马成团队 | 为合法经营活动，购买公民个人信息的成本应否扣除？

　　前 言

　　我国刑法中对于“违法所得”概念的界定并不清晰，在刑法总则中只有“违法所得”的表述，在刑法分则中则有“违法所得数额”“销售金额”的不同表述，而在司法实践和刑法理论中“违法所得数额”“销售金额”“犯罪所得”“非法获利”“非法经营数额”等概念都在交叉使用。在侵犯公民信息罪中，司法解释对广义上的“违法所得”同时规定了两种不同的样态——“违法所得”和“获利金额”。对于本罪来说，二者是否具有相同的内涵?如果不同，二者区别在哪里?如果认为获利金额需要扣除成本，哪些成本应当扣除?购买信息的成本是否可以扣除?这些问题既关系到行为人的定罪量刑，也关系到罚金刑的标准，值得探讨和厘清。

　　一、侵犯公民个人信息罪中“违法所得”的两种样态

　　根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)第五条第七款规定，非法获取、出售或者提供公民个人信息，“违法所得”五千元以上的属于情节严重。

　　第六条第一款规定，为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息“获利”五万元以上的属于情节严重。

　　根据上述《解释》的规定，在侵犯公民个人信息罪中，不同的行为模式对应不同的表述方式。对于非法获取、出售或者直接提供公民个人信息的行为，计算的是“违法所得”;而对于非法购买、收受非敏感信息用于合法经营的行为，计算的则是“获利”。

　　二、侵犯公民个人信息罪中"违法所得”和“获利"的含义及用语相对性

　　如前所述，刑法体系中的违法所得有很多种指称，有些只是指称不同但含义相同，有些不仅是指称不同，含义也不相同。那么，本罪中违法所得和获利含义是否相同?

　　第一，通常而言，对于解释第五条中的“违法所得”无需扣除成本。

　　譬如，最高人民检察院在《检察机关办理侵犯公民个人信息案件指引》中明确规定，“对于违法所得，可直接以犯罪嫌疑人出，售公民个人信息的收入予以认定，不必扣减其购买信息的犯罪成本。”

　　司法实践中，对于本罪违法所得的认定，也通常不用扣除成本。如2022年4月8日，中国刑法学研究会成功举办了第二期“实务刑法论坛”，会议围绕“侵犯公民个人信息罪司法实务问题”展开研讨，会上，北京市海淀区人民检察院第二检察部副主任张志婧发表题为《侵犯公民个人信息罪中“违法所得” 的认定方式及罪量证明困境》的分享，提到本罪中的“违法所得”不扣除成本。

　　第二，对于本罪中为合法经营活动而非法购买、收受非敏感信息的，“获利”五万元以上的，此处的获利应当理解为需要扣除成本。

　　最高人民检察院法律政策研究室在《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》理解与适用中也同样提到，“利用非法购买、收受的公民个人信息获利五万元以上的，与第五条第一款第七项规定的‘违法所得五千元以上的’有所区别，主要考虑购买、收受公民个人信息是非法的，但经营活动是合法的，对经营所得不能认定为违法所得，宜以获利数额计算。”

　　在《人民法院公报》案例——吴某侵犯公民个人信息案中，法院认为，“为合法经营而非法获取公民个人信息的行为本身社会危害性较小，在认定获利数额时应当从严认定，本条款规定的‘获利五万元以上’应当扣除成本”。

　　笔者以为，如此理解符合《解释》第六条的立法初衷。

　　首先，获利金额之“利”应为“利润”之意，本就意味着除去成本之外的盈余和收入。利用获取、购买的公民个人信息进行合法经营的活动，此处的获取行为只是合法经营活动中的一个小环节，真正经营的产品是合法合规的产品，不能对公民个人信息进行二次提供或者出售。譬如，汽车销售为了更好地销售汽车，购买了比较精准的用户信息，然后电话联系客户有效销售车辆，车辆本身是合法的，投入的人工、广告、场地等费用也是合法的，不可能将销售车辆的全部所得计算进去，必然要扣除相关成本。

　　其次，《解释》第六条有意将“为合法经营而购买信息的行为”规定为特别从宽，所以使用了“获利”的表述，而没有像《解释》第五条一样使用“违法所得”的表述，目的就是为了作出区别，避免混淆。否则，如果二者是同一个含义，那完全没有必要在同一个解释中使用两种不同的表达。

　　三、侵犯公民个人信息罪中的“获利金额”应当扣除购买信息的成本

　　在为合法经营活动获取非敏感公民个人信息而获利的行为模式中，扣除成本是既定的共识，问题是，“合法经营”是符合法律规定的，但“获取公民个人信息”的行为却是非法的，所以它必然会同时产生合法经营的成本(如场地、人工、原料、房租水电、广告费用等等)，也会产生非法获取信息的成本(典型的如购买信息的成本)。企业的经营成本自然应当扣除，并无争议，有争议问题是为购买公民个人信息而支出的成本应否扣除呢?

