侵犯公民個人信息罪法益之辨析與確證

王思秦 東北林業大學文法學院

在萬物互聯、人機交互、數據井噴的時代，數據資源成為數據經濟時代的“新石油”，個人信息作為重要的數據資源，其背后暗含著巨大的商機與經濟利益，接踵而至的亦有對個人、社會、國家帶來的風險。因此，我國個人信息保護規范的構建迫在眉睫。本文旨在解決侵犯公民個人信息罪最基本的問題，即該罪的法益性質與內容。

一、問題的提出

刑法先行、民法后進、統一立法的形式使得有關個人信息的保護在《個人信息保護法》、刑法、民法、行政法等諸多法律規范中都有體現。那么，對于侵犯公民個人信息的行為在何種情形下需由刑法規制便成為亟需解決的難題。畢竟，合法與否是一個問題，而犯罪與否則又是一個問題。以往侵犯公民個人信息的案件常常與盜竊、電信詐騙、敲詐勒索等下游犯罪緊密結合，并且過多強調個人信息的財產屬性，但如今，更多的問題有待思考，在后疫情時代下，保障公眾的知情權是否妨礙了個人信息的保護？在信息商業化逐漸被認可的當今，個人信息的合法持有者之間互相流轉或提供信息，是否算作“違反國家有關規定，向他人出售或者提供公民個人信息”？以提供或買賣的個人信息條數作為“情節嚴重”的認定標準是否具能夠罰當其罪？

上述新問題的提出暗示著，個人信息的含義在逐漸豐富，其不再是“個人”的自顧堅守，而是處在普遍的聯系中，因而個人利益與他人利于或公共利益的關系在刑法對個人信息的保護中不容忽視。刑法的目的在于保護法益，辨明侵犯公民個人信息罪的法益利于明確入罪或出罪之邊界、解釋犯罪構成要件以及明晰刑法保護范圍。本文正是從侵犯公民個人信息罪所保護的法益切入，詳細探究其性質與內容，力求能最終把握刑法的介入標準。

二、侵犯公民個人信息罪法益之研究現狀

相比其他罪名而言，侵犯公民個人信息罪在我國是較為罕見的在侵害法益方面意見分歧巨大的犯罪[1]。關于侵犯公民個人信息罪的法益，國內外學者觀點各異，但各方爭議的焦點主要在于：第一，究竟應當將本罪法益界定為一種新型（興）的權利還是一種權利之外而應被法律保護的利益；第二，該罪法益是集體法益還是個人法益。根據上述爭議焦點，可將現存較為明顯的沖突歸為如下幾類。

（一）權利侵害說視角

從權利侵害說視角出發分析法益的學者，認為個人信息是一種權利，在此共識基礎上，對于其具體屬于何種權利各抒己見。

在經濟學視野下，公民對其個人信息所享有的是一種“信息財產權”。歸其本源，有的學者直接參照民法中的所有權來定義該罪法益的性質，所有權向下，公民當然地享有對個人信息占有、使用、收益和處分的權利。憲法人權說則賦予了公民個人信息更為豐富的內涵，個人信息因從憲法角度觀照而囊括了個人人格權、隱私權和財產權三者的屬性。該觀點基于這樣的分析，將公民對個人信息擁有的權利歸于基本人權的范疇。隱私權說則采取美國模式立場，認為如果是在已經侵犯到了公民個人信息的情況下，這種“侵犯性”對個體的冒犯正如揭露隱私對個體的冒犯一般，同樣會對個體人格尊嚴以及生活安寧造成惡劣的影響。

人格權說具體而言細化為兩派：基于德國1900《個人數據保護法》之立法目的，有學者指出侵犯公民個人信息罪所保護的法益是公民人格尊嚴與個人自由[2]，即為傳統人格權；與傳統人格權相呼應的則是派生的人格權，另有學者認為該罪的法益應當是一種新型權利，而該新型權利究竟為何則又有個人信息權、個人信息自決權（本質上是一種兼具人格權和財產權的復合權利[3]）、個人信息專有權（德國通過的《聯邦數據保護法》[4]第44條規定保護的法益則屬信息專有權）之論。

