苏杨成｜论基因信息的刑法保护

一、问题的提出

基因是产生一条多肽链或功能RNA所需的全部核苷酸序列，其储存着生命的种族、血型、孕育、生长、凋亡等过程的全部信息，支持着生命的基本构造和性能。以基因诊断、检测、筛选、编辑为代表的基因技术蓬勃发展，蕴含着人类遗传密码的基因信息也愈发受到关注。在大数据时代，科学家通过汇总海量基因信息分析研究，可以查明特定疾病发生的根源，进而研发对症药物、探索新的治疗手段；个人通过基因检测，获知自身基因信息，可以了解自身体质与疾病风险，并依此调整自身生活方式，对特定疾病采取预防措施。

生命伦理是生命科学技术发展的必然产物和要求，基因伦理是生命伦理的重要内容，其基本原则与生命伦理相同，即基因技术的科研与应用须符合“行善、自主、不伤害、公正”的要求。在基因技术的发展让人们可以轻松获知基因信息、通过科研活动用其造福人类的同时，一些针对基因信息实施的、有违基因伦理的行为也随之出现。由于基因信息所具有的巨大价值，许多商业公司纷纷投身基因信息的收集、研究，在此过程中，公民个人基因信息存在被不当采集、滥用等行为侵犯的可能。如在人身保险和劳动就业领域，存在因个体的基因信息所反映的特征具备缺陷而予以否定性评价的“基因歧视”现象。此外，部分国家为获取更多基因信息、实现本国利益，肆意窃取他国基因资源。我国基因资源流入境外，既可能让他国利用我国基因资源研发成果、申请专利，损害我国国家利益；也造成了境外敌对势力利用我国基因资源分析我国人种基因特征，制造针对性“基因武器”的风险，对我国国家安全构成威胁。

为抑制侵犯我国公民基因信息的行为、为基因科技伦理治理提供法治保障，近年来，我国颁布了一系列法律法规，加强了对公民基因信息的保护力度。在刑事立法层面，刑法修正案（十一）增设了第334条之一“非法采集人类遗传资源、走私人类遗传资源材料罪”，规制非法采集我国人类遗传资源或者走私我国人类遗传资源材料出境，危害公众健康或者社会公共利益，情节严重的行为。根据《人类遗传资源管理条例》第2条的规定，人类遗传资源包括人类遗传资源材料和人类遗传资源信息，其中，人类遗传资源材料指“含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料”，而人类遗传资源信息为“利用人类遗传资源材料产生的数据等信息资料”。在本文看来，该罪打击走私人类遗传资源材料的行为，实质上是为了预防境外敌对势力利用生物技术对我国人类遗传资源材料研究分析，取得相关基因信息；毕竟，单纯走私我国人类遗传资源材料出境，却不对有关基因信息研究分析的行为，不可能造成“危害公众健康或者社会公共利益”的风险。而所谓“人类遗传资源信息”，事实上与“基因信息”同义，“基因”的内涵就是遗传因子，是遗传的物质基础。有观点指出，该罪的增设“填补了我国刑法典的立法空白，为依法惩治危害国家人类遗传资源安全犯罪提供了立法依据”。

在非法采集人类遗传资源、走私人类遗传资源材料罪增设前，刑法在基因信息保护方面存在“立法空白”，不当采集、滥用等侵犯我国公民基因信息的行为是否构成既有犯罪？如果此类行为涉嫌既有罪名，那么相关既有罪名与非法采集人类遗传资源、走私人类遗传资源材料罪的关系为何，对侵犯基因信息的行为具体应如何适用刑法加以规制？在非法采集人类遗传资源、走私人类遗传资源材料罪增设后，我国刑事立法对公民基因信息的保护是否周全、合理？若现行刑法对侵犯基因信息行为的规制尚有不足，则如何加以完善？

二、侵犯基因信息行为的刑法评价

生物安全法第55条规定，“采集、保藏、利用、对外提供我国人类遗传资源，应当符合伦理原则，不得危害公众健康、国家安全和社会公共利益。”《人类遗传资源管理条例》对采集、保藏、利用、对外提供我国人类遗传资源所须遵循的条件作出了具体要求，在第10条第1款规定“禁止买卖人类遗传资源”，并规定了违规采集、保藏、利用、对外提供和买卖我国人类遗传资源的行为所应承担的行政法律责任。可见，被我国法律禁止的侵犯基因信息行为，主要包括针对基因信息实施的违规采集、保藏、利用、对外提供及买卖。如前所述，非法采集我国公民基因信息，危害公众健康或者社会公共利益，情节严重的，涉嫌刑法修正案（十一）增设的非法采集人类遗传资源罪。除此之外，侵犯基因信息行为还涉嫌如下犯罪。

第一，违规向他人出售、提供、窃取或者以其他方法非法获取我国公民基因信息，情节严重的，涉嫌侵犯公民个人信息罪。“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）（下文简称《侵犯公民个人信息案解释》）第1条将“公民个人信息”定义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”尽管该条并未明确将基因信息列举为个人信息的类型，但最高人民法院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（法释〔2014〕11号，已被修改）第12条曾将基因信息纳入“个人隐私和其他个人信息”范畴，《信息安全技术个人信息安全规范》附录将个人基因规纳入生物识别信息，而个人信息保护法第28条将生物识别信息认定为“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害”的“敏感个人信息”。可见，依照现行法律规范，基因信息属于公民个人信息，且系受到特殊保护的“敏感个人信息”。故依据刑法第253条之一，违规向他人出售、提供，或非法获取公民基因信息，情节严重的，成立侵犯公民个人信息罪。