　　我们团队办理的一起侵犯公民个人信息罪的案件中就遇到了这个问题。一种观点认为，购买信息的成本与经营成本一样需要扣除;另一种观点认为，获利金额应当包含购买信息的成本，不必扣减，主要理由是，购买信息的成本属于非法成本，不属于必要的、合理的支出，不应当从获利中扣除。

　　笔者以为，两种观点都有一定的道理，但从辩护角度看，笔者还是倾向于认为购买信息的成本也应该扣除。具体理由如下：

　　1.合理成本和不合法成本是两个概念，不合法的成本也有可能是一种合理的成本

　　反对论者之所以认为获利金额应当扣除合理、必要的成本，源自于2013年《最高人民法院研究室关于非法经营罪中“违法所得”认定问题的研究意见》认为，非法经营罪中的“违法所得”，应是指获利数额，即以行为人违法生产、销售商品或者提供的服务所获得的全部收入，扣除其直接用于经营活动的合理支出部分后剩余的数额。

　　所以反对论者认为侵犯公民个人信息中的获利也不应该扣除购买账号的成本。

　　但是，笔者以为，以上理由不能成立。

　　首先，非法经营罪司法解释与本案有以下几点不同，不能类推适用。

　　第一，非法经营罪中显然是有违法所得的，譬如非法经营出版物，将非法出版物进行售出的行为就是非法的，获得的利益当然也是非法的，而本罪是为合法经营活动购买公民信息，加工之后再出售相关产品获利，这个产品本身是合法的，不能认定为违法所得。

　　第二，非法经营罪司法解释表述的是，本罪的“违法所得，应是指获利数额”，其本质还是对违法所得进行的一个解释，是说这里的违法所得可以扣除一些合理成本，而在本罪中，获利数额不是对违法所得的解释，而是完全两种相反的概念，所以，从这个角度而言也不能同等视之。

　　其次，即便如非法经营罪司法解释规定的，应当扣除合理支出的成本，那么购买账号的成本也应当属于合理成本，应当扣除。

　　其实这个道理很容易理解，合理成本和不合法成本是两个概念，不合法的成本也有可能是一种合理的成本。利用获取的公民个人信息进行合法经营的，其前提当然是先去获取、购买公民个人信息，如果没有获取，何谈去利用呢，所以笔者以为，这个购买信息的成本就是一种必要的、合理的成本。

　　譬如，非法经营罪中的非法放贷行为，根据《最高人民法院、最高人民检察院、公安部、司法部关于办理非法放贷刑事案件若干问题的意见》第五条，非法放贷行为人实际收取的除本金之外的全部财物，均应计入违法所得。言下之意，放贷的钱不计入违法所得。

　　笔者以为，利用放贷的钱获得财物，放贷的钱本身也是一种最直观的成本，这就是本钱，而且是典型的违法的本钱，这个法律明确规定是要扣除的。同理，根据当然解释的原理，举重以明轻，利用购买账号的成本去合法经营，当然更应该扣除。

　　举个例子，行为人A非法放贷给B，非法放贷的本金是1000万，约定一年后归还1500万，一年后到期日，B将1500万元全部转给了A，那么A的违法所得应该怎么认定?按照反对论者的逻辑，这里的违法所得应该是1500万，但是，根据非法放贷司法解释的规定，这里的违法所得只能认定为扣除本金之后获利，应该为500万，他们的观点明显是和司法解释相违背的。

　　再如，根据国家工商行政管理总局2009年印发的《工商行政管理机关行政处罚案件违法所得认定办法》。该文件明确“以当事人违法生产、销售商品或者提供服务所获得的全部收入扣除当事人直接用于经营活动的适当的合理支出，为违法所得”。违法生产商品的违法所得按违法生产商品的全部销售收入扣除生产商品的原材料购进价款计算;违法销售商品的违法所得按违法销售商品的销售收入扣除所售商品的购进价款计算。由此可见，行政案件尚且扣除购买商品的成本，刑罚作为最严格，最谦抑的法律后果，对于购买公民个人信息的成本更应该扣除。

　　最后，也可以结合销售假冒注册商标的商品罪来理解这个问题，刑法修正案(十一)之后，销假罪中的销售金额修改为了违法所得数额，行为人销售假冒注册商标的商品，譬如翻新机，这种购买成本也是要扣除的。按照反对论者的逻辑，你这个假手机本来就是非法的，所以一律不能扣除，这个思路是和司法解释和司法实践相违背的。

　　2.司法解释明确规定出售公民个人信息的违法所得，不必扣减购买账号的成本，恰恰说明合法经营活动中，没有出售公民个人信息的获利数额，需要扣除购买账号的成本

　　《检察机关办理侵犯公民个人信息案件指引》中的规定，“对于违法所得，可直接以犯罪嫌疑人出售公民个人信息的收入予以认定，不必扣减其购买信息的犯罪成本。”

