“长租公寓”经营的主要法律问题及分析（二）

2020-12-25

引言：

金钱是否属于“万恶之源”是辩论场上久辩不厌的经典命题，但是在长租公寓的经营风险中，资金链风险却可谓显而易见。继前文对长租公寓企业的资金吸收问题的深入剖析后，相关经营主体需要同步关注的还有其在吸收资金过程中所伴随附生的信息合规问题，其中既包括经营主体对市场和相对人的信息披露义务的尽责问题，也涵盖经营主体对已收集的公民个人信息的保护问题。

第三节 长租公寓的信息披露义务

长租公寓的经营活动是房屋租赁市场这一商事活动的重要组成部分，在引入各类金融创新方式支持行业融资的同时，也将其原本仅关涉出租人、承租人两方的简单交易活动复杂化。作为保护商事活动中交易相关方的知情权、促进信息流动的重要制度，对长租公寓的住房租赁企业规定信息披露义务具有必要性。信息披露义务的履行，将对制止住房租赁企业的欺诈行为，实现交易公平并促进有序竞争有着积极作用，因此随着长租公寓市场的深度发展，相关规范的补充也将势在必行。

1.长租公寓住房租赁企业履行信息披露义务的必要性

法律规范本身作为理性的产物，先天具有提供合理性基础的义务，从而证成自身的正当性。信息披露义务作为对市场主体的一种行为自由的限缩规定，也必须提供其如此规定的理论或事实基础。一般认为，住房租赁企业的信息披露义务基于以下原由而产生：信息不对称原理、信息披露的社会性功能。

1.1信息不对称可能导致交易不公平 

市场活动之中，交易相关方对于信息的把握往往并不平等，这种不平等、不均衡现象极易导致资源配置的扭曲。尤其是在缔结合同的过程之中，住房租赁企业所谓掌握信息优势的乙方，会利用自身的优势地位来削弱己方义务，从而达成自身利益的最大化。即便是进入了合同履行阶段，这种风险依旧会因为信息不对称的现实而继续存在，对合同目的最终的实现产生威胁，损害弱势一方的合法权益。

在长租公寓市场中，住房租赁企业作为房源信息和租赁服务的提供者，是信息产生的重要源头之一，掌握租赁客体及租赁对象的实际情形，对具有天然的信息优势。同时由于其作为中间人，既相对于承租人控制了房源，又相对于出租人控制了租金，使得无论是出租人、承租人还是借款人，对于交易的相关信息几乎都完全来自于住房租赁企业，可以说后者在信息传递的过程中占据主导地位。这也是目前长租公寓市场中，虚构事实、隐瞒真相等欺诈行为屡见不鲜的重要原因。

信息不对称现象在长租公寓市场上更为凸显，承租人作为弱势一方也极易因掌握信息内容的失衡而导致对合同内容的重大误解，从而引发意思表示的错误，损害市场交易活动的公平性。

1.2信息披露的社会性功能               

住房租赁企业在市场活动中不仅面向交易相关方输出信息，也会向社会上的同业竞争者与政府监管部门形成信息的传递。后一种信息传递便在规范公平竞争、促进有效监管方面存在重要意义。

因此，在市场竞争活动中引入信息披露义务，将破除单一住房租赁企业对相关信息的排他性掌握状态，使相关信息具有公共属性，对实现市场竞争的透明化、公开化乃至于最终实现不同住房租赁企业之间的良性竞争，有着积极作用。同时，信息披露义务将使政府监管部门能够更加及时、充分地了解其提供外部服务、履行监管职责所需要的信息，实现对不同问题的针对性研判与解决。在长租公寓的行业自律，与外部的监管他律之间，信息披露义务可以起到双管齐下的作用。

2.长租公寓住房租赁企业信息披露义务的规范要求

“义务”作为法律概念，必须在具体的构成基础上才能实际发挥规范作用。对于市场活动中的信息披露义务而言，一般被要求涵盖如下几个部分：披露标准、披露范围，以及披露豁免。 

