上海市人民檢察院研究室

AI采集的個(gè)人信息受法律嚴(yán)格保護(hù)

《刑法》第二百五十三條規(guī)定侵犯公民個(gè)人信息罪：違反國(guó)家有關(guān)規(guī)定，向他人出售或者提供公民個(gè)人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金;情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。違反國(guó)家有關(guān)規(guī)定，將在履行職責(zé)或者提供服務(wù)的過(guò)程中獲得的公民個(gè)人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。竊取或者以其他方法非法獲取公民個(gè)人信息的，依照第一款的規(guī)定處罰。單位犯前三款罪的，對(duì)單位判處罰金，并對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照各款規(guī)定處罰。

需要指出的是，上述法條對(duì)于用新技術(shù)（包括AI）采集的信息同樣適用。由于相關(guān)法律及司法解釋較為原則，在具體辦案過(guò)程中往往面臨信息種類(lèi)與數(shù)量認(rèn)定難、信息真實(shí)性核查難、合法經(jīng)營(yíng)的判斷難等諸多疑難問(wèn)題。

實(shí)踐中，判斷公民個(gè)人信息是不是敏感信息，主要根據(jù)兩個(gè)方面：一是信息所映射的內(nèi)容，即其敏感性、重要性，是否能反映出特定時(shí)間段內(nèi)與公民人身財(cái)產(chǎn)安全密切相關(guān)的活動(dòng)信息，其所指向的內(nèi)容是否能讓犯罪分子實(shí)施精準(zhǔn)犯罪，從而使公民的人身財(cái)產(chǎn)處于危險(xiǎn)的狀態(tài)。從這個(gè)角度看，類(lèi)似定位信息、銀行人臉特征信息等經(jīng)AI技術(shù)采集、保存并處理的信息，都屬于敏感信息。

二是這些信息獲取的難度，即信息的隱秘性。這包含了三層意思：一是一般情況下，任何單位未經(jīng)授權(quán)都不能擅自調(diào)取或者查閱這些信息;二是信息提供者不希望這些信息被持有方泄露;三是國(guó)家對(duì)這些信息實(shí)行嚴(yán)格保護(hù)，通常情況下禁止任何單位和個(gè)人利用這些信息獲利。

財(cái)產(chǎn)跟財(cái)物是有區(qū)別的。財(cái)產(chǎn)是一個(gè)人財(cái)物中比較有價(jià)值或者價(jià)值比較高的東西，這方面的信息往往能夠精準(zhǔn)地反映出一個(gè)人不希望被他人所知的一些隱私情況。犯罪分子可以利用這些信息刻畫(huà)出一個(gè)人的經(jīng)濟(jì)水平、生活狀況甚至生活軌跡等。

在互聯(lián)網(wǎng)管理中，有一個(gè)“等級(jí)保護(hù)”的概念，簡(jiǎn)單說(shuō)就是國(guó)家出臺(tái)的信息系統(tǒng)分級(jí)保護(hù)措施，通過(guò)技術(shù)手段將一旦泄露出去會(huì)產(chǎn)生較大影響的數(shù)據(jù)保護(hù)起來(lái)。在認(rèn)定個(gè)人信息類(lèi)型時(shí)，可以參考上述“等級(jí)保護(hù)”的劃分規(guī)定，對(duì)個(gè)人信息的重要程度進(jìn)行劃分。

在公民個(gè)人信息被頻繁采集并大量?jī)?chǔ)存的情況下，執(zhí)法司法機(jī)關(guān)將這些信息分為高度敏感信息、敏感信息和一般信息。高度敏感信息分為行蹤軌跡、通信內(nèi)容、征信信息、財(cái)產(chǎn)信息四類(lèi)。對(duì)于高度敏感信息，解釋的思路和方法要有嚴(yán)格限制，一定要與公民強(qiáng)烈的自我保護(hù)心理需求密切相關(guān)。

如何判斷是否屬于“合法經(jīng)營(yíng)”

