【基本案情】 王某是某教育培訓機構負責人，無前科劣跡，陳某是另一培訓機構的離職銷售。2023年12月，王某詢問陳某是否有A市六年級學生的信息。陳某手上沒有資源，便找到謝某，謝某說有8000條，要價6700元。陳某將此情況告訴王某，王某對先發來的50條數據小樣驗證滿意后，表示8000條都要，但最多只能接受6000元。陳某將王某的報價反饋給謝某，謝某同意。陳某將王某給的6000元轉給謝某，再將謝某發來的8000條信息（姓名、電話）轉發給王某后，將信息刪除，沒有留存。隨后王某利用該8000條信息進行電話招生、售賣網課，獲利3.5萬元。

【分歧意見】 關于陳某行為的定性，有兩種不同意見。

一種意見認為，陳某的行為相對于王某，屬于“向特定人提供”，相對于謝某，屬于“購買、收受”，根據“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）規定，構成侵犯公民個人信息罪。

另一種意見認為，王某購買、收受信息后用于合法經營，根據《解釋》沒有達到追訴標準，不構成犯罪，陳某是幫助王某購買信息，所以也不構成犯罪。

【評析意見】 筆者同意第二種意見。

從交易方式來看，本案屬于“買家主導型”代購。陳某受王某委托，向謝某詢價。數量、價格、內容等交易要素都由王某決定，也由王某進行抽樣驗證。陳某僅代為執行王某的要求，沒有牟取差價。王某迫切需要生源信息，假如陳某拒絕，王某極有可能會另找他人。換言之，即便沒有陳某這中間一環，信息擴散的風險依然存在。綜上可判定，本案屬于“買家主導型”代購，陳某與王某行為的結合力更強，陳某是否構成犯罪應當結合對王某行為的評價。

在“買家主導型”代購中，信息的實際用途影響到代買者的罪責刑。在數字經濟時代，信息的有序流轉、合理利用能夠創造社會財富，但侵犯公民個人信息的行為則可能成為電信網絡詐騙、滋擾型“軟暴力”等犯罪的上游犯罪，因此，公民個人信息的非法流轉和不法濫用需要懲治。然而，從司法實踐來看，公民個人信息并非完全流向下游犯罪，非法獲取公民信息用于經營推廣的情況并不少見，《解釋》第6條將社會危害性較小的“合法經營活動”作為本罪的出罪條件之一。

本案中，雖然陳某與王某共同完成了“購買、收受”行為，屬于“非法獲取”，但王某將所獲得的信息用于招生、售課等合法經營，對照《解釋》，王某的行為沒有達到入罪標準，不構成犯罪，因而陳某也不構成犯罪。

假如王某將所獲得的信息提供給同行，或者與同行相互交換信息，且陳某事先又明知，則王某的行為已超出“為合法經營而合理利用”的范圍，造成信息不當擴散，應以侵犯公民個人信息罪同時追究王某、陳某的刑事責任。

本案可適用個人信息保護法追究陳某的行政責任。整個信息流轉過程中，陳某的行為屬于“傳輸”數據，“傳輸”是否屬于刑法規定的“非法獲取”？這涉及到對《解釋》第4條“等外”方式的理解。筆者認為，不宜將“傳輸”直接評價為刑法上的“非法獲取”。

第一，從《解釋》來看，“等外”方式的理解，應著眼于“非法”“違反國家有關規定”，且在惡性程度上與“竊取”相當。之所以單獨列明“購買”“收受”，根據“兩高”對《解釋》的理解與適用，是因為這兩種行為方式較為常見，且往往伴隨著后續的出售、提供，若予以排除，則會大幅縮小侵犯公民個人信息罪的適用范圍。

第二，“傳輸”只是數據流轉生命周期的一個中間環節，前端有出售、提供，后端有購買、收受，可以根據不同的情形，通過刑法的共犯原理來予以打擊，體現寬嚴相濟的刑事政策。

第三，從公民個人信息保護的法律體系來看，慎用刑法手段實現“民緊刑松”的個人信息保護邏輯更加符合實踐需要。我國立法對公民個人信息的保護呈現出“先刑后民”的發展順序，2009年刑法修正案（七）增設了侵犯公民個人信息罪，直到2023年開始，網絡安全法、民法典、數據安全法、個人信息保護法等相關法律才陸續施行，因此，在刑法的適用上，應當采用體系解釋，綜合考慮行政法、民法對相關行為的評價。比如個人信息保護法基于對公民個人信息合法流轉、處理的信息秩序保護，明確規定了“收集、存儲、使用、加工、傳輸”等行為均受到法律規制，而在刑法中，則更應關注非法獲取、提供等更具有社會危害性的行為，而不宜將個人信息流轉過程中的所有行為均納入刑法的評價范圍。刑法具有謙抑性、最后法、保障法的品質，轉變司法理念，對能夠用行政法、民法評價的一般違法行為審慎入罪，是實現“民緊刑松”、落實少捕慎訴慎押刑事司法政策的應有之義。

本案中，陳某侵犯的是個人普通信息，非刑法單獨規制的敏感、特殊信息，根據個人信息保護法第4條、第10條、第66條，可以由履行個人信息保護職責的部門來對陳某進行懲處，追究陳某的行政責任。