同行“信息置换”是否构成侵犯公民个人信息罪

摘要：在打击电信网络诈骗持续推进的背景下，营销推广类骚扰信息仍然居高不下，其重要来源之一是教培、评估、房产销售等机构之间无偿互换客户名单的“信息置换”。从实证看，此类置换同样可能构成侵犯公民个人信息罪，提供出去和换回来的信息均应纳入犯罪条数：单次置换去重后合并计算，向多名同行提供同一批信息则累计计算。企业应当恪守合规经营底线，避免以小失大。

关键词：侵犯公民个人信息罪；信息置换；情节犯；授权范围；条数计算

一、问题的由来

近年来，公民个人信息保护受到前所未有的重视。《民法典》《个人信息保护法》相继施行，《刑法修正案（九）》将侵犯公民个人信息罪的犯罪主体扩展至一般主体，司法机关也持续开展专项打击。个人信息保护不只关乎个人权益，也关乎社会秩序和日常生活的安宁。

但笔者在日常生活和办案中的体会是，骚扰信息并没有随之明显减少，只是结构发生了变化。随着打击电信网络诈骗的力度不断加大，诈骗电话、诈骗短信已经少了很多，营销推广类的电话和短信却仍然居高不下。这类营销信息大致有两个来源。一类来自用户自己注册使用的软件：注册时默认勾选或者一揽子同意隐私政策，软件运营方据此向用户推送营销信息，有的还将信息共享给合作机构。另一类则更难追溯：用户从未与来电机构打过交道，不知道对方从何处得知自己的信息，但对方推销的业务与用户近期接触过的机构大体相似。家长刚在一家培训机构报名，其他培训机构的电话就接连打来；业主刚在售楼处登记或者办理交房，装修、建材公司的推销便接踵而至；企业刚申请完某项评价，同类评估机构就主动联系上门。

后一类信息从何而来？笔者在办案中发现，有些企业为了最大限度地获取潜在客户信息，与同行之间互相交换客户信息：甲把A的个人信息给乙，乙把B的个人信息给甲，双方不支付金钱对价。这种做法在教培机构、评估机构、房产销售机构中较为常见。也有企业专门就此前来咨询，提出的质疑高度一致：自己只是向同行提供了信息，属于互相置换，没有从中获利；换来的信息用于公司正常经营；客户本来就有报班、买房或者申请评价的需求，同行使用并没有超出个人信息的使用目的。

由此产生两个问题：这种“信息置换”是否构成侵犯公民个人信息罪？置换的信息是否要纳入本罪条数的计算？本文依据《刑法》第二百五十三条之一和《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号，以下简称《解释》），先从实证角度给出结论，再分析原因，最后对企业作一点提醒。

二、实证结论：置换的信息应当纳入犯罪条数计算

（一）裁判实践的态度

浙江温岭的一起案件中，灯具公司业务员徐某与多名装修同行约定共享新获取的业主信息，通过微信向对方发送多个小区的业主信息表格，经去重后共计约7.4万条。徐某辩称从未出售信息、未获取利益，法院认为向他人提供公民个人信息即便未收取费用、未直接获利，同样构成犯罪，同行互换客户资源的行业做法不等于法律许可，以侵犯公民个人信息罪判处其有期徒刑二年二个月，缓刑二年六个月，并处罚金一万元。^[1]

江苏无锡的一起案件更为典型：靳某某与于某某通过QQ点对点传输文件，互相交换无锡多个小区的业主信息，靳某某向于某某提供二万三千余条，于某某向靳某某提供二万二千余条。法院认定二人“通过交换的方式获取公民个人信息并向对方提供公民个人信息，情节严重”，均构成本罪。^[2]这正是“甲把A给乙、乙把B给甲”的标准形态，双方都没有支付金钱，法院对提供和获取两端均作了数量认定。

（二）置换的信息如何计入条数

置换之所以两端都要计算，是因为它同时包含两个行为。《解释》第三条规定，向特定人提供公民个人信息，或者未经被收集者同意将合法收集的公民个人信息向他人提供的，属于“提供”；第四条规定，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息的，属于“以其他方法非法获取”。甲把A给乙是提供，从乙处换回B是以交换方式获取。在此基础上，可以区分三种情形（图1）。

点击查看原图 ↗

图1　信息置换场景下的三种条数计算情形

第一，单次置换，提供与获取合并计算。A、B两批信息指向不同的自然人，甲的两个行为分别侵害了两批信息主体的权益。本罪是选择性罪名，同时实施提供和获取行为的仍定一罪，但获取和提供的数量应当合并计算，而不是只算其中一端或者取较大值；合并时剔除两批名单中重合的同一自然人信息。需要说明的是，已公开的判决通常分别列明提供和获取的数量，并不总是写明合并后的总数。

第二，先获取后置换，同一批信息不重复计算。甲的A信息本身是从他人处非法获取的，又拿去与乙置换。《解释》第十一条第一款规定：“非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。”甲的条数为A与换回的B去重后的数量，而不是把A计算两次。

第三，一对多置换，提供端累计计算。从业人员很少只与一名同行交换，更多是拿同一份名单分别与多名同行互换。《解释》第十一条第二款规定：“向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。”例如，甲将同一批2000条普通信息分别与乙、丙、丁三名同行交换，各换回1000条互不重复的信息，甲提供端累计6000条，获取端3000条，合计9000条，已经超过普通信息五千条的入罪标准。若向十余名同行分别提供，累计条数很容易达到五万条，进入“情节特别严重”的量刑档次。

