為了強化公民個人信息的刑事保護力度，保護公民個人信息安全，切斷電信詐騙、敲詐勒索等犯罪的源頭。日前，最高人民法院、最高人民檢察院發布《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，以下簡稱《解釋》。

一、立法沿革

侵犯公民個人信息罪，源于刑法修正案七、刑法修正案九的兩次修改。

（一）出售、非法提供公民個人信息罪和非法獲取公民個人信息罪

刑法修正案（七）第七條規定，在刑法第二百五十三條后增加一條，作為第二百五十三條之一：“國家機關或者金融、電信、交通、教育、醫療等單位的工作人員，違反國家規定，將本單位在履行職責或者提供服務過程中獲得的公民個人信息，出售或者非法提供給他人，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金。

“竊取或者以其他方法非法獲取上述信息，情節嚴重的，依照前款的規定處罰。

“單位犯前兩款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。”

（二）侵犯公民個人信息罪

刑法修正案（九）第17條規定，將刑法第二百五十三條之一修改為：“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。

“違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。

“竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。

“單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。

通過刑法修正案（九）的修改，出售、非法提供公民個人信息罪和非法獲取公民個人信息罪被整合為侵犯公民個人信息罪，從而強化公民個人信息的保護力度。

二、《解釋》明確的問題

《解釋》對侵犯公民個人信息罪的法律適用問題和定罪量刑標準做了明確的規定：

（一）侵犯公民個人信息罪的行為方式

刑法規定侵犯公民個人信息罪的行為方式，包括兩種，一是出售或者非法提供公民個人信息；二是非法獲取公民個人信息，具體而言：

1、違反國家有關規定，向他人出售或者非法提供公民個人信息

（1）違反國家有關規定

《解釋》第二條規定，違反法律、行政法規、部門規章有關公民個人信息保護的規定的，應當認定為刑法第二百五十三條之一規定的“違反國家有關規定”。由此，這里的國家規定，僅限于法律、行政法規、部門規章等國家層面的規定，而不包括地方層面的地方性法規等文件。

（2）非法提供

《解釋》第三條規定，向特定人提供公民個人信息，以及通過信息網絡或者其他途徑發布公民個人信息的，應當認定為刑法第二百五十三條之一規定的“提供公民個人信息”。

未經被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第二百五十三條之一規定的“提供公民個人信息”，但是經過處理無法識別特定個人且不能復原的除外。

根據該條規定，本罪旨在限制非法提供公民個人信息，也即獲取信息之后，向他人提供的行為。這種提供行為又分為兩種情況，一是向特定人提供信息，比如公安機關、金融、住宿等單位的工作人員將其合法獲取的信息提供給他人；二是通過網絡向不特定人發布信息，比如人肉搜索，利用網絡肆意散發他人信息。

《解釋》第三條第三款之規定，實為一種法律注意規定，擬在提示司法工作人員，即便合法收集公民個人信息，但未經過可識別處理的，便提供給他人仍屬于非法提供公民個人信息。比如APP打車軟件，在獲取司機、用戶的訂單、行程、軌跡之后，運營公司不經過處理，便打包向其他公司提供這些信息，便存在適用本條的可能性。

2、竊取或者以其他方法非法獲取公民個人信息

《解釋》第四條規定，違反國家有關規定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息的，屬于刑法第二百五十三條之一第三款規定的“以其他方法非法獲取公民個人信息”。

這種行為方式的問題主要在于厘清其他方法，《解釋》第四條進行了明確，一是，違反國家有關規定，購買、收受、交換等方式獲取信息；二是，違反國家有關規定，在履行職責、提供服務過程中收集公民個人信息。

理論上對于“其他”的理解，要求其應與刑法條款列舉的方式具有相同的社會危害性，具體到本罪中，其他方法是否需要具備盜竊行為自身具有的非法性，各方認識上并不一致。《解釋》一錘定音，消弭了分歧，將購買、收受、交換等方式解釋為與盜竊等同的其他方法。從該規定來看，其他方式不需要自身行為的非法性，也即購買、交換這種行為，即便自身不具有非法性質，只要行為人沒有獲取公民個人信息的法律依據或者資格而獲取相關個人信息同樣屬于非法獲取。

此外，該條將非法收集也規定為其他方法，主要是為了遏制違反個人意愿，收集他人信息的行為。比如網絡運營者違反規定、約定，收集公民個人信息的行為。《網絡安全法》第四十一條對此作了規定，“網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。”

（二）公民個人信息的范圍

關于公民個人信息的范圍，理論界有關聯說、隱私說和識別說等不同主張。關聯說認為，凡是與個人存在關聯的信息都屬于個人信息。隱私說認為，只有與個人隱私相關的才屬個人信息。識別說認為，公民個人信息是指姓名、職業、職務、年齡、婚姻狀況、學歷、專業資格等能夠識別公民個人身份的信息。比較來看，關聯說外延過于寬泛，隱私說內涵過于狹窄，識別說則是介于二者之間。

《網絡安全法》曾就個人信息有過一個定義，即指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。該規定，顯然采取了識別說。《解釋》在上述規定的基礎上，進一步明確“公民個人信息”,是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。從上述規定看，《解釋》基本上采取了識別性，但又納入了部分關聯說的內容，進一步而言，這種識別性包括了識別自然人身份的信息（如通信通訊聯系方式、住址、賬號密碼），還包括了反映自然人活動情況的信息（如財產狀況、行蹤軌跡等）。

