207.侵犯公民个人信息罪（原出售、非法提供公民个人信息罪和非法获取公民个人信息罪罪名取消）

【罪名构成】

概念及其构成
　　侵犯公民个人信息罪，是指违反国家有关规定，向他人出售或者提供公民个人信息；窃取或者以其他方法非法获取公民个人信息，情节严重的行为。
　　本条系2009年2月28日起施行的《刑法修正案（七）》第七条增设的规定和罪名，开始是两个罪名，分别是“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”。2015年11月1日起施行的《刑法修正案（九）》第十七条对本条作了修改，主要涉及三个方面：一是扩大了犯罪主体的范围，规定任何单位和个人违反国家有关规定，获取、出售或者提供公民个人信息，情节严重的，都构成犯罪；二是明确规定将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚；三是提升法定刑配置水平，增加规定“处三年以上七年以下有期徒刑，并处罚金”。修改后，原来的两个罪名整合为“侵犯公民个人信息罪”。
　　（一）客体要件
　　本罪侵犯的客体是公民的隐私权。当前，一些犯罪分子为追逐不法利益，利用互联网大肆倒卖公民个人信息，已逐渐形成庞大“地下产业”和黑色利益链。买卖的公民个人信息包括户籍、银行、电信开户资料等，涉及公民个人生活的方方面面。部分国家机关和金融、电信、交通、教育、医疗以及物业公司、房产中介、保险、快递等企事业单位的一些工作人员，将在履职或者提供服务过程中获取的公民个人信息出售、非法提供给他人。获取信息的中间商在互联网上建立数据平台，大肆出售信息牟取暴利。非法调查公司根据这些信息从事非法讨债、诈骗和敲诈勒索等违法犯罪活动。此类犯罪不仅严重危害公民的信息安全，而且极易引发多种犯罪，成为电信诈骗、网络诈骗以及滋扰型“软暴力”等新型犯罪的根源，甚至与绑架、敲诈勒索、暴力追债等犯罪活动相结合，影响人民群众安全感，威胁社会和谐稳定。为有效遏制、惩治侵害公民个人信息犯罪，切实保障广大人民群众的个人信息安全和合法权益，促进社会协调发展，维护社会和谐稳定，应当对这类侵害公民权益情节严重的行为追究刑事责任。
　　本罪的犯罪对象是公民的个人信息。包括外国人、无国籍人的个人信息。
　　“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
　　（二）客观要件
　　本罪在客观方面表现为违反国家有关规定，向他人出售或者提供公民个人信息；窃取或者以其他方法非法获取公民个人信息，情节严重的行为。
　　“违反国家有关规定”，是指违反法律、行政法规、部门规章有关公民个人信息保护的规定的。例如2007年1月1日起施行2024年11月8日修订的《反洗钱法》第七条规定：“对依法履行反洗钱职责或者义务获得的客户身份资料和交易信息、反洗钱调查信息等反洗钱信息，应当予以保密；非依法律规定，不得向任何单位和个人提供。反洗钱行政主管部门和其他依法负有反洗钱监督管理职责的部门履行反洗钱职责获得的客户身份资料和交易信息，只能用于反洗钱监督管理和行政调查工作。司法机关依照本法获得的客户身份资料和交易信息，只能用于反洗钱相关刑事诉讼。”此外，《商业银行法》《居民身份证法》《护照法》《消费者权益保护法》《旅游法》《社会保险法》《统计法》等法律也都有关于公民个人信息保护的规定。
　　“出售”，是指以营利为目的，以各种方式，通过各种途径以一定的价格卖出公民个人信息的行为。
　　“提供”，是指向他人提供公民个人信息,以及通过信息网络或者其他途径发布公民个人信息的行为。未经被收集者同意,将合法收集的公民个人信息向他人提供的,属于本条规定的“提供公民个人信息”,但是经过处理无法识别特定个人且不能复原的除外。
　　根据本条第二款的规定，违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚。这里履行职责或者提供服务过程中的主体范围，并不限于国家机关或者金融、电信、交通、教育、医疗等单位及其工作人员，而是指所有能够搜集到个人信息的单位及其从业人员。
　　“窃取”，是指采取秘密的方式，偷取包含有公民个人信息的文件、资料和其他物品的行为，窃取的形式包括：直接窃取，通过网络窃取；采用偷拍方式窃取等。窃取本身就是一种非法的手段，具有不正性。
　　“以其他方法非法获取”，是指违反国家有关规定,通过购买、收受、交换等方式获取公民个人信息的行为。
　　本罪是情节犯，实施了本条规定的行为，必须达到情节严重的，才能构成本罪。
