"長租公寓"經營的主要法律問題及分析（二）

引言：

金錢是否屬於"萬惡之源"是辯論場上久辯不厭的經典命題，但是在長租公寓的經營風險中，資金鍊風險卻可謂顯而易見。繼前文對長租公寓企業的資金吸收問題的深入剖析後，相關經營主體需要同步關注的還有其在吸收資金過程中所伴隨附生的信息合規問題，其中既包括經營主體對市場和相對人的信息披露義務的盡責問題，也涵蓋經營主體對已收集的公民個人信息的保護問題。

第三節 長租公寓的信息披露義務

長租公寓的經營活動是房屋租賃市場這一商事活動的重要組成部分，在引入各類金融創新方式支持行業融資的同時，也將其原本僅關涉出租人、承租人兩方的簡單交易活動複雜化。作為保護商事活動中交易相關方的知情權、促進信息流動的重要制度，對長租公寓的住房租賃企業規定信息披露義務具有必要性。信息披露義務的履行，將對制止住房租賃企業的欺詐行為，實現交易公平並促進有序競爭有著積極作用，因此隨著長租公寓市場的深度發展，相關規範的補充也將勢在必行。

1.長租公寓住房租賃企業履行信息披露義務的必要性

法律規範本身作為理性的產物，先天具有提供合理性基礎的義務，從而證成自身的正當性。信息披露義務作為對市場主體的一種行為自由的限縮規定，也必須提供其如此規定的理論或事實基礎。一般認為，住房租賃企業的信息披露義務基於以下原由而產生：信息不對稱原理、信息披露的社會性功能。

1.1信息不對稱可能導致交易不公平

市場活動之中，交易相關方對於信息的把握往往並不平等，這種不平等、不均衡現象極易導致資源配置的扭曲。尤其是在締結合同的過程之中，住房租賃企業所謂掌握信息優勢的乙方，會利用自身的優勢地位來削弱己方義務，從而達成自身利益的最大化。即便是進入了合同履行階段，這種風險依舊會因為信息不對稱的現實而繼續存在，對合同目的最終的實現產生威脅，損害弱勢一方的合法權益。

在長租公寓市場中，住房租賃企業作為房源信息和租賃服務的提供者，是信息產生的重要源頭之一，掌握租賃客體及租賃對象的實際情形，對具有天然的信息優勢。同時由於其作為中間人，既相對於承租人控制了房源，又相對於出租人控制了租金，使得無論是出租人、承租人還是借款人，對於交易的相關信息幾乎都完全來自於住房租賃企業，可以說後者在信息傳遞的過程中佔據主導地位。這也是目前長租公寓市場中，虛構事實、隱瞞真相等欺詐行為屢見不鮮的重要原因。

信息不對稱現象在長租公寓市場上更為凸顯，承租人作為弱勢一方也極易因掌握信息內容的失衡而導致對合同內容的重大誤解，從而引發意思表示的錯誤，損害市場交易活動的公平性。

1.2信息披露的社會性功能

住房租賃企業在市場活動中不僅面向交易相關方輸出信息，也會向社會上的同業競爭者與政府監管部門形成信息的傳遞。後一種信息傳遞便在規範公平競爭、促進有效監管方面存在重要意義。

因此，在市場競爭活動中引入信息披露義務，將破除單一住房租賃企業對相關信息的排他性掌握狀態，使相關信息具有公共屬性，對實現市場競爭的透明化、公開化乃至於最終實現不同住房租賃企業之間的良性競爭，有著積極作用。同時，信息披露義務將使政府監管部門能夠更加及時、充分地了解其提供外部服務、履行監管職責所需要的信息，實現對不同問題的針對性研判與解決。在長租公寓的行業自律，與外部的監管他律之間，信息披露義務可以起到雙管齊下的作用。

2.長租公寓住房租賃企業信息披露義務的規範要求

"義務"作為法律概念，必須在具體的構成基礎上才能實際發揮規範作用。對於市場活動中的信息披露義務而言，一般被要求涵蓋如下幾個部分：披露標準、披露範圍，以及披露豁免。