《關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》（以下簡(jiǎn)稱(chēng)“《解釋》”）第六條，專(zhuān)門(mén)針對(duì)“為合法經(jīng)營(yíng)活動(dòng)而非法購(gòu)買(mǎi)、收受公民個(gè)人信息”的行為設(shè)置了入罪門(mén)檻，實(shí)踐中對(duì)于應(yīng)該如何準(zhǔn)確把握“合法經(jīng)營(yíng)”的內(nèi)涵存在爭(zhēng)議。比如房產(chǎn)或貸款等中介機(jī)構(gòu)為開(kāi)拓業(yè)務(wù)而購(gòu)買(mǎi)、收受公民個(gè)人信息的行為，能否認(rèn)定為“合法經(jīng)營(yíng)”？又如，無(wú)營(yíng)業(yè)執(zhí)照或者超越營(yíng)業(yè)執(zhí)照范圍進(jìn)行經(jīng)營(yíng)的活動(dòng)，能否認(rèn)定為“合法經(jīng)營(yíng)”？

關(guān)于“合法經(jīng)營(yíng)”，可以從非法經(jīng)營(yíng)的反向進(jìn)行理解。一是內(nèi)容合法，其所經(jīng)營(yíng)的內(nèi)容不是國(guó)家明令禁止的或者限制的。二是程序合法，具有相應(yīng)的經(jīng)營(yíng)資質(zhì)，要注冊(cè)相應(yīng)的經(jīng)營(yíng)范圍，在相應(yīng)的經(jīng)營(yíng)范圍之內(nèi)進(jìn)行活動(dòng)。當(dāng)然，這個(gè)經(jīng)營(yíng)范圍可以做一個(gè)相對(duì)寬泛的解釋?zhuān)云胶庑谭ń槿氲某叨?。關(guān)于為合法經(jīng)營(yíng)而購(gòu)買(mǎi)、收受公民信息的類(lèi)型，敏感信息是被排除在外的，此類(lèi)信息對(duì)公民的人身和財(cái)產(chǎn)安全具有極高的重要性，對(duì)于它們應(yīng)該予以嚴(yán)格保護(hù)。

對(duì)于“合法經(jīng)營(yíng)”的判斷，離不開(kāi)對(duì)信息使用情況的考察。隨著科技的不斷發(fā)展，信息使用的范圍和方法也越來(lái)越多，在判斷某類(lèi)信息使用行為是否屬于“合法經(jīng)營(yíng)”時(shí)，必須進(jìn)行嚴(yán)格的分析。

當(dāng)前，有些人認(rèn)為對(duì)侵犯公民個(gè)人信息罪的量刑偏重，這主要還是受傳統(tǒng)觀念的影響。在AI技術(shù)大行其道，個(gè)人信息被采集的越來(lái)越頻繁、重要性越來(lái)越高的情況下，上述觀念有必要逐步轉(zhuǎn)變。以房產(chǎn)中介為例，客戶(hù)簽訂合約時(shí)可能會(huì)提供面部特征信息以及簽名，這不僅是把信息給中介個(gè)人，也是默認(rèn)給予其整個(gè)機(jī)構(gòu)，該機(jī)構(gòu)對(duì)客戶(hù)個(gè)人信息的正常使用是合法的。如果該機(jī)構(gòu)將這些信息與其他中介機(jī)構(gòu)進(jìn)行交換或者出售，除非事先得到客戶(hù)的許可，否則就是違法的。

特殊主體間信息共享行為的性質(zhì)如何認(rèn)定

信息傳輸人員之間的關(guān)系是否需要考量？特殊主體之間的信息共享行為是否應(yīng)認(rèn)定為“非法獲取和提供”？比如一些房產(chǎn)中介、保險(xiǎn)公司的同一經(jīng)營(yíng)團(tuán)隊(duì)成員，出于團(tuán)隊(duì)業(yè)務(wù)開(kāi)展的需要，往往會(huì)把公民個(gè)人信息在內(nèi)部進(jìn)行流轉(zhuǎn)、共享，上述情況是否應(yīng)認(rèn)定為“非法獲取和提供”？這些問(wèn)題的界線和認(rèn)定，或直接影響罪與非罪，或直接關(guān)系刑期跳檔與否，需要進(jìn)一步明確。

從公安機(jī)關(guān)辦案的角度來(lái)講，主要考慮是否為“同一主體”。如果信息采集的主體和共享的主體屬于同一個(gè)單位，一般不認(rèn)為其屬于非法獲取。如果是同行業(yè)中的其他企業(yè)，沒(méi)有經(jīng)過(guò)信息主體本人授權(quán)或者許可的，就超出了“同一主體”的概念。這容易滋生很多其他類(lèi)型的違法犯罪問(wèn)題，如果不進(jìn)行遏制或者打擊，可能會(huì)產(chǎn)生嚴(yán)重的社會(huì)危害以及后果。

