醫療領域侵犯公民個人信息的刑事防控

● 王春華/文

韋某、吳某甲、吳某乙侵犯公民個人信息案

一、基本案情及辦理過程

吳某甲、吳某乙在廣西壯族自治區南寧市江南區經營一家保健按摩中心，經營范圍主要是向產婦提供催乳服務。為發展擴大客源，吳某甲向南寧市某醫院產科主管護師韋某提出，由韋某向保健按摩中心提供產婦信息，并承諾每發展一名客戶就給韋某50元或60元報酬，若客戶后續辦卡消費則另外向韋某支付10%的提成。2018年至2020年6月間，韋某以寫論文需要數據為由，欺騙有權限的同事登錄該醫院“護士站”系統查詢產婦信息后拍照發給自己，或者自行通過科室辦公電腦查詢該醫院“桂婦兒”系統產婦信息后拍照，不定期將上述產婦信息照片通過微信發給吳某甲，而吳某甲、吳某乙則利用上述信息安排員工通過電話聯系產婦發展客戶。經查，韋某向吳某甲、吳某乙出售包括產婦姓名、家庭住址、電話號碼、分娩日期、分娩方式等在內的產婦健康生理信息500余條。

2020年10月26日，南寧市江南區人民檢察院對韋某、吳某甲、吳某乙以侵犯公民個人信息罪提起公訴。2020年11月12日，南寧市江南區人民法院依法公開審理。法庭審理期間，韋某主動退賠違法所得。韋某、吳某甲及辯護人提出，涉案公民個人信息隱私性不高，且未被用于其他違法犯罪；吳某乙及辯護人提出，吳某乙沒有直接參與獲取產婦信息，是從犯的辯護意見。公訴人答辯認為，涉案公民個人信息涉及產婦分娩生理信息，系具有高度隱私性質的公民個人健康生理信息；吳某乙雖未直接參與獲取信息，但與吳某甲共同出資購買信息，用于經營催乳服務，在共同犯罪中起主要作用，應當按照其所參與的全部犯罪處罰。2020年12月16日，南寧市江南區人民法院采納檢察機關的指控事實和意見，認定韋某、吳某甲、吳某乙犯侵犯公民個人信息罪，判處韋某有期徒刑10個月，緩刑2年，并處罰金1萬元；判處吳某甲、吳某乙有期徒刑6個月，并處罰金8000元。針對涉案醫院對公民個人信息管理不善、對從業人員紀律約束不強、法治教育不足等問題，南寧市江南區人民檢察院制發檢察建議。

二、辦案中的要點分析

（一）依法準確認定，明確侵犯公民個人信息的行為性質

醫療領域侵犯公民個人信息的犯罪案件，涉及公民個人信息的認定，非法獲取行為的認定以及鏈條打擊等問題。檢察機關認真審查在案證據，明確涉案公民個人信息的性質，依法打擊上下游侵害公民個人信息的犯罪事實。

1.對“公民個人信息”的審查認定。根據“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）第1條規定，公民個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。在《解釋》第5條第1款第（四）項則將健康生理信息認定為屬于其他可能影響人身、財產安全的公民個人信息。民法典第1034第2款同樣將健康信息納入到公民個人信息保護的范疇之內。無論是2021年頒布的《中華人民共和國個人信息保護法》，還是“兩高一部”在2013年發布的《關于依法懲處侵害公民個人信息犯罪活動的通知》，在認定公民個人信息時均將具有可識別性及隱私性作為定義公民個人信息考慮的重要因素。個人健康信息，系在疾病預防、體檢、診斷、治療、醫學研究過程中所涉及的個人身體、精神的健康狀況和家族病史等信息［1］參見劉帥、謝笑、謝陽群、李晶：《個人健康信息管理研究初探》，《現代情報》2014年第9期。。本案除涉及產婦姓名、家庭住址、電話號碼等能夠識別特定自然人身份的各種信息外，還涉及產婦分娩日期、分娩方式等生理健康信息，同時具有可識別性及高度隱私性，屬于刑法所保護的個人信息［2］參見周光權：《侵犯公民個人信息罪的行為對象》，《清華法學》2021年第3期。。