2.1披露标准               

参考证券市场领域对信息披露所要求的“真实、完整、准确”的形式标准，长租公寓市场作为一个同样融入了金融属性的新兴领域，也可以同样进行适用。更何况在现行民事、商事法律规范中对住房租赁企业所规定的诚实信用义务，也要求其在从事经营活动时应当确保所披露的信息与实际的客观情况相一致，不得虚构事实、隐瞒真相，不得使用可能引发误解的表达，更不能对故意使交易的相关方陷入认识错误之中。

但仅仅以形式标准对掌握信息优势的住房租赁企业进行规制，实际上并不能有效实现对承租人这类信息弱势方的信息平衡。以常见的视频平台消费会员为例，各类平台在推出会员服务时尽管会同时披露海量的相关服务信息与权利义务内容，但这些内容在提供时门类纷杂、术语频出，且阅读量大，消费者往往缺乏能力和耐心去细致、准确地了解，最终也就是草草同意了事，使得信息披露制度所意图达到的对消费者的信息公平目的最终形同虚设。

因此，对于信息披露的标准除了上述形式标准外，还需要求住房租赁企业应当采取简化披露的实质标准，其应当在反映自身经营服务的核心内容真实性、准确性的基础上，尽可能削弱相关方尤其是缺乏专业能力的弱势相关方的理解成本。

2.2披露范围

就应当披露的信息范围而言，本文初步认为长租公寓住房租赁企业可以在如下方面进行考虑：

1.主体的资质信息。此类信息主要为住房租赁企业的营业执照、相关行政许可，以及备案登记等情形，是表明住房租赁企业具备合法开展长租公寓业务活动的前提与基础。

2.交易规则。此类信息是指住房租赁企业就其与出租人、承租人之间形成委托代理关系或租赁关系而设计的各类合同组合的真实性质及关联内容。如当前住房租赁市场中频频出现对“高进低出”、“长收短付”等合同组合，很大一部分便是向出租人及承租人相互隐瞒了对方关联合同的情形，致使双方都不能及时掌握到住房租赁企业对利用差别支付形成资金池私用的情形；同时还存在的情形包括部分住房租赁企业利用交易规则由己方设计的便利，隐瞒、诱导承租人在不知情的情况下签署“租金贷”，导致其莫名背上对交易外部人的还款义务。

这些由住房租赁企业所主导的交易规则的“面纱”往往是导致承租人担负不利义务的直接推手，经由信息披露将其移除，对保护承租人的合法权益十分必要。

3.房屋等服务信息。此类信息即租赁客体——房屋本身的实际情形、环境条件，以及住房租赁企业所承诺的相关物业服务等信息。房屋及相应的服务信息的真实披露，是保障住房租赁企业与承租人之间的租赁合同能够得到恰当履行的前提。目前长租公寓市场良莠不齐，存在个别住房租赁企业为了节省投资成本，对房屋装修等真实质量进行隐瞒虚报，不仅引发后续的解约争议，更有甚者导致了对承租人健康权益的损害，引发进一步的侵权责任纠纷。

2.3披露豁免

在充分的履行披露义务的同时，也应当考虑到信息披露义务随附的对住房租赁企业运营成本增加，以及商业秘密泄露的危险。因此在公平原则的基础上，确定一个合适的披露豁免范围亦十分必要。

参考现有的成功经验，可以从两方面着手：其一，是对小微企业的披露义务的适当豁免，对于市场规模在一定标准以下的住房租赁企业，可以适当缩减他们的部分披露范围；其二，是明确应当豁免的信息内容，一般而言应当包括国家机密及商业秘密等情形，但当某些信息同样具有严重影响社会公共利益或第三人合法权益的情形时，也可以进行个别豁免。

