作者：周加海 鄒濤 喻海松
日前，最高人民法院、最高人民檢察院發(fā)布《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》（法釋〔2017〕10號，以下簡稱《解釋》），自2017年6月1日起施行?！督忉尅返墓际┬校瑢τ趶娀駛€人信息的刑事保護，維護個人信息安全和其他合法權(quán)益，必將發(fā)揮重要作用。為便于司法實踐中正確理解和適用，現(xiàn)就《解釋》的制定背景、起草中的主要考慮和主要內(nèi)容介紹如下。
一、《解釋》的制定背景與經(jīng)過
隨著信息化建設(shè)的推進，信息資源成為重要的生產(chǎn)要素和社會財富。而在各類信息中，個人信息的價值日益凸顯，成為數(shù)字經(jīng)濟最重要的元素之一。與之同時，個人信息泄露問題嚴重，個人信息安全成為一個全社會高度關(guān)注的問題。為保護公民個人信息，2009年2月28日起施行的《刑法修正案（七）》增設(shè)了刑法第二百五十三條之一，規(guī)定了出售、非法提供公民個人信息罪和非法獲取公民個人信息罪?！缎谭ㄐ拚福ㄆ撸肥┬幸詠?，各級公檢法機關(guān)正確適用法律，準確認定事實，堅決依法懲處侵犯公民個人信息犯罪活動。2009年2月至2015年10月，全國法院新收出售、非法提供公民個人信息、非法獲取公民個人信息刑事案件988起，審結(jié)969起，生效判決人數(shù)1415人。其中，新收出售、非法提供公民個人信息刑事案件101件，審結(jié)98件，生效判決人數(shù)142人；新收非法獲取公民個人信息刑事案件887件，審結(jié)871件，生效判決人數(shù)1273人。
近年來，侵犯公民個人信息犯罪仍處于高發(fā)態(tài)勢，不僅嚴重危害公民個人信息安全，而且與電信網(wǎng)絡(luò)詐騙等犯罪存在密切關(guān)聯(lián)，甚至與綁架、敲詐勒索等犯罪活動相結(jié)合，社會危害日益突出。為切實加大對公民個人信息的刑法保護力度，《刑法修正案（九）》對刑法第二百五十三條之一作出修改完善：一是擴大犯罪主體的范圍，規(guī)定任何單位和個人違反國家有關(guān)規(guī)定，獲取、出售或者提供公民個人信息，情節(jié)嚴重的，都構(gòu)成犯罪；二是明確規(guī)定將在履行職責或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人的，從重處罰；三是提升法定刑配置水平，增加規(guī)定“處三年以上七年以下有期徒刑，并處罰金”。修改后，“出售、非法提供公民個人信息罪”和“非法獲取公民個人信息罪”被整合為“侵犯公民個人信息罪”?！缎谭ㄐ拚福ň牛肥┬幸詠?，各級公檢法機關(guān)依據(jù)修改后刑法的規(guī)定，繼續(xù)保持對侵犯公民個人信息犯罪的高壓態(tài)勢，實現(xiàn)案件量顯著增長。2015年11月至2016年12月，全國法院新收侵犯公民個人信息刑事案件（含出售、非法提供公民個人信息、非法獲取公民個人信息刑事案件）495件，審結(jié)464件，生效判決人數(shù)697人。
與此同時，司法實踐反映，侵犯公民個人信息罪的具體定罪量刑標準尚不明確，一些法律適用問題存在爭議，需要通過司法解釋作出規(guī)定。為確保法律準確、統(tǒng)一適用，依法嚴厲懲治、有效防范侵犯公民個人信息犯罪，最高人民法院會同最高人民檢察院，在公安部等有關(guān)部門的大力支持下，經(jīng)深入調(diào)查研究、廣泛征求意見，起草了《解釋》。2017年3月20日最高人民法院審判委員會第1712次會議、2017年4月26日最高人民檢察院第十二屆檢察委員會第63次會議審議通過了《解釋》。
