参考案例袁某、郭某冰侵犯公民个人信息案

一、案情速览

二〇一八年十月至二〇一九年四月，被告人袁某利用即时通讯平台，向他人购买个人和企业支付宝信息，其中包含企业法定代表人身份证照片、公民个人身份证照片、支付宝账户、密码、电话号码等公民个人信息。袁某将非法获得的信息出售给被告人郭某冰等人，郭某冰又通过互联网转卖他人牟利。

经查，袁某非法出售个人支付宝信息一百八十四套、企业支付宝信息五十五套，共包含二百四十四名公民个人信息，获取违法所得十三万二千九百六十三元；郭某冰非法出售个人支付宝信息九十五套、企业支付宝信息四套，共包含一百零三名公民个人信息，获取违法所得五万六千三百八十元。

四川省泸县人民法院于二〇二〇年七月二十九日判决：袁某犯侵犯公民个人信息罪，判处有期徒刑四年十个月、并处罚金十六万元；郭某冰判处有期徒刑三年、并处罚金八万元。泸州市中级人民法院于二〇二〇年十一月十九日二审驳回上诉，维持原判。

二、裁判要点提炼

企业支付宝账户信息中不仅包含企业本身的电子数据信息，也包含具有自然人属性的法定代表人的手机号码、身份证号码等法定公民个人信息，通过购买方式获取并出售的，应当认定为侵犯公民个人信息罪。

法定代表人的身份信息系其向平台提交用于实名认证，同意的内容与范围限于该特定用途，不能据此推定其同意他人买卖，该抗辩不能成立。

三、赵律师点评

卖的是账户，里面装着人

袁某从二〇一八年十月起买支付宝信息，个人账户和企业账户都买，然后转手卖给郭某冰，郭某冰再往网上倒。这些“套”里装的是什么？个人账户里是身份证照片、账户、密码、电话号码；企业账户里，除了企业信息，还有法定代表人的身份证照片、手机号、身份证号。所以他卖的表面是账户，实质是人的身份。

企业账户里的法定代表人，算不算“公民个人信息”

这是本案的主战场。辩护的理由听起来有道理：公司是拟制法人，法定代表人代表的是公司，他的身份信息属于公司信息的一部分，不能等同于单独获取的公民个人信息。判决没有接受这个区分——企业支付宝账户信息不仅包含企业本身的电子数据，也包含具有自然人属性的法定代表人的手机号码、身份证号码等法定公民个人信息。公司是公司，人是人，账户把两者打包在一起，不会让其中属于人的那部分失去保护。

“他同意过”这个抗辩，为什么站不住

第二个抗辩更精细：法定代表人开企业账户时，是自己把身份证信息提交给平台的，属于明示同意使用，所以不属于法律保护的对象。判决的处理是区分“同意什么”——向平台提交用于实名认证，同意的内容与范围限于该特定用途；这和同意他人把信息拿去买卖，是两回事。同意开账户，不等于同意被卖。这个区分在个人信息案件里出现频率极高，值得记牢。

数额：一个看条数，一个看获利

袁某二百四十四名公民个人信息、获利十三万二千九百六十三元；郭某冰一百零三名、获利五万六千三百八十元。两个人的获利都超过五万元，属于情节特别严重，法定刑三年以上七年以下。袁某四年十个月、罚金十六万，郭某冰三年、罚金八万——刑期和罚金都与获利挂钩，郭某冰三年正好是这一档的下限。

账户买卖的连锁风险

这里要提醒的是，卖“账户套”和卖“信息”的危害不在一个量级。一套完整的支付宝账户信息——身份证照片、账号、密码、绑定手机号——足以让买家直接接管这个账户，涉及余额、绑定银行卡、信用支付。所以这类信息的黑市价格远高于普通名单。对个人：身份证照片不要存在聊天记录里，不要发给任何声称“帮你认证”的人；对企业：法定代表人、财务人员的身份证信息在开户、年检环节反复流转，要有内部权限控制。

公司是拟制的，可账户里那张身份证不是——打包在一起，人还是人。