猎头的刑事合规——以防范侵犯公民个人信息罪为视角
引言：获取和使用候选人的个人信息，稍有不慎就可能会触犯刑律，构成侵犯公民个人信息罪。如何有效防范公民个人信息获取和使用过程中的刑事风险，是猎头公司不容忽视的问题。
一
7月10日前后，在公安部的协调指挥下，广东省公安厅组织广州警方在北京、上海、广东等20个省市同步开展“净网7号”专案收网行动，打掉一个特大侵犯公民信息团伙，抓获犯罪嫌疑人130余人，查获公民信息2亿余条。该案，是目前破获的全国最大的打击非法提供内部通讯录和个人简历侵犯公民个人信息案。
因为被抓的犯罪嫌疑人大部分是猎头，该案一度引起猎头圈的震动乃至恐慌。如何有效防范公民个人信息获取和使用的刑事风险，防范触犯侵犯公民个人信息罪，成了猎头公司不容忽视的问题，这个问题涉及到刑事合规。
刑事合规，简言之，就是合符刑事法律规定，从操作层面上讲，就是避免触犯刑律。猎头公司中侵犯公民个人信息罪的合规，实质就是防范公民个人信息获取和使用过程中触犯侵犯公民个人信息罪。
二
根据《刑法》第二百五十三条之一的规定，构成侵犯公民个人信息罪的客观行为有两种:一是违反国家有关规定，向他人出售或者提供公民个人信息；二是窃取或以其他方法非法获取公民信息。单纯持有或者使用公民个人信息的行为不存在触犯侵犯公民个人信息罪的可能（如果利用公民个人信息实施诈骗等犯罪的，可能会构成诈骗等其他犯罪）。
出售、提供公民个人信息或者获取公民个人信息的行为，只有在违反“国家有关规定”的情况下，才可能构成侵犯公民个人信息罪。根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第二条，“国家有关规定”，是指法律、行政法规、部门规章有关公民个人信息保护的规定。
《全国人民代表大会常务委员会关于加强网络信息保护的决定》第二条规定，企业事业单位在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得违反法律、法规的规定和双方的约定。据此，企业收集、使用公民个人信息应遵循的底线是，不得违反法律、法规规定。
三
在猎头行业中，list是猎头非常重要的资源，也是触犯侵犯公民个人信息罪的最大风险源。猎头公司侵犯公民个人信息罪的合规，实际就是防范获取、使用list引发的刑事风险，避免触犯侵犯公民个人信息罪。对此，我们有两个原则性提示：
（一）取得人力资源服务许可证并办理相应备案
《就业促进法》第四十条第二款规定，设立职业中介机构应当在工商行政管理部门办理登记后，向劳动行政部门申请行政许可。《人力资源市场暂行条例》第十八条规定，经营性人力资源服务机构从事职业中介活动的，应当依法向人力资源社会保障行政部门申请行政许可，取得人力资源服务许可证。经营性人力资源服务机构开展人力资源供求信息的收集和发布、……等人力资源服务业务的，应当自开展业务之日起15日内向人力资源社会保障行政部门备案。
《就业促进法》第六十四和《人力资源市场暂行条例》第四十二条第一款规定了未经许可擅自从事职业中介活动的行政法律责任，《人力资源市场暂行条例》第四十二条第二款规定了开展人力资源服务业务未备案的行政法律责任。
取得人力资源服务许可证并办理相应的备案，不仅是猎头公司合规营业的前提，更是防范触犯侵犯公民个人信息罪的一种手段。在取得许可证和办理相应的备案之后，猎头公司开展人力资源供求信息的收集和发布就是合法的经营行为，此处的收集只包括正当渠道的收集，至于何谓正当渠道的收集，需要具体到个案，根据现行法律来审查是否“违反国家有关规定”。
（二）不要擅自将持有的list非法出售、提供
在猎头行业，了解目标候选人的联系方式和其他信息，是一件非常重要的事情。为此，互换List的现象在猎头行业并不罕见，甚至一些网站也鼓励猎头上传自己的资源，再下载别人的资源。这，恰恰可能就会涉嫌侵犯公民个人信息罪。“净网7号”专案中，涉案猎头涉案的原因正是在网站上传、下载大量公司企业内部通讯录和个人简历。《解释》第三条第二款规定，“未经被收集者同意，将合法收集的公民个人信息向他人提供的,属于刑法第二百五十三条之一规定的“提供公民个人信息”,但是经过处理无法识别特定个人且不能复原的除外。”
根据上述规定，猎头公司和猎头如果擅自将合法收集的list提供给他人，那么就有可能触犯侵犯公民个人信息罪，为避免此风险，不宜擅自将合法收集的list出售、提供给他人，也不能擅自互换list，除非获得被收集者的同意。