2.對“違反國家有關規定”的審查認定。大數據時代下，產婦的健康醫療數據幾乎可以全程以電子化的形式進行采集和記錄，海量個人健康生理信息被醫療機構收集和儲存，醫療機構可以據此為產婦提供更加精準、個性化醫療健康服務。但是在數據價值逐利的驅動下，掌握個人信息的醫療機構從業人員，本該是保護公民個人信息的主體，卻以其得天獨厚的便利條件非法收集并出售公民個人信息，使得公民信息“保護墻”形同虛設?！吨腥A人民共和國執業醫師法》（2009年修正）第22條、第37條，以及《護士條例》第18條、第31條均規定醫務人員依法應當保護患者的隱私，泄露患者隱私，造成嚴重后果的，將被處以行政處罰，可見相關行政法規對醫療領域公民個人信息保護給予了高度重視，對醫療機構及醫務人員的相關責任作出規制。在本案中，行業“內鬼”恰恰是侵犯公民個人信息犯罪的重要主體，被告人韋某作為醫院產科主管護師，獲取公民個人信息主要有兩種渠道，一是通過以寫論文需要數據為由騙取醫院其他同事提供產婦生理健康信息，二是通過查看醫院信息管理平臺獲取。無論是通過上述何種途徑，均是利用了職務或者工作上的便利，并且將收集的產婦健康生理信息用于出售牟利，符合違反國家有關規定，將在履職過程中獲得的公民個人信息出售給他人的情形，根據刑法第253條之一第2款的規定，應當予以從重處罰。

3.對“非法獲取”的審查認定。根據刑法第253條之一第3款規定，竊取或者以其他方法獲取公民個人信息的，依照第1款的規定定罪處罰。在竊取或者以其他方法非法獲取公民個人信息的行為中，需要著重把握“其他方法”的范圍問題。根據最高檢《檢察機關辦理侵犯公民個人信息案件指引》的規定，“其他方法”，是指“竊取”以外，與竊取行為具有同等危害性的方法，其中，購買是最常見的非法獲取手段。本案中，被告人吳某甲、吳某乙是保健按摩中心的經營者，吳某甲通過向被告人韋某購買產婦生理健康信息的方式獲取公民個人信息，再由吳某乙利用獲取的產婦生理健康信息安排保健按摩中心員工通過撥打電話聯系的方式發展客戶，在共同犯罪中，二人雖存在不同分工，但仍屬于共同非法獲取公民個人信息的行為。

4.對“情節嚴重”的審查認定。根據《解釋》第5條第1款的規定，對“情節嚴重”的認定涉及信息類型和數量、違法所得數額、信息用途、主體身份以及主觀惡性五個方面內容，其中信息類型不同數量標準也隨之發生改變，健康生理信息數量標準為500條以上，則屬“情節嚴重”。非法獲取公民個人信息后又出售或者提供的，公民個人信息的條數不重復計算；對披露出售、提供公民個人信息的條數，根據查獲的數量直接認定，且對多次獲取同一條公民個人信息，一般認定為一條，不重復累計。本案中，被告人韋某從醫院其他同事處獲取或者利用職權從醫院信息管理平臺自行查看產婦健康生理信息，將產婦健康生理信息拍照后通過微信發送給按摩保健中心經營者吳某甲，作案時間長達兩年，截至案發時各被告人微信聊天記錄已不完整，且無法對二人資金往來中何筆交易屬于產婦健康生理信息交易進行甄別，在此種情形下，檢察機關引導公安機關通過恢復部分聊天記錄以及調取手機電子數據的方式對證據進行固定，并對恢復的健康生理信息數據進行了去重，最終確定涉案產婦健康生理信息達500余條，達到刑法“情節嚴重”標準。

（二）積極引導偵查，夯實證據鏈打擊上下游犯罪

該案件移送至南寧市江南區人民檢察院后，為全面準確查清案件事實，檢察機關指派業務骨干主辦該案，先后多次與公安機關會商，研判案件性質，進一步夯實證據基礎。

1.精準認定，引導偵查。檢察機關迅速形成韋某、吳某甲與吳某乙三人構成侵害公民個人信息犯罪的初步意見，明確韋某作為醫護人員在履職過程中將獲取的公民個人信息用于出售以及吳某甲、吳某乙非法獲取孕產婦生理健康信息的犯罪事實，有針對性地引導公安機關調查取證。深入優化“案-件比”，在事實認定、證據收集等方面充分發揮引導作用，推動法律監督從被動向主動轉變，節約司法成本，提高司法辦案效率。

