【弘道·徐婧婷 徐家琪】侵犯公民个人信息罪的解析及辩护路径（上篇）

弘道刑辩团队近期办理了一宗因偷装GPS跟踪器而引发的涉案侵犯公民个人信息罪案件，在会见时被告人告知律师，其以为偷装GPS跟踪器仅是简单的侵犯他人隐私权的行为，没想到现在却因触犯了刑事犯罪而身陷囹圄。其实，侵犯公民个人信息罪这一罪名虽然于2015年11月1日便已明文列入刑法，至今已有八年时长，但由于生活中人们对于自身隐私信息的保护往往并不重视，社会上更是充斥着各种各样的侵犯隐私信息的违规乱象，以至于普通民众对此习以为常，对侵犯公民个人信息罪的了解更是极为有限。本文便是基于此，以问题为导向，依次分析侵犯公民个人信息罪这一罪名是如何规定的？实践中什么样的行为会被追究刑事责任？一旦涉案，又应从哪些方面进行有效辩护？等等，以供读者在处理类似案件时作为参考。
罪名解析

《中华人民共和国刑法》
第二百五十三条之一【侵犯公民个人信息罪】违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
第五条  非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；
（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；
（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；
（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；
（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；
（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；
（七）违法所得五千元以上的；
（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；
（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；
（十）其他情节严重的情形。
实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：
（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；
（二）造成重大经济损失或者恶劣社会影响的；
（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；
（四）其他情节特别严重的情形。

第六条  为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）利用非法购买、收受的公民个人信息获利五万元以上的；
（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；
（三）其他情节严重的情形。
实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。

《中华人民共和国个人信息保护法》
第七十条 个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

第七十一条 违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

根据上述相关法律规定，所谓侵犯公民个人信息罪，是指行为人违反国家有关规定向他人出售或者提供公民个人信息，以及窃取或者以其他方法非法获取公民个人信息，情节严重的行为。认定构成此罪，应明细以下基本概念：
一、“行为人”的主体范围有哪些？
1.构成该罪名的行为主体既可以是自然人，也可以是单位，而且并不需要特殊的身份限定，普通的个人以及国家机关、国有企事业单位、民营企业、团体组织等均可成为该罪的行为主体。
2.需要注意的是，如果是将在“履行职责或者提供服务过程中获得的公民个人信息”非法出售或者提供给他人的，还将被从重处罚。因此，国家机关或金融、电信、交通、教育、医疗单位的工作人员，或在特定服务工作中可能接触获得公民个人信息的从业人员，例如网络服务公司、物业公司、地产中介、快递公司等，应当对其所获取的公民个人信息采取专门的保护措施。
二、“违反国家有关规定出售或者提供”如何理解？
1.《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第二条规定，“违反国家有关规定”是指违反法律、行政法规、部门规章有关公民个人信息保护的规定。可见，此处的“国家有关规定”范围非常广泛，不仅包括法律、行政法规，还包括国务院组成部门制定的数量众多的部门规章；不仅包括围绕公民个人信息罪而制定的刑事法律规范，还包括民事领域、行政领域中相关法律法规对公民个人信息的各类保护举措。
2.“出售”，一般是指行为人以谋利为目的，将所掌握的公民个人信息出卖于他人以获取金钱性利益；而“提供”不要求谋利目的，是指行为人将掌握的公民个人信息向特定人提供，或者通过信息网络等其他途径发布。对于“提供”行为中的公民个人信息，既包括采取非法手段获取的信息，也包括虽合法收集但未经被收集者同意而向他人提供的公民个人信息，如经过处理无法识别特定个人且不能复原的除外。
三、“窃取或者以其他方法非法获取”怎么判断？