2.1披露標準

參考證券市場領域對信息披露所要求的"真實、完整、準確"的形式標準，長租公寓市場作為一個同樣融入了金融屬性的新興領域，也可以同樣進行適用。更何況在現行民事、商事法律規範中對住房租賃企業所規定的誠實信用義務，也要求其在從事經營活動時應當確保所披露的信息與實際的客觀情況相一致，不得虛構事實、隱瞞真相，不得使用可能引發誤解的表達，更不能對故意使交易的相關方陷入認識錯誤之中。

但僅僅以形式標準對掌握信息優勢的住房租賃企業進行規制，實際上並不能有效實現對承租人這類信息弱勢方的信息平衡。以常見的視頻平臺消費會員為例，各類平臺在推出會員服務時儘管會同時披露海量的相關服務信息與權利義務內容，但這些內容在提供時門類紛雜、術語頻出，且閱讀量大，消費者往往缺乏能力和耐心去細緻、準確地了解，最終也就是草草同意了事，使得信息披露制度所意圖達到的對消費者的信息公平目的最終形同虛設。

因此，對於信息披露的標準除了上述形式標準外，還需要求住房租賃企業應當採取簡化披露的實質標準，其應當在反映自身經營服務的核心內容真實性、準確性的基礎上，儘可能削弱相關方尤其是缺乏專業能力的弱勢相關方的理解成本。

2.2披露範圍

就應當披露的信息範圍而言，本文初步認為長租公寓住房租賃企業可以在如下方面進行考慮：

1.主體的資質信息。此類信息主要為住房租賃企業的營業執照、相關行政許可，以及備案登記等情形，是表明住房租賃企業具備合法開展長租公寓業務活動的前提與基礎。

2.交易規則。此類信息是指住房租賃企業就其與出租人、承租人之間形成委託代理關係或租賃關係而設計的各類合同組合的真實性質及關聯內容。如當前住房租賃市場中頻頻出現對"高進低出"、"長收短付"等合同組合，很大一部分便是向出租人及承租人相互隱瞞了對方關聯合同的情形，致使雙方都不能及時掌握到住房租賃企業對利用差別支付形成資金池私用的情形；同時還存在的情形包括部分住房租賃企業利用交易規則由己方設計的便利，隱瞞、誘導承租人在不知情的情況下簽署"租金貸"，導致其莫名背上對交易外部人的還款義務。

這些由住房租賃企業所主導的交易規則的"面紗"往往是導致承租人擔負不利義務的直接推手，經由信息披露將其移除，對保護承租人的合法權益十分必要。

3.房屋等服務信息。此類信息即租賃客體——房屋本身的實際情形、環境條件，以及住房租賃企業所承諾的相關物業服務等信息。房屋及相應的服務信息的真實披露，是保障住房租賃企業與承租人之間的租賃合同能夠得到恰當履行的前提。目前長租公寓市場良莠不齊，存在個別住房租賃企業為了節省投資成本，對房屋裝修等真實質量進行隱瞞虛報，不僅引發後續的解約爭議，更有甚者導致了對承租人健康權益的損害，引發進一步的侵權責任糾紛。

2.3披露豁免

在充分的履行披露義務的同時，也應當考慮到信息披露義務隨附的對住房租賃企業運營成本增加，以及商業秘密洩露的危險。因此在公平原則的基礎上，確定一個合適的披露豁免範圍亦十分必要。

參考現有的成功經驗，可以從兩方面著手：其一，是對小微企業的披露義務的適當豁免，對於市場規模在一定標準以下的住房租賃企業，可以適當縮減他們的部分披露範圍；其二，是明確應當豁免的信息內容，一般而言應當包括國家機密及商業秘密等情形，但當某些信息同樣具有嚴重影響社會公共利益或第三人合法權益的情形時，也可以進行個別豁免。

第四節"長租公寓"保護公民個人信息的法律合規分析

1.國家對公民個人信息的保護

隨著信息網絡科技的日益深入到了國民生活的方方面面，對公民個人信息的保護訴求日益強烈。數據合規已經上升到了國家戰略的高度，而公民個人信息合規作為數據合規的一個重要分支，越來越受到國家的重視。近年來，國家對有關公民個人信息保護的立法工作一直沒有停止過，自2012年全國人大常委會出臺《關於加強網絡信息保護的決定》以來，到目前為止，已初步建立了完整的涉及公民個人信息保護的民事、行政、刑事法律法規體系。但是，總的來說，我國有關公民個人信息保護的司法實務中，依然存在"先刑後民"的現象，這跟我國民事、行政相關法律法規體系的不足和待完善有很大的關係，在公民個人信息保護的法律體系中，"刑民銜接"、"刑行銜接"仍然是亟待解決的現實問題。

