醫(yī)療領域侵犯公民個人信息的刑事防控

王春華

摘 要：大數(shù)據(jù)時代數(shù)據(jù)的價值不斷提升，但數(shù)據(jù)安全問題也愈加凸顯。醫(yī)療行業(yè)的公民個人信息泄露、醫(yī)療從業(yè)人員濫用醫(yī)療信息管理處置權限、非法買賣公民個人信息等安全問題層出不窮。檢察機關在辦理該類案件時，必須對醫(yī)療健康領域涉及的公民個人信息類別作出認定，引導公安機關收集、固定醫(yī)療從業(yè)人員非法侵犯公民個人信息的違法性證據(jù)。針對重點領域侵犯公民個人信息的情形，發(fā)揮檢察機關社會治理檢察建議在推進行業(yè)監(jiān)管、促進國家治理體系和治理能力現(xiàn)代化進程中具有的獨特優(yōu)勢，提升檢察建議效能，同時在跟蹤監(jiān)督、整改問效等環(huán)節(jié)做實整改，保障訴源治理。

關鍵詞：侵犯公民個人信息 行業(yè)“內鬼” 健康生理信息 訴源治理

一、基本案情及辦理過程

吳某甲、吳某乙在廣西壯族自治區(qū)南寧市江南區(qū)經(jīng)營一家保健按摩中心，經(jīng)營范圍主要是向產(chǎn)婦提供催乳服務。為發(fā)展擴大客源，吳某甲向南寧市某醫(yī)院產(chǎn)科主管護師韋某提出，由韋某向保健按摩中心提供產(chǎn)婦信息，并承諾每發(fā)展一名客戶就給韋某50元或60元報酬，若客戶后續(xù)辦卡消費則另外向韋某支付10%的提成。2018年至2020年6月間，韋某以寫論文需要數(shù)據(jù)為由，欺騙有權限的同事登錄該醫(yī)院“護士站”系統(tǒng)查詢產(chǎn)婦信息后拍照發(fā)給自己，或者自行通過科室辦公電腦查詢該醫(yī)院“桂婦兒”系統(tǒng)產(chǎn)婦信息后拍照，不定期將上述產(chǎn)婦信息照片通過微信發(fā)給吳某甲，而吳某甲、吳某乙則利用上述信息安排員工通過電話聯(lián)系產(chǎn)婦發(fā)展客戶。經(jīng)查，韋某向吳某甲、吳某乙出售包括產(chǎn)婦姓名、家庭住址、電話號碼、分娩日期、分娩方式等在內的產(chǎn)婦健康生理信息500余條。

2020年10月26日，南寧市江南區(qū)人民檢察院對韋某、吳某甲、吳某乙以侵犯公民個人信息罪提起公訴。2020年11月12日，南寧市江南區(qū)人民法院依法公開審理。法庭審理期間，韋某主動退賠違法所得。韋某、吳某甲及辯護人提出，涉案公民個人信息隱私性不高，且未被用于其他違法犯罪；吳某乙及辯護人提出，吳某乙沒有直接參與獲取產(chǎn)婦信息，是從犯的辯護意見。公訴人答辯認為，涉案公民個人信息涉及產(chǎn)婦分娩生理信息，系具有高度隱私性質的公民個人健康生理信息；吳某乙雖未直接參與獲取信息，但與吳某甲共同出資購買信息，用于經(jīng)營催乳服務，在共同犯罪中起主要作用，應當按照其所參與的全部犯罪處罰。2020年12月16日，南寧市江南區(qū)人民法院采納檢察機關的指控事實和意見，認定韋某、吳某甲、吳某乙犯侵犯公民個人信息罪，判處韋某有期徒刑10個月，緩刑2年，并處罰金1萬元；判處吳某甲、吳某乙有期徒刑6個月，并處罰金8000元。針對涉案醫(yī)院對公民個人信息管理不善、對從業(yè)人員紀律約束不強、法治教育不足等問題，南寧市江南區(qū)人民檢察院制發(fā)檢察建議。

二、辦案中的要點分析

（一）依法準確認定，明確侵犯公民個人信息的行為性質

醫(yī)療領域侵犯公民個人信息的犯罪案件，涉及公民個人信息的認定，非法獲取行為的認定以及鏈條打擊等問題。檢察機關認真審查在案證據(jù)，明確涉案公民個人信息的性質，依法打擊上下游侵害公民個人信息的犯罪事實。