《解釋》第三、第四條分別對(duì)“提供”和“獲取”公民個(gè)人信息作出規(guī)定。如果信息主體同意或者默認(rèn)，特殊主體之間的信息共享行為就不能認(rèn)定為非法提供。但如果客戶(hù)沒(méi)有同意或默認(rèn)，那么就可以認(rèn)定為非法提供。

任何人獲得公民個(gè)人信息，哪怕是在合法的前提下，都有保密義務(wù)?？陀^上，所謂的侵犯公民個(gè)人信息，就是未經(jīng)本人同意將信息流轉(zhuǎn)出去，這種行為是違反國(guó)家規(guī)定的。當(dāng)然，這里要區(qū)分行為的違法性和刑法處罰的必要性。從信息保護(hù)的角度來(lái)看，如果信息提供者對(duì)信息的傳播、流轉(zhuǎn)存在放任，比如賣(mài)房子的人希望更多中介幫助推銷(xiāo)，在這種情況下就不存在違背意愿的情況;但如果信息提供只是點(diǎn)對(duì)點(diǎn)的，不希望被第三方所知，那么在這種情況下就有可能構(gòu)成非法獲取、提供。例如團(tuán)隊(duì)以外非法相互提供、交換、獲取信息的，從客觀行為上看，理解為非法獲取、提供是沒(méi)有問(wèn)題的，但從處罰的必要性角度來(lái)看，需要嚴(yán)格進(jìn)行把握。

涉案批量公民信息的真實(shí)性如何核實(shí)

《解釋》第十一條第三款規(guī)定，對(duì)批量公民個(gè)人信息的條數(shù)，根據(jù)查獲的數(shù)量直接認(rèn)定，但是有證據(jù)證明信息不真實(shí)或者重復(fù)的除外。實(shí)踐中，“批量”信息如何界定？我們知道，AI技術(shù)采集個(gè)人信息的效率非常高，信息采集量十分巨大。那么，多少數(shù)量可以界定為“批量”信息？對(duì)信息數(shù)量達(dá)到臨界追訴標(biāo)準(zhǔn)或跳檔標(biāo)準(zhǔn)的案件，是否需要對(duì)信息的真實(shí)性進(jìn)行核實(shí)？

在執(zhí)法過(guò)程中，正因?yàn)樾录夹g(shù)獲取及處理信息的數(shù)量極大，所以不必糾結(jié)“批量”如何認(rèn)定，只要存在一定數(shù)量，即可認(rèn)定為“批量”。對(duì)于信息真實(shí)性的核實(shí)，在“兩高一部”沒(méi)有出臺(tái)具體政策之前，可以從三方面把握：第一，對(duì)于《解釋》第五條第三款規(guī)定的行蹤軌跡等四類(lèi)信息，因?yàn)槿胱镩T(mén)檻低、數(shù)量少，核實(shí)不會(huì)過(guò)多增加司法負(fù)擔(dān)，建議進(jìn)行核實(shí);第二，對(duì)于該條第四款規(guī)定的相對(duì)敏感信息，是否要逐一核實(shí)，可由省級(jí)公檢法機(jī)關(guān)協(xié)商決定;第三，對(duì)于其他信息，一般不需要核實(shí)即可直接認(rèn)定，存在爭(zhēng)議時(shí)根據(jù)具體案件進(jìn)行處理。

在司法實(shí)踐中，還可以參考抽樣驗(yàn)證的方法，隨機(jī)抽取一定數(shù)量的樣本進(jìn)行核實(shí)，然后再根據(jù)抽取樣本的比例進(jìn)行推算。一般是委托第三方機(jī)構(gòu)進(jìn)行鑒定，提取后進(jìn)行哈希值檢測(cè)，然后對(duì)同樣的條目進(jìn)行剔除。最好請(qǐng)鑒定機(jī)構(gòu)根據(jù)統(tǒng)計(jì)學(xué)原理設(shè)定參數(shù)后進(jìn)行抽樣，而不是由公檢法機(jī)關(guān)來(lái)做這個(gè)事情，這樣會(huì)更加客觀。

從司法成本及風(fēng)險(xiǎn)防范角度考慮，建議公安機(jī)關(guān)在移送案件時(shí)要有一個(gè)底線結(jié)論，根據(jù)不同信息的類(lèi)型至少保證五十、五百、五千條的真實(shí)性，這樣就守住了入罪的底線，至于其余的數(shù)量，則是在量刑中要考慮的問(wèn)題。