　　根据2017年5月8日《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条第1款的规定：非法获取、出售或者提供公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一规定的“情节严重”：（1）出售或者提供行踪轨迹信息,被他人用于犯罪的；（2）知道或者应当知道他人利用公民个人信息实施犯罪,向其出售或者提供的；（3）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（4）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（5）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；（6）数量未达到第三项至第五项规定标准,但是按相应比例合计达到有关数量标准的；（7）违法所得五千元以上的；（8）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人,数量或者数额达到第三项至第七项规定标准一半以上的；（9）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚,又非法获取、出售或者提供公民个人信息的；（10）其他情节严重的情形。
　　该《解释》第6条规定：为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一规定的“情节严重”：（1）利用非法购买、收受的公民个人信息获利五万元以上的；（2）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚,又非法购买、收受公民个人信息的；（3）其他情节严重的情形。实施前款规定的行为,将购买、收受的公民个人信息非法出售或者提供的,定罪量刑标准适用本解释第五条的规定。
　　该《解释》第11条规定：非法获取公民个人信息后又出售或者提供的,公民个人信息的条数不重复计算。向不同单位或者个人分别出售、提供同一公民个人信息的,公民个人信息的条数累计计算。对批量公民个人信息的条数,根据查获的数量直接认定,但是有证据证明信息不真实或者重复的除外。
　　根据2013年7月19日《公安部关于公安机关处置信访活动中违法犯罪行为适用法律的指导意见》的规定：偷窥、偷拍、窃听、散布他人隐私，符合《治安管理处罚法》第四十二条第六项规定的，以侵犯隐私依法予以治安管理处罚；情节严重，符合《刑法》第二百五十三条之一第二款规定的，以非法获取公民个人信息罪追究刑事责任。
　　根据2016年12月19日《最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见》的规定：违反国家有关规定，向他人出售或者提供公民个人信息，窃取或者以其他方法非法获取公民个人信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。
　　根据2017年《公民个人信息解释》第8条的规定：设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组,情节严重的,应当依照刑法第二百八十七条之一的规定,以非法利用信息网络罪定罪处罚；同时构成侵犯公民个人信息罪的,依照侵犯公民个人信息罪定罪处罚。
　　该《解释》第9条规定：网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务,经监管部门责令采取改正措施而拒不改正,致使用户的公民个人信息泄露,造成严重后果的,应当依照刑法第二百八十六条之一的规定,以拒不履行信息网络安全管理义务罪定罪处罚。
　　根据2020年10月16日《最高人民法院、最高人民检察院、公安部办理跨境赌博犯罪案件若干问题的意见》的规定：为实施赌博犯罪，非法获取公民个人信息，或者向实施赌博犯罪者出售、提供公民个人信息，构成赌博犯罪共犯，同时构成侵犯公民个人信息罪的，依照处罚较重的规定定罪处罚。
　　根据2021年6月17日《最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（二）》的规定：非法获取、出售、提供具有信息发布、即时通讯、支付结算等功能的互联网账号密码、个人生物识别信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。
　　根据2023年9月20日《最高人民法院、最高人民检察院、公安部关于依法惩治网络暴力违法犯罪的指导意见》的规定：组织“人肉搜索”，违法收集并向不特定多数人发布公民个人信息，情节严重，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪定罪处罚；依照刑法和司法解释规定，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。
　　（三）主体要件
　　本罪的主体为一般主体，凡是达到刑事责任年龄、具有刑事责任能力的人均可构成本罪。单位也能成为本罪的主体。
　　（四）主观要件
　　本罪在主观方面表现为故意，过失不构成本罪。即行为人明知向他人出售或者提供公民个人信息；窃取或者以其他方法非法获取公民个人信息是违反国家规定的行为，仍故意为之。行为人主观上多以非法营利为目的，但除了出售行为以外，其他诸如提供、非法获取等均不要求以此为目的。
