参考案例赵某岗侵犯公民个人信息案

一、案情速览

某市公安局交警部门开发了便于在编民警查询机动车和驾驶人信息的企业号平台。被告人赵某岗从事代办审车及销售保险业务，二〇一六年三月八日从该市某县公安局交警大队辅警处索要在编民警常某的手机号码和微信号，冒充该辅警添加常某为好友，后又假冒其名义向常某索要验证码，成功关注该平台并注册登记，由此获得查询车辆和驾驶人信息的权限。

赵某岗为方便自己开展业务，先后在该平台查询了大量机动车、驾驶人信息，并将具有查询权限的账号、密码告知他人查询，从中非法获利。自二〇一六年三月二十三日至二〇一七年六月二十九日，该账号查询数据记录共计六万四千七百七十条。

山东省无棣县人民法院一审认定情节特别严重，判处有期徒刑三年、罚金五千元。滨州市中级人民法院于二〇二〇年三月三十日二审查明：查询数据中无效记录三千三百六十九条，有效记录六万一千四百零一条，去除重复记录后为四万四千四百五十六条，改判有期徒刑二年六个月、罚金五千元。

二、裁判要点提炼

认定非法获取公民个人信息的数量，应当扣除无效信息和重复信息；一审未作扣除即认定情节特别严重，属于认定事实错误，二审应当依法纠正。

冒充警务辅助人员、骗取在编民警手机号与验证码注册内部查询平台账号，并将查询权限告知他人使用的，属于非法获取公民个人信息，情节严重。

三、赵律师点评

一个验证码，进了交警内部平台

赵某岗做代办审车和卖保险，需要查车辆和驾驶人信息。他的路子是：先从交警大队的辅警那里要到一个在编民警的手机号和微信号，冒充这个辅警加上了民警；然后用民警的手机号去关注交警部门的内部查询平台，再假冒辅警的名义向民警要验证码。验证码一给，账号就注册成功了，查询权限到手。

六万四千七百七十条，和四万四千四百五十六条

一审看到的是六万四千七百七十条查询记录，按这个数字认定为情节特别严重，判三年。二审重新核了一遍：其中有无效记录三千三百六十九条；有效记录六万一千四百零一条；再去掉重复记录，实际是四万四千四百五十六条。四万四千多条，落在情节严重而不是特别严重的区间，刑期从三年降到二年六个月。

为什么要去重、去无效

这是这类案件里最容易被忽略、也最容易出错的环节。查询日志的记录方式和“个人信息条数”不是一回事：同一个人查了十次，日志里是十条，但被侵犯的个人信息只有一个；查出来是空号、错号、已注销的，根本不对应任何自然人，也不能算。司法解释对此有明确规定——认定数量应当扣除无效信息和重复信息。一审的错误不在于采信了假的证据，而在于直接把日志条数当成信息条数。

这个错误是怎么被纠正的

靠的是二审重新核实：公安机关经去除重复处理后认定有效查询记录为四万余条。注意这个细节——去重的工作是公安机关做的，法院据此确认。这提示了两点：一是辩护时“数量存疑”是必须提的，尤其是查询日志类证据；二是数量认定不是法律判断，是技术核算，需要有可复核的过程，不能只凭一句“系统显示六万多条”。

权限外借，是另一层加重

赵某岗不只是自己查，还把有查询权限的账号、密码告诉了其他人，让他们也去查，自己从中获利。这一层把行为的性质往上推了一级——他变成了一个“权限的二道贩子”。对内部平台来说，这是最危险的情形：权限一旦外借，日志里所有的查询都记在原账号名下，出了事责任归账号主人，获益的却是别人。判二年六个月，这个后果他得自己担。说到漏洞，对掌握公民信息的单位，这是一份通用的整改清单。一是身份核验太弱，一个手机号加一个验证码就能注册，验证码还是向本人索要的；二是权限颗粒度太粗，一个账号能查全部车辆和驾驶人信息，没有按辖区、按业务类型限制；三是异常监测缺失，两年时间六万多次查询，平均每天近百次，竟然没有被系统拦下来。这三点，对任何掌握公民信息的单位都是通用的整改清单。

六万四千条日志，去重去无效之后只剩四万四——数字不是数出来的，是核出来的。