第四节“长租公寓”保护公民个人信息的法律合规分析

1.国家对公民个人信息的保护

随着信息网络科技的日益深入到了国民生活的方方面面，对公民个人信息的保护诉求日益强烈。数据合规已经上升到了国家战略的高度，而公民个人信息合规作为数据合规的一个重要分支，越来越受到国家的重视。近年来，国家对有关公民个人信息保护的立法工作一直没有停止过，自2012年全国人大常委会出台《关于加强网络信息保护的决定》以来，到目前为止，已初步建立了完整的涉及公民个人信息保护的民事、行政、刑事法律法规体系。但是，总的来说，我国有关公民个人信息保护的司法实务中，依然存在“先刑后民”的现象，这跟我国民事、行政相关法律法规体系的不足和待完善有很大的关系，在公民个人信息保护的法律体系中，“刑民衔接”、“刑行衔接”仍然是亟待解决的现实问题。

2.住房租赁企业涉及的公民个人信息

2.1“房屋租赁式”企业

“房屋租赁式”企业涉及到的公民个人信息，既有来自于出租人的房源信息，包括房东联系方式、具体房产地址、门牌号码、银行账号、支付宝账号、微信名、微信头像等信息，且部分房源信息包含出租人姓名或姓氏，能够单独或者与其他信息结合识别特定自然人身份，属于公民个人信息；又包括承租人的个人信息，姓名、联系方式、银行账号、支付宝账号、微信名、微信头像等等，同样，这些信息能够单独或者与其他信息结合识别特定自然人身份，属于公民个人信息。如果住房租赁企业违反相关法律法规的规定，使用在经营过程中获取的公民个人信息，则需要承担相应的法律责任。

2.2“房屋自有式”企业

“房屋自有式”企业与“房屋租赁式”企业略有不同，用于出租的房屋所有权归属于住房租赁企业，因此其仅与承租人一方签订房屋租赁合同即可。涉及到的公民个人信息也主要限于承租人的信息。如果住房租赁企业违反相关法律法规的规定，使用在经营过程中获取的“承租人”的公民个人信息，则同样需要承担相应的法律责任。

2.3“房屋混合式”企业 

涉及的公民个人信息如2.1、2.2所述，不再赘述。 

3.“侵犯公民个人信息”民事责任法律风险

对于住房租赁企业而言，出租人、承租人的个人信息是一种重要的经营资源，对这些资源合法、有效的利用，是争取企业利益最大化的一个必不可少的环节。然而，个人信息同时体现着人格利益和财产价值，如果不当利用，那么对个人信息的侵害必然要承担赔礼道歉、停止侵害、恢复名誉、经济赔偿等民事法律责任。

3.1获取公民个人信息的民事法律责任风险

住房租赁企业在经营过程中，不可避免地要收集、获取出租人和承租人的公民个人信息，此时就存在获取个人信息是否征得当事人同意，是否符合最小必要原则等。

目前，很多住房租赁企业均使用APP（如蛋壳公寓APP）来接收客户信息开展业务，也有的可能通过其他渠道获取（如由其他房产中介、其他住房租赁企业分享获得）。使用APP获取个人信息，如果严格遵循国家关于公民个人信息保护的法律法规的规定，则不存在承担民事法律责任的风险。

案例如，王X与上海XX有限公司隐私权纠纷一案（【2019】粤0306民初17971号）中，法院认定：隐私权是公民享有的私人生活安宁与私人信息依法受到保护，不被他人非法侵扰、知悉、搜集、利用和公开等的一种人格权。在本案中，原告使用被告上海万达小额贷款有限公司的“快易花”APP，在注册和登录该软件时，已经通过点击《用户服务协议》授权对方提取个人信息。法院最终判决驳回了原告王X的诉讼请求。

但是通过其他渠道，如向同行购买，则可能存在很大的刑事责任法律风险，后续章节将详细说明。

3.2使用公民个人信息的民事法律责任风险

收集获取公民个人信息之后，对公民个人信息的使用是法律风险较高的一个环节，不但可能需要承担民事责任，还有可能承担行政责任甚至刑事责任。本节讨论的范围仅限民事责任，而行政责任及刑事责任在后续章节详细说明。

