北京市西城区人民法院刑 事 判 决 书（2019）京0102刑初179号公诉机关北京市西城区人民检察院。被告人张斌，男，1984年9月9日出生，公民身份证号码×××，汉族，出生地辽宁省北票市，大学文化，长春异展卓越教育信息咨询有限公司法定代表人，住吉林省长春市；2012年12月因犯非法获取国家秘密罪，被判处有期徒刑十个月，2012年12月14日刑满释放；因涉嫌犯非法获取计算机系统数据罪于2017年8月15日被羁押，同年9月22日被取保候审，因涉嫌犯侵犯公民个人信息罪于2018年10月15日被逮捕；现羁押在北京市西城区看守所。辩护人赵全龙，北京金标律师事务所律师。北京市西城区人民检察院以京西检金刑诉［2019］93号起诉书指控被告人张斌犯侵犯公民个人信息罪于2019年2月15日向本院提起公诉。本院依法组成合议庭，公开开庭审理了本案。北京市西城区人民检察院指派检察员白春雪出庭支持公诉。被告人张斌及辩护人赵全龙到庭参加诉讼。现已审理终结。北京市西城区人民检察院指控：2017年7月26日，北京市公安局西城分局接北京奥鹏远程教育中心有限公司报案称发现公司网络系统异常，学生信息被泄露。经民警调取奥鹏远程教育中心有限公司服务器日志，并通过技术侦查手段，确定被告人张斌有重大嫌疑。同年8月15日，西城分局刑侦支队民警在吉林省长春市宽城区吴中印象二期7栋3单元506室将被告人张斌抓获，并从张斌的居住地起警硬盘1个，U盘1个。经鉴定，从张斌居住地起获的硬盘内存储的文件中分别检测出公民个人信息186787条和129627条。公诉机关向本院移送了证人证言、鉴定意见，认为被告人张斌非法获取公民个信息，情节特别严重，侵犯了公民的人身权利，其行为触犯了《中华人民共和国刑法》第二百五十三条之一，应当以侵犯公民个人信息罪追究其刑事责任。被告人张斌曾因故意犯罪被判处有期徒刑，刑罚执行完毕后五年内又犯应当判处有期徒刑以上刑罚之罪，根据《中华人民共和国刑法》第六十五条第一款，系累犯，应从重处罚。被告人张斌对公诉机关指控的其犯侵犯公民个人信息罪表示认罪，但辩称其是在长春奥鹏公司工作期间合法获取的涉案的公民个人信息。被告人张斌的辩护人的主要辩护意见：被告人张斌硬盘中存储的公民个人信息是公民提供给奥鹏公司的，被告人张斌是奥鹏的工作人员，查询、收集这些公民个人信息并未侵犯公民的个人隐私权，其行为没有社会危害性，被告人张斌主观上没有侵犯公民个人信息的主观故意，综上，被告人张斌不构成侵犯公民个人信息罪。如法庭认为被告人张斌构成侵犯公民个人信息罪，其具有如下从轻情节：被告人张斌没有将其持有的公民个人信息出售、提供或者扩散给他人，没有造成其他严重后果，其主动投案，当庭如实供述，主观恶性较小，另应将被告人张斌有权获得的长春奥鹏的学生信息，以及其任职期内获得的1609批次的信息从犯罪数额中排除。综上，建议法庭对其从轻处罚。被告人张斌的辩护人当庭提交了奥鹏公司官网上2019年网络学历教育东北师范大学招生简章，拟证实涉案的1703批次的学生信息2016年9月后就开始陆续录入系统。经审理查明：北京奥鹏远程教育中心有限公司（以下简称奥鹏公司）系经批准运营的国家远程教育公共服务体系，公司地址在本市西城区德外大街**TCL大厦。奥鹏公司在全国有2000余家线下招生教育培训分支机构。被告人张斌于2013年至2016年11月在奥鹏公司的长春中心上班，主要负责招生工作。2017年7月13日，奥鹏公司邮件系统管理员巡检时发现公司的网站被入侵，学生信息被泄露，后报警。公安机关通过查询到的可疑IP地址锁定被告人张斌为嫌疑人。2017年8月15日，被告人张斌在吉林省长春市宽城区吴中印象二期7栋3单元506室的家中被抓获，民警从其家中起获硬盘1个，U盘1个。