2.住房租賃企業涉及的公民個人信息

2.1"房屋租賃式"企業

"房屋租賃式"企業涉及到的公民個人信息，既有來自於出租人的房源信息，包括房東聯繫方式、具體房產地址、門牌號碼、銀行帳號、支付寶帳號、微信名、微信頭像等信息，且部分房源信息包含出租人姓名或姓氏，能夠單獨或者與其他信息結合識別特定自然人身份，屬於公民個人信息；又包括承租人的個人信息，姓名、聯繫方式、銀行帳號、支付寶帳號、微信名、微信頭像等等，同樣，這些信息能夠單獨或者與其他信息結合識別特定自然人身份，屬於公民個人信息。如果住房租賃企業違反相關法律法規的規定，使用在經營過程中獲取的公民個人信息，則需要承擔相應的法律責任。

2.2"房屋自有式"企業

"房屋自有式"企業與"房屋租賃式"企業略有不同，用於出租的房屋所有權歸屬於住房租賃企業，因此其僅與承租人一方籤訂房屋租賃合同即可。涉及到的公民個人信息也主要限於承租人的信息。如果住房租賃企業違反相關法律法規的規定，使用在經營過程中獲取的"承租人"的公民個人信息，則同樣需要承擔相應的法律責任。

2.3"房屋混合式"企業

涉及的公民個人信息如2.1、2.2所述，不再贅述。

3."侵犯公民個人信息"民事責任法律風險

對於住房租賃企業而言，出租人、承租人的個人信息是一種重要的經營資源，對這些資源合法、有效的利用，是爭取企業利益最大化的一個必不可少的環節。然而，個人信息同時體現著人格利益和財產價值，如果不當利用，那麼對個人信息的侵害必然要承擔賠禮道歉、停止侵害、恢復名譽、經濟賠償等民事法律責任。

3.1獲取公民個人信息的民事法律責任風險

住房租賃企業在經營過程中，不可避免地要收集、獲取出租人和承租人的公民個人信息，此時就存在獲取個人信息是否徵得當事人同意，是否符合最小必要原則等。

目前，很多住房租賃企業均使用APP（如蛋殼公寓APP）來接收客戶信息開展業務，也有的可能通過其他渠道獲取（如由其他房產中介、其他住房租賃企業分享獲得）。使用APP獲取個人信息，如果嚴格遵循國家關於公民個人信息保護的法律法規的規定，則不存在承擔民事法律責任的風險。

案例如，王X與上海XX有限公司隱私權糾紛一案（【2019】粵0306民初17971號）中，法院認定：隱私權是公民享有的私人生活安寧與私人信息依法受到保護，不被他人非法侵擾、知悉、搜集、利用和公開等的一種人格權。在本案中，原告使用被告上海萬達小額貸款有限公司的"快易花"APP，在註冊和登錄該軟體時，已經通過點擊《用戶服務協議》授權對方提取個人信息。法院最終判決駁回了原告王X的訴訟請求。

但是通過其他渠道，如向同行購買，則可能存在很大的刑事責任法律風險，後續章節將詳細說明。

3.2使用公民個人信息的民事法律責任風險

收集獲取公民個人信息之後，對公民個人信息的使用是法律風險較高的一個環節，不但可能需要承擔民事責任，還有可能承擔行政責任甚至刑事責任。本節討論的範圍僅限民事責任，而行政責任及刑事責任在後續章節詳細說明。

住房租賃企業在經營的過程中，獲取了出租人和承租人的個人信息，其中如姓名、電話號碼等屬於一般信息，但是房屋的具體位置、銀行帳號及密碼等則屬於敏感信息，一旦被濫用，則極有可能給個人信息提供者造成財產或精神上的損害，此時就存在承擔賠償或者其他如賠禮道歉等民事法律責任的風險。