二、《解釋》起草中的主要考慮
為確保《解釋》的內(nèi)容科學合理，能夠適應(yīng)形勢發(fā)展、滿足實踐需要，在起草過程中，著重注意把握了以下幾點：
第一，貫徹刑法修改精神，強化對公民個人信息的刑法保護。當前，侵犯公民個人信息犯罪呈高發(fā)多發(fā)態(tài)勢，涉及的個人信息數(shù)量越來越大、類型越來越多。特別是，不少涉案公民個人信息事關(guān)他人財產(chǎn)乃至人身安全，如行蹤軌跡、財產(chǎn)信息等敏感信息?；诋斍扒址腹駛€人信息犯罪的態(tài)勢，根據(jù)修法精神，《解釋》相關(guān)條文彰顯了對侵犯公民個人信息犯罪的嚴懲立場，以加強對公民個人信息的刑法保護，有效維護公民的人身、財產(chǎn)安全和生活安寧。
第二，堅持問題導向，有效解決司法實務(wù)問題。從調(diào)研情況來看，對侵犯公民個人信息犯罪尚存在不少爭議問題，亟需通過司法解釋加以明確。例如，“公民個人信息”的內(nèi)涵與外延，“出售或者提供公民個人信息”“非法獲取公民個人信息”的理解，“情節(jié)嚴重”“情節(jié)特別嚴重”的把握，等等?；诖?，《解釋》相關(guān)條文以辦理侵犯公民個人信息刑事案件存在的問題為基礎(chǔ)，結(jié)合司法實際，作了明確規(guī)定。
第三，堅持安全與發(fā)展并重，兼顧個人信息保護與大數(shù)據(jù)發(fā)展的需要。在全球信息化快速發(fā)展的大背景下，大數(shù)據(jù)已成為國家重要的基礎(chǔ)性戰(zhàn)略資源，正引領(lǐng)新一輪科技創(chuàng)新。在大數(shù)據(jù)和云計算時代，包括個人信息在內(nèi)的數(shù)據(jù)，只有充分地流動、共享、交易，才能實現(xiàn)集聚與規(guī)模效應(yīng)，最大程度地發(fā)揮價值。但是，在數(shù)據(jù)流動、交易過程中如何保護公民個人信息的安全，避免個人信息擴散失控，也是必須面對的問題。實際上，公民個人信息的保護與大數(shù)據(jù)發(fā)展和信息社會的建設(shè)并不矛盾，二者之間的平衡點就在現(xiàn)行法律框架。質(zhì)言之，大數(shù)據(jù)的發(fā)展應(yīng)依法進行，信息社會須建立在依法保護個人信息的基礎(chǔ)上，只有包括個人信息在內(nèi)的數(shù)據(jù)在法律保護下安全迅速地收集和流通，才能真正推動我國信息產(chǎn)業(yè)的發(fā)展。因此，《解釋》在刑法和《網(wǎng)絡(luò)安全法》確立的框架范圍內(nèi)，兼顧公民個人信息保護與大數(shù)據(jù)產(chǎn)業(yè)發(fā)展的關(guān)系，確保在公民個人信息安全的前提下為大數(shù)據(jù)發(fā)展和信息化建設(shè)提供有力刑事司法保護。
三、《解釋》的主要內(nèi)容
《解釋》結(jié)合當前侵犯公民個人信息犯罪的特點和司法實踐反映的問題，依照刑法、刑事訴訟法的規(guī)定，對侵犯公民個人信息罪的定罪量刑標準和相關(guān)法律適用問題作了全面、系統(tǒng)的規(guī)定?！督忉尅饭彩齻€條文，大致可以歸納為如下十個方面的問題：
（一）“公民個人信息”的范圍