住房租赁企业在经营的过程中，获取了出租人和承租人的个人信息，其中如姓名、电话号码等属于一般信息，但是房屋的具体位置、银行账号及密码等则属于敏感信息，一旦被滥用，则极有可能给个人信息提供者造成财产或精神上的损害，此时就存在承担赔偿或者其他如赔礼道歉等民事法律责任的风险。

例如，前面提到有些住房租赁企业在承租人不知情的情况下为承租人申请“租金贷”，导致承租人名义上在按月支付租金，实际上却在按月偿还贷款本息。因为存在“期限错配”的情况，一旦住房租赁企业平台资金链断裂或因为其他原因“暴雷”，极有可能导致出租人驱赶承租人，而承租人失去房屋居住权之后仍然需要履行偿还贷款本息的义务，如果承租人不履行，则有可能被计入征信“黑名单”。此种情况下承租人以住房租赁企业侵犯其个人信息为由向法院提起民事诉讼，住房租赁企业就有可能要承担民事法律责任。 

案例如，孙XX与XX县农村信用合作联社侵犯公民个人信息权一案（【2017】豫0423民初3728号）中，法院认定：我国《民法总则》第一百一十一条规定：自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应依法取得并确保信息安全，不得非法取得，使用加工、传输他人个人信息。本案中被告工作人员违规办理贷款时，冒用被告个人信息担保贷款，并将原告征信纳入不良记录，给原告造成精神上、物质上的损失，被告过错明显。故原告请求被告消除原告在银行系统不良信用记录，理由正当，本院予以支持。最终法院判决：被告XX县农村信用合作联社于本判决生效后十日内向原告孙XX赔偿精神物质损失3万元。

3.3存储公民个人信息的民事法律责任风险

住房租赁企业作为公民个人信息的控制者，应当尽到安全保管公民个人信息的义务。因为保管不善导致个人信息泄露、或者因管理不善被员工滥用，则可能需要承担相应的民事责任。

案例如，根据《中华人民共和国身份证法》第十三条第二款“有关单位及工作人员对履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息，应予以保密。”

梁XX与中山市XX物业管理有限公司隐私权纠纷一案（【2015】中一法民一初字第204号），法院认定：被告作为物业服务企业，在处理与原告之间的物业服务合同纠纷过程中，未经原告许可、未隐去原告身份信息的情况下，将未发生法律效力的法律文书在公众场合进行公示，其行为已侵犯原告的隐私权，应承担停止侵害、赔礼道歉、赔偿损失等民事责任。法院最终判决被告XX公司向梁XX登报赔礼道歉并赔偿精神抚慰金1000元。

又如，《中华人民共和国侵权责任法》第三十四条规定，用人单位的工作人员因执行工作任务造成他人损害的，由用人单位承担侵权责任。

赵X与杨XX等隐私权纠纷一案中（【2018】京0105民初9840号）认定，客户的个人信息归为该公司机密信息也可见客户信息对于XX公司经营营利的重要性。在利用客户信息获取利益同时，XX公司需要对客户信息承担高于一般经营实体的保管义务。作为企业员工的管理者，XX公司未建立信息安全的管理制度和操作规程，没有对客户信息安全风险提示，没有对客户敏感信息加密处理等严谨细致的管理制度保障客户的信息安全，从而无法确保经纪人谨慎依约合法使用公民个人信息。本案最终判决XX公司登报道歉、与宋XX（XX公司员工）连带赔偿赵XX经济损失10万元。

4.“侵犯公民个人信息”行政责任法律风险

住房租赁企业作为公民个人信息的控制者，应当尽到安全保管公民个人信息的义务，对其收集、获取、使用出租人或承租人的个人信息时，应当符合《网络安全法》等法律法规的规定。对于向承租人和出租人收集个人信息时，应当遵循最小必要原则。目前，根据有关部门的通报信息，房屋租售服务通常采用线上和线下结合的方式，房源信息和租房大多实现线上服务。住房租赁企业服务出租人及承租人也多采用线上服务（如蛋壳公寓APP）。 

