引言
“转发一份业主名单、查询一次行踪轨迹、倒卖一批客户电话，为什么会被追究侵犯公民个人信息罪的刑事责任”，这是江西吉安刑事律师在接待咨询时最常被问及的问题之一。随着数字经济的快速发展，个人信息成为重要的商业资源，围绕个人信息收集、交换、买卖形成的灰色产业链不断延伸，电信网络诈骗、恶意讨债、精准营销骚扰等下游乱象屡禁不止。立法层面，2009年《刑法修正案（七）》首次增设本罪，2015年《刑法修正案（九）》将其修订整合为侵犯公民个人信息罪，扩展了犯罪主体与行为方式；2017年最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）进一步细化了“公民个人信息”的范围与入罪标准；《个人信息保护法》《网络安全法》则从行政法源层面构筑了个人信息处理的基本规则。本文围绕本罪的认定逻辑与辩护路径展开系统解析。
一、法律依据与立法沿革
本罪的核心法源是《中华人民共和国刑法》第二百五十三条之一。该条经2009年《刑法修正案（七）》增设、2015年《刑法修正案（九）》修订，形成了现行四款结构：第一款规定违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的刑事责任；第二款规定将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，依照第一款规定从重处罚；第三款规定窃取或者以其他方法非法获取公民个人信息的，依照第一款规定处罚；第四款确立单位犯罪的双罚制。法定刑分为两档：情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
在规范供给上，法释〔2017〕10号司法解释解决了“公民个人信息”界定、入罪数量标准、批量信息认定等实务难题，是目前办理本罪最直接的操作依据。2021年施行的《个人信息保护法》确立了告知同意、目的限定、最小必要等个人信息处理规则，《网络安全法》对网络运营者收集、使用个人信息提出了合规要求。这两部法律虽然属于行政法源，但它们划定了个人信息处理的合法边界，是判断行为是否“违反国家有关规定”的重要参照，也是企业数据合规的底线标准。
二、“公民个人信息”的刑法界定
法释〔2017〕10号第一条规定：公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。这一定义包含两个功能维度：一是识别特定自然人身份，二是反映特定自然人活动情况。
实务中尤其需要关注“单独或者与其他信息结合”这一动态识别标准。单条碎片信息看似不能识别特定个人，但多条信息聚合之后能够锁定唯一自然人的，同样落入刑法保护范围。反之，经过匿名化、去标识化处理，无法识别特定个人且不能复原的数据，不属于刑法意义上的公民个人信息，这是数据交易合规的重要出罪通道。此外，司法解释按照敏感程度将信息分为三档：行踪轨迹信息、通信内容、征信信息、财产信息为第一档；住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的信息为第二档；其余为第三档一般信息。三档信息分别对应不同的入罪数量门槛，信息类型的档位认定直接决定罪与非罪，是控辩双方争执最激烈的环节。
三、三种法定行为方式
本罪的行为方式可以归纳为三种类型。第一种是违反国家有关规定，向他人出售或者提供公民个人信息。“出售”以获利为特征易于识别；“提供”的外延则更为宽泛，既包括向特定人提供，也包括通过信息网络或者其他途径发布——将含有个人信息的名单、表格发布于网络群组、公开平台，同样属于刑法意义上的“提供”。未经被收集者同意，将合法收集的公民个人信息向他人提供的，也属于非法提供，但经过处理无法识别特定个人且不能复原的除外。
第二种是违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人。银行、电信、快递、医疗、教育、房产中介等机构及其从业人员，因职务便利合法掌握了大量个人信息，一旦向外流转，法律配置了从重处罚的法定情节。此类主体的合规责任明显重于普通主体，也是近年来刑事打击的重点区域。