目前，我國關(guān)于個人信息的界定，最為權(quán)威的當屬《網(wǎng)絡(luò)安全法》的規(guī)定?！毒W(wǎng)絡(luò)安全法》第七十六條規(guī)定：“個人信息，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等?！?經(jīng)研究認為，《網(wǎng)絡(luò)安全法》將“個人信息”界定為“能夠識別自然人個人身份的各種信息”，顯然使用的是廣義的“身份識別信息”的概念，即既包括狹義的身份識別信息（能夠識別出特定自然人身份的信息），也包括體現(xiàn)特定自然人活動情況的信息。例如，從實踐來看，行蹤軌跡信息系事關(guān)人身安全的高度敏感信息，無疑應(yīng)納入法律保護范圍，且應(yīng)當重點保護。但是，行蹤軌跡信息明顯難以納入狹義的“身份識別信息”的范疇。如果認為《網(wǎng)絡(luò)安全法》將此類信息排除在“個人信息”的范圍外，恐難以為一般人所認同，也不符合保護公民個人信息的立法精神。合理的解釋應(yīng)當是，《網(wǎng)絡(luò)安全法》是廣義上使用“身份識別信息”這一概念，亦即也包括個人活動情況信息在內(nèi)?；诖?，《解釋》第一條在上述規(guī)定的基礎(chǔ)上，進一步明確“公民個人信息”包括身份識別信息和活動情況信息，規(guī)定：“刑法第二百五十三條之一規(guī)定的‘公民個人信息’,是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等?！?/p>
此外，根據(jù)《解釋》第一條的規(guī)定，關(guān)于“公民個人信息”的外延，有以下幾個具體問題值得注意：
（1）“公民個人信息”，既包括中國公民的個人信息，也包括外國公民和其他無國籍人的個人信息。
（2）公民個人信息須與特定自然人關(guān)聯(lián)。這是公民個人信息所具有的關(guān)鍵屬性。因此，經(jīng)過處理無法識別特定個人且不能復原的信息，雖然也可能反映自然人活動情況，但與特定自然人無直接關(guān)聯(lián)，不能成為公民個人信息的范疇。對于與特定自然人關(guān)聯(lián)，可以是識別特定自然人身份，也可以是反映特定自然人活動情況。需要注意的是，無論是識別特定自然人身份，還是反映特定自然人活動情況，都應(yīng)當是能夠單獨或者與其他信息結(jié)合所具有的功能。例如，身份證號與公民個人身份一一對應(yīng)，可以單獨識別公民個人身份；而工作單位、家庭住址等無法單獨識別公民個人身份，需要同其他信息結(jié)合才能識別公民個人身份。但是，上述兩類信息無疑都屬于公民個人信息的范疇。
（3）與特定自然人關(guān)聯(lián)的賬號密碼屬于“公民個人信息”。對于“賬號密碼”能否納入“公民個人信息”的范圍，存在不同認識。經(jīng)研究認為，當前賬號密碼往往綁定身份證號、手機號碼等特定信息，即使未綁定，非法獲取賬號密碼后往往也會引發(fā)侵犯財產(chǎn)甚至人身的違法犯罪。因此，《解釋》第一條明確將“賬號密碼”列為“公民個人信息”的范圍。
（二）“違反國家有關(guān)規(guī)定”的認定
《刑法修正案（九）》將侵犯公民個人信息罪的前提要件由“違反國家規(guī)定”修改為“違反國家有關(guān)規(guī)定”。根據(jù)修法精神，《解釋》第二條規(guī)定：“違反法律、行政法規(guī)、部門規(guī)章有關(guān)公民個人信息保護的規(guī)定的，應(yīng)當認定為刑法第二百五十三條之一規(guī)定的‘違反國家有關(guān)規(guī)定’。”具體而言，該條將 “國家有關(guān)規(guī)定”明確限于法律、行政法規(guī)、部門規(guī)章等國家層面的規(guī)定，不包括地方性法規(guī)等非國家層面的規(guī)定。
（三）非法“提供公民個人信息”的認定
根據(jù)刑法第二百五十三條之一第一款、第二款的規(guī)定，違反國家有關(guān)規(guī)定，向他人非法出售或者提供公民個人信息，是侵犯公民個人信息罪的客觀行為方式之一。從司法適用的角度，以下兩個問題值得關(guān)注：
