涉案法律咨询公司的经营范围不包括律师事务所业务，被告人介绍委托指定律师从事刑案代理业务，明显超出合法经营范围，不能认定为合法经营活动，应当适用普通获取型侵犯公民个人信息罪情节严重的入罪标准。

2019年5月，刘某结识某派出所警务队队长金某（另案处理）。2020年9月，刘某注册成立上海圣律法律咨询有限公司（以下简称圣律咨询公司），担任法定代表人和实际经营人。刘某请托金某提供刑事案件被拘留嫌疑人及家属的信息，金某遂使用本人密钥查询辖区内其他办案单位侦办中的刑事案件，将案由、简要案情、嫌疑人及家属姓名与联系方式、被害人及家属姓名与联系方式等100多条信息，通过语音或手写纸条方式交给刘某，刘某先后给予金某1.1万元和6条软中华香烟。刘某取得信息后，与家属电话联系取得信任并谈妥委托律师业务，后以圣律咨询公司名义与家属签订法律咨询合同（协议）并收取费用。刘某将案件交由在看守所门口搭识的执业律师姚某某、刘某某等人代理，通过微信向律师支付佣金。经查，2021年2月至7月间，刘某通过金某获取公民个人信息促成律师代理业务共9起，违法所得计20.15万元。案发后，刘某主动向公安机关投案并如实供述犯罪事实，家属帮助退出全部违法所得。

法院判决

浦东新区法院经审理认为：刘某以其他方法非法获取公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。刘某具有自首情节，自愿认罪认罚，退出全部违法所得，依法减轻处罚。浦东新区法院以侵犯公民个人信息罪，判处刘某有期徒刑1年10个月，并处罚金5000元。

一审宣判后，被告人刘某不服，提出上诉。

上海市第一中级人民法院认为，原判认定事实清楚，证据确实充分，定罪准确，量刑适当，审判程序合法，遂裁定驳回上诉，维持原判。

案例评析

本案争议焦点有两项：一是被刑事拘留的嫌疑人及家属联系方式等信息是否属于公民个人信息；二是圣律咨询公司超出经营范围，作为中介委托推荐律师、签订法律咨询合同并收费的行为是否属于合法经营活动。

一、被刑事拘留嫌疑人及家属联系方式等信息属于公民个人信息

何谓公民个人信息？首先需要梳理法律法规对概念的厘清过程，2012年全国人大常委会《关于加强网络信息保护的决定》首次提出公民个人信息的可识别性与隐私性特征；2013年最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》采用列举式+特征性表述，继续明确可识别性与隐私性；2016年网络安全法明确可识别性系唯一的法律标准，包括直接单独识别与间接结合识别；2017年最高法院、最高检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）规定了范围扩张、信息分级与分类保护原则，强调可识别性+人身财产的安全。由此可见，针对公民个人信息的法律规定逐渐清晰与完善，形式上强调身份的可识别性，即能够识别公民的个体特征，与具体的公民个体相对应匹配，这是公民个人信息的人身属性；实质上关注人身及财产法益的关联性，这是公民个人信息的财产属性，获取并利用个人信息将可能侵害公民的生活安宁、人身安全及财产权利。

如前所述，《解释》按照重要性与敏感度，将个人信息划分3个层级，设置由低到高的入罪门槛。第一类，行踪轨迹信息、通信内容、征信信息、财产信息.这4类信息与人身财产安全直接密切相关，系高度敏感信息，《解释》中未表述“等”字，故司法适用时不能通过等外解释予以扩大；第二类，住宿信息、通信记录、健康生理信息、交易信息等，重要程度弱于第一类，司法实践中可以结合具体情况作等外解释，确保与列举的4类信息在重要程度上具有相当性与同质性；第三类，其他公民个人信息。如何理解这里的“敏感”一词？按照法秩序统一性的要求，应当参照相关行政法规的规定。2021年个人信息保护法明确提出认定敏感信息的标准：一是容易导致个人人格尊严受到侵害，二是人身与财产安全受到危害。同时规定对敏感信息的处理应当取得个人的单独同意。在2013年工业和信息化部《信息安全技术公共及商用服务信息系统个人信息保护指南》、2020年国家市场监督管理总局、国家标准化管理委员会《信息安全技术个人信息安全规范》中，亦区分个人一般信息与敏感信息，设置不同的信息收集规则，收集敏感信息要征得权利主体的明示同意。由此可见，一般信息与敏感信息的区别在于可能招致的损害风险程度，人身财产安全可能遭受较高损害风险的信息界定为敏感信息，反之界定为一般信息。信息的敏感度与重要性呈正比关系，敏感度愈高，重要性愈明显，可能招致损害的风险越大。《解释》规定，敏感度最高的第一类信息，只要5 0条即入罪；敏感度一般的第二类信息要500条入罪；最普通的第三类信息，达到5000条入罪。

