【案情】
2016年5月，被告人张聪祥从“暗网”购买大量他人邮箱账号及密码和日本人的信用卡信息，使用软件筛选出可以登录苹果手机ID账号的邮箱账号及登录密码，登录其事先租用的八十余台苹果4手机，在ID账号内绑定日本人的信用卡信息，并使用上述苹果4手机低价为游戏玩家充值以牟取非法利益。
2016年11月，被告人赵鹏宇通过QQ联系到张聪祥，以每条120元的价格向张聪祥购买日本人的信用卡信息若干条，另在网站下载、在QQ群下载或者购买外国人的邮箱账号及密码和信用卡信息，使用软件筛选出可以登录安卓手机账号的邮箱账号及登录密码，登录其持有的十余台安卓手机，在账号内绑定日本人的信用卡信息，并使用上述安卓手机低价为游戏玩家充值以牟取非法利益。此外，赵鹏宇还将非法获取的一部分信用卡信息高价出售给王某。
经鉴定，在张聪祥的电子设备中共检出邮箱账号密码信息数据量74.9GB，信用卡信息4301条；在赵鹏宇的电子设备中检出邮箱账号密码信息二百余万条，信用卡信息3132条。①
①参见萍乡市安源区人民法院（2018）赣0302刑初203号刑事判决书，萍乡市中级人民法院 （2018）赣03刑终158号二审刑事判决书。
【控辩审概况】
公诉机关指控两被告人非法获取并违反国家有关规定向他人出售公民个人信息，情节特别严重，且系共同犯罪，应当以侵犯公民个人信息罪追究刑事责任。
被告人张聪祥对指控的事实及罪名均无异议，其辩护人提出的辩护意见之一，是被告人张聪祥不构成被指控的犯罪，因为侵犯公民个人信息罪中的“公民”指具有中华人民共和国国籍的自然人，而张聪祥所获取个人信息的所有权人都是日本人或其他外国人，并不是中国公民。被告人赵鹏宇及其辩护人对指控的事实和罪名均无异议。
对于公诉机关的指控意见，一审法院基本上完全采纳，只是认为两被告人不构成共同犯罪。对于张聪祥辩护人提出的上述辩护意见，一审法院认为，刑法并未将公民个人信息限定为中华人民共和国公民个人信息，外国人的信息也应当同中国公民的信息一样受到刑法的平等保护，因此对该辩护意见不予采纳。据此，一审法院以被告人张聪祥犯侵犯公民个人信息罪，对其判处有期徒刑四年，并处罚金人民币四十万元；以被告人赵鹏宇犯侵犯公民个人信息罪，对其判处有期徒刑三年六个月，并处罚金人民币三十万元；公安机关从被告人张聪祥住处扣押的笔记本电脑5台、iphone4手机86台、iphone6plus手机1台以及从被告人赵鹏宇住处扣押的电脑主机4台、安卓手机14台、iphone7plus手机1台，予以没收，由公安机关依法处理。
两被告人提出上诉后，二审法院对张聪祥改判为有期徒刑三年、缓刑四年，对赵鹏宇改判为有期徒刑三年，缓刑三年，罪名、罚金及没收财物不变。
//
【评析】
在以上案例中，张聪祥的辩护人认为本罪的被害对象不包括外国人（本文中的“外国人”，包括具有外国国籍的人、无国籍人和国籍不明的人），而司法机关则认为本罪的被害对象也包括外国人，因为刑法要同等保护外国人的利益，有学者赞同司法机关的这种观点和理由。② 还有学者认为，刑法将本罪主体限制为“公民”很不合理，因为到我国旅游、读书、工作、投资、探亲、定居的外国人越来越多，若不平等保护其个人信息，则不法分子就会肆无忌惮地窃取、提供、出售外国人的个人信息，严重损害中国形象，因此，对本罪中的“公民”应扩大解释为包括外国人在内。③ 另有学者认为，本罪中的自然人原则上应包括外国人在内，因为保护个人信息之自决权并非参政权或受益性质的权利，没有排除外国人适用的理由。④ 还有学者认为，从我国《刑法》第7条、第8条、第376条，以及《宪法》第33条的规定来看，我国刑法中是严格区分了“公民”和“外国人”“自然人”的，将刑法中的“公民”扩张解释为“自然人”会明显突破“公民”的核心语义范围，不符合刑法文义解释的基本原理，但是，由于我国《刑法》第253条之一并未在“公民”之前添加“中国”这一前辍，因此可以将本罪中的“公民”文义解释为包括中国公民和外国公民。⑤ 本文认为，以上观点值得商榷。
