信息犯罪丨侵犯公民个人信息罪规范解读之“违反国家有关规定”

本公众号上周关于信息犯罪的推送文章《信息犯罪丨侵犯公民个人信息犯罪之现状》一文中已经对侵犯公民个人信息犯罪的当下现象进行了较为详细的说明。由其中内容可见时下针对公民个人信息的犯罪具有相当的社会危害性，对公民的日常平稳生活及人身财产法益造成了侵害或者威胁。因此《刑法修正案（九）》对此作出了及时的回应，在原有的出售、非法提供、非法获取公民个人信息罪的基础上进行了修改，并由最高人民法院、最高人民检察院将罪名修改为侵犯公民个人信息罪。根据修改后的刑法规定，侵犯公民个人信息罪的构成要件行为共有两种：1.违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的行为；2.窃取或者以其他方法非法获取公民个人信息的行为。本文按照法律规定的表述，对本罪的第一部分构成要件内容——“违反国家有关规定”进行规范解读。

 

（一）“国家有关规定”的外延

我们注意到，关于违反本罪要求的违反前置性规定的内容，《刑法修正案（九）》进行了相应的修改。在《刑法修正案（九）》生效之前的出售、非法提供、非法获取公民个人信息罪中，要求行为人的行为首先违反“国家规定”，按照我国《刑法》第96条的规定，“国家规定”具有特定的外延，包括：全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。一言以蔽之，也就是全国人大及其常委会、国务院制定的规范性法律文件。而《刑法修正案（九）》之后的侵犯公民个人信息罪中，行为人的行为违反的是的“国家有关规定”，国家有关规定所对应的规范性法律文件的范围不再受到制定主体必须是全国人大及其常委会或者国务院的限制。这显然对于成立本罪的条件进行了一定程度的松绑，进而扩大了本罪的犯罪圈，将更多的行为（从逻辑上讲，即那些违反了“国家有关规定”但是没有违反“国家规定”的行为）纳入到了刑法规制的范畴。我国目前没有颁布统一的《个人信息法》，而针对公民个人信息的保护性规定则散见于不同效力层级的规范性法律文件中，如全国人大常委会发布的《关于加强网络信息保护的决定》（以下简称“《决定》”）、工业和信息化部发布的《电信和互联网个人信息保护规定》（以下简称“《规定》”）等。在目前对公民个人信息保护的规范性法律文件中，从立法主体上看，属于“国家规定”范围的较少，而且其内容远不全面，不足以满足当下遏制该类犯罪现象的需要。因此立法者对本罪在此处的修改，其一是基于依法打击侵犯公民个人信息犯罪现象的需要；其二也是由于关于公民个人信息保护的规范性法律文件在立法主体上不统一、不合理的现状所致。

 

上述修改虽然目的在于方便打击犯罪，但是对于“国家有关规定”的内涵与外延并无法律或者司法解释作出明确界定，因此在司法实践中可能会带来一定问题。“国家有关规定”的范围应当大于“国家规定”，否则立法者也就没有必要对之前的刑法用语进行修改，这一点应无异议，但是除“国家规定”之外的国务院部门规章或者其他规范性法律文件、地方人大及其常委会制定的地方性法规、地方人民政府制定的地方政府规章或者其他规范性法律文件，是否属于“国家有关规定”的范围，则并不明确。

 

