Global Legal Updates

Size: px

Start display at page:

Download "Global Legal Updates"

衩冯
5 years ago
Views:

1 环球法律专递 GLO Legal Updates 2017 年 6 月 2 日侵犯公民个人信息罪司法解释解读及行业合规风险评析作者 : 王希注 : 本文首发于 LexisNexis 中国法律透视近年来, 公民个人信息安全已经成为一个全社会高度关注的问题为加大对公民个人信息的保护力度, 国家立法机关不断出台修订相关法律,2009 年 2 月刑法修正案 ( 七 ) 增设出售

1 1 环球法律专递 GLO Legal Updates 2017 年 6 月 2 日侵犯公民个人信息罪司法解释解读及行业合规风险评析作者 : 王希注 : 本文首发于 LexisNexis 中国法律透视近年来, 公民个人信息安全已经成为一个全社会高度关注的问题为加大对公民个人信息的保护力度, 国家立法机关不断出台修订相关法律,2009 年 2 月刑法修正案 ( 七 ) 增设出售非法提供公民个人信息罪和非法获取公民个人信息罪 ; 2015 年 11 月, 刑法修正案( 九 ) 进一步修改完善 : 一是扩大犯罪主体的范围 ; 二是明确对履行职责或者提供服务过程中获取信息的人员, 从重处罚 ; 三是加重法定刑 ; 四是出售非法提供公民个人信息罪和非法获取公民个人信息罪整合为侵犯公民个人信息罪 ;2016 年 11 月 7 日, 全国人大常委会第二十四次会议表决通过中华人民共和国网络安全法 ( 以下简称网络安全法 ) 2017 年 5 月 9 日, 为了进一步强化公民个人信息的刑事保护, 便于司法实践中正确理解和适用, 最高人民法院与最高人民检察院联合发布最高人民法院最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释 ( 法释号, 以下简称解释 ) 及相关典型案例, 该解释将于 2017 年 6 月 1 日起施行本文将对该司法解释的核心内容进行全面解读, 并对相关行业内企业在新规出台后, 针对数据信息处理过程中的刑事合规性审查要点提出建议

2 2 一解释的主要内容及其影响 ( 一 ) 公民个人信息的界定根据解释第一条规定, 公民个人信息, 是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息, 包括姓名身份证件号码通信通讯联系方式住址账号密码财产状况行踪轨迹等需要注意的是, 该解释除保留了网络安全法中对于个人信息的定义, 还将反映特定自然人活动情况的各种信息 ( 如行踪轨迹 ) 以及账号密码列入刑法保护的公民个人信息的范畴 ( 二 ) 违反国家有关规定的界定民个人信息, 是侵犯公民个人信息罪的客观行为方式解释第三条将提供公民个人信息进行细化, 明确了除向特定人提供之外, 通过信息网络或者其他途径发布公民个人信息的同样属于刑法第二百五十三条之一规定的提供公民个人信息该条规定为人肉搜索等网络不良行为的入刑提供了法律依据对于合法收集的公民个人信息, 未经被收集者同意就向他人提供的, 也明确为刑法第二百五十三条之一规定的提供公民个人信息, 但是经过处理无法识别特定个人且不能复原的除外在此, 司法解释为合法提供信息数据留下了两条通道, 一是经过被收集人同意, 二是经过处理无法识别特定个人且不能复原的信息解释将违反国家有关规定的范围限于违反法律行政规章部门规章, 这与一般刑法中违反国家规定是指违反法律行政规章的规定有所区别, 将部门规章首次列入刑法中国家有关规定的范畴 ( 三 ) 非法提供公民个人信息的认定标准根据刑法第二百五十三条之一的规定, 违 ( 四 ) 非法获取公民个人信息的认定标准解释第四条明确, 违反国家有关规定, 购买收受交换等方式获取公民个人信息的或者在履行职责提供服务过程中收集公民个人信息的, 属于刑法第二百五十三条之一第三款规定的以其他方法非法获取公民个人信息反国家有关规定, 向他人出售或者提供公

