“爬虫”爬取12亿条淘宝客户信息，获刑3年3个月，最大量级侵犯公民个人信息

时间：2023-06-17 19:51:01 | 来源：网站运营

时间：2023-06-17 19:51:01 来源：网站运营

“爬虫”爬取12亿条淘宝客户信息，获刑3年3个月，最大量级侵犯公民个人信息罪案件判决公布：近日，史上最大量级的侵犯公民个人信息罪案件判决书公开，程序员逯某利用爬虫软件爬取淘宝平台近12亿条淘宝客户信息，经河南省商丘市睢阳区人民法院审理，以侵犯公民个人信息罪判决逯某有期徒刑3年3个月。

案情简介及法院判决

案情：

被告人黎某在湖南省浏阳市成立了浏阳市泰创网络科技有限公司（自然人独资），该公司设有返利部、客服部、招商部等部门。被告人逯某受雇于被告人黎某，作为公司技术员，每月工资一万元。自2019年11月，被告人逯某在商丘市睢阳区其家中利用自己开发的爬虫软件，通过淘宝网页接口爬取淘宝客户的信息，并将其中淘宝客户的手机号码提供给被告人黎某，用于浏阳市泰创网络科技有限公司用于经营活动，该公司自2019年11月份至2020年7月份利用该信息经营共获利340187.68元。

经司法鉴定，被告人逯某通过其开发的软件爬取淘宝客户的数字ID、淘宝昵称、手机号码等淘宝客户信息共计1180738048条，被告人逯某将其爬取信息中的淘宝客户手机号码通过微信文件的形式发送给被告人黎某使用共计19712611条。

判决： 本院认为，被告人逯某受雇于被告人黎某，二人违反国家规定，非法获取公民个人信息，情节特别严重，其行为均已构成侵犯公民个人信息罪。公诉机关指控罪名成立。且系共同犯罪，被告人逯某、黎某有坦白情节，且认罪认罚，对其均可从轻处罚。综合其犯罪情节及社会危害性，依照《中华人民共和国刑法》第二百五十三条之一、第二十五条第一款、第六十七条第三款、第五十二条、第五十三条、第六十四条之规定，判决如下： 被告人黎某犯侵犯公民个人信息罪，判处有期徒刑三年六个月，并处罚金人民币三十五万元。被告人逯某犯侵犯公民个人信息罪，判处有期徒刑三年三个月，并处罚金人民币十万元。 三、被告人黎某、逯某违法所得依法继续予以追缴上缴国库。 四、依法扣押的作案工具逯某电脑主机5台、电脑显示器3台和手机5个，由扣押机关依法处理。

一、淘宝昵称、淘宝账号、电话号码三种信息，是否都属于公民个人信息？

法律规定：

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条：
刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
《检察机关办理侵犯公民个人信息案件指引》
二、需要特别注意的问题：（一）对“公民个人信息”的审查认定根据《解释》的规定，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。经过处理无法识别特定自然人且不能复原的信息，虽然也可能反映自然人活动情况，但与特定自然人无直接关联，不属于公民个人信息的范畴。

观点：

以上两条规定中，《解释》第一条最后列举了通信通讯联系方式，与本案中逯某爬取的电话号码是对应的，因此逯某爬取电话号码当然是公民个人信息，但对于淘宝账号和淘宝昵称，笔者认为不属于公民个人信息。 《解释》第一条中间部分：以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。这句话解释了本条规定中的公民个人信息最核心的判断标准，即“单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况”。 逯某爬取的信息中，“淘宝昵称”、“淘宝账号”两种信息各自单独，或者两组信息结合起来，能否识别特定自然人身份或者反映特定自然人活动情况？当然是不能的，仅凭昵称和账号定位不到具体的自然人。 再考虑，“淘宝昵称”、“淘宝账号”两组信息结合“其他信息”，又是否能识别特定自然人身份或者反映特定自然人活动情况”，这里笔者引用最高院法官的论述：

在大数据时代，从理论上而言，任何信息与其他足够多的信息相结合，都可以识别特定自然人身份或者反映特定自然人活动情况。因此，对于不能单独识别特定自然人身份或者反映特定自然人活动情况的部分关联信息，究竟哪些可以纳入“公民个人信息”的范畴，必然会存在较大的认识分歧。 在司法适用中具体判断部分关联信息是否可以认定为“公民个人信息”，应注意以下几点： （1）需要结合的其他信息的程度。 如果涉案信息本身与特定自然人的身份、活动情况关联程度高，需要结合的其他信息相对较少，则认定为“公民个人信息”的可能性较大；反之，如果需要结合的其他信息过多，则认定为“公民个人信息”的可能性较小。 （2）信息本身的重要程度。 如果涉案的信息与人身安全财产安全密切相关，敏感程度较高，则对于此类信息在认定是否属于“公民个人信息”时，可以采取相对从宽的标准。 （3）行为人主观目的。 如果行为人主观上获取涉案信息就不需要识别特定自然人身份或者反映特定自然人活动情况，则此类部分关联信息原则上不宜认定为“公民个人信息”。

就以上观点而言，“淘宝昵称”、“淘宝账号”不应该认定为为公民个人信息，虽然账号是不可重复的，但账号并非身份证号码，每个人都可以有多个账号，且并非所有账号都绑定身份信息，仅有账号很难识别到特定自然人。《解释》第一条中虽然列举了“账号密码”为公民个人信息，但应当理解为一组账号和密码，而不是单独的账号或者单独的密码。就本案而言，应当主张在12亿条信息中心剔除“淘宝账号”、“淘宝昵称”两组信息。

二、简单概括侵犯公民个人信息罪的构成

本罪构成最重要的两个方面，一是行为，二是情节或后果。

1.实行行为：

非法获取、出售或者提供公民个人信息。 以上三种行为都好理解，需要注意的是，《网络安全法》中特别规定了运营者责任：

《网络安全法》第41条：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。”

违反上述规定，未经他人同意收集公民个人信息或者收集与提供的服务无关的公民个人信息的，应当认定为“非法获取公民个人信息”。

2.犯罪情节或造成的后果：

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的； （二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的； （三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的； （四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的； （五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的； （六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的； （七）违法所得五千元以上的； （八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的； （九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的； （十）其他情节严重的情形。

三种行为，非法获取、出售、提供实行其一，并造成了九种情节或后果之一的损害后果，即构成本罪，获利金额、涉案信息数量任一达到规定即可。

三、本案判决书