1.“提供”的認定。向特定人提供公民個人信息，屬于“提供”公民個人信息，對此不存在疑義。但是，對于通過信息網(wǎng)絡(luò)或者其他途徑發(fā)布公民個人信息，是否屬于“提供公民個人信息”，存在不同認識。經(jīng)研究認為，通過信息網(wǎng)絡(luò)或者其他途徑發(fā)布公民個人信息，實際是向不特定多數(shù)人提供公民個人信息，向特定人提供公民個人信息的行為屬于“提供”，基于“舉輕明重”的法理，前者更應(yīng)當認定為“提供”?；诖?，《解釋》第三條第一款規(guī)定：“向特定人提供公民個人信息，以及通過信息網(wǎng)絡(luò)或者其他途徑發(fā)布公民個人信息的，應(yīng)當認定為刑法第二百五十三條之一規(guī)定的‘提供公民個人信息’?！?/p>
2.合法收集公民個人信息后非法提供的認定。基于大數(shù)據(jù)發(fā)展的現(xiàn)實需要，《網(wǎng)絡(luò)安全法》在法律層面為個人信息交易和流動留有一定空間，第四十四條規(guī)定任何個人和組織“不得非法出售或者非法向他人提供個人信息”，即不僅允許合法提供公民個人信息，而且為合法出售公民個人信息留有空間。而且，《網(wǎng)絡(luò)安全法》第四十二條第一款進一步明確了合法提供公民個人信息的情形，規(guī)定：“網(wǎng)絡(luò)運營者不得泄露、篡改、毀損其收集的個人信息；未經(jīng)被收集者同意，不得向他人提供個人信息。但是，經(jīng)過處理無法識別特定個人且不能復原的除外?！睋?jù)此，經(jīng)得被收集者同意，以及匿名化處理（剔除個人關(guān)聯(lián)），是合法提供公民個人信息的兩種情形，不能納入刑事規(guī)制范圍。基于此，《解釋》第三條第二款規(guī)定：“未經(jīng)被收集者同意，將合法收集的公民個人信息向他人提供的，屬于刑法第二百五十三條之一規(guī)定的‘提供公民個人信息’，但是經(jīng)過處理無法識別特定個人且不能復原的除外。”當然，這里只是明確此種情形屬于“提供公民個人信息”，是否構(gòu)成侵犯公民個人信息罪，還需要根據(jù)“違反國家有關(guān)規(guī)定”等要件作進一步判斷。
（四）“非法獲取公民個人信息”的認定
根據(jù)刑法第二百五十三條之一第三款的規(guī)定，竊取或者以其他方法非法獲取公民個人信息是侵犯公民個人信息罪的客觀行為方式之一。具體而言，以下幾個問題值得關(guān)注：
1.購買公民個人信息的處理。從實踐來看，非法獲取公民個人信息的方式主要表現(xiàn)為購買、收受、交換和侵入計算機信息系統(tǒng)或者采用其他技術(shù)手段。對于“購買公民個人信息”是否屬于“以其他方法非法獲取公民個人信息”，存在不同認識。有意見認為，“其他方法”應(yīng)當限于與“竊取”危害性相當?shù)姆绞剑ㄈ鐡寠Z），不宜將“購買”包括在內(nèi)。經(jīng)研究認為，其一，刑法第二百五十三條之一第三款并未明確排除“購買”方法，且非法購買公民個人信息當然屬于非法獲取公民個人信息的情形。其二，從實踐來看，當前非法獲取公民個人信息的方式主要表現(xiàn)為非法購買，如排除此種方式，則會大幅限縮侵犯公民個人信息罪的適用范圍。其三，不少侵犯公民個人信息犯罪案件，購買往往是后續(xù)出售、提供的前端環(huán)節(jié)，沒有購買就沒有后續(xù)的出售、提供?；谏鲜隹紤]，《解釋》第四條明確規(guī)定：“違反國家有關(guān)規(guī)定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務(wù)過程中收集公民個人信息的，屬于刑法第二百五十三條之一第三款規(guī)定的‘以其他方法非法獲取公民個人信息’?！?/p>