第二，为境外的机构、组织、人员窃取、刺探、收买、非法提供属于国家秘密或情报的基因信息的，涉嫌为境外窃取、刺探、收买、非法提供国家秘密、情报罪。最高人民法院《关于审理为境外窃取、刺探、收买、非法提供国家秘密、情报案件具体应用法律若干问题的解释》（法释〔2001〕4号）（下文简称《国家秘密、情报案件解释》）第1条规定，作为为境外窃取、刺探、收买、非法提供国家秘密、情报罪犯罪对象的“国家秘密”应依据保守国家秘密法认定，“情报”则指关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项。《人类遗传资源管理条例》第46条规定，人类遗传资源相关信息属于国家秘密的，应依照保守国家秘密法实施保密管理。一些基因信息出于法律规范滞后或其他因素，暂未列入国家秘密范围，但完全可能属于关系国家安全和利益、尚未公开的“情报”。可见，基因信息与国家秘密或情报存在交叉部分，为境外的机构、组织、人员窃取、刺探、收买、非法提供这部分基因信息的，依据刑法第111条，成立为境外窃取、刺探、收买、非法提供国家秘密、情报罪。另外，以窃取、刺探、收买方法，非法获取属于国家秘密的基因信息的，即使不能查明行为人系为境外势力实施，依据刑法第282条第1款，其涉嫌非法获取国家秘密罪。行为人违反保守国家秘密法的规定，违反职权或工作职责而泄露属于国家秘密的基因信息的，涉嫌刑法第398条泄露国家秘密罪。若涉案基因信息属于国家绝密、机密的，即使不能查明无权持有此类基因信息的行为人有非法获取的行为，其也涉嫌刑法第282条第2款非法持有国家绝密、机密文件、资料、物品罪。

第三，违规侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统，获取以数据形式存储、处理或者传输的基因信息的，涉嫌非法侵入计算机信息系统罪；违规侵入国家事务、国防建设、尖端科学技术领域外的其他计算机信息系统，获取以数据形式存储、处理或者传输的基因信息的，涉嫌非法获取计算机信息系统数据罪。值得关注的是，尽管依照刑法第285条前两款的文义，前述侵犯公民基因信息的行为可能成立非法侵入计算机信息系统罪和非法获取计算机信息系统数据罪。但刑法学界有观点认为，非法获取计算机信息系统数据罪应限于以数据为对象、以数据安全为法益的犯罪，非法获取个人信息只是以数据为媒介、工具的网络犯罪，将后者纳入非法获取计算机信息系统数据罪规制范围将使得该罪“口袋化”，不宜提倡。可见，能否以计算机犯罪规制侵犯基因信息数据的行为，不无疑问。

第四，收购、保藏、使用他人通过犯罪取得的公民基因信息的，涉嫌掩饰、隐瞒犯罪所得罪。根据“两高”《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）（下文简称《计算机解释》）第7条第1款的规定，明知是非法获取计算机信息系统数据犯罪所获取的数据，而予以转移、收购、代为销售或者以其他方法掩饰、隐瞒，违法所得五千元以上的，应认定为掩饰、隐瞒犯罪所得罪。此外，尽管《计算机解释》并未明文将使用他人非法获取的计算机信息系统数据的行

为认定为掩饰、隐瞒犯罪所得罪，但主流意见仍依据《计算机解释》认为，“使用”也属于掩饰、隐瞒犯罪所得罪的实行行为，明知是他人非法获取的计算机信息系统数据而予以使用的构成该罪。因此，若能够肯定违规获取以数据形式存储、处理或者传输的基因信息的行为成立非法获取计算机信息系统数据罪，则收购、保藏、使用基因信息数据，违法所得五千元以上的，涉嫌掩饰、隐瞒犯罪所得罪。

需要注意的是，尽管在数字时代、信息社会，基因信息往往以数据形式存在，但也不排除其以其他形式呈现，如印刷在纸张上的个人基因分析报告。个人信息保护法第4条第1款也明确，个人信息除以电子方式记录外，也包含以其他方式记录的与已识别或者可识别的自然人有关的各种信息。依据《计算机解释》对掩饰、隐瞒犯罪所得罪的认定思路，既然数据能够成为该罪犯罪对象，将以数据外其他形式存在的个人信息纳入“犯罪所得”的范畴也似乎并无障碍。有见解即对此加以肯定，认为伙同非法获取个人信息者销售犯罪所得个人信息的，成立掩饰、隐瞒犯罪所得罪。由于基因信息不论是否以数据形式呈现，非法获取基因信息的行为均可能成立侵犯公民个人信息罪；若肯定“使用”属于掩饰、隐瞒犯罪所得罪的实行行为，则收购、保藏、使用他人非法取得的公民基因信息的，在他人成立侵犯公民个人信息罪的前提下，收购、保藏、使用涉案基因信息者将涉嫌掩饰、隐瞒犯罪所得罪。

从上文分析可知，侵犯公民基因信息的行为可能同时成立多个罪名，如作为非法采集人类遗传资源罪实行行为的“非法采集”，其也可能被评价为侵犯公民个人信息罪的实行行为“窃取或者以其他方法非法获取”、非法获取国家秘密罪的实行行为“窃取、刺探、收买”或非法获取计算机信息系统数据罪的实行行为“获取”。在有关基因信息除属于人类遗传资源和公民个人信息外，在法律性质上属于国家秘密、存在形式为计算机信息系统数据的情况下，非法采集基因信息的行为将涉嫌非法采集人类遗传资源罪、侵犯公民个人信息罪、非法获取国家秘密罪和非法获取计算机信息系统数据罪。在此前提下，有必要探究侵犯基因信息行为所涉各罪、罪与非罪的具体判断标准及其罪间关系，以期对此类行为给予准确的刑法评价。