后经司法鉴定，硬盘内存储的文件中检测出奥鹏公司的1609、1703等批次学生信息，其中公民个人信息除长春地区分别是18万余条和12万余条。上述事实，有经法庭举证、质证，已确认的下列证据予以证实：1、证人奥鹏公司IT运营与安全中心总监杨某1证言证实，2017年7月13日9时许，该公司邮件系统管理员发现，公司的乐乐邮系统在2017年7月11日0：59至7月13日9：38期间被异常激活，增加了63090个账号。这些操作行为都是通过奥鹏教育教学平台直接使用学生用户名、密码的方式登陆，然后点击“创建邮箱”按钮创建邮箱导致。公司技术人员梳理发现，这些操作来源于7个IP地址，学生账号登录数量82525个，涵盖该公司在全国设置的线下1154家学习中心机构。这些异常操作没有以正常方式登陆系统平台的记录，而且在1分钟内单个IP地址最多完成84次登陆。因此这些异常操作可能是人为编写脚本在平台上自动完成的。公司发现异常情况后暂时禁用了被异常注册激活的63090个邮箱。该公司数据库中共存有150余万学生信息资料，包括学生的姓名、身份证号、手机号**口所在地、家庭住址、工作单位、毕业院校、学历信息、在读院校等个人信息。公司怀疑学生账户及信息已被泄露。学生账户、个人信息被泄露或被盗用将引发利用公司个人信息的电信诈骗，以及发送代收代写作业、论文等垃圾短信，会造成外界公众对奥鹏教育服务水平的质疑，品牌公信力下降。2、证人长春奥鹏教育培训中心主任杨骐光证言证实，张斌曾在长春奥鹏工作，主要负责招生。奥鹏有个系统，其有权限进入该系统进行招生登记和查询，但也只能查询到长春奥鹏本部招生的学员的信息。其将这个权限给过张斌。张斌没有查询奥鹏全国学员信息的权限。其不清楚刘某是否拥有全国系统的账号、密码，其也没让刘某将账号、密码给过张斌。奥鹏的黑吉地区负责人打电话说长春有个异展卓越教育公司在给奥鹏学员发广告，广告内容涉及到代写作业和论文。后查出张斌是这个公司的法人。其和张斌谈话，张斌就离职了，离职的具体时间是2016年11月8日，离职手续已办理完毕，当天张斌与公司签了保密协议，就证明张斌不再是公司的员工了，其也将张斌的工作账号删除了。3、证人刘某证言证实，其曾在长春奥鹏上过班，现已离职，2014年至2016年其能查到全国学生的基础端信息，2016年至2018年期间其能查到全国学生的所有信息。其认识张斌，但没有什么具体的交往，其没有将自己的账号、密码告知过张斌。4、证人杨某2证言证实，2010年至2016年其在长春奥鹏中心任副主任，认识张斌，张斌是2013年至2016年在奥鹏负责招生。二人是正常工作关系，其没有跟杨骐光提过要给张斌全国招生的权限。5、证人王某证言证实，张斌是其爱人，曾在长春奥鹏工作，主要负责招生。其家中有台式电脑，2017年2月其因怀孕去医院住院保胎，7月回家发现台式机不见了。民警从家中搜出的移动硬盘和U盘不是其的，应该是张斌的。6、奥鹏公司出具的书面报案材料证实，该公司是被正式批准运营的国家远程教育公共服务体系及远程教育服务运营机构。奥鹏学历教育业务已经与国内50多所著名高校开展远程学历教育合作，为各类学习者提供高中起点专科、高中起点本科、专科起点本科、本科第二学历和辅修专业等不同层次和专业的学历教育服务。该公司自主研发的教务教学平台是奥鹏学历教育的支撑平台，平台可实现从学生报名直到考试、毕业的学习全过程管理，目前系统中学生用户150余万。奥鹏乐乐邮邮件系统是教务教学平台的核心模块，目前共有学生用户76万，教师用户0.4万，为奥鹏学历学生、学习中心、合作高校、专兼职教师等用户提供电子邮箱服务。奥鹏学习中心老师和总部学务、教学管理人员通过邮件系统发送教学、教务信息，辅导和协助学生完成入学测试、上课、作业、论文、缴费等教学管理事务，50多所奥鹏合作高校的老师也通过该邮件系统发布作业信息，推送课程消息和进行教学辅导等工作。