网络犯罪链条化背景下侵犯个人信息权益的行为定性与保护进路

一、链条化网络犯罪的行为定性问题

随着网络犯罪中共同犯罪形态的比例逐年攀升，犯罪团伙内部分工愈加细化，逐步形成了错综复杂、盘根错节的藤蔓式黑灰产业链。在此类团伙式网络犯罪中，各主体的行为不仅侵害其直接涉及的法益，还会作为犯罪链条中的特定环节对其上下游行为提供支持与协助。在此背景下，刑法修正案（九）增设的“帮助信息网络犯罪活动罪”虽有效解决了部分具有严重社会危害性行为的定性难题，但有的犯罪分子也试图以其行为仅属“帮助”为由谋求减轻罪责。对此，如何在某个主体涉及的诸多罪行中准确认定其应适用的罪名成为新问题。

二、三种评价模式的选择

在该案的犯罪链条中，涉及规制非法获取和提供“底图”、非法利用“底图”合成动态人脸识别视频和非法利用动态人脸识别视频越过软件的安全保护措施解封账号的行为。对此有三种规制思路。

第一种模式是从犯罪链条最终所欲实现的网络诈骗的目的出发，适用刑法第287条之二的帮助信息网络犯罪活动罪进行评价。根据最高人民法院、最高人民检察院《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（以下简称《解释》）第11条，“提供专门用于违法犯罪的程序、工具或者其他技术支持、帮助的”，可以认定行为人明知他人利用信息网络实施犯罪。据此，非法利用动态人脸识别视频解封账号的行为是为网络诈骗等下游犯罪提供帮助；非法利用“底图”合成动态人脸识别视频是对上述解封账号行为的帮助，是对网络诈骗等下游犯罪的间接帮助；而非法提供“底图”也为非法利用“底图”合成有关视频提供了工具，是对网络诈骗等下游犯罪的再间接帮助。由此，便可以通过帮助信息网络犯罪活动罪一个罪名实现对网络诈骗等下游犯罪的帮助、间接帮助和再间接帮助行为的规制。

第二种模式是从犯罪链条实现最终目的所采用的手段出发，适用涉计算机类罪名进行评价。具体而言，非法利用合成的动态人脸识别视频解封账号行为，系对有关软件信息系统中存储、处理和传输的用户个人信息数据的非法获取，可适用非法获取计算机信息系统数据罪。此外，根据最高法、最高检《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第2条，具有在未经授权的情况下避开或者突破计算机信息系统安全保护措施并获取计算机信息系统数据的功能的工具，属“专门用于侵入计算机信息系统的工具”。非法利用“底图”合成的动态人脸识别视频便具有此功能，因此，该合成行为能够适用提供侵入、非法控制计算机信息系统程序、工具罪评价。同样，作为解封的关键要素，后续的行为人之所以能够利用“底图”合成视频，也是因为第一步的行为人通过非法提供和获取的“底图”为其提供了“工具”。在此角度上，非法提供和获取“底图”的行为以及非法利用“底图”合成视频的行为都能通过适用该罪名得到评价。

第三种模式是从犯罪链条所围绕的核心要素“料子”出发，运用侵犯公民个人信息罪进行评价。一套“料子”包括一个自然人的姓名、身份证号、照片以及合成的动态人脸识别视频等，一套“底图”包括一个自然人的姓名、身份证号、照片等。通过二者完全可以识别特定自然人的身份，故其符合最高法、最高检《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条对公民个人信息的解释。无论是非法提供和获取“底图”、非法利用“底图”合成视频还是非法利用根据“底图”合成的动态人脸识别视频越过软件的安全保护措施解封账号的行为，都涉及对公民个人信息的非法提供和获取，因此，上述三种行为都涉嫌侵犯公民个人信息罪。