“对犯罪构成要件的解释结论，必须使符合这种犯罪构成要件的行为确实侵犯了刑法规定该犯罪所要保护的法益，从而使刑法规定该犯罪、设立该条文的目的得以实现。”故为准确认定侵犯基因信息行为所涉各罪，本文将首先辨析侵犯基因信息行为所涉各罪的法益，并依据具体犯罪的法益，对部分犯罪认定存在的争议予以回应。

关于非法采集人类遗传资源罪，现有观点一般认为，该罪法益是国家对人类遗传资源的管理制度。由于法条对该罪成立条件存在“危害公众健康或者社会公共利益”的表述，也有观点认为，该罪法益除国家对我国人类遗传资源的管理秩序外，还包含公众健康和社会公共利益。值得关注的是，一些学者对当前刑事立法将非法采集人类遗传资源罪规定于刑法分则第六章“妨害社会管理秩序罪”第五节“危害公共卫生罪”的做法提出了批评，认为：生物安全法、《人类遗传资源管理条例》等非法采集人类遗传资源罪的前置行政法规范均以维护国家安全作为价值目标，刑法对该罪体系位置的安排使得该罪法益过于狭隘，涉人类遗传资源信息犯罪的法益理应上升至国家安全的高度理解。非法采集人类遗传资源的行为社会危害性主要体现为对生物安全的潜在威胁，而非对公共卫生管理秩序的妨害。

在本文看来，刑事立法将非法采集人类遗传资源罪规定在“危害公共卫生罪”一节，与认定该罪法益涵盖国家安全并不矛盾。本文认为，“国家对人类遗传资源的管理制度”是由生物安全法、《人类遗传资源管理条例》等行政法规范创设的秩序型法益，作为前置性的“阻挡层法益”而存在；国家安全则是先于行政法规范存在的利益型法益，是行政法规范创设“阻挡层法益”旨在保护的“背后层法益”，二者是手段与目的的关系。这在刑事立法中已有先例，如当前刑法理论普遍认为，尽管生产、销售、提供假药罪规定在刑法分则第三章“破坏社会主义市场经济秩序罪”第一节“生产、销售伪劣商品罪”，条文也未要求其基本犯成立必须危害人体健康，但该罪的主要法益仍应认定为人民的生命健康安全，相关监管部门的行业监管秩序只是该罪的次要法益。对于仅造成此类次要法益侵害，而未实质威胁民众的生命健康安全的行为不能认定为生产、销售、提供假药罪。事实上，就生产、销售、提供假药罪而言，药品监管秩序是立法创设的“阻挡层法益”，用药者的生命、健康是立法机关创设“阻挡层法益”旨在保护的“背后层法益”。只是，有时片面强调对该罪“阻挡层法益”的维护，会使得实质上未威胁甚至有利于用药者的生命、健康这一“背后层法益”的行为被不当入罪，故有必要对该罪的两类法益作出主次区分。

但就非法采集人类遗传资源罪而言，“阻挡层法益”与“背后层法益”几乎不存在类似生产、销售、提供假药罪的紧张关系。非法采集人类遗传资源的行为加剧了我国人类遗传资源流入敌对势力手中的风险，其本身往往就对我国公众健康和涵盖我国国家安全在内的“社会公共利益”造成抽象的危险。故通常来说，只要肯定非法采集人类遗传资源行为严重侵害“国家对人类遗传资源的管理制度”，就可以认定为非法采集人类遗传资源罪。刑法第334条之一条文“危害公众健康或者社会公共利益”的表述，只是表明若经查实行为人违规采集人类遗传资源的目的只是为了实施有益于人类发展的科研活动等，确未威胁公众健康或者社会公共利益的，不应认定为该罪。这并不意味着，证实公众健康或者社会公共利益因违规采集人类遗传资源受到实质损害是成立该罪的前提。非法采集人类遗传资源的行为后果通常短期内很难立即显现，实施了非法采集人类遗传资源的行为如果达到一定的数量即具备危害性，可以认定为“危害公众健康或者社会公共利益”。

关于侵犯公民个人信息罪的法益，刑法理论存在“个人信息权益说”与“信息管理秩序说”两类见解。持“信息管理秩序说”的学者认为，从该罪立法本意和司法操作可行性考察，侵犯公民个人信息罪的法益应认定为公民信息的管理制度以及社会对公民个人信息的处置方式。但随着民法典在人格权编独立设置“隐私权和个人信息保护”一章以及个人信息保护法颁行，“个人信息权益说”已逐渐成为刑法学界的主流。

鉴于侵犯公民个人信息罪规定在刑法分则第四章“侵犯公民人身权利、民主权利罪”，且在行政法已对信息管理秩序设置相应规范体系的前提下，笼统地将信息管理秩序作为侵犯公民个人信息罪法益正当性存疑、难免造成刑法与前置法的规制出现混乱，本文认同“个人信息权益说”。具体而言，作为侵犯公民个人信息罪法益的公民个人信息权包括“个人信息不被不正当收集、采集的权利，不被不正当扩散的权利，以及不被滥用的权利”。

