侵犯公民个人信息罪的司法认定和量刑标准

刑法第二百五十三条之一【侵犯公民个人信息罪】违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。 

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

侵犯公民个人信息罪

（一）概念

侵犯公民个人信息罪，是指违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的行为，以及窃取或者以其他方法非法获取公民个人信息的行为。

为了保护信息社会中公民个人信息的安全以及公民生活安宁，《刑法修正案（七）》增设了《刑法》第253条之一，司法解释确定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪。

《刑法修正案（九）》修改补充了本条，司法解释将罪名统一设定为一个概括性更强的罪名－

侵犯公民个人信息罪。

（二）构成要素

侵犯公民个人信息罪是一个罪名、两个构成要件类型。所以，本罪之实行行为包括两类：

①违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的行为；②窃取或者以其他方法非法获取公民个人信息的行为。

《刑法》第253条之一第1、3款分别规定了以上两种行为类型。

“公民”指称任何人，无论是具有中国国籍的公民还是外国人、无国籍人，均属于刑法保护的权利主体。当代信息社会，公民个人信息不仅直接关系到个人信息安全与生活安宁，而且关系到社会公共利益、国家安全乃至信息主权，所以，刑法使用“公民个人信息”而没有直接规定为“个人信息”或者“他人的个人信息”，其意义在于表明“个人信息”主要是指具有中国国籍的中国“公民”的个人信息，但是又不限于中国公民，还包括生活在中国或者通过互联网与中国政府机关、公司、企业、社会组织以及公民个人发生联系的外国人以及无国籍人的个人信息。

公民个人信息，是指个人身份信息和隐私信息两大类。依据《网络安全法》第76条第1款的规定，所谓个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物信息、住址、电话号码等。

“等”表示列举未尽，“包括但不限于”更加明确了这一点。

《网络安全法》强调公民个人信息为自然人“个人身份”信息，依据其具体规定，此种“个人身份信息”可以广义解释为“身份识别信息”，可以涵括识别公民身份的隐私信息，但是难以扩张至全部个人隐私信息。

2017年5月8日《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条规定：“＇公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”

依据司法解释的这一规定，公民个人信息既包括识别“自然人身份”的信息，包括“反映特定自然人活动情况的各种信息”－最为重要的是“行动轨迹”信息。

行动轨迹既包括特定自然人身体活动轨迹，还包括手机轨迹、住宿轨迹等。自然人“个人活动情况信息”大多数情况下属于个人隐私信息，但是又不限于隐私信息，还包括公开活动的信息。

当然，行动轨迹信息广义上可以单独或者与其他信息结合识别公民身份，广义上也可以归入身份信息范围。“账号密码”与特定自然人密切关联，常常还绑定身份证号、手机号码等特定个人信息，具有识别公民个人身份的作用，所以司法解释将其归入公民个人信息范围。

“财产状况”，既不属于身份信息，也不属于“个人活动情况信息”，大致上可以归入“隐私信息”的范围，司法解释似乎不是基于“隐私信息”概念将“财产信息”纳入“公民个人信息”范围，因为“财产信息”以及“健康信息”等与其他信息结合可以“识别”公民个人身份，属于“身份识别信息”，而且属于直接或者间接地涉及公民财产和人身安全的敏感信息。

可见，上述司法解释基本上以《网络安全法》的规定为基础解释“公民个人信息”，既有清晰的列举，又有一定的模糊处理。我们认为，刑法规定“侵犯公民个人信息罪”并不能仅仅以（网络安全法》为前置法，揭示“公民个人信息”的含义，还应当考虑《全国人大常委会关于加强网络信息保护的决定》的有关规定。

根据《全国人大常委会关于加强网络信息保护的决定》的规定，能够单独或者与其他信息结合识别公民个人身份的隐私信息，主要是财产状况、生理及健康状况、公民活动情况的行踪轨迹信息等个人信息，属于公民个人信息；

上述信息属于公民个人隐私信息，即使其意义不在于识别特定自然人的身份，也属于公民个人信息。一句话，公民个人信息包括个人隐私信息。

可见，上述立法解释一方面没有局限于《网络安全法》的身份信息范围，另一方面又没有明确隐私信息也属于公民个人信息，而是做了模糊处理。

判决、裁定以及仲裁确定的犯罪、侵权和违约事实等信息，不属于本罪构成要件之“公民个人信息”，但是不满18岁的未成年人曾经实施被判处5年以下有期徒刑的犯罪记录除外。

互联网公司、企业有责任保护客户的个人信息，不得出售、非法提供公民在互联网信息系统上形成的个人网络信息，这些信息主要包括：用户网络认证账号和密码、IP地址、网络连接记录（主要包括浏览网址、搜索关键词以及kookie信息等）。

