江苏省无锡市中级人民法院刑 事 判 决 书(2019)苏02刑终528号原公诉机关无锡市惠山区人民检察院。上诉人（原审被告人）周昊，男，1989年1月6日出生于江苏省苏州市，汉族，大学本科文化，捕前在苏州柯艾贸易有限公司工作，住苏州市。因涉嫌犯侵犯公民个人信息罪于2018年10月11日被刑事拘留，同月17日被无锡市公安局惠山分局取保候审，2018年12月11日经无锡市惠山区人民法院决定继续取保候审，2019年9月10日经无锡市惠山区人民法院决定逮捕并由无锡市公安局惠山分局执行。现羁押于无锡市第二看守所。辩护人冯玉平，江苏海辉律师事务所律师。无锡市惠山区人民法院审理无锡市惠山区人民检察院指控被告人周昊犯侵犯公民个人信息罪一案，于2019年9月10日作出（2018）苏0206刑初711号刑事判决。判决后，原审被告人周昊不服，提出上诉。本院于2019年10月16日立案，并依法组成合议庭，经过阅卷，讯问上诉人，听取江苏省无锡市人民检察院及辩护人意见，认为事实清楚，决定不开庭审理。现已审理终结。原审判决认定：2017年至2018年间，被告人周昊通过购买非法软件获取、在黑客网站或论坛下载或直接购买等方式非法获取公民个人信息数量达2700余万条。具体分述如下：1.2018年5至6月间，被告人周昊向付志强（已判刑）购买了一款针对某金融机构的网页端口的非法软件，后利用该软件非法获取该金融机构用户姓名和手机号码对应的公民个人信息2437294条。2.2018年7至8月间，被告人周昊向付志强购买了一款针对百度贴吧网页端口的非法软件，后利用该软件获取百度贴吧用户昵称和手机号码对应的公民个人信息869927条。3.2018年10月11日，公安机关在苏州市工业园区湖畔花园1幢2201室将被告人周昊抓获，当场查扣了电脑、移动硬盘等存储介质，并从上述设备中提取了大量文件数据。公安机关提取发现，其移动硬盘内的【待整理】、【网盘自挖数据】、【未解之谜】、【已整理】、【照片】及社工库文件夹中有大量公民个人信息数据，经进一步比对发现，其中：（1）【网盘自挖数据】与【已整理】文件夹数据重合。（2）【未解之谜】大小73GB，包含6个子文件夹，其中涉及公民个人信息的文件夹为：“104W白领信息姓名+手机+生日+文化水平等等”因压缩文件需密码才能打开，故无法看内部具体组成及数据情况。“全国车主名录（23G）”大小为2.35GB，因文件过大、无法打开，但根据压缩包内的说明，该文件与【待整理】中的“全国车主名录（26.9G）”文件内容一致。（3）【待整理】大小为39.1GB，包含7个子文件夹，其中涉及公民个人信息的文件夹为：“360网盘-10000多条个人联系方式+SFZ号信息”内有姓名+身份证号码+手机号码组成的公民个人信息11416条。“360网盘-教师数据库123”，内有包括姓名+通讯地址+联系电话等组成的公民个人信息31905条。“12306_邮箱-密码-姓名-sfz-手机.txt.txt”等多个文件，内有12306账号+姓名+身份证号码+联系电话等组成的公民个人信息，大小为4.93G，因数据量过大，无法确认具体数字，抽取其中名为“12306哦”的文件，内有数据378025条，经审查其中129303条与【已整理】中的“12306_13W_邮明名份账手_TXT”重复。“全国车主名录（26.9G）”内有车牌号码+姓名+身份证号码+联系电话等组成的公民个人信息，大小为17.9G，因数据量过大，无法确认具体数字，抽取其中名为“安徽合肥车主名录”的文件，大小为1.9M，内有数据15499条。“智联招聘_MDB”内有包括姓名+出生年月+身份证号码+联系电话+学历+收入等组成的公民个人信息，大小为1.07GB，共有个人信息2441954条。（4）【已整理】大小为35GB，包含53个子文件夹，其中包含公民个人信息的数据17个文件夹，其中涉及公民个人信息的文件夹为：“电视购物_2006_5W_名手机购时_XLS”由姓名+电话+地址等内容组成，共计50044条。“交警信息_951_司名电手_XLS”由地址+姓名+电话等内容组成，共计951条。“身份证号信息_1W_份名手_XLS”由姓名+身份证号码+手机等内容组成，共计11416条，与【待整理】中的“360网盘-10000多条个人联系方式+SFZ号信息”重合。“外企采购信息_2013-2015_XLS”由姓名+地址+联系电话等内容组成，该文件夹大小为1.60GB，抽取其中一个文件夹“376宁波狮威特电气科技有限公司_第三批”大小为79KB，内有数据50条。“12306_13W_邮明名份账手_TXT”由邮箱+密码+姓名+身份证号码+手机号等内容组成，共计129303条。“大学生数据_36W_名性份族校XLSX”由姓名+性别+身份证号+民族+学历+毕业学校+电话+邮箱组成，共计350626条。“合肥工业大学_名专时手址XLS”由姓名+身份证号码（不全）+学科+手机号码+地址等内容组成，共计449条。