苏杨成｜论基因信息的刑法保护

一、问题的提出

基因是产生一条多肽链或功能RNA所需的全部核苷酸序列，其储存着生命的种族、血型、孕育、生长、凋亡等过程的全部信息，支持着生命的基本构造和性能。以基因诊断、检测、筛选、编辑为代表的基因技术蓬勃发展，蕴含着人类遗传密码的基因信息也愈发受到关注。在大数据时代，科学家通过汇总海量基因信息分析研究，可以查明特定疾病发生的根源，进而研发对症药物、探索新的治疗手段；个人通过基因检测，获知自身基因信息，可以了解自身体质与疾病风险，并依此调整自身生活方式，对特定疾病采取预防措施。

生命伦理是生命科学技术发展的必然产物和要求，基因伦理是生命伦理的重要内容，其基本原则与生命伦理相同，即基因技术的科研与应用须符合“行善、自主、不伤害、公正”的要求。在基因技术的发展让人们可以轻松获知基因信息、通过科研活动用其造福人类的同时，一些针对基因信息实施的、有违基因伦理的行为也随之出现。由于基因信息所具有的巨大价值，许多商业公司纷纷投身基因信息的收集、研究，在此过程中，公民个人基因信息存在被不当采集、滥用等行为侵犯的可能。如在人身保险和劳动就业领域，存在因个体的基因信息所反映的特征具备缺陷而予以否定性评价的“基因歧视”现象。此外，部分国家为获取更多基因信息、实现本国利益，肆意窃取他国基因资源。我国基因资源流入境外，既可能让他国利用我国基因资源研发成果、申请专利，损害我国国家利益；也造成了境外敌对势力利用我国基因资源分析我国人种基因特征，制造针对性“基因武器”的风险，对我国国家安全构成威胁。

为抑制侵犯我国公民基因信息的行为、为基因科技伦理治理提供法治保障，近年来，我国颁布了一系列法律法规，加强了对公民基因信息的保护力度。在刑事立法层面，刑法修正案（十一）增设了第334条之一“非法采集人类遗传资源、走私人类遗传资源材料罪”，规制非法采集我国人类遗传资源或者走私我国人类遗传资源材料出境，危害公众健康或者社会公共利益，情节严重的行为。根据《人类遗传资源管理条例》第2条的规定，人类遗传资源包括人类遗传资源材料和人类遗传资源信息，其中，人类遗传资源材料指“含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料”，而人类遗传资源信息为“利用人类遗传资源材料产生的数据等信息资料”。在本文看来，该罪打击走私人类遗传资源材料的行为，实质上是为了预防境外敌对势力利用生物技术对我国人类遗传资源材料研究分析，取得相关基因信息；毕竟，单纯走私我国人类遗传资源材料出境，却不对有关基因信息研究分析的行为，不可能造成“危害公众健康或者社会公共利益”的风险。而所谓“人类遗传资源信息”，事实上与“基因信息”同义，“基因”的内涵就是遗传因子，是遗传的物质基础。有观点指出，该罪的增设“填补了我国刑法典的立法空白，为依法惩治危害国家人类遗传资源安全犯罪提供了立法依据”。

在非法采集人类遗传资源、走私人类遗传资源材料罪增设前，刑法在基因信息保护方面存在“立法空白”，不当采集、滥用等侵犯我国公民基因信息的行为是否构成既有犯罪？如果此类行为涉嫌既有罪名，那么相关既有罪名与非法采集人类遗传资源、走私人类遗传资源材料罪的关系为何，对侵犯基因信息的行为具体应如何适用刑法加以规制？在非法采集人类遗传资源、走私人类遗传资源材料罪增设后，我国刑事立法对公民基因信息的保护是否周全、合理？若现行刑法对侵犯基因信息行为的规制尚有不足，则如何加以完善？

二、侵犯基因信息行为的刑法评价

生物安全法第55条规定，“采集、保藏、利用、对外提供我国人类遗传资源，应当符合伦理原则，不得危害公众健康、国家安全和社会公共利益。”《人类遗传资源管理条例》对采集、保藏、利用、对外提供我国人类遗传资源所须遵循的条件作出了具体要求，在第10条第1款规定“禁止买卖人类遗传资源”，并规定了违规采集、保藏、利用、对外提供和买卖我国人类遗传资源的行为所应承担的行政法律责任。可见，被我国法律禁止的侵犯基因信息行为，主要包括针对基因信息实施的违规采集、保藏、利用、对外提供及买卖。如前所述，非法采集我国公民基因信息，危害公众健康或者社会公共利益，情节严重的，涉嫌刑法修正案（十一）增设的非法采集人类遗传资源罪。除此之外，侵犯基因信息行为还涉嫌如下犯罪。

第一，违规向他人出售、提供、窃取或者以其他方法非法获取我国公民基因信息，情节严重的，涉嫌侵犯公民个人信息罪。“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）（下文简称《侵犯公民个人信息案解释》）第1条将“公民个人信息”定义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”尽管该条并未明确将基因信息列举为个人信息的类型，但最高人民法院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》（法释〔2014〕11号，已被修改）第12条曾将基因信息纳入“个人隐私和其他个人信息”范畴，《信息安全技术个人信息安全规范》附录将个人基因规纳入生物识别信息，而个人信息保护法第28条将生物识别信息认定为“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害”的“敏感个人信息”。可见，依照现行法律规范，基因信息属于公民个人信息，且系受到特殊保护的“敏感个人信息”。故依据刑法第253条之一，违规向他人出售、提供，或非法获取公民基因信息，情节严重的，成立侵犯公民个人信息罪。

第二，为境外的机构、组织、人员窃取、刺探、收买、非法提供属于国家秘密或情报的基因信息的，涉嫌为境外窃取、刺探、收买、非法提供国家秘密、情报罪。最高人民法院《关于审理为境外窃取、刺探、收买、非法提供国家秘密、情报案件具体应用法律若干问题的解释》（法释〔2001〕4号）（下文简称《国家秘密、情报案件解释》）第1条规定，作为为境外窃取、刺探、收买、非法提供国家秘密、情报罪犯罪对象的“国家秘密”应依据保守国家秘密法认定，“情报”则指关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项。《人类遗传资源管理条例》第46条规定，人类遗传资源相关信息属于国家秘密的，应依照保守国家秘密法实施保密管理。一些基因信息出于法律规范滞后或其他因素，暂未列入国家秘密范围，但完全可能属于关系国家安全和利益、尚未公开的“情报”。可见，基因信息与国家秘密或情报存在交叉部分，为境外的机构、组织、人员窃取、刺探、收买、非法提供这部分基因信息的，依据刑法第111条，成立为境外窃取、刺探、收买、非法提供国家秘密、情报罪。另外，以窃取、刺探、收买方法，非法获取属于国家秘密的基因信息的，即使不能查明行为人系为境外势力实施，依据刑法第282条第1款，其涉嫌非法获取国家秘密罪。行为人违反保守国家秘密法的规定，违反职权或工作职责而泄露属于国家秘密的基因信息的，涉嫌刑法第398条泄露国家秘密罪。若涉案基因信息属于国家绝密、机密的，即使不能查明无权持有此类基因信息的行为人有非法获取的行为，其也涉嫌刑法第282条第2款非法持有国家绝密、机密文件、资料、物品罪。