例如，前面提到有些住房租賃企業在承租人不知情的情況下為承租人申請"租金貸"，導致承租人名義上在按月支付租金，實際上卻在按月償還貸款本息。因為存在"期限錯配"的情況，一旦住房租賃企業平臺資金鍊斷裂或因為其他原因"暴雷"，極有可能導致出租人驅趕承租人，而承租人失去房屋居住權之後仍然需要履行償還貸款本息的義務，如果承租人不履行，則有可能被計入徵信"黑名單"。此種情況下承租人以住房租賃企業侵犯其個人信息為由向法院提起民事訴訟，住房租賃企業就有可能要承擔民事法律責任。

案例如，孫XX與XX縣農村信用合作聯社侵犯公民個人信息權一案（【2017】豫0423民初3728號）中，法院認定：我國《民法總則》第一百一十一條規定：自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應依法取得並確保信息安全，不得非法取得，使用加工、傳輸他人個人信息。本案中被告工作人員違規辦理貸款時，冒用被告個人信息擔保貸款，並將原告徵信納入不良記錄，給原告造成精神上、物質上的損失，被告過錯明顯。故原告請求被告消除原告在銀行系統不良信用記錄，理由正當，本院予以支持。最終法院判決：被告XX縣農村信用合作聯社於本判決生效後十日內向原告孫XX賠償精神物質損失3萬元。

3.3存儲公民個人信息的民事法律責任風險

住房租賃企業作為公民個人信息的控制者，應當盡到安全保管公民個人信息的義務。因為保管不善導致個人信息洩露、或者因管理不善被員工濫用，則可能需要承擔相應的民事責任。

案例如，根據《中華人民共和國身份證法》第十三條第二款"有關單位及工作人員對履行職責或者提供服務過程中獲得的居民身份證記載的公民個人信息，應予以保密。"

梁XX與中山市XX物業管理有限公司隱私權糾紛一案（【2015】中一法民一初字第204號），法院認定：被告作為物業服務企業，在處理與原告之間的物業服務合同糾紛過程中，未經原告許可、未隱去原告身份信息的情況下，將未發生法律效力的法律文書在公眾場合進行公示，其行為已侵犯原告的隱私權，應承擔停止侵害、賠禮道歉、賠償損失等民事責任。法院最終判決被告XX公司向梁XX登報賠禮道歉並賠償精神撫慰金1000元。

又如，《中華人民共和國侵權責任法》第三十四條規定，用人單位的工作人員因執行工作任務造成他人損害的，由用人單位承擔侵權責任。

趙X與楊XX等隱私權糾紛一案中（【2018】京0105民初9840號）認定，客戶的個人信息歸為該公司機密信息也可見客戶信息對於XX公司經營營利的重要性。在利用客戶信息獲取利益同時，XX公司需要對客戶信息承擔高於一般經營實體的保管義務。作為企業員工的管理者，XX公司未建立信息安全的管理制度和操作規程，沒有對客戶信息安全風險提示，沒有對客戶敏感信息加密處理等嚴謹細緻的管理制度保障客戶的信息安全，從而無法確保經紀人謹慎依約合法使用公民個人信息。本案最終判決XX公司登報導歉、與宋XX（XX公司員工）連帶賠償趙XX經濟損失10萬元。

4."侵犯公民個人信息"行政責任法律風險

住房租賃企業作為公民個人信息的控制者，應當盡到安全保管公民個人信息的義務，對其收集、獲取、使用出租人或承租人的個人信息時，應當符合《網絡安全法》等法律法規的規定。對於向承租人和出租人收集個人信息時，應當遵循最小必要原則。目前，根據有關部門的通報信息，房屋租售服務通常採用線上和線下結合的方式，房源信息和租房大多實現線上服務。住房租賃企業服務出租人及承租人也多採用線上服務（如蛋殼公寓APP）。

4.1信息獲取端的行政法律責任風險

目前，對於住房租賃企業，在通過APP獲取出租人和承租人個人信息時，存在違規收集、超範圍收集個人信息的行為，部分可能的原因企業並未關注收集的個人信息種類。對於收集個人信息的範圍，我國2020年1月15日公布的《信息安全技術移動網際網路應用（App）收集個人信息基本規範（徵求意見稿）》第"A15.房屋租售"款對"房屋租售"行業可收集的最小必要信息作了明確的規定。該《規範》儘管只是徵求意見稿，但是也代表了立法機關的傾向，可以作為企業的參照標準。

