“非法使用公民个人信息”也宜入罪
刑法修正案(九)将刑法修正案(七)规定的出售、非法提供公民个人信息罪和非法获取公民个人信息罪整合为侵犯公民个人信息罪，并将非法获取、出售及提供公民个人信息的行为作为侵犯公民个人信息罪的三种具体行为类型。然而，该罪还遗漏了一种重要的行为类型，那就是非法使用公民个人信息的行为。作为侵犯公民个人信息罪的核心行为，非法使用公民个人信息的行为表现出越来越严重的社会危害性。鉴于此类行为具有独立的评价意义，笔者认为，应当将其与非法获取、出售及提供行为相并列，增设到侵犯公民个人信息罪中，使该罪能涵盖这样一种行为类型。
首先，非法使用公民个人信息行为具有广泛而严重的社会危害性，亟须启动刑法规制。与非法获取、出售及提供等远离信息主体具体权益的行为不同，非法使用行为系直接接触信息主体权益的行为，更易对公民个人的财产、征信、名誉等造成严重损害。例如，有的不法分子大肆使用公民个人信息在电商领域虚假注册用户和店铺从事违法犯罪活动，严重危害电子商务的发展等。
其次，有利于实现刑法与前置法的衔接，并增强刑法内部逻辑体系的自洽性。民法总则第111条明确规定不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或公开他人个人信息。网络安全法第41条也明确规定，网络运营者不得违反法律、行政法规的规定和约定收集使用个人信息;第42条规定，未经收集者同意，不得向他人提供个人信息。《电信和互联网用户个人信息保护规定》第9条规定，未经用户同意，电信业务经营者、互联网信息服务提供者不得收集、使用用户个人信息。它们均将公民个人信息的使用行为作为独立的一种行为类型与获取、出售、提供行为并列规定，这也意味着在民法、行政法的语境下，使用行为是具有独立评价意义的。刑法未能将非法使用公民个人信息的行为与非法获取、出售、提供公民个人信息的行为并列规制，这与刑法内部的其他罪的规制不协调。如侵犯商业秘密罪就是将使用商业秘密的行为与获取、披露、提供商业秘密的行为相并列，这种对行为类型的规制方式对于与其属同一罪名构成模式的侵犯公民个人信息罪而言，无疑应当具有借鉴意义。何况，公民个人信息除具有商业秘密所具有的财产属性外，还具有人身属性，更有保护的必要，按照举轻以明重的思路，将非法使用公民个人信息的行为纳入刑法规制范围确属应有之义。
再次，增加非法使用公民个人信息行为这一类型，可以弥补非刑事程序救济能力的不足。公民个人信息被非法使用虽然目前也有一些救济渠道，但总的来看，其救济能力、救济效果明显与信息主体遭受的损害不相匹配。如个人信息被他人盗用办理多张异地信用卡，或注册多家公司，因银行及工商部门有相应的注销程序，公安机关并不受理此类案件，而让其自行解决即按照银行及工商部门的规定进行注销，然而注销程序从准备材料到程序审核不仅繁琐，更关键的是若涉及信用卡中有欠款或公司涉及债务，则注销难度更大，而且此种情形下让信息主体来承担信息非法使用人所造成的后果也显失公平。此外，在能够找到原申请人(个人信息非法使用人)的情况下，工商部门及银行往往以不能泄露客户隐私为由，不向信息主体提供原申请人的信息，致使信息主体无法找到非法使用人，这也阻断了信息主体针对非法使用人向法院提起民事诉讼的途径。如果能将非法使用公民个人信息行为入罪，则当公民个人信息被非法使用而向公安机关报案时，公安机关就不能再以不在其受理范围为由而拒绝受理，显而易见，公安机关的调查取证及查清非法使用行为人的能力要远高于信息主体本人。当受害人向公安机关报案或向法院提起自诉并在能力范围内提供相应证据后，进一步调查取证的义务则转移至公安机关和法院，由他们根据调查结果决定后续的程序。即便未达到刑事立案标准，但查清非法使用行为人的有关情况，也为信息主体通过民事程序解决问题并请求赔偿奠定了基础。
综上，应当将非法使用公民个人信息的行为入罪。至于入罪的具体方案，笔者认为，由于受“罪刑法定原则”的影响，最理想的还是要通过修法，将非法使用公民个人信息的行为纳入到侵犯公民个人信息罪中来，使其与非法获取、出售及提供公民个人信息的行为一起，共同成为该罪的规制对象，进而将现行刑法第253条之一的侵犯公民个人信息罪的条文修改、整合为：
“违反国家有关规定，窃取或者以其他方法非法获取公民个人信息，或者非法向他人出售、提供公民个人信息，或者非法使用公民个人信息，情节严重的，处三年以下有期徒刑或拘役，并处或单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”
“违反国家有关规定，将在履行职责或提供服务过程中获得的公民个人信息，非法出售、提供给他人或者非法使用的，依照前款规定从重处罚。”
“单位犯前两款罪的，对单位判处罚金，并对直接负责的主管人员和其他责任人员，依照各款的规定处罚。”
(作者单位：中国社会科学院法学研究所)
