前 言

2021年11月1日起实施的《个人信息保护法》，是个人信息保护领域的首部专门立法，是继2015年刑法修正案（五）开启个人信息保护以来，经历刑法修正案（七）、《全国人大关于加强网络信息保护的决定》、《网络安全法》等之后，在个人信息保护方面的“集大成者”和“终极版本”。

《个人信息保护法》第71条规定：“违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。”违反《个人信息保护法》的规定，进入刑事领域，最有可能涉嫌的犯罪是侵犯公民个人信息罪。本文对该罪法律来源、入罪条件、关联罪名、案例释法等刑法适用相关问题，予以详细梳理。

一

法律渊源

为保护公民个人信息，2009年2月28日起施行的《刑法修正案（七）》增设了刑法第253条之一，规定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪两个罪名，这是首次直接对侵害公民个人信息的违法行为进行刑罚治理。

为加大对公民个人信息的保护力度，2015年11月1日起施行的《刑法修正案（九）》对刑法第253条之一作出修改完善：一是扩大犯罪主体的范围，规定任何单位和个人违反国家有关规定，获取、出售或者提供公民个人信息，情节严重的，都构成犯罪，而不限于“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”；二是明确规定将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚；三是加重法定刑，增加规定“情节特别严重的，处三年以上七年以下有期徒刑，并处罚金；四是对个别词语进行调整，如删除‘非法提供’中‘非法’二字的限定，在“违反国家规定”中增加“有关”二字，即形成“违反国家有关规定”。修改后，“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”被整合为“侵犯公民个人信息罪”。

二

入罪条件

根据《刑法》第253条之一的规定，侵犯公民个人信息罪，是指违反国家有关规定，向他人出售、提供公民个人信息，情节严重的行为，以及窃取或者以其他方法非法获取公民个人信息的行为。

由此，侵犯公民个人信息罪的客观行为方式，包括如下四种：违反国家有关规定，向他人出售公民个人信息，情节严重的行为；违反国家有关规定，向他人提供公民个人信息，情节严重的行为；窃取公民个人信息的行为；以其他方法非法获取公民个人信息的行为。

简言之，侵犯公民个人信息犯罪涉及出售、提供、窃取、非法获取四种行为，其中前两种，不仅有“行为方式”的限定，而且有“法律禁止性规定”为前提和行为程度上的要求，后两种因行为本身即具有非法性，仅表现为“行为方式”。下面对四种行为进行详细说明。

（一）关于“违反国家有关规定”

“违反国家有关规定”是“出售”“提供”行为的前提条件，是在原“违反国家规定”基础上修改而成的。根据《刑法》第96条规定，“国家规定”是指违反全国人大及其常委会制定的法律、决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。而“国家有关规定”显然范围更大，根据《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第2条规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定，应当认定为“违反国家有关规定”，也就是扩大到了“部门规章”，同时又仅限定于法律、行政法规、部门规章三个层面，不包括地方性法规等非国家层面的规定，也不包括国家标准、地方标准等非法律规范中的规定。

（二）关于“公民个人信息”

是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

经过处理无法识别特定自然人且不能复原的信息，虽然也可能反映自然人活动情况，但与特定自然人无直接关联，不属于公民个人信息的范畴。

对于企业工商登记等信息中所包含的手机、电话号码等信息，应当明确该号码的用途。对由公司购买、使用的手机、电话号码等信息，不属于个人信息的范畴，严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。

（三）关于“提供公民个人信息”

这主要包括两种：一是向特定人提供公民个人信息；二是通过信息网络或者其他途径发布公民个人信息，即向不特定多数人提供公民个人信息。这里仅仅限定的是“提供”，而没有限定来源是否合法、提供行为本身是否合法。在判断时，需要依据前述“违反国家有关规定”来分析。如果没有违反国家有关规定，即合法的提供公民个人信息，则不具有非法性，不在刑法调整之列。比如，提供前征得了个人信息被收集者的同意，或者提供了个人的已进行匿名化处理、无法再识别特定个人且不能复原的信息。

（四）关于“窃取或非法获取公民个人信息”