“辽源市实验中学13级学生信息_学份名班族性籍手址监_XLS&DOC”内有多个子文件夹，由姓名+身份证号码+民族+班级名称等内容组成，共计1412条。“辽源市实验中学14级学生信息_学份名班族性籍手址监_XLS&DOC”内有多个子文件夹，由姓名+身份证号码+民族+班级名称等内容组成，共计1451条。“平顶山教育学院14级学生信息1364名性份校专手班XLSX”由姓名+性别+身份证号码联系电话等内容组成，共计1363条。“如家_2KW_名份性生编手邮_CSV&BAK”内含多个子文件夹，由姓名+身份证号码+手机号+地址等内容组成，共计20051429条。“山东商业职业技术学院女生_邮明名性份专TXT”由姓名+性别+学历+学校+专业等内容组成，共计768条。“淘宝买家数据_jianwenbin00_账支名址手时产_CSV”内含多个子文件夹，由买家会员名+买家支付宝账户+收货人+收货人地址+联系电话等内容组成，共计634474条。“淘宝买家数据_sky醉易寒_账支名址手时产_CSV”内含多个子文件夹，由买家会员名+买家支付宝账户+收货人+收货人地址+联系电话等内容组成，共计32269条。“淘宝买家数据_uz…ang_账支名址手时产_CSV”由买家会员名+买家支付宝账户+收货人+收货人地址+联系电话等内容组成，共计8178条。“淘宝买家数据_wsn788zd_账支名址手时产_CSV”内含多个子文件夹，由买家会员名+买家支付宝账户+收货人+收货人地址+联系电话等内容组成，共计2751条。“西安邮电大学计算机学院学生信息11-13级_名性份族专班址手籍照_XLS&JPG”内有多个子文件夹，由考生姓名+身份证号码+住址+联系电话等内容组成，共计1463条。（5）【照片】内有40组公民身份证照片及手持照片。（6）社工库文件夹大小为85.9GB，包含6个文件夹，其中涉及公民个人信息的文件夹为：“各种裤子”内有开房数据库、其他数据库、手机数据库、学生数据库，均包含姓名+地址等信息，该四个数据库的大小为1.6GB，其中抽取“手机数据库-联通用户资料全集-广州联通49W-白云区”大小为7205KB，内有数据43165条。借贷宝内有各类女生裸贷照片，约300余条，因涉及隐私公安机关未作截图处理，故公诉机关未将该部分信息条数计入指控数据。上述数据经抽样、去重后整理共计24059682条，系被告人周昊于2017年至2018年间，在网络上通过向他人购买、下载和通过软件获取等方式非法取得。以上事实，有原审法院经过庭审质证的被告人周昊和涉案人员付志强、彭德龙的供述及辨认笔录，证人单某、纪某、李某等人的证词笔录，聊天记录、情况说明，支付记录和照片，公安机关的搜查笔录、扣押决定书、扣押清单、电子证据检查工作记录以及《刑事案件的侦破、揭发经过》等证据证实。原审法院认为：被告人周昊违反国家有关规定，通过非法软件获取、黑客论坛下载或者购买等方式非法获取公民个人信息2700余万条，其行为已构成侵犯公民个人信息罪，属情节特别严重。被告人周昊归案后能如实供述主要犯罪事实，可从轻处罚。依照《中华人民共和国刑法》第二百五十三条之一第一、三款，第六十七条第三款，第六十四条及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条、第五条、第十一条之规定，以侵犯公民个人信息罪，判处被告人周昊有期徒刑三年六个月，并处罚金人民币五千元；扣押在案的作案工具电脑主机1台、笔记本电脑1台、移动硬盘1只予以没收。上诉人周昊提出的上诉理由是：1、原审判决认定事实不清，涉案个人信息不等同于法律上的“公民个人信息”；2.其检举QQ名称“Deron”和百度IDlia****9149及地址链接的行为应构成立功；3.原审判决量刑过重。请求二审依法改判，对其适用缓刑。辩护人提出的辩护意见是：1.上诉人周昊检举揭发周清旺的犯罪行为应认定为立功；2.涉案公民个人信息未被用于犯罪活动，不存在实际受害人，社会危害性相对较小；3.上诉人周昊儿女均年幼，需要照顾。请求二审依法改判，对上诉人周昊适用缓刑。江苏省无锡市人民检察院阅卷后的意见是：原判认定的事实清楚，证据确实、充分，定罪准确，量刑适当，审判程序合法，应予维持。经审理查明：2017年至2018年间，上诉人周昊通过购买非法软件获取、黑客网站和论坛下载或者从他人处直接购买等方式非法获取公民个人信息达2700余万条。另查明：上诉人周昊于2019年3月1日向公安机关举报称其在百度网站上搜索到百度网盘ID为“lia****9149”，百度网盘地址为“https：//pan.baidu.com/s/1eQ113sY”,该地址内有“1230614M裤子.txt”文件，涉及公民个人信息。公安机关经侦查发现该网盘地址为可分享链接，点击进入后可直接下载“1230614M裤子.txt”文件，经与百度公司协作得知百度网盘ID的全称“liang149149”及网盘用户手机号码等信息，进而通过侦查手段确认真实身份为周清旺，发现活动轨迹后在山东省国税局将周清旺抓获。