2.獲取公民個人信息行為“非法”的判斷。對于獲取公民個人信息，刑法第二百五十三條之一第三款將罪狀直接表述為“非法獲取”?；隗w系解釋的原理，對此處的“非法”，應(yīng)當以是否違反國家有關(guān)規(guī)定作為判斷標準。
3.非法收集公民個人信息的處理?！毒W(wǎng)絡(luò)安全法》第四十一條規(guī)定：“網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當遵循合法、正當、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。”“網(wǎng)絡(luò)運營者不得收集與其提供的服務(wù)無關(guān)的個人信息，不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個人信息，并應(yīng)當依照法律、行政法規(guī)的規(guī)定和與用戶的約定，處理其保存的個人信息?！边`反上述規(guī)定，未經(jīng)他人同意收集公民個人信息，或者收集與提供的服務(wù)無關(guān)的公民個人信息的，應(yīng)當認定為“非法獲取公民個人信息”。以此為基礎(chǔ)，《解釋》第四條專門明確，違反國家有關(guān)規(guī)定，在履行職責、提供服務(wù)過程中收集公民個人信息的，屬于刑法第二百五十三條之一第三款規(guī)定的“以其他方法非法獲取公民個人信息”。
（五）侵犯公民個人信息罪的定罪量刑標準
根據(jù)刑法第二百五十三條之一的規(guī)定，非法獲取、出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金?？梢姡址腹駛€人信息罪系情節(jié)犯，定罪量刑標準為“情節(jié)嚴重”“情節(jié)特別嚴重”。對于這一概括性的定罪量刑情節(jié)，宜根據(jù)司法實踐的情況從犯罪的客體、客觀方面、主體、主觀方面等多個角度加以考察。經(jīng)充分調(diào)研，《解釋》第五條規(guī)定了“情節(jié)嚴重”“情節(jié)特別嚴重”的認定標準。
1.“情節(jié)嚴重”的認定標準?！督忉尅返谖鍡l第一款從以下幾個方面對侵犯公民個人信息罪的入罪標準“情節(jié)嚴重”作了明確：
一是信息類型和數(shù)量。公民個人信息的類型繁多，行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息、住宿信息、交易信息等公民個人敏感信息涉及人身安全和財產(chǎn)安全，被非法獲取、出售或者提供后極易引發(fā)綁架、詐騙、敲詐勒索等關(guān)聯(lián)犯罪，具有更大的社會危害性。因此，基于不同類型公民個人信息的重要程度，《解釋》分別設(shè)置了“五十條以上”“五百條以上”“五千條以上”的入罪標準，以實現(xiàn)罪責刑相適應(yīng)。具體而言：