1.“窃取”，是指偷取，即以不正当手段获得。“窃取”本身即表明违法性，故无需“非法”修饰。窃取信息，既包括线上窃取，也包括线下盗取，前者如利用木马病毒、钓鱼网站、渗透工具、网络爬虫等黑客技术盗取公民个人信息，后者如通过非法入室等方式来盗取公民个人信息。
2.“以其他方法非法获取”，是指违反国家有关规定，通过购买、收受或交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息。判断是否构成“以其他方法非法获取”公民个人信息，关键不在于获取信息的具体方式，而在于是否被认定为“非法”，即只要获取信息的行为方式被认定为违反国家有关规定，且与购买、收受和交换这类行为具有相当性或者同质性，都可以被认定为本罪中的“其他方法”。具体来说，在实务当中，常见的非法获取公民个人信息的方法有如下几种：
（1）骗取信息，即利用“地面推广”、假冒身份等手法骗取公民个人信息，如乡村地区流行的扫码送礼物、协助激活电子医保卡，以及冒充电商客服、冒充公安民警骗取个人信息等；
（2）非法采集，如APP、机顶盒、手机、智能手表、GPS定位器等供应链厂商或使用者利用其产品非法采集公民个人信息；
（3）违规收购，如利用兼职形式从社会闲散人员处收买身份证、银行卡、人脸识别等信息，或者金融、教育、房产等行业从业者违规交换内部数据；
（4）变造信息，如将身份信息、购物信息等不同数据源进行碰撞，添加新标签后形成新的数据源，或者利用AI技术使用照片生成动态人脸识别信息等。
四、“公民个人信息”如何界定？

相关法律法规对“个人信息”的界定：
序号
法规名称
法律条文
1
《中华人民共和国民法典》
第一千零三十四条  个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
2
《中华人民共和国个人信息保护法》
第四条  个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
3
《中华人民共和国网络安全法》
第七十六条  （五）个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
4
《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
第一条  刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
5
最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》
公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。

上述法律法规通过“定义+列举”的方式揭示了公民个人信息的基本内涵及外延，可以归纳得出本罪中所保护的公民个人信息，是指通过电子或者其他方式记录的、能够单独或者与其他信息结合识别特定公民个人的各类信息。
（一）本罪中的“公民个人信息”，具有如下基本特征：
1.专属性，即与公民个人直接相关的，能够反映公民特定的身份或活动；
2.价值性，即具有法律保护价值，任由他人非法获取、出售或提供构成对公民权利或利益的侵犯；
3.绝对性，即除出于保护国家利益和社会公共利益的需要外，任何组织或个人均无权获取或泄露。
（二）而在种类上，“公民本人信息”则主要包括如下几种：
1.自然人身份信息，如自然人的姓名、年龄、出生日期、身份证件号码、生物识别信息等；
2.自然人家庭信息，如婚姻状况、家庭住址等；
3.自然人财产信息，如账号密码、财产状况等；
4.自然人工作信息，如工作单位、所获学历、工作履历等；
5.自然人联系方式，如电话号码、电子邮箱、应用软件账号密码等；
6.其他，如自然人的健康信息、行踪信息等。
五、“情节严重”怎么认定？
若认定行为人构成本罪，除有上述行为外，还需要达到情节严重的程度。而在量刑上，《刑法》则是规定了“情节严重”“情节特别严重”两个幅度。具体来说，本罪的追诉及量刑标准如下：
（一）“情节严重”
1.针对特定类型的信息，非法获取、出售或者提供达到数量标准的
一是敏感信息，包括行踪轨迹信息、通信内容、征信信息、财产信息，此类信息与公民人身、财产安全直接相关，数量标准为五十条以上，且仅限于上述四类信息，不允许扩大范围。值得注意的是，财产信息既包括常见的存款、房产、车辆等财产状况信息，也包括银行、第三方支付平台、证券期货等金融服务账户的身份认证信息；
二是重要信息，包括住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息，数量标准为五百条以上，此类信息也与人身、财产安全直接相关，但重要程度弱于敏感信息。对“其他可能影响人身、财产安全的公民个人信息”的把握，应当确保该信息涉及公民个人人身、财产安全，且与“住宿信息、通信记录、健康生理信息、交易信息”在重要程度上具有相当性。
三是一般信息，即除敏感信息、重要信息以外的其他各类公民个人信息，数量标准为五千条以上。
2.违法所得数额达到五千元以上的
对于违法所得数额的认定，在司法实践中，往往直接以犯罪嫌疑人出售公民个人信息的收入予以认定，而不必扣减其购买信息的犯罪成本。同时，对于具体金额，应当以查获的银行交易记录、第三方支付平台交易记录、聊天记录、犯罪嫌疑人供述、证人证言综合予以认定，对于犯罪嫌疑人无法说明合法来源的用于专门实施侵犯公民个人信息犯罪的银行账户或第三方支付平台账户内资金收入，可综合全案证据认定为违法所得。
对于行为人为合法经营目的而非法购买、收受公民个人的一般信息的，违法所得数额在5万元以上，则认定为构成情节严重。
3.所出售或提供的个人信息，被他人用于犯罪的
公民个人信息被他人用于违法犯罪活动的，具体包括两种情形，一是事实上被他人用于违法犯罪的，此时不要求行为人在出售或提供公民个人信息时明知他人将利用该信息实施犯罪活动；二是行为人明知他人获取公民个人信息的目的是用于违法犯罪活动，则不要求他人的行为最终被认定为刑事犯罪。
4.行为人有特定身份，且所出售或提供的公民个人信息达到一定标准的
如果行为人系将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，涉案信息数量、违法所得数额只要达到一般主体的一半，即可达到情节严重的标准。
5.有过侵犯公民个人信息累犯记录的
行为人若曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，即可认定为情节严重。

