2018年年初，当公众还在朋友圈欢天喜地地晒出自己的支付宝帐单和年度关键词时，其个人信息已在默认勾选《芝麻服务协议》的情况下被“套路”出去。该事件的发酵，为公民个人信息保护敲响了警钟。近年来，公民信息被侵犯、被滥用的事件频发。2017年5月，最高人民法院、最高人民检察院（以下简称“两高”）发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），其中第六条针对合法经营活动而获取公民个人信息的情形，制定了更严格的入罪门槛。准确理解并适用解释中“为合法经营活动”以及“获利”，对司法实践有着重要的意义。
一、设置“为合法经营活动”特殊条款的理由及特殊条款的内容
（一）解释出台及设置“为合法经营活动”特殊条款的理由
随着互联网深入千家万户，用户的个人信息成为商家必争之地。通过对数据信息的分析，商家可以实现点对点的精准化投放，大大提高了广告的精准度，为交易提供了更多可能。信息化的快速推进使得个人信息成为社会重要资源。一方面，社会发展离不开个人信息的合法流通、共享与交换；另一方面，滥用个人信息又会侵害公民合法权益。在此背景下，继《刑法修正案（七）》（以下简称“刑七”）中增设“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”后，2015年通过的《刑法修正案（九）》（以下简称“刑九”）对上述规定作了修正，将原有的罪名经过整合，形成“侵犯公民个人信息罪”，该罪名在修正后，扩大了犯罪主体范围，加大了法律惩处力度，对侵犯公民个人信息的行为进行严厉打击，有效地维护了公民的人身、财产安全和生活安宁。
然而，过于严厉地打击滥用个人信息的行为，甚至将侵犯公民信息的一般违法行为纳入到刑事案件的范畴不仅会使个人信息的经济价值得不到体现、大数据产业得不到有效发展，更有悖于刑法“谦抑性”的原则。现实中，大量经营者不像腾讯、阿里等公司，因用户资源与用户信息汇聚轻而易举就可以为用户进行个性化推荐。为了精准化营销，这些经营者通常以购买等方式获得公民个人信息，在获得公民个人信息后，其可以对产品进行高效推广。比如，一些人在去银行开户后会收到一封又一封其他银行的短信或者电子邮件。又比如，一些人因为买房事宜而给中介留下电话后，会接到许多不同中介打来的电话，这些中介无一例外都在推销各类房源。将所有为了推广营销而非法获取个人信息也认定为侵犯公民个人信息罪明显不公平，会造成处罚标准不一致。[①]为充分体现刑法宽严相济的原则，解决社会发展和个人权益保护之间的冲突，《解释》第六条对“为合法经营活动”而购买、收受公民个人信息的行为提高了入罪门槛。
（二）“为合法经营活动”特殊条款的内容与适用范围
《解释》第六条规定：为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：（一）利用非法购买、收受的公民个人信息获利五万元以上的；（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；（三）其他情节严重的情形。条款分别在行为目的、信息内容、获取方式等层面作出了细致性的规定。
行为目的层面，“为合法经营活动”作为一种目的性表述，是区分行为人主观罪过程度及行为社会危害程度的重要表征，是定罪量刑的重要依据。[②]有的行为人非法获取公民个人信息后仅仅是自行持有，没有用于其它犯罪或出售牟利；而大多数行为人则将这些信息出售，使得这些具有私密性的信息的知情范围进一步扩大，甚至在客观上为下游犯罪提供了便利。[③]因此，在使用解释第六条时，要充分考量是否“为合法经营活动目的”。
信息内容层面，该解释适用范围须排除该解释第五条第一款第三项即行踪轨迹信息、通讯内容、征信信息、财产信息；第四项即住宿信息、通信记录、健康生理信息、交易信息等信息。这些信息往往与公民个人隐私以及个人人身、财产安全密切相关。购买此类较为敏感的信息社会危害性较大，且对个人隐私的侵犯程度也较高，因而被排除在特殊条款之外。
获取方式层面，该条款适用的范围包括购买、收受。购买与收受后的出售牟利行为并不包括在此范围内。其他非法获取手段，如盗取等因本身社会危害性较大，也不包含在该解释的范围内。值得注意的是，该条文也不包含交换，根据最高法法官的解读这是由于该行为在获取信息的同时造成了信息扩散[④]。
二、“为合法经营活动”特殊条款的理解与司法适用
准确理解特殊条款的含义是继了解该特殊条款出台的背景以及适用范围后最关键、也是最重要的环节。司法实践中，对于该特殊条款主要争议有二：一是经营者何种经营活动可以被认定为“合法经营”？二是条款中的“获利”如何理解，是否应当扣除购买个人信息的成本？
