凸显“国家刑法”向“公民刑法”的转变趋势

　　前几期我们探讨了刑法修改的几个热点问题，本期我们聚焦又一热点———个人信息保护拟纳入刑法范畴。当今信息时代里屡屡出现的“人肉搜索”严重影响了人们的正常生活，本次修改正是顺应时代发展潮流，与国际立法接轨，凸显了刑法注重对公民私权利保护的倾向，同时也符合由“国家刑法”向“公民刑法”转变的趋势

　　个人信息的刑法保护很必要

　　在日常生活中，我们几乎每个人均会经常接到许多莫名来电，询问包括个人理财、不动产买卖、房屋租赁等五花八门的服务。这些电话或短信在很大程度上骚扰了我们正常的工作和生活，有些甚至引发了当事人的家庭破裂，其负面影响和后果显而易见。特别是在信息时代里，计算机和网络技术的不断发展使人们对信息的搜集变得极为便利，同时也出现了一段时间内困扰我们的“人肉搜索”的情况。导致这些后果的罪魁祸首则是生活中大量存在的泄露公民个人信息的行为。时下，人们越来越多地认识到，用刑事制裁方法遏制泄露个人信息的行为是保护公民基本权利的需要，也是构建和谐社会的需要。

　　十一届全国人大常委会第四次会议首次审议的刑法修正案（七）草案，提出了拟将追究侵犯公民个人信息行为刑事责任的建议。与此同时，个人信息保护法（草案）也于近日呈交国务院。修正案草案建议刑法规定：国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。窃取、收买或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。根据个人信息保护法（草案），所谓个人信息，是指现实生活中能够识别特定个人的一切信息，包括姓名、年龄、体重、身高、档案、医疗记录、收入及消费和购买习惯、婚姻状况、教育背景、家庭住址与电话号码等。

　　境外立法反映刑法发展趋向

　　尽管理论上对于侵犯公民个人信息的行为是否需要纳入刑法打击的范围，仍颇有争议，但是从世界各国和地区的个人信息保护立法与执法的情况来看，对违反个人信息保护法的行为追究刑事责任则是普遍的做法。

　　例如，美国隐私权法规定，任何由其工作或职务性质所决定，可以掌握或使用那些被本条或依据本条制定之规则或规章禁止泄露的包括个人识别信息之机关档案，而且明知泄露这种档案材料乃被禁止之行为的机关官员或雇员，如以任何方式向任何无权获得之个人或机关泄露上述材料，则应被判为轻罪并处以5000美元以下的罚金。该法还规定，任何人明知且故意以虚假身份向某机关申请得到或得到有关个人的档案材料，应被判为轻罪并处以5000美元以下的罚金。

　　瑞典个人数据法规定，故意或过失地实施违反本法关于处理个人敏感数据、违法行为信息、个人身份证号等数据的规定，处理个人数据的行为，应当被处以6个月以下的监禁，情节严重的，处以两年以下监禁。

　　奥地利联邦个人数据保护法则明令禁止为营利或致害目的进行的数据使用。该法规定：无论何人，如果使用已经被委任的，或者由于专业原因而获得的个人数据，或者非法获取数据，并为个人使用或者把这些数据提供给他人或者为营利或致害目的而公开这些数据，除去数据所有人应受保护的利益以外，应该由法院处以一年的监禁处罚，除非另外的条款规定了更重的惩罚。

　　韩国公共机关个人信息保护法规定，违反本法规定泄露无权限处理的个人信息或者将个人信息提供给他人使用等将个人信息用于不正当之目的的，处以3年以下徒刑或者1000万韩元以下的罚金。以欺诈或者其他不当之方法自公共机关处查阅或者接受其提供的处理信息的，处以两年以下徒刑或者700万韩元的罚金。

　　类似的规定在比利时的个人数据处理的隐私权利保护法、冰岛的有关个人数据的保护法、意大利的有关个人和其他主体的个人数据处理的保护法、波兰的个人数据保护法以及我国台湾地区的计算机处理个人数据保护法中均有明确、具体的规定。

　　纵观世界各国和地区有关个人信息保护法的规定，我们不难发现，极大多数立法均强调要对侵犯个人信息的行为追究刑事责任，也即将个人信息的法律保护纳入刑事范围已经成为刑事立法的共识。这种共识凸显了刑法注重对公民私权利保护的倾向，同时也符合由“国家刑法”向“公民刑法”转变的趋势。

　　修正草案内容待进一步完善

　　与世界各国和地区的有关个人信息保护的规定相比，我国刑法修正案（七）草案的相关建议仍存在一些不同之处和今后执法上的困难。

　　首先，许多国家和地区的法律对于个人信息的刑法保护范围与我国不完全相同。分析世界各国和地区有关个人信息保护法中的刑事制裁规定，我们可以看到，这些规定所调整的对象不完全相同。有的仅对违反个人数据处理报告义务的行为科处刑罚，如荷兰的个人数据保护法；有的仅将妨碍隐私专员履行职责的行为规定为犯罪，如加拿大的个人数据保护法；而更多的法律则同时涵盖了非法泄露个人信息、非法获取个人信息、向有关机关提供不实信息、申报信息不作为、非法删除、破坏、损害或更改个人信息、非法向第三国转移信息、相关职能部门渎职中的一种或多种行为的刑事制裁规定。

　　其次，许多国家和地区的法律规定的追究刑事责任的主体比我国更宽。我国刑法修正案草案中仅限于“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”，而世界各国和地区的相关法律中通常只强调行为人的目的和动机，或强调获取信息是由其工作或职务性质所决定的，而极少对行为人所处的岗位或领域做出限制。事实上，对公民个人信息的侵害并不仅限于金融、电信、交通、教育、医疗等领域，其他单位（例如中介机构、法律服务机构等）中的工作人员也同样可能实施严重侵害公民个人信息的行为，如不将之纳入打击范围，似乎与草案立法建议的初衷并不吻合。

　　再次，严重侵害公民个人信息的行为固然需要刑法加以调整，但是，在追究行为人刑事责任时，我们完全可能面临取证难的困境。特别是如何有效地证明相关单位的工作人员在履行职责的过程中，实际出售或者非法提供了他人的信息，并非一件容易之事。所有这些确实需要形成一定的配套措施，才能使相关刑事法律规范能得到实际的执行。

　　中国法学会刑法学研究会副会长 华东政法大学刑法学教授·刘宪权