11万余条嘀嘀司机信息泄露，内鬼是他！窃取信息只为更好卖车

江西南昌一公司为了提高售车业绩，串通内鬼，窃取嘀嘀司机个人信息11万余条……近日，北京法院审判信息网公布了该案一审判决，还原了整个案件过程。

被告人质疑：只有一个电话号码，能算个人信息吗？

公诉机关指控称，2017年9月至去年3月间，被告单位江西某公司及该公司客服经理被告人金某，伙同北京嘀嘀无限科技发展有限公司市场营销顾问被告人侯某，通过违规登录嘀嘀公司“专快mis系统”，窃取嘀嘀司机公民个人信息11万余条。金某、侯某于去年4月24日被公安机关抓获。

公诉机关认为，被告单位和被告人的行为已构成侵犯公民个人信息罪，情节特别严重，应定罪处罚。

被告单位代理人对起诉书指控的罪名及指控事实不持异议，但其提出：公诉机关认定的单位侵犯公民个人信息条数证据存在瑕疵，而且单位虽然有非法获取公民个人信息的行为，但其手段应被定义为收受而非窃取，且被告公司和嘀嘀公司存在合作关系，被告公司仅将获取的公民个人信息用于自己的合法经营活动，并未对外提供或出卖，所造成的社会危害性较小，尚不足以构成侵犯公民个人信息罪。

金某也未对指控提出异议。其辩护人认为：本案涉及到的11万余条个人信息中，大量信息仅有一条电话号码，由于没有基础的信息比对，造成本案事实不清、证据不足。这些信息能否认定为公民个人信息，严重影响到本案的定罪量刑。

侯某对指控的事实提出异议，辩称其仅把嘀嘀公司的账号出借给了金某，并不知道金某要账号的用途。其辩护人也提出，鉴定的数据中10万多条数据仅仅是一个电话号码，没有人名和实际的住所。另外，侯某也没有从中获利，并获得被害公司的谅解，希望法庭对其减轻处罚并适用缓刑。

案件还原：窃取信息只为更好卖车

作为内鬼，侯某说自己没有获得什么实际好处，2017年9月左右，入职被告公司的原同事金某找到自己，说想通过其在嘀嘀公司的账户权限获取一些司机的个人信息，自己没有多想就同意了。侯某说，金某的目的就是利用这些司机信息，打电话拓展业务，以便能在公司卖车有更好的业绩。

对于具体如何操作，侯某交代，金某每次登录自己账号输入密码后，自己手机即会收到验证码，其看到后就会在电话中把验证码告诉金某。从2017年9月至同年12月，金某通过侯某账户登录嘀嘀公司内网频率约为一周两次。当年12月，有一次金某进入账户的VPN，发出了警报，之后，侯某怕出事就不敢再透露验证码了。

侯某也明知，嘀嘀公司司机个人信息是涉密的，公司规定只有员工本人的公司账户才能登录，不允许其他人登录，且每次登录都需要输入员工本人手机收到的验证码，且三个月更换一次密码。

金某也承认，自己获取司机信息的目的就是卖车，其行为也获得了公司董事长陶某的认可。陶某还让自己叫侯某一起吃饭唱歌，差不多有二三次，每次都是陶某请客，且只有他们三人参加，这样做就是为了跟侯某搞好关系，让侯某把嘀嘀的账号给其使用。

金某说，收到验证码后，自己就在位于江西的办公室内，进入嘀嘀公司mis系统司乘管理页面，页面里有嘀嘀快车、专车司机的ID号、姓名、手机号、车牌号等个人信息，再点击司机ID 的链接，进入司机档案的页面，能看到司机的完整手机号，其将司机的姓名、手机号、车牌号等个人信息复制粘贴下来。到去年2月，金某共获取11万余条嘀嘀公司专车、快车司机的个人信息，其中专车司机的个人信息含司机姓名、手机号、车牌号、车辆级别等，大约1万条；快车司机的个人信息含手机号，大约10万条。这些信息，金某都保存在工作用的电脑中了。根据这些信息，基本上能找到的南昌市的专车、快车司机的个人信息都已经获取完了。这些信息复制粘贴下后，金某再拨打快车司机电话，推销汽车从而增加业绩为公司创收。

陶某则称，金某只是和自己说过可以登录嘀嘀公司员工账户下载一些网约车司机信息的情况，自己没有安排他这么做，只是告诉他“你是合伙人自己把握”。

最终，嘀嘀公司数据安全部员工发现异常，揭开了这起犯罪案件。

法院判决：手机号码作为载体，认定为公民个人信息

法院审理认为，被告单位及被告人窃取公民个人信息，情节特别严重，其行为均已构成侵犯公民个人信息罪，应予惩处。

针对被告公司提出其和嘀嘀公司有深度合作关系，具有获取司机信息权限的辩解，并未在举证期限内提供证据予以证实，最终，法院认定为非法获取。

对于只有电话号码的信息能否认定为公民个人信息的问题，以及涉案信息与嘀嘀公司的司机信息是否比对问题，法院也作出详细说明。

首先，起诉书指控的只有电话号码而无姓名、身份证号码的10万余条信息，是被告单位、被告人从嘀嘀公司内部获取的涉密信息，明知这些电话号码是司机电话，有很强的目的性和指向性，且可以较容易地搜索到这些司机的姓名等进一步信息。这些信息可以看做是一个载体，附着着更多的个人信息，故法院认定为这部分信息是公民个人信息。

另外，本案涉及批量公民个人信息的条数，关于认定规则，相关司法解释规定“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”据此，对于公民个人信息，在海量状态之下，司法实践中允许使用推定规则，不再逐一进行信息比对并核实信息的真实性。

最终法院判决被告公司犯侵犯公民个人信息罪，处罚金10万元；侯某犯侵犯公民个人信息罪，判处有期徒刑3年2个月，处罚金6千元；金某犯侵犯公民个人信息罪，判处有期徒刑3年，处罚金6千元。