首先，《宪法》是各部门法的“母法”，是制定各部门法的法律根据，对部门法词语进行解释，必须符合宪法的相关规定。诚如学者所言，在我国以宪法为统帅的法秩序下，不仅刑法的制定要与宪法保持一致，而且刑法的解释也要与宪法保持一致。⑥从“公民”和“外国人”在《宪法》章节条文中的位置来看，两者不是同一概念，不能将“公民”解释为包括外国人。《宪法》第一章“总纲”第32条规定：“中华人民共和国保护在中国境内的外国人的合法权利和利益，在中国境内的外国人必须遵守中华人民共和国的法律。中华人民共和国对于因为政治原因要求避难的外国人，可以给予受庇护的权利。”《宪法》第二章“公民的基本权利和义务”第33条规定：“凡具有中华人民共和国国籍的人都是中华人民共和国公民。中华人民共和国公民在法律面前一律平等。国家尊重和保障人权。任何公民享有宪法和法律规定的权利，同时必须履行宪法和法律规定的义务。”可见，“公民”和“外国人”在国籍方面是一对相反的概念。公民是指具有中国国籍的人，不包括具有外国国籍的人和无国籍的人。例如，《刑法》第376条第2款规定：“公民战时拒绝、逃避服役，情节严重的，处二年以下有期徒刑或者拘役。”该款中的“公民”仅指中国公民，不可能包括外国人，外国人也不具有为我国服兵役的义务。对于那些国籍不明的人，比如非法进入中国境内后撕毁护照、签证并拒不交代自己国籍的人，也不能视为中国公民，应当视为外国人。虽然在故意杀人罪、强奸罪、盗窃罪等绝大多数没有规定被害对象国籍的犯罪中，根据《宪法》第32条的规定，的确应当将被害对象解释为包括外国人，以体现《宪法》和其他法律对“在我国境内的”外国人的同等保护，这也是国际惯例的要求。但是，《刑法》第253条之一明文规定本罪的被害对象是“公民”而不是“自然人”或“外国人”，因此，不能将本罪被害对象解释为包括外国人，否则，是对被告人不利的类推解释，明显违背罪刑法定原则。
况且，《宪法》第32条规定保护外国人合法权利和利益的重要前提是外国人在我国境内，如果外国人不在我国境内，则不受我国法律保护。不仅我国，世界上任何国家的宪法都不可能规定去保护在本国境外的外国人的权利和利益，不可能要求自己对全世界人承担义务。所谓“在中国境内”，当然是指外国人作为一个活人其身体正在中国境内，不可能解释为外国人的个人信息被在中国境内的人所侵犯。例如，在本案中，张某所购买和出售的个人信息的主人是日本人，并无证据证实那些日本人正在中国境内工作、生活或旅游，而更有可能在日本境内，因此根本不属于《宪法》第32条规定的保护对象。
或许有人认为，虽然本案被告人侵犯的是在我国境外的外国人的权利和利益，但根据我国《刑法》第6条规定的属地管辖原则，我国法院对被告人的犯罪行为仍有权管辖。这种质疑属于跨论域的错误。因为，适用《刑法》第6条属地管辖原则的前提，是行为人在中国领域内犯了罪，如果没有“犯罪”，自然谈不上适用该原则的问题。而由于《刑法》并未明文规定要处罚侵犯外国人个人信息特别是正在我国境外的外国人的个人信息的行为，则侵犯外国人个人信息的行为并不构成本罪，根本谈不上能否适用属地管辖原则的问题。