通说观点认为，为境外窃取、刺探、收买、非法提供国家秘密、情报罪的法益是国家安全，非法获取国家秘密罪、泄露国家秘密罪和非法持有国家绝密、机密文件、资料、物品罪的法益是国家的保密制度。有学者指出，为境外窃取、刺探、收买、非法提供国家秘密、情报罪和非法获取国家秘密罪的法益均为国家安全和利益与国家秘密管理秩序，后者相对前者地位较轻，刑事立法将非法获取国家秘密罪规定于“妨害社会管理秩序罪”一章并不合理。

在本文看来，非法获取国家秘密罪、泄露国家秘密罪和非法持有国家绝密、机密文件、资料、物品罪与非法采集人类遗传资源罪类似，其法益同样包含“阻挡层法益”和“背后层法益”，且侵害“阻挡层法益”，就可以推定有关犯罪已对“背后层法益”造成抽象的危险，足以肯定犯罪成立。其中，上述犯罪“阻挡层法益”是国家的保密制度（国家秘密管理秩序），“背后层法益”是国家安全。由于国家秘密和关系国家安全和利益、尚未公开的情报一旦落入境外敌对势力之手，国家安全就实质上已面临现实、紧迫的具体危险，故刑事立法将为境外窃取、刺探、收买、非法提供国家秘密、情报罪直接规定在刑法分则第一章“危害国家安全罪”并设置了相对非法获取国家秘密罪更重的法定刑。为境外窃取、刺探、收买、非法提供国家秘密、情报罪当然也侵害了国家秘密管理秩序，但鉴于该罪的不法程度重，其法益直接认定为国家安全即可，强调此类犯罪对秩序法益的侵害意义有限。

通说观点认为，非法侵入计算机信息系统罪和非法获取计算机信息系统数据罪的法益是特定计算机信息系统的安全。鉴于非法获取计算机信息系统数据罪在司法实践中存在“口袋化”趋势，不少学者强调，刑法设置该罪旨在保护系统数据状态安全，该罪犯罪对象应限定为维持系统运行和防御状态安全的系统数据，而不是以系统数据为载体呈现具体信息内容的信息数据；国家安全信息、知识产权信息、虚拟财产信息针对的是国家安全、财产性利益等信息本体内容安全价值已由刑法设置的其他具体罪名保护，不宜认定为非法获取计算机信息系统数据罪犯罪对象。但也有学者主张，数据安全的本质在于权利主体对于数据在保密状态下的掌控，非法获取计算机信息系统数据罪法益是个体的数据权益。

本文认同在将两罪法益界定为特定计算机信息系统安全的基础上，将非法获取计算机信息系统数据罪的对象限定为维持系统运行和防御状态安全的系统数据。理由在于，刑事立法将第285条置于分则第六章第一节“扰乱公共秩序罪”，若无特殊原因，将两罪法益界定为具有公法益特征的特定计算机信息系统安全是合适的。尤其考虑到第285条第1款规定的非法侵入计算机信息系统罪已将该罪犯罪对象限定为关乎重大公共利益的“国家事务、国防建设、尖端科学技术领域的计算机信息系统”，其行为侵害的明显不是个人法益，若将第285条第2款规定的非法获取计算机信息系统数据罪法益认定为个体的数据权益，不免有违体系解释的原则。况且，刑法的明确性是罪刑法定原则的基本要求，在非法获取计算机信息系统数据罪呈现“口袋化”趋势的当下，理应对该罪法益作出有利于使其适用范围更加明晰的界定；在刑事立法已规定侵犯公民个人信息罪、侵犯商业秘密罪、盗窃罪等侵害个人法益的具体犯罪的前提下，仍将内涵模糊的个体数据权益纳入非法获取计算机信息系统数据罪法益范畴，只会加剧刑法条文关系的复杂、造成非法获取计算机信息系统数据罪在司法适用中不当扩张，并不可取。

主流观点将掩饰、隐瞒犯罪所得罪的法益认定为“司法机关对刑事犯罪依法追究的活动”，这在刑法理论上基本没有异议。然而，司法实务在具体适用本罪时，存在一定偏差。有学者强调，“由于本罪是妨害司法的犯罪，故不能根据实施掩饰、隐瞒行为的人获利多少，掩饰、隐瞒的财产数额多少确立罪与非罪的标准。”但如前所述，《计算机解释》将掩饰、隐瞒非法获取计算机信息系统数据犯罪所获取的数据，违法所得是否达到五千元作为认定该罪罪与非罪的标准。此外，在该罪法益的指导下，能否将个人信息纳入“犯罪所得”范畴、将“使用”行为视作“掩饰、隐瞒”的类型，也不无疑问。例如，有论者认为，“非法获得的公民个人信息，不属于犯罪所得的赃物。”又如，不乏意见指出，“非法使用个人信息的行为对信息主体的侵害更为直接、精确，对信息主体的信誉、财产及正常生活各方面都可能造成严重的损害”，法使用公民个人信息侵害的是信息主体的个人权利，其并非破坏司法秩序的“掩饰、隐瞒”行为。