　　二、处罚
　　犯本罪的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
　　违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
　　单位犯本罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照本条的规定处罚。
　　“情节特别严重”，根据2017年《公民个人信息解释》第5条第2款的规定：非法获取、出售或者提供公民个人信息,具有下列情形之一的,应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：（1）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；（2）造成重大经济损失或者恶劣社会影响的；（3）数量或者数额达到前款第三项至第八项规定标准十倍以上的；（4）其他情节特别严重的情形。
　　该《解释》第10条规定：实施侵犯公民个人信息犯罪,不属于“情节特别严重”,行为人系初犯,全部退赃,并确有悔罪表现的,可以认定为情节轻微,不起诉或者免予刑事处罚；确有必要判处刑罚的,应当从宽处罚。
　　该《解释》第12条规定：对于侵犯公民个人信息犯罪,应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等,依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。
　　根据2023年《网络暴力意见》的规定：对网络暴力违法犯罪，应当体现从严惩治精神，让人民群众充分感受到公平正义。坚持严格执法司法，对于网络暴力违法犯罪，依法严肃追究，切实矫正“法不责众”的错误倾向。要重点打击恶意发起者、组织者、恶意推波助澜者以及屡教不改者。实施网络暴力违法犯罪，具有下列情形之一的，依法从重处罚：（1）针对未成年人、残疾人实施的；（2）组织“水军”、“打手”或者其他人员实施的；（3）编造“涉性”话题侵害他人人格尊严的；（4）利用“深度合成”等生成式人工智能技术发布违法信息的；（5）网络服务提供者发起、组织的。
　　根据2024年7月1日《最高人民法院、最高人民检察院关于常见犯罪的量刑指导意见（二）（试行）》的规定：
　　1.构成侵犯公民个人信息罪的，根据下列情形在相应的幅度内确定量刑起点：
　　（1）犯罪情节严重的，在一年以下有期徒刑、拘役幅度内确定量刑起点。
　　（2）情节特别严重的，在三年至四年有期徒刑幅度内确定量刑起点。
　　2.在量刑起点的基础上，根据非法获取、出售或者提供信息数量及类型、违法所得数额、危害后果等其他影响犯罪构成的犯罪事实增加刑罚量，确定基准刑。
　　3.违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，增加基准刑的10%—30%。
　　4.构成侵犯公民个人信息罪的，根据违法所得数额等犯罪情节，综合考虑被告人缴纳罚金的能力，决定罚金数额。
　　5.构成侵犯公民个人信息罪的，综合考虑非法获取、出售或者提供信息数量及类型、违法所得数额、危害后果、退赃退赔等犯罪事实、量刑情节，以及被告人的主观恶性、人身危险性、认罪悔罪表现等因素，决定缓刑的适用。
　　根据2024年10月15日《江苏省高级人民法院、江苏省人民检察院《关于常见犯罪的量刑指导意见（二）（试行）》实施细则（试行）》的规定：
　　1.构成侵犯公民个人信息罪的，具有下列情形之一，根据不同情形在相应的幅度内确定量刑起点。在量刑起点的基础上，根据非法获取、出售或者提供信息数量及类型、违法所得数额、危害后果等其他影响犯罪构成的犯罪事实增加刑罚量，确定基准刑：
　　（1）出售或者提供行踪轨迹信息，被他人用于实施一次犯罪的，在六个月至一年有期徒刑幅度内确定量刑起点，每增加一次上述行为并被他人用于犯罪，增加三个月至六个月刑期。
　　（2）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的，在六个月至一年有期徒刑幅度内确定量刑起点。
　　（3）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息达到50条的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点，每增加上述信息50条，增加三个月刑期。
　　（4）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息达到500条的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点，每增加上述信息500条，增加三个月刑期。
