江苏省江阴市人民法院
刑 事 判 决 书
(2016)苏0281刑初2596号
公诉机关江苏省江阴市人民检察院。
被告人梁城，男，1995年12月15日生，汉族，大专在读，重庆市电子工程职业学院学生，户籍所在地重庆市江津区。住重庆市沙坪坝区。2016年6月17日因涉嫌犯侵犯公民个人信息罪被江阴市公安局刑事拘留，同年7月21日被逮捕。现羁押于江阴市看守所。
辩护人方莉娜，江苏大桥律师事务所律师。
江苏省江阴市人民检察院以澄检诉刑诉（2016）2506号起诉书指控被告人梁城犯非法控制计算机信息系统罪、侵犯公民个人信息罪，于2016年12月29日向本院提起公诉。本院受理后，经审查于同日立案，适用简易程序进行审理。因案情疑难复杂，于2017年1月18日转为普通程序，并组成合议庭，于2017年6月15日公开开庭进行了审理。江阴市人民检察院指派检察员张庆苗出庭支持公诉，被告人梁城及辩护人方莉娜到庭参加诉讼。江阴市人民检察院以补充侦查为由建议本案延期审理。本院同意延期审理现已审理终结。
江苏省江阴市人民检察院指控：
一、非法控制计算机信息系统
被告人梁城于2015年4月以来，违反国家规定，在未经网站授权的情况下，采用黑客手段扫描网站漏洞后植入木马病毒等手段入侵网站，并利用“caidao.exe”软件对“http：//120.nfm-
gz.com/uploads/yijuhua.php”、“http：//222.180.129/（wwzurg550vnko145-pdxprmik）/wbwj/123.aspx”、“http：//bjbnmn.com/\\\admin\\\Data-
backup\\\sss.asp”、“http：//hbmhg.com/UploadFiles/1.aspx”等共计75个网站服务器进行非法控制。
二、侵犯公民个人信息
被告人梁城于2016年4月至5月期间，采用“反序列化漏洞利用”、“S扫描器”等软件入侵网站的方式，非法获取公民个人信息共计329041条。后被告人符某将其中共计5336条贩卖给邱某（另案处理），非法获利人民币900元。具体犯罪事实分述如下：
1.被告人梁城于2016年4月13日，采用“反序列化漏洞利用”、“S扫描器”等软件入侵网站的方式，非法获取公民个人信息共计33892条，并以文件名1.txt（包含公民个人信息8192条）、t.html（包含公民个人信息25700条）保存在其持有的笔记本电脑中。
后被告人梁城将该数据进行筛选整理，并分别于2016年4月13日、4月14日，分别以文件名hunan.html（包含公民个人信息1601条）、jiangxi.html（包含公民个人信息470条）、guizhou.html（包含公民个人信息293条）、guangzhou.html（包含公民个人信息792条）的形式，将其中3156条公民个人信息贩卖给邱某。被告人梁城从中非法获利人民币500元。
2．被告人梁城于2016年4月16日，采用上述同样方式，非法获取公民个人信息数据共计7249条，并以文件名1.html保存在其持有的笔记本电脑内。
3.被告人梁城于2016年5月27日，利用上述同样方式，非法获取公民个人信息数据共计256786条，并以文件名4.xlsx保存在其持有的笔记本电脑内。
同年5月29日，被告人梁城将上述数据整理后，以文件名为shanghaitest.rar（包含公民个人信息840条）、beijingtest.rar（包含公民个人信息843条）、test.rar（包含公民个人信息497条）的形式，将其中2180条公民个人信息贩卖给邱某。
4．被告人梁城于2016年5月12日，利用帮助重庆市电子工程职业学院检测漏洞的便利，从学校网站内非法获取公民个人信息数据共计31114条，并将上述数据保存在自己笔记本电脑内。
检察机关就上述指控提供了相应证据予以证明。公诉机关认为，被告人梁城的行为已触犯《中华人民共和国刑法》第二百八十五条第二款、第二百五十三条之一第一、三款之规定，应当以非法控制计算机信息系统罪、侵犯公民个人信息罪追究刑事责任。建议本院依法判处。
被告人梁城当庭对指控的犯罪事实未提出实质性异议。