本文认为，由于掩饰、隐瞒犯罪所得罪所保护的法益是司法秩序，故个人信息不能成为该罪的犯罪对象，“使用”行为通常也不属于该罪的实行行为。与通过收购等方式转移他人盗窃所得的有体物将给刑事侦查、起诉、审判造成额外阻碍不同，信息可以被多人共享。行为人通过收购等途径获取他人非法取得的公民个人信息的，被收购的信息通常并未发生实质转移，故他人非法获取公民个人信息的证据一般不会因涉案信息被转售而灭失，不会妨害司法秩序。同理，单纯非法使用公民个人信息的，也不可能妨害刑事司法活动，其本质上侵害的是信息主体的合法权益。此外，注意到刑事立法已明确将非法获取公民个人信息的行为规定为侵犯公民个人信息罪，通过收购等途径获取他人非法取得的公民个人信息的，亦属“非法获取”。故即使涉案个人信息以印刷在纸张等载体的方式呈现，通过收购等方式转移有关载体的，虽可能对司法秩序造成一定障碍，但将其与各类非法获取公民个人信息的行为统一评价为侵犯公民个人信息罪显然更为合适。

《计算机解释》将非法获取计算机信息系统数据罪认定为掩饰、隐瞒犯罪所得罪的上游犯罪，并把违法所得是否达到五千元作为认定该罪罪与非罪的标准，可能主要受实务中将侵害游戏装备等虚拟财产的行为认定为数据犯罪的影响。毕竟，掩饰、隐瞒犯罪所得实体财产的，必定构成掩饰、隐瞒犯罪所得罪；若将掩饰、隐瞒犯罪所得虚拟财产的行为排除出该罪规制范围，未免让人难以接受。但如前所述，非法获取计算机信息系统数据罪的犯罪对象应予限缩解释，侵害虚拟财产的行为应以财产犯罪论处。通过收购等手段掩饰、隐瞒虚拟财产与掩饰、隐瞒信息数据的行为性质存在差异，由于虚拟财产并不具有信息的共享性特征，对其掩饰、隐瞒的，足以妨害司法秩序，可以以掩饰、隐瞒犯罪所得罪论处。故应当认为，《计算机解释》的前述规定并不合理，而将非法使用他人犯罪所得公民个人信息的行为纳入掩饰、隐瞒犯罪所得罪规制的主张更是存在保护法益适用错位、冲击罪刑法定原则的缺陷。

综合上文对侵犯基因信息行为所涉罪名的分析，可以发现，尽管初步检视下，非法获取基因数据的行为涉嫌非法获取计算机信息系统数据罪，收购、保藏、使用他人犯罪所得基因信息的行为涉嫌掩饰、隐瞒犯罪所得罪，但依据两罪法益对有关构成要件进一步解释后，应认为侵犯基因信息行为事实上并不成立两罪。就侵犯基因信息行为涉嫌的其他罪名而言，可以采取如下认定思路。

第一步，判断涉案基因信息是否属于受刑法保护的“个人信息”。如前所述，《侵犯公民个人信息案解释》将“公民个人信息”限定为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，若涉案信息既不能单独或者与其他信息结合识别特定自然人身份，也无法反映特定自然人活动情况，则不属于侵犯公民个人信息罪的对象。这在个人信息保护法第4条第1款对个人信息“不包括匿名化处理后的信息”的认定中得到肯定。因此，如果涉案基因信息已经匿名化处理，就应排除侵犯公民个人信息罪的适用。

第二步，若肯定涉案基因信息属于受刑法保护的“个人信息”，则须进一步考察，基因信息的权利人对涉案基因信息的出售、提供、获取等是否知情同意。由于侵犯公民个人信息罪的法益是公民个人信息权，在基因信息主体对有关处分知情同意的情况下，该罪法益未受到实质侵害，故不能将经基因信息主体同意的出售、提供、获取等行为以侵犯公民个人信息罪论处。若能够肯定涉案基因信息属于受刑法保护的“个人信息”、针对此类信息实施的出售、提供、获取等行为未经权利主体知情同意，则足以肯定涉案行为已具备侵犯公民个人信息罪的罪质，若有关行为的不法程度达到该罪要求，即可肯定侵犯公民个人信息罪的成立。

第三步，依据相关法律法规判断涉案基因信息是否属于国家秘密，若对此持肯定回答，则足以肯定非法获取这类基因信息的行为已具备非法获取国家秘密罪的罪质。在此基础上，须进一步考察行为人是否将涉案信息非法提供给境外势力，或其非法获取行为是否系为境外势力实施，若有上述情状，则可将此类行为定性为为境外窃取、刺探、收买、非法提供国家秘密罪。例外情况是，若只能查明行为人持有属于国家秘密的基因信息资料，但其对涉案基因信息拒不说明来源与用途，且缺乏证据证明行为人实施了窃取、刺探、收买等非法获取或向境外势力提供涉案基因信息的行为，则须判断涉案基因信息是否属于国家绝密、机密范畴，若对此持肯定回答，可适用非法持有国家绝密、机密文件、资料、物品罪。若行为人虽有权持有属于国家秘密的基因信息，但违规泄露的，对其行为可适用泄露国家秘密罪定性。

第四步，若涉案基因信息并未被明文认定为国家秘密，但经查实行为人存在为境外势力非法获取涉案基因信息的情状，则须进一步判断涉案基因信息是否属于关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项，能否评价为“情报”。若对此持肯定回答，则可以适用为境外窃取、刺探、收买、非法提供情报罪。

第五步，若行为人实施了非法获取基因信息的行为，则须判断其行为对我国人类遗传资源管理制度的破坏程度是否严重、是否确有适用刑法规制的必要，有无证据表明此类行为事实上并未“危害公众健康或者社会公共利益”。若能够肯定行为人确已严重破坏我国人类遗传资源管理制度，足以推定其行为已对公众健康或者社会公共利益构成严重威胁，且不存在能够否定涉案行为实质危害的反证，则可将涉案行为认定为非法采集人类遗传资源罪。