第三，违规侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统，获取以数据形式存储、处理或者传输的基因信息的，涉嫌非法侵入计算机信息系统罪；违规侵入国家事务、国防建设、尖端科学技术领域外的其他计算机信息系统，获取以数据形式存储、处理或者传输的基因信息的，涉嫌非法获取计算机信息系统数据罪。值得关注的是，尽管依照刑法第285条前两款的文义，前述侵犯公民基因信息的行为可能成立非法侵入计算机信息系统罪和非法获取计算机信息系统数据罪。但刑法学界有观点认为，非法获取计算机信息系统数据罪应限于以数据为对象、以数据安全为法益的犯罪，非法获取个人信息只是以数据为媒介、工具的网络犯罪，将后者纳入非法获取计算机信息系统数据罪规制范围将使得该罪“口袋化”，不宜提倡。可见，能否以计算机犯罪规制侵犯基因信息数据的行为，不无疑问。

第四，收购、保藏、使用他人通过犯罪取得的公民基因信息的，涉嫌掩饰、隐瞒犯罪所得罪。根据“两高”《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）（下文简称《计算机解释》）第7条第1款的规定，明知是非法获取计算机信息系统数据犯罪所获取的数据，而予以转移、收购、代为销售或者以其他方法掩饰、隐瞒，违法所得五千元以上的，应认定为掩饰、隐瞒犯罪所得罪。此外，尽管《计算机解释》并未明文将使用他人非法获取的计算机信息系统数据的行

为认定为掩饰、隐瞒犯罪所得罪，但主流意见仍依据《计算机解释》认为，“使用”也属于掩饰、隐瞒犯罪所得罪的实行行为，明知是他人非法获取的计算机信息系统数据而予以使用的构成该罪。因此，若能够肯定违规获取以数据形式存储、处理或者传输的基因信息的行为成立非法获取计算机信息系统数据罪，则收购、保藏、使用基因信息数据，违法所得五千元以上的，涉嫌掩饰、隐瞒犯罪所得罪。

需要注意的是，尽管在数字时代、信息社会，基因信息往往以数据形式存在，但也不排除其以其他形式呈现，如印刷在纸张上的个人基因分析报告。个人信息保护法第4条第1款也明确，个人信息除以电子方式记录外，也包含以其他方式记录的与已识别或者可识别的自然人有关的各种信息。依据《计算机解释》对掩饰、隐瞒犯罪所得罪的认定思路，既然数据能够成为该罪犯罪对象，将以数据外其他形式存在的个人信息纳入“犯罪所得”的范畴也似乎并无障碍。有见解即对此加以肯定，认为伙同非法获取个人信息者销售犯罪所得个人信息的，成立掩饰、隐瞒犯罪所得罪。由于基因信息不论是否以数据形式呈现，非法获取基因信息的行为均可能成立侵犯公民个人信息罪；若肯定“使用”属于掩饰、隐瞒犯罪所得罪的实行行为，则收购、保藏、使用他人非法取得的公民基因信息的，在他人成立侵犯公民个人信息罪的前提下，收购、保藏、使用涉案基因信息者将涉嫌掩饰、隐瞒犯罪所得罪。

从上文分析可知，侵犯公民基因信息的行为可能同时成立多个罪名，如作为非法采集人类遗传资源罪实行行为的“非法采集”，其也可能被评价为侵犯公民个人信息罪的实行行为“窃取或者以其他方法非法获取”、非法获取国家秘密罪的实行行为“窃取、刺探、收买”或非法获取计算机信息系统数据罪的实行行为“获取”。在有关基因信息除属于人类遗传资源和公民个人信息外，在法律性质上属于国家秘密、存在形式为计算机信息系统数据的情况下，非法采集基因信息的行为将涉嫌非法采集人类遗传资源罪、侵犯公民个人信息罪、非法获取国家秘密罪和非法获取计算机信息系统数据罪。在此前提下，有必要探究侵犯基因信息行为所涉各罪、罪与非罪的具体判断标准及其罪间关系，以期对此类行为给予准确的刑法评价。

“对犯罪构成要件的解释结论，必须使符合这种犯罪构成要件的行为确实侵犯了刑法规定该犯罪所要保护的法益，从而使刑法规定该犯罪、设立该条文的目的得以实现。”故为准确认定侵犯基因信息行为所涉各罪，本文将首先辨析侵犯基因信息行为所涉各罪的法益，并依据具体犯罪的法益，对部分犯罪认定存在的争议予以回应。

关于非法采集人类遗传资源罪，现有观点一般认为，该罪法益是国家对人类遗传资源的管理制度。由于法条对该罪成立条件存在“危害公众健康或者社会公共利益”的表述，也有观点认为，该罪法益除国家对我国人类遗传资源的管理秩序外，还包含公众健康和社会公共利益。值得关注的是，一些学者对当前刑事立法将非法采集人类遗传资源罪规定于刑法分则第六章“妨害社会管理秩序罪”第五节“危害公共卫生罪”的做法提出了批评，认为：生物安全法、《人类遗传资源管理条例》等非法采集人类遗传资源罪的前置行政法规范均以维护国家安全作为价值目标，刑法对该罪体系位置的安排使得该罪法益过于狭隘，涉人类遗传资源信息犯罪的法益理应上升至国家安全的高度理解。非法采集人类遗传资源的行为社会危害性主要体现为对生物安全的潜在威胁，而非对公共卫生管理秩序的妨害。

在本文看来，刑事立法将非法采集人类遗传资源罪规定在“危害公共卫生罪”一节，与认定该罪法益涵盖国家安全并不矛盾。本文认为，“国家对人类遗传资源的管理制度”是由生物安全法、《人类遗传资源管理条例》等行政法规范创设的秩序型法益，作为前置性的“阻挡层法益”而存在；国家安全则是先于行政法规范存在的利益型法益，是行政法规范创设“阻挡层法益”旨在保护的“背后层法益”，二者是手段与目的的关系。这在刑事立法中已有先例，如当前刑法理论普遍认为，尽管生产、销售、提供假药罪规定在刑法分则第三章“破坏社会主义市场经济秩序罪”第一节“生产、销售伪劣商品罪”，条文也未要求其基本犯成立必须危害人体健康，但该罪的主要法益仍应认定为人民的生命健康安全，相关监管部门的行业监管秩序只是该罪的次要法益。对于仅造成此类次要法益侵害，而未实质威胁民众的生命健康安全的行为不能认定为生产、销售、提供假药罪。事实上，就生产、销售、提供假药罪而言，药品监管秩序是立法创设的“阻挡层法益”，用药者的生命、健康是立法机关创设“阻挡层法益”旨在保护的“背后层法益”。只是，有时片面强调对该罪“阻挡层法益”的维护，会使得实质上未威胁甚至有利于用药者的生命、健康这一“背后层法益”的行为被不当入罪，故有必要对该罪的两类法益作出主次区分。