4.1信息获取端的行政法律责任风险

目前，对于住房租赁企业，在通过APP获取出租人和承租人个人信息时，存在违规收集、超范围收集个人信息的行为，部分可能的原因企业并未关注收集的个人信息种类。对于收集个人信息的范围，我国2020年1月15日公布的《信息安全技术移动互联网应用（App）收集个人信息基本规范（征求意见稿）》第“A15.房屋租售”款对“房屋租售”行业可收集的最小必要信息作了明确的规定。该《规范》尽管只是征求意见稿，但是也代表了立法机关的倾向，可以作为企业的参照标准。

实务中，存在住房租赁企业因违反《网络安全法》的相关规定被行政处罚的案例：

如，2020年8月31日，工业和信息化部向社会通报了101家存在侵害用户权益行为App企业的名单。其中包括长租公寓的代表性企业“蛋壳公寓”App，其所涉问题主要包括违规收集个人信息、超范围收集个人信息、强制用户使用定向推送功能等。蛋壳公寓等23款App未按要求完成整改，因此被强制勒令下架。

又如，2020年广东省住房和城乡建设厅关于各地查处的住房租赁中介机构违法违规案例的通报案例十二：中山市吉源房地产经纪有限公司在经营期间为推广业务，通过购买的方式收集中山市港口镇星港城市名都一期楼盘小区的业主姓名、身份证号码、联系地址、联系电话等信息共847条，后于2019年8月13日被中山市市场监督管理部门查获。当事人已向上述小区业主拨打征询电话若干次，但尚未获得业务及收入。根据《中华人民共和国消费者权益保护法》第五十六条第一款第（九）项及《侵害消费者权益行为处罚办法》第十四条的规定，决定对当事人作出责令改正和罚款3000元的行政处罚。

4.2信息使用端的行政责任法律风险

住房租赁企业掌握了大量出租人和承租人的个人信息，部分如电话号码、银行账号及密码属于敏感信息，如果违规提供给其他住房租赁企业或其他有关的主体，则可能违反《网络安全法》第41、42条关于“未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”可能会被有关部门依据第64条处以“警告、没收违法所得、处违法所得一倍以上十倍以下罚款”等行政处罚。

案例如，2020年广东省住房和城乡建设厅关于各地查处的住房租赁中介机构违法违规案例的通报案例四：2019年7月17日，佛山市顺德区市场监督管理局收到群众举报称反映佛山市房爵士网络科技有限公司（以下简称房爵士公司）在未经消费者同意的情况下，擅自通过拨打电话招揽客户。经查，房爵士公司为了开展房产经纪业务，通过在网络上收集、老客户介绍、附近住户登记等方式收集住户姓名、房号、电话号码等信息共计418条。将所得信息汇总制作成表格或者登记在笔记本上，在未经对方同意或者请求的情况下，由房爵士公司的员工通过拨打电话方式向消费者推介房产经纪服务。房爵士公司的上述行为违反了《中华人民共和国消费者权益保护法》第二十九条第一款和第三款的规定，构成了侵害消费者个人信息保护权的行为，依法应予行政处罚。根据《中华人民共和国消费者权益保护法》第五十六条，决定对房爵士公司侵害消费者个人信息保护权的违法行为，拟作如下处罚：一、责令房爵士公司改正侵害消费者个人信息保护权的违法行为；二、罚款伍万元（¥50000元）。目前，该案件已作出行政处罚。

4.3信息保护端的行政责任法律风险

住房租赁企业收集并存储了承租人与出租人的公民个人信息，因为涉及银行账号及密码、支付宝账号及密码等敏感信息，一旦泄露被别人滥用，可能会对出租人和承租人的人身和财产信息造成巨大损失，因此住房租赁企业应当严格履行安全保护义务，否则也可能需要承担相应的行政法律责任。

另外，根据《住房租赁条例（征求意见稿）》第四十一条的规定，住房租赁企业发布房源信息，应当取得委托人书面同意，发布的信息应当真实、准确、有效，不得发布位置、面积等与实际不符，价格、用途等与委托事项不符，以及法律法规规定不能出租的住房信息。否则可能会被根据《住房租赁条例（征求意见稿）》第五十四条的规定予以行政处罚。

