用《解释》第六条提供思路和参考。

////////////////////// 

法条链接

“为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的‘情节严重’：

（一）利用非法购买、收受的公民个人信息获利五万元以上的；

（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

（三）其他情节严重的情形。

实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。”

第六条适用前提

与第五条“非法获取、出售或者提供公民个人信息”行为不同，“为合法经营活动而收受、购买公民个人信息”的情形较为普遍，用途明确，社会危害性相对较小，《解释》将其独立规定体现了宽严相济。然而，特殊条款在适用上也必须符合特殊的适用条件：

1.行为目的上，收受、购买公民个人信息的目的是为了合法经营。

2.信息类型上，非法获取的信息必须是《解释》第五条第一款第三项、第四项个人信息以外的一般个人信息，即将高度敏感信息、敏感信息排除在外。

3.行为方式上，非法获取行为仅限于购买、收受。通过盗窃、破坏计算机系统数据等非法方法获取公民个人信息的，因行为手段本身具有较大的社会危害性，也不得适用该条款。如行为人将购买、收受的公民个人信息又非法出售或者提供的，则不再适用《解释》第六条，定罪量刑标准适用第五条的规定。对行为方式的限制，目的是为了防止信息的进一步扩散。因此，实践中常见的商家之间基于合法经营目的而互相交换公民个人信息的行为，由于造成了信息的二次扩散，危害性升级，故转为适用入罪门槛更低、处罚更重的第五条规定。

4.入罪标准上，《解释》明确规定了三种构罪标准，前两种明确规定获利数额或处罚“前科”，最后一种采取了兜底条款的模式，规定为“其他情节严重情形”，只有行为人的行为与前两种行为具有相当性时，才可以适用。

在明确上述适用前提条件下，笔者逐一展开争议问题。

相关规范要素的理解和司法适用

一、“合法经营”的内涵 

“合法经营”作为行为目的，是适用该条款的基础，但是司法实践中，对于“合法经营”的理解存在较大分歧。有意见认为，根据《消费者权益保护法》第二十九条规定：“经营为未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业信息”，所以通过购买、收受方法获取个人信息后用于发送商业广告进行推广的行为本身就违反了法律规定，属于违法经营；另有意见认为，只要企业在经营过程中存在不正当竞争、夸大宣传等违反行政管理规范的行为，就不能认定其是“合法经营”。对上述两种观点，笔者并不认同，对“合法经营”的理解，应当从实质层面上把握其内涵。

笔者认为，“合法经营”是相对于刑事违法而言的，应当在刑事违法性层面考察企业整体业务、经营行为是否符合法律规定，尤其要注意区分“非法经营”和“经营中的一般违法行为”。因为从本条款立法的背景和初衷来看，随着互联网、大数据的发展，通过购买个人信息用于广告推广、业务拓展的情形越来越普遍，也是企业实施精准营销、点对点营销模式的一贯做法，《解释》将其单独规定本就考虑到这类行为的社会危害性不大，秉持了刑法的谦抑性，若在适用时一味地限缩“合法经营”范围，明显与立法初衷相悖。所以在判断企业是否属于“合法经营”时，一方面应当审查经营行为本身是否合法，审查行为人是否将信息用于违法犯罪活动；另一方面，不能因为企业存在一般行政违法行为，而否定企业整体业务的合法正当性。司法实践中，亦有判决佐证对“合法经营”应从实质层面把握。

案例一 周某某侵犯公民个人信息案【（2017）渝05刑终1090号】

被告人周某某从事广告业务推广工作，为扩大客户量、提升业绩，接受他人发送的信息38676条，向他人发送信息32616条。一审法院认定周某某非法获取、提供公民个人信息共计71292条，情节特别严重。二审法院认为周某某为正当经营非法获取的公民个人信息即接受的信息38676条，应当适用《解释》第六条的规定，不应计入其侵犯公民个人信息的数量。