1.對“公民個人信息”的審查認定。根據(jù)“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（以下簡稱《解釋》）第1條規(guī)定，公民個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。在《解釋》第5條第1款第（四）項則將健康生理信息認定為屬于其他可能影響人身、財產(chǎn)安全的公民個人信息。民法典第1034第2款同樣將健康信息納入到公民個人信息保護的范疇之內。無論是2021年頒布的《中華人民共和國個人信息保護法》，還是“兩高一部”在2013年發(fā)布的《關于依法懲處侵害公民個人信息犯罪活動的通知》，在認定公民個人信息時均將具有可識別性及隱私性作為定義公民個人信息考慮的重要因素。個人健康信息，系在疾病預防、體檢、診斷、治療、醫(yī)學研究過程中所涉及的個人身體、精神的健康狀況和家族病史等信息［1］。本案除涉及產(chǎn)婦姓名、家庭住址、電話號碼等能夠識別特定自然人身份的各種信息外，還涉及產(chǎn)婦分娩日期、分娩方式等生理健康信息，同時具有可識別性及高度隱私性，屬于刑法所保護的個人信息［2］。

2.對“違反國家有關規(guī)定”的審查認定。大數(shù)據(jù)時代下，產(chǎn)婦的健康醫(yī)療數(shù)據(jù)幾乎可以全程以電子化的形式進行采集和記錄，海量個人健康生理信息被醫(yī)療機構收集和儲存，醫(yī)療機構可以據(jù)此為產(chǎn)婦提供更加精準、個性化醫(yī)療健康服務。但是在數(shù)據(jù)價值逐利的驅動下，掌握個人信息的醫(yī)療機構從業(yè)人員，本該是保護公民個人信息的主體，卻以其得天獨厚的便利條件非法收集并出售公民個人信息，使得公民信息“保護墻”形同虛設。《中華人民共和國執(zhí)業(yè)醫(yī)師法》（2009年修正）第22條、第37條，以及《護士條例》第18條、第31條均規(guī)定醫(yī)務人員依法應當保護患者的隱私，泄露患者隱私，造成嚴重后果的，將被處以行政處罰，可見相關行政法規(guī)對醫(yī)療領域公民個人信息保護給予了高度重視，對醫(yī)療機構及醫(yī)務人員的相關責任作出規(guī)制。在本案中，行業(yè)“內鬼”恰恰是侵犯公民個人信息犯罪的重要主體，被告人韋某作為醫(yī)院產(chǎn)科主管護師，獲取公民個人信息主要有兩種渠道，一是通過以寫論文需要數(shù)據(jù)為由騙取醫(yī)院其他同事提供產(chǎn)婦生理健康信息，二是通過查看醫(yī)院信息管理平臺獲取。無論是通過上述何種途徑，均是利用了職務或者工作上的便利，并且將收集的產(chǎn)婦健康生理信息用于出售牟利，符合違反國家有關規(guī)定，將在履職過程中獲得的公民個人信息出售給他人的情形，根據(jù)刑法第253條之一第2款的規(guī)定，應當予以從重處罰。

3.對“非法獲取”的審查認定。根據(jù)刑法第253條之一第3款規(guī)定，竊取或者以其他方法獲取公民個人信息的，依照第1款的規(guī)定定罪處罰。在竊取或者以其他方法非法獲取公民個人信息的行為中，需要著重把握“其他方法”的范圍問題。根據(jù)最高檢《檢察機關辦理侵犯公民個人信息案件指引》的規(guī)定，“其他方法”，是指“竊取”以外，與竊取行為具有同等危害性的方法，其中，購買是最常見的非法獲取手段。本案中，被告人吳某甲、吳某乙是保健按摩中心的經(jīng)營者，吳某甲通過向被告人韋某購買產(chǎn)婦生理健康信息的方式獲取公民個人信息，再由吳某乙利用獲取的產(chǎn)婦生理健康信息安排保健按摩中心員工通過撥打電話聯(lián)系的方式發(fā)展客戶，在共同犯罪中，二人雖存在不同分工，但仍屬于共同非法獲取公民個人信息的行為。

