根据刑法第二百五十三条之一的规定，侵犯公民个人信息罪的成立，以行为违反国家有关规定为前提。根据个人信息保护法第十三条第一款第（一）项的规定，取得个人的同意，是个人信息处理者可以处理个人信息的合法情形之一[1]，换言之，取得个人的同意，收集个人信息的，并不违反国家有关规定，不构成侵犯公民个人信息罪。

在法律规定上，如何认定“取得个人的同意”？在侵犯公民个人信息刑事司法实践中，司法机关如何认定“未经被收集者同意”？这是本文拟介绍的问题。

一

个人信息保护法第十四条规定，

基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。

个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

根据上述规定，符合法律规定的同意，是个人在充分知情的前提下自愿、明确作出。如何满足个人的充分知情权，个人信息保护法第十七条第一款规定，

个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：

（一）个人信息处理者的名称或者姓名和联系方式；

（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

（三）个人行使本法规定权利的方式和程序；

（四）法律、行政法规规定应当告知的其他事项。

就上述规定分析，符合法律规定的“取得个人的同意”，应该包括满足两个条件：一是满足了个人的知情权；二是该同意是自愿、明确作出。

二

就目前公开的侵犯公民个人信息刑事案件看，如果行为人采取隐瞒信息的真实用途、隐瞒信息的真实去向、以利诱、蒙骗等方式，骗取信息持有者“同意”获取信息的，那么司法机关会认为是“未经被收集者同意”。

在山东省济宁市中级人民法院（2021）鲁08刑终182号刑事裁定书中，

一审法院人认定，被告人于某等人以免费办理流量卡、送礼品洗衣液等方式，召揽村民向其指定的身份证阅读器等设备出示读取身份信息及相关面部信息，并在村民不知情的情况下，通过网络向位于广东深圳等地的公司提供该信息，并在线办理手机卡，得卡后，并未向村民提供。

一审法院认为，本案被告人等人利用农村中、老年人对个人信息的不知、不懂、不敏感，而这绝不是被告人等人辩解的“他们拿了我的东西，在网络上刷脸确认，就应当视为同意”的借口和托辞，而这恰恰是被告人等人的主观恶性和犯罪手段，故可据此对被告人酌量刑罚。

二审法院裁定维持一审判决。

在上述案件，被告人获得村民的信息，表面是取得了村民的同意，但是未告知村民将会通过网络向位于广东深圳等地的公司提供该信息，并在线办理手机卡，实际是以免费办理流量卡赠送洗衣液等方式诱骗被害人，以此获取被害人身份信息及真人验证信息。被害人虽然“同意”，但并非是在充分知情的条件下作出的，法院据此认为被告人获取个人信息是“未经被收集者同意”，进而对被告人定罪量刑于法有据。

类似的裁判思路，在广东省深圳市龙岗区人民法院（2021）粤0307刑初1806号刑事判决书中也有体现。在该案中，法院在阐述裁判理由时指出，

虽然被告人及辩护人提出的信息需要本人同意后才能获取，而根据查明的事实，涉案APP具有明显的欺骗性，意图引导操作人员点击同意后成功获取相关信息，设置选择只是为了掩饰其非法目的，故选择程序的设置不能阻却本案被告人行为的违法性，因此，被告人的行为均已构成侵犯公民个人信息罪。

可见，司法机关在认定是否“未经被收集者同意”时，会非常重视该同意是否是被收收集者的真实意愿。

有必要追问的是，在举证责任上，是应该由控方承担“未经被收集者同意”的举证责任，还是应该由被告人承担“取得个人的同意”的举证责任？刑事诉讼法第五十一条规定，

公诉案件中被告人有罪的举证责任由人民检察院承担，自诉案件中被告人有罪的举证责任由自诉人承担。

据此，在侵犯公民个人信息刑事案件中，被告人的行为违反了国家有关规定的举证责任由控方承担，换言之，被告人收集信息“未经被收集者同意”的举证责任应该由控方承担，被告人不承担已经“取得个人的同意”的举证责任。因此，在被告人收集个人信息时是否已取得个人同意存疑时，根据疑点利益归于被告人的原则，应该作出有利于被告人的认定。

在河南省许昌市魏都区人民检察院许魏检一部刑不诉〔2020〕70号不起诉决定书，检察机关认为，现有证据不能证明李某某使用逾期还款客户信息是否经过了信息被收集者本人同意，因此本案不符合起诉条件。

[1]个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。