但就非法采集人类遗传资源罪而言，“阻挡层法益”与“背后层法益”几乎不存在类似生产、销售、提供假药罪的紧张关系。非法采集人类遗传资源的行为加剧了我国人类遗传资源流入敌对势力手中的风险，其本身往往就对我国公众健康和涵盖我国国家安全在内的“社会公共利益”造成抽象的危险。故通常来说，只要肯定非法采集人类遗传资源行为严重侵害“国家对人类遗传资源的管理制度”，就可以认定为非法采集人类遗传资源罪。刑法第334条之一条文“危害公众健康或者社会公共利益”的表述，只是表明若经查实行为人违规采集人类遗传资源的目的只是为了实施有益于人类发展的科研活动等，确未威胁公众健康或者社会公共利益的，不应认定为该罪。这并不意味着，证实公众健康或者社会公共利益因违规采集人类遗传资源受到实质损害是成立该罪的前提。非法采集人类遗传资源的行为后果通常短期内很难立即显现，实施了非法采集人类遗传资源的行为如果达到一定的数量即具备危害性，可以认定为“危害公众健康或者社会公共利益”。

关于侵犯公民个人信息罪的法益，刑法理论存在“个人信息权益说”与“信息管理秩序说”两类见解。持“信息管理秩序说”的学者认为，从该罪立法本意和司法操作可行性考察，侵犯公民个人信息罪的法益应认定为公民信息的管理制度以及社会对公民个人信息的处置方式。但随着民法典在人格权编独立设置“隐私权和个人信息保护”一章以及个人信息保护法颁行，“个人信息权益说”已逐渐成为刑法学界的主流。

鉴于侵犯公民个人信息罪规定在刑法分则第四章“侵犯公民人身权利、民主权利罪”，且在行政法已对信息管理秩序设置相应规范体系的前提下，笼统地将信息管理秩序作为侵犯公民个人信息罪法益正当性存疑、难免造成刑法与前置法的规制出现混乱，本文认同“个人信息权益说”。具体而言，作为侵犯公民个人信息罪法益的公民个人信息权包括“个人信息不被不正当收集、采集的权利，不被不正当扩散的权利，以及不被滥用的权利”。

通说观点认为，为境外窃取、刺探、收买、非法提供国家秘密、情报罪的法益是国家安全，非法获取国家秘密罪、泄露国家秘密罪和非法持有国家绝密、机密文件、资料、物品罪的法益是国家的保密制度。有学者指出，为境外窃取、刺探、收买、非法提供国家秘密、情报罪和非法获取国家秘密罪的法益均为国家安全和利益与国家秘密管理秩序，后者相对前者地位较轻，刑事立法将非法获取国家秘密罪规定于“妨害社会管理秩序罪”一章并不合理。

在本文看来，非法获取国家秘密罪、泄露国家秘密罪和非法持有国家绝密、机密文件、资料、物品罪与非法采集人类遗传资源罪类似，其法益同样包含“阻挡层法益”和“背后层法益”，且侵害“阻挡层法益”，就可以推定有关犯罪已对“背后层法益”造成抽象的危险，足以肯定犯罪成立。其中，上述犯罪“阻挡层法益”是国家的保密制度（国家秘密管理秩序），“背后层法益”是国家安全。由于国家秘密和关系国家安全和利益、尚未公开的情报一旦落入境外敌对势力之手，国家安全就实质上已面临现实、紧迫的具体危险，故刑事立法将为境外窃取、刺探、收买、非法提供国家秘密、情报罪直接规定在刑法分则第一章“危害国家安全罪”并设置了相对非法获取国家秘密罪更重的法定刑。为境外窃取、刺探、收买、非法提供国家秘密、情报罪当然也侵害了国家秘密管理秩序，但鉴于该罪的不法程度重，其法益直接认定为国家安全即可，强调此类犯罪对秩序法益的侵害意义有限。

通说观点认为，非法侵入计算机信息系统罪和非法获取计算机信息系统数据罪的法益是特定计算机信息系统的安全。鉴于非法获取计算机信息系统数据罪在司法实践中存在“口袋化”趋势，不少学者强调，刑法设置该罪旨在保护系统数据状态安全，该罪犯罪对象应限定为维持系统运行和防御状态安全的系统数据，而不是以系统数据为载体呈现具体信息内容的信息数据；国家安全信息、知识产权信息、虚拟财产信息针对的是国家安全、财产性利益等信息本体内容安全价值已由刑法设置的其他具体罪名保护，不宜认定为非法获取计算机信息系统数据罪犯罪对象。但也有学者主张，数据安全的本质在于权利主体对于数据在保密状态下的掌控，非法获取计算机信息系统数据罪法益是个体的数据权益。

本文认同在将两罪法益界定为特定计算机信息系统安全的基础上，将非法获取计算机信息系统数据罪的对象限定为维持系统运行和防御状态安全的系统数据。理由在于，刑事立法将第285条置于分则第六章第一节“扰乱公共秩序罪”，若无特殊原因，将两罪法益界定为具有公法益特征的特定计算机信息系统安全是合适的。尤其考虑到第285条第1款规定的非法侵入计算机信息系统罪已将该罪犯罪对象限定为关乎重大公共利益的“国家事务、国防建设、尖端科学技术领域的计算机信息系统”，其行为侵害的明显不是个人法益，若将第285条第2款规定的非法获取计算机信息系统数据罪法益认定为个体的数据权益，不免有违体系解释的原则。况且，刑法的明确性是罪刑法定原则的基本要求，在非法获取计算机信息系统数据罪呈现“口袋化”趋势的当下，理应对该罪法益作出有利于使其适用范围更加明晰的界定；在刑事立法已规定侵犯公民个人信息罪、侵犯商业秘密罪、盗窃罪等侵害个人法益的具体犯罪的前提下，仍将内涵模糊的个体数据权益纳入非法获取计算机信息系统数据罪法益范畴，只会加剧刑法条文关系的复杂、造成非法获取计算机信息系统数据罪在司法适用中不当扩张，并不可取。

主流观点将掩饰、隐瞒犯罪所得罪的法益认定为“司法机关对刑事犯罪依法追究的活动”，这在刑法理论上基本没有异议。然而，司法实务在具体适用本罪时，存在一定偏差。有学者强调，“由于本罪是妨害司法的犯罪，故不能根据实施掩饰、隐瞒行为的人获利多少，掩饰、隐瞒的财产数额多少确立罪与非罪的标准。”但如前所述，《计算机解释》将掩饰、隐瞒非法获取计算机信息系统数据犯罪所获取的数据，违法所得是否达到五千元作为认定该罪罪与非罪的标准。此外，在该罪法益的指导下，能否将个人信息纳入“犯罪所得”范畴、将“使用”行为视作“掩饰、隐瞒”的类型，也不无疑问。例如，有论者认为，“非法获得的公民个人信息，不属于犯罪所得的赃物。”又如，不乏意见指出，“非法使用个人信息的行为对信息主体的侵害更为直接、精确，对信息主体的信誉、财产及正常生活各方面都可能造成严重的损害”，法使用公民个人信息侵害的是信息主体的个人权利，其并非破坏司法秩序的“掩饰、隐瞒”行为。