（二）“情节特别严重”
1.造成严重后果的，如造成被害人死亡、重伤、精神失常或被绑架，造成重大经济损失或恶劣社会影响；
2.信息数量、违法所得数额特别巨大的，如敏感信息、重要信息或一般信息数量达到五百条、五千条或五万条以上，或者违法所得数额在五万元以上的。
在实务中，司法机关认定行为人侵犯公民个人信息的行为构成本罪，除从违法所得数额方面认定是否满足前述“情节严重”的情节，更多的是从数量上来判断，因此，在解析本罪相关基本概念之后，有必要就司法实践中常见的公民个人信息数量的计算规则进行梳理，具体计算方法如下：
(1) 行为人所侵犯的公民个人信息，既包括敏感信息，也包括重要信息或一般信息，且任一种类信息单独计算时未达定罪标准的，按1：10：100的比例进行换算，并将换算后的结果合并计算，来确定是否达到情节严重的入罪标准。
(2) 非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。对于非法获取公民个人信息后又提供给特定单位或个人的，在获取和提供的过程中，获取的行为和提供的行为是前后发展的关系，对于公民个人信息的条数，仅计算一次，无需重复计算。
(3) 向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。与第二种情况相比某一公民个人信息从行为人处转手多次，为多个获取信息的单位或个人知晓。此类行为使得公民个人信息传播的范围更广，社会危害性明显更大，对于公民个人信息的条数，应当累计计算。
(4) 对于批量信息，除非有证据证明不真实或重复，一般直接以查获的数量认定。在实践中，因批量信息在数量规模上非常庞大，一般通过抽样检测的方式确定海量信息的有效性、真实性。当然，这种方式所获结果系通过推定得出的，并不必然正确，被告人对涉案信息真实性存疑的，可提供证据推翻公诉机关所作推定。
(5) 根据信息与信息之间的关系，有些信息类型可通过组合的方式认定为一组公民个人信息，而非分开单独计算信息数量。例如，公民个人的银行账户、支付结算账户、证券期货等金融服务账户的身份认证信息，包括账号、口令、密码、数字证书等，应当理解为一组确认用户操作权限的数据，而非单个数据。


