鉴定意见的采信标准及公民个人信息的定义
——何某侵犯公民个人信息案
【案件基本信息】
1.裁判书字号
北京市第一中级人民法院（2019）京01刑终542号刑事判决书
2.案由：侵犯公民个人信息罪
【基本案情】
北京市石景山区人民法院经审理查明：2016年以来，被告人何某在北京市石景山区现代嘉园××号院×号楼×单元××号其住所内，通过互联网购买、与他人交换、收受等方式非法获取公民个人信息，并存放于其使用的笔记本电脑内。经鉴定，涉案笔记本电脑内置硬盘内提取出公民个人信息共计936万余条；经查，其中属于公民个人财产信息、通信内容信息的共计100余万条；涉及公民健康生理信息、交易信息等其他可能影响人身、财产安全的个人信息共计6万余条。
2017年10月至2018年4月，被告人何某通过移动电话在微信中与他人交换公民个人信息，经鉴定，涉案移动电话内何某以交换的方式向他人提供公民个人信息10482条，以交换的方式非法获取公民个人信息1258条。
2018年5月17日，被告人何某被民警抓获，涉案笔记本电脑一台、移动电话一部均被起获。
北京市第一中级人民法院经审理后认为，原审判决认定何某犯侵犯公民个人信息罪的部分事实不清，证据不足。
【案件焦点】
1.对被告人电脑中存放公民个人信息文件夹及内部文件的创建修改时间形式审查与补充鉴定意见不一致；2.被告人行为的罪与非罪。
【法院裁判要旨】
北京市石景山区人民法院经审理认为，被告人何某违反国家有关规定，非法获取公民个人信息，情节特别严重；向他人提供公民个人信息，情节严重；其行为已构成侵犯公民个人信息罪，应依法予以惩处。北京市石景山区人民检察院指控被告人何某犯侵犯公民个人信息罪的事实清楚，证据确实、充分，指控的罪名成立。鉴于其到案后能如实供述自己的罪行，可对其依法从轻处罚。据此判决如下：
一、被告人何某犯侵犯公民个人信息罪，判处有期徒刑四年，并处罚金人民币五万元；
二、扣押于公安机关的作案工具笔记本电脑一台、移动电话一部，予以没收。
北京市第一中级人民法院经审理认为，原审判决认定何某犯侵犯公民个人信息罪的部分事实不清，证据不足。
北京市第一中级人民法院依照《中华人民共和国刑事诉讼法》第二百三十六条第一款第三项，作出如下判决：
一、撤销北京市石景山区人民法院（2018）京0107刑初313号刑事判决；
二、将本案发回北京市石景山区人民法院重新审判。
【法官后语】
本案的争议焦点之一为被告人何某实施犯罪所用苹果电脑中存放的公民个人信息是否全部为2016年之后获取，即北京信诺司法鉴定所（2018）司鉴字第732号（补充）鉴定意见是否能够被采信。
一、对被告人电脑中存放公民个人信息文件夹及内部文件的创建修改时间形式审查与补充鉴定意见不一致
北京信诺司法鉴定所（2018）司鉴字第732号（补充）鉴定意见称“该计算机内提取出与公民个人信息相关数据69762个，69762个文件创建时间均为2016年”。经承办人比对，发现被告人在电脑中以word文档或excel表格形式存放公民个人信息数据，在此基础上以文件夹区分购买时间及信息内容，不同文件夹及其包含文件创建时间和修改时间均不一致，其中在“2017年1000元购买重要好资料”以及“2018年2月购买金融、银行、证券、投资通讯录”和“2017某网站购买提取数据”三个文件夹中，文件夹及内部文件夹的创建时间和修改时间均为2018年6月7日或6月8日，而里面具体的word或excel公民信息创建时间与修改时间相同，显示为2017年或2018年。在“2017年整理互联网、软件、技术等工程师”的文件夹中，文件夹及内部文件夹的创建时间和修改时间均为2018年6月7日或6月8日，而里面的具体的word或excel公民信息创建时间与修改时间相同，除了2016年之后的，还有一部分2015年或2014年的。在“桌面备份”文件夹中，文件夹及内部文件夹的创建时间和修改时间均为2018年6月7日或6月8日，而里面的具体的word或excel公民信息创建时间与修改时间相同，除2016年之后，还有不少显示时间为2009年到2015年。
二、法官依个人生活经验验证被告人辩解及律师意见具备部分合理性