我们认为，既然“国家有关规定”的外延应大于“国家规定”，那么在“国家规定”之外，但是距离其最近的国务院部门规章，应当属于“国家有关规定”的范畴，否则无以其他规范性法律文件填充“国家有关规定”的外延。但同时，笔者认为，地方政府性法规、地方政府规章及其他地方主体制定的其他规范性法律文件（以下简称“地方性文件”）不应认定为此处的“国家有关规定”。地方性文件之效力只能及于该地域范围之内，与该地区无涉之行为不为该地方性文件所规制，这是应然之道理。如果认为地方性文件也属于“国家有关规定”，则可能会因为地方性文件制定的不同，导致相同的行为在不同地区之间存在罪与非罪的区别，出现“同案不同判”的现象。另外，侵犯公民个人信息行为往往在网络上实施，该类型案件往往犯罪网络覆盖面大，关系错综复杂，导致多个地方的司法机关均有管辖权。如果认为地方性文件也属于“国家有关规定”的范围，则会导致同一起犯罪事实，由不同司法机关追究可能会产生截然不同的后果的现象。以上两种后果显然是不能接受的，因此，我们认为，“国家有关规定”不应包括地方性文件。至于国务院部门制定的行政规章之外的其他规范性法律文件，我们认为，从扩大打击犯罪范围的立场出发，应当将其纳入到“国家相关规定”的范围之内。但考虑到刑法所应当具有的明确性原则，该类规范性法律文件的定位应当由有权解释予以明确规定为宜。

 

（二）“违反国家有关规定”的适用范围

按照法条的表述，对于非法获取型侵犯公民个人信息的行为，并不需要“违反国家相关规定”。有些论者可能因此认为，既然立法者在本条第一款、第二款描述本罪部分行为类型时均明确规定了违反国家规定，而第三款中没有这样规定，从实定法的角度出发，不应认为这是立法的疏漏，而是立法者有意为之。因此对于非法获取型侵犯公民个人信息的行为，不需要违反国家相关规定。

 

我们认为，这种观点是不能成立的。因为不管是何种行为方式，我们需要承认的是，本罪属于行政犯。所谓行政犯，是与自然犯相对的一种犯罪分类方式。按照学界对犯罪的一般划分方式，自然犯是严重违反社会伦理道德而被规定为犯罪行为的犯罪种类，如故意杀人罪、故意伤害罪、强奸罪、盗窃罪等。行政犯，又称为法定犯，是指该行为虽然并未严重违反社会伦理道德，但是为了社会管理需要而规定为犯罪的犯罪种类，如走私犯罪、知识产权犯罪等。侵犯公民个人信息的行为，应当说在几十年以前，并未被认定为是一种犯罪行为，因其并不具有严重的反社会伦理性，只是随着风险社会的到来，刑法所做出的一种回应，因此该罪应属于行政犯。行政犯的重要特征及其犯罪成立的要求是“二次违法”原则，即对于行政犯，其成立犯罪的前提，必须是该行为已经违反了前置性的民商事或者行政法律法规。只是因为前置性法律规定不足以遏制该种犯罪行为，或者说该种犯罪行为已经超过了前置性法律规定规制的范畴，从而落入了刑法规制的范畴，成立了刑事犯罪。基于此，虽然本罪的第二种行为模式中并未有明确规定要求行为人的非法获取公民个人信息的行为要违法国家相关规定，但其仍然属于犯罪成立的必备要件，不能忽略。

 

（三）“国家有关规定”之明确性原则思考

通览目前的刑法典，我们发现所有的条纹中仅在此处出现了“国家有关规定”的用语。如上所述，这一规定本身是为了方便对侵犯公民个人信息行为追究刑事责任，但是由于该用语的模糊性、当下针对公民个人信息犯罪立法的不完善，将会导致司法实践中出现不可避免的法律适用问题。同时，这一规定的模糊性，在某种意义上也使得其存在违反罪刑法定原则的嫌疑。

另外，仍需要说明的是，罪刑法定原则中的明确性要求不仅针对刑事立法，还针对刑事司法，不仅针对审判机关，还针对侦查机关、检察机关，因此人民检察院在制作起诉书时，也应当遵循明确性原则。对侵犯公民个人信息犯罪的案件，不宜笼统地认定“被告人违反国家有关规定”，如何如何，而应当具体说明，被告人的行为违反了国家哪一部相关规定中的哪一条。而如果由于前置性立法的缺失导致“国家有关规定”无迹可寻，此时应当坚持行政犯的“二次违法”要求，依法认定被告人的行为不构成本罪。