【罪与罚】无鉴定意见时，公民个人信息数量如何认定

　　【罪与罚】无鉴定意见时，公民个人信息数量如何认定——基于刑事审判参考第1496号案例

　　一、案例来源

　　本文法律观点来源于最高人民法院《刑事审判参考》第133辑第1496号董某某等侵犯公民个人信息案，系官方权威刑事裁判指导案例，用于统一全国同类案件裁判尺度。

　　二、简要案情

　　2019年，被告人董某某为同业竞争、获取竞争对手客户资源，伙同周某某、马某某等人，通过被害公司内部人员违规获取系统账号、密码及验证码，并安排技术人员编写爬虫程序，非法登录、批量抓取被害公司房屋租赁业务系统内的收房、出房合同数据。

　　涉案合同中包含大量出租人、承租人的姓名、电话、身份证号、房屋住址、交易价格、租赁周期等公民个人敏感信息。

　　一审法院认定七名被告人构成侵犯公民个人信息罪，且情节特别严重，依法判处相应有期徒刑及罚金。部分被告人上诉后，二审法院驳回上诉、维持原判。

　　本案最大争议焦点：公安机关勘验程序存在瑕疵，鉴定意见未被法院采信，在无有效鉴定的情况下，能否认定涉案数据属于公民个人信息、能否认定信息条数、能否达到情节特别严重标准。

　　三、核心普法知识点

　　（一）法律如何界定“公民个人信息”？情节严重、情节特别严重如何区分

　　1.公民个人信息法定定义

　　“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

　　司法上将其分为三类：

　　本案中的租房合同信息、房屋地址、交易价格、身份联系方式，属于典型的影响公民人身、财产安全的敏感个人信息。

　　（二）公民个人信息数量的常规认定规则：鉴定意见的适用边界

　　在大多数批量爬虫、海量数据类侵犯公民个人信息案件中，涉案信息成千上万、存在混杂、重复、冗余数据，肉眼无法逐条核验。

　　因此常规办案规则为：以司法鉴定意见作为核心依据，由专业机构去重、分类、统计有效信息条数，作为定案基础数据。

　　简言之：批量海量信息，优先依赖合法有效的司法鉴定

　　（三）鉴定意见被排除、无有效鉴定时，法院如何定案（本案核心）

　　本案确立了最高法统一裁判规则：认定公民个人信息及条数，不以鉴定意见为唯一依据。

　　只要全案证据完整、相互印证，即便鉴定意见因程序瑕疵被排除，依然可以定罪、定数量、定情节档次，具体裁判标准如下：

　　1.可以直接认定属于公民敏感个人信息

　　结合被害单位技术人员、管理人员证言、被告人供述、微信聊天记录、涉案系统功能、爬虫抓取目标数据类型，能够证实抓取内容包含身份、联系、住址、交易财产类信息，即可直接认定为敏感个人信息，无需鉴定。

　　2.可以综合全案证据认定信息条数、认定情节特别严重

　　批量信息认定适用有利于办案的推定规则：

　　批量查获的海量信息，直接依据查证数据认定条数，仅在被告人举证证明信息不真实或者重复时，才予以扣减。

　　本案中，通过后台异常访问日志、数据传输记录、被告人供述、聊天记录、行业操作规律相互印证，足以证实去重后有效敏感信息远超5000条，依法认定为“情节特别严重”。

　　四、最终裁判规则总结

　　1.租房、交易、住址、联系方式等数据，属于刑法保护的敏感公民个人信息；

　　2.批量个人信息原则上以鉴定意见统计条数，但鉴定不是唯一定案依据；

　　3.鉴定被排除、无法鉴定的，只要书证、供述、证言、电子数据形成完整证据链，依然可以准确认定信息性质、信息数量及量刑档次；

　　4.同业爬虫盗取客户合同信息，条数达标直接升格为情节特别严重，量刑大幅加重。

　　五、关联法条

　　《中华人民共和国刑法(2023修正)》

　　第二百五十三条之一【侵犯公民个人信息罪】

　　违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

　　违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

　　窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

　　单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

　　最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释

　　第五条非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

　　（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；

　　（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

　　（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

　　（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

　　（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

　　（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

　　（七）违法所得五千元以上的；

　　（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

　　（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

　　（十）其他情节严重的情形。

　　实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：

　　（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

　　（二）造成重大经济损失或者恶劣社会影响的；

　　（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；

　　（四）其他情节特别严重的情形。

　　关于办理刑事案件收集提取和审查判断电子数据若干问题的规定

　　第十七条对电子数据涉及的专门性问题难以确定的，由司法鉴定机构出具鉴定意见，或者由公安部指定的机构出具报告。对于人民检察院直接受理的案件，也可以由最高人民检察院指定的机构出具报告。

　　具体办法由公安部、最高人民检察院分别制定。

　　最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释

　　第一条刑法第二百五十三条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

　　第十一条非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。

　　向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。

　　对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。