本案二审阶段被告人提出鉴定意见中的数据有些不是近期的，不应计入入罪数据总量，其辩护律师提出的“实际情况是被告人2016年换过电脑，当时就把2016年以前收集的信息一并复制到新电脑中，因此显示创建时间为2016年”。为验证文件夹及文件在跨设备转移过程中是否会改变创建及修改时间。法官在个人计算机操作经验基础上，通过用U盘复制一台电脑中的文件夹到另一台电脑的方式，反复多次实验，发现文件夹及内部文件夹的创建时间、修改时间确实会随存储设备变更而发生变化，变成执行转移操作时的时间，而文件夹中包含的word或excel文件的创建时间、修改时间则不会变化。虽然文件创建修改时间为2016年之前不能直接推导出文件系被告人2016年之前获取，但被告人及辩护人所提设备更换导致的文件创建时间改变确实具备部分合理性。
三、与鉴定人沟通后再次加强法官内心确信并提出充分合理怀疑
经过与作出补充鉴定意见的其中一位鉴定人沟通，鉴定人针对该补充鉴定意见作出专业回答，并表示被告人电脑中存放公民个人信息部分文件显示2016年之前创建并修改，这种情况不能排除律师所称部分信息系在2016年之前收集获取，2016年后拷贝到该笔记本中的可能，亦不能排除被告人没有换过笔记本，而是在2016年后将2016年前已收集购买的信息进行过同一存储介质内的转移，而转移又可以分为复制与剪切两种操作方式，对应产生的创建时间都会不同，有的变化、有的不变，且与特定电脑的系统设置有关。此外，确定电脑内的文件信息的真正创建时间有赖于电脑系统情况，所需工程量非常庞大且复杂；本案补充鉴定意见所称的“笔记本中的全部文件信息创建时间均为2016年”只是该鉴定所形式审查后所做出的形式时间，并不一定就是该信息的真正创建时间。
综上，法官凭借个人生活经验，结合鉴定人对鉴定意见所作的专业说明，合议庭经讨论，一致认为北京信诺司法鉴定所（2018）司鉴字第732号（补充）鉴定意见明显存在表述瑕疵及结论失真情况，不应予以采信。
本案的争议焦点之二为被告人行为罪与非罪。
首先，由于“侵犯公民个人信息罪”系2015年8月29日通过的《中华人民共和国刑法修正案（九）》才予以规定，根据刑法溯及力规定，只有2015年11月1日正式实施之后的该犯罪行为才算犯罪，本案中对被告人笔记本里文件的创建修改时间的反复确认也是为查明被告人实施犯罪时间节点，以在此基础上根据被告人获取信息数量，审查被告人行为是否构成犯罪以及构罪之后的量刑标准。
其次，被告人行为是否属于刑法条文规定的“违反国家有关规定”，对此，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第二条规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。现有法律规定主要有：2016年《中华人民共和国网络安全法》第四十四条，任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。《中华人民共和国民法典》第一百一十一条规定，自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。且根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条的规定，公民个人信息包括姓名、身份证号、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹。
可见，针对公民个人信息犯罪目前尚未有直接针对性刑法条文表述，从目前全国审判实践来看，也只能依据零散的、相对间接的法律法规予以定案。在学术界，有学者周道鸾、张军所著《刑法罪名精释》[3]一书以及其他学者发表的文章一直呼吁尽快出台相应法律，否则此罪名缺乏前置法律依据。
结合本案具体情况，合议庭在排除补充鉴定意见前提下，认为依据现有其他证据，可以证明被告人2017年以后通过违法手段获取公民个人信息的犯罪事实，且已达到刑法规定入罪标准，关于第一起事实因证据不足无法认定，且辩护人对此发表针对性意见，为充分保障被告人权利，合议庭最终作出发回重审决定。石景山法院重新组成合议庭开庭并于2019年8月8日作出判决，被告人上诉后，北京市第一中级人民法院于2019年9月27日作出终审裁定，裁定驳回上诉，维持原判。
编写人：北京市第一中级人民法院 杨亮 申政伟