案例二 程某、邱某某侵犯公民个人信息罪【（2018）鲁1482刑初67号】

被告人程某、邱某某在电话推销保健食品过程中收受及购买公民个人信息72946条，法院认为两被告人获取公民信息的目的就是从事保健食品经营，客观事实上也是将信息用于了销售保健食品，虽未及时办理营业执照和食品流通许可证等经营手续，但该行为与认定为是否系“为合法经营活动”并无关联。

案例三 罗某侵犯公民个人信息案【（2017）川1302刑初570号】

法院判决认为，被告人罗某经营的公司超出营业执照中登记的经营范围进行经营，并不必然等于其经营活动非法。工商登记部门核准的经营范围属于行政管理手段的一种，而经营活动是否非法应当以该行为本身是否违背法律法规的禁止性规定作为判断的标准。虽然罗某非法获取了公民个人信息，但其经营的公司使用这些信息进行电话营销，该电话营销活动本身并未违反法律法规的禁止性规定，故合议庭认为其经营活动合法。

上述三则案例，案例一中被告人未经同意推送广告违反了《消费者权益保护法》的禁止性规定，案例二中被告人超范围经营，案例三中被告人未按照规定依法办理营业执照、食品流通许可证，以上行为都违反了相关的行政管理法规，但是法院仍然认其为“合法经营”。所以，对“合法经营”的认定应当以行为本身是否违背法律法规的禁止性规定作为判断的标准。

二、“获利数额”的认定规则 

《解释》第五条第一款第七项规定，非法获取、出售或者提供公民个人信息，违法所得五千元以上的应认定为情节严重。此条款中的“违法所得五千元”与第六条规定的“获利五万元”是否为简单的十倍对应关系？计算获利数额时是否需要扣除购买、收受信息的成本？ 

笔者认为，对于非法经营获利型的犯罪，其获利都是通过非法经营等违法犯罪行为实现的，所以将违法所得数额认定为获利数额并无疑问。但是，在侵犯公民个人信息罪中，《解释》第五条规定的“违法所得五千元以上”既包括直接非法出售公民个人信息获得的利益，也包括获取公民个人信息后用于违法犯罪行为而获得的利益。而第六条规定的“获利五万元”应严格理解为利用非法购买、收受的公民个人信息用于合法经营活动而取得的利益，所以两者应当有所区分，不能简单的认为“获利五万元”与“违法所得五千元”是十倍对应关系。理由在于：其一，为合法经营而非法获取公民个人信息的行为本身社会危害性较小，所以两高特意将其作为一个独立条款规定，提高了入罪门槛，因此在认定获利数额时应当从严认定；其二，实践中，企业的经营获利来源非常复杂，可能既有来自于非法购买、收受公民个人信息的情况，也有因其他合法经营行为而获利的情况，为合法经营而获利自然应当扣除成本。

案例四 冯某侵犯公民个人信息案 【(2020)津0115刑初14号】

被告人冯某伙同曲某为谋利，以人民币242799.79元，多次从张某（已判刑）处购买带有公民身份信息的“战网"游戏平台账号。经加工升级后，通过其他客服人员在淘宝交易平台销售，销售金额共计1303303元。法院认定冯某获利人民币1060503.21元，是销售金额扣除了购买金额后的纯利润额。

此外，非法获取公民个人信息与企业获利之间也并不存在必然的联系，还应当考察获利与获取公民个人信息行为之间的因果关系，只有能够有效证明二者之间存在法律上的因果关系时，才可将此获利数额归于获取公民个人信息的行为。相反，若不能确定，则应当遵守“存疑有利于被告人”原则，综合具体事实判定。

三、“其他情节严重的情形”的理解 

该兜底条款给了司法机关巨大的自由裁量权，尤其是在第六条第一、二项入罪标准使用率不高的情况下，司法机关一般适用该兜底条款。但因第六条没有将购买、收受的信息数量作为明确的入罪标准，在未达前两种入罪标准的情况下，能否将信息数量作为“其他情节严重的情形”入罪？司法实践中对此争议较大，两种观点及判例皆有之：

第一种观点认为，为合法经营活动而购买、收受公民个人信息的行为本身社会危害性较小，根据罪刑法定原则和保障人权需要，既然《解释》第六条没有明确规定信息数量标准，就不宜将“其他情节严重情形”扩大解释为包含信息数量标准。亦有法院在个案审理中采纳了此种观点。