（1）非法獲取、出售或者提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息五十條以上的。行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息與人身安全、財產(chǎn)安全直接相關(guān)，系高度敏感信息，《解釋》第五條第一款第三項將入罪標準設(shè)置為“五十條以上”。需要注意的是，鑒于本項規(guī)定的入罪標準門檻較低，故此處嚴格限縮所涉公民個人信息的類型，僅限于行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息四類信息，不允許司法適用中再通過等外解釋予以擴大。對于行蹤軌跡信息、通信內(nèi)容、征信信息，司法實踐中在認定上不存在爭議。對于財產(chǎn)信息，可以根據(jù)案件具體情況把握：既包括銀行賬戶、第三方支付結(jié)算帳戶、證券期貨等金融服務(wù)賬戶的身份認證信息（一組確認用戶操作權(quán)限的數(shù)據(jù)，包括賬號、口令、密碼、數(shù)字證書等），也包括存款、房產(chǎn)等財產(chǎn)狀況信息。
（2）非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的。上述公民個人信息雖然在重要程度上弱于行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息，但也與人身安全、財產(chǎn)安全直接相關(guān)，往往被用于“精準”詐騙等違法犯罪活動?；诖耍督忉尅返谖鍡l第一款第四項將入罪標準設(shè)置為“五百條以上”。需要注意的是，本項規(guī)定有“等其他可能影響人身、財產(chǎn)安全的公民個人信息”的表述，司法實踐中可以根據(jù)具體情況作等外解釋，但應(yīng)當確保所適用的公民個人信息涉及人身、財產(chǎn)安全，且與“住宿信息、通信記錄、健康生理信息、交易信息”在重要程度上具有相當性。
（3）非法獲取、出售或者提供一般公民個人信息五千條以上的。從實踐來看，除前述公民個人敏感信息外，出售、提供公民個人信息往往數(shù)量較大，動輒數(shù)萬條甚至數(shù)十萬條，在不少案件中甚至將公民個人信息編輯為電子文檔后按兆出售。因此，不少地方對出售、提供公民個人信息的入罪掌握在數(shù)量五千條以上，基本上可以滿足嚴厲打擊此類犯罪的需要，且給行政處罰留有一定空間。基于此，《解釋》第五條第一款第五項設(shè)置較低的入罪標準，將非法獲取、出售或者提供公民個人信息五千條以上的規(guī)定為“情節(jié)嚴重”。
此外，鑒于實踐中存在混雜公民個人信息的情形，《解釋》第五條第一款第六項將“數(shù)量未達到第三項至第五項規(guī)定標準，但是按相應(yīng)比例合計達到有關(guān)數(shù)量標準的”情形規(guī)定為“情節(jié)嚴重”。
二是違法所得數(shù)額。出售或者非法提供公民個人信息往往是為了牟利，故應(yīng)當以違法所得作為認定“情節(jié)嚴重”的情形之一。從司法實踐來看，一般公民個人信息的價格相對較低，甚至不會按條計價；而公民個人敏感信息價格通常較高，通常按條計價，特別是行蹤軌跡信息可以謂之為最為昂貴的信息類型?？紤]到各項規(guī)定之間的均衡，《解釋》第五條第一款第七項將違法所得五千元以上的規(guī)定為“情節(jié)嚴重”。
三是信息用途。通常而言，非法獲取公民個人信息，絕不僅是為了占有，而是有特定用途、甚至用于違法犯罪?？梢哉f，非法獲取、出售或者提供公民個人信息，不僅嚴重危害公民的信息安全，而且可能引發(fā)進一步犯罪。因此，此類行為引發(fā)的后果的嚴重程度，是認定“情節(jié)嚴重”與否的重要標準。被非法獲取、出售或者提供的公民個人信息，用途存在不同，對權(quán)利人的侵害程度也會存在差異。如果涉案的公民個人信息被用于實施其他犯罪活動，使權(quán)利人的人身、財產(chǎn)安全陷入高風險狀態(tài)或者造成實質(zhì)危害的，對此應(yīng)當直接認定為“情節(jié)嚴重”或者“情節(jié)特別嚴重”，以刑事手段加以規(guī)制；而如果涉案公民個人信息未被用于犯罪活動，則社會危害性相對較小，不宜直接以此作為刑事規(guī)制的依據(jù)?