4.對“情節(jié)嚴重”的審查認定。根據(jù)《解釋》第5條第1款的規(guī)定，對“情節(jié)嚴重”的認定涉及信息類型和數(shù)量、違法所得數(shù)額、信息用途、主體身份以及主觀惡性五個方面內容，其中信息類型不同數(shù)量標準也隨之發(fā)生改變，健康生理信息數(shù)量標準為500條以上，則屬“情節(jié)嚴重”。非法獲取公民個人信息后又出售或者提供的，公民個人信息的條數(shù)不重復計算；對披露出售、提供公民個人信息的條數(shù)，根據(jù)查獲的數(shù)量直接認定，且對多次獲取同一條公民個人信息，一般認定為一條，不重復累計。本案中，被告人韋某從醫(yī)院其他同事處獲取或者利用職權從醫(yī)院信息管理平臺自行查看產(chǎn)婦健康生理信息，將產(chǎn)婦健康生理信息拍照后通過微信發(fā)送給按摩保健中心經(jīng)營者吳某甲，作案時間長達兩年，截至案發(fā)時各被告人微信聊天記錄已不完整，且無法對二人資金往來中何筆交易屬于產(chǎn)婦健康生理信息交易進行甄別，在此種情形下，檢察機關引導公安機關通過恢復部分聊天記錄以及調取手機電子數(shù)據(jù)的方式對證據(jù)進行固定，并對恢復的健康生理信息數(shù)據(jù)進行了去重，最終確定涉案產(chǎn)婦健康生理信息達500余條，達到刑法“情節(jié)嚴重”標準。

（二）積極引導偵查，夯實證據(jù)鏈打擊上下游犯罪

該案件移送至南寧市江南區(qū)人民檢察院后，為全面準確查清案件事實，檢察機關指派業(yè)務骨干主辦該案，先后多次與公安機關會商，研判案件性質，進一步夯實證據(jù)基礎。

1.精準認定，引導偵查。檢察機關迅速形成韋某、吳某甲與吳某乙三人構成侵害公民個人信息犯罪的初步意見，明確韋某作為醫(yī)護人員在履職過程中將獲取的公民個人信息用于出售以及吳某甲、吳某乙非法獲取孕產(chǎn)婦生理健康信息的犯罪事實，有針對性地引導公安機關調查取證。深入優(yōu)化“案-件比”，在事實認定、證據(jù)收集等方面充分發(fā)揮引導作用，推動法律監(jiān)督從被動向主動轉變，節(jié)約司法成本，提高司法辦案效率。

2.做好電子數(shù)據(jù)的恢復及固定工作。以三名被告人手機電子數(shù)據(jù)恢復作為案件偵辦的突破點，引導公安機關對三名被告人手機微信聊天記錄、轉賬記錄、手機內存保存的健康生理信息照片等電子數(shù)據(jù)進行恢復、提取、固定，結合保健按摩中心聯(lián)系產(chǎn)婦推銷服務的通話記錄及消費記錄等形成證據(jù)鏈條，保障全案上下游犯罪證據(jù)鏈完整性，強化對涉案證據(jù)所記載的信息、數(shù)據(jù)和文件本身真實性審查，強化對證據(jù)的來源、收集、提取環(huán)節(jié)的合法性審查，做到定案的犯罪事實充分，證據(jù)確鑿，能夠排除合理懷疑。

3.嚴厲打擊上下游犯罪，粉碎非法產(chǎn)業(yè)鏈。在信息源頭方面，醫(yī)療行業(yè)“內鬼”利用其職務便利非法收集公民個人信息后出售或者提供給他人，其非法獲利普遍高于普通交易公民個人信息行為；而對于下游犯罪而言，產(chǎn)婦健康生理信息并非一般單位能夠輕易獲取，通過醫(yī)療行業(yè)“內鬼”購買公民個人信息，操作便捷，犯罪成本低。在本案中，被告人吳某甲、吳某乙經(jīng)營保健按摩中心，主要提供面向產(chǎn)婦的催乳服務，被告人韋某作為產(chǎn)科主管護師，能獲取產(chǎn)婦健康生理信息，這些信息正是保健按摩中心推廣客源的重要來源，其本身具有的重要經(jīng)濟價值驅使行為人以身試法。檢察機關堅持全鏈條懲治，在查辦下游犯罪的同時，溯源上游個人信息泄露的渠道和人員，圍繞信息獲取、流通、使用等環(huán)節(jié)，同步加強全鏈條打擊。