奥鹏学历的学生用户也可将邮箱作为私人邮箱使用。2017年7月13日，该公司通过巡检发现，11至12日连续两天邮箱用户数以每天2万至3万速度增长，对比之前，每天几十至几百个新建账号的增幅，这两日邮箱用户数增加处于异常状态。通过查看邮箱、应用日志信息进行分析，确认如下情况，邮箱系统63090个邮箱帐户的创建是由奥鹏教育教学平台825**个学生账户登录，并点击创建邮箱按纽创建邮箱导致，涵盖全国1154家学习中心，涉及51所高校。82525年学生账户登录并创建邮箱操作均来源于主要7个IP地址。7个IP地址在40多个小时内在奥鹏教学平台上通过82525个学生账户登录并创建邮箱，从日志上可以回溯确认为人为编写脚本自动登录。应用日志显示，本次学生账户登录信息准确，均为一次通过登录验证，因为如果登录密码错误，奥鹏教育教学平台会弹出验证码，但日志显示并无登录失败记录。同时学生账号操作特征相同，均为第一步登录，第二步点击创建邮箱按纽，目的性明显。综上确认教学系统被入侵，82525个学生账户信息已被泄露和盗用，学生的姓名、身份证号、手机号**口所在地、家庭住址、工作单位等个人信息也可能已被泄露和盗用。2017年7月13、15、17日，经排查发现共有696个学生邮箱被设置了相同的默认转发邮箱，2016年7月7日至2017年7月17日，共有12286个学生邮箱账户设置了异常默认转发邮箱。该现象表明乐乐邮系统已被入侵，学生邮箱账号、密码已被相关人员掌握，信息已泄露。根据邮箱操作日志显示，配置操作时间间隔短，在1分钟内可完成几十个邮箱的转发配置，说明此操作为脚本方式执行，且编写脚本人员已掌握相关12283个学员邮箱账号、密码。7、奥鹏公司出具的书面证明材料1组证实，cczhangbin是在奥鹏远程教育长春学习中心（直属）使用的账号，该账号不应具有访问任何其他学习中心、总部、院校的权限。目前cczhangbin账号已经被删除，通过系统记录的账号访问日志，可以看出该账号的最早登录时间为2014年10月24日，最后登录时间为2016年10月18日。该公司每年3月和9月进行两个批次的招生，批次1609表示2016年9月份新招学生。全国的招生是由该公司分布在各省份地区的上千家学习中心共同招生完成的。各学习中心有各自独立的账号和权限，且各学习中心只能获取自己招生的信息。被告人张斌是长春直属学习中心的前员工，其在工作期间职责只有访问该中心学生信息的权限，没有访问其他学习中心的权限。8、劳动合同、离职保密协议、离职证明证实，被告人张斌曾是长春奥鹏教育培训中心的员工。2016年11月8日，被告人张斌与长春奥鹏教育培训中心正式解除劳动关系，当日签署了离职保密协议。9、搜查笔录、扣押清单证实，2017年8月15日，民警在被告人张斌的住处吉林省长春市宽城区吴中印象二期7栋3单元506室进行搜查，查获黑色硬盘1个，黑色U盘1个。上述物品已被扣押。10、北京通达法正司法鉴定中心出具的司法鉴定意见书1组证实，对被起获的移动硬盘进行鉴定，从路径“根目录奥鹏招生数量1609批次奥鹏报名统计.xlsx”获取到1个文件。从“根目录奥鹏招生数量1703批次”文件夹下获取到“学校专业目录.xlsx”1个文件和名为“第一次”的子文件夹。此子文件夹包含“奥鹏报名统计（部分）.xlsx”、黑客程序“1.exe”、配置文件“pz.ini”和涉及学生信息的子文件夹“文本处理重复”。子文件夹“文本处理重复”共包括“北京大学.xlsx”等33个文件。对根目录“奥鹏招生数量1609批次奥鹏报名统计.xlsx”、根目录“奥鹏招生数量1703批次第一次奥鹏报名统计（部分）.xlsx”2个个文件中涉及公民个人信息的数据进行统计。