本案中，刘某从金某处获取的信息具有如下特征：第一，形式上具有可识别性，系已被刑事拘留案件的简要案情、是否报批准逮捕、嫌疑人姓名、家属姓名及联系电话、被害人或家属姓名及联系电话。每一组信息包括若干具体的信息，嫌疑人姓名+家属姓名+联系电话或被害人姓名+家属姓名+联系电话等，与嫌疑人及家属、被害人及家属具有一一对应关系，能够排除同名同姓等易混同身份的模糊情况，具有明确指向性与个人标签性，符合直接可识别性的形式特征；第二，内容上具有隐私性。按照信息的社会价值标准，可以区分正面信息、中性信息与负面信息。正面信息指体现个人正面社会价值的信息，如获得荣誉称号奖励、职务升迁或职级晋升、正常升学就业等；中性信息指不体现价值评判且客观存在的信息，如身份证、家庭住址、工作单位、家属关系等信息；负面信息指反映个人负面社会价值的信息，如被投诉起诉、列入执行黑名单、被行政拘留或刑事处罚、被性侵诈骗等。价值判断应当采用一般行为人的标准，其中负面信息是个人最不愿意被外界知晓、最具私密性，甚至羞于向他人公开、极力掩盖隐瞒的信息。本案涉及的信息，无论是针对嫌疑人还是被害人，尤其是性侵害、诈骗等案件的被害人，对被害信息往往闭口不提，唯恐被人知道，担心被嘲笑，故均属于负面信息，具有绝对的隐私性；第三，来源不公开性。涉案信息的不公开性显而易见，一方面，金某系派出所警务队队长，具有一定职务，其配备密钥可以登陆公安内网案件综合信息系统，查询辖区内其他办案单位的侦办案件，如果是一般民警，则只能查询本办案单位的侦办案件；另一方面，金某查询到嫌疑人姓名后，还需登陆只有公安干警才有权限的实有人口信息系统，查询到家属及联系电话。这两个信息查询系统都具有一定权限性，公安系统以外的普通人甚至是公安内部的普通民警都无权进入系统；第四，性质上属于一般敏感性，按照《解释》规定，每一类信息仅限定4种类型，且不能作扩大解释，涉案信息系刑事犯罪的关连信息，不属于4种类型之一。第二类信息可以作同质性的等外解释，涉案的每组信息都包含数个零散信息，涉及嫌疑人、家属、被害人及家属等，一旦被公开泄露，则可能遭受社会群体的指责唾弃与孤立，甚至在就业就学时遭到歧视等等，在人身权益方面面临较大的损害风险，因此属于一般敏感度的个人信息。

综上，涉案个人信息具有形式上可识别性、内容上隐私性、来源上不公开性、性质上一般敏感性4项特征，应当认定属于侵犯公民个人信息罪所要求的公民个人信息。

二、超出经营范围中介委托推荐律师签订法律咨询合同并收费的行为，不属于合法经营活动

《解释》规定，为合法经营活动而非法购买、收买普通公民个人信息，具有下列情形之一的，认定为情节严重：（一）获利5万元以上；（二）曾因侵犯公民个人信息受过刑事处罚或者2年内受过行政处罚，又非法购买、收买的；（三）其他情节严重的情形。实践中，购买、收买个人信息从事广告营销活动等行为较为普遍，为秉持刑法谦抑性，体现宽严相济的政策，《解释》设置了专门的定罪量刑标准。且考虑到上述行为社会危害性不大，即使构成犯罪，通常也不需要升档量刑，故只规定情节严重的情形。

本案审理中，辩护人提出刘某通过正常经营活动取得介绍案件的中介费用，并没有将获取的个人信息直接出售获利，也不涉及非法经营、诈骗等活动，故应当适用《解释》为合法经营活动设置的专门罪状，认定情节严重。公诉机关指控情节特别严重，属于法律适用错误。

