返回上一页 文章阅读 登录

张勇:敏感个人信息的公私法一体化保护

更新时间:2022-06-24 09:18:39
作者: 张勇  
〔50 〕即使对于敏感个人信息或个人私密信息来说,亦应根据具体情况作出实质判断,这也体现了刑事违法性的相对性、独立性。由于民法典和个人信息保护法对于个人私密信息和敏感个人信息在保护力度上明显强于个人一般信息。因此,在刑事案件中认定敏感个人信息处理行为是否“违反国家有关规定”时,应相应地采用区别于一般个人信息的刑事违法性判断规则。

  

   (二)侵犯敏感个人信息行为对象及入罪标准

  

   《刑案解释》第5条第1款第3项至第5项根据敏感性程度的不同,分别设置了高度敏感、一般敏感、非敏感个人信息三种定罪数量标准,与个人信息保护法、安全规范中的敏感个人信息类型范围基本一致,但也有差异。〔51 〕例如,个人信息保护法将个人生物特征明确规定为敏感个人信息。但在《刑案解释》中并无生物识别信息的相关规定。又如,《刑案解释》将账号密码、财产状况明确列举为高度敏感信息,个人信息保护法则规定“金融账户”是敏感个人信息,但民法典第1034条第2款并未明确列举账号密码、财产状况。有学者指出,这样的差异基本上是无关紧要的。个人信息保护法或民法典作了列举规定,而《刑案解释》未明确列举的信息类型如个人健康信息、生物识别信息、账号密码、财产状况等,并不意味着对其一律不能予以刑事处罚。〔52 〕如果行为人非法获取上述个人信息后,进一步侵犯公民个人的财产权甚至人身权,达到严重的社会危害程度,也应当追究其刑事责任。

  

   上述行政法规中的敏感个人信息是否等同于刑法意义上的敏感个人信息,以及适用何种定罪标准存在认识分歧,有必要具体分析:(1)生物识别信息。同公民的姓名、电话号码、家庭住址等个人信息相似,人脸、指纹、虹膜等人体生物识别信息对公民而言是独一无二的,并且也是可以明确指向特定自然人的,一旦被恶意使用,其造成的损失后果也是难以估量的,因此应对其进行更高规格的法律保护。《刑案解释》第1条虽未列举生物识别信息,但可通过第1条中的“等”字,将生物识别信息列入公民个人信息。(2)房产交易信息。按照《刑案解释》的规定,财产信息属于刑法上的高度敏感信息,交易信息则属于一般敏感信息,但在有的情形下两者难以界分。例如,对于房产交易信息是财产信息还是交易信息存在不同认识,一般来说,可以将房产信息一般作为交易信息而非财产信息看待,非法获取、出售或者提供记载公民房产的信息500条以上的,才能构成犯罪。但在有些案件中,有的房产信息内容十分详细,有的信息内容可能影响公民人身、財产安全,如果获取类似房屋信息实际上就掌握了所有人的财产状况。在此情况下,将房产信息认定为敏感信息也是合理的,非法获取、出售或者提供 50条以上的即可入罪。(3)住宿信息。按照《刑案解释》的规定,住宿信息是可能影响公民人身、财产安全的一般敏感信息;住址信息则属于一般个人信息。但如果该信息是特定个人长时间内出入住该酒店的情况及其活动规律,则可能属于行踪轨迹信息,系刑法中的高度敏感信息。(4)网络浏览记录。在网页浏览记录中,可能被保存的个人信息包括:账号密码等身份认证信息(例如,保存登录的用户名与密码)、支付信息、访问页面信息。对于前两种信息可以分别归属于“网络身份标识信息”与“支付信息”,认定为刑法意义上的“敏感个人信息”。而对于访问页面信息,一般来说,虽然其有可能涉及个人隐私,但是通常不会造成公民人格权利和财产权益的严重侵害,因此可归入“非敏感个人信息”的范畴,5000条以上的入罪标准。(5)行踪轨迹信息。司法实践中对于手机位置信息的认定存在困惑。如果行为人通过一定程序能够获取未经个人授权的手机号码位置信息的,该信息既属于行踪轨迹信息,也属于通讯记录,应当将其作为高度敏感信息予以保护。又如,邓某等非法购买车辆行驶轨迹信息案件。生效裁判认为,公民车辆行驶轨迹信息可以认定为《刑案解释》规定的“行踪轨迹信息”。〔53 〕(6)个人简历信息。一般来说,简历系包含公民姓名、出生年月、通信方式、教育背景、履职信息及求职意向等信息集合,简历信息被泄露后多被用于电话营销等活动,一般不会直接威胁到公民的人身、财产安全。从敏感重要性程度等方面考虑,个人简历信息应被视为非敏感个人信息。〔54 〕

  

   总之,不同的部门法所调整的对象范围和价值目标自然是不同的,民法的重心是保障个人权利自由,行政法的重心在于维护社会秩序,刑法的重心在于惩治犯罪,实现保障和保护的双面机能。而作为信息安全技术规范,《个人信息安全规范》的规制重点是从管理、控制风险的角度出发,对个人信息处理者的义务要求相对比较高。刑法基于特定规范目的考虑,据此作出不同于行政法、民法及行业规范的分类无可厚非,因而没有必要过于追求不同立法中敏感个人信息的含义完全一致,这与法秩序统一性并不矛盾。只要各个部门法发挥好职能作用,做到衔接协调,共同完成权利保障和行为规范的目标即可。司法机关应当从控制犯罪角度出发,需要防止打击面过度扩张,对不同类型个人信息的认定需要更加严谨,予以区别对待,将没有必要予以刑法调整的个人信息类型排除在相关罪名的对象范围之外。

