北京市通州区人民法院刑 事 判 决 书（2019）京0112刑初62号公诉机关北京市通州区人民检察院。被告人李威，女，27岁（1992年1月23日出生），蒙古族，出生地内蒙古自治区，大学文化，案发前系某（北京）资产管理有限公司区域经理，住天津市西青区。因涉嫌犯侵犯公民个人信息罪于2018年6月29日被刑事拘留，同年7月12日被逮捕。现羁押于北京市通州区看守所。辩护人刘静，北京市盈科律师事务所律师。辩护人张泉山，北京市盈科律师事务所律师。北京市通州区人民检察院以京通检公诉刑诉（2018）1377号起诉书指控被告人李威犯侵犯公民个人信息罪，于2018年12月27日向本院提起公诉。本院立案后，依法组成合议庭，适用普通程序，公开开庭审理了本案。北京市通州区人民检察院指派检察官周三秋出庭支持公诉，被告人李威及其辩护人刘静、张泉山到庭参加诉讼。证人周某、李某1、李某2、张某1、郭某、马某出庭作证。本案因公诉机关补充侦查延期审理1次，经北京市第三中级人民法院批准延长审理期限1次。现已审理终结。北京市通州区人民检察院指控：2017年4月至2018年6月29日间，被告人李威在北京市通州区北京某生活资产管理有限公司（以下简称某公司）及某（北京）资产管理有限公司（以下简称某公司）任职期间，利用技术手段违规从公司内网系统秘密下载大量客户信息并通过网上购买和交换等方式非法获取公民个人信息，还向他人提供所获得的公民个人信息；2018年6月29日，被告人李威被民警查获，涉案苹果手机1部、U盘1个、苹果笔记本电脑1台被起获，经鉴定，上述起获物品中属公民个人信息的总条数为814369条。公诉机关提供了证人证言、被告人供述、鉴定意见和书证等证据，认为被告人李威违反公国家有关规定，非法获取公民个人信息并提供，情节特别严重，触犯了《中华人民共和国刑法》第二百五十三条之一之规定，构成侵犯公民个人信息罪。提请本院依法惩处。被告人李威在开庭审理过程中承认向他人购买公民个人信息6000余条，但辩称其购买的公民个人信息内容是虚假的，某公司没有规定员工不能下载客户信息，其收集的9万余条客户信息是某公司领导让其收集整理的，目的是用于开展公司业务，其所用的软件功能是实现客户信息的自动复制、粘贴，其余公民个人信息是其在工作过程中与同事相互交换、分享获取的，目的是交叉回访客户，同时，其获取的公民个人信息没有非法出售、提供或扩散，其没有将某公司客户资料发给某公司同事。辩护人刘静、张泉山的辩护意见为：被告人李威通过自动化软件从某公司网站下载的9万余条公民个人信息属于公司内部公开的客户信息，并非公司禁止下载的客户信息，其收集公民个人信息的手段行为没有突破系统权限，没有采用非法侵入、破坏等非法手段，且其收集信息系单位领导安排所为，其收集客户信息、与同事交换客户信息的目的是信息共享、开展业务，即使违反了公司规定也未违反国家有关规定；被告人李威购买、下载、收集的全部公民个人信息都用于开展正常业务，系为合法经营而购买、下载、收集，并未用于其他非法行为，没有侵犯公民信息权，不具有可罚性。同时申请证人马某出庭作证。经审理查明：2015年12月，被告人李威入职某公司，2017年4月2日至10日，被告人李威在担任某公司直收管家期间，使用员工账户、密码登录某公司客户端系统，发现系统存在漏洞可以查看全北京客户信息后，通过自动化软件收集公民个人信息94614条，后被告人李威将上述文件发送给某公司通州区直收经理张某2，张某2将文件发送给某公司直收高级总监张某3，同年5月，某公司业务员李某2向被告人李威申请客户资源，被告人李威将包含上述公民个人信息的文件通过微信发送给李某2。2018年3月，被告人李威因其他违规行为被某公司辞退，当月入职某公司任潞城大区区域总监，2018年4月，被告人李威在入职后将某公司部分客户信息发送给一同入职某公司的同事马某，被告人李威还通过网络以1000元的价格购买公民个人信息6900条。