案例五 秦某某侵犯公民个人信息案【（2018）渝0103刑初436号】

法院判决认为，秦某某为合法经营活动而非法收受公民个人信息4万余条，因此应适用《解释》第六条的规定，又因非法收受公民个人信息条数并没有作为《解释》第六条第一款认定“情节严重”即定罪的依据，故秦某某非法收受的公民个人信息条数不应作为定罪依据，其没有符合该款规定的情形，不应适用《解释》第六条第一款。

第二种观点认为，虽然《解释》第六条没有明确规定信息数量标准，但是根据体系解释和条文逻辑上看，既然在前述条文中规定了信息数量标准，那么“其他情节严重情形”就不应当排斥该标准，但是在具体数量上应当与第六条前两种入罪的社会危害性程度具有相当性。

笔者认为，信息数量标准应当涵盖进“其他情节严重的情形”中。理由如下：其一，侵犯公民个人信息罪保护的法益是一种新型的个人信息权，这种权利既有个人信息自决权等人格权利属性以及由人格权延伸出来的财产利益属性，也包括信息安全这一公共属性。如达到了一定数量，即便没有获利、没有造成实害结果，仍然存在对信息安全这一公共法益的侵犯。故，以公民个人信息的数量作为量化标准，最能直接反应该罪的社会危害性。其二，《解释》第六条将“获利五万元”作为入罪标准之一，但没有明确“购买、收受一般公民个人信息达到一定数量但获利不足五万”的情形。而日常生活中，两种情形的社会危害性通常难以区分，甚至有时获取的个人信息数量巨大时，可能因损害不特定多数人的社会利益而具有更大的社会危害性。以电话广告推销为例，甲和乙以相同的成本价分别向丙购买一般公民个人信息5000条和1万条，甲每打一个推销电话获利10元，乙每打一个推销电话获利4元。显然，乙的获利虽然不足5万元，但是侵扰的人数更多，对民众信息安全的侵犯程度更大，社会危害性也更大。因此应当将数量标准涵盖进“其他情节严重情形”，以更好的规制“为合法经营而购买、收受公民个人信息未获利或者获利不足五万元但达到一定数量标准”的行为。实务中，也有较多法院以数量定罪。

案例六 程某某侵犯公民个人信息案【（2018）鲁1482刑初67号】

法院判决认为，被告人程某某在经营电话推销保健食品过程中收受及购买有效公民个人信息72946条，虽不符合《解释》第六条第一款第一、二项规定的情形，但其为了获取经济利益，该行为侵犯了公民个人安全和隐私，对公民的正常工作和生活造成了较大影响，应属于《解释》第六条规定的“其他严重的情形”。

案例七 盛某侵犯公民个人信息案【（2017）渝05刑终1003号】

法院判决认为，盛某为正当经营非法获取公民个人信息达5万余条，且大量信息已经使用，严重侵犯公民个人隐私，属于《解释》第六条规定的“其他情节严重的情形”。

应当注意的是，在以信息数量标准适用“其他情节严重情形”时，行为的社会危害性必须与前两种行为相当。对于具体的入罪信息数量，笔者认为可参照获利数额的入罪标准（第六条规定“获利五万元”、第五条规定“违法所得五千元”），将“为合法经营，购买、收受一般公民个人信息五万条以上的”认定为“情节严重”。

四、是否具有“情节特别严重”情形的适用空间 

《解释》第六条只规定了“情节严重”的三种情形，没有规定“情节特别严重”情形，这是否意味着该种犯罪模式只有一个量刑档次，不存在“情节特别严重”的适用空间呢？对此，也有不同观点。

第一种观点认为，法律是一个整体，是一个体系，特殊条款与一般条款是竞合关系，发生竞合时，特殊条款优于一般条款，在特殊条款无法适用时，应适用一般条款。根据该原理，《解释》第六条属于特殊规定，第五条属于一般条款，在特殊条款无法适用的时候，只能适用一般条款，而不是认为法无明文规定。