本文认为，由于掩饰、隐瞒犯罪所得罪所保护的法益是司法秩序，故个人信息不能成为该罪的犯罪对象，“使用”行为通常也不属于该罪的实行行为。与通过收购等方式转移他人盗窃所得的有体物将给刑事侦查、起诉、审判造成额外阻碍不同，信息可以被多人共享。行为人通过收购等途径获取他人非法取得的公民个人信息的，被收购的信息通常并未发生实质转移，故他人非法获取公民个人信息的证据一般不会因涉案信息被转售而灭失，不会妨害司法秩序。同理，单纯非法使用公民个人信息的，也不可能妨害刑事司法活动，其本质上侵害的是信息主体的合法权益。此外，注意到刑事立法已明确将非法获取公民个人信息的行为规定为侵犯公民个人信息罪，通过收购等途径获取他人非法取得的公民个人信息的，亦属“非法获取”。故即使涉案个人信息以印刷在纸张等载体的方式呈现，通过收购等方式转移有关载体的，虽可能对司法秩序造成一定障碍，但将其与各类非法获取公民个人信息的行为统一评价为侵犯公民个人信息罪显然更为合适。

《计算机解释》将非法获取计算机信息系统数据罪认定为掩饰、隐瞒犯罪所得罪的上游犯罪，并把违法所得是否达到五千元作为认定该罪罪与非罪的标准，可能主要受实务中将侵害游戏装备等虚拟财产的行为认定为数据犯罪的影响。毕竟，掩饰、隐瞒犯罪所得实体财产的，必定构成掩饰、隐瞒犯罪所得罪；若将掩饰、隐瞒犯罪所得虚拟财产的行为排除出该罪规制范围，未免让人难以接受。但如前所述，非法获取计算机信息系统数据罪的犯罪对象应予限缩解释，侵害虚拟财产的行为应以财产犯罪论处。通过收购等手段掩饰、隐瞒虚拟财产与掩饰、隐瞒信息数据的行为性质存在差异，由于虚拟财产并不具有信息的共享性特征，对其掩饰、隐瞒的，足以妨害司法秩序，可以以掩饰、隐瞒犯罪所得罪论处。故应当认为，《计算机解释》的前述规定并不合理，而将非法使用他人犯罪所得公民个人信息的行为纳入掩饰、隐瞒犯罪所得罪规制的主张更是存在保护法益适用错位、冲击罪刑法定原则的缺陷。

综合上文对侵犯基因信息行为所涉罪名的分析，可以发现，尽管初步检视下，非法获取基因数据的行为涉嫌非法获取计算机信息系统数据罪，收购、保藏、使用他人犯罪所得基因信息的行为涉嫌掩饰、隐瞒犯罪所得罪，但依据两罪法益对有关构成要件进一步解释后，应认为侵犯基因信息行为事实上并不成立两罪。就侵犯基因信息行为涉嫌的其他罪名而言，可以采取如下认定思路。

第一步，判断涉案基因信息是否属于受刑法保护的“个人信息”。如前所述，《侵犯公民个人信息案解释》将“公民个人信息”限定为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，若涉案信息既不能单独或者与其他信息结合识别特定自然人身份，也无法反映特定自然人活动情况，则不属于侵犯公民个人信息罪的对象。这在个人信息保护法第4条第1款对个人信息“不包括匿名化处理后的信息”的认定中得到肯定。因此，如果涉案基因信息已经匿名化处理，就应排除侵犯公民个人信息罪的适用。

第二步，若肯定涉案基因信息属于受刑法保护的“个人信息”，则须进一步考察，基因信息的权利人对涉案基因信息的出售、提供、获取等是否知情同意。由于侵犯公民个人信息罪的法益是公民个人信息权，在基因信息主体对有关处分知情同意的情况下，该罪法益未受到实质侵害，故不能将经基因信息主体同意的出售、提供、获取等行为以侵犯公民个人信息罪论处。若能够肯定涉案基因信息属于受刑法保护的“个人信息”、针对此类信息实施的出售、提供、获取等行为未经权利主体知情同意，则足以肯定涉案行为已具备侵犯公民个人信息罪的罪质，若有关行为的不法程度达到该罪要求，即可肯定侵犯公民个人信息罪的成立。

第三步，依据相关法律法规判断涉案基因信息是否属于国家秘密，若对此持肯定回答，则足以肯定非法获取这类基因信息的行为已具备非法获取国家秘密罪的罪质。在此基础上，须进一步考察行为人是否将涉案信息非法提供给境外势力，或其非法获取行为是否系为境外势力实施，若有上述情状，则可将此类行为定性为为境外窃取、刺探、收买、非法提供国家秘密罪。例外情况是，若只能查明行为人持有属于国家秘密的基因信息资料，但其对涉案基因信息拒不说明来源与用途，且缺乏证据证明行为人实施了窃取、刺探、收买等非法获取或向境外势力提供涉案基因信息的行为，则须判断涉案基因信息是否属于国家绝密、机密范畴，若对此持肯定回答，可适用非法持有国家绝密、机密文件、资料、物品罪。若行为人虽有权持有属于国家秘密的基因信息，但违规泄露的，对其行为可适用泄露国家秘密罪定性。

第四步，若涉案基因信息并未被明文认定为国家秘密，但经查实行为人存在为境外势力非法获取涉案基因信息的情状，则须进一步判断涉案基因信息是否属于关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项，能否评价为“情报”。若对此持肯定回答，则可以适用为境外窃取、刺探、收买、非法提供情报罪。

第五步，若行为人实施了非法获取基因信息的行为，则须判断其行为对我国人类遗传资源管理制度的破坏程度是否严重、是否确有适用刑法规制的必要，有无证据表明此类行为事实上并未“危害公众健康或者社会公共利益”。若能够肯定行为人确已严重破坏我国人类遗传资源管理制度，足以推定其行为已对公众健康或者社会公共利益构成严重威胁，且不存在能够否定涉案行为实质危害的反证，则可将涉案行为认定为非法采集人类遗传资源罪。

此外，若行为人为非法获取基因信息，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，可以肯定非法侵入计算机信息系统罪成立。只是，若行为人最终取得基因信息，其往往同时构成非法获取国家秘密罪、侵犯公民个人信息罪、非法采集人类遗传资源罪等，其侵入特定计算机信息系统行为与获取基因信息行为属于手段与目的的关系，应依据牵连犯原理从一重罪论处，通常适用非法获取国家秘密罪等罪名定性。走私人类遗传资源材料出境后又利用人类遗传资源材料采集基因信息的，由于刑法第334条之一将“非法采集人类遗传资源、走私人类遗传资源材料罪”规定为选择性罪名，适用该条独立评价为一罪即可；但若行为人采集基因信息的行为同时构成侵犯公民个人信息罪或侵犯国家秘密、情报类犯罪，则由于该行为同时构成多种罪名、侵害数类法益，应将行为人构成的相关罪名与走私人类遗传资源材料罪数罪并罚。

就侵犯基因信息行为所涉各罪关系而言，为境外窃取、刺探、收买、非法提供国家秘密罪、泄露国家秘密罪、非法获取国家秘密罪和非法持有国家绝密、机密文件、资料、物品罪可归纳为侵犯国家秘密类犯罪，其法益性质一致，不法程度由重到轻递减。在行为人同时成立为境外窃取、刺探、收买、非法提供国家秘密罪和其他侵犯国家秘密类犯罪的情况下，只须适用为境外窃取、刺探、收买、非法提供国家秘密罪一罪即可；只有行为人不成立前三罪的情况下，才考虑非法持有国家绝密、机密文件、资料、物品罪这一“兜底”型犯罪的适用。

