编者按
当前，各地科学研判、精准施策，接连打出“组合拳”，循序渐进引导企业复工复产。与此同时，虚假宣传、侵害消费者个人信息等违法行为有所抬头。本报精选了侵犯消费者个人信息典型案例，邀请执法人员对案例进行评析，给各地市场监管干部查办此类案件提供参考。
案情简介
在查处教育培训机构价格违法案件中，浙江省台州市椒江区市场监管局执法人员发现这些教育培训机构大多存在按照名单拨打电话推销业务的行为，并发现某机构员工在网上以1500元价格兜售“6万条椒江区小学初中学生个人信息”。2019年8月1日，根据案源线索，椒江区市场监管局联合椒江区公安局成功查处一起侵犯公民个人信息案件，包含学生姓名、学校、年级、联系方式等个人信息6万余条。当事人张某A作为教育培训机构从业人员，利用职务之便，从历年任职的各个教育培训学校内以窃取、交换等方式非法获取学生个人信息6万余条，并且将其用于线下交易在网络销售，查实交换1次，销售2笔，获利1900元。目前，张某A因涉嫌构成侵犯公民个人信息罪被移送公安机关继续调查并追究刑事责任。
根据此案线索，椒江区市场监管局顺藤摸瓜，查处了4起教育机构及其从业人员购买、交换、销售学生个人信息案件。
案件一：A机构于2019年6月14日以1700元的价格从张某A处购得3万条左右学生个人信息，经核实发现数据质量较差遂弃用。
案件二：B机构于2019年1月24日以800元的价格从张某B处购得2159条学生个人信息，后于2019年4月4日以700元的价格从在B机构任职的张某A处购得42128条学生个人信息，并根据从张某A处购得的信息招揽到两名学生，学费共计4239元。
案件三：张某A曾在C机构任职，离职后与C机构达成交换学生个人信息的合意。2019年3月，C机构提供给张某A学生信息1556条，张某A将其持有的部分学生个人信息复制至C机构前台电脑，后因电脑系统故障，上述学生数据丢失。
案件四：张某B将其获取的2159条学生个人信息以800元的价格销售给B机构。
争议及分析
此系列案并不复杂，但由于侵犯消费者个人信息行为较难取证，可以借鉴的既往案例较少，执法人员对这类案件定性处罚比较慎重，内部存在不同意见。
一是关于个人信息的范围。
目前我国关于个人信息的界定，最为权威的当属《网络安全法》的规定。《网络安全法》第七十六条规定：个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下称《解释》）第五条规定：“非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为《刑法》第二百五十三条之一规定的‘情节严重’……（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的。”上述案例中的学生个人信息包含学生姓名、学校、年级、联系方式等内容，一一对应，属于第三类的普通信息。
二是关于罪与非罪、刑事与行政的认定。
当事人张某A窃取或者以其他方法非法获取公民个人信息6万余条，根据《解释》第五条第二款第（三）项，属于《刑法》第二百五十三条第一款“情节特别严重”，应当追究刑事责任。而C机构和张某B 销售、交换的个人信息不足5000条，未达到刑事追诉标准。
对于A机构和B机构的违法行为，执法人员存在不同观点。观点一认为，上述两机构购买个人信息的行为属于《刑法》第二百五十三条第三款“窃取或者以其他方法非法获取公民个人信息的”，数量大于5000条，应当追究刑事责任。观点二认为，上述两机构购买个人信息的行为属于为合法经营活动购买、收受公民个人信息定罪量刑的特殊标准，未达到刑事追溯标准。
执法人员最终采用了观点二，理由是：从实践来看，购买、收受公民个人信息从事广告推销等活动的情形较为普遍。《解释》第六条第一款规定，为合法经营活动而非法购买、收受本解释第五条第一款第（三）项、第（四）项规定以外的公民个人信息，具有下列情形之一的，应当认定为《刑法》第二百五十三条之一规定的“情节严重”：（一）利用非法购买、收受的公民个人信息获利五万元以上的；（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；（三）其他情节严重的情形。这是《解释》针对为合法经营活动而购买、收受公民个人信息的行为设置的专门的定罪量刑标准。
需要注意的是，适用该定罪量刑标准仍须满足三个条件：为了合法经营活动，对此可以综合全案证据认定，但主要应当由当事人提供相关证据；限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息；信息没有再流出扩散，即行为方式限于购买、收受。根据《解释》第六条第二款的规定，如果将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准应当适用《解释》第五条的规定。为了合法经营活动交换公民个人信息的，由于在获取信息的同时造成了信息扩散，不符合前述三个要件，定罪量刑标准亦应适用《解释》第五条的规定。