2018年4月，某公司报警；2018年6月29日，被告人李威被民警查获，涉案苹果手机1部、U盘1个、苹果笔记本电脑1台被起获，经鉴定，上述起获物品中存储有大量公民个人信息，总数量为814369条，其中包括上述6900条和94614条公民个人信息。上述事实，有下列证据证实：1、证人周某（某公司职业道德建设中心总监）的证言及某员工惩罚明细证明：某公司是某集团公司的子公司；李威于2015年12月17日入职某公司，先后担任服务管家、综合管家、直收管家和业务经理等，工作地点位于通州区杨庄南里的某公司工作站，2018年3月21日被公司辞退，后到竞争对手某公司担任区域总监。2018年4月3日，某公司通州区运营总监张某1向其反映，其公司员工李某2向张某1举报该公司前业务经理李威通过微信向李某2发送过5个EXCEL表格，内容为某公司的业主合同信息，经其公司内部调查发现，2017年5月，其公司业务员李某2向李威申请业务资源，后李威通过微信向李某2发送5个EXCEL表，名称为：某业主资料（一）（00001058－00019998）（大区－业务组－楼盘）、某业主资料（二）（60040000－60074000）（大区－业务组－楼盘）、某业主资料（三）（60000000－60032199）（大区-业务组－楼盘）、某业主资料（四）（00001058－00019998）（大区－业务组－楼盘）、某业主资料（五）（00001058－00019998）（大区－业务组－楼盘）（以下简称某业主资料（一至五）），5个EXCEL表内容为其公司业主房源信息，包括合同编号、业主姓名、业主手机号、所在区域、房屋所在地址、房屋产权地址、联系人和联系人电话共7万余条，5个表格的信息数据访问时间为2017年4月5日、8日、9日，访问均未经授权，属非法入侵；某公司历来都不允许员工以任何方式下载泄露公司信息，并且全公司都公示了解，李威当时应该是知情的，李威作为业务员无权下载只有查看的权限，某公司员工惩罚明细表明某公司有明确的内部条款禁止一切行为来获取下载公民信息，2016年4月，其公司西北大区总监因为违反某红黄线管理规定中严重损害公司利益中的泄露公司信息资源条款被处以警告处分，后全公司公示并且计入个人档案。其公司对于客户信息的浏览权限都是根据员工自己负责的区域确定的，李威没有权利下载自己负责地区和其他地区的信息，公司没有人要求李威下载这些信息，公司明确禁止员工交换客户信息，某集团的任何一个员工很清晰的知道客户的敏感信息本人是不能获取、记录或者下载的，某系统里是没有下载按钮的，没有下载的功能，属于合同涉及到客户和业主的信息都是敏感信息。2、证人李某1的证言、服务器访问记录证明：其是某公司运维部主管，主要负责某公司服务器维护工作，2018年4月其接到公司指令要求查询涉案5个EXCEL表的来源，“某业主资料（一）”创建日期为2017年4月5日22时43分，涉及业主资料9623条，“某业主资料（二）”创建日期为2017年4月8日17时02分，涉及业主资料19934条，“某业主资料（三）”创建日期为2017年4月5日22时35分，涉及业主资料14832条，“某业主资料（四）”创建日期为2017年4月9日23时21分，涉及业主资料11924条，“某业主资料（五）”创建日期为2017年4月9日23时26分，涉及业主资料18120条，5个表共涉及业主资料7万余条，包含的客户资料覆盖其公司全北京的客户信息，其通过分析2017年4月初的访问日志发现2017年4月2日至10日有大量异常访问请求，123.120.93.120和123.120.71.253这两个IP地址的访问数量明显高于其他地址，其公司员工如果需要查询或下载客户资料均需公司运维部审批，系统展示只能查看不能下载，2017年4月涉案的5个表格均未经过运维部授权审批，其没有收到过李威的下载或查询申请，公司没有人有权限直接从服务器导出客户信息，通过其所在的运维部申请下载必须经过总监审批，但其不清楚数据下载权限的具体规定，也不了解业务员的保密规定。