摘要：大数据时代，保护公民个人信息与个人数据的开发利用需要一个平衡。司法解释规定，未经被收集者同意，将合法收集的公民个人信息向他人提供，属于刑法二百五十三条之一规定的“提供公民个人信息”。该规定将导致侵犯公民个人信息罪入罪范围的扩大，有补充行政立法不足之意。在司法实践中，该规定将导致刑事打击范围过宽，有碍大数据应用开发和创新。公民个人信息的保护，应以行政规制和行业自律为主。“未经被收集者同意，将合法收集的公民个人信息向他人提供”的行为，建议仅在流转目的非法，且具有严重社会危害性时，作入罪处理。

一、公民个人信息在“裸奔”，两高司法解释用“重典”

　　国家十三五规划提出实施国家大数据战略，把大数据作为基础性战略资源，加快推动数据资源共享开放和开发应用，助力产业转型升级和社会治理创新。个人数据是大数据的重要组成部分，已经成为企业的核心资产，是企业形成和保持竞争力的关键。但是，大数据的运用，同时也给公民个人信息安全带来了前所未有的挑战。公民个人信息正面临全面失控的局面。2016年6月22日，中国互联网协会发布《中国网民权益保护调查报告2016》，54%的网民认为个人信息泄露严重，84%的网民亲身感受到由于个人信息泄露带来的不良影响。公民个人信息可谓一直在“裸奔”。

　　我国保护公民个人信息的立法相对滞后，主要通过刑事手段保护公民个人信息。2009年2月《刑法修正案（七）》将非法提供出售公民个人信息入罪。2015年11月《刑法修正案（九）》将侵犯公民个人信息罪的主体扩大为一般主体。2017年7月1日实施《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称“两高司法解释”）明确了公民个人信息的范围，将公民个人信息分为三类：一般公民个人信息、敏感公民个人信息和高度敏感公民个人信息。针对不同的个人信息类型，规定不同的构罪数量要求。买卖高度敏感信息50条，敏感信息500条，其他公民个人信息5000条即可入罪。堪称“乱世用重典”！

二、未经收集者同意作为违法性的规定，弥补行政立法不足

　　根据《刑法》第二百五十三条之一的规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

　　从上述规定看，违法性是本罪成立的前提。在此基础上，如果情节严重的，以侵犯公民个人信息罪定罪量刑。两高司法解释的出台，对公民个人信息的范围、违法性、非法性作出了具体规定，不同的信息类型规定了不同的入罪门槛。特别对违法性、非法性作出了具体界定。

　　（一）违法性要件

　　两高司法解释第二条规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

　　两高司法解释第四条规定，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

　　上述两条规定，是侵犯公民个人信息罪的违法性要件。

　　（二）未经被收集者同意——违法性要件的特别规定

　　两高司法解释第三条规定了提供公民个人信息的三种情形：一是向特定人提供公民个人信息，二是通过信息网络或者其他途径发布公民个人信息的，三是未经被收集者同意，将合法收集的公民个人信息向他人提供。

　　未经被收集者同意，是两高司法解释对违法提供公民个人信息的特别规定。根据刑法二百五十三条之一的规定，违反国家有关规定是入罪要件。根据《互联网安全法》的规定，非经被收集者同意不得向他人提供合法收集的个人信息。因此，在互联网行业，两高司法解释有法律依据。但是，在其他行业和其他领域，未经被收集者同意的违法性缺乏法律依据。在覆盖所有行业和所有领域的保护公民个人数据的综合性立法《个人信息保护法》出台前，两高司法解释特别规定未经被收集者同意的违法性，补充行政立法不足的用意明显。

三、“合法收集的个人信息未经被收集者同意提供他人”入罪不利于大数据运用

　　（一）知情同意——公民个人信息保护的经典原则

　　个人信息权本质上是对其个人信息处理和控制权。传统法理认为个人信息的收集和利用必须经个人的事先同意。1970年德国黑森州颁布《个人数据保护法》，这是世界上第一部保护公民个人信息安全的国内法。这是德国人经历了纳粹统治后痛定思痛，更加珍惜重视个人的自由和权利的结果。1977年德国制定统一的《联邦个人数据保护法》，而后又通过德国宪法法院判决确认个人信息自决权。根据个人信息自决权，公民能自由决定如何利用自己的个人信息和谁可以利用他的个人信息，并确立了禁止法律许可的保留原则。任何一项对个人信息自决权的法律限制都必须合宪。知情同意机制是公民个人信息保护的经典原则。