；诖耍督忉尅返谖鍡l第一款第二項將“知道或者應(yīng)當知道他人利用公民個人信息實施犯罪，向其出售或者提供的”規(guī)定為“情節(jié)嚴重”。從司法實踐來看，行蹤軌跡信息是最為敏感的公民個人信息。非法獲取、出售或者提供該類信息，行為人主觀上對可能被用于犯罪存在概括認識，《解釋》第五條第一款第一項直接將“非法獲取、出售或者提供行蹤軌跡信息，被他人用于犯罪的”規(guī)定為“情節(jié)嚴重”，無須再具體判斷主觀上是否知道或者應(yīng)當知道涉案信息被用于犯罪。
四是主體身份。公民個人信息泄露案件不少系內(nèi)部人員作案，諸多公民個人信息買賣案件也可以見到“內(nèi)鬼”參與的“影子”。這是侵犯公民個人信息違法犯罪泛濫的重要原因所在。由于上述情形往往發(fā)生在公民個人信息交易的最初階段，涉案信息的數(shù)量往往較少、價格相對低廉。此種情形下，如果不設(shè)置特殊標準，往往難以對此類源頭行為予以刑事懲治?；诖?，為貫徹落實刑法第二百五十三條之一第二款“違反國家有關(guān)規(guī)定，將在履行職責或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰”的規(guī)定，《解釋》第五條第一款第八項對將在履行職責或者提供服務(wù)過程中獲得的公民個人信息出售或者提供給他人的情形認定為“情節(jié)嚴重”設(shè)置了特殊標準，規(guī)定此種情形下出售或者提供公民個人信息，認定“情節(jié)嚴重”的數(shù)量、數(shù)額標準減半計算。當然，對于此種情形，不宜再根據(jù)刑法第二百五十三條之一第二款的規(guī)定從重處罰，以免重復評價。
五是主觀惡性。曾因侵犯公民個人信息受過刑事處罰或者二年內(nèi)受過行政處罰，又非法獲取、出售或者提供公民個人信息的，行為人屢罰屢犯，主觀惡性大。故而，《解釋》第五條第一款第九項將此種情形規(guī)定為“情節(jié)嚴重”。
2.“情節(jié)特別嚴重”的認定標準。《解釋》第五條第二款主要從兩個層面規(guī)定了“情節(jié)特別嚴重”的情形：一是數(shù)量數(shù)額標準?；谒痉▽嵺`中侵犯公民個人信息犯罪涉案的公民個人信息數(shù)量相差懸殊，跨度從幾千條到幾十萬條（甚至更大數(shù)量）不等，將“情節(jié)特別嚴重”和“情節(jié)嚴重”之間的數(shù)量數(shù)額標準設(shè)置為十倍而非五倍的倍數(shù)關(guān)系。二是嚴重后果。從實踐來看，非法獲取、出售或者提供公民個人信息，對于個人而言，可能造成人身傷亡、經(jīng)濟損失等后果；對于社會而言，可能引發(fā)社會恐慌，造成惡劣社會影響。基于此，將“造成被害人死亡、重傷、精神失常或者被綁架等嚴重后果的”“造成重大經(jīng)濟損失或者惡劣社會影響的”規(guī)定為“情節(jié)特別嚴重”。
3.為合法經(jīng)營活動購買、收受公民個人信息定罪量刑的特殊標準。從實踐來看，購買、收受公民個人信息從事廣告推銷等活動的情形較為普遍。為了秉持刑法的謙抑性，體現(xiàn)寬嚴相濟，《解釋》第六條第一款規(guī)定：“為合法經(jīng)營活動而非法購買、收受本解釋第五條第一款第三項、第四項規(guī)定以外的公民個人信息，具有下列情形之一的，應(yīng)當認定為刑法第二百五十三條之一規(guī)定的’情節(jié)嚴重’：（一）利用非法購買、收受的公民個人信息獲利五萬元以上的；（二）曾因侵犯公民個人信息受過刑事處罰或者二年內(nèi)受過行政處罰，又非法購買、收受公民個人信息的；（三）其他情節(jié)嚴重的情形?！边@是《解釋》針對為合法經(jīng)營活動而購買、收受公民個人信息的行為設(shè)置的專門的定罪量刑標準。而且，考慮到此類行為社會危害性不大，即使構(gòu)成犯罪，通常也不需要升檔量刑，故只規(guī)定了“情節(jié)嚴重”的具體情形。