笔者认为，上述辩护意见与查实情况不相符合，刘某经营圣律咨询公司从事刑案律师委托业务，超出其合法经营范围，不属于合法经营活动。应当适用普通获取型侵犯个人信息罪的标准，《解释》第5条规定，数量或数额达到情节严重标准10倍以上的，如违法所得5万元以上的，认定为情节特别严重，应在有期徒刑3年至7年之间量刑。

合法经营是与非法经营相对应的概念，刑法第二百二十五条规定，构成非法经营罪需要同时满足两个要件，一是违反国家规定，二是严重扰乱市场秩序。从文义解释看，包含两层涵义，第一层是定性规定，构成非法经营行为既要求违反国家规定，又要求扰乱市场秩序，第二层是定量规定，非法经营行为达到情节严重，才能构成非法经营罪。依据定性规定进行反推，合法经营就是指既不违反国家规定又不扰乱市场秩序的经营行为。

首先考察本案是否违反国家规定。国家规定是指全国人大及常委会制定的法律和决定，国务院制定的行政法规、行政措施、发布的决定和命令。第一，审查经营范围是否具备相应的经营资质，即开展业务是否合法。根据工商登记资料显示，圣律咨询公司的经营范围为法律咨询（不包括律师事务所业务）、信息技术咨询等。明确标注排除律师事务所业务，即不能开展刑事诉讼业务，不能以律师身份接受刑事案件嫌疑人或被告人委托、会见关押人员、阅看卷宗、出庭参与庭审活动等。圣律咨询公司股东仅2人，刘某与刘某2（系刘某的妹妹，挂名股东，不参与任何经营活动，不领取报酬），另有1名员工，即刘某表弟，负责跑腿打杂等，公司没有任何执业律师。然而圣律咨询公司却从事律师代理业务，通过在看守所门口搭识两位执业律师建立联系后，将从金某处获取的个人信息告知律师，由律师负责会见嫌疑人、出庭辩护等业务，刘某则负责联系嫌疑人家属签订法律咨询合同、收费再分配佣金。形式上签订法律咨询合同，实质上却开展委托律师业务，以形式合法性来掩盖业务的实质违法性，从本质上否定经营活动的合法性。

审理中曾有意见提出，刘某从事居间介绍律师的业务，提供案源介绍律师促成委托，这属于正当的法律服务，应当收取相应的服务报酬。笔者认为，如果确系居间介绍业务，圣律咨询公司应当与律师事务所签订居间服务合同，约定提供案源促成委托事项时，可以收取一定比例佣金，委托费用先转至律师事务所账户，后再按照合同约定转至圣律咨询公司账户。本案中，刘某取得案源信息后，并未告知律师所属的律师事务所，而是私自介绍委托律师，直接收取费用扣税后再转给律师个人，这种暗箱操作的违规行为，当然不能认定为合法的居间服务业务。

其次审查经营活动中有无违规行为。嫌疑人家属与圣律咨询公司签订合同，钱款转入圣律咨询公司的账户，扣除1%开票税后，刘某将钱款转入个人账户，再按约定将部分钱款转给指定律师。刘某供述，这样操作是因为如果通过律师事务所收费则需要交15%的税款。事实上，这种做法一方面违反税收法的相关规定，有明显偷逃税款之嫌；另一方面违反律师法规定，律师承办业务，应由律师事务所统一委托，签订委托合同，统一收费并如实入账。律师在律师事务所以外承担业务，属于违规行为，很可能招致司法局或当地律协的相应处罚；此外，刘某将公司账户与个人账户混同，钱款随意转进转出，亦违反公司法的相关规定。当然，判定行为是否合法经营活动，应当从整体上把握，既不能以经营过程中可能存在偷漏税、违规承接业务、单位与个人账户混同等违规行为即全盘否定经营活动的合法性，也不能以前期非法购买公民个人信息的违法行为来推定后续经营活动的非法性。刘某超出圣律咨询公司的经营范围从事律师代理业务，这是否定其行为系合法经营活动的关键因素与核心要点。