当然，这些网络信息需要与现实世界的特定自然人个人相关联，即具有对应、联系之关系，能够辨别、查找到特定公民个人（及其身份信息）以及能够显示出相应特定公民的个人嗜好、上网习惯、疾患等个人隐私信息。

具体来说，如果互联网公司IP地址、kookie信息等上网信息单独不能与特定的自然人相对应、相关联，不具有识别身份的属性，不能与生活现实中具体的公民个人直接相对应、相联系，则不属于公民个人信息。

但是，这些信息如果与基础电信运营商需要保密的公民个人身份信息结合，可以清晰地反映特定公民的个人隐私，则属于公民个人隐私信息。

司法实践中，公民“个人信息”既包括总称意义上“公民”（大众、众多人）的个人信息－批量、甚至“海量”信息，也包括单称意义上“他人”（特定个人或者几个人的）的个人信息。

对于第一种情形，司法机关无需具体落实每一条信息与现实生活世界中具体公民之间的对应关系，只要有确实充分的事实证明此类批量信息（信息包、信息库等）“一定”与现实的一个个公民个人相对应即可。

所以，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第11条规定：“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”

同样的道理，司法机关也无需询问相关公民个人是否同意、是否反感自己的网络信息被出售、被非法提供。实践中，非法购买公民身份信息的人常常是为了精准投放网络广告等经营活动，尽管不少网民并不反感网络广告推送，但是“公民个人信息”的“超个人法益属性”决定了许多网民“没有意见”“不反感”“挺喜欢”等可能真实存在的情形不阻却刑事违法性。

当然，违法性程度相对低一些。所以，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对于“为合法经营活动而非法购买、收受”公民个人信息的行为，采取了相对宽大的态度，对于一般个人信息，只有“情节严重”而没有“情节特别严重”。

“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重”的行为，以侵犯公民信息罪论处。这是第一类侵犯公民个人信息罪的行为类型。

其中，“违反国家有关规定”“向他人出售或者提供”“情节严重”是三个主要构成要件。字面上，“国家有关规定”与“国家规定”并无本质区别，一般需要法律、行政法规明确而具体的专门性规定。

“违反国家规定”一般不是《刑法》分则第四章、第五章规定的具体犯罪的构成要件，一旦出现在《刑法》分则第四章、第五章之中，对于定罪处刑来说，只是“弱意义”的构成要件，与其出现在《刑法》分则其他各章（规定侵犯社会利益和国家利益的犯罪）之中明显不同。

依据诉讼法、律师法、公证法、行政许可法、人民银行法、银行业监督法、保险法、反洗钱法、邮政法、居民身份证法、统计法、传染病防治法等法律以及电信条例等行政法规，可以收集、采集公民个人信息的单位，负有保密义务，不得泄露公民个人信息。

《刑法修正案（九）》出台之前，对于出售、非法提供公民个人信息罪来说，“违反

国家规定”主要是在这一意义上理解。此外，2012年12月28日全国人大常委会《关于加强网络信息保护的决定》规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。

任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息，不得出售或者非法向他人提供公民个人电子信息。”这一规定是本罪构成要件“违反国家有关规定”之“国家规定”一般性法律规定。

这使得在没有专门性法律法规明确规定的情况下，有一般性法律规定的，也能够满足构成要件明确性的要求。本罪构成要件“违反国家有关规定”，是《刑法修正案（九）》修改“违反国家规定”而来，本意是扩张“国家规定”之“规定”的范围。

所以，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》规定：“违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第253条之一规定的“违反国家有关规定＇。”

“国家有关规定”包括部门规章，突破了《刑法》第96条关于“违反国家规定”的范围，有利于加强对公民个人信息的保护。

所谓“向他人出售”，是指向他人提供公民个人信息并获得报酬。依据上述司法解释，向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为“提供公民个人信息”。

收集公民个人信息后，未经被收集者同意，向他人提供的，属于“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条规定，具有下列情形之一的，应当认定为“情节严重”：①出售或者提供行踪轨迹信息，被他人用于犯罪的；