（二）利益侵害說視角

從利益侵害說視角分析的學者，認為侵犯公民個人信息罪所保護法益是一種利益而并非權利。

個人生活安寧說認為刑法視野中的公民個人信息判斷應以“私人生活安寧”為標準，即任何與公民個人相關的信息，一旦泄露，可能威脅到私人生活安寧的，都是公民個人信息。公共信息安全說認為侵犯公民個人信息犯罪的法益，應當限于“公共信息安全”，該罪成立的關鍵在于對公共信息安全法益造成了侵害，并建議將該罪名改為“侵犯公共信息安全罪”，與之類似的，還有社會信息管理秩序說和對個人信息安全的信賴說等。

以上僅是從侵犯公民個人信息罪所保護之法益是權利或利益的角度而作出的簡單分類，實則學界更多地是就本罪法益到底是個人法益抑或集體法益展開爭論，因此，在該種語境下有學者提出“并存說”[5]，并且將法益的具體內容確定為社會公共安全秩序及公民個人信息自決權（筆者認為該學說不僅表明的是集體法益與個人法益的并存，亦是權利與利益的并存）。但無論是從哪種角度梳理現有學說，辨明該罪法益的性質是確定該罪的法益以及厘清該罪邊界不可避免的重要議題。

三、對侵犯公民個人信息罪法益屬性的辨析

本部分基于爭議的兩個焦點，從理論、現有的立法狀況以及個人信息的性質來切入，提出應將侵犯公民個人信息罪的法益確定為一種法律保護的利益而非權利、集體法益而非個人法益，這樣更符合刑法的謙抑性特征，更有利于打擊嚴重損害公民個人信息利益的行為，也更有利于維持信息安全和社會穩定。

（一）利益的證成

對于侵犯公民個人信息罪的法益應是權利還是利益，學界有著兩種不同的觀點，筆者以為，其應是一種受法律保護的利益，但不應輕易地上升為一種法定權利。

從廣義上說，利益亦可表現為一種權利。而且利益又能細分為未受法律保護的一般利益、受法律保護卻未法定化的利益以及被法律明文規定的法定化權利[6]。本文中，筆者所要探討的并非是泛化的利益，而是其項下的分支，即應受法律保護而未被法定化的利益。因此對于侵犯公民個人信息罪的法益是一種權利還是一種利益，本文的觀點是：其應當是一種受法律保護的利益，但不應當就此輕易地上升為一種法定權利。

首先，權利產生依據使得其不應被輕易上升為一種法定權利。權利是由法律賦予的，而在現有的法律條文中并沒有關于“公民個人信息權利”或其他相關任何“權利”的明確表述。中國在探索公民個人信息保護的法制建設上走過了一條漫長的道路，最開始，《刑法》挺身而出，專門作出修改，《刑法修正案（七）》在嚴格限制犯罪主體與犯罪行為的情況下，增設了出售、非法提供公民個人信息罪與非法獲取公個人信息罪。而后《刑法修正案（九）》放寬了限制條件，不僅將兩罪合并為侵犯公民個人信息罪，而且將構罪主題不再局限于國家機關、醫療、教育等特殊主體，而是擴大至一般主體。至此，該罪的法益獨立性凸顯，但在其法益屬性上出現了較大分歧。而且《民法典》第111條也只是表述為“自然人的個人信息受法律保護”，除此之外，人格權編第六章也僅保守且含蓄地命名為“隱私權和個人信息保護”。因此，我們至少不應當懷疑數十年的多次修法、立法皆系不審慎的疏漏，因而未將個人信息“權”納入其中。

其次，從理論角度出發，權利為人天然享有，其本身也許并不能被侵害，因為它的存在是一種事實，亦是一種全然的狀態，往往我們被侵害的是因享有權利而附帶產生的利益。因此，刑法保護的對象實際上是權利的內容，而不是權利的本身[7]。細化到本文所要探究的侵犯公民個人信息罪，該罪的核心在于“個人信息”，但在大數據時代，個人信息本身實并沒有實質意義，其本質上只是一推數據，真正需要刑法保護的，是信息背后給個人帶來的人格利益、財產利益，以及國家、社會平穩運轉所需要的良好秩序。因此，將該罪的法益直接確定為一種權利，也許在外觀上賦予了其充足的保障，但在司法實踐中可能使個體與司法人員無所適從。

