Case record
博某软件有限公司、何某某等侵犯公民个人信息案
江苏省无锡市锡山区人民法院
争议焦点
互联网企业在为医疗机构提供服务过程中非法获取患者个人信息，应如何定性处罚。
基本事实
2015年至2020年间，博某软件有限公司为某医院开发、维护网上挂号系统，何某某系公司法定代表人。何某某在提供服务过程中暗中收集从后台非法获取的医院挂号用户个人信息，并安排熊某、罗某某导入公司自建数据库；2021年初，熊某又安排人员在医院软件上安装接口，自动导入挂号用户个人信息。案发后从公司服务器、自建数据库及何某某家中设备提取到挂号用户个人信息，去重后合计2878070条。
法院认定
被告单位博某软件有限公司构成侵犯公民个人信息罪，判处罚金人民币三十万元；何某某等直接负责的主管人员和其他直接责任人员构成侵犯公民个人信息罪，判处有期徒刑五年六个月至一年六个月不等，并处罚金人民币十万元至一万元不等。
裁判理由
被告单位在提供服务过程中非法获取公民个人信息，情节特别严重，构成侵犯公民个人信息罪；何某某等人作为单位直接负责的主管人员和其他直接责任人员，亦构成该罪。法院对被告单位及责任人员追究刑事责任并适用财产刑。
实务要点
医疗机构应强化数据安全体系建设，防范患者隐私泄露；互联网企业为医疗卫生领域提供服务时，应依照法律法规、经营范围、合同约定及隐私协议，在服务和授权范围内处理公民个人信息，不得利用服务便利非法获取患者信息、医疗数据。