此外，条数以能够识别特定自然人的一组信息为单位，一条记录包含姓名、电话、住址等多个字段的，认定为一条。对于批量信息，《解释》第十一条第三款规定根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。因此，去重、剔除虚假信息、查明每名行为人实际提供和获取的范围，也是此类案件审查和辩护的重点。

三、原因分析：本罪看的是数量、种类和授权范围

（一）本罪是情节犯，不以获利为要件

企业认为“没有收钱就不犯罪”，实际上是把本罪当成了以营利为目的的犯罪。但《刑法》条文将“出售”与“提供”并列，“提供”本身不以有偿为前提；本罪保护的是公民的个人信息权益，信息主体所受的侵害并不因流转是否有对价而有所不同。

本罪是情节犯，“情节严重”才入罪，而判断情节主要看信息的数量和种类。《解释》第五条第一款列举了十项“情节严重”情形，“违法所得五千元以上”只是其中一项，与按信息种类和数量设定的标准并列。没有违法所得的置换案件，直接依数量标准认定：行踪轨迹、通信内容、征信、财产信息五十条以上；住宿、通信记录、健康生理、交易信息等其他可能影响人身、财产安全的信息五百条以上；其他公民个人信息五千条以上。不同种类信息的数量均未达标，但按比例合计达到标准的，也属于“情节严重”。

值得企业特别注意的是，置换出去的客户信息多是在接待咨询、办理报名、看房登记、受理评价申请时收集的，属于“在履行职责或者提供服务过程中获得的公民个人信息”。《刑法》第二百五十三条之一第二款规定，将此类信息出售或者提供给他人的，从重处罚；《解释》第五条第一款第八项规定，数量达到一般标准一半以上的即属“情节严重”；《关于常见犯罪的量刑指导意见（二）（试行）》还规定，此类情形增加基准刑的10%至30%。^[3]各类信息的数量标准见表1。

表1　《解释》第五条规定的数量标准

注：“服务中获得而提供”指将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人（第五条第一款第八项）。“情节特别严重”为达到第一款第三项至第八项规定标准十倍以上（第五条第二款第三项）。违法所得五千元以上亦属“情节严重”，五万元以上属“情节特别严重”。

（二）“用于正常经营”不能降低入罪门槛

企业强调信息用于公司正常经营，所依据的是《解释》第六条。该条规定，为合法经营活动而非法购买、收受普通公民个人信息的，须利用这些信息获利五万元以上，或者有曾受刑事处罚、二年内受过行政处罚等情形，才认定为“情节严重”。也就是说，单纯为了自身经营而购买、收受普通信息自用的，条数本身不决定是否入罪。

但置换不能适用这一规定，《解释》起草者归纳，适用第六条须同时满足三个条件：为了合法经营活动；限于普通公民个人信息；信息没有再流出扩散，即行为方式限于购买、收受。并明确指出：“为了合法经营活动交换公民个人信息的，由于在获取信息的同时造成了信息扩散，不符合前述三个要件，定罪量刑标准亦应适用《解释》第五条的规定。”^[4]道理在于，购买或者收受信息自用时，企业处于信息流转的末端；置换则以提供本方客户信息为对价，换入的同时必然使本方信息流出。因此，只要存在向同行提供信息的行为，就仍按第五条的数量标准认定，是否获利、是否用于正常经营都不影响入罪。名单中如含有财产、征信、健康生理、交易等敏感信息，本身也不在第六条的适用范围之内。

（三）超出授权范围、未经同意提供，违反《个人信息保护法》

本罪以“违反国家有关规定”为前提，企业认为客户本来就有相关需求、同行使用没有超出目的，这一理由混淆了消费者的一般需求与个人信息处理者的授权范围。是否超出授权范围，应当对照《个人信息保护法》对处理目的和处理方式的限制来判断。

《个人信息保护法》第六条要求处理个人信息具有明确、合理的目的，并限于实现处理目的的最小范围；第十四条规定，处理目的、处理方式和个人信息种类发生变更的，应当重新取得个人同意。客户在甲机构登记信息时所作的同意，针对的是甲机构为特定服务处理其信息。甲把信息交给与客户毫无关系的乙，处理者和处理目的都已改变，已经超出了授权范围。更直接的是第二十三条：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。勾选一揽子隐私政策或者默认勾选，均不构成对外提供的单独同意。

与之衔接，《解释》第三条第二款规定，未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于“提供公民个人信息”，但经过处理无法识别特定个人且不能复原的除外。同行置换的目的就是直接联系客户推销，交换的必然是可识别特定个人的姓名、电话等信息，不可能适用这一例外。因此，未经客户单独同意的置换，提供方构成非法提供；接收方明知信息系同行未经客户同意而提供，仍以交换方式接收的，构成非法获取。

四、善意的提醒：合规经营方长远

企业经营，人间正道是沧桑。获客难、获客贵是许多行业的现实，同行之间互换名单看起来成本最低、见效最快，但这条捷径通向的可能是刑事责任。几千条名单的互换，经过双向合并和一对多累计，很容易达到入罪标准，甚至进入三年以上有期徒刑的档次；信息来自本机构服务过程的，入罪门槛还要减半，量刑还要从重。企业以单位名义组织置换的，可能构成单位犯罪，单位被判处罚金，直接负责的主管人员和其他直接责任人员也要承担刑事责任。为了几份客户名单让企业和员工身陷刑事追诉，正是以小失大。

恪守合规经营的底线，首先要停止私下交换名单，明确禁止业务人员与同行或者上下游互换客户信息；确有合作营销需要的，在告知接收方情况并取得客户单独同意后再行提供，同时对客户管理系统实行权限分级和导出留痕，防止员工以个人名义私下交换。合规经营或许走得慢一些、难一些，却是企业能够走得长远的正道。