3、证人李某2的证言证明：其是某公司果园工作站的业务员，李威从2017年4月转到通州区公司，负责联系公司的老客户来拓展新客户，帮助老客户将房屋出租给需要租房的人；李威曾提过自己手里有公司老客户的资源，可以直接导成EXCEL表格，其通过公司内部系统只能查看客户信息，不能下载，2017年5月初，其跟李威要业务资源，过了两天，李威约其到通州区华远好天地A座某室土桥工作站，李威用笔记本电脑登录微信发送给其5个EXCEL表格，其当时通过电脑版微信将文件下载并查看，有几万条信息。其只能通过复制粘贴的手段将公司客户信息下载下来，只要正常登录公司系统，就能看见这些客户合同信息，公司领导让业务员制成表格，然后把这些信息都粘贴复制到一个表格上集体回访，然后再交整个的回访记录，张某3让员工回访老业主并交回访记录；公司的系统页面没有下载按钮，但没有说不能下载，公司对查看信息的权限限制没有明文的规定，只有系统的限制，其认为公司员工在系统里能看的都能用；其印象中系统发生过漏洞，业务员可以查看到全国或者全北京的客户信息；其不清楚公司在关于客户个人信息隐私保护方面有什么明文要求，入职培训中也没有具体要求，公司没有明确禁止员工之间分享资料。4、证人张某1的证言证明：其是某公司通州区域总监，主要负责通州区域的公司运营和员工管理，2018年3月，员工李某2反映称担心李威会向现任公司泄露公司业主信息，李某2通过电脑版微信将一个名为“老业主信息”的文件发送给其，其在手机微信上进行接收，其在开会时展示过文件内容，会后将文件发送给了技术部门的负责人，没有发给过其他人。其之前听公司另外一名经理说过李威手里可能有大量老业主信息，其自己只能看到通州区域的业主信息，不能下载，下载需要经过审批，其所在区域管家作业时会被要求把系统内的一些客户信息整理成表格进行回访后上交，在表格中进行统计，其不清楚李威的系统权限能看哪些合同信息，其公司系统经常升级，系统中能点开看的信息，其就认为是公司允许员工看的。5、证人郭某的证言证明：其是某公司O2O平台技术中心总监，负责某租赁相关的所有系统建设工作，技术中心负责整个技术基础建设工作；2017年8月23日，李某1通知其说在后端日志发现有数据爬取行为，通过日志分析锁定是李威的账号进行的爬取行为，其直接停了李威的账号，其找到李威的上级领导张某3，让他去和李威沟通，张某3反馈的结果是李威当着张某3的面把爬取的信息全部删除并且保证不再犯相同错误，其就解了李威的账号，没有通过司法处理这件事；某系统分两部分，服务器端升级之前可以通过漏洞使用爬虫软件获取到全国的客户信息，客户端拥有一些功能模块权限后可以看到全国的客户信息，李威的账号没有客户端系统的全国客户信息查看权限，他是通过服务器端的漏洞使用爬虫软件获取信息，服务器端的日志能证明这个行为是机器所为不是人力能做到的，公司不允许员工通过系统收集、下载客户信息。公司系统的服务器端是有漏洞的，但普通用户无法访问其公司网络，李威抓住漏洞，利用员工权限绕过客户端直接访问服务器端后台数据，这是比较一般的技术行为，她是抓住了技术嗅觉；公司曾经填补过系统漏洞，因为业务变化非常多、非常快，系统经常升级修复漏洞，李威曾经在爬取数据之后提过系统升级的建议，她发现了资产管理系统有地方可以看到全北京信息，建议把权限缩小，李威还曾跟徐镜凯（音）提过说公司系统有很多地方可以看到全北京市的合同，徐镜凯向其反馈，之后就有很多可以看到全北京市合同的系统页面被关闭了；公司的客户数据导出必须走审批流程，由数据中心统一管理核心数据，像联系电话、住址等数据需要做脱敏处理，李威任职时有导出规定，没有脱敏规定，公司不允许员工私自通过客户系统收集和下载客户信息，从相应的网站去抓取任何信息变成自己的内容都是不允许的，就像保障公司财物安全一样，公司不会去发布公告不允许盗窃公司财物；李威没有下载或导出客户信息的权限，否则就不会绕过客户端去爬取信息，李威作为业务员，按照区域可以看到自己服务的客户信息，公司没有是否可以采用复制粘贴或者收集这些客户信息这方面的指导，不管用什么方式怎么获取这些信息，这些信息都是公司的，不是个人的，在信息管理上业务员也不可以和同公司的其他人交换，所以才区分权限。