　　但是，要注意，这一条针对的是“违法所得”，而且是针对直接出售公民个人信息的情形，本条规定出售公民个人信息获得的收入，不必扣减其购买信息的犯罪成本，这一条的提示性规定恰恰说明，对于为合法经营活动而购买信息中的获利应当要扣除购买信息的成本，否则不会仅仅针对违法所得进行特殊的说明，目的就是要与非法获利数额进行区分。

　　3.文义解释的角度来说，将购买成本的支出解释成获利收入，不符合生活常理，也不符合逻辑推理

　　按照反对论者的逻辑，计算获利的时候购买信息的成本是不予扣除的，那就相当于说购买信息的成本也是获利的一部分。

　　譬如，甲为了合法经营活动购买了100万元的普通公民信息，但是还没有利用该信息开始经营就案发了。按照反对论者的逻辑，当我花钱买信息的时候就已经获利了，说得直白点，相当于是我花了100万等于我赚了100万，这是很难令人接受的，违背了基本的常识。

　　而且也和《解释》第六条不符，因为解释第六条规定的是利用购买的信息获利5万元以上的，这个时候，都还没来得及去利用信息呢，凭什么就计算获利了?这也犯了一个逻辑上一个先后顺序的问题。

　　4.从立法初衷上来看，为合法经营活动购买信息而获利的，应当扣除购买账号的成本

　　根据上述《人民法院公报》案例——吴某侵犯公民个人信息案中，法院认为，“为合法经营而非法获取公民个人信息的行为本身社会危害性较小，在认定获利数额时应当从严认定。从严认定体现了司法机关的态度，而且本案中，被告人出售的是房价信息，不是公民个人信息，不会导致个人信息的泄露，社会危害性是非常小的，所以，本罪使用的也是获利数额，而不是违法所得或者非法获利，也暗含了本条对应的行为的合法性，只是在经营过程中，手段沾染了不法，应当严格控制处罚范围。

　　5.从司法实践的角度，上海检察院的实务观点也认为应当扣除购买账号的成本

　　上海市杨浦区人民检察院第二检察部检察官曾经在《上海法学研究》集刊2019年第14卷(杨浦检察院卷)中发表一篇题为《侵犯公民个人信息罪的司法认定》的文章，这个期刊是法学核心刊物 CSSCI。这篇文章明确提到，“《解释》第 6 条规定的“获利”数额不宜与第 5条规定的“违法所得”数额采取同样的处理方式，前者应当扣除成本。原因在于:《解释》第 6条之所以对为合法经营活动购买、收受公民个人信息规定定罪量刑的特殊标准，就在于该类情形较为普遍，且社会危害性相对较小，故在具体适用刑法时应秉持谦抑，体现宽严相济因此，在适用“利用非法购买、收受的公民个人信息获利五万元以上”规定时，应当缩小打击面，扣除获取公民信息的成本。”

　　结 语

　　随着数字化时代的到来，数据合规和个人信息保护的重要性日益凸显，信息泄露已经成为数字时代的沉疴顽疾，无处不在，无时不在。所以对于侵犯公民个人信息的法网也是越织越密。但是，刑法是刑事政策不可逾越的藩篱，不能为了从严打击而突破罪刑法定，那无异于饮鸩止渴，因小失大。对于侵犯公民个人信息罪中违法所得的处置也是如此，法律是规范大多数人生活的行为准则，是最低限度的道德，也是一种常识，对于法律的解读和适用，不能超出一般人语言解释的涵射范围，那样会丧失国民对于法律的预测可能性。

律师简介

　　马成律师系北京大成律师事务所高级合伙人，大成刑委会副主任，第十一届深圳市律协金融犯罪辩护专委会主任，第十二届广东省律协经济犯罪辩护专委会副主任。

　　马成律师团队系由马成律师于2012年创建的专注经济犯罪、职务犯罪案件的刑事法律团队。团队成员均毕业于中国一流法律院校，多数成员拥有硕士学位，法学专业知识扎实，学术理论功底深厚。全浙宾、曹继栋等部分成员具有在公、检、法等国家机关从事司法工作的丰富经验，擅长处理各类重大、疑难、复杂的刑事案件。目前，团队已承办许多在国内外有重大影响的大案、要案，部分案件属于公安部督办的特大案件。许多经典案例案情复杂，涉案标的大，广受社会关注，办案效果获得客户与同行的一致好评，例如：

　　✦ 公安部督办的“闪电一号”骗取出口退税案

　　✦ 阿里巴巴集团某副总裁非国家工作人员受贿案

　　✦ 国内即时通讯工具涉赌第一案，“闲聊软件”开设赌场案

　　✦ 前海东亚基金总裁涉嫌集资诈骗、非法吸收公众存款案

　　✦ 新加坡某上市公司某首席财务官涉嫌10亿合同诈骗、职务侵占案

　　✦ 胡润富豪榜前二十富豪、全国政协委员某知名企业家逃税案