刑事案件还没定，为什么会转到公益诉讼检察部门？

“案件还在审查起诉，怎么又转到公益诉讼检察部门了？”

家属第一次听到这个变化，通常会立即追问：是不是检察机关已经认定犯罪成立，现在开始研究赔偿了？

不是。

在我们正在办理的一起个人信息案件中，刑事责任尚未形成最终处理结论，案件后来转由负责公益诉讼检察业务的部门办理。这个变化值得高度重视，但它首先说明的是审查视角增加了：检察机关除了继续判断个人是否达到刑事追诉条件，还开始关注一批个人信息目前由谁控制、是否仍在流转，以及是否存在需要停止、删除或者修复的公共利益问题。

它不等于已经有罪，也不等于公益诉讼已经起诉。

真正棘手的地方在于，两类审查会接触同一批名单、协议、聊天记录、电子数据和账户流水。如果不及时把证明目的分开，一种程序中的怀疑，很容易被写成另一种程序中的结论。

这也是此时辩护工作必须向前多走一步的原因。

一、承办方向变了，先查程序走到哪一步

个人信息保护法允许检察机关在违法处理个人信息、侵害众多个人权益时依法提起公益诉讼；但公益诉讼办案规则仍把立案、调查、公告和起诉区分为不同环节。

所以，听到“转到公益诉讼检察部门”，不能只凭部门名称猜测案件结果。辩护人首先应核对：

• 刑事案件是否仍在审查起诉，是否还有补充侦查事项；
• 公益诉讼一侧是内部协同办理、线索审查，还是已经正式立案；
• 目前调查的是个人、单位、下游使用者，还是负有监管职责的主体；
• 是否已经公告，准备选择哪一种公益诉讼路径；
• 可能提出的是停止处理、删除数据、消除危险、赔礼道歉，还是损害赔偿。

部门转办是真实的程序信号，但不能替代正式文书。越是在这个阶段，越不能用一句“已经转过去了”概括全部状态。

二、一段很顺的故事，不一定已经完成刑事证明

这类案件常见的指控叙事是：

个人信息被提供给他人，接收方随后实施违法活动，提供方又收到相关款项，于是信息提供、下游违法和资金回流被连成一个完整故事。

故事越顺，越要检查中间每一步有没有材料支撑。

我们阅卷时不会只看起点和结果，而会把中间过程拆开：

• 信息最初通过什么业务场景取得；
• 后来由谁、在什么时间、向谁提供了哪一批信息；
• 提供行为是否超出原有业务目的、告知和授权范围；
• 行为人当时知道的是正常合作用途，还是已经知道对方会实施违法犯罪；
• 款项对应真实服务、单位经营，还是个人信息本身的交易对价；
• 数量、资金和不同批次，能否落实到具体行为人。

刑法第253条之一并不因为信息后来“被用坏了”，就免除对上游人员具体行为和主观状态的证明。

提供方存在管理疏忽、业务审核不足，与其明知并参与下游违法，并不是同一个刑事结论。二者之间需要会议内容、聊天记录、人员分工、异常提示、结算规则和实际履行情况完成连续证明，不能只靠结果倒推。

三、资料来源合法，不等于后来提供一定合法

辩护也不能走向另一个极端。

有些个人信息最初确实来自正常报名、服务、培训或者合作过程。但关于侵犯公民个人信息犯罪的司法解释已经明确，向特定人员提供信息，或者未经同意将合法收集的信息再提供给他人，仍可能进入刑事评价。

因此，“资料原来是合法取得的”只能回答来源问题，不能自动回答后续提供是否合法。

需要继续核对的是：最初告知的使用目的是什么，接收方是否属于原业务所必需，提供范围是否超出必要限度，相关人员是否知道信息会被交给谁、用于什么。

同样，下游后来违法，也只能证明信息的实际去向和后果。要把这一后果归责给上游人员，仍要证明其当时知道什么、参与了什么、能够控制什么。

这两层判断缺一不可。

四、大数字不能替代逐项核对

个人信息案件很容易被一个醒目的总数带着走。

但总数背后可能同时存在不同人员、不同年份、不同接收方、不同信息类型和不同提供批次。司法解释允许对查获的批量信息按数量认定，也明确排除能够证明不真实或者重复的信息。

