侵犯公民个人信息犯罪中“违反国家有关规定”的司法适用初探
作者介绍
李东山 苏州工业园区人民检察院
最高人民法院、最高人民检察院制定的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）已于2017年6月1日正式施行，《解释》虽对司法实践中准确适用法律、严厉打击侵犯公民个人信息犯罪，实现刑法打击与保障的双重功能有重要的工具价值，但《解释》在具体的司法适用上仍有很多需要探讨的问题。其中，如何理解和适用司法解释中的“违反国家有关规定”条款，就是一个急需厘清的问题。
（一）如何理解《解释》中的“违反国家有关规定”的条款
《解释》第 2 条规定，“违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为《刑法》第 253 条之一的‘违反国家有关规定’”。显然，该规定直接扩大了“国家规定”的范围，将“部门规章”纳入“国家规定”的范围，使其成为判断违法性的依据之一，这一解释是否具有正当性，是否符合刑法的规定需要进一步检验和审视。
1.该扩大解释明显违反了刑法的规定。“罪刑法定”是刑法的基本原则，其核心要义是定罪量刑必须以刑法的明文规定为依据。这里的“法”或“明文规定”，不限于刑法分则条文，也应当包括刑法总则条文，换言之，对罪刑法定原则中的“法”应当从全部刑法规定整体上去把握，而不能仅从部分条文的具体规定上去把握，这主要是源于刑法总则和分则二者的关系，刑法总则作为一般性规定，其对刑法分则具有指导和制约意义。因此，对我国《刑法》第 253 条之一以及其中“违反国家有关规定”的理解，都应受到刑法总则的指导和制约。
应该看到，在《解释》出台前，对于侵犯公民个人信息罪中“国家有关规定”的范围，均是按照《刑法》第 96 条“国家规定”的相关内容加以确定的。根据《刑法》第96 条，“国家规定”是指，全国人民代表大会及其常务委员会制定的法律和发布的决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。不能仅仅因为加了“有关”二字就不适用刑法的具体规定。
2.无论从文义解释还是体系解释来看，将部门规章纳入“国家有关规定”都显得牵强附会。根据《现代汉语词典》的释义，“有关”有两种意思：一是用作动词，表示有关系，如这些问题都跟哲学有关；二是用作介词，表示涉及，如他研究了历代有关水利问题的著作。“违反国家规定”中的“有关”，显然应当理解为 “涉及”。 如此“违反国家有关规定”，则是指“违反国家涉及规定”，即违反国家涉及公民个人信息方面的规定，在刑法对于国家规定有明确释义的情况下，从文义解释上来看也不能把部门规章纳入“国家有关规定”的范畴，这无异于修改了刑法的具体规定，但最高司法机关显然没有修改刑法的权力。从体系解释来看，“违反国家有关规定”的参照规范无法从刑法典中体现。 刑法分则规定中，“违反国家有关规定”只出现 2 次，均在刑法第 253 条之一；“违反国家规定”共有出现28 次；“违反规定”出现 4 次，“违反规章制度”出现 2 次，“违反法律规定”出现 1 次，“违反法律、行政法规”出现 1 次。 由此观之，除了刑法第 253 条之一外， 刑法分则没有任何一个条款使用了“违反国家有关规定”的表述，因而也就无法通过参照其他条款来明确其含义。
在《刑法修正案( 九) 》之前，对出售、非法提供公民个人信息罪中“违反国家规定”的理解和适用尚且有我国《刑法》第 96 条这一明确的法定依据作为标准，而在《刑法修正案（九）》将其修改为“违反国家有关规定”之后，竟然在现行《刑法》条文中找不到法定依据，而司法解释竟然创设了新的认定规则，这实质上是修改了刑法的规定进而导致《刑法》第96条被虚置，有违罪刑法定的刑法原则。
（二）如何适用《解释》中的“违反国家有关规定”条款
虽然“侵犯公民个人信息罪”放置于刑法分则“侵犯公民人身权利、民主权利”罪这一章节，但从刑法理论上无疑应当将该罪定义为“法定犯”或者叫“行政犯”。与自然犯不同，法定犯要求认定行为人构成犯罪必须以行为违反一定的经济或者行政法规为前提，具体到“侵犯公民个人信息罪”，要认定行为人构成该罪，必须证明其获取或者提供公民个人信息的行为，违反了“国家的有关规定”，也就是说要认定行为人是“非法获取”或者“非法提供”，必须首先找到具体的法律依据。现实情况是，我国现阶段关于公民个人信息保护的法律是碎片化的、宣示性的，操作性不强，司法实践办案中很难直接适用。