  

   结  语

  

   当下,个人信息权益保护和价值利用变得同样重要,不可偏废其一。司法机关应依据个人信息法益识别的立法参照系,明确不同种类个人信息的法益保护重点和层次,能够准确适用相关部门法,认定刑法中的相关罪名。个人信息保护法的出台,凸显了对敏感个人信息的分类和强化保护,对个人信息敏感性程度的认识和判断,成为法益识别的关键和司法适用难点。对于人脸信息等敏感个人信息来说,需要以民法典、刑法及司法解释为基础,以个人信息保护法、数据安全法、网络安全法等前置性法律法规为参照系,在对其进行分类分级的基础上予以法益识别,准确认定对侵犯敏感个人信息权益行为的罪质和罪量,并适用侵犯个人信息罪以及数据网络犯罪等相关罪名。同时,从法秩序统一性和公私法一体化保护的视角,根据敏感个人信息所涉及的法益性质、内容及其遭受不法侵害的危害程度,运用民事、刑事和行政制裁手段,构建敏感个人信息保护的法律体系。

  

   华东政法大学刑事法学院教授、博士生导师。

  

   本文系国家社会科学基金重大项目“网络时代的社会治理与刑法体系的理论创新”(项目批准号:20&ZD199)、“数字经济的刑事安全风险防范体系建构研究”(项目批准号:21&ZD210)、国家社科基金一般课题“大数据背景下公民个人信息刑法保护体系研究”(项目批准号:19BFX074)、2021年度山东省人文社会科学课题“大数据背景下个人生物识别信息的刑法保护研究”(项目批准号:2021-TCFX-04)的阶段性研究成果。

  

   〔1〕《生物信息保护要求》第3.1.3条规定,个人生物识别信息基本特征在于,可检测到的个体生理或行为特征,可以从其中提取可识别的、可重复的生物特征。第4.1条规定,个体生理特征包括但不限于指纹;人脸;虹膜;声纹;手型;指静脉/掌静脉;视网膜;DNA;掌纹;个体行为特征则包括步态、签名、语音等;个人生物特征识别系统包括数据采集、存储、注册、辨识、验证五个子系统。

  

   〔2〕参见苏今:《民法总则中个人信息的“可识别性”特征及其规范路径》,载《大连理工大学学报(社会科学版)》2020年第1期。

  

   〔3〕参见郑飞:《大数据时代的权利演进与竞合:从隐私权、个人信息权到个人数据权》,载《上海政法学院学报》2021年第5期。

  

   〔4〕参见程啸:《论我国个人信息保护法中的个人信息处理规则》,载《清华法学》2021年第3期。

  

   〔5〕highly responsive or susceptible: such as a(1) : easily hurt or damaged; especially: easily hurt emotionally', https://www.merriam-webster.com/dictionary/sensitive(Last visited on Aug 22. 2018).

  

   〔6〕參见宁园:《敏感个人信息的法律基准与范畴界定——以〈个人信息保护法〉第28条和经1款为中心》,载《比较法研究》2021年第5期。

  

   〔7〕胡文涛:《我国个人敏感信息界定之构想》,载《中国法学》2018年第5期。

  

   〔8〕该草案第4条(a)款以动态的“关联性”方式,将“消费者个人敏感信息”定义为“被经营者所控制的信息,且通过该信息结合具体情景可以关联到特定的消费者或者特定消费者常用的设备”。

  

   〔9〕统一个人数据保护法规定,“敏感数据”包括:种族或民族血统、宗教信仰、性别、性取向、公民身份或移民身份;足以远程访问帐户的凭据;信用卡或借记卡号码或金融账号;社会安全号码、税务识别号码、驾驶执照号码、军人识别号码或政府颁发的身份证件上的识别号码;实时地理定位;犯罪记录;收入;疾病或健康状况的诊断或治疗;基因测序信息;控制者知道或有理由知道的未满13岁的数据主体的信息。

  

   〔10〕See Consumer Privacy Protection Act of 2015,SEC. 3. Definitions. (10).

  

   〔11〕喻海松:《民法典视域下侵犯公民个人信息罪的司法适用》,载《北京航空航天大学学报(社会科学版)》2020年第6期。

  

   〔12〕该案中,2016年4月至11月,被告人李某单独或者伙同被告人王某某在网上倒卖他人QQ账号,非法获利数万元。临泉县人民法院(2018)皖1221刑初46号一审刑事判决书。

  

   〔13〕参见晋涛:《刑法中个人信息“识别性”的取舍》,载《中国刑事法杂志》2019年第5期。

  

   〔14〕See Paul Ohm,supra note 69,1161.

  

   〔15〕参见同前注〔6〕,宁园文。

  

   〔16〕参见阳雪雅:《论个人信息的界定、分类及流通体系——兼评民法总则第111条》,载《东方法学》2019年第4期。

  

   〔17〕See Helen Nissenbaum, Privacy as Contextual Integrity, 79 Washington Law Review 101, 137(2004).

  

〔18〕参见谢琳、王漩:《我国个人敏感信息的内涵与外延》,(点击此处阅读下一页)


爱思想关键词小程序
本文责编:陈冬冬
发信站:爱思想(http://m.aisixiang.com)
本文链接:http://m.aisixiang.com/data/134879.html
文章来源:东方法学 2022年1期
收藏