　　（5）非法获取、出售或者提供第（3）（4）项规定以外的公民个人信息达到5000条的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点，每增加上述信息5000条，增加三个月刑期。
　　（6）数量未达到第（3）项至第（5）项规定标准，但是按相应比例合计达到有关数量标准的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点。
　　（7）违法所得达到5000元的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点，每增加5000元，增加三个月刑期。
　　（8）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第（3）项至第（7）项规定标准一半的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点，数量或者数额每增加第（3）项至第（7）项规定标准的一半，增加三个月刑期。
　　（9）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，在六个月至九个月有期徒刑幅度内确定量刑起点。
　　（10）为合法经营活动而非法购买、收受第（3）（4）项以外的公民个人信息，且利用非法购买、收受的公民个人信息获利达到5万元的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点，每增加5万元，增加三个月刑期。
　　（11）为合法经营活动而非法购买、收受第（3）（4）项以外的公民个人信息，且曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的，在三个月拘役至九个月有期徒刑幅度内确定量刑起点。
　　2.构成侵犯公民个人信息罪的，具有下列情形之一，在三年至四年有期徒刑幅度内确定量刑起点：
　　（1）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；
　　（2）造成重大经济损失或者恶劣社会影响的；
　　（3）数量或者数额达到第1条第（3）项至第（8）项规定标准10倍以上的；
　　（4）其他情节特别严重的情形。
　　在量刑起点的基础上，根据非法获取、出售或者提供信息数量及类型、违法所得数额、危害后果等其他影响犯罪构成的犯罪事实增加刑罚量，确定基准刑：
　　（1）每增加造成一名被害人死亡的，增加一年至二年刑期；每增加造成一名被害人重伤、精神失常或被绑架等严重后果的，增加六个月至一年刑期。
　　（2）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息，每增加100条，增加一个月至三个月刑期。
　　（3）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息，每增加1000条，增加一个月至三个月刑期。
　　（4）非法获取、出售或者提供第（2）（3）项规定以外的公民个人信息，每增加1万条，增加一个月至三个月刑期。
　　（5）违法所得每增加5000元，增加一个月至三个月刑期。
　　（6）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额每增加第（2）项至第（5）项规定标准的一半，增加一个月至三个月刑期。
　　（7）其他可以增加刑罚量的情形。
　　3.非法获取、出售或者提供公民个人信息的条数和违法所得数额不得同时用以增加刑罚量，二者均明确的，以确定基准刑较重的标准计算。
　　4.有下列情形之一的，可以从重处罚，但已根据相关情节确定量刑起点和基准刑的除外；同时具有两种以上情形的，累计不得超过基准刑的100%：
　　（1）违反国家规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，增加基准刑的10%-30%；
　　（2）非法获取、出售或者提供未成年人或老年人个人信息，损害其合法权益的，增加基准刑的20%以下；
　　（3）设立专门用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组的，增加基准刑的20%以下；
　　（4）其他可以从重处罚的情形，增加基准刑的20%以下。
　　5.为合法经营活动而非法购买、收受公民个人信息的，可以减少基准刑的30%以下，但已根据相关情节确定量刑起点和基准刑的除外。
　　6.构成侵犯公民个人信息罪的，根据非法获取、出售或者提供信息的数量及类型、违法所得数额等犯罪情节，综合考虑被告人缴纳罚金的能力，一般在违法所得的一倍以上五倍以下决定罚金数额。
　　没有违法所得或者违法所得数额无法查实，单处罚金的，一般判处二千元以上三万元以下罚金；判处三年以下有期徒刑、拘役的，一般并处二千元以上五万元以下罚金；判处三年以上有期徒刑的，并处罚金一般不得低于一万元。