　　（二）未经被收集者同意入罪，可能阻碍数据价值的开发利用

　　面对大数据分析技术对个人信息保护带来的新挑战，大数据时代，仍然坚持同意原则其实是不现实的。各国政府已经在重新审视既有法律架构的有效性，加强对个人信息的保护力度，甚至提升至数据主权与国家安全的高度。大数据时代个人数据流转已是常态，合法收集个人信息后未经被收集者同意向他人提供实际具有一定普遍性。不少企业，在提供服务或者商品的过程中自行收集个人信息数据的同时，通过分享、合作、许可等方式引入外部数据、第三方数据。部分地区也已经出现了专门从事大数据交易的第三方服务机构，这些数据服务机构，通过搭建数据交易平台，推进着数据的开发利用。未来个人数据或者个人信息的保护在维持知情同意制度的同时，将在信息维护、信息安全、动态风险控制措施上予以加强。

如果将未经被收集者同意作为入罪要件，那么将导致刑法打击面太宽，可能阻碍个人信息数据价值的开发利用。刑法不应完全禁止出售或提供公民个人信息的行为。

四、保护公民个人信息，应以行政规制和行业自律为主

　　大数据背景下如何保护公民个人信息？数据时代，大数据的运用必然影响公民个人信息权，在大数据运用和公民个人信息保护之间取得平衡是关键。个人信息的使用不得侵犯个人的人格尊严和自由，公民个人信息保护的目的在于促进个人信息的合法使用和安全流通。保护公民个人信息主要应通过行政规制、行业自律为主，以及公民自身通过民事权利救济途径来保护。行政规制是公民个人信息保护的政府责任，行政部门应通过加强立法，提供安全机制、查询机制、补偿机制、删除机制以及其他经济行政手段来保障公民个人信息的完整性、安全性和自主性，同时严格执法，通过合规审查、信用评级、征信记录等手段促进机关企事业单位公民个人信息保护制度的建立和落实。大数据时代，保护公民个人信息，应以行政规制和行业自律为主。

　　刑事手段应是最后的手段，而且由于刑事资源的有限性，保护公民个人信息过于依赖刑事手段有其明显的局限性。根据刑法二百五十三条之一的规定，违反国家有关规定是侵犯公民个人信息罪的前提，该罪具有行政犯罪的特征。对侵犯公民个人信息的行为，应当建立统一的、完备的行政规制体系与刑法相衔接。两高司法解释将经合法收集的公民个人信息未经被收集者同意向他人提供的行为予以入罪，是直接将本应由行政规制的行为交给了刑罚处理。

五、刑法实质违法性是侵犯公民个人信息罪入罪边界

　　刑事手段是公民权利保护的最后一道防线。鉴于刑法的严厉性和谦抑性，不可能也不必要将所有侵犯公民个人信息的行为纳入刑事处罚的范围。只有具有实质违法性的侵犯公民个人信息的行为才是刑法调整的对象。刑法规定侵犯公民个人信息罪，其所保护的法益应当是公民人格尊严与个人自由，刑法控制的是对个人人格尊严和自由有严重侵害的行为。

　　根据刑法《刑法》第二百五十三条之一的规定，侵犯公民个人信息罪的成立以违法国家有关规定或者非法为前提。违法性是该罪成立的构成要件。经合法收集的个人信息，未经被收集人同意提供他人，违反被收集者知情同意原则，违反互联网安全等行政管理性法律法规，因此，行政规制应该是主要手段。

　　大数据时代，人们已经离不开个人数据的利用，个人信息数据正常流转已经不可避免。向他人提供个人信息或许有潜在的社会危害性，但是其危害性取决于接受方的后续行为。接受方的后续行为是否损害公民的人格尊严和自由，是判断实质违法性的基础。如果提供方和接收方没有共同故意，提供方也不应对接收方的实质违法性行为负责。因此，未经被收集者同意向他人提供个人信息的行为，建议仅在流转目的非法，且具有严重社会危害性时，作入罪处理。

结语

　　大数据时代，保护公民个人信息与个人数据的开发利用需要一个平衡。既要保护公民个人信息，又要不妨碍个人数据的开发利用，两者之间如何取得平衡是大数据时代的新课题。刑法侵犯公民信息罪的规定以及两高司法解释提供了公民个人信息安全的刑法保护，但是，刑法应是公民个人信息保护的最后一道屏障。刑法保护个人信息既不能缺位，也不能越位。刑法应当回归本位，惩治具有严重社会危害性，严重侵害公民个人信息权的行为。保护公民个人信息，亟待加强行政保护的力度，参照国外立法，结合中国大数据运用的先进经验，尽早出台覆盖全社会的《个人信息保护法》或者《个人数据保护法》。通过制度安排，加大收集主体、使用主体、存储主体、处理主体的责任立法。既做到保护公民个人信息，又保障个人数据的正常流转，实现两者的动态平衡和价值利用的最大化。