参考案例秦某乐等人侵犯公民个人信息案

2020年6月，被告人秦某乐入职上海某人才服务有限公司陕西分公司，被派遣至中国某航空股份有限公司客户服务中心西安呼叫中心担任国内客服代表。2016年至2018年，被告人李某东就职于四川某呼叫科技有限公司，负责中国某航空有限公司系统业务，2018年10月离职后通过前同事查询航班信息。2020年至2021年间，被告人秦某乐伙同被告人李某东，直接或间接利用查询航班信息的工作便利，违反国家有关规定，共同及各自非法获取公民个人信息后向他人出售，部分购买者系在北京首都某机场及本市朝阳区等地与二人联系。其中，二人共同出售他人航班行踪轨迹信息1964条、其他公民个人信息370条，非法获利共计人民币40975.5元；被告人秦某乐单独出售他人航班行踪轨迹信息383条、其他公民个人信息24条，非法获利共计人民币6260元。

被告人李某东单独出售他人航班行踪轨迹信息731条、其他公民个人信息57条，非法获利共计人民币18123元。

2020年至2021年间，被告人张某洁违反国家有关规定，向被告人李某东购买他人航班行踪轨迹信息426条、其他公民个人信息78条。

2020年至2021年间，被告人徐某璐违反国家有关规定，向被告人秦某乐、李某东购买他人航班行踪轨迹信息192条、其他公民个人信息8条。

被告人秦某乐、李某东非法获取并出售公民个人信息数千条，导致众多不特定公民的行踪轨迹、身份证件等个人信息面临受侵害的风险，严重侵害社会众多不特定主体的个人信息权益，致使社会公共利益受到损害。

北京市朝阳区人民法院认为，被告人秦某乐、李某东非法获取及出售公民个人信息，情节特别严重，被告人张某洁、徐某璐非法获取公民个人信息，情节严重，各被告人的行为均已构成侵犯公民个人信息罪。被告人秦某乐系将在履行职责或提供服务过程中获得的公民个人信息出售给他人，本院依法对其从重处罚。鉴于被告人秦某乐、李某东、张某洁、徐某璐到案后均如实供述所犯罪行，均认罪认罚，秦某乐到案后退缴部分钱款在案，本院依法对各被告人从轻处罚，并根据全案情节对张某洁、徐某璐宣告缓刑。

关于附带民事公益诉讼部分的责任承担问题。根据《中华人民共和国民法典》第一百一十一条、第一百七十九条、第九百九十五条、第一千条的规定，公民个人信息权益受法律保护。本案中，被告人秦某乐、李某东将整舱乘客的信息打包出售，信息主体的选择具有随机性，导致众多不特定公民的行踪轨迹、身份证件等个人信息泄露，侵害了社会公众的个人信息权益，二被告人应当通过公开赔礼道歉的方式向社会公众表达歉意，并注销买卖公民个人信息使用的微信号及删除其中的公民个人信息数据。公益诉讼起诉人所提有关赔礼道歉、消除危险方面的诉讼请求理由正当，本院予以支持。

《中华人民共和国民法典》第一千一百八十二条规定：侵害他人人身权益造成财产损失的，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿；被侵权人因此受到的损失以及侵权人因此获得的利益难以确定，被侵权人和侵权人就赔偿数额协商不一致，向人民法院提起诉讼的，由人民法院根据实际情况确定赔偿数额。在当今大数据时代，公民个人信息兼具人身属性与财产属性，且不仅与个人利益有关，也作为重要社会资源而具有突出的公共属性。本案中，被告人秦某乐、李某东非法获取并出售公民个人信息的行为，造成众多不特定公民个人信息泄露，面临受侵害的风险，已对个人信息保护领域的社会公共利益造成实际损害。根据上述法律规定，结合我国个人信息保护法律规范精神，二被告人应当承担损害赔偿责任。公益诉讼起诉人主张被告人秦某乐、李某东按照侵犯公民个人信息的获利承担赔偿责任，于法有据，本院予以支持。