被告人梁城的辩护人提出：被告人梁城没有对所控制网站修改等破坏行为，侵犯公民个人信息获利较少，认罪态度好，系坦白，系初犯、偶犯，案发前表现一贯良好，建议根据从旧兼从轻原则，对被告人梁城减轻处罚。
经审理查明：
一、非法控制计算机信息系统
被告人梁城于2015年4月以来，违反国家规定，在未经网站授权的情况下，采用黑客手段扫描网站漏洞后植入木马病毒等手段入侵网站，并利用“caidao.exe”软件对“http：//120.nfm-
gz.com/uploads/yijuhua.php”、“http：//222.180.129/（wwzurg550vnko145-pdxprmik）/wbwj/123.aspx”、“http：//bjbnmn.com/\\\admin\\\Data-
backup\\\sss.asp”、“http：//hbmhg.com/UploadFiles/1.aspx”等共计75个网站服务器进行非法控制。
上述事实，有公诉机关提交，并经法庭质证、认证的下列证据予以证实：
1、江阴市公安局制作的搜查笔录及照片、扣押决定书及扣押物品清单，证明公安机关在被告人梁城住处进行搜查及扣押情况。
2、电子证据检查工作记录、远程勘验工作记录，证明对扣押的电脑、硬盘、手机等进行电子证据恢复、提取、固定情况。
3、江阴市公安局制作及收集的刑事案件侦破经过及抓获经过，证明案发及被告人归案的经过情况。
4、人口信息及电话查询记录，证明被告人梁城的身份情况。
5、被告人梁城的供述；
二、侵犯公民个人信息
被告人梁城于2016年4月至5月期间，采用“反序列化漏洞利用”、“S扫描器”等软件入侵网站的方式，非法获取公民个人信息共计329041条。后被告人符某将其中共计5336条贩卖给邱某（已判刑），非法获利人民币500元。具体犯罪事实如下：
1、被告人梁城于2016年4月13日，采用“反序列化漏洞利用”等软件入侵网站的方式，非法获取公民个人信息共计33892条，并以文件名1.txt（包含公民个人信息8192条）、t.html（包含公民个人信息25700条）保存在其持有的笔记本电脑中。
被告人梁城将该数据进行筛选整理后，于2016年4月13日、4月14日，分别以文件名hunan.html（包含公民个人信息1601条）、jiangxi.html（包含公民个人信息470条）、guizhou.html（包含公民个人信息293条）、guangzhou1.html（包含公民个人信息792条）的形式，将其中3156条公民个人信息贩卖给邱某。被告人梁城从中非法获利人民币500元。
2、被告人梁城于2016年4月16日，采用上述同样方式，非法获取公民个人信息数据共计8494条，并以文件名1.xls保存在其持有的笔记本电脑内。
3、被告人梁城于2016年5月27日，利用上述同样方式，非法获取公民个人信息数据共计256786条，并以文件名4.xlsx保存在其持有的笔记本电脑内。
同年5月29日，被告人梁城将上述数据整理后，以文件名为shanghaitest.rar（包含公民个人信息840条）、beijingtest.rar（包含公民个人信息843条）、test.rar（包含公民个人信息497条）的形式，将其中2180条公民个人信息发送给邱某。
4、被告人梁城于2016年5月12日，利用帮助重庆市电子工程职业学院检测漏洞的便利，从学校网站内非法获取公民个人信息数据共计31114条，并将上述数据保存在自己笔记本电脑内。
在本案审理期间，被告人梁城退出违法所得人民币500元。
上述事实，有公诉机关提交，并经法庭质证、认证的下列证据予以证实：
1、银行卡交易明细，证明资金往来情况。
2、江阴市公安局制作的搜查笔录及照片、扣押决定书及扣押物品清单，证明公安机关在被告人梁城住处进行搜查及扣押情况。
3、电子证据检查工作记录，证明对扣押的电脑、硬盘、手机等进行电子证据恢复、提取、固定情况。
4、江阴市公安局制作的数据清点、数据抽样工作记录，证明侵犯公民个人信息的数量。
5、罚没缴款书，证明被告人梁城退出违法所得情况。
6、江阴市公安局制作及收集的刑事案件侦破经过及抓获经过，证明案发及被告人归案的经过情况。
7、被告人梁城的供述；