6、证人张某3的证言证明：2017年4月时其是某公司的直收高级总监，李威当时是直收管家，负责收房，2017年4月中旬，张某2对其说李威可以把公司内部人员都能看到的业主信息导出，其就让张某2微信发给其，张某2给其发了5个EXCEL表格，收到后其将张某2负责的区域业主信息挑选出来通过微信发给张某2，之后将表格删除，没有泄露给公司以外的人。2017年8月23日傍晚，郭某给其打电话说系统检测到李威的账号有爬取数据的行为，他已经将李威的账号封了，他让其去找李威删掉那些爬取的信息，其挂电话之后就给李威打电话，其问李威有没有爬取信息的行为，李威说有，然后其责令她马上把爬取的信息删除掉，李威也在电话里答应删除掉爬取的信息，第二天中午，其向郭某反馈了结果，郭某就把李威的账号解封了。7、证人张某2的证言证明：其是某公司通州区直收经理，其负责通州区域直收团队的收房、出房业务，2017年一次开会时，李威提出可以通过某某内部网站漏洞将资料导出而方便工作，之后其微信接到了李威通过微信发送的EXCEL表格，里面显示的是直收业务部门所有业主资料信息，是五环以外的北京市区域，不包含延庆平谷，其收到后就转给了业务总监张某3，张某3按照每个经理负责区域将相应区域的客户资料返还给经理，其不清楚李威如何获得资料，除了张某3，其没有再把资料发给其他人；李威因为在房源宝系统里占坑，恶意录入业主信息，导致其他业务员无法与该楼盘的业主谈业务，最后因违反某公司房源宝规定被辞退。8、证人马某的证言证明：其是某公司收房主管；李威在某时是直收业务经理，有权查看自己所属区域的房源信息，其当时也是某公司直收经理，李威曾说自己有技术可以看到超出自己权限的房主信息，当时系统没有更新，可以看到全北京的信息，包括房主的姓名、手机号、身份证号、银行卡开户行及卡号、紧急联系人的姓名电话、房子的地址和户型图等，房主信息一部分来自某公司，剩下是从别的途径获得；2018年3月20日，其和李威因为违反某公司规定恶意抢占资源被辞退，李威带着自己的一个团队来到蛋壳公寓公司并且升职，其和李威一起到了蛋壳公寓通州区潞城大区上班；李威曾给过其纸质版信息，其拿到业主信息之后联系业主沟通业务，其微信号为×××。某公司对权限如何规定其不清楚或者是没有明确规定，其曾经互相传过资料，实际作业中交换资料非常常见，公司领导明确说过让业务员交换资料互相回访，公司没有明确规定说不能下载哪些资料、哪些资料不能看，下载信息不需要审批，可以直接下载。9、证人朱某的证言、某公司出具的工资单、中信银行账户交易明细证明：其是某公司对外事务部职员，李威于2018年3月22日入职某公司，在北京市通州区潞城大区任区域总监，李威自2018年3月开始在其公司领取工资，工资是按照李威手下组员的业绩计算提成。10、被告人李威的供述证明：其现任某公司区域经理；2017年4月，其在某公司担任管家，管家有登录公司系统的账号，其使用账号登录公司旧的配置系统，发现系统有漏洞，可以随意查看客户信息，其在互联网上下载了八爪鱼软件，用这个软件下载了某内部的客户信息，这些信息包括合同编号、业主姓名、业主电话、房屋地址等，其一共下载了5个EXCEL表格并命名为“老业主信息”，其将表格存在笔记本电脑和优盘里，将表格中有关通州区的业主资料整理发给当时的经理张某2，由经理发给新入职员工，让他们电话回访老业主维护关系，让老业主推荐新房源获取业绩，之后，其没再下载过信息。