说实在的，之所以想到讨论“数据公司能否与侵犯公民个人信息罪‘擦肩而过’？”这个问题，主要是因为最近找律师探讨这一问题的太多，包括警察、检察官。我们也看到，数据公司被公安机关查获或者带走协助调查的报道，时有发生，前段时间更是集中。一个刑法中“最年轻的罪名”却引发如此之多的关注，真的有必要结合此前办理这类案件的经验进行有效的梳理和学习了。

进入正式探讨之前，我们有必要对探讨对象进行有效的界定：（1）虽然作者之一系海量数据（603138.SH）的亏损投资者之一，但作者将在专业角度进行客观、冷静的分析；（2）此处研究的数据公司不包括搜集倒卖冬虫夏草、珍珠玛瑙这类信息的企业，仅研究涉及人（且限定于自然人的信息）；（3）数据公司是笼统说法，是指从事数据搜集、销售、服务方面的企业，并非限定于公司被称之为数据公司。

一、刑法依据

《中华人民共和国刑法》第二百五十三条 之一 【侵犯公民个人信息罪】违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

 二、罪名介绍

之所以说侵犯公民个人信息罪“年轻”是因为这一罪名系2015年11月1日是《刑法修正案（九）》所修正后的罪名，而此前2009年2月28日的《刑法修正案（七）》增设非法获取公民个人信息罪。单纯从罪名来看，侵犯公民个人信息罪则显得更加科学、完整、严谨。

1、主体要求

本罪系一般主体，即所有的单位及自然人均可以成为本罪的主体。当然，自然人必须是达到法定刑事年龄的自然人，即已满16周岁的自然人。

2、客体要求

犯罪客体，简而言之是刑法所保护的社会关系，本罪规定在《刑法》第四章“侵犯公民人身权利、民主权利罪”之中，也就是说本罪侵犯的直接客体是公民的个人信息权，而严格来讲是公民的人身权利、民主权利。客体和犯罪对象并非一回事，侵犯公民个人信息罪中的犯罪对象是指“公民个人信息”，指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

3、主观方面

本罪则要求行为人（单位或自然人）必须是出于故意，包括直接故意和间接故意。但出于过失而侵犯公民个人信息的，则不属于刑法打击的范畴。

4、客观方面

所谓的客观方面是指行为。为了清晰准确的阐述此处的客观方面，则从以下几个方面分别讨论：

（1）违反国家有关规定，向他人出售或者提供公民个人信息。此处，值得注意的是向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，也应当理解为“提供公民个人信息”。此外，如果未经被收集者同意，将合法收集的公民个人信息向他人提供的，也可以作上述认定。当然，经过处理无法识别特定个人且不能复原的除外。

（2）违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的。该项是指在履行职务或者提供服务过程中则主要是指通讯、银行、医院等公共服务行业，也包括宾馆、车站等，注意此处的获取方式是合法的，但提供给他人的方式是违反国家规定的，刑法打击这种行为。

（3）窃取或者以其他方法非法获取公民个人信息。此处窃取的非法性自待言，而“以其他方法非法获取”是指违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的。

关于何为违反国家规定？根据司法解释的明确要求，所有违反法律、行政法规、部门规章有关公民个人信息保护的规定的，可以理解为此处的违反国家规定。

三、追诉标准

关于侵犯公民个人信息罪的追诉标准，根据司法解释的内容，列举如下：

 1、出售或者提供行踪轨迹信息，被他人用于犯罪的;

 2、知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的;

  3、非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的;

  4、非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的;

  5、非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的;

   6、数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的;

   7、违法所得五千元以上的; 

   8、将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的;

   9、曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的;

   10、利用非法购买、收受的公民个人信息获利五万元以上的;

   11、曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的;

   12、其他情节严重的情形。

四、案例数据分析

为了准确研究侵犯公民个人信息罪，我们调取了2016年1月1日至今全国一审判决的侵犯公民个人信息罪案例，其中2016年为420件、2017年为1319件、2018年为2024件，2019年至目前为817件，可见此类案件数量上升趋势很是明显。如图：

2019年全国817个案件中涉及自然人972个、单位36个，可见自然人实施此罪的比重仍然较大。如图：

2019年全国817个案件中涉及的972个自然人之中，被采取刑事拘留措施的数量769个，而被检察机关批准逮捕的数量为331个，取保候审571个，监视居住16个，可见适用羁押性强制措施的仍然比较常见。

2019年全国817个案件中，其中案发较为集中的区域。如下图：

  数据公司被公安机关调查，大多与侵犯公民个人信息有或多或少的联系，是否能够最终与侵犯公民个人信息罪“擦肩而过”？回答这一问题，有必要研究数据公司所使用的商业模式，或者说在经营活动中具体的业务操作方法。当然，检验经营活动过程中罪与非罪的问题，具体标准如前所述。

时间有限，我们对上述问题的研究难免不够深入、不够全面、或者不够准确，期待读者多提出意见，共同探讨。

徐红亮：德衡律师集团高级合伙人，德衡律师集团刑事业务委员会主任、刑事辩护专业律师。

陆阳：北京德和衡律师事务所高级联席合伙人、金融科技部主任，擅长金融领域新型业态法律合规方案设计。