實務中，存在住房租賃企業因違反《網絡安全法》的相關規定被行政處罰的案例：

如，2020年8月31日，工業和信息化部向社會通報了101家存在侵害用戶權益行為App企業的名單。其中包括長租公寓的代表性企業"蛋殼公寓"App，其所涉問題主要包括違規收集個人信息、超範圍收集個人信息、強制用戶使用定向推送功能等。蛋殼公寓等23款App未按要求完成整改，因此被強制勒令下架。

又如，2020年廣東省住房和城鄉建設廳關於各地查處的住房租賃中介機構違法違規案例的通報案例十二：中山市吉源房地產經紀有限公司在經營期間為推廣業務，通過購買的方式收集中山市港口鎮星港城市名都一期樓盤小區的業主姓名、身份證號碼、聯繫地址、聯繫電話等信息共847條，後於2019年8月13日被中山市市場監督管理部門查獲。當事人已向上述小區業主撥打徵詢電話若干次，但尚未獲得業務及收入。根據《中華人民共和國消費者權益保護法》第五十六條第一款第（九）項及《侵害消費者權益行為處罰辦法》第十四條的規定，決定對當事人作出責令改正和罰款3000元的行政處罰。

4.2信息使用端的行政責任法律風險

住房租賃企業掌握了大量出租人和承租人的個人信息，部分如電話號碼、銀行帳號及密碼屬於敏感信息，如果違規提供給其他住房租賃企業或其他有關的主體，則可能違反《網絡安全法》第41、42條關於"未經被收集者同意，不得向他人提供個人信息。但是，經過處理無法識別特定個人且不能復原的除外。"可能會被有關部門依據第64條處以"警告、沒收違法所得、處違法所得一倍以上十倍以下罰款"等行政處罰。

案例如，2020年廣東省住房和城鄉建設廳關於各地查處的住房租賃中介機構違法違規案例的通報案例四：2019年7月17日，佛山市順德區市場監督管理局收到群眾舉報稱反映佛山市房爵士網絡科技有限公司（以下簡稱房爵士公司）在未經消費者同意的情況下，擅自通過撥打電話招攬客戶。經查，房爵士公司為了開展房產經紀業務，通過在網絡上收集、老客戶介紹、附近住戶登記等方式收集住戶姓名、房號、電話號碼等信息共計418條。將所得信息匯總製作成表格或者登記在筆記本上，在未經對方同意或者請求的情況下，由房爵士公司的員工通過撥打電話方式向消費者推介房產經紀服務。房爵士公司的上述行為違反了《中華人民共和國消費者權益保護法》第二十九條第一款和第三款的規定，構成了侵害消費者個人信息保護權的行為，依法應予行政處罰。根據《中華人民共和國消費者權益保護法》第五十六條，決定對房爵士公司侵害消費者個人信息保護權的違法行為，擬作如下處罰：一、責令房爵士公司改正侵害消費者個人信息保護權的違法行為；二、罰款伍萬元（¥50000元）。目前，該案件已作出行政處罰。

4.3信息保護端的行政責任法律風險

住房租賃企業收集並存儲了承租人與出租人的公民個人信息，因為涉及銀行帳號及密碼、支付寶帳號及密碼等敏感信息，一旦洩露被別人濫用，可能會對出租人和承租人的人身和財產信息造成巨大損失，因此住房租賃企業應當嚴格履行安全保護義務，否則也可能需要承擔相應的行政法律責任。

另外，根據《住房租賃條例（徵求意見稿）》第四十一條的規定，住房租賃企業發布房源信息，應當取得委託人書面同意，發布的信息應當真實、準確、有效，不得發布位置、面積等與實際不符，價格、用途等與委託事項不符，以及法律法規規定不能出租的住房信息。否則可能會被根據《住房租賃條例（徵求意見稿）》第五十四條的規定予以行政處罰。

5."侵犯公民個人信息"刑事責任法律風險

住房主流企業收集到的房源信息很可能構成刑法意義上的"財產信息"，居住地址、門牌號很可能構成刑法意義上的"行蹤軌跡信息"，而銀行帳號及密碼、支付寶帳號及密碼等很可能構成"交易信息"，此兩類信息均屬於敏感信息，最低侵犯25條既達到刑事處罰標準。如果住房租賃企業未按規定獲取、使用或管理此類信息，極易觸犯侵犯公民個人信息罪。