5.“侵犯公民个人信息”刑事责任法律风险

住房主流企业收集到的房源信息很可能构成刑法意义上的“财产信息”，居住地址、门牌号很可能构成刑法意义上的“行踪轨迹信息”，而银行账号及密码、支付宝账号及密码等很可能构成“交易信息”，此两类信息均属于敏感信息，最低侵犯25条既达到刑事处罚标准。如果住房租赁企业未按规定获取、使用或管理此类信息，极易触犯侵犯公民个人信息罪。

侵犯公民个人信息罪的刑事追诉标准：

5.1住房租赁企业获取公民个人信息存在的刑事法律风险

实务中，住房租赁企业获取出租人、承租人等的公民个人信息大致有三个途径（与出租人、承租人的居住信息相关的法律风险在后续讨论）。获取公民个人信息途径图：

5.1.1通过APP获取公民个人信息的刑事法律风险

第一种途径为通过公司的线上手段（以APP为例）进行收集，有房屋需要托管的出租人登录住房租赁企业APP，输入房源信息、出租人的个人信息，有租房需求的承租人登录住房租赁企业的APP，输入承租人的公民个人信息。住房租赁企业后台服务器记录并存储下来，依据出租人或承租人登记的相关信息为出租人或承租人提供后续的相关服务。

根据我国《刑法》第二百五十三条之一的规定，“窃取以其他方法非法获取”公民个人信息的，应当追究其刑事责任。“窃取”自不必说，特征很明显，很好判断，而“以其他方法非法获取”则较难界定。根据《检察机关办理侵犯公民个人信息案件指引》的规定，认定“以其他方法非法获取”要与“违反国家相关规定”为前提，并且应当与“窃取”具有同等危害性的方法。行为人在履行职责、提供服务过程中，违反国家有关规定，未经他人同意收集公民个人信息，或者收集与提供的服务无关的公民个人信息的，也属于非法获取公民个人信息的行为。

一般情况下，登录住房租赁企业APP的出租人、承租人均有房屋代管需求或住房需求，其向住房租赁企业提供个人信息是自愿的，同时也希望获得住房租赁企业的服务。这个时候住房租赁企业获取公民个人信息，符合《网络安全法》规定的关于“收集用户个人信息，应当经被收集者同意”的基本原则。此时如果住房租赁企业APP提供的《隐私协议》或《用户服务协议》对收集公民个人信息作出了明确的约定，则不存在违反国家的相关规定，当然也不存在触犯刑法的风险。

但是，如果住房租赁企业APP根本就没有隐私协议，或者隐私协议未对收集公民个人信息进行明示告知（例如采用“默认同意”的方式），或者违反“最小必要原则”收集公民个人信息，则有可能满足“违反国家的相关规定”，属于“以其他方法非法获取”公民个人信息的行为，存在被追究刑事责任的风险。

实务中，对前述APP违法违规行为多以行政处罚的形式进行管制。这个可能与我国当前数量庞大的APP普遍存在此类违法违规行为有关系，也可能是单纯地违反国家相关规定收集公民个人信息，并未造成严重后果，不宜大面积地使用刑罚手段来进行管理，也符合刑罚的谦抑性原则。

5.1.2通过“第三方共享”获取公民个人信息的刑事法律风险

第二种途径为其他住房租赁企业或房产中介等第三方“共享”得来，第三方企业可能基于“客户资源共享”的目的，将其自行获取的有房屋托管需求的出租人信息、有租房需求的承租人信息“共享”给住房租赁企业，由住房租赁企业为出租人或承租人提供后续的相关服务。

