“黑灰產”型侵犯公民個人信息犯罪的全鏈條打擊實踐

● 林曉萌 韓糧遠 黃 鵬/文

謝某、李某甲等人侵犯公民個人信息案

一、基本案情及辦理過程

2020年，上海某科技公司針對新型農村社會養老保險（以下簡稱“新農?！保┭邪l了一款具備快速注冊和人臉識別功能的生存認證APP。為推廣該APP軟件，由公司為購買地區承擔社保生存認證工作。謝某獲悉后，主動聯系該科技公司，表示可免費為公司承擔認證操作工作并獲許可。2021年4月至7月間，謝某為牟取非法利益，先后組織楊某等10人前往吉林省輝南縣、遼寧省西豐縣、桓仁滿族自治縣等多地農村，使用該APP對參保村民進行認證。期間謝某經與天津市寧河區的李某甲、李某乙等人預謀，由上述人員向謝某提供事先批量注冊的百家號“白號”（未實名認證賬號），謝某團伙借新農保認證之機采集村民姓名、身份證號碼和人臉信息，將“白號”激活為具備發布功能和商業營銷價值的實名認證賬號，再向李某甲、李某乙等人出售。通過此種方式，李某甲、李某乙從謝某處購得實名認證的百家號、抖音賬號1.9萬個，連同從張某、劉某甲等人處非法獲取的其它賬號，向高某、劉某乙等20余人出售。高某、劉某乙等人將所得賬號出售或者成立自媒體工作室批量運營，致使包含公民個人信息的實名賬號被多次轉賣，被加工成營銷號用于流量返利等活動。經查，李某甲非法獲利70余萬元，謝某等11人非法獲利共計人民幣31萬余元，李某乙、劉某甲等26人非法獲利數千元至十余萬不等。

2021年8月至10月間，天津市寧河區人民檢察院（以下簡稱“寧河區檢察院”）先后對謝某、李某等18人批準逮捕，后公安機關將全案38名犯罪嫌疑人移送審查起訴。寧河區檢察院經依法審查，認為謝某、李某甲等人非法獲取、提供公民個人信息，情節嚴重，構成侵犯公民個人信息罪。涉案人員在審查起訴階段均認罪認罰并退繳違法所得。2021年12月14日、2022年3月19日，寧河區檢察院先后將謝某、李某甲等36人提起公訴（另對2人作相對不起訴處理）。2022年6月8日、21日，天津市寧河區人民法院依法作出判決，采納全部指控事實和量刑建議，以侵犯公民個人信息罪對謝某、李某甲等9人分別判處有期徒刑4年至2年不等，并處罰金；對李某乙等27人分別判處有期徒刑3年至6個月不等，適用緩刑，并處罰金。各被告人均未上訴，一審判決已生效。

二、辦案中的要點分析

（一）鏈條化犯罪中身份同一性證據的收集與識別

本案屬于典型的“黑灰產型”侵犯公民個人信息犯罪，呈現產業化、鏈條化特征，“專業人員”批量獲取公民身份信息，將其加工為信息物料后直接流入下游違法產業。謝某、李某甲等人分屬上游信息竊取者、中游販賣加工者，此外還涉及下游賬號運營者，上述人員通過網絡結識和交易，相互不知曉真實身份，不具有辨認條件。為有效指控犯罪，收集身份同一性證據、建立賬號與涉案人員之間的對應關系至關重要。

以謝某為例，本案中謝某的下家李某甲最先到案，公安機關通過技術手段鎖定謝某并將其抓獲歸案。檢察機關經過審查，發現在案缺乏身份同一性證據，遂引導公安機關多方面收集證據，建立謝某網絡身份與現實身份關聯：一是補充調取微信賬號實名注冊信息，查明與李某甲聯系和交易的“中正”微信號注冊人即為謝某；二是從資金流入手，調取微信號綁定的銀行賬戶信息及流水，查明該賬戶開戶人為謝某，資金流向其他團伙成員，并用于謝某個人消費；三是專門就微信號控制使用情況開展針對性訊問，謝某供述該微信號注冊于2020年、專門用于販賣百家號，成為證實身份同一性的直接證據。綜合在案主客觀證據，謝某關于交易的時間、數額、方式的供述與客觀證據能夠相互印證，全案形成證明身份唯一性的閉環。