3 3 需要注意的是, 解释将违反国家有关规定, 购买收受交换以及履行职责提供服务中获取等手段均定义为以其他方法非法获取公民个人信息, 基本上涵盖了所有数据信息取得的方式那么, 获取信息的行为是否触犯刑法, 就需要审查获取信息的行为是否违反了法律行政法规以及部门规章的相关规定, 这大大提高了信息获取者对于自身行为进行合规性审查的要求 ( 五 ) 公民个人信息的分类以及入罪量刑标准解释基于不同类型公民个人信息的重要程度, 对于公民个人信息进行了分类, 并分别设置了五十条以上五百条以上五千条以上以及零条的入罪标准, 以实现罪责刑相适应 1 非法获取出售或者提供行踪轨迹信息通信内容征信信息财产信息四类公民个人信息 ; 该类信息与人身财产安全息息相关, 属于高度敏感信息因此, 解释第五条第一款第三项将入罪标准设置为五十条以上, 入罪门槛较低 ; 2 非法获取出售或者提供住宿信息通信记录健康生理信息交易信息等其他息 ; 该类公民个人信息虽然在重要程度上弱于行踪轨迹信息通信内容征信信息财产信息, 但也与人身安全财产安全直接相关, 往往被用于精准诈骗等违法犯罪活动 ; 因此, 解释第五条第一款第四项将入罪标准设置为五百条以上 ; 3 非法获取出售或者提供一般公民个人信息的 ; 该类公民个人信息包括姓名身份证号码电话号码等一般信息, 相对前两种信息而言, 重要程度上略弱, 实践中非法出售提供的数量较大因此, 解释第五条第一款第五项设置较低的入罪标准, 将非法获取出售或者提供公民个人信息五千条以上的规定为情节严重 ; 4 非法出售提供的信息被用于犯罪的, 或知道或者应当知道他人利用公民个人信息实施犯罪, 仍然向其出售提供的, 不论数量, 均被认定为情节严重, 定罪处罚 ( 六 ) 降低入罪门槛, 从重处罚的两类特殊情形解释第五条第一款中, 对于利用职务便利获取信息和屡次实施同类违法犯罪这两类情形, 单独作出规定, 降低入罪门槛, 进行处罚可能影响人身财产安全的公民个人信

4 4 1 解释第五条第一款第八项对将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的, 认定情节严重的数量数额标准减半计算 ; 2 解释第五条第一款第九项对曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚, 又非法获取出售或者提供公民个人信息的, 直接认定为情节严重 ( 七 ) 情节特别严重的认定标准解释第五条第二款主要从两个层面规定了情节特别严重的情形 : 一是是否造成严重后果解释将造成被害人死亡重伤精神失常或者被绑架等严重后果的造成重大经济损失或者恶劣社会影响的规定为情节特别严重二是数量数额标准解释将情节特别严重的标准确定为情节严重的数量或数额标准的十倍 ( 八 ) 为合法经营活动购买收受公民个人信息定罪量刑的特殊标准解释并未因为信息被合法经营所使用而将该类行为做出罪处理解释第六条第一款的规定 : 为合法经营活动而非法购买收受本解释第五条第一款第三项列情形之一的, 应当认定为刑法第二百五十三条之一规定的情节严重 :( 一 ) 利用非法购买收受的公民个人信息获利五万元以上的 ;( 二 ) 曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚, 又非法购买收受公民个人信息的 ; ( 三 ) 其他情节严重的情形根据上述规定, 解释对于该类购买收受非敏感类公民个人信息用于合法经营活动的行为, 仍然作为犯罪来处理, 仅仅将其量刑设定在情节严重一档, 不做升档量刑该条解释需要注意的是, 该特殊标准适用的范围仅限于解释第五条第一款第三项第四项规定以外的公民个人信息, 并且行为仅限于购买收受, 信息并未再流出扩散 ( 九 ) 设立网站通讯群组侵犯公民个人信息行为的定性解释对于向实施非法获取出售或者提供公民个人信息违法犯罪活动提供支持的平台 ( 网站通讯组群 ) 的刑事责任进行了明确, 情节严重的, 应以刑法第二百八十七条之一的非法利用信息网络罪定罪处罚 ; 同时构成侵犯公民个人信息罪的, 依照侵犯公民个人信息罪定罪处罚第四项规定以外的公民个人信息, 具有下