其次，从词汇来源来看，“公民”只是汉语词汇，只能用来称呼中国公民，不能把外国人称为“公民”。外国人在其国内显然不可能被称为“公民”，而只能根据各语种进行称谓，比如日语中称“市民”，英语中称“citizen”“national”，德语中称“Bürger”，法语中称“Citoyen”，意大利语中称“cittadino”等。公民与自然人是两个不同概念。自然人是与法人相反的概念，指在自然状态下出生的人，包括中国公民和外国人。公民则是与外国籍人、无国籍人等“外国人”相对的概念，仅指中国公民。虽然《宪法》第32条规定要“保护在中国境内的外国人的合法权利和利益”，但是，保护在中国境内的外国人的权利和利益的方式多种多样，比如民事保护、行政保护等，至于能否刑事保护，取决于现行《刑法》有无明文规定。由于《刑法》第253条之一明确将本罪犯罪对象限制为“公民个人信息”，因此不能将“公民”解释为包括外国人在内，否则既缺乏法律依据，又是将“公民”与“自然人”混为一谈，正如将“外国人”解释为包括我国公民是将两个不同概念混为一谈一样。如果《刑法》第253条之一要保护外国人个人信息，则应当将行为对象规定为“自然人”，或者直接删除“公民”两字。并且，即使将本罪对象规定为“自然人”，对外国人进行保护的前提，仍然是该外国人的合法权利和利益受到侵犯时，其本人正好工作、生活或旅游于我国境内。另外，能否将“公民”解释为包括真公民和假公民，从而将外国人包括进去？同样不能。因为当刑法条文使用某一概念时，就不能将与该概念相反的概念解释为该概念，正如对“持枪抢劫”中的“枪”只能解释为真枪而不包括假枪一样。
再次，有学者认为将“公民”解释为包括“外国人”是符合立法原意的扩大解释，这种观点值得商榷。因为，公民和外国人是两个相反概念，尽管两者都是指自然人，但两者在是否具有中国国籍方面完全相反。当刑法用“公民”来限制本罪被害对象时，就不能将不具有中国国籍的非公民解释为本罪被害对象，否则就是对被告人不利的类推解释。尽管在法感觉上刑法应当同等保护外国人的权利和利益，但是不能纯粹用法感觉去代替罪刑法定原则，对外国人权利和利益进行保护的前提，一是《宪法》第32条所规定的该外国人“在我国境内”，二是《刑法》中要有明文规定，否则，即使法感觉要求平等保护的意愿再强烈，也不宜突破罪刑法定原则。例如，与侵犯个人信息相比，拐卖刚满14周岁男子无疑更值得保护，但是在《刑法》没有明文规定的情况下，根本无法定罪。既然《刑法》第240条规定拐卖妇女、儿童罪的被害对象是妇女和儿童，而没有任何条文明文规定拐卖年满14周岁男子要构成犯罪，则将妇女或儿童解释为包括年满14周岁男子，就是刑法严格禁止的类推解释。既然连拐卖刚满14周岁男童都不能定罪，则侵犯外国人个人信息尤其是通过网络侵犯正在我国境外的外国人的个人信息，就更不能定罪。仅仅以平等保护为由要求扩大解释的，理由明显不足。
可能有人提出疑问，认为在故意杀人罪中，即使实际“杀害”对象不是真的活人而是死人尸体、其他动物甚至稻草人，对行为人同样要以故意杀人罪（未遂）论处，说明《刑法》第232条中的“人”不仅包括真人而且包括非真人，同理，本罪中的“公民”也应当包括真公民和假公民，侵犯假公民个人信息的，同样应当定本罪，只不过可能以未遂犯论处更恰当而已。这种质疑属于“跨论域”的错误，因为，当我们在讨论能否将一个概念解释为包括与其相反的概念在内时，所在的论域是概念真假问题，而犯罪既遂未遂则是犯罪停止形态问题，如果在讨论概念真假问题时插入犯罪既遂未遂问题，则是将两个论域的问题混为一谈，从而无法得出正确结论。就犯罪未遂而言，虽然实际侵害的对象与行为人意欲侵害的对象不一致，但是用作参照以便认定既遂未遂的仍然是行为人主观上意欲侵害的真对象，是针对侵犯该真对象来谈论犯罪既遂或未遂。