引言
"我只是从公司数据库里下载了客户信息， 怎么就涉嫌犯罪了？"——"我把客户信息卖给同行， 算不算犯罪？"——"我收集的信息已经匿名化了， 还能定罪吗？"——"我以为只要不公开就没事， 还需要对方同意吗？"——"单位内部人员出卖客户信息， 处罚更重吗？"这些是侵犯公民个人信息罪案件中当事人和家属最关心的疑问， 也折射出违反国家规定的认定、 公民个人信息的界定、 情节严重的入罪门槛、 敏感信息与一般信息的区分、 与其他罪名的界分等关键问题。 侵犯公民个人信息罪是数据合规时代的重要罪名， 与《个人信息保护法》形成民行刑衔接的保护体系。 本文依据《刑法》第二百五十三条之一、 《个人信息保护法》、 最高人民法院、 最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）等规定， 从构成要件、 敏感信息与一般信息、 罪名界分、 情节严重认定、 辩护要点五个维度作系统解析。 作为长期在江西吉安及周边地区办理刑事案件的吉安刑事律师， 笔者结合实务经验对侵犯公民个人信息类案件辩护路径作系统梳理。
一、构成要件与违法基础
侵犯公民个人信息罪的构成要件是判断罪与非罪的前提， 涉及违反国家规定、 行为方式、 行为对象、 情节严重四个方面。
第一， 违反国家规定。 依据《刑法》第二百五十三条之一， 侵犯公民个人信息罪以违反国家规定为前提。 「违反国家规定」是指违反法律、 行政法规关于个人信息保护的规定， 主要包括： 《个人信息保护法》（2021年11月1日施行， 2024年修正）、 《网络安全法》、《数据安全法》、《消费者权益保护法》、 行业行政法规等。 违反部门规章、 行业规定的， 应当溯源到法律、 行政法规的具体规定， 才能认定为「违反国家规定」。 第二， 行为方式。 行为方式包括三类： 一是非法获取公民个人信息， 包括购买、 收受、 交换、 爬取、 窃取等方式； 二是非法出售公民个人信息， 即有偿转让个人信息给他人； 三是非法提供公民个人信息， 即免费或变相有偿向他人提供个人信息， 包括互换、 共享、 公开等方式。 三类行为任一即构成客观方面。 第三， 行为对象。 行为对象是公民个人信息， 即以电子或其他方式记录的、 能够单独或与其他信息结合识别特定自然人身份的各种信息， 包括自然人的姓名、 出生日期、 身份证件号码、 生物识别信息、 住址、 电话、 行踪轨迹、 网络身份标识、 健康生理信息、 交易信息等。 匿名化处理后无法识别特定自然人的信息， 不属于公民个人信息。 第四， 情节严重。 单纯获取、 出售、 提供个人信息未达情节严重的， 仅承担民事侵权责任与行政责任， 不构成犯罪。 情节严重的具体标准详见下文。
司法实践中， 违反国家规定的认定应当把握法律、 行政法规的层级。 违反部门规章、 地方性法规、 行业规定的， 应当溯源到上位法的具体规定， 例如违反《征信业管理条例》的， 应当进一步考察是否违反《个人信息保护法》的相应规定。 未违反国家规定的行为， 例如经信息主体明确同意收集、 公开渠道合法获取、 匿名化处理后无法识别的信息收集行为， 不构成犯罪。
二、敏感个人信息与一般个人信息的区分
敏感个人信息与一般个人信息的区分是本罪辩护的关键， 入罪门槛与量刑档次均受影响。
第一， 敏感个人信息。 依据《个人信息保护法》第二十八条， 敏感个人信息指一旦泄露或非法使用， 容易导致自然人的人格尊严受到侵害或人身、 财产安全受到危害的个人信息， 包括： 生物识别（人脸、 指纹、 虹膜等）、 宗教信仰、 特定身份（军人、 警察、 公务员等）、 医疗健康、 金融账户（银行账号、 交易记录等）、 行踪轨迹（车辆轨迹、 出行记录等）以及不满十四周岁未成年人的个人信息。 第二， 一般个人信息。 除敏感个人信息外的其他个人信息属于一般个人信息， 例如姓名、 出生日期、 身份证件号码、 住址、 电话、 邮箱、 学历、 工作单位、 婚姻状况等。 第三， 入罪门槛的差异。 依据法释〔2017〕10号， 敏感个人信息的入罪门槛低于一般个人信息， 数量标准仅为一半。 例如， 一般个人信息的数量标准为五千条以上， 敏感个人信息的数量标准为二千五百条以上； 违法所得五千元以上（一般信息）或二千五百元以上（敏感信息）。