此种情形下，住房租赁企业可能要支付一定金额的“共享费用”，得到第三方企业分享得来的“客户资源”。虽然根据《检察机关办理侵犯公民个人信息案件指引》的规定，一些房产中介、物业管理公司、保险公司、担保公司的业务员往往与同行通过QQ、微信群互相交换各自掌握的客户信息，这种交换行为也属于非法获取行为。但是我们认为这种观点值得商榷。个人信息保护的价值基础在于隐私权，从而带来的对个人权利和自由的保护。我们公民出于对生活安宁以及隐私需求，对不愿公开的信息应当予以保护。而信息主体的同意，可以被认为是对上述权利的放弃，此时只要信息的使用用途没有超出被收集人的同意范围，即使中间出现转售，甚至信息被用于违法用途，也不宜认定为侵犯公民个人信息犯罪。

这种行为虽然实质上等同于购买，但是与单纯的“购买”又有所不同，原因是第三方企业共享来的“客户资源”，很多客户是具有房屋托管需求或租房需求的，第三方企业分享给住房租赁企业，由住房租赁企业继续为客户提供服务，并不存在违法违规的行为，反而能够更好地为客户提供相应的服务。但此时住房租赁企业负有对共享来的“客户资源”（出租人、承租人的公民个人信息）合理审查的义务。即住房租赁企业应当审查“客户资源”的来源是否合法，客户的需求是否属实，是否征得出租人、承租人等客户信息主体的明示同意等等。如果未经合理的审查义务，则有可能符合“以其他非法方法获取”公民个人信息的行为，存在被追究刑事责任的法律风险。

5.1.3通过“购买”获取公民个人信息的刑事法律风险

第三种途径为住房租赁企业通过其他渠道（如网上购买、线下收购）等获取出租人或承租人的公民个人信息。根据《检察机关办理侵犯公民个人信息案件指引》的规定，购买是最常见的非法获取手段。在这一点上没有异议。

因此，住房租赁企业通过网上购买、线下收购等其他手段获取出租人或承租人的公民个人信息的，存在很高的刑事责任法律风险。

案例如，福建省福州市台江区人民法院刑事判决书([2018]闽0103刑初250号)认定：被告人陈景伟违反法律规定，为合法经营活动而非法购买、收受公民个人信息，其中含财产信息67条，情节严重，其行为已构成侵犯公民个人信息罪……。法院最终判决：被告人陈景伟犯侵犯公民个人信息罪，判处有期徒刑六个月，缓刑一年，并处罚金人民币五千元。

5.2住房租赁企业使用公民个人信息存在的刑事法律风险

一般情况下，在出租人、承租人自愿向住房租赁企业提供公民个人信息，目的也是为了获得房屋托管或房屋租赁服务，企业在使用这些个人信息进行服务时，并不存在相应的刑事责任法律风险。

但是，如果住房租赁企业向他人非法提供掌握的出租人、承租人的公民个人信息，则可能会触犯到刑法。

我国《刑法》第二百五十三条之一明文规定：“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。”实务中也存在大量的房产中介机构人员在未征得信息主体的明确授权的情况下，将“客户信息”出售、共享而被追究刑事责任的案例。

案例如，上海市金山区人民法院刑事判决书（【2018】沪0116刑初839号）认定：“房利帮”网站作为网络运营者应对获取的房源信息合法性进行审查，但其未尽审查义务，并在核实房源信息时冒充其他房产中介身份欺骗房东，在未取得房东授权、同意的情况下将房源信息对外出售……。被告人柯XX在未取得信息权利人同意及授权的前提下，在网站上公开房源信息，使信息陷入失控及泄露风险，并从中获取巨额违法所得，其行为违反国家规定，侵犯公民个人信息权利。最终被告人柯XX因侵犯公民个人信息罪被判处有期徒刑三年，缓期四年执行。

5.3提供出租人、承租人的居住信息可能涉及的刑事法律风险

住房租赁企业掌握了大量的出租人、承租人的居住信息，如详细的居住地址、门牌号、姓名、电话号码等，其中详细的居住地址信息可能属于行踪轨迹信息。

根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第（一）款规定，出售或者提供行踪轨迹信息,被他人用于犯罪的，属于《刑法》第二百五十三条一规定的“情节严重”的情形。