第二种观点认为，二者并非一般条款与特殊条款之关系，而是并列关系。按照“法无明文规定不为罪”的罪刑法定原则，为合法经营而购买、收受公民个人信息，不存在“情节特别严重”情形，从而体现宽严相济的刑事政策。

笔者认为，《解释》第六条不存在“情节特别严重”的适用空间。《解释》第六条是针对“合法经营活动”而设立的特殊条款，相较于“违反国家规定，出售或者提供”以及“窃取或非法获取”行为，“为合法经营活动而购买、收受”行为在行为性质、社会危害性、行为人的主观罪过上皆有可值得从宽处罚之处，因此入罪更加严格，立法的初衷也是为了体现刑法的“谦抑性”以及宽严相济。同时，《解释》第六条第二款已规定“将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定”，已明确了适用第五条的具体情形。所以，《解释》第六条第一款只有“情节严重”情形，没有“情节特别严重”情形。司法实践中也有多个案例予以证实。

案例八  陈某某侵犯公民个人信息罪【（2019）皖0803刑初92号】

法院判决认为，被告人陈某某通过微信从曹某处共计购得10万余条客户信息用于企业经营拓展客户。被告人是为合法经营活动而购买一般公民个人信息，其行为不属于情节特别严重的辩护意见符合事实与法律规定，对公诉机关认为被告人属于情节特别严重的指控不予支持。

案例九 刘某侵犯公民个人信息案【（2017）粤0304刑初1716号】

法院判决认为，被告人刘某非法购买公民个人信息的主要目的是用于产品推销，但现无证据证实刘某等人的经营活动系非法活动，亦无证据证实刘某等人将购买的公民个人信息用于非法出售或提供，因此按照存疑有利于被告人原则，本案应认定为为合法经营活动而非法购买一般公民个人信息。而对于此种情形的侵犯公民个人信息犯罪，《解释》第六条仅规定了情节严重的三种情形，未规定情节特别严重的情形。且该条第二款明确规定，只有实施上述行为，将购买、收受的公民个人信息非法出售或提供的，定罪量刑标准适用解释第五条的规定，现本案中无法认定被告人刘某等人有出售、提供信息的行为，故不宜根据公民个人信息的数量而适用该解释第五条的规定认定为情节特别严重。

案例十 杨某某侵犯公民个人信息案【（2020）闽0181刑初399号】

法院判决认为，被告人杨某某违反国家有关规定，为合法经营活动非法获取公民个人信息，数量共计1000多万条，但仅认定其情节严重，适用3年以下量刑档次。

“合法经营”类侵犯公民个人信息犯罪的辩护空间较大，准确理解与适用《解释》第六条的规定，对于此类案件的辩护将大有裨益。

作者简介

郑凯方

上海靖予霖律师事务所

刑民交叉案件研究与辩护部主任

曾就职于某市人民检察院公诉部门，任经济金融犯罪办案组组长、毒品犯罪办案组组长，办理了诸多疑难复杂、社会影响重大的刑事案件。因办案两次荣立个人三等功，获全省十佳审查报告、优秀公诉人、最佳辩手、先进工作者等诸多省市级荣誉。转岗律师后，专司刑事业务，积累了丰富的案情研判、证据审查、刑事风险防控实务经验。精研刑事控告，善于从案件中找准突破点，把握案件走向。擅长经济金融犯罪、刑民行交叉案件、传统犯罪案件的分析研判，从复杂案情中准确把握核心要点，制定综合法律服务方案。

郝旭

上海靖予霖律师事务所 实习律师

华东政法大学法学硕士（刑法学），在校期间多次获得学业奖学金，并取得优秀法律援助志愿者荣誉称号。法学基础理论扎实，曾在法学期刊上发表专业理论文章。法学实践经验丰富，曾在上海知名律所的刑事辩护团队和上海市徐汇区人民法院实习，并获得“优秀法律助理”称号。曾参与办理周某集资诈骗案、非法获取计算机信息系统数据案等诉讼案件以及企业刑事合规业务。

靖霖刑事律师机构