　　单位犯本罪，没有违法所得或者违法所得数额无法查实，情节严重的，一般判处五万元以上一百万元以下罚金；情节特别严重的，判处罚金一般不得低于二十万元。
　　单位犯罪中对单位判处罚金，罚金数额一般不得低于对直接负责的主管人员和其他直接责任人员判处的罚金数额。
　　7.构成侵犯公民个人信息罪的，综合考虑非法获取、出售或者提供信息数量及类型、犯罪手段、违法所得数额、危害后果、退赃退赔等犯罪事实、量刑情节，以及被告人的主观恶性、人身危险性、认罪悔罪表现等因素，决定缓刑的适用。
　　具有下列情形之一的，一般不适用缓刑：
　　（1）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；
　　（2）曾因侵犯公民个人信息受过刑事追究或者二年内受过行政处罚的；
　　（3）出售或者提供行踪轨迹信息，多次被他人用于犯罪的；
　　（4）非法获取、出售或者提供通信内容、征信信息、财产信息500条以上的；
　　（5）国家工作人员侵犯公民个人信息的；
　　（6）利用职业便利非法获取公民个人信息，或者将在履行职责、提供服务过程中获取的公民个人信息出售或者提供给他人的；
　　（7）其他不适用缓刑的情形。

　　【司法疑难解析】
　　1．侵犯公民个人信息罪的对象范围。侵犯公民个人信息罪的对象为公民个人信息。从司法实务反映的情况来看，应当妥善处理如下几个问题：
　　（1）关于公民个人信息的外延。由于对隐私信息存在不同认识，对“公民个人信息”的界定回避了这一概念，将其定义为能够“识别自然人个人身份”的各种信息。此处显然使用的是广义的“身份识别信息”的概念，既包括狭义的身份识别信息（能够识别出特定自然人身份的信息），也包括体现特定自然人活动的信息（例1：司法实践中常见的住宿记录、行踪轨迹信息等）。基于此，法释〔2017〕10号解释第一条明确公民个人信息的外延包括身份识别信息和活动情况信息。
　　（2）关于公民个人公开信息案件的处理。公民个人信息不要求具有个人隐私的特征。即便相关信息已经公开，不属于个人隐私的范畴，但仍有可能成为“公民个人信息”（例2：行为人从商贸网站和政府部门公开的企业信息网上搜集企业公开发布的信息，包括公司的名称、产品、经营行业、注册信息和公司法定代表人、联系人的姓名职务、联系方式等。行为人将上述信息存入数据库，供他人付费查询使用。）该案所涉及的自然人相关信息，虽然已经公开，不再具有隐私信息的特征，但仍然属于公民个人信息的范畴。然而，相关公民个人信息既然已经公开，获取行为无疑是合法的，但后续出售、提供的行为是否合法，是否构成侵犯公民个人信息罪，实务刑法评注主张区分情况处理：
　　①对于自行公开的或者其他已经合法公开的个人信息，行为人获取相关信息后出售、提供的行为，一般不宜以侵犯公民个人信息罪论处。对于公开的个人信息，由于信息已经处于公开状况，获取无须征得同意，对此应无疑义；但是，在获取相关公开信息后进而提供的行为，是否需要取得“二次授权”（即在获取相关信息后，提供相关信息需要告知同意），则存在较大争议。《民法典》为这一争议问题作了明晰，即否定”二次授权”的规则。《民法典》第一千零三十六条规定：“处理个人信息，有下列情形之一的，行为人不承担民事责任：……（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外……”（《个人信息保护法》第十条、第二十七条有类似规定）据此，对公开的个人信息的合理处理可以推定自然人概括同意，即除了“该自然人明确拒绝或者处理该信息侵害其重大利益的”情形外，不需要通知和征得该自然人或者其监护人同意。在处理相关刑事案件时，对于未通知并征得自然人同意而获取、提供公开的个人信息的案件，只要行为人的获取、提供行为处于“合理”限度之内，除证明该自然人明确拒绝或者相关获取、提供行为侵害了该自然人的重大利益的外，应当认为相关获取、提供的行为属于合法行为，不属于“违反国家有关规定”获取、提供公民个人信息的行为，更不应当认定为构成侵犯公民个人信息罪。此外，对于《民法典》第一千零三十六条第二项规定的“合理处理”的认定，应当采用相对宽泛的理解原则上，只要法律、法规没有明确禁止的处理行为，均可以认定为“合理处理”，至少不能认定为犯罪。基于此，对例2中的行为不以侵犯公民个人信息罪论处为宜。
　　②对于非法公开的个人信息，行为人获取相关信息后出售、提供的行为，可以根据情况以侵犯公民个人信息罪论处。实践中，有些公开信息并非权利人自愿公开，如个人信息被他人通过信息网络或者其他途径发布；有些信息的扩散并非权利人的意愿，如权利人发现个人信息被收集后主动要求行为人删除。上述情形中，获取相关信息的行为可以认定为合法，但后续的出售或者提供行为明显违背了权利人意愿，对其生活安宁造成侵犯，对其中情节严重的行为完全可以适用侵犯公民个人信息罪予以惩治。