1.现有保护公民个人信息的法律框架显得捉襟见肘。之所以用“框架”一词，是因为我们没有制定专门的保护公民个人信息的法律，关于公民个人信息保护的条款只是散见于《消费者权益保护法》、《民法总则》、《网络安全法》三部法律中。这几部法律对于保护公民个人信息的规定基本上都是宣示性的，都是不得“非法....”，但“非法”的具体内容却没有规定，都强调未经公民个人同意，不得非法收集和提供个人信息，如《网络安全法》第 44 条明确规定：“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。”但何谓非法出售、非法提供，何谓合法出售、合法提供，在现有国家法律体系中找不到明确的依据。这就给司法适用带来了巨大的挑战，不仅会导致司法适用的无所适从而且可能导致司法适用的任性和随意，破坏法制统一并造成司法不公。
其实公民个人是否同意或者授权，并不是侵犯公民个人信息罪的成立前提，随着互联网以及大数据等产业的发展，个人信息的收集、使用越来越平凡，国家和其他社会主体为了经济发展、侦查犯罪等需要，获取、提供公民个人信息的行为如果都需要公民个人授权，那势必会妨害社会的正常发展，因此法律所禁止的仅仅是“非法出售”或“非法提供”的行为。对于出售、提供公民个人信息的行为，其是否违法以致于是否构成犯罪，都必须要判断其是否属于“非法”，而标准或依据就是行为是否“违反国家有关规定”，但如果是没有国家有关规定或者规定并不明确、具体，那运用刑事手段打击侵犯公民个人信息犯罪将无从谈起。
2. 现阶段适用“违反国家有关规定”的路径思考
从上文的分析可以看出，在我国《刑法》已经作出修改的背景下，确定侵犯公民个人信息罪中“违反国家有关规定”的内涵，其难度与之前相比不是降低了，而是升高了，这使得侵犯公民个人信息罪在认定中面临着一个前置性难题，显然难以适应从严打击侵犯公民个人信息犯罪、加强公民个人信息保护的新要求，因此，有必要对如何适用“违反国家有关规定”进行探索。
（1）对“违反国家有关规定”进行限缩解释。在理解“违反国家有关规定”时应当从两个方面进行把握。第一，行为人违反的是“国家规定”，其范围仅限于我国《刑法》第 96 条的范围，而不能将其理解为国家层面的规定，故不应包括部门规章等其他规定。第二，行为人违反的是与公民个人信息保护“有关”的“国家规定”，即“有关”是对“国家规定”的限定。在《解释》已经对“国家规定”进行扩大解释的现实背景下，在司法实践中应该对部门规章的规定进行严格解释和适用。只有在存在既有的“国家规定”的前提下，部门规章的规定是对“国家规定”的进一步明确或者细化的情形，才能适用，反之，如果没有“国家规定”，部门规章应当予以排除。
（2）立法先行，使“违反国家有关规定”真正做到有法可依。
“先民后刑”是现代国家调整社会关系的一般做法，而我国目前对于侵犯公民个人信息的行为采用的却是“先刑后民”的打击思路，在并无相应的行政法规的前提下，直接动用刑法，有违刑法的谦抑性和刑法补充法的特征。《刑法》第 253 条之一只是规定了侵犯公民个人信息罪的构成要件中必须包含“违反国家有关规定”的要素，但并未明确规定其具体内涵，因而只能在刑法之外的其他规定中寻找相应的法定依据。但司法适用的尴尬是翻遍了法律还是找不到明确的依据，因此，要避免这种尴尬，急需完善现有的调整公民个人信息的法律直至出台专门的公民个人信息保护的法律规范，明确界分“侵犯公民个人信息”和“合理使用公民个人信息”的标准，形成完备的个人信息法律调整体系，使“违反国家有关规定”真正做到有法可依。
“罪刑法定”是刑法的基本原则，对刑法条文的理解和具体犯罪的适用都应当严格遵循罪刑法定原则的要求，我国《刑法》侵犯公民个人信息罪中“违反国家有关规定”的设立以及“两高”《解释》第 2 条对其含义的解释，反映了新形势下惩治犯罪的现实需要，但刑法保障法的功能和价值决定了其不应该被任意使用，指望刑法通过单打独斗来解决日益泛滥的侵犯公民个人信息犯罪，不免有缘木求鱼之嫌，恐怕也于事无补。