提供服务过程中收集公民个人信息是否构成犯罪

　　□ 本报记者　　罗莎莎
□ 本报通讯员韩锋杨昕蕾
　　
　　判词摘录
　　法院经审理认为，博某软件有限公司及何某某等人以其他方法非法获取公民个人信息，情节特别严重，构成侵犯公民个人信息罪。
　　公民的个人信息受法律保护。违反国家有关规定（即法律、行政法规、部门规章），在提供服务过程中收集公民个人信息，属于以其他方法非法获取公民个人信息的行为。任何单位或个人在合同订立、履行过程中不得以用户须知、隐私协议等作为非法获取公民个人信息的抗辩事由。
　　本案中，博某软件有限公司作为互联网企业，应当严格按照法律法规、企业营业范围、合同约定内容及隐私协议履行开发和维护网上挂号系统的职责，对职责履行过程中所接触到的公民个人信息承担保密义务，并确保该保密信息仅用于与合作有关的用途或目的，严格执行国家有关保密的相关规定，无权自行搭建数据库收集、整理。博某软件有限公司及何某某等人的行为，不仅超出合同约定的用途、目的及保密约定，而且违反了国家对于公民个人信息保护的法律规定，属于在提供服务过程中非法获取公民个人信息的行为。
　　来源
　　一审：江苏省无锡市锡山区人民法院（2021）苏0205刑初777号刑事附带民事判决
　　二审：江苏省无锡市中级人民法院（2024）苏02刑终40号刑事附带民事裁定
　　案件背景
　　2020年下半年起，被告单位博某软件有限公司法定代表人和实际经营人何某某利用为医院研发和维护网上挂号系统的职责便利，非法获取医院挂号用户个人信息，并将在提供服务过程中收集的医院挂号用户个人信息等数据，安排员工导入公司自建数据库。后何某某又安排他人在为该医院开发的软件中安装加密验证接口，自动将医院挂号用户个人信息导入公司自建数据库。上述公民个人信息数据经去重后统计共2878070条。
　　无锡市锡山区人民法院对此案审理后认为，何某某等人犯侵犯公民个人信息罪，判处有期徒刑五年六个月至一年六个月，分别并处罚金，博某软件有限公司在国家级的媒体或平台上公开赔礼道歉。宣判后，被告人何某某等人及被告单位博某软件有限公司均不服，提出上诉；后江苏省无锡市中级人民法院经二审开庭审理后裁定驳回上诉，维持原判。
　　承办法官后语
　　数据是继土地、劳动力、资本、技术之后的“第五大生产要素”，而公民个人信息是其中关键且受严格保护的组成部分。“但伴随数字服务的普及，个人信息泄露问题愈发突出，极易滋生电信网络诈骗、敲诈勒索等系列犯罪，严重侵害群众合法权益、扰乱危害社会安全稳定。为此，我国刑法专门设立侵犯公民个人信息罪，严厉惩处各类侵害公民个人信息的犯罪行为。”无锡市中级人民法院刑一庭法官徐海宏在评析该案时表示。
　　本案的争议焦点，在于如何界定博某软件公司及何某某等人在提供服务过程中收集公民个人信息的行为。庭审中，被告单位、被告人及其辩护人均抗辩是依照服务合同收集公民个人信息，并通过相关隐私条款及服务协议取得用户授权，不属于“以其他方法非法获取”的情形；同时辩称，公司对服务器内存储的信息拥有编辑、整理、调整权限，为实现计算机等级保护、服务器负载均衡而进行的数据备份，属于保障医院信息系统正常运行的必要技术手段，无需医院另行授权。
　　结合完整证据链条与法律规定，可以明确，该辩护主张不符合事实与法律依据，涉案行为属于非法获取公民个人信息的犯罪行为。
　　一方面，博某软件公司及何某某等人的行为已超出合同履职范围。根据招标项目及合同约定，博某软件公司在开发维护挂号系统期间的职责是辅助医院管理、控制个人信息，对接触到的公民个人信息负有保密义务，并确保该信息仅用于与合作有关的用途或目的。显然，何某某等人收集、转存数据的行为超出了合同约定的合作目的，也违反保密约定。何某某等人将获取的公民个人信息数据按照要素收集、整理后存储在公司其他服务器搭建的ES数据库中用于个人查询，且将接口配置成只有公司IP可读的状态，并非负载均衡技术的要求。
　　另一方面，博某软件公司及何某某等人的转存、整理再转存行为没有取得个人明确同意。博某软件公司对信息系统或集成平台项目拥有所有权或知识产权，并不等同于其对服务过程中获取的公民个人信息拥有所有权。个人信息的使用、收集必须以公民知情、自愿、明确同意为前提。本案中，博某软件公司在提供服务过程中取得的概括性同意并不包含其后的转存、整理再转存行为，故而在没有明确取得个人同意的情形下，这种私自的转存、整理再转存行为违反法律的规定，属于非法获取公民个人信息、情节严重的情形，依法构成侵犯公民个人信息罪。
　　“一条非法获取的个人信息，就是一处民生安全隐患。”徐海宏说道，非法获取公民个人信息是黑灰产业犯罪链条的起始环节，即便信息暂未对外流转出售，公民的个人信息权益也始终处于被侵害的危险状态。侵犯公民个人信息罪所保护的法益，涵盖公民个人信息不受非法收集、不正当扩散及不被滥用的权利，无论损害结果是否实际发生，只要使个人信息陷入不安全风险，便违背数字社会个人信息安全保护的法治初衷。