此外，若行为人为非法获取基因信息，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，可以肯定非法侵入计算机信息系统罪成立。只是，若行为人最终取得基因信息，其往往同时构成非法获取国家秘密罪、侵犯公民个人信息罪、非法采集人类遗传资源罪等，其侵入特定计算机信息系统行为与获取基因信息行为属于手段与目的的关系，应依据牵连犯原理从一重罪论处，通常适用非法获取国家秘密罪等罪名定性。走私人类遗传资源材料出境后又利用人类遗传资源材料采集基因信息的，由于刑法第334条之一将“非法采集人类遗传资源、走私人类遗传资源材料罪”规定为选择性罪名，适用该条独立评价为一罪即可；但若行为人采集基因信息的行为同时构成侵犯公民个人信息罪或侵犯国家秘密、情报类犯罪，则由于该行为同时构成多种罪名、侵害数类法益，应将行为人构成的相关罪名与走私人类遗传资源材料罪数罪并罚。

就侵犯基因信息行为所涉各罪关系而言，为境外窃取、刺探、收买、非法提供国家秘密罪、泄露国家秘密罪、非法获取国家秘密罪和非法持有国家绝密、机密文件、资料、物品罪可归纳为侵犯国家秘密类犯罪，其法益性质一致，不法程度由重到轻递减。在行为人同时成立为境外窃取、刺探、收买、非法提供国家秘密罪和其他侵犯国家秘密类犯罪的情况下，只须适用为境外窃取、刺探、收买、非法提供国家秘密罪一罪即可；只有行为人不成立前三罪的情况下，才考虑非法持有国家绝密、机密文件、资料、物品罪这一“兜底”型犯罪的适用。

侵犯公民个人信息罪、非法采集人类遗传资源罪和侵犯国家秘密、情报类犯罪的法益存在差异，同一侵犯基因信息的行为同时触犯数罪名、造成多种法益侵害结果的，应依据想象竞合原理从一重罪论处。在本文看来，国家法律法规将特定基因信息确定为国家秘密，往往是因为其与国家安全关系密切，一旦泄露危害巨大。非法采集这类属于国家秘密的基因信息的，基本可以肯定其“危害社会公共利益，情节严重”，同时成立侵犯国家秘密类犯罪和非法采集人类遗传资源罪。

三、基因信息刑法保护的不足及其完善

当前，不少学者认为现行刑法对基因信息的保护尚存在一定不足。如有论者指出，刑法第334条之一没有明文将“国家安全”与“公众健康或者社会公共利益”并列为该罪的犯罪客体体系，相较前置行政法保护范围明显狭窄；该条将非法运送、邮寄、携带行为的对象限定为人类遗传资源材料，未涵盖人类遗传信息，没有实现人类遗传资源信息和人类遗传资源材料的同等保护。另有观点认为，如果对侵犯公民个人信息罪所涉法益持“个人法益论”，则个人知情同意足以阻却违法，但个人与其家庭成员间分享着相同度较大的基因信息，基因信息的公共属性决定了仅将侵犯公民个人信息罪适用于保护基因信息主体个人法益并不合适。

本文认为，上述意见未能全面考察我国基因信息的刑法保护体系，其所认定的“不足”实质上并非刑法法益保护不周全的体现。诚然，《人类遗传资源管理条例》第1条将“维护公众健康、国家安全和社会公共利益”并列为其制定目的，而刑法第334条之一仅在条文中规定了“危害公众健康或者社会公共利益，情节严重”的表述，似乎“遗漏”了“国家安全”。但考虑到该条规定在刑法分则第六章第五节“危害公共卫生罪”，若在其立法表述中采“危害国家安全”，难免造成不协调。注意到刑法分则在具体犯罪中直接规定“危害国家安全”作为犯罪成立条件的，只有第110条“间谍罪”。该罪法定刑明显重于刑法第334条之一，构成间谍罪的行为理应对国家安全造成具体的危险。尽管侵犯国家秘密类犯罪的前置法保守国家秘密法第1条明确将“维护国家安全和利益”作为立法目的，但这类犯罪的条文也未采用“危害国家安全”的表述。如前所述，将国家安全视作非法采集人类遗传资源罪的“背后层法益”并无障碍。若非法采集基因信息行为已给国家安全带来威胁，其几乎必然属于“危害公众健康或者社会公共利益，情节严重”的情形，完全可以适用本罪规制。何况，真正严重威胁国家安全的侵犯基因信息行为，往往属于向境外势力提供关系国家安全和利益的重要基因信息，此类基因信息即使尚未纳入国家秘密，也可以评价为刑法语境下的情报。上述行为完全可以适用属于“危害国家安全罪”一章、法定刑更重的为境外窃取、刺探、收买、非法提供国家秘密、情报罪予以规制。