值得注意的是，根据《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第1条和第3条，违法所得2.5万元以上已属于非法获取计算机信息系统数据罪和提供侵入、非法控制计算机信息系统程序、工具罪的“情节特别严重”。而根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条，违法所得5万元以上的属于侵犯公民个人信息罪“情节特别严重”。另根据《解释》第12条，违法所得1万元以上属帮助信息网络犯罪活动罪“情节严重”。在违法所得既定的情况下，适用哪个规定会影响对行为人罪与非罪、重罪与轻罪的判断，需要严肃而慎重地考虑。

在笔者看来，该案中，以侵犯公民个人信息罪评价有关行为最为适切。一方面，适用帮助信息网络犯罪活动罪存在解释论层面的困难。非法利用动态人脸识别视频解封账号是对网络诈骗等下游犯罪的帮助并无疑问，然而，作为对网络诈骗犯罪的间接帮助和再间接帮助行为，非法利用“底图”合成动态人脸识别视频和非法提供“底图”的行为则不应适用帮助信息网络犯罪活动罪。出于对刑罚扩张的严格限制，间接帮助和再间接帮助不应解释为对正犯的帮助，其与直接帮助相比因果性也较弱，可罚性尚且没有得到证成。更何况，根据刑法第287条之二第3款，与许多罪名相比，帮助信息网络犯罪活动罪属轻罪。在行为人的行为同时构成侵犯公民个人信息罪的情况下，便不应适用帮助信息网络犯罪活动罪。另一方面，适用非法获取计算机信息系统数据罪和提供侵入、非法控制计算机信息系统程序、工具罪也存在解释论疑问。根据《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第2条，专门用于侵入计算机信息系统的工具需满足获取计算机信息系统数据或者对计算机信息系统实施控制的要件。也即，如果行为人仅输入他人身份信息、打开手机上的App、加载手机文件夹中的视频，是在遵循软件系统运行逻辑的前提下，通过输入虚假的动态人脸识别视频避开软件安全措施的实质审查，既非对计算机系统数据的“获取”，也不涉及对计算机系统的“控制”。在另外两种规制思路都存在解释难题，且运用侵犯公民个人信息罪进行规制并无不妥的情况下，动用该罪规制案涉行为是最佳选择。

三、违法所得的认定

认定违法所得应当扣除犯罪成本。一是从文义上看，没收违法所得是对犯罪主体通过违法犯罪所获得的不当收益进行罚没。而犯罪成本作为支出，理应不包括在“得”的范围内。二是从法理上看，如果犯罪主体的犯罪成本要远高于犯罪收益，此时将犯罪成本作为违法所得一并罚没过于严苛，有违罪刑均衡性。三是从效率上看，犯罪团伙上下游之间往往采取线上交易方式结清款项，犯罪成本易于查清。即使犯罪团伙采取线下交易的方式，通过分析行为人的聊天记录、账单数据和可疑资金流向，也能较为轻易地对行为人的犯罪成本进行取证，不会过于增加司法负担。四是从实践来看，2020年国家能源局《行政处罚案件违法所得认定办法》和2021年国家知识产权局《关于商标侵权案件中违法所得法律适用问题的批复》均将行为人与违法行为直接相关的合理支出予以扣除。

四、个人信息保护的推进

新技术环境下推进个人信息保护应从三个方面入手：其一，个人信息的合法持有主体应严格遵照个人信息保护法等法律法规，建立健全对个人信息收集、存储、使用、加工、传输、提供、公开和删除的全流程、全方面和高水平的保护机制。通过访问权限控制、去识别化、安全审计监管等技术和管理措施，持续提升其对持有的个人信息保护的体系化和精细化水平。其二，应持续提高侵犯个人信息权益的违法犯罪成本。相关部门应加大对非法收集、泄露和买卖个人信息等违法犯罪行为的惩治力度，通过民事赔偿、行政处罚和刑事追责等多种手段构建起各个部门法对个人信息的一体化保护。其三，应深入开展个人信息保护的价值宣传和教育引导。提高公民保护自己个人信息、维护自身合法权益的意识水平。