第三种是窃取或者以其他方法非法获取公民个人信息。典型手段包括侵入计算机信息系统窃取、利用爬虫程序违规抓取、骗取、交换、非法购买等。需要注意，非法购买本身就是“以其他方法非法获取”的一种常见形态，买方与卖方分别构成非法获取与出售两种行为，形成对向性结构。
四、入罪标准与“情节特别严重”的认定
法释〔2017〕10号第五条确立了本罪的量化入罪标准：非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的公民个人信息五百条以上的；非法获取、出售或者提供其他公民个人信息五千条以上的；违法所得五千元以上的，均属于“情节严重”。同种性质的信息数量累计计算，不同类型的信息数量则按照相应比例折算后合计，达到相应标准的同样入罪。
“情节特别严重”包括三种情形：一是数量或者数额达到入罪标准十倍以上，即敏感信息五百条、次敏感信息五千条、一般信息五万条，或者违法所得五万元以上；二是造成重大经济损失或者恶劣社会影响的；三是造成被害人死亡、重伤、精神失常或者被绑架等严重后果的。第三种情形通常发生在行踪轨迹信息被出售给讨债团伙、绑架者等下游犯罪的场合，行为人对下游犯罪的参与程度、主观明知范围，直接决定其是仅对本罪负责还是被评价为下游犯罪的共犯。
在数量认定上，司法解释第十一条确立了批量信息的推定规则：对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。海量数据逐条核实既不可能也无必要，法律因此允许推定，但为辩护方保留了反证空间——通过去重鉴定、有效性审查，完全可以实现数量的实质性核减。
五、“违反国家有关规定”的规范边界
“违反国家有关规定”是本罪构成要件中的规范性要素，决定行为违法性的有无。法释〔2017〕10号第四条明确：违反国家有关规定，是指违反法律、行政法规、部门规章有关公民个人信息保护的规定。也就是说，本罪的违法性判断依据限于法律、行政法规、部门规章三个位阶，地方性法规、地方政府规章以及其他规范性文件、行业内部规定，均不能单独作为认定“违反国家有关规定”的依据。
这一限定具有重要的辩护价值。如果办案机关指控的违法性依据仅是地方性文件、内部管理规范或者平台协议，而未落实到《个人信息保护法》《网络安全法》等具体法律条文，则构成要件存在缺口。同时，《个人信息保护法》确立的告知同意规则与最小必要原则，为判断信息处理行为是否越界提供了具体标尺：经过信息主体同意、在告知范围内流转的信息，原则上不具有刑事违法性。
六、辩护要点与实务路径
结合办案实践，本罪的辩护可以从以下六个方向展开。第一，信息类型认定辩护。五十条与五千条之间相差百倍，信息类型的档位认定对定罪量刑具有决定性影响。辩护律师应当对查获信息逐条审查，主张将行踪轨迹、财产信息等敏感信息降格为一般信息认定，例如将“通话记录”与“通信内容”严格区分，仅有号码与通话时间而无通话内容的，不应适用通信内容的五十条标准。
第二，数量计算辩护。申请对电子数据去重鉴定，剔除重复信息、无效信息、无法识别特定个人的信息；同一信息在多个存储介质中反复出现的，应认定为一条而非多条。批量信息推定规则允许反证，鉴定意见与比对结果是核减数量的核心武器，数量从五万条以上降档至五万条以下，意味着“情节特别严重”直接降为“情节严重”，量刑档次从三到七年降至三年以下。
第三，违法所得认定辩护。审查办案机关是否将银行流水、交易金额整体误计为违法所得，违法所得应当以实际获利认定，必要时应当扣除合理成本支出。第四，合法经营活动中的信息使用辩护。司法解释第六条为合法经营者设置了特殊的入罪门槛：为合法经营活动而非法购买、收受一般信息的，须获利五千元以上方追究刑责；购买、收受敏感信息的，也须具备特定情形方可处理。房产中介、装修公司、教育培训机构购买业主名单、客户名单用于正常经营的，可以据此争取出罪或者不起诉。