关于第334条之一未对人类遗传资源信息和人类遗传资源材料同等保护的问题，有学者在解释论层面提出了对策，即为实现刑事立法惩治非法传递人类遗传资源信息出境行为的目的，应将人类遗传资源信息解释为走私人类遗传资源材料罪的行为对象。然而，一方面，在作为刑法第334条之一前置法的《人类遗传资源管理条例》已明确区分人类遗传资源材料与人类遗传资源信息的情况下，将人类遗传资源信息涵盖于人类遗传资源材料范畴，难免有为加强法益保护力度而任意扩大刑法处罚范围、突破罪刑法定原则的嫌疑。另一方面，注意到《刑法修正案（十一）（草案）》第一次征求意见稿中，刑法第334条之一规制的行为类型除当前该条涵盖的非法采集人类遗传资源和走私人类遗传资源材料出境外，还包含“未经安全审查，将国家人类遗传资源信息向境外组织、个人及其设立或实际控制的机构提供或者开放使用的”。但这一类型在《刑法修正案（十一）（草案二次审议稿）》中被删除。可见，立法机关在刑法第334条之一未对人类遗传资源信息和人类遗传资源材料同等保护，并非出于疏漏，而是有意将非法传递人类遗传资源信息出境行为排除在该条规制范围外。这与《人类遗传资源管理条例》及《人类遗传资源管理条例实施细则》针对人类遗传资源材料作出严格的“内外有别”之规定，而对于人类遗传资源信息的国际合作研究管理相对宽松是一致的。在本文看来，立法机关将非法传递人类遗传资源信息出境行为排除出第334条之一规制范围，并不会出现学者担心的法益保护不周的局面。理由是，若行为人实施“未经安全审查，将国家人类遗传资源信息向境外组织、个人及其设立或实际控制的机构提供或者开放使用的”行为，造成国家安全受到威胁的，完全可以适用为境外非法提供国家秘密、情报罪予以规制，而不必将这一行为类型纳入第334条之一处罚。

对侵犯公民个人信息罪持“个人法益论”，的确不能将非法获取经个体同意收集的基因信息后，侵犯基因主体外的共同体利益的行为纳入该罪规制范围。然而，这并不意味着须对侵犯公民个人信息罪法益采“信息管理秩序说”或将其认定为其他公法益。理由是，非法采集人类遗传资源罪以“国家对人类遗传资源的管理制度”为法益，获得基因主体个人知情同意的基因信息采集行为，仍可能因损害社会公共利益而严重违反国家对人类遗传资源的管理制度，进而构成非法采集人类遗传资源罪。若此类行为危害国家安全的，还可以适用侵犯国家秘密、情报类犯罪规制。在刑事立法已在保护共同体法益的章节设置了具体罪名的情况下，没有必要对侵犯公民个人信息罪的法益作出不同于其分则章节类罪法益的判定。至于个人与其家庭成员间共享部分基因信息的问题，这只能说明应禁止个人对其基因信息的滥用，但考虑到个人与其亲属基因信息在何种程度上相同不易确定、基因信息共同主体范围弹性较大、共同信息定位易生“反公地悲剧”等因素，当前仍应将基因信息定位为纯粹的个人信息而非“共同信息”，基因主体本人知情同意足以阻却侵犯公民个人信息罪成立。

在本文看来，我国刑法对基因信息保护的不足表现为规制侵犯基因信息行为的现有犯罪成立条件模糊。

非法采集人类遗传资源罪与侵犯公民个人信息罪的成立，均以“情节严重”为前提。然而，涉嫌两罪的侵犯基因信息行为在何种情况下可认定为“情节严重”，当前并不明晰。《中华人民共和国刑法修正案（十一）解读》一书列举的可供非法采集人类遗传资源罪“情节严重”判断的因素有非法采集人类遗传资源的样本数量、采集地区、采集的方式、采集目的和用途、采集的年龄段、造成被采集人身体伤害、感染疾病或身体功能异常、为境外非法组织或基于非法目的获取我国人类遗传资源信息而研制某些生物制剂等。该罪前置行政法规《人类遗传资源管理条例》纳入应予处罚的侵犯基因信息行为类型主要有在未经批准的情况下“采集我国重要遗传家系、特定地区人类遗传资源”“保藏我国人类遗传资源”“将可能影响我国公众健康、国家安全和社会公共利益的人类遗传资源信息向外国组织、个人及其设立或者实际控制的机构提供或者开放使用”等情形。该条例第43条对有上述违法行为“情节严重”的单位及其责任人员规定了从业禁止的处罚。可见，何种非法采集人类遗传资源的行为是仅须适用从业禁止处罚的“情节严重”、属于适用行政处罚即可规制的类型，何种非法采集人类遗传资源的行为属于刑法第334条之一规定的“情节严重”、须适用非法采集人类遗传资源罪加以规制，即如何界定非法采集人类遗传资源行为行政处罚与刑事处罚的适用范围，缺乏明确标准。

《侵犯公民个人信息案解释》第5条第1款对作为侵犯公民个人信息罪成立前提的“情节严重”作出了解释。该款根据个人信息类别的不同，依据行为人非法获取、出售或者提供相关信息的数量，对“情节严重”的判断规定了差异化的认定标准。如对于“行踪轨迹信息、通信内容、征信信息、财产信息”，行为人非法获取、出售或者提供50条以上的，即属“情节严重”；而对“住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息”实施同类不法行为，则涉案信息达500条以上的，构成“情节严重”。对于前述两类以外的个人信息，非法获取、出售或者提供5000条以上的，属于“情节严重”。《侵犯公民个人信息案解释》在划分与“情节严重”判别有关的公民个人信息类型时，既没有涉及基因信息，也没有涉及包含基因信息在内的生物识别信息。尽管基因信息能在一定程度上反映公民的生理健康状况，如有观点称“宽泛的基因信息可以囊括一切与人的基因特征有关的家族遗传病史和家庭成员的健康信息”。就此而言，似乎应将基因信息纳入健康生理信息范畴，非法获取、出售或者提供500条以上的，属于侵犯公民个人信息罪“情节严重”。然而，《信息安全技术个人信息安全规范》附录已明确将基因信息纳入生物识别信息范畴，该附录将生物识别信息认定为与“健康生理信息”相并列的类型，后者包括患者病史、家族病史等，可否将基因信息认定为健康生理信息存在疑问。若认为其不属于健康生理信息，则非法获取、出售或者提供基因信息的，又该如何判断该行为是否构成侵犯公民个人信息罪“情节严重”？