同時，檢察機關引導公安機關對后續到案的犯罪嫌疑人，按照上述標準及時收集、固定身份同一性證據，提升了偵辦質效，精準進行全鏈條打擊。

（二）實名賬號能否認定為公民個人信息

實名賬號能否認定為本罪中的公民個人信息，是本案的一項焦點問題。否定意見認為，本案中作為交易對象的是實名認證的百家號和抖音賬號，買賣雙方并沒有利用與賬號關聯的人臉、身份證號碼等具體信息的主觀故意，也無法通過賬號獲取上述信息。同時，根據《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）第4條規定，匿名化處理后的信息不屬于個人信息。涉案賬號登陸后不能直接查看人臉、身份證號等具體信息，屬于本條規定的匿名化處理后的信息，不應認定為公民個人信息。

檢察機關經審查認為，涉案實名賬號應當依法認定公民個人信息。理由如下：

首先，實名賬號認定公民個人信息具有法律依據?！吨腥A人民共和國網絡安全法》第76條和“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）第1條采用概述加列舉的方式對公民個人信息的內涵及外延作了解釋，《解釋》更是明確將賬號密碼列舉為個人信息，2021年頒布的《個人信息保護法》繼續將可識別性作為個人信息的基本內核，從立法精神上與上述規范一脈相承。涉案百家號和抖音賬號，通過實名認證，在賬號與自然人身份之間形成了唯一性聯系，使賬號包含了公民（實名認證人）個人的姓名、身份證號碼等具有較強識別性的公民個人信息基本要素，此時的實名賬戶具備了法律法規及司法解釋規定的“公民個人信息”的本質屬性，可以成為侵犯公民個人信息罪的犯罪對象。

其次，涉案賬號未經匿名化處理。筆者認為，《個人信息保護法》所稱的匿名化處理需要具備兩方面條件：在處理目的上，是為了消除可識別性有意為之；在處理結果上，需要經過針對性加工，實現“去標識化”效果，例如，針對姓名、身份證號碼，通過“*”隱去重點段位內容，即為常見的匿名化處理方式。本案中，雖然登錄時只需要賬號、密碼，無須輸入身份證號、手機號等信息，但這系相關網站的系統設置規則，而非行為人意向指示下的匿名化處理導致的結果。賬號登錄后，在后臺也能查找到實名認證人的身份信息及臉部識別情況。由此可見，涉案賬號沒有進行有目的性的匿名處理，在結果上也沒有實現“去標識化”效果。此外，本案中賬號買賣系通過微信以Excel表格形式進行，表單中包含賬號名稱、密碼、注冊人真實姓名、身份證號碼、手機號等信息，是具有形式和實質內容的公民信息綜合載體，而涉案人員對上述信息始終未進行匿名化處理。

最后，賬號泄露會造成實質危害。伴隨我國數字化程度的提高以及數字技術與社會生活深度融合，個人信息的應用價值和商業價值日益明顯。［1］參見張旭：《侵犯公民個人信息犯罪刑事治理研究》，《吉林大學社會科學學報》2022年第6期。本案大量涉案人員系專職的灰產從業者，其之所以批量販賣相關實名賬號，就是看中其背后數量的廣泛性、來源的易得性及最終利潤的豐厚性，這也是近年來各種侵犯公民個人信息違法犯罪行為急劇增長的根本原因之一。網絡平臺運營機制下，實名賬號具有較高的經濟屬性，非法獲取和利用實名賬號，無論是對公民個人隱私保護，抑或個人信息的潛在商業價值，都會造成不利影響。

（三）本罪的違法所得應否扣除犯罪成本

本案中大量信息販賣人員，系通過“低買高賣”方式、賺取差價以牟利。訴訟中辯方有觀點認為，在計算違法所得時應當將買入價格作為成本扣除。對此，檢察機關認為，本罪中的違法所得不應扣除犯罪成本，應當以出售價格全額認定。