其下载信息是为了维护老客户关系，其可以给客户打电话，让老客户给其推荐新的房源，其就能有业绩；其曾将表格发给了李某2，当时李某2想要某个楼盘信息，其懒得筛选，就直接把其下载的5个EXCEL表格压缩成一个压缩包通过微信发送给李某2，没有给过其他人；其给过下属客户信息，也给过马某一些公民信息，信息内容有业主姓名、电话及房屋住址，给马某信息是为了让他分发给员工跑业务；其电脑和U盘里有很多EXCEL表格，都是公民信息，包括姓名、电话和房屋地址。2018年3月，其从某公司离职时，公司没有要求其上交公司资料，其知道某公司要开除其，其就和某公司联系，在和某公司解除劳动合同之前就和某公司谈好了，因为某公司的业务和某公司的业务是同领域，其和某公司谈时说过自己在某公司有过任职经历，还给对方展示在某公司的业绩排名，其还跟对方说自己能带几个员工过来，对方就同意给其区域经理的职务，其没有向新公司透露过其有某公司的客户资料。其在网上买了五六千条公民信息，2018年4月份左右，其与微信号×××、微信名为“及时行乐”的人联系，对方问其要不要资料，其通过支付宝给对方转账1000元，对方通过某@qq这个账号给其某1@qq.com的邮箱发了几个表格文件，有姓名、电话、有的有地址，对方发给其的信息应该存放在其手机上了，其微信号为×××。11、公安机关出具的辨认笔录证明：经过对不同女性照片进行辨认，李某2指认出李威。12、微信聊天记录、支付宝转账记录证明：2017年4月2日，张某2在通州直收闲聊群中提到“系统调完后就看不到业主资料了，所以这一两天把聚焦盘资料、老业主资料搞到手”；2017年4月10日，张某2通过微信向张某3发送某业主资料（一至五）的文件；2017年5月27日，李威通过微信向李某2发送某业主资料（一至五）的文件；2018年4月8日，李威通过微信向马某发送名为“通州2月商机”的表格文件；李威与微信名为“及时行乐”的人微信聊天购买通州地区业主资料并向对方付款1000元的过程。13、某公司报案材料证明：（一）2018年3月29日，李某2向张某1举报称李威曾向其发送含有某业主信息和公司交易数据的表格文件，其中包含公民个人信息，其内容已经完全超越李威职权权限应获得信息范围，李某2将上述表格文件通过微信发送给张某1，张某1将此事上报；（二）2018年4月，公司委托广东中科司法检验所出具的检验报告，证实李某2的小米手机中有与李威传输业主房源信息的表格和聊天记录，张某1与李某2有传输业主房源信息的表格和聊天记录；（三）公司通过内部调查发现，李威工作期间在无授权情况下利用技术手段通过远程连接的方式，非法窃取公司服务器上存储的大量房源信息和交易数据；（四）李威辞职后到竞业公司担任区域总监。另经过分析，某业主资料（一至五）文件的创建日期为2017年4月9日。14、劳动合同书、某红黄线管理规定、营业执照证明：李威于2015年12月17日入职某公司并签订劳动合同，合同中规定乙方不得泄露、传播、公布、发表、转让或以其他任何方式使任何第三方知悉属于甲方或属于他人但甲方承诺有保密义务的行业信息或其他商业秘密，也不得在履行职务之外使用这些秘密；无论甲乙双方因何种原因解除劳动合同，乙方离职后在甲方保密信息未被公开前仍应当保守在职期间接触知悉的属于甲方或虽属于第三方但甲方承诺有保密义务的商业秘密，承担同在甲方任职期间一样的保密义务；乙方因职务上的需要所持有或保管的一切记录秘密信息的文件、资料、图标、笔记、报告、信件、传真、磁带、仪器以及其他任何形式的载体均归甲方所有，无论这些秘密信息有无商业上的价值，乙方离职时或甲方提出请求时，返还属于甲方并载有甲方秘密信息的一切载体，不得将这些载体及复制件擅自保留或交给其他任何人。15、公安机关出具的搜查笔录、扣押决定书、扣押清单、扣押笔录、发还清单、视听资料证明：民警对李威暂住地进行搜查，发现并扣押银色苹果笔记本电脑1台，并在李威处扣押白色苹果手机1部、金士顿U盘1个，在张某2处扣押黑色苹果手机1部、在张某3处扣押金色华为手机1部，后将张某2、张某3的手机发还。