一、案情概要
2018年4月至6月,王甲在某乙公司工作,了解并签署了公司文件《某乙集团数据安全规范》,该文件规定,公司集团OA平台上的所有信息对公司员工是公开的,其中的员工个人数据属于敏感数据,对于“敏感数据”的使用需要授权,不允许对外使用,且根据工作实际需要按照最小化原则使用,员工在成为正式员工后,公司授权员工为工作需要可以浏览、查询相关员工信息,但不能擅自提取,如要提取需按照规定得到授权。公司《劳动合同》同时约定:员工离职,需归还某乙公司所有财产,其中包括但不限于员工负责保管、使用或在其控制范围内的所有含有某乙集团总公司和分公司相关内容的资料信息及前述信息资料的复印件及软件、磁盘、硬盘、光盘等任何载体。
在此期间,王甲违反上述规定,私自使用python语言编写具有自动获取数据功能的脚本程序main_user.py,并将其在内部论坛网站“某乙内外”账号的cookie信息配置到该脚本程序上,通过运行该程序,秘密窃取某乙集团员工的个人信息共计2万余条;2018年6月,王甲离职时,将上述信息存储于电脑硬盘秘密带走。
二、观点分歧
本案对于王甲的行为是否构成侵犯公民个人信息罪,存在一定争议。
第一种意见认为,王甲不构成侵犯公民个人信息罪。理由在于:
(1)王甲系公司员工,有权限获取其他员工信息,不存在非法获取一说;(2)即便王甲存在大量提取员工信息的行为,但违反的只是公司制度,而非国家制度;(3)王甲离职未上交员工信息系一时疏忽忘记上交,且并未用于任何违法犯罪活动。
第二种意见认为,王甲构成侵犯公民个人信息罪。理由在于:(1)王甲的权限仅限于工作需要下的少部分员工信息,大规模下载公司其他员工信息违反了公司规定;(2)公司规定虽不是国家规定,但王甲并非向他人出售或者提供公民个人信息,王甲获取公民个人信息不需要违反国家规定,违反公司规定私自下载的行为等同于“窃取”;(3)非法获取个人信息行为本身违法,无须向他人出售或者提供。
三、评析说理
笔者同意第二种意见,即王甲构成侵犯公民个人信息罪。具体理由如下:
(1)王甲存在侵犯他人个人隐私信息的行为
侵犯公民个人信息罪在客观方面表现为行为人实施了侵犯他人个人隐私信息的的行为,即违反国家有关规定,向他人出售或者提供公民个人信息;窃取或者以其他方法非法获取公民个人信息。
本案王甲作为某乙公司员工,虽有权限查询集团下所有员工的个人信息,但公司《某乙集团数据安全规范》同时规定,员工根据工作实际需要可以浏览、查询相关员工信息,但要按照最小化原则使用,不能擅自提取,如要提取需按照规定得到授权。王甲大规模下载集团公司多名员工信息已严重违反了公司规定。
《某乙集团数据安全规范》文件虽不属于国家相关规定,但却足以说明王甲大规模下载多名员工信息是无依据的,且非法获取公民个人信息并不需要违反国家有关规定,只要行为人没有获取公民个人信息的依据或者资格而获取了相关个人信息的,即可以认定为“非法获取”。
因此,王甲违反公司规定,擅用职权秘密窃取其他员工大量个人信息已然侵犯了公司其他员工的个人隐私。
(2)王甲主观上存在侵犯他人个人信息的故意
侵犯公民个人信息罪在主观方面表现为故意,即行为人明知自己的行为会侵犯了他人隐私信息,而希望或放任这种结果的发生。本案王甲的主观故意表现在以下几个方面:
第一,王甲在公司有过多次培训并通过考试,对于公司数据安全以及商业行为准则有详尽的了解;
第二,王甲的下载并非简单下载,而是违反公司规定,利用职权通过较为复杂手段私下多次、大批量下载多人信息;
第三,王甲下载上述信息后,绝大多数都没有用于工作,相反在离职后,将上述信息存储与电脑硬盘带回家中。
第四,王甲本人的供述也表明其知道自己没有权限获取其他员工信息,却出于好奇下载。
因此,现有证据足以王甲主观上存在侵犯公民个人信息的故意,客观上也实施侵犯行为,已然构成侵犯公民个人信息罪。
四、法律常识
(一)侵犯公民个人信息罪的含义
侵犯公民个人信息罪是指行为人因违反国家有关规定,向他人出售或者提供公民个人信息而形成之罪。
(二)侵犯公民个人信息罪的特征
1.侵犯的对象是公民个人信息,企业、公司、政府部门等单位的信息并非本罪犯罪对象;
2.客观上实施了非法侵害他人个人信息行为。即违反国家有关规定,向他人出售或者提供公民个人信息,或者将在履行职责或者提供服务过程中获得的公民个人信息,出售或者提供给他人的(后者从重处罚);窃取或者以其他方法非法获取公民个人信息。
3.本罪违反规定指的是“国家有关规定”,即法律、行政法规、部门规章等国家层面有关公民个人信息保护的相关规定,地方性法规等不在此列。
4.侵犯公民个人信息罪在主观方面表现为故意。即行为人明知自己的行为会侵害到他人信息,而希望或放任这种结果的发生。
5.单位可构成本罪,对单位和直接负责的主管人员、其他直接责任人员双罚。
(三)侵犯公民个人信息罪的处罚
《刑法》第二百五十三条
违反国家有关规定,向他人出售或者提供公民个人信息,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金;情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。
违反国家有关规定,将在履行职责或者提供服务过程中获得的公民个人信息,出售或者提供给他人的,依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的,依照第一款的规定处罚。
单位犯前三款罪的,对单位判处罚金,并对其直接负责的主管人员和其他直接责任人员,依照各该款的规定处罚。
(四)侵犯公民个人信息罪的立案及量刑标准
最高人民法院、最高人民检察《院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(2017)
第五条
非法获取、出售或者提供公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一规定的“情节严重”:
(一)出售或者提供行踪轨迹信息,被他人用于犯罪的;
(二)知道或者应当知道他人利用公民个人信息实施犯罪,向其出售或者提供的;
(三)非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的;
(四)非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的;
(五)非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的;
(六)数量未达到第三项至第五项规定标准,但是按相应比例合计达到有关数量标准的;
(七)违法所得五千元以上的;
(八)将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人,数量或者数额达到第三项至第七项规定标准一半以上的;
(九)曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚,又非法获取、出售或者提供公民个人信息的;
(十)其他情节严重的情形。
实施前款规定的行为,具有下列情形之一的,应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”:
(一)造成被害人死亡、重伤、精神失常或者被绑架等严重后果的;
(二)造成重大经济损失或者恶劣社会影响的;
(三)数量或者数额达到前款第三项至第八项规定标准十倍以上的;
(四)其他情节特别严重的情形。
第六条
为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一规定的“情节严重”:
(一)利用非法购买、收受的公民个人信息获利五万元以上的;
(二)曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚,又非法购买、收受公民个人信息的;
(三)其他情节严重的情形。
(五)侵犯公民个人信息罪其他重要法律法规及司法解释(略)
1.《中华人民共和国网络安全法》(2016)
2.全国人民代表大会常务委员会《关于加强网络信息保护的决定》(2012)
3.最高人民法院、最高人民检察院、公安部《关于办理电信网络诈骗等刑事案件适用法律若干问题的意见》(2016)
4.最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》(2013)
5.最高人民法院、最高人民检察院、公安部、国家安全部《关于依法办理非法生产销售使用“伪基站”设备案件的意见》(2014)