最高人民法院、最高人民检察院于2017 年5 月8 日联合颁行了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）。《解释》对《刑法》第253 条之一规定的侵犯公民个人信息罪的理解与适用问题作出了明确而详尽的细化规定，在一定程度上厘清了该罪设立以来所凸显的司法争议和疑难问题，有助于促进相关刑事司法的统一性和准确性。

新通过的《刑法修正案（九）》第17条仍未清晰界定公民个人信息的内涵与外延，因此对于“公民”、“个人信息”等概念仍然存在适用上的问题。关于个人信息的范围，理论与实务界有很大的分歧。

《刑法修正案（九）》虽然将犯罪对象由原来局限在“个人或单位在履职或提供服务过程中获得的个人信息”扩大到“一般意义上的个人信息”，但依然没有改变个人信息界定不清晰的现状，因此亟待立法机关以法律或法律解释的方式来明晰其定义。

目前，各地法院认定的公民个人信息范围非常广泛，包括公民身份信息、车辆信息、房产信息、手机定位信息、护照信息、旅馆业旅客入住信息、乘客数据信息、淘宝买家信息、公司客户（会员）信息、学生信息、新出生婴儿信息、残疾人信息、精神病人信息以及已故人员家属信息等。

根据法条对罪状的表述，侵犯公民个人信息罪的危害行为可归纳为两种：一是违反国家有关规定，出售、提供公民个人信息；二是窃取或者以其他非法方法获取公民个人信息。

（一）对“出售、提供”行为的认定

1.“违反国家有关规定”的理解

出售、提供公民个人信息行为作为本罪的犯罪客观方面的前提是“违反国家规定”，是本罪犯罪构成的重要要素。刑法对“国家规定”具体包括两个方面：一是违反最高国家权力机关制定的有关规定，即违反全国人大及其常务委员会制定的法律和决定，包括由全国人民代表大会通过的宪法和法律，由全国人大常委会通过的法律以及带有单行法规性质的决定或者对现行法律作出某些修改、补充的规定。二是违反以国务院名义制定或发布的行政法规、规定的行政措施、发布的决定和命令或法规文件。而根据司法解释的表述，“违反国家规定”是指违反法律、行政法规、部门规章有关公民个人信息保护的规定。

2.“出售”与“提供”行为的比较与认定

“出售”在商品交易市场中非常常见，一般指有偿转让。本罪中的出售是指行为人违反国家有关规定将公民个人信息通过有偿转让的形式提供给他人，强调以牟利为目的。事实上是否获得财产利益在所不问，所获利益是否对价也不影响定罪，但可能会影响量刑。个人信息潜在的价值是巨大的，但谁也无法准确衡量个人信息本身的财产价值，也就无所谓对价。并且将具有人格权属性的个人信息权赋予可以用金钱衡量的对价，强调公平交易，是在变相承认个人信息的流通性和可交易性，会更加刺激个人信息犯罪行为的发生，对保护公民个人信息极为不利。

“提供”是指将自己获取、接触到的个人信息向特定人或者通过信息网络或者其他途径向不特定人发布的行为，属于不应提供给他人情况下提供的行为。

（二）对“窃取或者以其他非法方法获取”行为的认定

1.“窃取”行为的认定

首先，窃取个人信息的方式可以以偷拍、偷窥、拷贝、传输等难以被人发现的秘密手段毋容置疑。但是在互联网时代，有些个人信息储存在云盘、网盘，只要他人知晓链接与密码或者对电脑比较熟稔便能随时随地窃取个人信息。其次，行为人可能直接拿走记录个人信息的载体，也可能不需要载体直接利用技术获取信息本身，或利用记忆完成获取，也就无法断定行为人有没有被发现或者有无意识到被发现。最后，“窃取”行为最重要的是行为人违反信息主体的意志，侵犯信息主体的信息自决权。

2.“以其他方法非法获取”行为的理解

刑法将“窃取”与“以其他方法非法获取”并列表述，一方面是列举加概括的表述体现法律简明、准确的要求；另一方面是为司法实务留有自由裁量权。现实中以其他方法侵犯公民个人信息的行为不胜枚举，伴随社会的发展只会有增无减。法律具有滞后性，但通过“以其他方法非法获取”的概括性总结并根据需要出台相关司法解释可以适当减弱这种滞后性带来的与现实脱节的不利后果。

由于侵犯公民个人信息罪属于情节犯，因此要成立该罪还要满足“情节严重”的要求。从现有裁判文书来看，司法机关在认定“情节严重”时主要考虑以下因素。

一是涉案公民个人信息的数量。这是绝大多数裁判文书所采用的认定犯罪标准。

二是行为人非法获利的数额。有判决并未明确涉案的公民个人信息数量， 而是将被告人非法处置公民个人信息后所获得的利益作为（如出售个人信息获利等）定罪的依据。

三是信息数量+非法获利数额，即行为人既实施了侵犯公民个人信息的行为， 又通过与信息有关联的行为非法获取利益，综合考虑信息数量和获利情形。

（一）对“情节严重”认定标准的理解

《刑法》第253 条之一明确规定，“情节严重”是构成侵犯公民个人信息罪的必备要件，但并未明确规定“情节严重”的具体认定标准，有可能导致司法实践中产生适用标准不一或者“同罪不同罚”的现象。《解释》根据信息用途、信息类型和数量、违法所得数额、主体身份、违法犯罪次数和时间等情况，对“情节严重”进行了较为详细的规定，确定了统一的适用标准。

1.根据信息用途认定“情节严重”。

《解释》明确规定，“出售或者提供行踪轨迹信息，被他人用于犯罪的”以及“知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的”这两种情形，应当被认定为“情节严重”。这两种情形主要根据出售或者提供对象对信息的用途（即被他人利用实施犯罪），同时结合信息种类来确定判断标准。

2.根据信息类型和数量认定“情节严重”。

其一，对于行踪轨迹信息、通信内容、征信信息、财产信息，认定“情节严重”的标准是“50 条以上”。其二，对于住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的公民个人信息，认定“情节严重”的标准是“500 条以上”。上述两种情况涉及的信息都是与公民人身安全和财产安全密切相关的信息，也是最容易被犯罪分子利用进行诈骗、敲诈勒索等犯罪的信息，因此《解释》对侵犯此类信息的行为规定了较低的入罪门槛。

3.根据其他标准认定“情节严重”。

《解释》将“违法所得5000 元以上”作为认定“情节严重”的标准。需要指出的是，《解释》对特殊主体规定了与一般主体不同的数额标准。《刑法》第253 条之一将非法“提供公民个人信息”分为两种：一种是“违反国家有关规定，向他人出售或者提供公民个人信息”；另一种是“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的”。《解释》明确规定，后者的入罪数量或者数额为前者标准的一半。

（二）对“情节特别严重”认定标准的理解

我国《刑法》对于侵犯公民个人信息罪明确规定了两档法定刑：即“情节严重”和“情节特别严重”。与“情节严重”相同，《解释》从犯罪后果及数量数额等方面对刑法条文中“情节特别严重”的认定规定了详细的标准。《解释》规定了“造成被害人死亡、重伤、精神失常或者被绑架等严重后果的”以及“造成重大经济损失或者恶劣社会影响的”，应当认定为“情节特别严重”。

同时《解释》将数量或数额达到前款“情节严重”标准10倍以上作为认定“情节特别严重”的标准。