　　（3）关于公民个人部分关联信息的认定。公民个人信息须与特定自然人关联，这是公民个人信息所具有的关键属性。需要注意的是，与特定自然人的关联，无论是识别特定自然人身份，还是反映特定自然人活动情况，都应当是能够单独或者与其他信息结合所具有的功能。例如，身份证号与公民个人身份一一对应，可以单独识别公民个人身份；而实践中常见的工作单位、家庭住址等公民个人信息，则通常难以单独识别公民个人身份，需要同其他信息结合才能识别公民个人身份。司法实务中的疑难问题是，对于不能单独识别特定自然人身份或者反映特定自然人的活动情况的部分关联信息中的哪些信息可以纳入“公民个人信息”的范畴，即公民个人信息所要求的可识别程度（注：与其他信息结合可以识别特定自然人的部分关联信息，无疑不能全部纳入“公民个人信息”的范畴。因为在大数据时代，就理论上而言，任何信息与其他足够多的信息相结合都可以识别特定自然人身份或者反映特定自然人的活动情况。所以，必须为可以纳入 “公民个人信息”范畴的部分关联信息划定界限。），实践中存在不同认识。［例3：行为人系医药代表，基于对医生给予回扣的目的，从医院计算机主管处非法获取了有关病床使用其负责销售的药品情况。相关信息只涉及病床号（相应病床由特定医生负责）和使用特定药品情况，无病人姓名、身份证号等其他个人信息］评注主张，在司法适用中具体判断部分关联信息是否可以认定为“公民个人信息”时，可以如下三个方面加以判：A.信息本身的重要程度。如果涉案的信息与人身安全、财产安全密切相关，敏感程度较高，则认定该类信息是否属于“公民个人信息”可以采取相对宽泛的标准。B．需要结合的其他信息的程度。如果涉案信息本身与特定自然人的身份、活动情况关联程度高，需要结合的其他信息相对较少，则认定为“公民个人信息”的可能性较大；反之，如果需要结合的其他信息过多，则认定为“公民个人信息”的可能性较小。C．行为人主观目的。如果行为人主观上获取涉案信息就不需要识别特定自然人身份或者反映特定自然人活动情况，则此类部分关联信息原则上不宜认定为“公民个人信息”。按照以上原则，例3所涉信息不宜纳入“公民个人信息”的范畴。主要考虑如下：该案涉及的病床号、用药情况等信息本身与权利人的人身安全、财产安全关联不大，敏感性程度较低，将其认定为公民个人信息宜从严把握；该案涉及的病床号、用药情况等信息无法直接识别特定自然人，需要结合姓名等其他重要个人信息或者较多其他个人信息才能识别特定自然人；从行为人的主观目的来看，其就是想获取特定病床号的用药情况，至于该病床所关联的具体自然人并非其主观所追求的。
　　（4）关于1P地址、设备ID等信息和cookie信息等电子信息的归属一问题在实践中存在较大争议。以cookie信息为例，用户的cookie信息反映了网络用户的网络活动轨迹及上网偏好，具有隐私属性，但是否属于公民个人信息存在不同认识对于上述问题，本评注主张不作一概而论，应当根据案件具体情况作出判断。申言之，应当根据公民个人信息所有具有的“识别特定自然人身份或者反映特定自然人活动情况”这一关键属性，对上述信息是否属于公民个人信息作出判断。
　　2．侵犯公民个人信息罪的定罪量刑标准。法释〔2017〕10号解释第五条至第七条对侵犯公民个人信息罪的定罪量刑标准作了明确。从司法实践适用上述定罪量刑标准的情况来看，本评注主张应当妥当把握公民个人敏感信息的范围。基于不同类型公民个人信息的重要程度，法释〔2017〕10号解释第五条分别设置了“五十条以上”“五百条以上”“五千条以上”的入罪标准。对于侵犯公民个人敏感信息的行为之所以设置不同于一般公民个人信息的入罪标准，就在于敏感信息涉及人身安全和财产安全，其被非法获取出售或者提供后极易引发盗窃、诈骗、敲诈勒索等关联犯罪，具有更大的社会危害性。这是认定公民个人敏感信息应当考量的关键因素。整体而言，对于公民个人敏感信息的认定宜从严把握，严格限制其范围。对于行踪轨迹信息，只宜理解为手机定位信息、车辆轨迹信息等可以直接定位特定自然人具体坐标的信息。行踪轨迹信息不等于涉及轨迹的信息，而应当理解为涉及轨迹的实时信息。广义上而言，涉及轨迹的信息范围较宽（例4：行为人设立钓鱼网站，获取他人的12306账户名和密码，进而获取了他人的火车票信息。火车票载明了姓名、车次、时间、起始站点等信息）行为人获取他人火车票信息后，可以根据火车票载明的信息判断出他人的行踪情况，但是，相关轨迹信息并非实时信息，故应当排除在行踪轨迹信息的范围之外。而且，通常而言，敏感信息特别是高度敏感信息的交易价格要远远高于一般公民个人信息。从实践来看，行踪轨迹信息直接涉及人身安全，敏感程度最高，就交易价格而言通常是最为昂贵的信息类型。与之类似，涉案信息的获取渠道也是判断敏感信息的重要因素。由于敏感信息直接涉及公民个人人身安全和财产安全，敏感程度高，获取的途径相对困难对于可以批量获取的信息，由于获取相对容易，认定为敏感信息应特别慎重。与行踪轨迹信息的认定类似，“财产信息”亦不等于“涉财产信息”，判断的关键为是否危及人身财产安全，辅之以信息获取渠道、交易价格信息流向等考量因素（例5：行为人从车辆管理机构工作人员处非法购买车辆信息，具体涉及车主车辆型号、发动机号、联系电话等信息。行为人购买上述信息后，拨打车主电话推销车辆保险。）行为人获取的车辆相关信息确实较为具体，符合“财产信息”的一般特征，但行为人的主观目的就是为了推销车辆保险，非用于实施针对人身或者财产的侵害行为，按照本评注的见解，对其适用一般公民个人信息的入罪标准更为妥当同理，对于房地产中介等将房产信息非法提供给装修公司，主要用于推销业务，不太可能涉及侵犯人财产权利的，通常也不宜将相关信息纳入“财产信息”范畴。