侵犯公民个人信息罪、非法采集人类遗传资源罪和侵犯国家秘密、情报类犯罪的法益存在差异，同一侵犯基因信息的行为同时触犯数罪名、造成多种法益侵害结果的，应依据想象竞合原理从一重罪论处。在本文看来，国家法律法规将特定基因信息确定为国家秘密，往往是因为其与国家安全关系密切，一旦泄露危害巨大。非法采集这类属于国家秘密的基因信息的，基本可以肯定其“危害社会公共利益，情节严重”，同时成立侵犯国家秘密类犯罪和非法采集人类遗传资源罪。

三、基因信息刑法保护的不足及其完善

当前，不少学者认为现行刑法对基因信息的保护尚存在一定不足。如有论者指出，刑法第334条之一没有明文将“国家安全”与“公众健康或者社会公共利益”并列为该罪的犯罪客体体系，相较前置行政法保护范围明显狭窄；该条将非法运送、邮寄、携带行为的对象限定为人类遗传资源材料，未涵盖人类遗传信息，没有实现人类遗传资源信息和人类遗传资源材料的同等保护。另有观点认为，如果对侵犯公民个人信息罪所涉法益持“个人法益论”，则个人知情同意足以阻却违法，但个人与其家庭成员间分享着相同度较大的基因信息，基因信息的公共属性决定了仅将侵犯公民个人信息罪适用于保护基因信息主体个人法益并不合适。

本文认为，上述意见未能全面考察我国基因信息的刑法保护体系，其所认定的“不足”实质上并非刑法法益保护不周全的体现。诚然，《人类遗传资源管理条例》第1条将“维护公众健康、国家安全和社会公共利益”并列为其制定目的，而刑法第334条之一仅在条文中规定了“危害公众健康或者社会公共利益，情节严重”的表述，似乎“遗漏”了“国家安全”。但考虑到该条规定在刑法分则第六章第五节“危害公共卫生罪”，若在其立法表述中采“危害国家安全”，难免造成不协调。注意到刑法分则在具体犯罪中直接规定“危害国家安全”作为犯罪成立条件的，只有第110条“间谍罪”。该罪法定刑明显重于刑法第334条之一，构成间谍罪的行为理应对国家安全造成具体的危险。尽管侵犯国家秘密类犯罪的前置法保守国家秘密法第1条明确将“维护国家安全和利益”作为立法目的，但这类犯罪的条文也未采用“危害国家安全”的表述。如前所述，将国家安全视作非法采集人类遗传资源罪的“背后层法益”并无障碍。若非法采集基因信息行为已给国家安全带来威胁，其几乎必然属于“危害公众健康或者社会公共利益，情节严重”的情形，完全可以适用本罪规制。何况，真正严重威胁国家安全的侵犯基因信息行为，往往属于向境外势力提供关系国家安全和利益的重要基因信息，此类基因信息即使尚未纳入国家秘密，也可以评价为刑法语境下的情报。上述行为完全可以适用属于“危害国家安全罪”一章、法定刑更重的为境外窃取、刺探、收买、非法提供国家秘密、情报罪予以规制。

关于第334条之一未对人类遗传资源信息和人类遗传资源材料同等保护的问题，有学者在解释论层面提出了对策，即为实现刑事立法惩治非法传递人类遗传资源信息出境行为的目的，应将人类遗传资源信息解释为走私人类遗传资源材料罪的行为对象。然而，一方面，在作为刑法第334条之一前置法的《人类遗传资源管理条例》已明确区分人类遗传资源材料与人类遗传资源信息的情况下，将人类遗传资源信息涵盖于人类遗传资源材料范畴，难免有为加强法益保护力度而任意扩大刑法处罚范围、突破罪刑法定原则的嫌疑。另一方面，注意到《刑法修正案（十一）（草案）》第一次征求意见稿中，刑法第334条之一规制的行为类型除当前该条涵盖的非法采集人类遗传资源和走私人类遗传资源材料出境外，还包含“未经安全审查，将国家人类遗传资源信息向境外组织、个人及其设立或实际控制的机构提供或者开放使用的”。但这一类型在《刑法修正案（十一）（草案二次审议稿）》中被删除。可见，立法机关在刑法第334条之一未对人类遗传资源信息和人类遗传资源材料同等保护，并非出于疏漏，而是有意将非法传递人类遗传资源信息出境行为排除在该条规制范围外。这与《人类遗传资源管理条例》及《人类遗传资源管理条例实施细则》针对人类遗传资源材料作出严格的“内外有别”之规定，而对于人类遗传资源信息的国际合作研究管理相对宽松是一致的。在本文看来，立法机关将非法传递人类遗传资源信息出境行为排除出第334条之一规制范围，并不会出现学者担心的法益保护不周的局面。理由是，若行为人实施“未经安全审查，将国家人类遗传资源信息向境外组织、个人及其设立或实际控制的机构提供或者开放使用的”行为，造成国家安全受到威胁的，完全可以适用为境外非法提供国家秘密、情报罪予以规制，而不必将这一行为类型纳入第334条之一处罚。

对侵犯公民个人信息罪持“个人法益论”，的确不能将非法获取经个体同意收集的基因信息后，侵犯基因主体外的共同体利益的行为纳入该罪规制范围。然而，这并不意味着须对侵犯公民个人信息罪法益采“信息管理秩序说”或将其认定为其他公法益。理由是，非法采集人类遗传资源罪以“国家对人类遗传资源的管理制度”为法益，获得基因主体个人知情同意的基因信息采集行为，仍可能因损害社会公共利益而严重违反国家对人类遗传资源的管理制度，进而构成非法采集人类遗传资源罪。若此类行为危害国家安全的，还可以适用侵犯国家秘密、情报类犯罪规制。在刑事立法已在保护共同体法益的章节设置了具体罪名的情况下，没有必要对侵犯公民个人信息罪的法益作出不同于其分则章节类罪法益的判定。至于个人与其家庭成员间共享部分基因信息的问题，这只能说明应禁止个人对其基因信息的滥用，但考虑到个人与其亲属基因信息在何种程度上相同不易确定、基因信息共同主体范围弹性较大、共同信息定位易生“反公地悲剧”等因素，当前仍应将基因信息定位为纯粹的个人信息而非“共同信息”，基因主体本人知情同意足以阻却侵犯公民个人信息罪成立。