在实践中，主要表现为以购买、收受、交换和侵入计算机信息系统或者采取其他技术手段的方式获取，其中：购买是最常见的非法获取手段，如电信诈骗中，诈骗分子为实施犯罪而购买公民个人信息，房产中介、物业管理公司、保险公司、担保公司的业务员与同行通过QQ、微信群互相交换各自掌握的客户信息，也属于非法获取行为。同时，根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息形式案件适用法律若干问题的解释》第4条规定，违反国家有关规定，在履行职责、提供服务过程中收集公民个人信息的，属于以其他方法获取公民个人信息。这包括未经他人同意收集公民个人信息，也包括收集与提供的服务无关的公民个人信息。

（五）关于“情节严重”

根据刑法第253条之一的规定，非法获取、出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。可见，侵犯公民个人信息罪系“情节犯”，“情节严重”是入罪条件，而非加重因素。那么何为“情节严重”？根据《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条的规定，非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为“情节严重”：1.出售或者提供行踪轨迹信息，被他人用于犯罪的；2.知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；3.非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；4.非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；5.非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；6.数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；7.违法所得五千元以上的；8.将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；9.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；10.其他情节严重的情形。

三

关联罪名

与侵犯公民个人信息犯罪相关联的犯罪，最多的可能是涉及如下四个犯罪，即诈骗罪、非法利用信息网络罪、非法获取计算机信息系统数据罪，以及拒不履行信息网络安全管理义务罪。

（一）与诈骗罪的关系

对于诈骗罪，主要是由于侵犯公民个人信息犯罪与电信网络诈骗犯罪相交织。这种情况下，要认真审查非法获取、出售、提供公民个人信息的犯罪嫌疑人对电信网络诈骗犯罪的参与程度，集合能够证实其认知能力的学历文化、聊天记录、通话频率、获取固定报酬还是参与电信网络诈骗犯罪分成等证据，分析判断其是否属于诈骗共同犯罪。

（二）与非法利用信息网络罪的关系

对于非法利用信息网络罪，根据《刑法》第287条之一规定，设立用于实施诈骗、传授犯罪方法、制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。针对个人信息，如果设立用于实施出售、提供或者非法获取公民个人信息违法犯罪活动的网站、通讯群组，情节严重，既可能构成非法利用信息网络罪，也可能同时也触犯了侵犯公民个人信息罪的，应当择重罪处罚，即认定为侵犯公民个人信息罪。

（三）与非法获取计算机信息系统数据罪的关系

对于非法获取计算机信息系统数据罪，根据《刑法》第285条规定，违反国家规定，侵入国家事务、国防建设、尖端科学技术领域之外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，情节严重的，处三年以下有期徒刑或拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。针对个人信息，如果技术手段非法侵入合法存储公民个人信息的单位数据库窃取公民个人信息的行为，则既可能构成非法获取计算机信息系统数据罪，也可能同时触犯侵犯公民个人信息罪，应择一重罪论处。

（四）与拒不履行信息网络安全管理义务罪的关系

对于拒不履行信息网络安全管理义务罪，根据《刑法》第286条规定，网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户信息泄露，造成严重后果的，构成拒不履行信息网络安全管理义务罪。此情形不符合侵犯公民个人信息罪的客观行为特征，不构成侵犯公民个人信息罪。但是，该罪的设立完善了公民个人信息保护链条，是落实网络安全法确立的“谁收集、谁负责”原则的体现。网络运营者对收集的用户信息严格保密，便能防止用户个人信息的扩散。

四

以案释法

（一）侵犯公民个人信息罪的认定及其与公民行使监督权的关系

【基本案情】

因对赫山区法院和益阳中院的裁判结果不满，吴某某雇请上诉人张某某和原审被告人周某等人，采取在汽车底盘上秘密安装 GPS 定位器等方式，多次对益阳中院、赫山区法院多名法官及其家人的行踪进行定位，并实施跟踪、偷拍，吴某某还雇请张某某以购买或索要的方式，非法获取了前述多名法官及其家人以及益阳农行的委托代理律师及其家人和朋友的住宿、消费、出行、房产、车辆、住址、户籍、通信记录等个人信息；

雇请张某某非法获取65名参加省级某系统工作会议人员的姓名、电话号码、行踪轨迹等信息。此外，吴某某为获取法官家人的个人信息，私自调取某酒店监控视频。

【法院观点】

公民在行使自由和权利的时候，不得损害国家、社会、集体的利益和其他公民合法的自由和权利。检举权是公民的基本权利。同时，公民个人信息自由和安全也受法律保护。

因此，公民在检举搜集证据时，必须通过合法的途径和方式进行，不得通过偷拍、秘密跟踪等非法手段获取公民个人信息，侵犯公民个人信息自由和安全。吴某某伙同他人采用跟踪、偷拍等违法手段，非法获取公民的个人信息，严重侵犯了公民的合法自由和权利，具有严重的社会危害性。

