引言
“我们只是做电话营销，买了一份客户名单，这也算犯罪吗？”“数据已经脱敏处理过了，怎么还被鉴定成公民个人信息？”“用户在APP上已经点了同意，为什么还说我违法收集？”“条数怎么会这么多，里面一大半是空号！”这是近年来侵犯公民个人信息罪案件中当事人及其家属最常提出的疑问，也折射出“情节严重”的数量数额标准、信息条数的核减规则、为合法经营活动的合规抗辩等环节在辩护中的关键作用。侵犯公民个人信息罪规定于《中华人民共和国刑法（2023修正）》分则第四章侵犯公民人身权利、民主权利罪之中，是数据时代高发的网络犯罪类型之一。本文依据现行有效的《刑法》第二百五十三条之一、两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）、《中华人民共和国个人信息保护法》，从立法定位与构成要件、情节标准的认定、信息条数的认定与核减、合规抗辩与出罪路径、辩护要点的系统展开五个维度作系统解析，为当事人及家属提供可操作的辩护思路。作为长期在江西吉安及周边地区办理刑事案件的吉安刑事律师，笔者结合实务经验对侵犯公民个人信息罪辩护的实务规律作系统梳理。
一、 侵犯公民个人信息罪的立法定位与构成要件
侵犯公民个人信息罪是《刑法》分则第四章规定的重要罪名，该罪名经《刑法修正案（七）》增设、《刑法修正案（九）》修改完善，体现了刑法对公民个人信息安全的严密保护。准确把握构成要件，是辩护的逻辑起点。
《刑法》第二百五十三条之一规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”
两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）对构成要件作出了如下细化规定：第一条界定“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。第二条明确“违反国家有关规定”是指违反法律、行政法规、部门规章有关公民个人信息保护的规定。第三条规定，向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为“提供公民个人信息”；未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。第四条明确，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于“以其他方法非法获取公民个人信息”。构成要件的审查应当把握三个核心要点：第一个要点， 信息属性。涉案数据必须能够识别特定自然人身份或者反映其活动情况，无法识别特定个人的匿名化数据不属于刑法意义上的公民个人信息。第二个要点， 行为方式。出售、提供、非法获取三类行为的事实与证据应当分别审查，逐一印证。第三个要点， 情节标准。“情节严重”是入罪门槛，需以司法解释规定的数量、数额标准具体衡量。
二、 “情节严重”与“情节特别严重”的认定标准
“情节严重”是本罪的入罪门槛，“情节特别严重”是法定刑升格条件。准确把握情节标准，是量刑辩护的核心环节。
依据法释〔2017〕10号第五条，“情节严重”包括十项情形：（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；（七）违法所得五千元以上的；（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；（十）其他情节严重的情形。
该条同时规定，“情节特别严重”包括：（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；（二）造成重大经济损失或者恶劣社会影响的；（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；（四）其他情节特别严重的情形。
辩护律师在情节标准上应当把握以下三个审查要点：第一， 精准归类。不同类型信息的数量标准差别悬殊，敏感信息五十条即入罪，一般信息需五千条，归类错误将直接影响情节认定。第二， 逐项比照。对“按相应比例合计”的适用应当逐类核验占比计算是否准确。第三， 数额审查。对违法所得的计算依据、计算口径逐笔核对，剔除成本、重复计算等不应计入的部分。情节标准之辩直接决定量刑档次，是辩护工作的重中之重。
三、 信息条数的认定与核减
信息条数直接决定是否达到“情节严重”“情节特别严重”的数量标准，是侵犯公民个人信息罪辩护中最具操作价值的核减对象。
依据法释〔2017〕10号第十一条：非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算；向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算；对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。
条数核减的辩护审查要点应当把握以下六个方面：第一，审查信息是否真实有效，剔除空号、错号、已注销、明显虚假的条目。第二，审查信息是否重复，同一自然人的同一条信息在获取、出售、提供等环节被重复计数的，应当核减。第三，审查信息能否识别特定自然人，经过匿名化、去标识化处理，无法识别特定个人且不能复原的，不属于刑法保护的公民个人信息。第四，审查信息类别归类是否准确，敏感信息与一般信息的数量标准相差悬殊。第五，审查电子数据的提取、固定与鉴定程序是否合法，抽样方法、统计方法是否科学，必要时申请重新鉴定或者补充鉴定。第六，审查“按相应比例合计”的适用是否准确，各类信息占比计算是否符合司法解释规定。司法实践中，辩护律师应当申请查阅电子数据检查笔录与鉴定底稿，逐类、逐条核对，把条数核减作为降低量刑档次的突破口。
四、 合规抗辩与出罪路径
侵犯公民个人信息罪存在多条合规抗辩与出罪路径，辩护律师应当结合案件事实精准适用。
路径一， 合法收集且已获同意的抗辩。依据司法解释第三条，未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外；换言之，经有效同意或者经匿名化处理无法识别特定个人且不能复原的，不构成“提供”。
