认定单位犯罪和个人犯罪的区别在于是否是受单位意思支配,并为单位利益从事犯罪行为。一旦企业被认定构成单位犯罪,绝非仅是发紧损失,而是可能丧失一些领域的投标资质和市场准入的条件,直接影响到业绩指标考核,股价表现。
2.3. 非法获取、非法出售或提供个人信息的行为表现多样,犯罪行为可能发生于个人信息生命全过程
违反国家规定,通过 窃取、购买、收受、交换等方式获取公民个人信息,或者在履行职责、提供服务过程中获取公民个人信息均可认为是 “非法获取公民个人信息”。
实践中,内部人员窃取、通过业务合作进行交换、通过qq群购买、跟踪偷拍、黑客攻击、使用木马病毒获取、通过伪基站非法获取个人信息等都是常见的形式。
非法公开发布公民个人信息也是“提供”的一种表现形式。
实践中,案例主要为利用qq群等网络社群进行发布公开。
侵犯公民个人信息的犯罪行为遍布于个人信息流转的各个环节。例如数据堂案件中,电信运营商、电信运维服务企业,到大数据分析、加工企业,再到精准营销公司,数据流通各环节均涉及其中,涵盖数据安全、采购、使用等数据行业领域。
2.4.只要非法获取或者出售提供的数据达到一定数量就构成犯罪,不以有损害后果为前提,非法获取数据用于合法经营也可构成犯罪
对于侵犯公民个人信息犯罪的入罪标准-“情节严重”,《解释》根据公民个人信息敏感程度的级别不同分别设置了“五十条以上”、“五百条以上”、“五千条以上”的涉案个人信息数量标准,除此以外,还对违法所得数额、信息用途进行规定。但该罪的构成并不要求造成损害结果,损害结果被规定在“情节特别严重”的情形当中,用以作为加重刑罚的标准。
尤其值得注意的是,非法获取数据用于合法经营也可构成犯罪。
2.5.对批量公民个人信息的条数,根据查获的数量直接认定
涉案公民个人信息的数量对于侵犯公民个人信息罪定罪量刑具有重要作用。对批量公民个人信息的条数,根据现有司法解释规定,如果犯罪嫌疑人或者刑事案件被告对根据查获的个人信息数量有异议的,认为信息不真实或者重复的,应当予以证明。
3.合规建议
企业在数字化过程中,既要着重防止踩踏侵犯公民个人信息犯罪的雷区,也应当采取措施防止自身受相关犯罪行为侵害。
3.1.数据获取环节
企业应当把控数据源头的安全,避免涉嫌“非法获取”公民个人信息。