從法律規定看，《解釋》第5條、第6條對非法獲取和合法經營活動中獲取公民個人信息進行了二元區分，在認定情節嚴重和情節特別嚴重標準時，前者以“違法所得”計算，后者以“獲利”計算，暗含了“違法所得不扣除成本、獲利扣除成本”的內旨。2018年《檢察機關辦理侵犯公民個人信息案件指引》進一步明確，“對于違法所得，可直接以犯罪嫌疑人出售公民個人信息的收入予以認定，不必扣減其購買信息的犯罪成本”。上述規定為本罪中違法所得的計算標準提供了法律層面的支撐。

從理論上分析，不扣除犯罪成本符合罪責刑相適應原則。通過梳理法律規定，可以發現刑法中常見的犯罪成本扣除情形大致有兩類：一類是財產犯罪特定情形下的扣除，其原理在于，具有彌補和減少被害人損失功效的犯罪成本可扣除，因此也有嚴格的條件限制，要求犯罪成本應以被害人為給付對象（如詐騙罪中的反對給付），同時具有價值性、可流通性等財產屬性。另一類是行政犯罪，如生產、銷售偽劣商品犯罪、知識產權犯罪中，類似犯罪中犯罪數額計算標準不一，但違法所得中扣除犯罪成本通常以司法解釋的明確規定為前提，例如生產、銷售偽劣商品相關司法解釋中，對“銷售金額”與“違法所得”進行了并列規定，可當然推知此處的“違法所得”不包括進貨價格等犯罪成本。具體到侵犯公民個人信息罪中，個人信息作為公民權利載體，其本身不能成為“交易物”，為購買信息付出的“成本”，其利益對價也并未給到權益受損方，而是轉變為對上家的非法活動的財產補給，扣除“進貨價”在一定程度上會形成司法為非法買入信息行為作“合法性背書”的不良導向。同時，在“薄利多銷型”的侵犯公民個人信息犯罪中，犯罪數額的大量削減會造成輕縱犯罪，背離罪責刑相適應原則。

從司法實踐看，違法所得的認定與財產刑的確定密切相關，審判機關計算罰金、沒收財產數額，通常以違法所得數額為基礎。正如有司法工作者指出的，“結合‘不讓犯罪分子通過實施犯罪獲得任何收益’的原理分析，所有通過實施犯罪而直接、間接產生、獲得的任何財產都應予以沒收”［2］劉曉虎、趙靚：《“違法所得”概念的界定和司法認定》，《人民法院報》2018年7月4日。?！安蛔尫缸锓肿訌倪`法犯罪行為中獲利”，既符合打擊犯罪的司法價值導向，又符合公眾的樸素價值觀，公民個人信息不能成為交易對象，為販賣給付的對價當然不能扣除。

此外，犯罪成本的計算和認定也存在現實困難。如販賣行為多以隱蔽、虛擬的網絡交易實施，確定數額時本就存在困難，再如網絡流量費、為加工運營賬號而支付的技術費用等應否計入成本、如何計算等，均存在實操困難，容易造成個案裁判尺度不一。同時，扣除犯罪成本可能會出現因經營能力或自主定價等因素影響案件處理，如部分行為人販賣數額巨大，但因其犯罪成本投入較大、實際獲利較小，因而獲得較低刑罰甚至出罪，造成刑事打擊的不公。

三、辦理類案的實踐啟示

（一）分層處理，貫徹落實少捕慎訴慎押刑事司法政策

“黑灰產型”侵犯公民個人信息犯罪涉及多個鏈條、涉案人員眾多，不同人員在主觀惡性、犯罪層級、獲利數額方面存在差異。辦案中要以少捕慎訴慎押刑事司法政策為引領，區分情形、區別對待，審慎作出逮捕、起訴和羈押決定。具體而言，對竊取信息源頭的犯罪團伙主要成員、專門從事網絡賬號灰產行業的頂端收購者等核心犯罪人員，要體現依法從嚴懲處；對團伙從犯、銷售環節賺取差價及僅有收購行為等情節相對較輕、獲利較低的中末端人員，可以結合情節、獲利、退贓情況，依法從寬處理；對其中的未成年人、在校生等特殊身份人員，符合不捕、不訴條件的，可考慮作出相對不捕和相對不起訴決定。