在本文看来，我国刑法对基因信息保护的不足表现为规制侵犯基因信息行为的现有犯罪成立条件模糊。

非法采集人类遗传资源罪与侵犯公民个人信息罪的成立，均以“情节严重”为前提。然而，涉嫌两罪的侵犯基因信息行为在何种情况下可认定为“情节严重”，当前并不明晰。《中华人民共和国刑法修正案（十一）解读》一书列举的可供非法采集人类遗传资源罪“情节严重”判断的因素有非法采集人类遗传资源的样本数量、采集地区、采集的方式、采集目的和用途、采集的年龄段、造成被采集人身体伤害、感染疾病或身体功能异常、为境外非法组织或基于非法目的获取我国人类遗传资源信息而研制某些生物制剂等。该罪前置行政法规《人类遗传资源管理条例》纳入应予处罚的侵犯基因信息行为类型主要有在未经批准的情况下“采集我国重要遗传家系、特定地区人类遗传资源”“保藏我国人类遗传资源”“将可能影响我国公众健康、国家安全和社会公共利益的人类遗传资源信息向外国组织、个人及其设立或者实际控制的机构提供或者开放使用”等情形。该条例第43条对有上述违法行为“情节严重”的单位及其责任人员规定了从业禁止的处罚。可见，何种非法采集人类遗传资源的行为是仅须适用从业禁止处罚的“情节严重”、属于适用行政处罚即可规制的类型，何种非法采集人类遗传资源的行为属于刑法第334条之一规定的“情节严重”、须适用非法采集人类遗传资源罪加以规制，即如何界定非法采集人类遗传资源行为行政处罚与刑事处罚的适用范围，缺乏明确标准。

《侵犯公民个人信息案解释》第5条第1款对作为侵犯公民个人信息罪成立前提的“情节严重”作出了解释。该款根据个人信息类别的不同，依据行为人非法获取、出售或者提供相关信息的数量，对“情节严重”的判断规定了差异化的认定标准。如对于“行踪轨迹信息、通信内容、征信信息、财产信息”，行为人非法获取、出售或者提供50条以上的，即属“情节严重”；而对“住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息”实施同类不法行为，则涉案信息达500条以上的，构成“情节严重”。对于前述两类以外的个人信息，非法获取、出售或者提供5000条以上的，属于“情节严重”。《侵犯公民个人信息案解释》在划分与“情节严重”判别有关的公民个人信息类型时，既没有涉及基因信息，也没有涉及包含基因信息在内的生物识别信息。尽管基因信息能在一定程度上反映公民的生理健康状况，如有观点称“宽泛的基因信息可以囊括一切与人的基因特征有关的家族遗传病史和家庭成员的健康信息”。就此而言，似乎应将基因信息纳入健康生理信息范畴，非法获取、出售或者提供500条以上的，属于侵犯公民个人信息罪“情节严重”。然而，《信息安全技术个人信息安全规范》附录已明确将基因信息纳入生物识别信息范畴，该附录将生物识别信息认定为与“健康生理信息”相并列的类型，后者包括患者病史、家族病史等，可否将基因信息认定为健康生理信息存在疑问。若认为其不属于健康生理信息，则非法获取、出售或者提供基因信息的，又该如何判断该行为是否构成侵犯公民个人信息罪“情节严重”？

此外，尽管《国家秘密、情报案件解释》对“情报”的理解作出了限定，但何种基因信息属于“关系国家安全和利益、尚未公开或者依照有关规定不应公开的事项”，仍不无疑问。基因信息往往或多或少“关系国家安全和利益”，若对“情报”采宽泛理解，似乎凡是为境外非法采集我国基因信息的，都将涉嫌为境外窃取、刺探、收买、非法提供情报罪。如何准确认定“情报”的范畴，值得进一步探究。

我国刑法对基因信息保护的不足还表现为没有将部分涉基因信息的严重不法行为纳入刑法规制范围。尚未被刑法明确纳入处罚范围的侵犯基因信息行为主要包括以下三类。

第一，非法使用公民个人基因信息的行为。当前，侵犯公民个人信息罪制裁的不法行为，只包括对个人信息的主动型转移侵害；对于合法获取公民个人基因信息后，非法使用其基因信息的行为，不能适用该罪定性。例如，基因检测机构在合法采集个人基因信息后，可以通过技术分析推算出特定基因携带者的口味特征、对哪些药物敏感或易成瘾，进而利用相关结论向消费者精准推送特定产品。基因检测机构还可能接受保险公司、雇主的咨询，在不对外直接提供自身合法采集的公民基因信息的前提下，对保险公司是否接受特定个人投保或雇主是否应雇佣特定个人给出倾向性意见。上述行为对公民个人信息权益的侵害不亚于非法获取、出售或者提供公民基因信息，《人类遗传资源管理条例》第9条也明确将针对我国人类遗传资源实施的“利用”行为与“采集”“对外提供”并列，要求“应当尊重和保障人类遗传资源提供者的隐私权和个人信息等权益，按规定获取书面知情同意，确保人类遗传资源提供者的合法权益不受侵害。”可是，未获基因信息知情同意的采集、向他人提供行为可能成立侵犯公民个人信息罪，但经当事人同意获取基因信息后，擅自实施不当利用行为却不能纳入该罪规制范围，反映出刑法对基因信息法益的保护尚不周全。

第二，非法持有基因信息的行为。实践中，司法机关有时会查获嫌疑人持有大量公民个人信息，但其供述的上家及交易过程往往无法查证，或辩称自身并未非法获取个人信息（如辩解随身携带的、装有大量个人信息的U盘不是自己的）。《人类遗传资源管理条例》也将针对人类遗传资源实施的“保藏”与“采集”“利用”“对外提供”并列为该条例规制范围，要求其“应当尊重和保障人类遗传资源提供者的隐私权和个人信息等权益，按规定获取书面知情同意”“应当遵守科技活动的相关要求及技术规范”，且“保藏”“采集”与“国际科学研究合作”均须经行政许可。就基因信息而言，所谓“保藏”即相当于“持有”。刑事立法只将非法持有属于国家绝密、机密的基因信息认定为非法持有国家绝密、机密文件、资料、物品罪，却未明确规定非法持有其他基因信息的犯罪。然而，行为人之所以存在非法持有基因信息的情状，往往是因为其实施了非法获取基因信息的行为，是实施其他侵犯基因信息犯罪的预备、过渡或结果状态。持有大量基因信息客观上已经对公民个人信息权益、国家对人类遗传资源的管理制度等法益造成了严重危害，有适用刑法规制的必要性。

第三，故意或过失泄露不属于国家秘密的基因信息的行为。有学者指出，“泄露概念的外延要比非法提供概念的外延更为宽泛，即便不是主动提供，而是无意间使他人获知，也完全可以成立泄露。”本文认为，故意泄露与非法提供的含义基本等同，故意泄露个人基因信息的行为涉嫌侵犯公民个人信息罪；但故意泄露经匿名化处理的大量不属于国家秘密、但可评价为关系国家安全和利益的“情报”的基因信息的，若无证据证明行为人系向境外势力提供，则难以认定为侵犯公民个人信息罪或为境外窃取、刺探、收买、非法提供情报罪，通常不能以犯罪论处。可是，在全球信息高速流通的当下，这类行为已使国家安全遭受重大威胁，理应纳入刑法规制范围。

所谓“无意间使他人获知”即过失泄露，其不属于非法提供，因为“提供”的含义要求行为人系故意为之，刑法理论在认定刑法分则中实行行为包含“提供”的犯罪主观罪过时也基本均认定为故意。过失泄露基因信息的，同样可能对基因信息主体的合法权益、公众健康乃至国家安全造成严重威胁。实践中常常出现无法证明合法持有他人个人信息者故意实施非法向他人提供基因信息，但他人个人信息却被泄露的情况。如2018年6月，以色列基因检测公司“我遗传”超过9200万用户的电子邮件地址和密码遭窃取，该公司称自身保存的用户基因信息与储存电子邮件信息的系统“相互分离”，用户基因信息仍处于安全状态，同时建议用户更改密码。若特定合法持有基因信息者过失泄露大量基因信息，造成严重后果的，其社会危害性不亚于故意侵犯他人基因信息、但尚未造成严重后果的情形，应予以刑事制裁。