审理期间有观点提出，刘某帮助部分嫌疑人家属介绍聘请执业律师，利用获取的被害人及家属信息，促成双方最终达成赔偿谅解协议并适用缓刑，对嫌疑人及家属起到积极的引导帮助作用。即使嫌疑人家属通过其他途径聘请律师，可能最终判决结果并无实质差异。故对嫌疑人及家属、被害人等个体而言，这些行为并不具有明显的社会危害性，应当判定刘某从事的经营活动具有合法性成份。对此笔者并不认同。合法经营是指经营资质、经营范围均符合法律规定的经营行为，属于程序性的合规要求。例如经营专营专卖或其他限制买卖物品，必须具备经营许可证。再如经营证券期货、保险业务等，必须经国家有关主管部门批准。实践中，在许多非法吸收公众存款及集资诈骗罪案件中，前期有部分投资人都正常收回本金及利息，但并不足以改变企业没有金融牌照违法开展吸储存储业务的违法性质。故在整体经营活动中，即使存在为某个嫌疑人进行有效辩护最终促成和解缓刑等情节，亦不能从根本上否定刘某经营活动的非法性，只能作为量刑情节予以酌情考虑。

再次评判本案是否扰乱市场秩序。刘某最初跟随堂哥在看守所门口做诉讼黄牛，自从成功利用金某获取内部信息促成首单业务后，为进一步拓展业务增加收益，专门设立圣律咨询公司，与金某形成固定的互惠互利关系，双向互动提供信息，既有刘某找寻案件线索后要求金某具体查实并提供进一步信息的情形，也有金某主动每月定期提供套餐式信息的情况。多名证人还证实，在嫌疑人被关押2-3天后，即收到185开头的手机电话（系刘某用表弟的手机拨打），对方自称是看守所工作人员，让家属委托律师，充分利用事发时家属慌乱急切的心理状态，通过假冒身份、抛出准确信息，取得家属信任，催促家属尽快到圣律咨询公司签订协议并付款。事后曾发生有些家属要求退费另行委托律师，但至今未能退费的情况。刘某供述金某提供了100多组信息，总共谈成30多件，证据查实的仅有9件，故公诉机关仅指控9起案件，认定收取费用20.15万元系违法所得。

众所周知，良性有序的律师委托市场，应当具备信息对称、理性沟通、权利义务对等的要素，依托专业性支撑，遵循优胜劣汰的普遍市场规律。本案被告人刘某利用家属病急乱投医的慌乱情绪，来不及详细了解案情及可能的法律后果，匆忙促成委托事项，必然造成事后反悔、重复委托等浪费司法资源与个人财力的情况。这种诉讼斩客行为，具有一次性交易、短期收益、收费低服务差、恶性争抢案源等特征，既破坏正常的市场委托秩序，造成劣币淘汰良币的逆势现象，也损害普通大众内心对律师职业的尊重依赖感，容易造成律师体系内部争相降价、降低服务质量、降低专业服务与规范标准的恶性竞争环境。综上，刘某行为既违反国家规定，同时严重扰乱律师市场的正常秩序，故不能认定系合法经营活动。

对于金某的行为，其作为某派出所警务队队长，个人密钥享有比普通民警更多的权限，可以查询本辖区内所有刑事及行政案件的信息，包括本派出所与其他办案单位在办案件的详细信息，同时能通过只有公安干警才能进入的实有人口信息系统，查找嫌疑人家属联系电话等关联信息。基于职业纪律与职业风险的考虑，金某知晓提供信息的风险与边界，如果提供本派出所侦办案件信息，可能导致职务犯罪的严重危害后果，其故意避开所在派出所的案件，仅提供其他派出所侦办案件的信息。同时考虑到刘某利用信息的唯一途径是电话联系家属争取案源并收费，故金某剔除掉没有家属及联系电话的案件信息。

2009年刑法修正案七规定了出售、非法提供公民个人信息罪与非法获取公民个人信息罪，2015年刑法修正案九将两罪合并为侵犯公民个人信息罪。该罪包含两种行为方式，一种是先合法获取后非法使用，在履行职责与提供服务中获得信息又出售提供型；另一种是先非法获取后合法使用，以窃取、购买、收买、交换或其他方法非法获取信息。无论前端的信息来源是合法或非法，只要有出售提供行为，无论后端的信息用途是合法或非法，只要有违规获取行为，均有可能入罪。据此，金某利用职务合法获取后非法提供信息的行为，与刘某非法获取后合法（违规）使用信息的行为应当成立对合犯，可以认定为共同犯罪。



来源：《人民司法·案例》2023年第26期

一审：（2022）沪0115刑初388号

二审：（2022）沪01刑终934号

作者：刘娟娟  单位：上海市浦东新区人民法院