敏感个人信息与一般个人信息的区分应当依据信息的可识别性、 危害性、 用途综合判断。 例如电话号码： 单独的电话号码不直接对应敏感信息， 但电话号码+身份证号码+家庭住址的组合可以构成敏感信息的间接识别。 行踪轨迹： 单独的单次定位可能不构成行踪轨迹， 但持续、 多次、 连续的定位记录可以构成行踪轨迹这一敏感个人信息。 辩护律师应当充分审查涉案信息的性质， 主张降级为一般个人信息， 适用较高的入罪门槛。
三、与其他相关罪名的界分
侵犯公民个人信息罪与多个罪名存在竞合或近似关系， 罪名之辩是本罪辩护的重要阵地。
第一， 与诈骗罪的界分。 行为人非法获取公民个人信息后用于实施诈骗的， 构成侵犯公民个人信息罪与诈骗罪的数罪并罚， 但应当分别评价两个犯罪事实的独立社会危害性， 避免重复评价。 例如某行为人非法获取一万条公民个人信息后， 实施电信诈骗， 造成被害人损失五十万元， 应当以侵犯公民个人信息罪与诈骗罪数罪并罚， 但诈骗数额的认定应当扣除因侵犯公民个人信息而容易实施的部分， 避免双重评价。 第二， 与帮信罪的界分。 行为人明知他人利用信息网络实施犯罪， 提供公民个人信息为其提供帮助的， 构成帮信罪（依据《刑法》第二百八十七条之二）； 单纯非法获取或出售个人信息的， 不构成帮信罪， 仅构成侵犯公民个人信息罪。 第三， 与拒不履行信息网络安全管理义务罪的界分。 网络服务提供者未履行个人信息保护义务， 致使大量公民个人信息泄露， 造成严重后果的， 可能构成拒不履行信息网络安全管理义务罪， 同时构成侵犯公民个人信息罪的， 应当择一重处。 第四， 与非法获取计算机信息系统数据罪的界分。 侵入计算机信息系统获取个人信息的， 构成非法获取计算机信息系统数据罪（依据《刑法》第二百八十五条第二款）与侵犯公民个人信息罪的想象竞合， 择一重处。
司法实践中， 侵犯公民个人信息罪与诈骗罪的数罪并罚是常见处理方式。 辩护律师在罪名之辩中应当重点审查： 行为人主观上是否明知他人将利用个人信息实施其他犯罪； 客观上是否有直接的帮助行为； 信息数量是否达到情节严重标准等。 主张不构成帮信罪或诈骗罪共犯的， 应当争取仅以侵犯公民个人信息罪一罪定罪， 降低量刑档次。
四、情节严重的认定与司法实务
情节严重是侵犯公民个人信息罪的入罪门槛， 依据法释〔2017〕10号， 情节严重的认定包括数量标准、 违法所得标准、 信息用途、 特殊主体等多种情形。
第一， 数量标准。 一般个人信息五千条以上， 敏感个人信息二千五百条以上。 「以上」包含本数， 五千条的入罪门槛是相对较低的， 辩护律师应当严格审查涉案信息的数量， 主张未达数量标准的应当出罪。 第二， 违法所得标准。 违法所得五千元以上（一般信息）或二千五百元以上（敏感信息）。 违法所得应当有客观证据（如银行流水、 微信转账记录、 支付宝转账记录）， 不能仅凭行为人单方陈述。 第三， 信息用途。 非法获取、 出售、 提供行踪轨迹信息， 被用于违法犯罪活动的； 知道或应当知道他人利用公民个人信息实施违法犯罪， 仍向其出售、 提供的， 属于情节严重。 第四， 特殊主体与情形。 行业内部人员（如金融、 电信、 房产、 快递、 互联网平台等掌握大量个人信息的从业人员）出售、 提供个人信息的； 多次非法获取、 出售、 提供个人信息的； 被行政处罚后两年内又实施相同行为的。 上述情形属于情节严重的升格情形， 应当从重处罚。
辩护律师应当全面审查情节严重的具体情形： 一是数量是否准确， 主张存在重复、 失效、 无法识别特定自然人的信息应当剔除； 二是违法所得是否客观， 主张存在合理开支、 借贷还款的资金往来应当剔除； 三是信息用途， 主张未实际用于违法犯罪活动的， 应当降级评价。 严格审查情节严重的具体情形， 是辩护的重要切入点。
五、辩护要点与系统展开
侵犯公民个人信息罪的辩护应当从违反国家规定、 公民个人信息、 情节严重、 罪名之辩、 从宽情节五个方面系统展开：