换言之，意欲侵犯真对象却错误地侵犯到假对象的，并不是针对假对象构成犯罪未遂，而是针对意欲侵害的真对象构成犯罪未遂。当然，如果行为人原本意欲侵犯我国公民个人信息，实际上侵犯到外国人个人信息，则属于本罪未遂犯，“公民”是用作参照的真概念。如果行为人原本意欲侵犯外国人个人信息，实际上也只侵犯了外国人个人信息，则不涉及能否构成本罪的问题，因为刑法中并未规定侵犯外国人个人信息要构成犯罪。如果行为人对信息主体的国籍无所谓，则属于概括故意，其故意本身就包含侵犯中国人和外国人个人信息的内容，所以应根据实际侵害对象来认定。
最后，如果认为侵犯外国人个人信息也应当定罪，则可能陷入两难困境。一方面，当该外国人正在境外而其所在国刑法并未将侵犯某一种个人信息的行为规定为犯罪时，如果我们国内因这种在境外并不构成犯罪的行为而处罚在我国境内的行为人，就没有道理。既然在境外实施这种行为并不构成犯罪，说明这种行为并未侵犯外国人的合法权益，就不应当认为在我国境内实施就能构成犯罪。从《刑法》第8条关于保护管辖的规定精神来看，只有当某种行为在我国境内与境外都构成犯罪时，才可以在我国境内处罚，否则，就处罚了在境外本来不构成犯罪的行为。⑦ 另一方面，当该外国人的身体正在我国境内时，这种行为按我国刑法又构成犯罪，又应当处罚。这样，一个完全相同的侵犯外国人某一种个人信息的行为，可能因为中外刑法规定的差异，而导致在我国应否处罚取决于外国人的身体是否正在我国境内，在我国境内的要处罚，在我国境外的不处罚。显然，根据外国人的身体是否正在我国境内来决定在我国境内侵犯外国人个人信息的行为应否定罪处罚，实际上是将外国人的身体是否正在我国境内作为一个额外的犯罪构成要件要素，从而违背刑法第253条之一对本罪构成要件的规定。外国人的身体与其个人信息是可以分离的，其身体可能在我国境内或者境外，其个人信息可以从网上窃取、购买甚至免费下载，这与故意杀人罪、故意伤害罪中被害人的身体与其健康权生命权不可分离完全不同，身体是生命权和健康权的唯一载体，但身体并非个人信息的载体。
如果根据外国人的身体是否正在我国境内来决定应否处罚，还面临着如何认定哪些侵权行为发生于外国人身在我国境内期间以及哪些侵权行为发生于外国人身在我国境外期间的难题。特别是就外国人从我国境内出境或者从我国境外入境的“行踪轨迹”信息而言，要根据外国人身在何处来区分罪与非罪，无疑更加困难，因为无法将一条完整的出入境信息分割成应处罚与不应处罚的两大部分！同理，对于姓名、性别、身高、体重、曾经的绯闻等比较稳定的信息，区分属于境内或境外的信息也毫无意义。相反，从《刑法》第253条之一来看，该条只是规定保护我国公民个人信息，而未规定这种保护必须以公民身体正在我国境内为必要，因为适用我国刑法保护我国公民个人信息，并不存在由于中外刑法规定差异而导致罪与非罪问题，但是若要用该条来保护外国人个人信息，则会存在上述问题。因此，无论从哪个角度来看，都不能认为本罪保护外国人个人信息。
【结 论】
刑法是保护本国人利益的，不是保护外国人利益的，立法者、执法者和司法者都是由中国纳税人供养的，只应对中国纳税人负责，不可能对外国人负责。只是由于国际交往的需要，根据国际惯例，我国宪法才规定要同等保护身体正在中国境内的外国人的利益。因此，如果刑法分则条文中明文规定仅保护中国公民的利益，则该条文就不能类推适用于保护外国人的利益，特别是对于那些身体不在中国境内的外国人，我国任何法律都没有任何理由去保护他们的利益，这应当是中国法律的基本立场。因此，本案中被告人的行为不构成犯罪。