因此，如果住房租赁企业或员工向他人提供掌握的出租人、承租人的居住信息，被他人用于犯罪，则存在被追究刑事责任的法律风险。

案例如，新疆维吾尔自治区乌鲁木齐市新市区人民法院刑事判决书([2019]新0104刑初747号)认定如下：

2017年11月，被告人李亚城为找被害人李某某索要债务，提供被害人李某某的基本信息让被告人王小亚找到李某某。11月24日，被告人王小亚伙同包某某（另案处理）通过非法手段获取被害人李某某住宿信息，得知李某某入住本市新市区北京南路高新街火炬大厦酒店后，便通知被告人李亚城……。被告人王小亚违反国家有关规定，出售行踪轨迹信息，被他人用于犯罪，情节严重，其行为构成侵犯公民个人信息罪……。被告人王小亚犯侵犯公民个人信息罪，判处拘役五个月，并处罚金五千元。

5.4其他刑事责任法律风险

住房租赁企业掌握了大量的出租人、承租人的居住信息，如详细的居住地址、门牌号、姓名、电话号码等，负有对前述公民个人信息的安全保管和存储的法定义务。

根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第九条规定，网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务,经监管部门责令采取改正措施而拒不改正,致使用户的公民个人信息泄露,造成严重后果的,应当依照刑法第二百八十六条之一的规定,以拒不履行信息网络安全管理义务罪定罪处罚。

因此，如果住房租赁企业如果违反前述规定，则可能存在被以拒不履行信息网络安全管理义务罪追究刑事责任的法律风险。

5.5员工犯侵犯公民个人信息罪导致企业的刑事法律风险

实务中，有关侵犯公民个人信息罪的犯罪主体，以自然人居多，单位犯该罪的情形虽然较少，但也存在。根据我国《刑法》的相关理论，只有满足“以单位名义”且“犯罪所得归单位支配、使用”，才能认定为单位犯罪，既如果单位员工履行的是职务行为，该职务行为涉嫌侵犯公民个人信息，则单位可能需要承担很大的刑事责任风险。

“以单位名义”既犯罪行为是由单位的决策机构按照单位的决策程序决定实施的，从而将个人（员工）盗用、冒用单位名义实施的犯罪行为，或者单位内部成员未经单位决策机构批准、同意或者认可而实施的犯罪行为，或者单位内部成员实施的与其职务活动无关的犯罪行为排除在单位犯罪之外。《最高人民法院关于审理单位犯罪案件具体应用法律有关问题的解释》第3条也明确规定，盗用单位名义实施犯罪的，依照刑法有关自然人犯罪的规定定罪处罚。

那么，如何避免住房租赁企业被员工犯罪牵连呢？

简单来说，企业必须建立一套行之有效的合规制度，严格约束员工的个人行为，撇清企业与员工的权责关系，这样才能在员工犯罪与企业之间建立一道刑事责任法律风险的“防火墙”。 

案例如，著名的雀巢公司员工侵犯公民个人信息一案，因公司建立了一整套约束员工行为的规则体系，因为避免受到了员工犯罪的牵连。甘肃省兰州市城关区人民法院杨某等出售、非法提供公民个人信息罪一审刑事判决书（【2016】甘0102刑初605号）认定：

陈某某等证言、雀巢公司DR任务材料，雀巢公司证明、雀巢公司政策、员工行为规范等，证明雀巢公司不允许向医务人员支付任何资金或者其他利益。不允许员工以非法方式收集消费者个人信息。对于这些规定要求，雀巢公司要求所有营养专员接受培训并签署承诺函。被告人郑某、杨某甲、杨某、李某某、杜某某等明知法律法规以及公司禁止性规定的情况下，为完成工作业绩而置法律规范、公司规范于不顾，违规操作进而贿买医务人员，获取公民个人信息的行为，并非雀巢公司的单位意志体现，故本案不属于单位犯罪，对该辩护意见不予支持。

甘肃省兰州市中级人民法院刑事裁定书（【2017】甘01刑终89号）裁定，驳回上诉，维持原判。

本文作者：