为应对前述规制侵犯基因信息行为的现有犯罪成立条件模糊的不足，应当将侵犯基因信息相关犯罪的成立条件进一步明确。第一，关于非法采集人类遗传资源罪“情节严重”的理解，须结合该罪双层法益的特征，以司法解释、指导性案例等形式加以明晰。非法采集人类遗传资源罪以“国家对人类遗传资源的管理制度”为“阻挡层法益”，对于因非法采集人类遗传资源行为被有关部门予以行政处罚后，再次非法采集人类遗传资源的，其屡教不改证明适用行政处罚已不足以遏制其不法行为，通常可以认定其对人类遗传资源的管理制度破坏严重，应适用本罪。尽管行为人此前未因非法采集人类遗传资源行为被查处，但其行为对人类遗传资源管理制度的破坏程度已明显超过适用行政处罚标准的，也应认定为“情节严重”。如《人类遗传资源管理条例》第36条将未经批准采集国务院科学技术行政部门规定数量的人类遗传资源的行为纳入行政处罚范围，《人类遗传资源管理条例实施细则》第27条明确规定“用于大规模人群研究且人数大于3000例的人类遗传资源采集活动”须经行政许可。若行为人非法采集30000例人类遗传资源用于大规模人群研究，其行为不法程度已明显超出通常适用行政处罚定性的违规采集行为，可以以非法采集人类遗传资源罪论处。另外，若证实行为人将所采集的基因信息用于非法目的，如向境外敌对组织提供、制作致病生物制剂等，通常可认定其已对本罪“背后层法益”即“公众健康或者社会公共利益”造成紧迫威胁，也应认定为“情节严重”。

第二，就侵犯公民个人信息罪“情节严重”的认定而言，若行为人未经基因信息主体知情同意获取、出售或者提供个人基因信息500条以上的，理应属于“情节严重”。理由在于，即使认为基因信息属于生物识别信息而非健康生理信息，这类生物识别信息也属于“其他可能影响人身、财产安全的公民个人信息”，其敏感程度不亚于一般健康生理信息。事实上，已有学者指出，包括生物识别信息在内的敏感个人信息具有极高人身依附性和极强财产关联性，刑法对公民生物识别信息的保护力度理应与对行踪轨迹信息、通信内容、征信信息、财产信息的保护力度持平，认定侵犯生物识别信息构成侵犯公民个人信息罪“情节严重”的标准应设置为“50条以上”。甚至有观点认为，个人基因信息相比健康生理信息以及以指纹、声纹、虹膜等为代表的生物识别信息更为敏感，侵犯个人基因信息数量达到10条或5条即可入罪。

在本文看来，《侵犯公民个人信息案解释》第5条第1款只是明确了侵犯特定个人信息达到一定数量“应当”认定为侵犯公民个人信息罪“情节严重”的情形，但并不意味着，侵犯特定个人信息数量未达该款确定的标准就不属于“情节严重”。毕竟，该款也将“知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的”情形认定为“情节严重”，并在第10项规定了“其他情节严重的情形”作为兜底条款。当前可以肯定的是，若行为人非法侵犯个人基因信息达到500条，就可以认定其构成侵犯公民个人信息罪。但若行为人未经信息主体知情同意非法获取他人基因信息后，造成他人遭遇“基因歧视”等严重后果的，即使尚未达到500条，也完全可以适用侵犯公民个人信息罪定性。然而，这样的标准难免不够明晰，尤其考虑到侵犯基因信息的不法程度往往重于以侵犯数量达到50条为入罪标准的侵犯行踪轨迹信息、通信内容、征信信息、财产信息的行为，将其作为“其他可能影响人身、财产安全的公民个人信息”适用侵犯500条作为入罪标准并不合适。因此，最高司法机关宜及时修订《侵犯公民个人信息案解释》，加大公民基因信息保护力度，至少将侵犯涵盖基因信息在内的生物识别信息的入罪标准明确为“50条以上”；并取消对知道或者应当知道他人利用公民个人信息“实施犯罪”方才认定为“情节严重”的限制，只要非法提供个人信息者知道或者应当知道他人利用公民个人信息实施违法行为，或非法获取个人信息者本人将涉案信息用于从事违法活动的，就存在认定行为人属于侵犯公民个人信息罪“情节严重”的空间。

第三，在基因信息刑法保护方面，作为为境外窃取、刺探、收买、非法提供情报罪犯罪对象的“情报”，应以行为人侵犯的基因信息的类型及数量为判断依据，并予以明确化。理由在于，当前我国对“国家秘密”通常依据单条信息与国家安全和利益的关联程度确定，若某一特定基因信息至关重要，有权部门通常会将其依照法定程序确定为国家秘密，可适用侵犯国家秘密类犯罪规制侵犯有关基因信息的行为。然而，许多单一基因信息本身虽与国家安全和利益关联有限，但境外组织非法获取大量此类基因信息、通过汇总分析得到“承载了一个群体中全部个体所共有全部基因”的“群体基因信息”后，其就能够将其用以揭示群体的遗传结构及其变化规律，这将对我国国家安全、民族团结及特定群体利益造成威胁。因此，尽管此类“群体基因信息”通常难以评价为国家秘密，但应通过立法或司法解释明确为“情报”。具体而言，应根据基因信息属于《人类遗传资源管理条例实施细则》第27条所称的“重要遗传家系人类遗传资源”“特定地区人类遗传资源”以及其他人类遗传资源，分级确定涉案基因信息评价为“情报”的数量标准。需要注意的是，即使基因信息的收集经过基因信息主体知情同意，或已经匿名化处理，也应纳入判定刑法语境下“情报”的基因信息数量范畴。因为，为境外窃取、刺探、收买、非法提供情报罪的法益为国家安全而非公民个人信息权益，即使涉案基因信息的收集、利用经基因信息主体个人同意或已匿名化处理，境外组织仍可能利用群体基因信息实施威胁我国国家安全的活动。为境外窃取、刺探、收买、非法提供前述基因信息的，仍应以该罪论处。

为应对前述未将部分涉基因信息的严重不法行为纳入刑法规制范围的不足，可通过以下途径严密规制侵犯基因信息行为的刑事法网。

第一，应将非法使用个人信息行为与“向他人出售或者提供公民个人信息”行为在刑法第253条之一第1款并列规定，并调整该条第2款，对非法使用“在履行职责或者提供服务过程中获得的公民个人信息”的行为同样依照前款的规定从重处罚。依此方案，经当事人同意获取基因信息后，擅自实施不当利用行为可纳入侵犯公民个人信息罪加以规制。

第二，关于如何规制非法持有基因信息的行为，存在两种可供选择的方案。为规制实践中存在的非法持有公民个人信息的行为，有观点主张，为周全保障个人信息自决权之法益，须增设非法持有个人信息罪；另有见解则认为，不具有合法性的“持有”应认定为“非法获取”，直接适用侵犯公民个人信息罪定性即可。对于非法持有基因信息行为的刑法规制，同样存在增设持有型犯罪与推定非法持有即属“非法获取”、适用现有罪名规制两种方案。