经清点，“1230614M裤子.txt”文件共涉及公民个人信息131653条。目前，周清旺侵犯公民个人信息一案在无锡市惠山区人民法院审理过程中。上述事实，有原审法院经过当庭质证后所认定的证据证实。本院确认原判决认定的证据均具有证明效力。本院认为：上诉人周昊违反国家规定，以非法方式获取公民个人信息，其行为确已构成侵犯公民个人信息罪，且属于情节特别严重。关于上诉人周昊及其辩护人提出的主要上诉理由和辩护意见，本院认为：1.上诉人周昊非法获取的个人信息包括姓名、身份证件号码、通信通讯联系方式、住址等信息，符合《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条关于公民个人信息范围的规定。2.上诉人周昊向公安机关提供上家彭德龙的QQ号等情况，系其应当如实供述的犯罪事实。上诉人周昊提供周清旺的百度网盘ID及含有可分享公民个人信息文件的百度网盘地址，为公安机关侦破周清旺侵犯公民个人信息一案提供了重要线索，经查证属实，符合立功的法律规定。3.鉴于上诉人周昊侵犯的公民个人信息达2700余万条，其中有72.7万余条属于可能影响人身、财产安全的交易信息，其余为普通公民个人信息，远远超过侵犯公民个人信息罪“情节特别严重”的数量标准，故不能对其判处缓刑。综上，原审法院审判程序合法，认定事实清楚，证据确实、充分，但鉴于二审期间上诉人周昊有立功表现，本院决定对其予以从轻处罚。据此，依照《中华人民共和国刑事诉讼法》第二百三十六条第一款第（二）项，《中华人民共和国刑法》第二百五十三条之一第一、三款，第六十七条第三款，第六十八条，第六十四条及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条、第五条、第十一条之规定，判决如下：一、维持无锡市惠山区人民法院（2018）苏0206刑初711号刑事判决第一项中对上诉人周昊的定罪部分和第二项判决，撤销第一项判决中对上诉人周昊的量刑部分。二、上诉人(原审被告人)周昊犯侵犯公民个人信息罪，判处有期徒刑三年（刑期从判决执行之日起计算，判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2019年9月10日起至2022年9月2日止），并处罚金人民币五千元(罚金自本判决生效之日起十日内缴纳)。本判决为终审判决。审 判 长  韩 锋审 判 员  马小卫审 判 员  周 华二〇一九年十二月十二日法官助理  杨 柳书 记 员  杨 斌本案援引法律条款《中华人民共和国刑事诉讼法》第二百三十六条第一款第（二）项第二审人民法院对不服第一审判决的上诉、抗诉案件，经过审理后，应当按照下列情形分别处理：（二）原判决认定事实没有错误，但适用法律有错误，或者量刑不当的，应当改判；《中华人民共和国刑法》第二百五十三条之一违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。第六十七条犯罪以后自动投案，如实供述自己的罪行的，是自首。对于自首的犯罪分子，可以从轻或者减轻处罚。其中，犯罪较轻的，可以免除处罚。被采取强制措施的犯罪嫌疑人、被告人和正在服刑的罪犯，如实供述司法机关还未掌握的本人其他罪行的，以自首论。犯罪嫌疑人虽不具有前两款规定的自首情节，但是如实供述自己罪行的，可以从轻处罚；因其如实供述自己罪行，避免特别严重后果发生的，可以减轻处罚。第六十八条犯罪分子有揭发他人犯罪行为，查证属实的，或者提供重要线索，从而得以侦破其他案件等立功表现的，可以从轻或者减轻处罚；有重大立功表现的，可以减轻或者免除处罚。第六十四条犯罪分子违法所得的一切财物，应当予以追缴或者责令退赔；对被害人的合法财产，应当及时返还；违禁品和供犯罪所用的本人财物，应当予以没收。没收的财物和罚金，一律上缴国库，不得挪用和自行处理。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。第五条非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；（七）违法所得五千元以上的；（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；（十）其他情节严重的情形。实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；（二）造成重大经济损失或者恶劣社会影响的；（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；（四）其他情节特别严重的情形。第十一条非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。