16、北京通达法正司法鉴定中心出具的司法鉴定意见书及工作说明证明：经对李某2使用的联想笔记本电脑和小米手机进行鉴定，均获取到名为“某业主资料（一至五）”的包含公民个人信息的文件，公民信息总条数为94614条，在微信聊天记录中显示，李威将上述文件发送给李某2的时间为2017年5月27日18时24分。经对张某1的苹果手机进行鉴定，张某1手机中李某2发给其的某业主资料与李某2笔记本电脑中的某业主资料完全一致，发送时间为2018年3月30日。经对李威的苹果手机、苹果笔记本电脑、U盘进行鉴定，均获取到大量表格文件，共计1868个，以姓名对应的电话号码为标准进行排除重复性筛选，公民个人信息总条数为814369条；经对李威手机中QQ邮箱2018年4月16日接收到“某2@qq.com/深碍@”发来的邮件中6个表格文件涉及姓名+手机号的文件进行统计，共获取到个人信息6900条。经对张某3的华为手机进行鉴定，张某2于2017年4月10日向张某3发送“某业主资料（一至五）”的文件。17、公安机关出具的接报案经过、到案经过、破案经过证明：周某向公安机关报警的情况、民警将李威抓获的情况及案件侦破情况。18、公安机关出具的户籍信息证明：李威的出生日期、民族、住址等自然身份情况。上述证据经当庭质证，对于证人周某、李某1、张某1、郭某的证言等证据中关于某公司有规定员工不能下载、收集、交换客户信息方面的内容，因无其他证据佐证，且与在案其他证据矛盾，故本院不予确认；其他证据能够相互印证，本院予以确认。本院认为，被告人李威法律观念淡薄，违反国家有关规定，非法购买、向他人提供公民个人信息，情节严重，其行为已构成侵犯公民个人信息罪，依法应予惩处。公诉机关指控的罪名成立。被告人李威向他人购买公民个人信息、在从某公司离职后将某公司公民个人信息提供给马某的行为具有非法性，上述两部分侵犯公民个人信息的犯罪事实本院予以认定，但被告人李威作为某公司员工，利用账号、密码登录公司系统，通过自动化软件收集公民个人信息的行为不具有非法性，并未违反国家有关规定，本案现亦无充分证据证明被告人李威手机、电脑内存储的其他公民个人信息系非法获取或向他人非法提供，故上述两部分事实本院不予认定，公诉机关对被告人李威犯侵犯公民个人信息罪系情节特别严重的认定，缺乏法律依据，本院不予支持。被告人李威到案后如实供述主要犯罪事实，依法可以从轻处罚。对于被告人李威提出的“其没有将某公司客户信息发给某公司同事”的辩解意见及其辩护人提出的相关辩护意见，经查，上述意见与本院查明的犯罪事实相悖，故本院不予采纳；对于辩护人提出的“被告人李威系为合法经营活动而非法购买公民个人信息”的相关辩护意见，因未提供充分证据予以证实，故本院不予采纳。被告人李威提出的辩解意见及辩护人提出的其他辩护意见本院酌予采纳。综上，本院根据被告人李威犯罪的事实、性质、情节及对于社会的危害程度等，依照《中华人民共和国刑法》第二百五十三条之一第一款、第三款、第六十七条第三款、第六十一条、第四十五条、第四十七条、第五十二条、第五十三条、第六十四条和最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条、第二条、第三条、第四条、第五条第一款第五项、第十二条之规定，判决如下：一、被告人李威犯侵犯公民个人信息罪，判处有期徒刑一年六个月，并处罚金人民币二千元（刑期从判决执行之日起计算，判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2018年6月29日起至2019年12月28日止；罚金自判决生效之日起7日内缴纳）。二、扣押在案的苹果手机一部、U盘一个、苹果笔记本电脑一台，予以没收。如不服本判决，可在接到判决书的第二日起十日内，通过本院或者直接向北京市第三中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本一份。审 判 长  赵程宇人民陪审员  雷瑞芬人民陪审员  王 萌二〇一九年十二月九日法官 助理  杨月兰书 记 员  王 峥