（三）制發(fā)檢察建議，推進行業(yè)監(jiān)管，強化溯源治理

1.積極開展調查核實工作。在辦案過程中，承辦檢察官積極開展調研工作，通過數(shù)據(jù)調查、走訪調研等方式了解醫(yī)療領域侵犯公民個人信息行為屢禁不止的原因。調研發(fā)現(xiàn)，犯罪成本的低投入與高收益回報，制度與監(jiān)管的缺位，公民對個人信息保護意識淡薄等，都導致了侵犯公民個人信息行為的泛濫。因此，在對涉案醫(yī)院開展調查工作時，主要圍繞涉案單位有無建立信息保護體系、是否落實信息保護責任制度、是否完善信息泄露風險預警防范措施、對相關從業(yè)人員是否開展保密教育等，幫助醫(yī)療機構堵塞在公民個人信息領域管理方面存在的漏洞。

2.通過制發(fā)檢察建議參與社會治理。醫(yī)護人員侵犯公民個人信息犯罪案件暴露出涉案醫(yī)院在患者個人信息保護上存在明顯的監(jiān)管漏洞，檢察機關通過制發(fā)檢察建議的方式，倒逼醫(yī)院建立落實患者個人信息保護制度，進一步推動醫(yī)療信息管理和安全建設，預防和減少侵犯公民個人信息犯罪發(fā)生。

3.通過跟進監(jiān)督，達到“辦理一案，治理一片”的效果，在提升檢察建議效能的同時，促進行業(yè)整改。一是在跟進監(jiān)督上下功夫。對發(fā)出的檢察建議，檢察機關進行了動態(tài)流程監(jiān)督，由辦案檢察官小組持續(xù)跟進整改進度和效果。被建議醫(yī)院接到檢察建議后迅速回復并采納建議，同時建立臺賬和落實反饋機制，及時收集整改進度和取得的實際效果，并采取“回頭看”的方式監(jiān)督被建議的醫(yī)院落實整改。二是在多方協(xié)同上作文章。檢察機關聯(lián)合衛(wèi)健部門開展檢察建議制發(fā)和跟進落實工作，聽取被建議單位的意見，并將整改落實情況通報被建議單位主管部門，并及時向當?shù)攸h委、政府報告。三是檢察建議見成效。此次檢察建議影響力大、社會關注度高，推動城區(qū)主管部門對轄區(qū)內醫(yī)療機構開展公民健康信息的保管、管理以及監(jiān)管責任的督導檢查，檢察機關與行業(yè)主管部門共同努力，抓好抓實監(jiān)督落實工作，推動建議各項措施逐步實施。

三、辦理類案的實踐啟示

（一）依法打擊“行業(yè)”內鬼出售公民個人信息犯罪

產(chǎn)婦分娩信息等是醫(yī)院在開展醫(yī)療活動過程中掌握的公民健康生理信息。對于醫(yī)護人員將其在履行職責或者提供服務中獲得的產(chǎn)婦健康生理信息出售或者提供給他人的行為，構成犯罪的，應依法予以打擊。對下游非法獲取公民個人信息的犯罪也應依法打擊，實現(xiàn)全鏈條懲處。

（二）通過檢察建議促進訴源治理

行業(yè)“內鬼”泄露公民個人信息，反映出部分重點領域公民個人信息管理存在漏洞、內部監(jiān)管機制不到位，相關從業(yè)人員法律意識淡薄。檢察機關辦案中應通過制發(fā)檢察建議，督促醫(yī)療單位履行監(jiān)管職責，完善對患者健康生理信息的安全管理制度，預防和杜絕泄露公民個人信息問題的發(fā)生。

*廣西壯族自治區(qū)南寧市江南區(qū)人民檢察院第一檢察部主任、二級檢察官［530031］

［1］ 參見劉帥、謝笑、謝陽群、李晶：《個人健康信息管理研究初探》，《現(xiàn)代情報》2014年第9期。

［2］ 參見周光權：《侵犯公民個人信息罪的行為對象》，《清華法學》2021年第3期。