被告人秦某乐、李某东的诉讼代理人所提相关意见，没有事实及法律依据，本院不予采纳。

《中华人民共和国民法典》第一百八十七条规定：民事主体因同一行为应当承担民事责任、行政责任和刑事责任的，承担行政责任或者刑事责任不影响承担民事责任；民事主体的财产不足以支付的，优先用于承担民事责任。据此，被告人秦某乐、李某东所承担刑事责任中的罚金、没收违法所得部分，不影响二人承担损害赔偿的民事责任。在案之人民币二万元，优先作为被告人秦某乐的公民个人信息损害赔偿款，没收后上缴国库。

依照《中华人民共和国刑法》第二百五十三条之一第一款、第二款、第三款、第六十七条第三款、第五十二条、第五十三条、第三十七条之一、第七十二条第一款、第三款、第七十三条、第六十一条、第六十四条、《中华人民共和国民法典》第一百一十一条、第一千零三十四条第一款、第二款、第一百七十九条、第九百九十五条、第一千条、第一千一百八十二条、第一百八十七条、《中华人民共和国刑事诉讼法》第十五条、《中华人民共和国民事诉讼法》第五十八条第二款、《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条、第五条、第十二条及《最高人民法院、最高人民检察院关于检察公益诉讼案件适用法律若干问题的解释》第二十条之规定，判决如下：

一、被告人秦某乐犯侵犯公民个人信息罪，判处有期徒刑三年，罚金人民币四万元。

二、被告人李某东犯侵犯公民个人信息罪，判处有期徒刑三年，罚金人民币四万元。

三、被告人张某洁犯侵犯公民个人信息罪，判处有期徒刑一年，缓刑一年，罚金人民币一万元。

四、被告人徐某璐犯侵犯公民个人信息罪，判处拘役五个月，缓刑五个月，罚金人民币五千元。

五、继续追缴被告人秦某乐的违法所得人民币二万六千七百四十七元七角五分，继续追缴被告人李某东的违法所得人民币三万八千六百一十元七角五分，均予以没收。

六、责令被告秦某乐、李某东共同支付公共利益损害赔偿款四万零九百七十五元五角；责令被告秦某乐支付公共利益损害赔偿款六千二百六十元，被告李某东支付公共利益损害赔偿款一万八千一百二十三元；上述钱款均于本判决生效之日起十日内支付，没收后上缴国库。

一审宣判后，公诉机关未抗诉，各被告人及公益诉讼起诉人未上诉，一审判决已经发生法律效力。法院生效裁判认为,在侵犯公民个人信息刑事附带民事公益诉讼案件中，侵犯公民个人信息行为造成的实际损失通常无法衡量，不能参照刑事诉讼法及其司法解释中关于刑事附带民事案件赔偿范围的规定，而应适用民事责任的一般规定，可以按照侵权人的获利数额认定损害赔偿的数额。同时，追缴违法所得和公益损害赔偿可以并处。

1.在侵犯公民个人信息刑事附带民事公益诉讼案件中，民事主体因同一行为应当承担民事责任、行政责任和刑事责任的，承担行政责任或者刑事责任不影响承担民事责任。因此，追缴违法所得和公益损害赔偿可以并存。

2.在侵犯公民个人信息刑事附带民事公益诉讼案件中，行为人侵犯了不特定公民的信息权益，可以按照民法典第一百七十九条的规定承担相应的民事责任，并依据民法典第一千一百二十八条、个人信息保护法第六十九条的规定确定损害赔偿的数额。被告人违法所得数额是从犯罪中获得的收益，依据实际查明的获利数额进行追缴。如果实际损失数额能够查清，可以依据实际损失来认定。如果实际损失或者获利数额都无法查清，法院可以视情况酌定损害赔偿的数额。