“奥鹏报名统计.xlsx”文件涉及导出时间、姓名、用户名、密码、手机号码、报名编号、院校、学习中心、批次、层次等数据信息，其中导出时间为2016年11月16日，以姓名对应的用户名为标准进行排除重复项筛选，得到公民个人信息的条数为186787条。“奥鹏报名统计（部分）.xlsx”文件涉及姓名、用户名、密码、手机号码、报名编号、院校、学习中心、批次、层次等数据信息，以姓名对应的用户名为标准进行排除重复项筛选，得到公民个人信息条数为129627条。对于去重后“奥鹏报名统计.xlsx”、“奥鹏报名统计（部分）.xlsx”2个文件的信息进行归类合并，以姓名对应的用户名为标准进行排除重复项筛选，未发现2个文件的公民个人信息数据含有重复项。对根目录下“程序开发猪八戒”文件夹下的程序及其源代码文件以及根目录下“程序开发花语奇点导出数据（废）”文件夹下的程序及其源代码进行分析，以上2个程序及其源代码，可以实现登录特定网站(http://openquerysystemorg.open.com.cn)及其后台数据库，并从数据库中导出数据的功能。11、北京通达法正司法鉴定中心出具的司法鉴定意见书的补充说明证实，对“根目录奥鹏招生数量1609批次”文件夹下的文件“奥鹏报名统计.xlsx”,以文件中姓名对应的手机号码为标准剔除重复数据，得到涉及学生信息的条数为186530条，其中长春地区（以文件中“学习中心”标签信息进行筛选）学生信息的条数1416条，其他地区学生信息条数185114条。对“根目录奥鹏招生数量1703批次第一次”文件夹下的文件“奥鹏报名统计（部分）.xlsx”，以文件中姓名对应的手机号码为标准剔除重复数据，得到涉及学生信息的条数为129561条，其中长春地区（以文件中“学习中心”标签信息进行筛选）学生信息的条数为848条，其他地区学生信息条数为128713条。12、长春市工商行政管理局出具的证明材料证实，长春异展卓越教育信息咨询有限公司2015年4月9日成立，法定代表人为被告人张斌，2017年查询时该公司状态为在营开业状态。13、奥鹏公司的营业执照证实，该公司成立于2003年9月26日，经营范围为远程教育、教学支持服务、培训、开发、生产计算机软、硬件，技术咨询、技术培训、技术开发、技术服务、销售自产产品。14、奥鹏公司出具的证明材料证实，北京地区收到垃圾邮件的学生信息。15、北京市公安局西城分局刑事侦查支队出具的到案经过证明材料1组证实，2017年8月15日，被告人张斌在其住处吉林省长春市宽城区吴中印象二期7栋3单元506室被抓获归案。同年9月22日被取保候审，2018年9月29日被批准逮捕，民警电话通知被告人张斌，其于2018年10月15日到公安机关接受审查。16、北京市公安局西城分局网安大队出具的情况说明证实，被告人张斌的住址吉林省长春市宽城区吴中印象二期7－1－502室是通过该大队前期侦查所获得的IP地址：36.49.78.109，由长春市网安大队协查属地运营商反查落地获取的。17、北京市公安局西城分局警务支援大队出具的工作说明证实，侦查员通过北京奥鹏公司提供的服务器日志进行分析，发现嫌疑人曾使用过7个可疑IP，其中1个IP通过吉林省长春市网安部门协助落地，该IP在案发期间分配给嫌疑人张斌的家中。侦查员又根据嫌疑人在奥鹏公司使用的邮件服务器中留下的大量群发广告中发现留有联系QQ号码，后通过侦查分析发现嫌疑人使用的其他生活QQ，又根据生活QQ进行工作，发现该QQ号的使用人为嫌疑人张斌，而且生活QQ的上线记录与涉案QQ的上线记录和7个可疑IP记录在时间上也高度吻合。以上侦查过程使用了公安机关相关技术手段，无法出具相关证明材料。18、被告人张斌的户籍证明材料证实，被告人张斌的年龄、户籍地等基本身份情况。