（一）“合法经营”的理解
何为“合法经营”？笔者认为这是与非法经营相对应的概念。我国《刑法》在扰乱市场秩序罪这一节中规定了“非法经营罪”，即“违反国家规定，有下列非法经营行为之一，扰乱市场秩序，情节严重的……”其要义有二：一是要违反国家规定，二是要严重扰乱市场秩序。结合本解释之目的以及刑法中对于“非法经营罪”的规定，所谓的“合法经营”应当基于“不违反国家规定”且不会“严重扰乱社会秩序”的前提下。
在刑九“侵犯公民个人信息罪”中也有“不违反国家有关规定”的表述。根据《解释》第二条“违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的‘违反国家有关规定’”。由于我国就个人信息保护尚未制定独立的、完整的法律，公民个人信息保护散见于《民法总则》《消费者权益保护法》《网络安全法》等法律法规中。其中，《消费者权益保护法》第二十九条规定“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，……经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业信息”；《网络安全法》第四十四条规定“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。”依据这些相关法律，有人指出，通过购买的方式获取信息本身是并不合法的，收集个人信息后发送商业信息的行为本身就违反了法律规定，因而不能在这里适用作为出罪的理由。笔者认为，之所以有人秉持这样的观点，是因为他们对“侵犯公民个人信息罪”的理解存在偏差。首先，他们将一般违法行为上升到了刑事违法的高度。刑法具有“谦抑性”，某些可以适用行政手段规制的一般违法行为并无任何刑事制裁的必要。这不仅仅是出于节省司法资源的需要，也是为了更好地保障每一个人的合法权益。其次，他们只关注到了《刑法》条文有关“违反国家有关规定”的表述，却忽视了条文中有关程度的要求，即“情节严重”及“情节特别严重”。最后，一味地限缩“合法经营”的范围，也与《解释》将该条款特立出来的初衷相矛盾，与两高在新闻发布会上解释设立该条款的目的，即“为贯彻体现宽严相济刑事政策”相违背。
综上，笔者认为，所谓的“为合法经营活动”应当主要审查经营者的经营业务行为是否违法，而不是将目光聚焦在经营者在经营过程中是否有一般违法情况。在日常经营活动中，企业难免出现夸大宣传或者在使用格式条款时未提醒相关消费者注意等一般违法行为。如果仅仅因为出现一般违法行为就认定经营者非系“为合法经营活动”是不合适的。《解释》中的“合法经营”，应该仅指公司开展的业务是否合法，如销售假冒伪劣商品、有毒有害食品等就不属于“为了合法经营活动”。至于经营者在经营活动中出现一般违法行为，一般不影响认定其系“为了合法经营活动”。周某某侵犯公民信息案[（2017）渝05刑终1090号]判决也佐证了笔者的观点。被告人周某某为从事广告推广业务，扩大潜在客户数量，提高业绩，接收他人发送的信息38676条的行为被认为根据解释第六条的规定，不应计入其侵犯公民个人信息的数量。
（二）“获利”的理解与计算方式
如果经营者仅购买、收受公民个人信息的行为违法，其后续的推销行为、交易行为完全合法且获利且数额达到五万元是否应该适用该解释？笔者认为，答案是肯定的。该条款本身的目的是为了给一些情节较为轻微、不至于造成严重社会危害的经营者以出罪的可能。但其绝对不是合法经营者的避难所，一旦经营者“为合法经营活动”购买、收受公民个人信息的行为严重破坏公民生活的安宁、扰乱市场秩序，那么其就有入罪的必要。结合设立该特殊规定的背景“体现宽严相济”，所谓的获利也应系指其在购买后，正常经营活动中的获利。
如何计算数额？考虑到“为合法经营活动”条款与该解释中第五条属于特殊条款和普通条款之间的关系，其入罪标准也较之第五条较为严格。普通条款将入罪标准定为违法所得五千元以上，即通过非法处置公民个人信息后所获得的利益行为（如出售个人信息获利等）或者在非法获得公民个人信息后违法犯罪所得作为定罪依据。在数额计算方面，“违法所得”或者第六条中的“获利”到底要不要扣除购买成本？无论是理论抑或是司法实践都存在争议焦点。赵鸿志侵犯公民个人信息案［（2017）鄂06刑终288号］中法院判决的违法所得系扣除了其购买个人信息时花费的成本的。而杜天禹侵犯公民个人信息案件［（2017）鲁1311刑初332号］判决中，法院认定的违法所得系其出售其非法获取的公民个人信息的违法所得，并未扣除购买个人信息花费的成本。
