侵犯公民个人信息罪中违法所得的计算需依法扣除购买成本

2017年5月8日，“两高”发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），为依法惩治侵犯公民个人信息犯罪，保护公民个人信息安全和合法权益，作出了较为详细的解释。其中，《解释》第5条、第6条对两类侵犯公民个人信息的行为作出了规定。但在司法实践中，对该罪名的涉案数额认定仍存在一定困难，具体表现在涉案金额的确定和公民个人信息数量的认定。
涉案金额的确定
如在一起侵犯公民个人信息犯罪案件中，某移动营业厅的三名工作人员按照张某的要求，利用为顾客办理业务之便，以赠送小礼品为手段骗取顾客同意，在顾客不知情的情况下，利用顾客手机号、身份证、验证码等个人信息，自行操作顾客手机，并使用顾客个人信息注册各类App账号，以获取佣金。张某将以上述方式获取的公民个人信息转卖给唐某，从中非法获利。
在该案中，营业厅三名工作人员将收集到的公民个人信息卖给张某，张某加价后转卖给唐某，像张某这种“中间商赚差价”的行为，及营业厅三名工作人员的涉案金额如何认定？
根据《解释》第5条的规定，非法获取、出售或者提供公民个人信息的，根据“违法所得”确定其涉案数额，即犯罪嫌疑人因实施本条解释规定的行为时，其全部违法所得即为其涉案数额。
对于营业厅三名工作人员，笔者认为，应当以违法所得全部钱款认定为涉案金额，而不应扣除其为赠送顾客小礼品而支付的所谓成本。因为刑法中“违法所得”一般是指：犯罪嫌疑人因实施违法犯罪活动而取得的全部财物。这三名工作人员将收集到的公民个人信息转卖给张某，张某向他们支付的钱款即为他们的违法所得，不应扣除他们为实施该犯罪行为所支付的成本。
且根据《解释》第6条规定，为合法经营活动而非法购买、收受本解释第5条第1款第3项、第4项规定以外的公民个人信息时，利用非法购买、收受的公民个人信息获利5万元以上的，认定为“情节严重”。在这种情况下，获利5万元以上才能达到“情节严重”的程度。应注意“违法所得”和“获利”两个词汇意义的不同，以防止刑罚范围的扩大化。《解释》第6条使用了“获利”一词，那么此时认定“情节严重”时的数额就应当在其全部违法所得的基础上扣除其成本，剩余的数额才是其涉案数额。反之，《解释》第5条规定的“违法所得”即为全部违法所得，不应扣除其成本。
对于张某，一般有两种不同的意见：第一种意见认为，张某加价出售给唐某的违法所得扣除其给营业厅三名工作人员支付钱款后的数额，认定为其涉案金额；第二种意见认为，应当以张某的全部违法所得认定其涉案金额，以区别《解释》第6条规定的情形中，以“获利”多少来确定是否“情节严重”。
笔者认同第一种观点。对侵犯公民个人信息的行为评价时，应在行为人买和卖的行为实行终了之后。在本案中，上下线人员不是共同犯罪，而是分别构成犯罪，买来之后再卖掉，其行为才实行终了，这才是完整的犯罪行为过程。张某从营业厅三名工作人员处购买公民个人信息后，再卖给唐某，张某的违法所得只能是加价的钱款。如果将唐某支付给张某的全部钱款算作张某的涉案金额，有将下家的违法所得重复计算到张某头上的嫌疑。
公民个人信息数量的认定
在《解释》第5条中，对非法获取、出售或者提供公民个人信息的数量确定了标准，以确定犯罪情节的严重或特别严重的程度。在司法实践中，通常是通过公安机关查获的犯罪嫌疑人之间非法获取、出售或者提供的公民个人信息确切数量（甚至清单），以确定涉案数额。但在办案中，这种情况并不多见。
在上述案例中，营业厅的三名工作人员只是张某众多下线中的一部分，张某的全部下线并未都查清，此时无法利用违法所得来确定张某的涉案数额，只能从其买卖公民个人信息的数额着手。
营业厅工作人员用顾客个人信息注册各类App账号，上家只是统计下家注册App账号的数量后，将钱款转给下家。在这种情况下，公民个人信息在注册完成后就失去了价值，上家和下家都没有予以保存，甚至不知道到底利用了哪些公民个人信息。在这种情况下，想通过查获犯罪嫌疑人保存的公民个人信息条数以确定涉案数量几无可能。
笔者以为，在这种情况下，可以用简单的数学除法来确定本案的涉案数额。首先，提取上下家犯罪嫌疑人之间的全部转账记录，以确定其因买卖公民个人信息支付的钱款总和；之后通过上下家犯罪嫌疑人的供述，确定其注册各类App账号的单价。因注册各类App账号的单价是不同的，根据有利于犯罪嫌疑人的原则，用买卖公民个人信息支付的钱款总和除以注册App账号的单价最高者，所得数字即是涉案的公民个人信息的数量。