第一， 违反国家规定之辩。 审查行为人的获取、 出售、 提供行为是否真正违反国家规定， 经信息主体明确同意的、 公开渠道合法获取的、 匿名化处理后无法识别特定自然人的、 依据法律授权（如司法协助、 行政执法）获取的， 主张不违反国家规定。 第二， 公民个人信息之辩。 审查被侵权信息是否能够识别特定自然人， 经过匿名化处理无法识别的、 纯公开信息（如公开电话号码、 公开地址）的， 主张不属于公民个人信息。 第三， 情节严重之辩。 严格审查数量、 违法所得、 用途， 主张未达情节严重标准。 数量核减是重要的辩护路径， 例如重复信息、 失效信息、 公开信息应当剔除。 第四， 罪名之辩。 审查是否构成帮信罪、 诈骗罪、 拒不履行信息网络安全管理义务罪、 非法获取计算机信息系统数据罪等其他罪名， 主张择一从轻定罪。 第五， 从宽情节之辩。 全面争取自首、 坦白、 认罪认罚、 初犯偶犯、 合规整改等从宽情节， 推动不起诉或缓刑。 单位的合规整改（如建立个人信息保护制度、 培训员工、 取得认证）是单位犯罪的重要从宽情节。
侵犯公民个人信息罪是数据合规时代的重要罪名， 兼具刑事、 行政、 民事三重责任。 江西吉泰律师事务所王吉成律师长期在江西吉安及周边地区办理刑事案件， 在网络犯罪、 数据合规领域积累了丰富的实务经验， 注重从违法基础、 信息界定、 情节审查、 罪名之辩、 从宽情节五个维度为当事人争取出罪或最大从宽。 如需专业法律帮助， 欢迎致电 183-0796-5661 或添加微信 lawyer_wang_zz 咨询。
六、示意性案例的辩护解读
【示意案例一】某互联网公司前员工利用职务便利下载公司数据库中的客户信息一万余条， 通过网络平台出售给同行， 获利五万元。 案件以侵犯公民个人信息罪起诉。 辩护律师审查信息内容， 发现所下载信息仅包含客户姓名、 电话、 邮箱， 不含身份证号码、 住址、 行踪轨迹等敏感信息， 属于一般个人信息， 入罪门槛为五千条以上， 涉案一万余条已超过入罪门槛， 主张数量核减（重复信息、 失效信息应当剔除）。 此外， 坦白与认罪认罚应当从宽处理。 法院最终以侵犯公民个人信息罪判处有期徒刑一年缓刑两年， 并处罚金。 本案提示， 敏感与一般信息的区分与数量的准确核减是侵犯公民个人信息罪辩护的两个支点。
【示意案例二】某快递公司内部员工利用职务便利获取客户姓名、 电话、 地址、 身份证号码等包含行踪轨迹的信息三千余条， 出售给诈骗团伙， 获利三万元。 案件以侵犯公民个人信息罪与诈骗罪数罪并罚起诉。 辩护律师审查信息性质， 信息含身份证号码、 住址， 属于敏感个人信息， 入罪门槛为二千五百条以上， 涉案三千余条已超过入罪门槛。 主张数量核减（部分信息重复）， 但未能改变入罪门槛的认定。 此外， 主张坦白、 认罪认罚、 初犯偶犯等从宽情节， 推动缓刑适用。 法院最终以侵犯公民个人信息罪判处有期徒刑一年六个月， 与诈骗罪数罪并罚， 决定执行有期徒刑两年缓刑三年。 本案提示， 敏感个人信息的入罪门槛更低， 行业内部人员的从重情节应当充分关注。
【示意案例三】某房产中介公司通过购买、 互换等方式收集客户购房意向信息（姓名、 电话、 购房预算、 意向楼盘等）十万余条， 用于公司销售。 案件以侵犯公民个人信息罪立案。 辩护律师审查信息获取方式， 发现部分信息是公开渠道获取（如公开楼盘信息、 公开电话）， 部分信息是信息主体自愿提供（客户到访时提供）， 不违反国家规定。 主张信息数量核减（剔除公开信息、 同意信息）， 未达入罪门槛。 检察院最终作出不起诉决定， 仅由行业主管部门给予行政罚款。 本案提示， 经信息主体同意或公开渠道合法获取的， 不构成犯罪。
免责声明： 本文仅为普法性探讨， 不构成具体案件的法律意见。如您面临具体法律问题， 建议及时咨询专业律师获取针对性的法律服务。
联系方式：
• 咨询电话： 183-0796-5661
• 微信号： lawyer_wang_zz
• 办公地址： 江西省吉安市吉州区平园路9号金光道大厦19楼
• 执业机构： 江西吉泰律师事务所
律师提示：江西吉安刑事律师王吉成提醒， 侵犯公民个人信息罪辩护的核心在于违反国家规定、 公民个人信息界定、 情节严重三个支点。 敏感个人信息的入罪门槛更低， 主张降级为一般个人信息是重要的辩护路径。 数量核减应当主张剔除重复信息、 失效信息、 公开信息、 同意信息。 罪名之辩应当审查与帮信罪、 诈骗罪、 拒不履行信息网络安全管理义务罪的数罪并罚或择一重处关系， 争取从轻定罪。 单位合规整改是单位犯罪的重要从宽情节， 企业应当建立个人信息保护制度、 培训员工、 取得认证。 数据合规时代企业刑事风险防范， 委托专业刑事律师与数据合规律师尽早介入， 是实现有效辩护与合规建设的关键。