本院认为，被告人梁城违反国家规定，对计算机信息系统进行非法控制，情节严重；违反国家有关规定，非法获取及向他人出售公民个人信息，情节特别严重，其行为确已构成非法控制计算机信息系统罪、侵犯公民个人信息罪，应数罪并罚。被告人梁城归案后能如实供述犯罪事实，当庭自愿认罪，涉案违法所得已退缴，依法予以从轻处罚。公诉机关指控被告人梁城犯非法控制计算机信息系统罪、侵犯公民个人信息罪的事实清楚，证据确实、充分，指控的罪名正确，予以采纳。关于被告人梁城的辩护人提出“根据从旧兼从轻原则，对被告人梁城减轻处罚”的辩护意见，经查，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》颁布实施后，应当适用该解释的规定，辩护人提出的上述辩护意见无法律依据，不予采纳；对于其他建议从轻处罚的辩护意见，经查，与本案案情相符，予以采纳。据此，依照《中华人民共和国刑法》第二百八十五条第二款、第二百五十三条之一第一、三款、第六十七条第三款、第六十九条第一款、第三款及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第一款第（五）项、第二款第（三）项及《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条第一款第（三）项之规定，判决如下：
被告人梁城犯非法控制计算机信息系统罪，判处有期徒刑一年，并处罚金人民币六千元；犯侵犯公民个人信息罪，判处有期徒刑三年三个月，并处罚金人民币二千元，决定执行有期徒刑三年六个月（刑期从判决执行之日起计算；判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2016年6月17日起至2019年12月16日止），并处罚金人民币八千元（罚金于本判决发生法律效力第二日起十日内一次性缴纳）。
如不服本判决，可在接到本判决书的第二日起十日内，通过本院或者直接向无锡市中级人民法院提出上诉。书面上诉的，应提交上诉状正本1份，副本2份。
（此页无正文）
审 判 长 ＸＸ星
人民陪审员 倪志强
人民陪审员 姚耀芬
二〇一七年七月七日
书 记 员 严刘燕
本案援引法律条款
《中华人民共和国刑法》：
第二百八十五条第二款违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
第二百五十三条之一第一款违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
第三款窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
第六十七条第三款犯罪嫌疑人虽不具有前两款规定的自首情节，但是如实供述自己罪行的，可以从轻处罚；因其如实供述自己罪行，避免特别严重后果发生的，可以减轻处罚。
第六十九条判决宣告以前一人犯数罪的，除判处死刑和无期徒刑的以外，应当在总和刑期以下、数刑中最高刑期以上，酌情决定执行的刑期，但是管制最高不能超过三年，拘役最高不能超过一年，有期徒刑总和刑期不满三十五年的，最高不能超过二十年，总和刑期在三十五年以上的，最高不能超过二十五年。
数罪中有判处有期徒刑和拘役的，执行有期徒刑。数罪中有判处有期徒有形和管制的，或者拘役和管制的，有期徒刑、拘役执行完毕后，管制仍须执行。
数罪中有判处附加刑的，附加刑仍须执行，其中附加刑种类相同的，合并执行，种类不同的，分别执行。
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
第五条非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；
实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：
（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；
《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》
第一条非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”：
（三）非法控制计算机信息系统20台以上的；