最后，時代的劇變的確使得人們對新興權利的訴求不斷增加，但在催生一項新權利之前，我們需謹慎思考其存在是否具有周延性與合理性。對于侵犯公民個人信息罪，我們誠然可以嘗試將其法益確定為個人信息權。但是不觸犯該罪名而仍侵犯公民個人信息的情形也有可能存在，比如行為人觸犯了拒不履行信息網絡安全管理義務罪或非法獲取計算機信息系統數據、非法控制計算機信息系統罪等相關罪名，在這些情況下，我們可能又會考慮是否需要再確立公共信息權的問題。因此，我們可以看到，個人信息保護僅是大數據時代，信息社會下的議題之一，個人信息權如若確立亦只能是“數據權利束”中的一支，如果企業、組織或政府的信息被侵犯，那法律是否還要再次確立一項新型權利呢？如此一來，便會產生“權利泛濫”的現象，權利因而失去其崇高性，對權利的保障亦會被削弱。

此外，有學者認為應當將本罪的法益確定為更為細化的個人信息自決權、個人信息專有權等。筆者認為該觀點值得商榷。個人信息因其所具有的價值而產生被侵犯的可能，信息的可識別性與信息的交互構建出個體的形象，而個人信息的功能與目的之一正在于公示與共享，因此其價值本就不在信息本身，其本身只是一種可以識別某個人的客觀事實，這種客觀事實并不當然地讓個人擁有或控制個人信息[8]，而且鑒于其具有一種不可避免的公共性，有時企業與政府也是其合法的擁有者與支配者。況且，在賦予個體權利時也要考慮個體是否有維持該權利的能力，部分公民個人信息實則并不為公民個人知曉或意識到，因此公民個體該如何行使其專有權或自決權便成為一大難題，而且在面對強大的企業或政府等組織機構時，權利的充分行使會變得愈加蒼白無力。

（二）個人法益的證偽

現代刑法理論中，法益可分為個人法益與集體法益，本文的觀點是該罪法益應當是一種集體法益，以下筆者將基于此分類，從集體法益和個人法益的關系、刑法特征以及適用效果上分析進一步分析侵犯公民信息罪的法益屬性。

近年來集體法益呈現出擴張的趨勢，尤其是在如今網絡迅猛發展，信息交互頻繁的時代。在這樣一個現代化與風險并存的社會中，新的社會矛盾和難題不斷滋生，便捷的交流卻引發了新的安全風險，集體的自由與秩序迫切地需要被維護，集體法益因而有了發展的空間。盡管集體法益概念已在一定程度上得到理論界的認可，但其常常被置于與個人法益對立的境地中，“并形成了褒（個人法益）貶（集體法益）偏頗的思維定勢”[9]。在探討侵犯公民個人信息罪所保護的法益性質時，個人法益與集體法益之爭顯得尤為激烈，很多觀點將個人法益與集體法益完全的對立起來，并且孤立地強調集體法益的“集體性”因而得出該罪法益是個人法益的結論。筆者認為，可能是因為當今有關集體法益的理論研究尚不深入，因而存在著些許對集體法益的誤解。因此，筆者希望能夠為集體法益正名，從而嘗試正確解讀侵犯公民個人信息罪的法益屬性。

在此之前，先對法益作出簡要的說明：法益的核心是自由，構成其基礎的是單個的個人利益。因此，無論是個人法益還是集體法益都離不開單個的個體，也離不開個體的利益，即而且毋庸置疑兩者作為法益的下位概念，都應當具有“法益”概念的全部內涵，只不過個體法益強調對刑罰權的限制以保障自由，而集體法益強調對自由的限制以保障自由。因此，個人法益與集體法益不是互不相容的矛盾關系，而是交叉互容的關系。此外，集體法益是保護個體利益的手段，其最終的目的與歸宿也是還原到個體法益上，因其只有與個體的自由與利益相關，才值得為刑法所保護。