②知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；③非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的；

④非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的；

⑤非法获取、出售或者提供第3项、第4项规定以外的公民个人信息5000条以上的；⑥数量未达到第3~5项规定标准，但是按相应比例合计达到有关数量标准的；

⑦违法所得5000元以上的；⑧将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第3~7项规定标准一半以上的；

⑨曾因侵犯公民个人信息受过刑事处罚或者2年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；⑩其他情节严重的情形。

第6条还规定：“为合法经营活动而非法购买、收受本解释第5条第1款第3项、第4项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第253条之一规定的“情节严重”：①利用非法购买、收受的公民个人信息获利5万元以上的；

②曾因侵犯公民个人信息受过刑事处罚或者2年内受过行政处罚，又非法购买、收受公民个人信息的；③其他情节严重的情形。

实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第5条的规定。”依据上述规定，司法解释是将公民个人信息大致上区分为高度敏高信息（包括行踪轨迹信息、通信内容、征信信息、财产信息等四种）、可能影响人身、财产安全的敏感信息（包括住宿信息、通信记录、健康生理信息、交易信息等）以及其他一般个人信息。

依据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。

向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。

“窃取或者以其他方法非法获取公民个人信息”的行为，以侵犯公民信息罪论处。这是第二类侵犯公民个人信息罪的行为类型。

“窃取”，是指秘密窃取。“窃取”本身即表明违法性，故无需“非法”修饰。“以其他方法非法获取”之选择性要件的关键构成要素是“非法”而不是“获取”的具体方式。

原则上讲，除了依法强制公民提供个人信息的情形之外，凡是未经公民个人明示或者默示之同意而获取公民个人信息的，均属于“非法”获取。

“非法”不需前置的配套法律法规。公民个人信息权是公民个人自决权范围内的个人权利，这决定了“合法”与“非法”可以从整个法律体系（主要是宪法、刑事诉讼法、刑法）中获取，这就是公民是否“同意”。

刑法直接规定了“窃取”方式，除此之外，还包括通过购买、收受、交换等方式，以及利用通信技术手段侵入计算机信息系统。

例如，侵入公民个人手机端，获取公民电子活动轨迹、生活隐私信息等，属于“以其他方式非法获取公民个人信息”。总之，“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于《刑法》第253条之一第3款规定的“以其他方法非法获取公民个人信息””。

公民个人

信息无需公民个人采取保密措施，均属于刑法保护的范围，当然，公民个人自愿公开的除外。

一般来说，能够通过互联网公开渠道搜索到的公民个人信息不属于刑法保护的范围。但是，以获取公民隐私为目的，通过互联网公开渠道购买、征集公民个人信息的，属于“非法获取”；

当然，公开征集、汇总公民个人犯罪、侵权、违约之诚信状况信息以及向他人提供此类信息的，是否也属于“非法获取”尚需要进一步研究。

非法获取公民个人信息，还是与非法提供公民个人信息相对应的一种行为，故意从非法提供者那里取得公民个人信息的，是非法获取。

因为“非法获取”要件的关键构成要素在于“非法”而不在于“获取”及其方式，所以，任何人非法拥有并散布众多公民的个人信息，而无合法辩护理由的，可以推定为“非法获取”。

《刑法》第253条之一第3款规定：“窃取或者以其他方法非法获取公民个人信息的，依照第1款的规定处罚。”显而易见，这种类型的侵犯公民个人信息行为，构成犯罪的，并不以“情节严重”为必要。

也就是说，不以“情节严重”为构成要件。当然，“情节严重”到与“情节特别严重的”相当的，应当适用“处3年以上7年以下有期徒刑，并处罚金”之法定量刑幅度。

但是，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条“有意无意”地将第二种类型的侵犯公民个人信息罪视为以“情节严重”为构成要件，以“情节特别严重”为加重构成要件，并非十分妥当。

当然，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条所列举规定的各种具体情节，除了第3~5项规定的50条、500条、5000条比较“宽大”外，倒是没有太大问题，均可直接适用，从而作为认定非法获取公民个人信息行为构成犯罪的“情节”。

（三）处罚（见上，略）

（袁长伦，安徽金亚太律师事务所律师，律师办理黑恶势力案件督导办公室副主任，西北政法大学刑法学硕士，退休法官15212781535）