根据《中华人民共和国刑法》第二百五十三条之一以及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条的规定，吴某某伙同他人为主组织并亲自参与非法获取公民行踪轨迹和财产信息达807条，其行为已构成侵犯公民个人信息罪，且情节特别严重。

该案是全国首例“因偷拍官员而获刑”的案例，一度成为舆论热点。吴某某的行为成立侵犯公民个人信息罪可归结于三点：

第一，吴某某的行为属于“窃取或者以其他方法非法获取公民个人信息”；

第二，吴某某未非法使用获取的公民个人信息不影响成立侵犯公民个人信息罪；

第三，吴某某的行为具有社会危害性。国家鼓励公民提供行使监督权，提供线索，参与反腐，不够获取线索也需采取合法途径。

（二）AppleID及系统解锁信息应认定为“可能影响财产安全的公民个人信息”

【基本案情】

被告人黄某某、魏某某在一个专门用于 IPHONEID 手机解锁的 QQ 群中结识。被告人黄某某使用 QQ 同被告人魏某某联系，将从他人处获取的 IPHONE 手机所有人的批量信息（姓名、DSID 码、IPHONE 手机 ID 账号即个人邮箱账号、居住城市、国籍、手机号码等）发送给被告人魏某某，由被告人魏某某联系下家破解密码，再将破解后的信息通过被告人黄某某向其上家反馈。

【法院观点】

被告人黄某某、魏某某违反国家有关规定，向他人出售或者提供公民个人信息，情节严重，其行为已共同构成侵犯公民个人信息罪。被告人黄某某、魏某某共同非法获取、出售可能影响 IPHONE 手机用户财产安全的公民个人信息，数量合计 1273 条，依法应判处三年以下有期徒刑或者拘役，并处或者单处罚金。

依照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，侵犯一般性的公民个人信息，数量达 5000 条以上定罪。两被告人的非法获取、出售 IPHONE 手机使用的系统账号（AppleID）、系统解锁信息等信息 1273 条，从数量看未达定罪标准；但上述信息应系“可能影响财产安全的公民个人信息”，应依照司法解释以 500 条为入罪标准定罪量刑。两被告人构成侵犯公民个人信息罪。

（三）以非法获取的公民信息进行诈骗应数罪并罚

【基本案情】

被告人林某、胡某某先后通过互联网在他人处购买电信手机用户的个人信息（包括电话号码、积分数、服务密码等），或通过聘请的人员利用电信官网的漏洞获取电信手机用户的个人信息，共获取 20 万余条信息。

林某、胡某某等在未经电信公司的授权的情况下，冒充电信公司工作人员，利用电话、互联网从事电信手机用户积分兑换业务。林某、胡某某将被害人手机积分兑换的虚拟商品变卖获利，许诺给被害人的礼品价值远低于在电信官网实际兑换的虚拟商品，甚至不履行承诺。

【法院观点】

被告人林某、胡某某违反国家有关规定，未经信息所有人同意，通过购买或雇佣他人利用电信官网的管理漏洞等手段非法获取电信手机用户的个人信息达 20 余万条，情节特别严重，其行为均已构成侵犯公民个人信息罪。

同时以非法占有为目的，雇佣他人谎称是中国电信积分兑换礼品中心，骗取客户验证码，骗取他人电信积分，用以兑换财物变卖获利共计骗取他人价值人民币 2127785.07 元的财物，数额特别巨大，其行为均已构成诈骗罪。应数罪并罚。林某、胡某某前后两行为究竟应该认定为牵连犯还是数罪，主要有两种观点：有观点认为构成牵连犯，应从一重罪处罚；有观点认为不构成牵连犯，应当数罪并罚，该案法官采取了第二种观点。

非法获取公民个人信息后用于诈骗，前后两个行为不具有类型固定化的关系，不构成牵连犯，应当对两个行为都予以评价进行数罪并罚才能做到罪责刑相适应。

从这三个案例可以看出，司法实践中在涉及是否能以侵犯公民个人信息罪定罪时，时常会出现一些新案例、新情况，需要结合具体案件具体分析。