参考案例王某侵犯公民个人信息案

一、案情速览

二〇一五年八月十三日至九月十二日，被告人王某先后六次将包含个人姓名、电话等内容的涉案信息出售和提供给杨某，共计六万六千八百三十二条；同年十一月九日、十二月二十八日又两次出售、提供共计五千四百一十条。二〇一六年三月至四月，王某与方某多次交换各自掌握的信息资料，其中王某发给方某十五万四千四百四十条，方某发给王某八万四千八百二十二条。以上信息合计三十一万余条。

按外在表现形式，涉案信息分为两类：第一类是标注为通讯录、参会表、报名表、酒店客户总表、优质客户资源、邀约客户名称、客户信息、物业信息、车主、分析表等字样的信息，总计九万二千余条；第二类是包含法定代表人（联系人）姓名、手机号码的信息，合计二十一万九千余条。王某当庭供称相关信息均来源于公开商业网站。

为核实该说法，法院随机抽取六条，由王某当场向审判人员、公诉人演示登录多家商业查询网站检索企业信息、商贸信息，除一家公司网页显示注销状态外，其余网页均能显示法定代表人或联系人的手机号码。苏州市姑苏区人民法院于二〇一九年十二月二十七日判决：认定犯罪数量为九万二千余条，王某犯侵犯公民个人信息罪，判处有期徒刑三年、缓刑四年，并处罚金一千元。

二、裁判要点提炼

涉案信息经核实来源于公开商业网站、属于已合法对外公开的信息的，要求行为人的收集、整理、交换等行为仍需取得被收集者同意过于苛刻，也不合理；在认定犯罪数量时，该类信息不应计入。

认定侵犯公民个人信息罪的数量，应当以信息的来源与公开状态为基础分类核算，扣除已合法公开部分后，仅就剩余部分计算是否达到情节严重或者情节特别严重的标准。

三、赵律师点评

三十一万条里的两类东西

王某的案子数量很大：出售、提供、交换加起来三十一万余条。但判决没有直接按三十一万条算，而是先把信息分成两类。第一类是标注着通讯录、参会表、报名表、酒店客户总表、优质客户资源、邀约客户名称、客户信息、物业信息、车主、分析表等字样的，九万二千余条；第二类是含法定代表人（联系人）姓名和手机号的，二十一万九千余条。分完之后，两类走了完全不同的路。

当庭演示，六条抽查

王某说这些信息都是从公开商业网站上找的。这句话如果成立，案子就轻了大半。法院没有直接采信，也没有直接否定，而是做了一个很实在的验证——随机抽取六条，让王某当场当着审判人员和公诉人的面，登录多家商业查询网站检索企业信息、商贸信息。结果：除一家公司网页显示注销状态外，其余网页都能显示法定代表人或联系人的手机号码。

公开信息为什么可以不计数

判决的说理是：在相关信息已经合法对外公开的情况下，要求行为人的收集、整理、交换等行为仍需得到被收集者同意，过于苛刻，也不合理。这句话的分量在于，它承认了个人信息的保护有边界——企业登记信息里的法定代表人姓名、联系电话，本来就是依法公示、供社会查询的，任何人去查都不违法，把这些查来的内容整理、交换，也很难说侵犯了谁的信息自决权。

这个例外的边界在哪里

要特别小心，不能把这条当成万能挡箭牌。判决限定的是“已经合法对外公开”，也就是权利人自行公开或者因法定事由公开。本案能认定，是因为当庭演示证明了这些号码确实挂在公开网页上。如果信息是从内部系统查出来的、从别人手里买来的、从系统漏洞里捞出来的，即使后来在某个网页上也能看到，也不属于合法公开——后面丁某光那个案子就是反例：两千万条住宿记录确实在网上流传，但那是因系统漏洞被泄露的非法公开，照样构成犯罪。

九万二千条，三年缓四年，罚金一千

扣除公开部分后，认定的犯罪数量是九万二千余条，属于情节特别严重，法定刑三年以上七年以下。判三年、缓四年，罚金一千元——罚金低得罕见。这个组合说明法院对行为的社会危害评价不高：信息多为商业名录类，来源公开，没有证据显示流向诈骗等下游犯罪。但罪名仍然成立，九万二千条这个数字本身就过线了。

三十一万条里，二十一万九千条挂在公开网页上——当庭点开六条，案子就少了一大半。