编者按

一、基本案情

二、侵犯公民个人信息罪及关联犯罪认定的观点展示

对个人信息处理行为的合法性审查，应关注信息主体的同意是否真实、自愿，以及“为订立、履行合同所必需”等法定处理依据是否成立。[5]在此基础上，再依据刑法及相关司法解释，分别判断行为是否符合犯罪构成，以及与后续犯罪之间的罪数关系。

从公民个人信息公法属性上看，保护公民个人信息实质上是保护个人信息安全与利用安全，刑法只制裁危及公民人身、财产安全的侵害公民个人信息的行为。这种对涉及公民人身、财产安全的侵害往往体现在对公民个人信息的非法利用上，因而对该行为进行全链条打击是实现公民权益整体、全面保护的重要举措。

从电信网络犯罪治理上看，近年来部分网络犯罪与其他上下游犯罪结合，共同形成了成熟的犯罪产业链条。应有效斩断犯罪链条，从根源上遏制下游犯罪行为。对于利用人工智能实施的侵犯公民个人信息等犯罪，还应全面准确贯彻宽严相济刑事政策，恪守罪刑法定、罪责刑相适应原则。[6]

（二）准确认定牵连犯的基本要求

正确认定牵连犯是判断数个犯罪行为间的关系，明确处断原则的前置要求。特别是对涉及从一罪处罚或数罪并罚的情况，罪数关系的判断直接影响对犯罪行为的全面、准确评价。

成立牵连犯要求手段行为与目的行为之间具有事实上的密切联系，即存在通常的、必要的关联性或高度依附性。其中，通常的关联体现为数罪之间存在罪质上的通例性，也就是说在犯罪构成要件自身的预设中存在类型化的牵连关系，例如，非法持有他人信用卡实施电信网络诈骗的行为。必要的关联体现在根据常识判断，前行为是后行为发生所必需的、不可或缺的条件。如果不属于上述条件，则难以构成牵连犯。例如，私自开拆邮件和延误投递难以具有方法和目的的内在联系。高度依附性体现在手段行为与目的行为之间存在经验意义上的高度关联，例如，侵入住宅盗窃、伪造公文诈骗等。

质言之，对于牵连犯的判断，需要重视对犯罪手段行为与目的行为关系的认定，即使前行为是为了后行为的顺利实施，或者前后行为之间存在一定联系，但两个行为之间不具有必然的高度依附性，彼此之间独立性较强的，也不能认定为牵连犯。此时，应根据各行为侵犯的不同法益，从犯罪构成要件上判断罪数并进行处罚。

（三）明确侵犯公民个人信息犯罪及关联犯罪的处罚思路

在牢固树立侵犯公民个人信息犯罪及关联犯罪全链条打击理念、准确认定牵连犯的基础上，可以根据不同类型明确侵犯公民个人信息犯罪及关联犯罪的处罚思路。

一是针对存在侵犯公民个人信息犯罪衍生行为的，应以一罪处罚。侵犯公民个人信息罪所要保护的公民个人信息受危害范围，由他人之于行为人“出售或者提供”之后的行为范围决定。若行为人通过非法手段获取公民个人信息后仅将信息用于牟利，整个犯罪行为未直接危及下游人身、财产安全，该犯罪行为的危害范围仅局限于非法获取公民个人信息本身，后续行为属于犯罪衍生行为，对此仅需以侵犯公民个人信息罪处断。

二是针对侵犯公民个人信息犯罪与下游犯罪具有类型化的关联关系时，一般以牵连犯处罚。若下游犯罪的实施必须以非法获取公民个人信息为前提或必要条件，此时下游犯罪构成要件设置时一般已考虑了侵犯公民个人信息所带来的危害，以牵连犯进行处断在一定程度上避免了重复评价的问题。

三是针对侵犯公民个人信息犯罪与下游犯罪不具有类型化的关联关系，需进行二次判断，下游犯罪符合其他犯罪构成要件的，一般应当数罪并罚。侵犯公民个人信息罪往往可能是电信诈骗犯罪链条中的一环，也可能是故意杀人罪等人身犯罪的开端。[7]此时，通过对侵犯公民个人信息犯罪行为以及下游关联犯罪行为进行分别评价，并就二者是否存在通常、必要的关联或高度依附性等牵连关系进行判断。若两个行为之间彼此独立性较强，且侵犯不同法益，一般不宜认定为牵连犯，均符合犯罪构成要件的，一般应当数罪并罚。