本文认为，后一方案更加可取。一方面，无权持有基因信息者，通常也不可能合法获取基因信息。“持有”是“获取”自然发展的结果，“非法持有”本身即属“非法获取”行为存在的重要证据。正如有观点所述，公民个人信息原则上不得由自然人获取，该“获取”具有天然的不法性，故“持有”状态存在适用“非法获取型”侵犯公民个人信息罪定性的空间。这一司法认定逻辑并非有罪推定，而是在缺乏直接证据时，综合已查明的嫌疑人身份、所在行业、所从事职业综合判断，根据间接证据认定“非法获取”。基因信息相对其他个人信息更为敏感，非法持有基因信息者合法获取涉案基因信息的可能性更低。在大多数行为人非法持有基因信息的情形中，司法机关只是缺乏认定其存在“非法获取”行为的直接证据，根据现有间接证据完全可以认定行为人实施了非法获取基因信息的行为，直接适用侵犯公民个人信息罪、非法获取国家秘密罪、非法采集人类遗传资源罪等“非法获取”型犯罪定性即可。

另一方面，若经查明行为人在偶然情况下通过合法途径获取基因信息，或有线索表明存在这一可能性的，其“持有”行为不宜认定为犯罪。例如，对于行为人在公开的互联网上下载大量由他人非法泄露的基因信息的情形，其“持有”基因信息的行为虽不宜认定为合法，但将这类行为入罪明显有违刑法谦抑原则。可见，增设持有型犯罪规制非法持有基因信息行为既缺乏必要性，也存在不当扩张刑法打击范围的风险。

也许有人认为，刑事立法在规定非法获取国家秘密罪的同时，设置了非法持有国家绝密、机密文件、资料、物品罪，且后罪法定刑轻于前者。这表明非法持有一般国家秘密的，不应认定为犯罪。同理，刑法既然没有明文将非法持有个人信息或人类遗传资源行为规定为犯罪，就不能将其以侵犯公民个人信息罪或非法采集人类遗传资源罪定性。对此，本文认为，根据最高人民法院《关于适用〈中华人民共和国刑事诉讼法〉的解释》第140条，没有直接证据，但间接证据符合“根据证据认定案件事实足以排除合理怀疑，结论具有唯一性”等条件的，可以认定被告人构成相应犯罪。虽缺乏认定非法持有国家秘密者存在“非法获取”行为的直接证据，但根据间接证据足以认定行为人非法获取国家绝密、机密信息或其他国家秘密的，当然应以非法获取国家秘密罪这一重罪论处，而不能认定为非法持有国家绝密、机密文件、资料、物品罪甚至无罪。刑事立法设置非法持有国家绝密、机密文件、资料、物品罪，主要旨在规制有权接触国家秘密者擅自持有属于国家绝密、机密的文件、资料或者其他物品，而未按规定将其交由特定单位或个人的行为。在上述情形中，很难取得足以证明行为人有故意实施“非法获取”涉案国家绝密、机密文件、资料、物品的行为的间接证据，因为其工作性质决定了自身常常须与国家秘密接触，出于疏忽而合法取得涉案文件、资料、物品后违规持有的情况难以排除。也正基于此，刑法第282条第2款才特别将“拒不说明来源与用途”作为成立该罪的条件，在加强国家绝密、机密保护力度的同时，也有力保障了合法获取国家绝密、机密后出于过失而违规持有者的人权。

当然，必须承认，在刑法已规定持有类犯罪的基础上，司法人员依据间接证据认定非法持有基因信息者存在“非法获取”行为时，难免存在疑虑。为此，最高司法机关可以通过颁布司法解释等方式，统一依据间接证据认定非法持有特定物品或信息者存在“非法获取”行为的证明标准。

第三，考虑到故意或过失泄露不属于国家秘密的基因信息既可能侵害公民个人的信息权益，也可能造成大量基因信息由境外敌对势力取得而威胁国家安全和社会公共利益，故有必要从私法益和公法益的保护两方面完善刑法对这类行为的规制。

其一，应将过失泄露公民个人信息的行为纳入侵犯公民个人信息罪的规制范围。有学者认为，作为侵犯公民个人信息罪实行行为的“非法提供”存在过失为之的可能，侵犯公民个人信息罪的主观罪过包含过失。如前所述，“提供”的含义要求行为人系故意为之，过失泄露不属于非法提供。前述学者意图将过失纳入侵犯公民个人信息罪的罪过形式，很大程度上是出于实现刑法法益保护机能的考量。为真正实现这一机能，刑事立法应仿照刑法第398条第1款，在刑法第253条第1款将“过失泄露”规定为与“非法提供”并列的实行行为。同时，考虑到过失的可谴责性比故意更轻，应通过司法解释明确，相比作为“非法提供”型侵犯公民个人信息罪入罪标准的信息数量，成立“过失泄露”型侵犯公民个人信息罪的行为所侵犯的同类信息条数应当翻倍。

其二，将刑法第398条第1款的犯罪对象予以扩充，规定故意或者过失泄露情报的，也成立该罪。如前所述，“群体基因信息”虽未必能评价为国家秘密，但应认定为“情报”。负有保管“群体基因信息”职责的人员，应承担妥善保管事关国家安全的重要情报的义务。为抑制泄露包括“群体基因信息”在内，虽未被纳入国家秘密保护、但事关国家安全的“情报”的不法行为，应及时将刑法第398条修订为泄露国家秘密、情报罪。

结语

综上所述，在非法采集人类遗传资源、走私人类遗传资源材料罪增设前，刑事立法已为基因信息提供了一定保护。通过非法获取、违规向他人出售或提供的方式侵犯作为个人信息权利客体的个人基因信息的，可成立侵犯公民个人信息罪。侵犯与国家安全与利益相关联的基因信息的，可成立侵犯国家秘密、情报类犯罪。非法采集人类遗传资源罪的增设，将针对不属于国家秘密的、经匿名化处理或经基因信息主体知情同意的基因信息实施的非法获取行为纳入了刑法处罚范围。非法采集、走私出境人类遗传资源材料的行为可视作非法获取基因信息的预备行为，走私人类遗传资源材料出境后又利用人类遗传资源材料采集基因信息的，适用刑法第334条之一规定的“非法采集人类遗传资源、走私人类遗传资源材料罪”一罪定性即可。侵犯基因信息行为同时触犯侵犯公民个人信息罪、侵犯国家秘密、情报类犯罪和非法采集人类遗传资源、走私人类遗传资源材料罪的，应依据想象竞合原理从一重罪论处。当前，刑法对基因信息的保护尚存在规制侵犯基因信息行为的现有犯罪成立条件模糊、没有将部分涉基因信息的严重不法行为纳入刑法规制范围两方面不足。上述不足实质上反映了既有犯罪本就存在的成立条件不明确、法益保护不周全的问题，故无须就侵犯基因信息行为再行增设特别法予以规制，需要明确侵犯基因信息行为所涉既有犯罪的成立条件、扩充侵犯公民个人信息罪和侵犯国家秘密、情报类犯罪规制的行为范围。