結合《解釋》第三條第三款“經過處理無法識別特定個人且不能復原的除外”，這種能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，經過處理、加工之后，無法識別特定個人且不能復原的，雖然也可能反映自然人的活動情況，但與特定自然人無直接關聯，便不再屬于本罪所規定的公民個人信息。

（三）情節嚴重的認定

《解釋》對于刑法規定的情節嚴重，作了細化規定，具體列舉了10種侵犯公民個人信息的情形：

（1）出售或者提供行蹤軌跡信息，被他人用于犯罪的；

（2）知道或者應當知道他人利用公民個人信息實施犯罪，向其出售或者提供的；

（3）非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的；

（4）非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的；

（5）非法獲取、出售或者提供第三項、第四項規定以外的公民個人信息五千條以上的；

（6）數量未達到第三項至第五項規定標準，但是按相應比例合計達到有關數量標準的；

（7）違法所得五千元以上的；

（8）將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數量或者數額達到第三項至第七項規定標準一半以上的；

（9）曾因侵犯公民個人信息受過刑事處罰或者二年內受過行政處罰，又非法獲取、出售或者提供公民個人信息的；

（10）其它情節嚴重的情形。

從上述規定來看，“情節嚴重”的認定主要是五個方面，一是信息用途，情形一、提供他人的信息被用于犯罪，情形二、明知他人利用信息實施犯罪，仍予以提供信息的；二是信息類型和數量，針對不同信息，設置了五十條、五百條、五千條的標準；三是違法所得數額，獲取信息通常是為了牟利，五千元以上的；四是主體身份，履行職責或者提供服務過程中獲得的公民個人信息的人員，在信息數量和所得數額上減半認定；五是前科情況；六是其他情況，作為兜底條款，從而將那些在主觀惡性、社會危害性與前五種情形等同的行為認定為情節嚴重。

三、其他問題

1、想象競合犯的問題

公民個人信息的載體往往體現為計算機信息系統數據，故非法獲取公民個人信息的行為有時會同時符合侵犯公民個人信息罪與非法獲取計算機信息系統數據罪。計算機信息系統數據包括了公民個人信息數據和非公民個人信息數據。行為人以侵入其他技術手段，獲取該計算機信息系統中存儲、處理或者傳輸中可以識別特定自然人身份或可以反映特定自然人活動情況的數據（特別是賬號、密碼這種可以識別特定個人的信息數據），便屬于一個行為，侵犯了兩種法益，既侵犯公民權利也侵犯網絡秩序、網絡安全。此時，若只用一個罪名則無法完全評價這種行為的法益侵害性，必須動用兩個罪名進行評價，根據想象競合犯的刑法理論，按照從一重罪處斷的原則進行處罰。

2、非法使用公民個人信息的行為不適用本罪

非法使用公民個人信息的行為日益嚴重，諸如利用單位掌握的用戶手機號碼群發垃圾短信、撥打騷擾電話等現象較為普遍，但這種行為無法被本罪評價。因為，這種行為既不是以竊取或者以其他非法方法獲取公民個人信息，也不是違反國家有關規定，向他人出售或者提供公民個人信息。對于這種違背權利人意愿非法使用所掌握公民個人信息的行為，依舊不構成侵犯公民個人信息罪。

3、搜索公民個人信息的行為不適用本罪

通過網絡手段，搜索公民個人信息的行為，如其只是對公民個人信息進行了搜索，未非法獲取也未向他人非法提供，便不符合本罪的構成要件。但是，通過這種搜索行為獲取信息或者予以出售的，則便涉及本罪。

四、相關案例

（一）朱浩然非法獲取公民個人信息案（上海市第二中級人民法院）

裁判要旨：被告人通過擅自秘密安裝GPS定位器、放置錄音筆及在電腦中私自安裝截屏軟件等方法，獲取其前妻大量個人信息。行為的非法性包括：一是獲取公民個人信息的手段、方式違反了法律法規的禁止性規定，二是獲取信息未經公民本人知曉并授權。

（二）朱凱華等出售、非法獲取公民個人信息案（上海市閘北區人民法院）

裁判要旨：銀行工作人員違反相關規定，利用職務便利，通過銀行內部網絡系統獲取銀行客戶的賬戶資料、個人征信報告，對外出售，情節嚴重的，構成出售公民個人信息罪。

（三）郭勇非法獲取公民個人信息案（河南省固始縣人民法院）

裁判要旨：公民機動車信息、護照信息、銀行信用報告信息、人口信息及旅館入住信息等，均屬公民的專屬或關聯信息，具有一定的私密性、非公開性及法律保護價值，屬于公民個人信息，應受法律保護。

（四）周濱城等侵犯公民個人信息案（浙江省平湖市人民法院

裁判要旨：非法購買學生信息出售牟利，構成侵犯公民個人信息罪。

（五）夏拂曉侵犯公民個人信息案（浙江省紹興市柯橋區人民法院）

裁判要旨：非法買賣網購訂單信息，構成侵犯公民個人信息罪。

（六）杜明興、杜明龍侵犯公民個人信息案（江蘇省南京市鼓樓區人民法院）

裁判要旨：通過互聯網非法購買、交換、出售公民個人信息，構成侵犯公民個人信息罪。