参考案例解某某侵犯公民个人信息、非法获取计算机信息系统数据案

一、案情速览

二〇一七年七月至十月，被告人解某某使用黑客软件攻击他人计算机信息系统，并将破解的网络地址、账号、密码及公民个人信息向他人出售。同年七月，其侵入贵州省贵阳市云岩区周某某经营的中国移动代办点及王某经营的通讯经营部的计算机信息系统，非法获取他人身份证照片、电话号码等公民个人信息五百一十条，存储于云网盘后贩卖。

同年七、八月，其在网吧内从聊天群下载公安数据库、教育局、学生数据等共享文件并存储于云网盘，其中公安数据库类文件含公民个人信息二千三百四十二条、教育局文件含一千三百三十九条、学生数据文件含一万二千一百五十四条。同年七月，其又以同样方法侵入他人计算机信息系统，非法获取铁路售票网站登录账号、密码等身份认证信息及姓名、居民身份证号码、联系电话、电子邮箱等公民个人信息共计十三万一千六百五十三组。

天津市北辰区人民法院于二〇一八年九月二十日判决：解某某犯侵犯公民个人信息罪，判处有期徒刑一年、并处罚金五千元；犯非法获取计算机信息系统数据罪，判处有期徒刑四年六个月、并处罚金二万元；数罪并罚，决定执行有期徒刑五年、并处罚金二万五千元。

二、裁判要点提炼

侵入他人计算机信息系统，非法获取网站登录账号、密码等身份认证信息及姓名、身份证号码、联系电话、电子邮箱等公民个人信息，同时符合侵犯公民个人信息罪与非法获取计算机信息系统数据罪构成要件的，应当从一重罪即非法获取计算机信息系统数据罪处罚。

被告人实施多个独立的危害行为，分别构成不同犯罪的，应当数罪并罚；同一行为触犯数个罪名的，从一重处断，不能重复评价。

三、赵律师点评

三段时间，三种手法

解某某的操作可以分成三段。第一段，用黑客软件攻击两家通信代办点的系统，拿到五百一十条身份证照片和电话，存到网盘、再贩卖。第二段，在聊天群里下载别人共享的“公安数据库”“教育局”“学生数据”文件，一共一万五千八百三十五条——这一段他没有攻击任何系统，只是捡别人撒出来的东西。第三段，侵入铁路售票网站，拿到十三万一千六百五十三组账号密码加身份信息。

为什么第三段换了罪名

这是本案最需要看懂的地方。第三段拿到的十三万一千六百五十三组，每一组都是登录账号、密码加姓名、身份证号、电话、邮箱。从个人信息的角度，这是十三万组公民个人信息，情节特别严重；从计算机系统的角度，这是十三万组身份认证信息，也构成非法获取计算机信息系统数据罪。一个行为同时踩到两个罪名。

从一重，为什么选了这个重

判决的结论是从一重罪即非法获取计算机信息系统数据罪处罚，而且属情节特别严重。比较一下就明白：侵犯公民个人信息罪情节特别严重是三年以上七年以下；非法获取计算机信息系统数据罪情节特别严重是三年以上七年以下，但本案最后判了四年六个月——比侵公那部分的量刑更重，所以按后者。这个选择的实质是：当行为的主要危害在于“攻破系统、拿走认证凭证”，而不是“倒卖个人信息”时，评价重心应当落在系统安全上。

前两段为什么不并进去

因为它们是独立的行为。第一段攻击系统拿五百一十条、第二段下载共享文件拿一万五千八百三十五条，这两段合起来构成侵犯公民个人信息罪，判一年、罚金五千；第三段单独构成非法获取计算机信息系统数据罪，判四年六个月、罚金二万；两者数罪并罚，执行五年。这里体现的规则很清楚：同一行为触犯数罪名，从一重；不同行为触犯不同罪名，数罪并罚。不能把三段揉成一罪，也不能把第三段拆成两罪重复评价。

“在群里下载”也是非法获取

第二段值得单独说。解某某没有攻击任何系统，只是在聊天群里下载了别人共享的“公安数据库”“公安局的裤子”“教育局”“学生数据”文件。有人会觉得这是“捡的”，不算偷。但侵犯公民个人信息罪里的“以其他方法非法获取”，包括购买、收受、交换等方式——明知是公安数据库、学生数据这类明显不合法流通的内容还去下载保存，就是非法获取。捡来的东西，不见得是干净的东西。

同一段行为踩两个罪名，从一重；三段不同的行为，数罪并罚——这笔账要分开算。