因此，真正有价值的审查不是笼统争论“数量多不多”，而是把统计表还原到原始材料：

• 原始名单从哪里提取，由谁制作；
• 电子数据如何提取、封存和校验；
• 同一自然人在不同表格、不同期间是否重复出现；
• 统计的是自然人人数、信息条数，还是行为人次；
• 每一批信息能否对应到具体提供者和具体接收者；
• 信息是否真实有效，后来是否实际被使用；
• 统计口径与账户结算能否相互对应。

一份名单可以证明“表里记了多少”，却不当然证明“某个人非法提供了多少”。把总数落实到具体行为，才是刑事责任个别化的起点。

五、合作协议要和真实履行放在一起看

在存在合作关系的案件中，协议往往同时对控辩双方有意义。

它可能说明信息流转并非发生在陌生人之间，双方确有业务安排；也可能因为按人数结算、付款节点特殊等内容，被用于证明行为人了解信息用途和利益分配。

只摘取合同名称，不能证明合作真实；只看到按人结算，也不能证明买卖信息。

真正要查的是：有没有实际服务、管理、教学或者交付内容，双方各自承担了什么，接收方有没有偏离约定用途，提供方何时得知异常，异常出现以后是否仍继续提供。

书面协议证明双方写了什么，履行材料才可能说明双方做了什么。刑事责任最终还要落实到行为人当时知道什么、决定了什么。

六、钱进了账户，不等于款项性质已经查清

账户流水很直观，也最容易被过度概括。

一笔钱进入个人账户，可能是单位经营收款、服务费用、代收代付，也可能是信息交易对价或违法所得。判断不能停在“钱进了谁的卡”，还要继续核对付款主体、合同安排、结算依据、账户长期用途、后续流向和个人是否实际支配获利。

辩护人也不能简单用“后来都花在经营上”否定款项性质。如果款项本身就是违法交易对价，事后支出不当然改变其来源。

所以，需要区分的是到账、业务收入、违法所得和个人获利，而不是把四个概念写成同一件事。

公益诉讼中的损害和修复费用同样不能机械套用刑事案件中的入账金额。请求谁承担、承担什么、承担到什么范围，仍要与其行为、获利、数据控制状态和现实风险相对应。

七、补充侦查不是“卷宗又厚了”

案件经过补充侦查后，材料增加并不等于原有证明缺口已经补齐。

新增一份人员陈述，要看它证明的是实际参与、信息提供、下游使用，还是本人是否知情；新增一份协议，要看它证明业务基础、权利义务，还是仅仅证明文件存在；新增账户冻结材料，只能说明财产控制状态，不能代替对非法提供和主观明知的证明。

好的阅卷不是统计新增多少页，而是逐项追问：

这份新材料补上了哪一个待证事实？它与原有材料能否相互印证？有没有形成新的矛盾？它能证明历史行为，还是能证明目前风险？

如果材料变多了，关键事实仍只能依靠概括和推定，案件的证明结构并没有因此自动完整。

八、同一份材料，进入两类程序后不能“互借结论”

刑事审查和公益诉讼可以依法使用同一批材料，但材料在两类程序中的任务不同。

一份人员名单，在刑事案件中可能用于核对谁提供了什么、数量是否达到入罪标准；在公益诉讼中，则可能用于判断受影响人员范围和信息敏感程度。

一段聊天记录，在刑事案件中可能用于判断行为人是否知道下游用途；在公益诉讼中，则可能用于查找接收者、复制件和现有控制状态。

一笔结算款，在刑事案件中可能被用于证明交易对价或违法所得；在公益诉讼中，则可能影响过错、获利和责任范围。

材料可以共用，未经证明的结论不能共用。

公益诉讼检察部门认为有必要调查公共风险，不能反向替代刑事案件对故意、具体提供行为和入罪标准的证明；刑事案件已经移送审查起诉，也不能直接替代公益诉讼对违法处理、众多个人权益受损、持续风险和修复必要性的证明。