本案中，A/B机构购买学生个人信息的目的是通过上述信息向学生及学生家长拨打推广电话，介绍自身的品牌及课程，吸引学生及其家长到校体验从而销售课程。虽然上述行为违反了《消费者权益保护法》第二十九条第三款“经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息”之规定，但其开展教育培训课程的经营活动是合法合规的，办有民办学校办学许可证，且未将购买所得的个人信息用于销售和交换，因此两机构的行为属于为合法经营活动购买公民个人信息的行为。两机构未据此获利5万元以上，无违法行为前科及其他情节严重的情形，不属于《刑法》第二百五十三条第一款“情节严重”的情形，因此不应追究刑事责任。
三是关于信息数据中的学生是否属于适当的消费者。
在上述案件法律适用的过程中，执法人员有以下观点。观点一认为，本案不适用《消费者权益保护法》。根据《消费者权益保护法》第三条的规定，经营者为消费者提供其生产、销售的商品或者提供服务，应该遵守本法。适用《消费者权益保护法》的前提是经营者为消费者提供了其生产、销售的商品或者提供了服务，只有在一个相对的民事法律关系中才存在经营者和消费者的概念。本案中，教育机构购买个人信息后，其业务员向陌生人群拨打电话询问，不构成民法意义上的邀约邀请，未实际形成民事法律关系。也就是说，教育机构只是询问电话接听者是否需要服务，没有实际提供任何商品或服务，也没有形成消费合意，不属于《消费者权益保护法》意义上的经营者和消费者，不能适用《消费者权益保护法》。此外，教育机构不属于网络运营者或网络商品经营者、有关服务经营者，其行为也不适用《网络安全法》及《网络交易管理办法》。
观点二认为，教育机构的行为侵犯了广义消费者的合法权益，应当适用《消费者权益保护法》予以规范。《消费者权益保护法》的立法目的是整体保护消费者的合法权益，只要提供商品或者服务方从事市场经营活动即认为是经营者，只要购买商品或者接受服务的一方是为了个人或者家庭消费需要即认为是消费者。对于本案而言，《消费者权益保护法》中的经营者是指从事生产、销售商品或者提供服务等经营活动的民事主体。上述教育机构提供教育培训服务，具有经营者的主体资质。《消费者权益保护法》保护的是广义的消费者。从教育机构按个人信息名单拨打电话的行为可以看出，教育机构将电话接听者作为购买其课程和培训服务的潜在消费者，消费者接到电话即等同于接受其推销服务。上述教育机构通过购买等渠道获取消费者个人信息，未获得消费者同意，其使用消费者个人信息向消费者推销课程违背了消费者留存个人信息的本来目的，因此本案应适用《消费者权益保护法》。
椒江区市场监管局认为，观点一片面限制了《消费者权益保护法》的规范范围。《消费者权益保护法》的立法目的是为保护消费者的合法权益，维护经济社会秩序，促进社会主义市场经济健康发展，其规范的应当是整个消费领域及消费关系，观点二符合法律的立法原意，最终采纳了第二种意见。
四是关于当事人侵害消费者个人信息行为违法所得的认定。
本案中，张某B销售学生个人信息，违法所得即其获利共800元。B机构购买学生个人信息后，据此招揽到两名学生，学费共计4239元。上述学费并非其违法行为获取的利润，而是其通过违法行为获取生源，合法授课培训后的经营额，因此B机构的违法所得无法计算。
最终，上述案件涉案金额及信息条数均未达到刑事追诉标准。椒江区市场监管局对4名当事人侵害消费者个人信息行为立案查处，认为A机构和B机构违反了《消费者权益保护法》第二十九条第一款的规定，C机构和张某B违反了《消费者权益保护法》第二十九条第二款的规定。根据《消费者权益保护法》第五十六条第一款第（九）项之规定，该局对3家教育机构罚款10万元，对张某B罚款8000元。
心得及思考
通过查办此案，办案人员总结了三点办案心得。
一是通过深挖式调查，让暗藏违法行为浮出水面。上述案件的来源，离不开办案过程中的线索发现。椒江区市场监管局积极开展多个专项整治工作，突破关系民生的行业，深入了解行业的经营模式和发展途径，不局限于原工商、质监等原有业务，深挖细查捕捉案件线索。
二是加强联合式执法，强化行刑衔接打击。围绕个人信息案中取证查处难的问题，椒江区市场监管局执法人员乔装成校外培训机构负责人与违法嫌疑人联系，在取得嫌疑人信任并核实其手上持有的公民个人信息之后，立即联合椒江区公安局分析研判线索，开展前期调查取证。在联合执法行动中，执法人员现场接触嫌疑人，确定学生数据存在、嫌疑人交易微信号及发送数据邮箱后，立即联合民警对涉案人员及作案工具进行控制。执法人员和公安民警连夜询问，成功让涉案当事人交代了与其他3家校外培训机构存在交换、买卖公民个人信息的违法行为。
三是加大警示式宣传，集中约谈促规范。本案中，执法人员为详细核实发现的疑似侵害公民个人信息的违法线索，集中约谈了一批违法当事人。通过法律法规和政策形势宣讲、违法违规后果警示等方式，对违规当事人约谈教育，劝导其帮助协查争取从轻处罚，促使其认清事实，主动承认违法行为或提供线索。本案办结后，椒江区市场监管局举行现场推进会，联合市教育局广泛宣传专项行动成果、典型案例，增强经营者守法经营意识，教育广大消费者主动保护个人信息。(文章来源 中国市场监管报，作者：胡牧、李海琳)
