导读
近年来，侵犯个人信息的违法犯罪活动多发，其中培训机构倒卖学生个人信息的行为屡禁不止。培训机构倒卖学生信息情节严重的应入刑，但是应当具体分析行为的社会危害性，培训机构购买、收受公民个人信息用于合法经营活动，培训机构之间交换信息，能否酌情认定为用于合法经营活动？
案情简介
2017年上海某教育机构从业人员刘某花费5000元从他处购买上海各区大量学生个人信息13万余条;2018年刘某通过微信认识了同样在北京从事教育培训的周某，用手里的上海学生信息与周某交换，换取了北京各区学生信息38万余条。
评析
培训机构侵犯公民个人信息的行为主要分为两种，为合法经营活动而非法购买、收受公民个人信息，将购买、收受的公民个人信息非法出售或者提供的，两种行为的社会危害性不同，量刑标准也不同，因此应当具体分析培训机构的行为。本案中，刘某2017年花费5000元从他处购买上海各区大量学生个人信息13万余条，2018年换取了北京各区学生信息38万余条。培训机构为了推广培训业务及争抢生源，向他人购买包含学生姓名、所属学校和班级及家长联系电话等内容的学生个人信息用于招生，培训机构之间互相交换学生个人信息的行为，能否认定为用于合法经营活动？
一、 培训机构购买、收受公民个人信息用于合法经营活动
合法经营活动是与非法经营相对应的概念。结合刑法第225条非法经营罪之规定，非法经营是指违反国家规定、严重扰乱市场秩序的行为，因此，认定培训机构购买学生信息用于合法经营活动，应当审查经营者是否具有违反国家规定、严重扰乱市场秩序的行为，而不是经营者在经营过程中是否存在一般违法情况。
“合法经营活动”的认定主要应由被告方提供相关证据，辩护人可以针对行为人及其公司的经营范围、资质、手续等进行举证，用以证明作为行为人及其公司是经工商登记的具有法人资格的合法经营主体，购买公民个人信息为用于合法经营活动。
即使培训机构的部分业务超越了营业执照所确定的经营范围，违反了相关行政管理规定，但是超范围经营的行为属于经营过程中的一般违法行为，并不属于刑法规制的违反国家规定、严重扰乱市场秩序的非法经营行为，在本质上不具有刑事违法性，可认定非法购买学生信息是为了合法经营活动目的。
二、 培训机构之间交换公民个人信息，是否属于合法经营活动
根据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》之规定，合法经营类侵犯公民个人信息行为，要求信息没有再流出扩散，即行为方式限于购买、收受，经营者将购买、收受的公民个人信息非法出售或者提供的，则不宜认定为用于合法经营活动，应当适用一般入罪标准。
然而司法实践中，为合法经营而获取公民个人信息的行为人，或多或少存在同行之间出售、交换、提供的情况。同行之间，也就是培训机构之间交换、提供一般公民个人信息的行为，主观恶性较小，社会危害性也较小，可以作为酌定的量刑情节。
首先，主观上，培训机构之间交换、提供一般公民个人信息，其交换获取公民个人信息是为了合法经营教育培训业务，无论是提供者还是收购者，都是出于合法经营目的，并非出于倒卖公民个人信息非法获利的目的，与转卖行为相比，主观恶性较小。其次，倒卖公民个人信息的社会危害性在于购买者的不确定性，可能为下游犯罪提供帮助，但是培训机构之间交换、提供一般公民个人信息，是用于推广培训业务及争抢生源，使用方式明确，用于合法经营，社会危害性较小。
三、 合法经营类侵犯公民个人信息的入罪标准
购买、收受公民个人信息是非法的，但经营活动是合法的，对经营所得不能认定为违法所得，宜以获利数额计算，参考非法经营罪的入罪数额标准，获利五万元以上的，应当认定情节严重。为合法经营活动而非法购买公民个人信息，获利未达到5万元的入罪标准，则不构成犯罪。