2.做好電子數據的恢復及固定工作。以三名被告人手機電子數據恢復作為案件偵辦的突破點，引導公安機關對三名被告人手機微信聊天記錄、轉賬記錄、手機內存保存的健康生理信息照片等電子數據進行恢復、提取、固定，結合保健按摩中心聯系產婦推銷服務的通話記錄及消費記錄等形成證據鏈條，保障全案上下游犯罪證據鏈完整性，強化對涉案證據所記載的信息、數據和文件本身真實性審查，強化對證據的來源、收集、提取環節的合法性審查，做到定案的犯罪事實充分，證據確鑿，能夠排除合理懷疑。

3.嚴厲打擊上下游犯罪，粉碎非法產業鏈。在信息源頭方面，醫療行業“內鬼”利用其職務便利非法收集公民個人信息后出售或者提供給他人，其非法獲利普遍高于普通交易公民個人信息行為；而對于下游犯罪而言，產婦健康生理信息并非一般單位能夠輕易獲取，通過醫療行業“內鬼”購買公民個人信息，操作便捷，犯罪成本低。在本案中，被告人吳某甲、吳某乙經營保健按摩中心，主要提供面向產婦的催乳服務，被告人韋某作為產科主管護師，能獲取產婦健康生理信息，這些信息正是保健按摩中心推廣客源的重要來源，其本身具有的重要經濟價值驅使行為人以身試法。檢察機關堅持全鏈條懲治，在查辦下游犯罪的同時，溯源上游個人信息泄露的渠道和人員，圍繞信息獲取、流通、使用等環節，同步加強全鏈條打擊。

（三）制發檢察建議，推進行業監管，強化溯源治理

1.積極開展調查核實工作。在辦案過程中，承辦檢察官積極開展調研工作，通過數據調查、走訪調研等方式了解醫療領域侵犯公民個人信息行為屢禁不止的原因。調研發現，犯罪成本的低投入與高收益回報，制度與監管的缺位，公民對個人信息保護意識淡薄等，都導致了侵犯公民個人信息行為的泛濫。因此，在對涉案醫院開展調查工作時，主要圍繞涉案單位有無建立信息保護體系、是否落實信息保護責任制度、是否完善信息泄露風險預警防范措施、對相關從業人員是否開展保密教育等，幫助醫療機構堵塞在公民個人信息領域管理方面存在的漏洞。

2.通過制發檢察建議參與社會治理。醫護人員侵犯公民個人信息犯罪案件暴露出涉案醫院在患者個人信息保護上存在明顯的監管漏洞，檢察機關通過制發檢察建議的方式，倒逼醫院建立落實患者個人信息保護制度，進一步推動醫療信息管理和安全建設，預防和減少侵犯公民個人信息犯罪發生。

3.通過跟進監督，達到“辦理一案，治理一片”的效果，在提升檢察建議效能的同時，促進行業整改。一是在跟進監督上下功夫。對發出的檢察建議，檢察機關進行了動態流程監督，由辦案檢察官小組持續跟進整改進度和效果。被建議醫院接到檢察建議后迅速回復并采納建議，同時建立臺賬和落實反饋機制，及時收集整改進度和取得的實際效果，并采取“回頭看”的方式監督被建議的醫院落實整改。二是在多方協同上作文章。檢察機關聯合衛健部門開展檢察建議制發和跟進落實工作，聽取被建議單位的意見，并將整改落實情況通報被建議單位主管部門，并及時向當地黨委、政府報告。三是檢察建議見成效。此次檢察建議影響力大、社會關注度高，推動城區主管部門對轄區內醫療機構開展公民健康信息的保管、管理以及監管責任的督導檢查，檢察機關與行業主管部門共同努力，抓好抓實監督落實工作，推動建議各項措施逐步實施。

三、辦理類案的實踐啟示

（一）依法打擊“行業”內鬼出售公民個人信息犯罪

產婦分娩信息等是醫院在開展醫療活動過程中掌握的公民健康生理信息。對于醫護人員將其在履行職責或者提供服務中獲得的產婦健康生理信息出售或者提供給他人的行為，構成犯罪的，應依法予以打擊。對下游非法獲取公民個人信息的犯罪也應依法打擊，實現全鏈條懲處。

（二）通過檢察建議促進訴源治理

行業“內鬼”泄露公民個人信息，反映出部分重點領域公民個人信息管理存在漏洞、內部監管機制不到位，相關從業人員法律意識淡薄。檢察機關辦案中應通過制發檢察建議，督促醫療單位履行監管職責，完善對患者健康生理信息的安全管理制度，預防和杜絕泄露公民個人信息問題的發生。