　　3．非法持有和使用公民个人信息的处理。本评注主张：（1）将自己掌握的公民个人信息（包括合法获取或者非法获取的公民个人信息）非法使用的行为，不能直接依据刑法第二百五十三条之一的规定入罪，但并不意味着不能依据相关行为的刑事违法程度予以刑事惩治：如果行为人所掌握的公民个人信息系窃取或者以其他方法非法获取的，可以对非法获取行为适用侵犯公民个人信息罪；如果非法使用所掌握公民个人信息，实施诈骗、敲诈勒索等其他犯罪行为的，可以依据其他犯罪论处。（2）《刑法》第二百五十三条之一只是将非法获取、出售、提供公民个人信息的行为入罪，对于实践中业已出现的非法持有大量公民个人信息案件，如果根据在案证据，适当运用推定规则，证明涉案公民个人信息系非法获取或者用于非法出售、提供的则可以适用侵犯公民个人信息罪定罪处罚。
　　4．公民个人信息的数量计算。根据法释〔2017〕10号解释的规定，结合司法实践的情况，本评注主张对涉案公民个人信息的数量应当按照如下规则把握：（1）公民个人信息的条数计算。关于公民个人信息的条数计算，司法解释未作专门规定。实践中可以综合考虑实践交易规则和习惯，准确认定公民个人信息的条数。例如，同一条信息涉及家庭住址、银行卡信息、电话号码等多类别个人信息，如果是按照一条公民个人信息来交易的，则往往会认定为一条公民个人信息。实际上，刑参第741号案例也主张对公民个人信息的数量认定按照实际情况区别对待、妥当计算。此外，有些情形下“一条”公民个人信息应当理解为“一组”公民个人信息。例如，公民个人的银行账户、支付结算账户、证券期货等金融服务账户的身份认证信息，应当理解为一组确认用户操作权限的数据，包括账号口令、密码数字证书等，而非单个数据。（2）针对同一对象非法获取公民信息后又出售或者提供，以及向不同对象出售或者提供公民个人信息的数量计算规则，应当分别按照法释〔2017〕10号解释第十一条第一款、第二款的规定处理。（3）对批量公民个人信息的条数，可以按照法释〔2017〕10号解释第十一条第一款、第二款的规定认定，但是仍然应当要求作去重处理，对于明显重复的信息应当予以排除此外，需要强调的是，对于敏感公民个人信息不宜适用该款规定，而应当逐一认定。主要考虑如下：其一，从司法实践来看，一般公民个人信息的价格相对较低，甚至不会按条计价，故要求逐一认定不具有可操作性；而公民个人敏感信息价格通常较高，通常按条计价，逐条认定不存在难题；其二，涉敏感信息的案件入罪标准较低，五十条或者五百条即达到入罪标准为此，对于此类案件要求逐一认定敏感信息的数最，对于确保定罪量刑的准确，完全必要。

【刑法规定】

一、刑法规定
　　第二百五十三条之一　违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
　　违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
　　窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
　　单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

　　二、刑法原规定
　　新增加

　　三、刑法修正案规定
　　1.《中华人民共和国刑法修正案（七）》
　　七、在刑法第二百五十三条后增加一条，作为第二百五十三条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。
　　“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。
　　“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”

　　2.《中华人民共和国刑法修正案（九）》
　　十七、将刑法第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
　　“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
　　“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
　　“单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”

【相关规定】

【相关案例】

【相关观点】