（二）從嚴懲處，全面打擊上下游犯罪

隨著大數據時代的來臨，侵犯公民個人信息罪已成為“百罪之源”，并逐漸形成“源頭—中間商—非法使用”的龐大“地下產業”和黑色利益鏈。［3］參見喻海松：《網絡犯罪二十講》，法律出版社2018年版，第202頁?！昂诨耶a型”侵犯公民個人信息犯罪的危害性極大，行為人并不滿足于一次犯罪所得收益，而是著眼于通過長期、穩定的犯罪模式持續牟利，在利益驅動下，個人信息以幾何式規模批量流入下游黑灰產，為網絡詐騙、賭博、非法運營等違法犯罪提供了條件。針對“黑灰產型”侵犯公民個人信息犯罪，檢察機關在辦案時應當樹立全鏈條打擊理念，上下游深挖、全方位懲處，徹底斬斷利益鏈條。要注重對產業鏈條和行為模式的分析，排查可能存在的黑灰產業集群，從竊取源頭直到出售末端，深挖徹查上下游犯罪，徹底鏟除侵犯公民個人信息犯罪土壤。檢察機關要加強與公安機關的協作配合，充分借助聯席會議、提前介入以及偵查監督與協作配合辦公室等體制機制優勢，會商偵查難點痛點，追溯背后利益鏈條，梳理偵查方向思路，拓展線索發現渠道，掌握鎖定關鍵證據，引導及時、規范、全面偵查取證。本案中檢察機關多次與公安機關進行會商研究，及時引導偵查，在作出逮捕決定后，及時制發了書面補充偵查提綱，引導公安機關繼續深挖上、下游犯罪，排查控制了其他上下游涉案人員，同步扣押了手機、電腦等作案工具，為查清事實奠定了基礎，有效懲治了竊取源頭直到最末端出售的犯罪分子，徹底清除了隱蔽的竊取、銷售、運營鏈條，充分彰顯了打擊效果。

（三）延伸職能，強化完善社會綜合治理

公民個人信息泄露往往伴隨著監管不力、履職不到位等深層問題。檢察機關在依法辦案的同時，要能動履職、充分融入社會治理，推動形成公民個人信息保護合力。一是要抓前端、治未病，將訴源治理融入案件辦理過程。本案中，檢察機關針對在辦案過程中發現的管理疏忽及制度漏洞等問題，向相關主管部門制發了檢察建議，建議規范新農保認證工作流程和保密規章、注重委托合作公司資質審核及轉委托監督、加強個人信息保護法治宣傳，并充分發揮檢察一體化優勢，與當地檢察機關開展異地協作，共同完成了檢察建議的宣告送達和跟蹤督促，促使其及時堵塞社會治理漏洞，從源頭上防范公民信息泄露。二是積極追贓挽損，鏟除相關黑灰產業生存土壤。本案中檢察機關結合認罪認罰開展追贓工作，在提前介入黃金期建議公安機關及時摸排嫌疑人財產信息，在捕后訴前關鍵期突出對涉案違法獲利資金的引導偵查，在審查起訴攻堅期充分釋明刑事司法政策，形成退贓輕處的處置模式。經努力，本案38名犯罪嫌疑人在審查起訴階段主動退贓共計100余萬元，檢察機關結合退贓情況，發揮認罪認罰從寬制度的政策優勢，充分釋放從寬紅利，取得了良好的辦案效果。三是加強普法宣傳，開展以案釋法，提升公民個人信息保護意識。檢察機關在辦案同時，要落實好“誰執法 誰普法”的普法責任制。一方面引導公民在日常生活中提高警惕，樹立自我保護意識和安全防范意識，謹防以各種活動為名行侵犯公民個人信息之實的違法犯罪行為，另一方面向潛在的犯罪分子明示國家對相關犯罪行為的嚴厲打擊，形成辦理一案、警示一片的效果，形成國家治理侵犯公民個人信息犯罪打擊合力，營造關注信息保護的良好社會氛圍。