5 5 ( 十 ) 拒不履行公民个人信息安全管理义务行为的处理去年出台的网络安全法明确了网络信息安全的责任主体, 确立了谁收集, 谁负责的原则, 将收集和使用个人信息的网络运营者, 设定为个人信息保护的责任主体与之相对应, 刑法修正案( 九 ) 设立了拒不履行信息网络安全管理义务罪, 规定网络服务提供者不履行法律行政法规规定的信息网络安全管理义务, 经监管部门责令采取改正措施而拒不改正, 致使用户信息泄露, 造成严重后果的, 处三年以下有期徒刑拘役或者管制, 并处或者单处罚金据此, 解释第九条规定, 网络服务提供者拒不履行法律行政法规规定的信息网络安全管理义务, 经监管部门责令采取改正措施而拒不改正, 致使用户的公民个人信息泄露, 造成严重后果的, 应当依照刑法第二百八十六条之一的规定, 以拒不履行信息网络安全管理义务罪定罪处罚二企业合规风险点提示以及刑事合规性审查要点分析 ( 一 ) 准确把握公民个人信息的外延, 明确企业数据业务合规审查的对象目前, 我国关于个人信息的定义, 散见于大量法律法规中, 但最权威的解释应属网络安全法中的定义网络安全法第七十六条第五款规定 : 个人信息, 是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息, 包括但不限于自然人的姓名出生日期身份证件号码个人生物识别信息住址电话号码等由此可见, 网络安全法对于个人信息认定的唯一要素为能够单独或者与其他信息结合识别自然人个人身份的各种信息而此次解释对于个人信息的外延进行了扩大, 不但包括网络安全法中的概念范围, 同时将体现特定自然人活动情况的信息即行踪轨迹信息, 也纳入了个人信息的范畴其中, 如何理解能够与其他信息结合识别自然人身份的各种信息, 该信息是否具备能够结合其他信息对自然人身份进行识别的能力, 很可能会取决于信息持有人处理信息的技术能力在这种情况下, 对该信息是否属于个人信息该如何进行认定? 例如, 网页浏览器中保留的 Cookie 数据, 其中包含大量的个人网络行为轨迹以及数据访问记录, 该数据是否会被认定为属于解释中界定的个人信息如果一旦被认定, 大量的互联网公司均将面临刑事追诉的风险我们认为, 对于能够与其他信