九、转到公益诉讼检察部门后，辩护方案必须增加一条线

这时如果只把原来的不起诉意见换个抬头再交一遍，往往不够。

我们会把工作分成两条相互校验、但不相互替代的责任线。

刑事一侧继续核对具体提供行为、主观认识、信息类型和数量、款项性质、个人参与范围，判断是否达到起诉和定罪标准。

公益诉讼一侧则另行核对：原始数据和复制件现在由谁保存，是否仍在使用或者传播，哪些主体有能力删除，是否已经停止处理，现实风险是否仍然存在，以及每一项修复请求应当由谁承担。

两条责任线之间还要设置一道边界：积极删除、通知下游停止使用、完善制度、配合查清数据去向，可以用于消除风险；但整改材料中的事实表述必须准确，不能为了尽快修复，顺手承认尚未得到证明的犯罪故意、违法所得或者全部行为范围。

修复公共风险与坚持刑事证明标准并不冲突。真正专业的处理，是既不否认已经能够证明的问题，也不让尚未证明的刑事结论借整改之名提前成立。

十、时间线决定哪些规则能够使用

个人信息案件如果跨越多年，不能把今天的法律直接覆盖到全部历史行为。

个人信息保护法自2021年11月1日起施行，立法法确立了法律原则上不溯及既往的规则。审查时应把时间线分开：

第一，信息取得、提供和使用发生在什么时候，当时适用哪些规范；

第二，个人信息保护法施行以后，相关信息是否仍被存储、使用、提供或者继续控制；

第三，现在是否仍有可以通过设备、服务器、数据清单、删除记录和接收方说明加以证明的传播风险。

历史行为已经终了，与法律施行后仍持续处理，是两种不同情形。强调公益保护，也不能省略行为时间、适用规则和现实修复对象。

十一、刑事不起诉，也不一定等于公益修复问题消失

最高检公开过一起未成年人个人信息案件：一名参与者因购买的信息存在重复，实际有效数量未达到刑事追诉标准，检察机关对其作出不起诉决定；但法院仍判令其删除掌握的未成年人信息并公开赔礼道歉。

这个案例说明的只是：刑事入罪门槛与公益修复审查的对象不同。

它不能被反过来理解为“只要不起诉，就一定承担公益诉讼责任”。公益一侧仍要证明违法处理、受影响范围、公共利益影响、责任主体和具体修复必要。

同理，即使刑事责任最终成立，也不能省略对数据现状、其他控制者和修复方式的调查。

“没有达到刑事追诉标准”和“从未发生需要修复的个人信息问题”，不是同一句话；“存在公共风险”和“已经构成犯罪”，也不是同一句话。

十二、家属和当事人此时最该准备什么

如果案件在审查起诉阶段又转由公益诉讼检察部门办理，家属不宜只反复追问“是不是更严重了”，而应尽快协助辩护人补齐五类材料：

1. 能够还原业务真实履行的合同、工作记录、交付材料和往来沟通；
2. 能够对应每一批信息来源、接收者、时间和用途的原始记录；
3. 能够解释款项性质、结算依据、单位与个人实际支配情况的财务材料；
4. 能够说明当事人何时发现异常、是否提出异议、是否停止提供的过程材料；
5. 能够查明数据现状、复制范围、删除情况和下游控制者的修复材料。

这些材料不是为了“讲一个更好听的故事”，而是让每一种责任回到它自己的事实基础。

越早完成这项整理，越能避免在两类程序中被动使用同一套含混表述，也越有机会在审查起诉阶段把不应由个人承担的范围切分出来，把确有现实风险的部分尽早修复。

写在最后

刑事案件还没有最终结论，却转由公益诉讼检察部门办理，意味着案件已经不能只用“构不构罪”一个问题理解。

但程序增加，并不意味着责任可以合并证明。

刑事一侧必须落实到具体提供行为、主观认识、数量和款项性质；公益诉讼一侧必须查清众多个人权益、数据现状、持续风险和修复请求。律师真正要做的，是把同一批材料放回各自的证明目的，阻止一种程序中的怀疑提前变成另一种程序中的结论。

转部门不是提前宣告有罪；刑事尚未定案，也不意味着数据风险只能等待。把行为、人员、批次、资金、时间和数据现状逐项还原，才能判断谁应当承担什么责任，以及责任究竟到哪里为止。