参考案例蒯某平、曹某岳侵犯公民个人信息案

被告人蒯某平系某母婴用品店经营者。2016年5月，为有针对性地推销商品，蒯某平向滨海县某中心卫生院预防保健科工作人员王某红（另案处理）购买孕产妇生育信息。王某红将其工作中掌握的包含孕产妇夫妻姓名、新生儿出生日期、性别、体重、家庭住址、电话号码等在内的公民个人信息通过QQ发送给蒯某平，蒯某平向其支付费用3万元。

蒯某平获取上述信息后，除自行用于经营活动外，还分别向被告人曹某岳、茆某华（另案处理）转售共计1万余条，非法获利5.25万元。其中，曹某岳从蒯某平处获取孕产妇生育信息1177条，用于推销其经营的摄影服务，未再出售、提供给他人。

江苏省滨海县人民法院于2022年11月22日作出（2021）苏0922刑初490号刑事判决：被告人蒯某平犯侵犯公民个人信息罪，判处有期徒刑三年，缓刑四年，并处罚金人民币六万元（其他判项略）；被告人曹某岳犯侵犯公民个人信息罪，免予刑事处罚。

宣判后，曹某岳不服，提出上诉。主要上诉理由为：其获取、使用涉案信息仅为推销宣传自己的摄影服务，实际仅利用其中的电话号码，没有从事任何关联违法犯罪活动，请求改判无罪。

江苏省盐城市中级人民法院于2023年3月6日作出（2023）苏09刑终22号刑事裁定，驳回上诉，维持原判。本案的争议焦点为：行为人为合法经营活动而非法购买孕产妇生育信息，且所购信息未再流出扩散，对其行为应当如何定罪量刑。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号，以下简称《解释》）第五条规定：“非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的‘情节严重’：……（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；……”第六条规定：“为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的‘情节严重’：（一）利用非法购买、收受的公民个人信息获利五万元以上的；

（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；（三）其他情节严重的情形。”“实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。”据此，适用《解释》第六条的前提是以合法经营活动为目的，所涉信息类型为普通公民个人信息，且信息未被进一步扩散。如果所涉信息是《解释》第五条第一款第三项、第四项规定的敏感个人信息的，则排除第六条的适用，仍然适用第五条的规定。同时，考虑到“为合法经营”不具有目的上的违法性，可以综合考虑行为人所获取信息的数量、具体目的动机、实际危害后果和认罪悔罪表现等，依法从宽处罚，确保罪刑相适应。

《中华人民共和国个人信息保护法》第二十八条明确将医疗健康信息和不满十四周岁未成年人的个人信息列为敏感个人信息。国家标准《信息安全技术 个人信息安全规范》（GB/T 35273-2017）明确将“生育信息”列入“个人健康生理信息”。因此，孕产妇生育信息属于敏感个人信息，应当适用《解释》第五条第一款第四项规定予以定罪处罚。

本案中，曹某岳购买的信息包含孕产妇夫妻姓名、分娩方式、家庭住址、电话号码以及新生儿出生日期、性别、体重、健康状况等敏感个人信息1177条，已经超过《解释》第五条第一款第四项规定的五百条入罪标准，依法应当以侵犯公民个人信息罪论处。同时，鉴于曹某岳系初犯；购买涉案信息的目的在于推销宣传其经营的摄影服务，没有其他非法目的；所购买的信息未再出售、提供给他人，没有造成进一步流出扩散。综合上述情节，人民法院依法认定其行为构成侵犯公民个人信息罪，但犯罪情节轻微不需要判处刑罚，依照刑法第三十七条的规定，对其免予刑事处罚。孕产妇生育信息属于敏感个人信息。非法获取、出售或者提供孕产妇生育信息达到五百条以上的，应当依照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第一款第四项的规定，以侵犯公民个人信息罪追究刑事责任。

行为人为合法经营活动而非法购买孕产妇生育信息，未转售牟利且未造成信息流出扩散的，仍应适用前述规定定罪，但可以综合其获取信息的目的、数量、实际危害后果等情节依法从宽处罚。