许一鸣

侵犯公民个人信息罪规定在刑法分则第四章“侵犯公民人身权利、民主权利罪”中，按照犯罪构成要件来看，该罪侵犯的客体是公民人身权利，但犯罪客体是比较抽象的社会关系，要借助具体法益来明确本罪的保护对象，进而确定本罪的犯罪情节。通过证明某种行为严重侵害了法益，才能使其犯罪化具有合理根据。法益实际上是犯罪客体和具体保护对象的辩证统一概念，是抽象与具体的统一，是抽象的社会关系的具体化。

本罪的构成要件是典型的实害犯构成要件，其在一定程度上的确侵犯了信息的公共安全以及社会管理秩序，但如果仅仅是侵犯了超个人集体法益，并不能确定犯罪的成立。这类超个人法益对本罪的成立并不具有构成要件解释机能的作用，必须在侵犯公民人身权利等个人法益时，才能构成侵犯公民个人信息犯罪。个人信息保护法第13条、第14条、第15条规定的个人信息的处理目的、处理方式、处理信息种类以及变更处理等事项均以个人同意为前提，且个人有权撤回同意。

根据民法典第四编人格权中关于信息权的规定，处理个人信息应当征得自然人或监护人同意。个人信息保护法第44条规定“个人对其个人信息的处理享有知情权、决定权”，即公民可自由决定如何使用自己的信息，从法秩序统一原理和体系解释角度分析，侵犯公民个人信息罪侵犯的法益应为个人信息自决权，刑法设立本罪并非仅仅为了保护客体的信息，更是为了保护作为信息主体人的个人信息决定权。民法典第1036条规定了“处理该信息侵害其重大利益的除外”，个人信息保护法第28条规定的敏感个人信息是指泄露或非法使用容易导致公民个人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》）中关于信息的分类也是按照侵犯公民人身财产安全的危险程度划分了三个层次，从这个角度来说，本罪侵害的间接法益是信息违法处理后公民的人身、财产安全权益。刑法通过定罪量刑剥夺他人自由，但是通过罪刑法定原则的实质侧面又让不具备实质可罚性的行为得以出罪。法益正是实现这一目的的有力工具。因为，现代刑法犯罪论体系是以法益概念为出发点建立的目的论的犯罪论体系。法益在犯罪论的实践中所发挥的作用则是确定某一行为是否侵害了刑法所保护的法益，是否达到应受刑罚处罚的程度。侵犯公民个人信息罪的法益确立对于合理限制侵犯公民个人信息罪的成立范围，甄别须处罚的信息犯罪行为，具有重要的法治机能。对于行为人虽实施了侵权行为，但对公民的人身财产安全、人格权未造成侵害或威胁，采取行政手段或民法保护足以维护权利的，不宜动用刑法予以规制，这是认定本罪情节严重的理论基础，即在民事侵权（或行政不法）的基础上，必须有增加法益侵害的因素，才有可能构成刑事违法。

从传统的社会危害性理论来看，刑法第13条规定了犯罪的含义及其特征，犯罪必须是危害社会的行为，依照法律应当受刑罚处罚的行为。但是情节显著轻微、危害不大的，不认为是犯罪。因此，不符合犯罪三个特征的，不构成犯罪。犯罪含义中，对于危害社会的行为，是按照刑法所要保护的社会关系来表述社会危害性的，而犯罪的客体实质上就是刑法所要保护的抽象法益，因此，从社会危害性来判断本罪的犯罪情节是否严重，应当以违法性程度，即以法益侵害程度作为标准来衡量。本罪是一种基于技术发展而引发的风险，这种风险具有相当危害性，但社会发展又需要技术，如果因其有风险就运用刑法规制，技术就难以创新，信息社会难以发展，因此，在设置犯罪构成要件时，入罪门槛不能过低。

《解释》对本罪情节严重主要从四个构成要件角度予以考量，形成一个杂糅诸多不同性质要素的混合范畴，混合认定模式缺乏内在逻辑层次性，错置了预防刑要素功能，将预防刑要素不当评价为判断犯罪成立与否的要素，违法所得数额、合法经营活动的获利亦不能体现法益侵害程度。本罪“情节严重”要素应当仅限于危害行为、行为对象、危害后果等要素。

应以法益侵害程度来区分行政不法、民事侵权与刑事违法，合理界定它们之间的边界，将不具有法益侵害性的因素排除在刑法适用之外，充分发挥民法、行政法、刑法在保护公民个人信息中的各自作用，厘清法律适用边界，准确适用法律，在保护公民信息与促进信息流通中建立合理的平衡点。

（作者分别为湖北省宜昌市人民检察院检察长、法律政策研究室干警）