侵犯公民個人信息罪的刑事追訴標準：

5.1住房租賃企業獲取公民個人信息存在的刑事法律風險

實務中，住房租賃企業獲取出租人、承租人等的公民個人信息大致有三個途徑（與出租人、承租人的居住信息相關的法律風險在後續討論）。獲取公民個人信息途徑圖：

5.1.1通過APP獲取公民個人信息的刑事法律風險

第一種途徑為通過公司的線上手段（以APP為例）進行收集，有房屋需要託管的出租人登錄住房租賃企業APP，輸入房源信息、出租人的個人信息，有租房需求的承租人登錄住房租賃企業的APP，輸入承租人的公民個人信息。住房租賃企業後臺伺服器記錄並存儲下來，依據出租人或承租人登記的相關信息為出租人或承租人提供後續的相關服務。

根據我國《刑法》第二百五十三條之一的規定，"竊取以其他方法非法獲取"公民個人信息的，應當追究其刑事責任。"竊取"自不必說，特徵很明顯，很好判斷，而"以其他方法非法獲取"則較難界定。根據《檢察機關辦理侵犯公民個人信息案件指引》的規定，認定"以其他方法非法獲取"要與"違反國家相關規定"為前提，並且應當與"竊取"具有同等危害性的方法。行為人在履行職責、提供服務過程中，違反國家有關規定，未經他人同意收集公民個人信息，或者收集與提供的服務無關的公民個人信息的，也屬於非法獲取公民個人信息的行為。

一般情況下，登錄住房租賃企業APP的出租人、承租人均有房屋代管需求或住房需求，其向住房租賃企業提供個人信息是自願的，同時也希望獲得住房租賃企業的服務。這個時候住房租賃企業獲取公民個人信息，符合《網絡安全法》規定的關於"收集用戶個人信息，應當經被收集者同意"的基本原則。此時如果住房租賃企業APP提供的《隱私協議》或《用戶服務協議》對收集公民個人信息作出了明確的約定，則不存在違反國家的相關規定，當然也不存在觸犯刑法的風險。

但是，如果住房租賃企業APP根本就沒有隱私協議，或者隱私協議未對收集公民個人信息進行明示告知（例如採用"默認同意"的方式），或者違反"最小必要原則"收集公民個人信息，則有可能滿足"違反國家的相關規定"，屬於"以其他方法非法獲取"公民個人信息的行為，存在被追究刑事責任的風險。

實務中，對前述APP違法違規行為多以行政處罰的形式進行管制。這個可能與我國當前數量龐大的APP普遍存在此類違法違規行為有關係，也可能是單純地違反國家相關規定收集公民個人信息，並未造成嚴重後果，不宜大面積地使用刑罰手段來進行管理，也符合刑罰的謙抑性原則。

5.1.2通過"第三方共享"獲取公民個人信息的刑事法律風險

第二種途徑為其他住房租賃企業或房產中介等第三方"共享"得來，第三方企業可能基於"客戶資源共享"的目的，將其自行獲取的有房屋託管需求的出租人信息、有租房需求的承租人信息"共享"給住房租賃企業，由住房租賃企業為出租人或承租人提供後續的相關服務。

此種情形下，住房租賃企業可能要支付一定金額的"共享費用"，得到第三方企業分享得來的"客戶資源"。雖然根據《檢察機關辦理侵犯公民個人信息案件指引》的規定，一些房產中介、物業管理公司、保險公司、擔保公司的業務員往往與同行通過QQ、微信群互相交換各自掌握的客戶信息，這種交換行為也屬於非法獲取行為。但是我們認為這種觀點值得商榷。個人信息保護的價值基礎在於隱私權，從而帶來的對個人權利和自由的保護。我們公民出於對生活安寧以及隱私需求，對不願公開的信息應當予以保護。而信息主體的同意，可以被認為是對上述權利的放棄，此時只要信息的使用用途沒有超出被收集人的同意範圍，即使中間出現轉售，甚至信息被用於違法用途，也不宜認定為侵犯公民個人信息犯罪。