路径二， 为合法经营活动的出罪抗辩。依据司法解释第六条，为合法经营活动而非法购买、收受第五条第一款第三项、第四项规定以外的公民个人信息，只有利用非法购买、收受的信息获利五万元以上，或者曾因侵犯公民个人信息受过刑事处罚、二年内受过行政处罚又非法购买、收受，或者具有其他情节严重情形的，才认定为“情节严重”；不符合上述情形的，不构成本罪。但需要特别注意，一旦将购买、收受的信息非法出售或者提供，定罪量刑标准回归第五条的一般规定。
路径三， 情节轻微不起诉。依据司法解释第十条，实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。
路径四， 企业数据合规抗辩。《中华人民共和国个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。企业建立告知同意、最小必要、权限管理、去标识化处理、审计留痕的合规体系，可以形成抗辩的事实基础，并结合涉案企业合规改革争取合规不起诉或者从宽处理。
五、 辩护要点的系统展开
侵犯公民个人信息罪辩护是一项高度专业化的工作，涉及信息属性、行为方式、情节标准、条数核减、合规抗辩等多个层面。辩护律师应当从以下五个方面系统展开辩护实务操作：
第一， 信息属性与条数的精细化核减。审查涉案数据能否识别特定自然人、是否经过匿名化处理、是否真实、是否重复、归类是否准确，通过逐条核对与重新鉴定争取核减条数，降低情节档次。
第二， 行为方式的精细化审查。区分出售、提供、非法获取三种行为类型，审查“提供”是否经同意、是否属于匿名化除外情形，审查“非法获取”是否违反国家有关规定，审查是否存在司法解释第八条规定的非法利用信息网络罪竞合情形，准确选择对当事人最有利的定性。
第三， 情节标准的精细化辩护。逐项比照第五条各项数量、数额、比例标准，审查敏感信息与一般信息的归类，审查违法所得数额的计算依据，审查“情节特别严重”的十倍标准是否成立。
第四， 主观明知与目的之精细化审查。审查行为人主观上是否明知他人利用信息实施犯罪，审查是否属于为合法经营活动而购买、收受，审查单位犯罪中直接负责的主管人员与其他直接责任人员的地位作用。
第五， 量刑与出罪情节的精细化把握。争取解释第十条规定的初犯、全部退赃、确有悔罪表现的情节轻微认定，结合认罪认罚从宽制度与罚金刑适用规则（罚金数额一般在违法所得的一倍以上五倍以下）争取最优结果。
六、 示意性案例的辩护解读
【示意案例一】某公司业务人员为推广合法业务，通过他人非法购买普通消费者联系方式用于电话营销，未出售、未提供、未用于违法犯罪，获利三万余元，亦无前科。辩护律师提出：其属于为合法经营活动而非法购买、收受一般公民个人信息，获利未达到“获利五万元以上”的标准，且不具备其他情节严重情形，依法不构成犯罪。检察机关采纳辩护意见，作出不起诉决定。本案提示，司法解释第六条为合法经营活动设置了相对克制的入罪标准，合规抗辩具有明确的规范依据。
【示意案例二】某案中，侦查机关将查获的电子数据条目总数直接认定为涉案信息条数，其中包含大量空号、重复记录及经匿名化处理无法识别特定个人的数据。辩护律师申请查阅电子数据检查笔录，抽样核验并逐类申请剔除，核减条数后数量标准下降一个档次，量刑显著从轻。本案提示，司法解释第十一条“有证据证明信息不真实或者重复的除外”是条数核减的直接依据，辩护律师应当把核减工作做在鉴定底稿上。
【示意案例三】某公司技术人员非法获取并出售部分信息，条数较大但不属于“情节特别严重”。辩护律师提出：当事人系初犯，案发后全部退赃，并确有悔罪表现，依据司法解释第十条可以认定为情节轻微；同时审查其在单位犯罪中的地位作用，主张其不属于直接负责的主管人员。检察机关综合考虑后作出不起诉决定。本案提示，情节轻微不起诉路径与单位犯罪责任人员审查，是此类案件重要的出罪与从宽通道。
结语
侵犯公民个人信息罪辩护是一项高度专业化的工作，涉及刑事法律、司法解释、数据合规规范多个层面的知识与实务。依据《刑法》第二百五十三条之一、法释〔2017〕10号司法解释与《中华人民共和国个人信息保护法》，本罪辩护应当回归到“信息属性认定准确、条数核减到位、情节标准把握精准、合规抗辩充分、量刑情节用尽”的五重维度。辩护律师应当从信息属性与条数的精细化核减、行为方式的精细化审查、情节标准的精细化辩护、主观明知与目的的精细化审查、量刑与出罪情节的精细化把握五个方向系统展开，为当事人争取合法权益的最大化。江西吉泰律师事务所王吉成律师作为江西刑事律师，长期在江西吉安及周边地区办理刑事案件，专注网络犯罪辩护业务，注重从数据属性审查、条数核减、情节比对、合规抗辩全流程为当事人争取合法权益。如需专业法律帮助，欢迎致电 183-0796-5661 或添加微信 lawyer_wang_zz 咨询。需要特别声明的是，本文所引法律条文、司法解释均为公开发布的规范性文件，【示意案例】部分均为概括性描述，不指向任何真实案件、案号或裁判文书，仅用于法律逻辑的阐述。涉及具体案件时，仍需结合案件全部事实与证据进行专业、精细的应对。
免责声明： 本文仅为普法性探讨，不构成具体案件的法律意见。如您面临具体法律问题，建议及时咨询专业律师获取针对性的法律服务。
联系方式：
• 咨询电话： 183-0796-5661
• 微信号： lawyer_wang_zz
• 办公地址： 江西省吉安市吉州区平园路9号金光道大厦19楼
• 执业机构： 江西吉泰律师事务所
律师提示：侵犯公民个人信息罪辩护的核心在于信息属性的审查、条数的精准核减与情节标准的逐项比对。《刑法》第二百五十三条之一与法释〔2017〕10号司法解释共同构建了本罪适用的法律框架。敏感信息与一般信息的归类、批量信息条数的剔除与核减、为合法经营活动的出罪标准、初犯全部退赃的情节轻微认定、单位犯罪中责任人员的地位作用，均是辩护实务中的关键节点。辩护律师应当协助当事人准确把握信息、行为、情节、主观、量刑五个维度，在网络犯罪辩护的全流程中守护当事人的合法权益。