基于以上論述，筆者認為支持個人法益的幾種重要觀點的論證尚有瑕疵：

1.根據我國刑法的體系結構以及該罪所處的位置判定該罪保護法益為個人法益。[10]首先，各國包括我國的刑法體系結構、罪名的分布以及罪名與法益的對應不是絕對的而是相對的。法律的穩定性固然重要，但亦不可忽視其可能的變動性；其次，正如上文所闡釋的，有關集體法益的理論研究尚不深入，因此，根據刑法體系做出的判斷實則是根據經驗而做出的判斷，而本罪所面臨的則是瞬息萬變的時代發展中的難題。

2.確定該罪的法益為個人法益有利于個人對抗公權力（政府），從而保障其對個人信息的控制。[11]如上所述，個人法益的作用在于限制國家的刑罰權，保障公民的個人自由，而在如今公民個人信息被泄露、被不當使用等情形屢屢發生時，我們正需要的是國家的刑罰權作用于不法分子，而不是限制刑罰權；但集體法益則能正中要害，集體法益通過限制自由來保障自由，人人都有向他人展示自己的個人信息以及獲悉他人個人信息的自由，但是這樣的自由不應漫無邊際，獲悉或使用他人的信息要在他人同意展示或提供的前提下。這實則是社會交往與社會秩序的體現，而非孤獨個體的自我展現。

3.從《民法典》、《個人信息保護法》等前置法中推斷出該罪法益的私益性。毋庸置疑，該罪存在“二次違法性”的問題，其構成犯罪以“違反國家有關規定”為前提。即前置法確定行為人的違法性，刑法作為保障法確定該罪的犯罪性。因此，從這兩組概念，“前置法”與“保障法”、“違法性”與“犯罪性”可以看出侵犯利益的程度是不同的，社會危害性亦是不同的，因此，對于法益的性質來說，這樣倒推、移植的方式是否具有邏輯上的合理性仍需存疑。

綜上，筆者認為侵犯公民個人信息罪的法益應當是集體法益，鑒于集體法益最終會“還原”到個人利益之上，因此，對于本罪，刑法嚴厲打擊侵犯公共信息安全以及信息管理秩序的行為，但其價值基礎仍在于保障公民個人的信息安全、信息自由。

四、法秩序統一下侵犯公民個人信息罪法益的確定

2021年11月1日起《中華人民共和國個人信息保護法》正式施行。該法第一條開篇表明“為了保護個人信息權益，規范個人信息處理活動，促進個人信息合理利用，根據憲法，制定本法?！薄秱€人信息保護法》作為侵犯公民個人信息罪最重要的前置法，其出臺標志著個人信息保護法制體系的進一步完善，在法秩序統一的理念下，該法首次使用了“個人信息權益”的概念，這與《民法典》的理念不謀而合，同時《個人信息保護法》作為《刑法》的重要的前置法之一亦發揮著領頭的作用，而《刑法》在保護公民個人信息時更應當與其協調共進，可以說，這預設了侵犯公民個人信息罪的所保護的法益正是“個人信息權益”。而結合本文上述觀點，刑法所保護的“個人信息權益”是一種利益或利益的集合，并且其屬于集體法益。

但是，要想充分的保護公民的個人信息，厘清該罪的邊界，同樣重要的是明確個人信息權益的內涵。有學者曾為個人信息權益建構出“兩頭強化，三方平衡”的模式[12],也有學者從憲法維度、民法維度、行政法維度提出三層構造的理論[13]，筆者認為，在《個人信息保護法》的語境下做細致的探討十分有必要，但是對于刑法所保護的“個人信息權益”則無需如此復雜，也無法做到完全統一，《個人信息保護法》中列舉的信息決定、信息保密、信息查詢、信息更正、信息封鎖、信息刪除、信息可攜與信息被遺忘這八項權益內容同樣適用于刑法，只不過只有在侵犯到集體法益時才值得被刑法保護，也就是說，單獨的個人信息權益兼具個人法益與集體法益的性質。而刑法意義上的個人信息權益之性質應當受到限縮，從而達到劃定入罪邊界的功能。