這種行為雖然實質上等同於購買，但是與單純的"購買"又有所不同，原因是第三方企業共享來的"客戶資源"，很多客戶是具有房屋託管需求或租房需求的，第三方企業分享給住房租賃企業，由住房租賃企業繼續為客戶提供服務，並不存在違法違規的行為，反而能夠更好地為客戶提供相應的服務。但此時住房租賃企業負有對共享來的"客戶資源"（出租人、承租人的公民個人信息）合理審查的義務。即住房租賃企業應當審查"客戶資源"的來源是否合法，客戶的需求是否屬實，是否徵得出租人、承租人等客戶信息主體的明示同意等等。如果未經合理的審查義務，則有可能符合"以其他非法方法獲取"公民個人信息的行為，存在被追究刑事責任的法律風險。

5.1.3通過"購買"獲取公民個人信息的刑事法律風險

第三種途徑為住房租賃企業通過其他渠道（如網上購買、線下收購）等獲取出租人或承租人的公民個人信息。根據《檢察機關辦理侵犯公民個人信息案件指引》的規定，購買是最常見的非法獲取手段。在這一點上沒有異議。

因此，住房租賃企業通過網上購買、線下收購等其他手段獲取出租人或承租人的公民個人信息的，存在很高的刑事責任法律風險。

案例如，福建省福州市臺江區人民法院刑事判決書([2018]閩0103刑初250號)認定：被告人陳景偉違反法律規定，為合法經營活動而非法購買、收受公民個人信息，其中含財產信息67條，情節嚴重，其行為已構成侵犯公民個人信息罪……。法院最終判決：被告人陳景偉犯侵犯公民個人信息罪，判處有期徒刑六個月，緩刑一年，並處罰金人民幣五千元。

5.2住房租賃企業使用公民個人信息存在的刑事法律風險

一般情況下，在出租人、承租人自願向住房租賃企業提供公民個人信息，目的也是為了獲得房屋託管或房屋租賃服務，企業在使用這些個人信息進行服務時，並不存在相應的刑事責任法律風險。

但是，如果住房租賃企業向他人非法提供掌握的出租人、承租人的公民個人信息，則可能會觸犯到刑法。

我國《刑法》第二百五十三條之一明文規定："違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。"實務中也存在大量的房產中介機構人員在未徵得信息主體的明確授權的情況下，將"客戶信息"出售、共享而被追究刑事責任的案例。

案例如，上海市金山區人民法院刑事判決書（【2018】滬0116刑初839號）認定："房利幫"網站作為網絡運營者應對獲取的房源信息合法性進行審查，但其未盡審查義務，並在核實房源信息時冒充其他房產中介身份欺騙房東，在未取得房東授權、同意的情況下將房源信息對外出售……。被告人柯XX在未取得信息權利人同意及授權的前提下，在網站上公開房源信息，使信息陷入失控及洩露風險，並從中獲取巨額違法所得，其行為違反國家規定，侵犯公民個人信息權利。最終被告人柯XX因侵犯公民個人信息罪被判處有期徒刑三年，緩期四年執行。

5.3提供出租人、承租人的居住信息可能涉及的刑事法律風險

住房租賃企業掌握了大量的出租人、承租人的居住信息，如詳細的居住地址、門牌號、姓名、電話號碼等，其中詳細的居住地址信息可能屬於行蹤軌跡信息。

根據《最高人民法院、最高人民檢察院關於辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第五條第（一）款規定，出售或者提供行蹤軌跡信息,被他人用於犯罪的，屬於《刑法》第二百五十三條一規定的"情節嚴重"的情形。

因此，如果住房租賃企業或員工向他人提供掌握的出租人、承租人的居住信息，被他人用於犯罪，則存在被追究刑事責任的法律風險。

案例如，新疆維吾爾自治區烏魯木齊市新市區人民法院刑事判決書([2019]新0104刑初747號)認定如下：

2017年11月，被告人李亞城為找被害人李某某索要債務，提供被害人李某某的基本信息讓被告人王小亞找到李某某。11月24日，被告人王小亞夥同包某某（另案處理）通過非法手段獲取被害人李某某住宿信息，得知李某某入住本市新市區北京南路高新街火炬大廈酒店後，便通知被告人李亞城……。被告人王小亞違反國家有關規定，出售行蹤軌跡信息，被他人用於犯罪，情節嚴重，其行為構成侵犯公民個人信息罪……。被告人王小亞犯侵犯公民個人信息罪，判處拘役五個月，並處罰金五千元。