结  语
以上内容对侵犯公民个人信息罪这一罪名的基本概念逐一作了解析，重点在于明确本罪的保护对象即公民个人信息的范围，以及认定构成本罪的定罪量刑标准。区别于本篇着重于对刑法条文的规范解读，笔者将在下篇结合具体案例，从刑事辩护的角度来探讨律师在处理此类案件时应遵循的辩护思路，并对其中的辩护要点进行详细论述。

刘越华商律师事务所 高级合伙人刑事法律专业委员会 主任
弘道刑辩团队 负责人
曾在法院任职19年，2014年创建弘道刑辩团队，专注于刑事控告、刑事辩护、危机应急管理和刑事合规业务。


徐婧婷
华商律师事务所 合伙人
刑事法律专业委员会 执行主任
弘道刑辩团队 负责人
10年+律师执业经验，2014年创建弘道刑辩团队，全面负责团队刑事案件工作。主要执业领域为刑事辩护、刑事控告、刑事合规、刑事危机应对管理、重大民商事诉讼及仲裁、公司治理与运营。


徐家琪
华商律师事务所 律师
刑事法律专业委员会 委员
弘道刑辩团队 成员
毕业于中南财经政法大学法学院，辅修华中师范大学心理学，主要负责团队金融类刑事案件和各类刑民交叉案件

袁涛慧
华商律师事务所 律师
刑事法律专业委员会 委员
弘道刑辩团队 成员
西南政法大学刑法学硕士，负责领域为刑事辩护、刑事合规、刑事控告相关领域

王彬华商律师事务所 律师刑事法律专业委员会 委员弘道刑辩团队 成员西南政法大学刑法学硕士，主要执业领域为刑事辩护、刑事控告、刑事危机应急管理等



声明
“
本文仅代表律师的学术性观点，不应视为华商律师事务所或其律师出具的正式法律意见或建议。如需转载或引用本文的任何内容，请提前于留言区或私信公众号“华商律师”沟通授权事宜，并于转载时注明来源于公众号“华商律师”及律师姓名。
”




往期回顾
荣誉 ▎位列前十！华商蝉联2023 ALB China“中国最大30家律所”榜单
荣誉 ▎华商荣登《钱伯斯大中华区指南2024》三大榜单，首席合伙人高树主任再次获评“业界贤达”
联港入海 春暖花开 ▎华商落子上海北外滩 助推长三角大湾区融合发展
华商发起“北外滩沪深港国际法律服务论坛” 首场论坛在沪正式开讲
三十周年献礼！涉外法治的大湾区方案  ▎华商首倡启动全球法律智库
“我灿烂，世界所以灿烂”——华商30周年千人聚首，共话未来！
业绩 ▎华商律师续聘担任中共深圳市委宣传部2023-2024年法律顾问
业绩 ▎华商律师助力J-Long纳斯达克成功上市
业绩 ▎华商助力郴州晟达资产经营管理有限公司成功发行3.34亿人民币点心债并于MOX上市
业绩 ▎华商融小律团队助力大族思特完成近11亿元股权融资
业绩 ▎华商律师成功中标深国际集团旗下十家公司常年法律顾问
业绩 ▎华商助力升辉清洁集团控股有限公司成功于香港主板上市
业绩 ▎华商律师助力Globavend纳斯达克成功上市
业绩 ▎华商律师中标深圳交易集团2023-2024年度常年法律服务项目
业绩 ▎华商为广州浪奇重大资产重组提供全程法律服务，全面助力企业高质量发展
业绩 ▎华商绿蜂资本律师团队为信立泰对普瑞基准进行股权投资提供专项法律服务
华商律师事务所严正声明
华商业绩 ▎北交所今日开市！华商拔头筹助力首家深圳企业登陆
重磅 ▎全国首个“破产人”产生，华商律师担任该案破产管理人