此外，尽管《国家秘密、情报案件解释》对“情报”的理解作出了限定，但何种基因信息属于“关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项”，仍不无疑问。基因信息往往或多或少“关系国家安全和利益”，若对“情报”采宽泛理解，似乎凡是为境外非法采集我国基因信息的，都将涉嫌为境外窃取、刺探、收买、非法提供情报罪。如何准确认定“情报”的范畴，值得进一步探究。

我国刑法对基因信息保护的不足还表现为没有将部分涉基因信息的严重不法行为纳入刑法规制范围。尚未被刑法明确纳入处罚范围的侵犯基因信息行为主要包括以下三类。

第一，非法使用公民个人基因信息的行为。当前，侵犯公民个人信息罪制裁的不法行为，只包括对个人信息的主动型转移侵害；对于合法获取公民个人基因信息后，非法使用其基因信息的行为，不能适用该罪定性。例如，基因检测机构在合法采集个人基因信息后，可以通过技术分析推算出特定基因携带者的口味特征、对哪些药物敏感或易成瘾，进而利用相关结论向消费者精准推送特定产品。基因检测机构还可能接受保险公司、雇主的咨询，在不对外直接提供自身合法采集的公民基因信息的前提下，对保险公司是否接受特定个人投保或雇主是否应雇佣特定个人给出倾向性意见。上述行为对公民个人信息权益的侵害不亚于非法获取、出售或者提供公民基因信息，《人类遗传资源管理条例》第9条也明确将针对我国人类遗传资源实施的“利用”行为与“采集”“对外提供”并列，要求“应当尊重和保障人类遗传资源提供者的隐私权和个人信息等权益，按规定获取书面知情同意，确保人类遗传资源提供者的合法权益不受侵害。”可是，未获基因信息知情同意的采集、向他人提供行为可能成立侵犯公民个人信息罪，但经当事人同意获取基因信息后，擅自实施不当利用行为却不能纳入该罪规制范围，反映出刑法对基因信息法益的保护尚不周全。

第二，非法持有基因信息的行为。实践中，司法机关有时会查获嫌疑人持有大量公民个人信息，但其供述的上家及交易过程往往无法查证，或辩称自身并未非法获取个人信息（如辩解随身携带的、装有大量个人信息的U盘不是自己的）。《人类遗传资源管理条例》也将针对人类遗传资源实施的“保藏”与“采集”“利用”“对外提供”并列为该条例规制范围，要求其“应当尊重和保障人类遗传资源提供者的隐私权和个人信息等权益，按规定获取书面知情同意”“应当遵守科技活动的相关要求及技术规范”，且“保藏”“采集”与“国际科学研究合作”均须经行政许可。就基因信息而言，所谓“保藏”即相当于“持有”。刑事立法只将非法持有属于国家绝密、机密的基因信息认定为非法持有国家绝密、机密文件、资料、物品罪，却未明确规定非法持有其他基因信息的犯罪。然而，行为人之所以存在非法持有基因信息的情状，往往是因为其实施了非法获取基因信息的行为，是实施其他侵犯基因信息犯罪的预备、过渡或结果状态。持有大量基因信息客观上已经对公民个人信息权益、国家对人类遗传资源的管理制度等法益造成了严重危害，有适用刑法规制的必要性。

第三，故意或过失泄露不属于国家秘密的基因信息的行为。有学者指出，“泄露概念的外延要比非法提供概念的外延更为宽泛，即便不是主动提供，而是无意间使他人获知，也完全可以成立泄露。”本文认为，故意泄露与非法提供的含义基本等同，故意泄露个人基因信息的行为涉嫌侵犯公民个人信息罪；但故意泄露经匿名化处理的大量不属于国家秘密、但可评价为关系国家安全和利益的“情报”的基因信息的，若无证据证明行为人系向境外势力提供，则难以认定为侵犯公民个人信息罪或为境外窃取、刺探、收买、非法提供情报罪，通常不能以犯罪论处。可是，在全球信息高速流通的当下，这类行为已使国家安全遭受重大威胁，理应纳入刑法规制范围。

所谓“无意间使他人获知”即过失泄露，其不属于非法提供，因为“提供”的含义要求行为人系故意为之，刑法理论在认定刑法分则中实行行为包含“提供”的犯罪主观罪过时也基本均认定为故意。过失泄露基因信息的，同样可能对基因信息主体的合法权益、公众健康乃至国家安全造成严重威胁。实践中常常出现无法证明合法持有他人个人信息者故意实施非法向他人提供基因信息，但他人个人信息却被泄露的情况。如2018年6月，以色列基因检测公司“我遗传”超过9200万用户的电子邮件地址和密码遭窃取，该公司称自身保存的用户基因信息与储存电子邮件信息的系统“相互分离”，用户基因信息仍处于安全状态，同时建议用户更改密码。若特定合法持有基因信息者过失泄露大量基因信息，造成严重后果的，其社会危害性不亚于故意侵犯他人基因信息、但尚未造成严重后果的情形，应予以刑事制裁。