是否构成侵犯公民个人信息罪，关键在哪？

（原标题：是否构成侵犯公民个人信息罪，关键在哪？）

随着近年来个人信息及数据安全领域立法的逐步规范和完善，与上述两个领域相关的刑事犯罪风险也逐渐为各大企业所重视。

其中，侵犯公民个人信息的行为，不仅会使得企业或有关人员面临民事或行政责任，在一定条件下，也可能会让企业或有关人员面临《刑法》第二百五十三条之一的侵犯公民个人信息罪的刑事风险。

而对于该罪而言，最重要的两点在于，其一，个人信息的认定，其二，非法获取、出售或提供公民个人信息行为的认定。飒姐团队今日文章，便针对其中第二点，通过一则案例（案号：(2018)桂0126刑初486号）为大家分析一下实务中对于第二点认定可能出现的问题。

一、基本案情

2017年11月份起，被告人王某丙、张某、王某、韦某、王某甲、王某乙、张甲伙同他人，共谋在广西南宁市兴宁区某地一出租房内实施网络诈骗活动。为实施网络诈骗行为，被告人之间相互分工配合，通过网络获取企业公司信息及法定代表人通讯录，进而假冒公司负责人骗取公司财务会计人员信任，以退还“合同保证金”为由，要求财务人员将钱款汇入到其指定的银行账户中。

2017年12月21日，公安机关在涉案现场将七名被告人抓获，并当场搜获笔记本电脑15台、手机、电话卡、银行卡等一批作案工具。经公安机关依法提取涉案电脑的信息，共提取到包含公司名称＋法定代表人名字＋注册资本＋手机号码的公民信息共11628条，作案的银行卡中有六张（中国工商银行：62×××79丁某、62×××93邓某、62×××75张林海、62×××55彭某、62×××03徐某、62×××98袁某）是使用他人身份信息开户的银行卡，为七名被告人非法持有。

二、裁判过程及裁判结果

在审判中，辩护人辩称，本案查获的公民个人信息中主要是公司的信息，这些信息都是公开的，不应该认定为公民个人信息。但法院指出，本案被告人通过网络搜索获取企业信息，包含公司名称、法定代表人名字、注册资本、手机号码等内容，能够单独识别特定自然人身份，应认定为公民个人信息，且其用于实施电信网络诈骗，足以威胁他人人身、财产安全，具有社会危害性，应依法予以惩处。

故一审法院认为，被告人张某、王某甲、王某、韦某、王某乙、张甲、王某丙非法获取公民个人信息，情节严重，并非法持有他人信用卡，数量较大，其行为已触犯《刑法》第二百五十三条之一、第一百七十七条之一的规定，构成侵犯公民个人信息罪、妨害信用卡管理罪。

三、争议焦点

事实上，除去辩护人提出的被告人所获取的信息是否为个人信息是本案的争议焦点之一，本案中实际上还有一个争议点，即被告人是否实施了侵犯公民个人信息的行为，换言之，被告人的行为是属于非法获取还是非法出售抑或是非法提供，而此点在法院判决中并未明确体现。

四、案例评析

（一）被告人所获得的信息是否为公民个人信息

根据《个人信息保护法》第四条的规定，所谓个人信息，是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

本案中所涉及的信息，主要是企业信息，其中包括公司名称、法定代表人名字、注册资本、手机号码，由于法定代表人名字与手机号码显然属于能够单独识别特定自然人身份的信息，因而认定属于个人信息并没有太大的问题，因而被告人所获得的信息应当被认定为公民个人信息。

（二）被告人是否实施了侵犯公民个人信息的行为

事实上，构成侵犯公民个人信息罪的关键在于行为人是否实施了侵犯公民个人信息的行为。换言之，即便该信息属于公民个人信息，但是若行为人并未侵犯公民个人信息权，即相应法益并未被侵害，该行为当然不构成侵犯公民个人信息罪，行为人也不会因此而受到刑罚处罚。

因此，在涉及侵犯公民个人信息罪时，最为重要的便是侵犯行为的认定，具体而言，即是非法获取、出售和提供行为的认定。但司法实践中，对于此点的认定往往是比较模糊的，本案中，法院仅仅认定行为人构成非法获取行为而并未进行进一步阐释。其做法并未给予该要点应有的尊重。

事实上，根据现有证据情况，本案中，行为人的行为并不构成非法获取行为。根据被告人的供述，其获取的信息，是通过企查查网站进行下载而获得的。该信息显然属于企业自身主动公开的信息。

因而根据《个人信息保护法》第十三条的规定，处理个人自行公开或者其他已经合法公开的个人信息，原则上并未违反法律规定，因而不构成对于公民个人信息权的侵犯。故被告人收集企查查上公开的企业信息及其中的个人信息的行为并未构成非法获取行为。法院未对此进行说明而仅仅因为被告人利用该信息进行网络诈骗活动而认定被告人的行为属于非法获取个人信息的行为的做法是不妥当的。

因此，本案中事实上需要考虑的是，被告人是否有非法出售或非法提供的行为。应当注意的是，被告人在获取上述信息的目的便在于利用该信息实施网络诈骗，诸被告人构成诈骗罪的共犯，他们在获取了上述信息后便直接将该信息用于骗取财物。而在该骗取财物的过程中，被告人既没有将该信息进行出售，也没有将该信息提供给其他人，而仅仅只是自己使用。

因此，被告人实际上也没有非法出售或非法提供公民个人信息的行为，并不应当被认定为承担侵犯公民个人信息罪。相反，若其他构成要件满足，诸被告人应以诈骗罪定罪处罚。