第五，主观明知辩护。对提供技术支持、平台服务、数据存储的中立帮助行为，重点审查行为人是否明知他人利用信息实施犯罪，防止客观归罪。第六，单位犯罪与自然人犯罪之辨。以单位名义、为单位利益、违法所得归单位所有的，应当主张单位犯罪，一方面限缩直接责任人员的范围，另一方面为普通员工争取不受追究。此外，删除信息、销毁存储介质、初犯、全部退赃、认罪认罚等法定酌定从宽情节，应当在辩护中充分运用。
七、江西吉安地区的辩护实践
吉安地区近年来办理的侵犯公民个人信息案件，多集中于房产中介与装修行业购买业主信息、通信营业厅人员查询出售客户信息、企业人员倒卖业务数据等类型，呈现出主体多元、链条隐蔽、数量庞大的特点。吉安刑事律师在办理此类案件时，普遍需要面对海量电子数据的审查压力，去重鉴定与信息类型甄别往往是案件的胜负手。
【示意案例一】吉安某县城房产中介业务员为招揽装修合作业务，从上家购买业主姓名与电话信息三千余条。辩护律师提出，涉案信息不含身份证号、财产状况等敏感内容，属于第五项“其他公民个人信息”，未达到五千条的入罪数量；行为人系为合法经营活动而非法购买，获利不足五千元，依据司法解释第六条的特殊标准亦不构成犯罪。检察机关审查后依法作出不起诉决定。本案提示，合法经营者的入罪门槛显著高于一般主体，数量与获利的双重审查缺一不可。
【示意案例二】某通信营业厅营业员利用职务便利查询客户信息并出售，办案机关按查获数量指控二万余条，主张“情节特别严重”。辩护律师申请对电子数据去重鉴定，剔除同一信息在聊天记录、网盘、回收站中的重复存储以及无法核实的无效号码后，有效信息核定为六千余条，未达十倍标准。法院最终在“情节严重”量刑档内从轻处罚并适用缓刑。本案提示，批量信息推定规则的反证条款是降档辩护的关键路径。
【示意案例三】某网络公司程序员受雇开发数据采集程序，被指控为他人非法获取个人信息提供技术帮助。辩护律师提出，程序本身具有中立性，委托方以正常商业合作名义提出需求，现有证据不能证明被告人明知所采集信息将用于违法犯罪，且涉案采集行为部分基于公开数据。经多次沟通，办案机关对被告人作出有利于其的处理决定。本案提示，中立技术帮助行为的主观明知必须严格证明，不能以客观结果倒推主观罪责。
结语
“侵犯公民个人信息罪的认定与辩护”，归根结底是围绕信息类型、数量、违法所得与主观明知四个变量展开的法律判断。立法通过《刑法》第二百五十三条之一与法释〔2017〕10号搭建了精细的量化规则，五十条、五百条、五千条的三档门槛与十倍的特别严重标准，使得本罪的辩护空间高度技术化；《个人信息保护法》《网络安全法》确立的合规规则，则为企业和从业者提供了出罪的合规通道。对于辩护律师而言，从信息类型降格、数量去重核减、违法所得剔除、合法经营特殊标准、主观明知证伪、单位犯罪之辨六个维度系统切入，是争取罪与非罪、重罪与轻罪之间有利结果的关键。作为一名靠谱刑事律师，应当始终坚持“以事实为依据、以法律为准绳”，在电子数据鉴定、信息类型甄别等每一个证据细节中挖掘辩护空间。江西吉泰律师事务所王吉成律师在网络犯罪案件办理实务中，注重从电子数据合法性审查、信息类型与数量鉴定、合规边界论证等关键点入手，为当事人争取依法从宽的处理结果。如需专业法律帮助，欢迎致电183-0796-5661或添加微信lawyer_wang_zz咨询。需要特别声明的是，本文所引案例均为示意性、概括性描述，不指向任何真实案件、案号或裁判文书，仅用于法律逻辑的阐述。涉及具体案件时，仍需结合案件全部事实与证据进行专业、精细的应对。
免责声明： 本文仅为普法性探讨，不构成具体案件的法律意见。如您面临具体法律问题，建议及时咨询专业律师获取针对性的法律服务。
联系方式：
• 咨询电话： 183-0796-5661
• 微信号： lawyer_wang_zz
• 办公地址： 江西省吉安市吉州区平园路9号金光道大厦19楼
• 执业机构： 江西吉泰律师事务所
律师提示：本文仅为普法性探讨，不构成具体案件的法律意见。如您面临具体法律问题，建议及时咨询专业律师获取针对性的法律服务。