19、辽宁省抚顺市东洲区人民法院的刑事判决书证实，2012年12月6日被告人张斌因犯非法获取国家秘密罪，被判处有期徒刑十个月，刑期至同年12月14日。被告人张斌的辩护人当庭提交的奥鹏公司官网上2019年网络学历教育东北师范大学招生简章不能证实涉案学生信息是何时录入奥鹏公司系统的，也不能证明被告人张斌是何时获取到涉案学生信息的，故该证据不能达到被告人张斌的辩护人举证的目的。被告人张斌关于其是在奥鹏长春中心工作期间合法获取的涉案公民个人信息的辩解，经查，公诉机关当庭出示的证据均证实，各学习中心只能获取各自招生的信息，被告人张斌不具有查询奥鹏公司全国学生信息的权限，其辩解已被在案证据所否定，本院不予采信。被告人张斌的辩护人关于涉案的公民个人信息是公民提供给奥鹏公司的，被告人张斌是奥鹏公司的工作人员，查询、收集涉案公民个人信息的行为并未侵犯公民的个人隐私权，不构成侵犯公民个人信息罪的辩护意见，经查，涉案的公民个人信息是公民为接受远程教育，便于奥鹏公司进行教学教务管理而提供给奥鹏公司的，被告人张斌为了其个人目的而非法查询、收集、下载这些公民个人信息，该行为与奥鹏公司的教学教务管理无关，且被告人张斌2016年11月8日就已离职，不再是奥鹏公司长春中心的员工，综上，被告人张斌的行为侵犯了公民的个人隐私权，已构成侵犯公民个人信息罪，辩护人的该辩护意见本院不予采纳。被告人张斌的辩护人关于应将被告人张斌有权获得的长春奥鹏的学生信息，以及其任职期内获得的1609批次的信息从犯罪数额中排除的辩护意见，经查，被告人张斌曾是奥鹏长春中心的员工，不排除奥鹏长春中心的学生信息是其工作期间获取的，从有利于被告人的角度可以将两个批次中长春中心的学生信息从犯罪总额中排除，但被告人张斌即使在奥鹏长春中心任职期间，其也无权查询、收集、下载奥鹏公司教学及教务管理系统内的全国学生信息，故不应将1609批次中除长春中心以外的其他地区的学生信息也从犯罪总额中扣除。被告人张斌的辩护人关于被告人张斌当庭如实供述的辩护意见与事实不符，本院不予采纳。被告人张斌的辩护人关于张斌没有将其持有的公民个人信息出售、提供或者扩散给他人，没有造成其他严重后果等其余辩护意见，本院酌予采纳。本院认为，被告人张斌非法获取公民个人信息，情节特别严重，侵犯了公民的人身权利，已构成侵犯公民个人信息罪，应依法惩处。北京市西城区人民检察院指控被告人张斌犯侵犯公民个人信息罪罪名成立。被告人张斌曾因故意犯罪被判处过有期徒刑，刑罚执行完毕后五年内再犯应当判处有期徒刑以上刑罚之罪，系累犯，依法应从重处罚。根据犯罪的事实、犯罪的性质、情节和对于社会的危害程度，依照《中华人民共和国刑法》第二百五十三条之一第三款、第六十五条第一款、第五十二条、第五十三条、第六十四条、第六十一条之规定及最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题解释》第一条、第四条、第五条之规定，判决如下：一、被告人张斌犯侵犯公民个人信息罪，判处有期徒刑三年六个月，并处罚金人民币四千元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2018年10月15日起至2022年3月7日止，先行羁押的三十九日已折抵。罚金在判决生效后三十日缴纳。）二、在案扣押的证物硬盘一个、U盘一个留档保存。如不服本判决，可在接到判决书的第二日起十日内，通过本院或者直接向北京市第二中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本三份。审 判 长  喻晓敏人民陪审员  甘源远人民陪审员  刘海燕二〇一九年九月九日书 记 员  刘 婕