6 6 息结合识别自然人身份的各种信息的理解, 不应无限扩大化, 应当遵守结合相关信息可以直接确定公民个人身份的原则 ( 二 ) 增加对于部门规章的审查刑法修正案( 九 ) 将侵犯公民个人信息罪的前提要件由违反国家规定修改为违反国家有关规定而解释进一步将违反国家有关规定界定为违反法律行政法规和部门规章这就意味着, 企业在对数据业务进行刑事合规性审查时, 需要投入大量时间, 对于相关行业领域内的部门规章进行全面审查式和范围, 并经被收集者同意 ; 二是不得收集与其提供的服务无关的个人信息, 不得违反法律行政法规的规定和双方的约定收集使用个人信息 ( 四 ) 提供出售信息的合规性审查依据网络安全法第四十四条之规定, 任何个人和组织不得非法出售或者非法向他人提供个人信息 ; 第四十二条第一款之规定, 网络运营者不得泄露篡改毁损其收集的个人信息 ; 未经被收集者同意, 不得向他人提供个人信息但是, 经过处理无法识别特定个人且不能复原的除外 ( 三 ) 收集信息的合规性审查依据网络安全法第四十一条之规定, 网络运营者收集使用个人信息, 应当遵循合法正当必要的原则, 公开收集使用规则, 明示收集使用信息的目的方式和范围, 并经被收集者同意网络运营者不得收集与其提供的服务无关的个人信息, 不得违反法律行政法规的规定和双方的约定收集使用个人信息, 并应当依照法律行政法规的规定和与用户的约定, 处理其保存的个人信息因此, 企业在运营过程中, 如需要收集使用个人信息的, 应当遵循两点原则, 一是公开明示收集使用信息的目的方因此, 企业在对外提供数据信息时, 首先应当审查提供数据的行为是否违反法律行政法规部门规章的相关规定 ; 其次, 应当遵守经过被收集者同意的原则, 与被收集者签订授权使用文件, 获取授权 ; 再者, 如果没有条件获取被收集者的授权, 则应当对于个人信息进行技术处理, 并达到无法识别特定个人且不能复原的标准在这里, 需要注意一点, 即集团公司内部的数据信息提供使用的问题集团公司旗下一家子公司合法获取个人信息后, 是否可以直接向包括集团公司在内的各个子公司进行交换使用? 我们认为, 如果集团公司内部各个子公司均为独立经营的法

7 7 人, 则也应当遵守上述提供数据信息的审查规则 ( 五 ) 为了合法经营而获取信息的合规性审查王希为环球律师事务所的律师, 其执业领域主要为企业风险防控合规及内部审查危机事件处置经济类刑事犯罪案件诉讼业务邮箱 :wangxi@glo.com.cn 从解释第六条可以看出, 为了合法经营而购买获取数据, 并仅仅为自己合法经营所用, 已经不能够成为合法性抗辩的理由那么, 企业在需要向其他第三方获取数据时, 就必须对第三方数据信息提供方的提供数据信息的合法合规性进行审查该项合规性审查包括但不限于以下三方面内容, 一是第三方提供数据的行为是否违反法律行政法规部门规章的相关规定 ; 二是第三方提供数据的行为是否获得信息被收集人的授权以及第三方有无搜集与其服务无关的个人信息 ; 三是如果没有获取被收集者的授权, 第三方是否对于个人信息进行技术处理, 并达到无法识别版权. 本文原载于 LexisNexis 中国法律透视本文经作者授权转载 ; 如需转载, 请联系作者并取得授权免责. 本文及其内容并不代表环球律师事务所对有关问题的法律意见, 同时我们并不保证将会在载明日期之后继续对有关内容进行更新, 我们不建议读者仅仅依赖于本文中的全部或部分内容而进行任何决策, 因此造成的后果将由行为人自行负责如果您需要法律意见或其他专家意见, 我们建议您向具有相关资格的专业人士寻求专业帮助特定个人且不能复原的标准微信号 :globallawoffice

,,,,, 5,,, :,,,,,, ( ), 6,,,,,,,,, 7,, ( ),,,,,,,,,, 8,,,,,,,,,,,,,,,,, 9,,,,, :, :, :, :,,,,,

,,,,, 5,,, :,,,,,, ( ), 6,,,,,,,,, 7,, ( ),,,,,,,,,, 8,,,,,,,,,,,,,,,,, 9,,,,, :, :, :, :,,,,, :. /..... 死刑复核法律监督制度研究 * 万春检察机关对死刑复核实行法律监督, 符合人大制度关于权力监督制约的原理, 不影响最高人民法院应有的诉讼地位和独立性权威性, 体现了检察官客观性义务的要求, 具有基本法律依据开展死刑复核法律监督应遵循严格限制并减少死刑切实保障人权维护公共利益公平及时突出重点等原则检察机关在死刑复核中的诉讼地位不是公诉人, 而是法律监督者检察机关可以通过备案审查