刑法案例|出售学生家长涉嫌侵犯个人信息倒卖案提起公益诉讼不起诉决定

“互联网+”大数据时代，泄露、非法收集、买卖公民个人信息轻则引发电话短信骚扰，重则导致电信诈骗等刑事犯罪。近年来公民个人信息被不法分子泄露利用的案件层出不穷，严重威胁了公民个人隐私以及人身、财产安全。

2021年11月1日正式施行的《中华人民共和国个人信息保护法》，明确规定自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权利。同时，根据《中华人民共和国刑法》第二百五十三条之一的规定，违反国家有关规定，向他人出售、提供或者非法获取公民个人信息，情节严重的，需要承担相应的刑事责任。本案的公开审理和宣判不仅是对被告人郭某侵犯公民个人信息行为的惩戒，更是提醒合法掌握公民个人信息的行业要牢固树立守法意识，禁止向他人出售或者非法提供公民个人信息。广大公民要增强个人信息保护意识，提高对套取个人信息行为以及可能导致信息诈骗行为的辨识能力，防范侵害公民个人信息犯罪，保护个人信息及财产安全。


在网上购买学生、家长信息1.1万条
再转卖给他人
重庆市消费者权益保护委员会对当事人费某扬提起公益诉讼
9月19日
重庆市第一中级人民法院
开庭审理此案
倒卖学生及家长个人信息被抓获
获利2000元微罪不起诉
2021年8月，被告费某扬在网上通过QQ及微信，加入到“K12教育资源交流群”“教育培训失业互助群”等群，寻找有个人资源需求的信息。
随后，费某扬便做起“中间人”倒卖学生及家长信息，以每条0.25元的价格，从“上家”购买学生及家长信息11034条，这些信息中有学生的姓名、性别、年龄、学校名称、家长电话等内容。再以每条0.45元的价格，转手倒卖给“下家”，从中获利2000元。
2021年10月26日，费某扬被重庆市渝北区公安局抓获。2022年6月2日，渝北区人民检察院作出微罪不起诉决定。
严重损害众多不特定消费者权益
消委会提起公益诉讼
重庆市消委会认为，费某扬虽然在刑事方面免于被起诉，但在民事方面，其非法买卖学生及家长个人信息的行为，严重损害众多不特定消费者的合法权益，危害社会公共利益，应该承担民事侵权责任。
8月5日，重庆市消委会提起公益诉讼，将费某扬诉至重庆市第一中级人民法院。请求判令被告：
在《中国消费者报》上公开赔礼道歉；
并在1年内参加两次消费领域的公益活动，且每次活动支付的经费不低于1000元。
9月19日，重庆市一中院开庭审理此案，渝北区人民检察院作为支持起诉人，全程参与案件审理，并发表支持重庆市消委会提起公益诉讼的意见。
法庭辩论的焦点：一是被告费某扬购买并出售在校学生及家长信息的行为是否侵害社会公共利益；二是原告重庆市消委会提出以行为补偿损失的诉讼请求是否有法律依据。
双方达成和解协议
被告将自愿参加消费领域的公益活动
重庆市消委会认为：
消费者个人信息保护不仅涉及消费者个人的权益保障，同时具有社会公共利益的属性。被告在未经消费者同意的情况下，以营利为目的，在网络上非法买卖消费者个人信息，其行为不仅损害了消费者的合法权益，同时还构成对众多不特定消费者个人信息安全和社会公共利益的侵害。
同时，原告要求被告开展消费领域公益宣传活动，充分考量了其行为能力，与其侵权行为方式和影响相适应，在达到弥补受损社会公共利益的同时，亦不过分加重被告民事责任的承担。既节约了社会资源，也兼顾了法理人情，具有合理性、可行性。
费某扬表示：
认可原告重庆市消委会发表的辩论意见以及诉讼请求，并称今后会积极、主动参加消费领域的公益活动，以弥补自己的过失。
　最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
　　法释[2017]10号
为依法惩治侵犯公民个人信息犯罪活动，保护公民个人信息安全和合法权益，根据《中华人民共和国刑法》《中华人民共和国刑事诉讼法》的有关规定，现就办理此类刑事案件适用法律的若干问题解释如下：
第一条刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
第二条违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。
第三条向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。
未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。
第四条违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。
第五条非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
(一)出售或者提供行踪轨迹信息，被他人用于犯罪的;
(二)知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的;
(三)非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的;
(四)非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的;
(五)非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的;
(六)数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的;
(七)违法所得五千元以上的;
(八)将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的;
(九)曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的;
(十)其他情节严重的情形。
实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：
(一)造成被害人死亡、重伤、精神失常或者被绑架等严重后果的;
(二)造成重大经济损失或者恶劣社会影响的;
(三)数量或者数额达到前款第三项至第八项规定标准十倍以上的;
(四)其他情节特别严重的情形。
第六条为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
(一)利用非法购买、收受的公民个人信息获利五万元以上的;
(二)曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的;
(三)其他情节严重的情形。
实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。
第七条单位犯刑法第二百五十三条之一规定之罪的，依照本解释规定的相应自然人犯罪的定罪量刑标准，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。
第八条设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪处罚;同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。
第九条网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。
第十条实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚;确有必要判处刑罚的，应当从宽处罚。
第十一条非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。
向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。
对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。
第十二条对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。

第十三条本解释自2017年6月1日起施行。