在数额认定方面，笔者认为，解释第六条中的“获利”应当与第五条“违法所得”有所区分。笔者赞同“违法所得”不应当扣除其最初为违法犯罪付出的成本。因为刑法中的“违法所得”是指犯罪分子因实施违法犯罪行为而获取的全部财物。[⑤]而解释中第六条规定中的“获利”在条文中的完整表述系“利用非法购买、收受的公民个人信息获利五万元以上的。”日常生活中，我们使用“获利”一词通常都是为了表述“获得利润”，是基于扣除成本的基础上的。既然该条文使用的是“获利”而不是“违法所得”。就说明该条文在确立时就已经考虑到经营者虽然在购买、收受公民个人信息时存在违法行为，但其经营过程是合法的。基于控制打击面的精神及考虑到合法经营中获利情况比较复杂，扣除成本计算获利数额是较为合适的。
三、“为合法经营活动”特殊条款下司法实践的方向
（一）加强对“为合法经营活动”的审查
司法实践中，正确适用该条解释需要我们厘清“合法经营”与非“合法经营”之间的界限。探究是否“为合法经营活动”，应当综合全案认定。首先应当考量的是经营者的营业范围，即公司是否有相应资质。例如一个以咨询为主要经营范围的公司，在购买了他人个人信息后向这些人推荐保健品，这样的行为就不能被认作是“为合法经营活动”，其本身的行为已经超出了经营活动范围。而房产中介在购买了买房人信息后向买房人通过电话、短信、电子邮件等方式推销房源的行为本身就属于营销方式的一种，应当被认定为“为合法经营活动”。其次应当考量经营者在购买个人信息后的用途。经营者在购买公民个人信息后用于犯罪行为的，如利用相关信息进行诈骗、转卖牟利等行为时就当然排除了其系“为合法经营活动”。再者，是否属于“为合法经营活动”应当以经营者的经营行为认定而不能以其最初购买、收受个人信息时的主观想法来定。思想是人内心的活动，难以具体体现。经营者最初非法购买、收受个人信息的时候既有为合法经营活动的目的又有转卖牟利的目的，但在购买、收受个人信息后仅用于正常经营活动的，也应认定为“为合法经营活动”。
“为合法经营活动”在司法案例中往往是律师用以作为辩护理由，是其办理案件的突破口。同样，该条解释，对于司法机关来说，也是应当认真对待和核实的点。正确理解和适用这条解释有利于划清罪与非罪的界限。侦查阶段，由于这类案件嫌疑人的人身暴力性小，案件最终的处理结果也可能是不构成犯罪，为了维护公民的合法人身权益，对于这类案件，应当减少羁押。审查逮捕阶段，检察机关也应当充分考量犯罪嫌疑人是否系“用于合法经营活动”，从而更好地保护犯罪嫌疑人的利益。
（二）将信息条数与数额认定放在同等重要的位置
司法实践中，在侵犯公民信息刑事案件中，侦查机关的侦查重点主要放在信息数量方面。数量型标准认定模式构成了“情节严重”认定的主要模式，即当数量这一犯罪情节达到严重程度时即可认定为犯罪。[⑥]之所以出现这样的情况，可能出于以下原因：1.《解释》第五条既规定了信息条数也规定了违法所得。只要达到任何一条的标准，就可以构成“侵犯个人信息罪”。且《解释》第五条偏重于对信息条数的认定。2.相对“违法所得”与“获利”而言，信息条数的认定比较简单。信息条数的认定主要依据犯罪嫌疑人的供述、聊天记录截屏、公民个人信息文件等证据证明。而认定“违法所得”还需要资金来往交易凭证等证据证明，且需要与非法提供公民个人信息等形成证据锁链。至于“获利”，则还需要通过其非法购买、收受的公民个人信息内容去追查该经营者之前的经营活动中的获利行为。
然而，《解释》第六条并无关于信息条数的规定。即，如果能够证明“为合法经营活动购买、收受公民个人信息”的，其非法购买、收受的信息条数与认定其是否构成“侵犯公民个人信息罪”无关。适用第六条时，主要考量经营者“获利”的多少或者其是否有前科。因此，在司法实践中，根据解释第五条与第六条的差别，在后续的取证方面应当有所侧重。在不能排除犯罪嫌疑人可能存在“为合法经营活动”而非法购买、收受公民个人信息的情况下，侦查机关应当将侦查取证更多地放在“获利”层面。通过犯罪嫌疑人与公民个人信息提供方之间的信息往来记录、犯罪嫌疑人被扣押的涉案电脑中储存的台账、犯罪嫌疑人的供述等方面查询犯罪嫌疑人因非法购买、收受公民个人信息后在正常经营活动中的获利情况，才能有效防止因证据收集的漏洞，导致应当受到刑事制裁的犯罪嫌疑人出罪。
司法解释的出台为保护公民个人信息注入强心剂。但是，保护个人信息绝不意味着对一切滥用公民信息的行为均应当通过刑法加以规制。准确理解解释第五条与第六条之间的区别，区分一般违法行为与刑事违法行为，对“为合法经营活动”而获取公民个人信息的行为准确的制裁才能更好地发挥刑法的作用。而公民个人信息的保护，也绝不仅仅依靠严厉的刑法制裁，理想的状态应当是先有前置法律法规，后由作为“其他部门法的保障法”的刑法加以规制。