5.4其他刑事責任法律風險

住房租賃企業掌握了大量的出租人、承租人的居住信息，如詳細的居住地址、門牌號、姓名、電話號碼等，負有對前述公民個人信息的安全保管和存儲的法定義務。

根據《最高人民法院、最高人民檢察院關於辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第九條規定，網絡服務提供者拒不履行法律、行政法規規定的信息網絡安全管理義務,經監管部門責令採取改正措施而拒不改正,致使用戶的公民個人信息洩露,造成嚴重後果的,應當依照刑法第二百八十六條之一的規定,以拒不履行信息網絡安全管理義務罪定罪處罰。

因此，如果住房租賃企業如果違反前述規定，則可能存在被以拒不履行信息網絡安全管理義務罪追究刑事責任的法律風險。

5.5員工犯侵犯公民個人信息罪導致企業的刑事法律風險

實務中，有關侵犯公民個人信息罪的犯罪主體，以自然人居多，單位犯該罪的情形雖然較少，但也存在。根據我國《刑法》的相關理論，只有滿足"以單位名義"且"犯罪所得歸單位支配、使用"，才能認定為單位犯罪，既如果單位員工履行的是職務行為，該職務行為涉嫌侵犯公民個人信息，則單位可能需要承擔很大的刑事責任風險。

"以單位名義"既犯罪行為是由單位的決策機構按照單位的決策程序決定實施的，從而將個人（員工）盜用、冒用單位名義實施的犯罪行為，或者單位內部成員未經單位決策機構批准、同意或者認可而實施的犯罪行為，或者單位內部成員實施的與其職務活動無關的犯罪行為排除在單位犯罪之外。《最高人民法院關於審理單位犯罪案件具體應用法律有關問題的解釋》第3條也明確規定，盜用單位名義實施犯罪的，依照刑法有關自然人犯罪的規定定罪處罰。

那麼，如何避免住房租賃企業被員工犯罪牽連呢？

簡單來說，企業必須建立一套行之有效的合規制度，嚴格約束員工的個人行為，撇清企業與員工的權責關係，這樣才能在員工犯罪與企業之間建立一道刑事責任法律風險的"防火牆"。

案例如，著名的雀巢公司員工侵犯公民個人信息一案，因公司建立了一整套約束員工行為的規則體系，因為避免受到了員工犯罪的牽連。甘肅省蘭州市城關區人民法院楊某等出售、非法提供公民個人信息罪一審刑事判決書（【2016】甘0102刑初605號）認定：

陳某某等證言、雀巢公司DR任務材料，雀巢公司證明、雀巢公司政策、員工行為規範等，證明雀巢公司不允許向醫務人員支付任何資金或者其他利益。不允許員工以非法方式收集消費者個人信息。對於這些規定要求，雀巢公司要求所有營養專員接受培訓並籤署承諾函。被告人鄭某、楊某甲、楊某、李某某、杜某某等明知法律法規以及公司禁止性規定的情況下，為完成工作業績而置法律規範、公司規範於不顧，違規操作進而賄買醫務人員，獲取公民個人信息的行為，並非雀巢公司的單位意志體現，故本案不屬於單位犯罪，對該辯護意見不予支持。

甘肅省蘭州市中級人民法院刑事裁定書（【2017】甘01刑終89號）裁定，駁回上訴，維持原判。

本文作者：

馬越，德恆深圳辦公室合伙人；主要執業領域為刑事辯護、刑民交叉、企業刑事合規、民商事爭議解決、海關進出口，以及行政訴訟等業務。

安健，德恆深圳辦公室合伙人；主要執業領域為經濟犯罪案件、重大刑事案件辯護、刑民交叉業務等。

潘永飛，德恆深圳辦公室律師助理；主要執業領域為職務犯罪及經濟犯罪刑事辯護、刑事控告、刑事合規等刑民交叉業務等。

王士碩，德恆深圳辦公室律師助理；主要執業領域為爭議解決、刑事辯護及刑民交叉等法律業務。

聲明：

本文由德恆律師事務所律師原創，僅代表作者本人觀點，不得視為德恆律師事務所或其律師出具的正式法律意見或建議。如需轉載或引用本文的任何內容，請註明出處。