需要注意的是，適用該定罪量刑標準須滿足三個條件：一是為了合法經(jīng)營活動，對此可以綜合全案證據(jù)認定，但主要應(yīng)當由被告方提供相關(guān)證據(jù)；二是限于普通公民個人信息，即不包括可能影響人身、財產(chǎn)安全的敏感信息；三是信息沒有再流出擴散，即行為方式限于購買、收受。根據(jù)《解釋》第六條第二款的規(guī)定，如果將購買、收受的公民個人信息非法出售或者提供的，定罪量刑標準應(yīng)當適用《解釋》第五條的規(guī)定。對此應(yīng)當注意的是，為了合法經(jīng)營活動交換公民個人信息的，由于在獲取信息的同時造成了信息擴散，不符合前述三個要件，定罪量刑標準亦應(yīng)適用《解釋》第五條的規(guī)定。
4.侵犯公民個人信息單位犯罪的定罪量刑標準。根據(jù)刑法第二百五十三條之一第四款的規(guī)定，單位可以成為侵犯公民個人信息罪的主體。為切實加大對單位侵犯公民個人信息犯罪的懲治力度，《解釋》第七條明確了單位實施侵犯公民個人信息犯罪的，適用自然人犯罪的定罪量刑標準，規(guī)定：“單位犯刑法第二百五十三條之一規(guī)定之罪的，依照本解釋規(guī)定的相應(yīng)自然人犯罪的定罪量刑標準，對直接負責的主管人員和其他直接責任人員定罪處罰，并對單位判處罰金。”
(六)侵犯公民個人信息罪的認罪認罰從寬處理
為貫徹落實“認罪認罰從寬制度”，充分發(fā)揮刑法的教育和威懾功能，《解釋》第十條專門規(guī)定：“實施侵犯公民個人信息犯罪，不屬于‘情節(jié)特別嚴重’，行為人系初犯，全部退贓，并確有悔罪表現(xiàn)的，可以認定為情節(jié)輕微，不起訴或者免予刑事處罰；確有必要判處刑罰的，應(yīng)當從寬處罰?！笨梢?，該條只適用于侵犯公民個人信息犯罪的基本情節(jié)，對于符合“情節(jié)特別嚴重”構(gòu)成的，不能再適用本條規(guī)定從寬處罰。
（七）設(shè)立網(wǎng)站、通訊群組侵犯公民個人信息行為的定性
實踐中，一些行為人通過建立網(wǎng)站供他人進行公民個人信息交換、買賣等活動，以非法牟利。此類網(wǎng)站存儲、流轉(zhuǎn)公民個人信息量巨大，但網(wǎng)站建立者、直接負責的管理者未直接接觸公民個人信息，不少情形下難以按照侵犯公民個人信息罪定罪處罰。根據(jù)刑法第二百八十七條之一的規(guī)定，設(shè)立用于實施違法犯罪活動的網(wǎng)站、通訊群組，情節(jié)嚴重的，構(gòu)成非法利用信息網(wǎng)絡(luò)罪。經(jīng)研究認為，供他人實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網(wǎng)站、通訊群組實際上屬于“用于實施違法犯罪活動的網(wǎng)站、通訊群組”。因此，《解釋》第八條規(guī)定：“設(shè)立用于實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網(wǎng)站、通訊群組，情節(jié)嚴重的，應(yīng)當依照刑法第二百八十七條之一的規(guī)定，以非法利用信息網(wǎng)絡(luò)罪定罪處罰；同時構(gòu)成侵犯公民個人信息罪的，依照侵犯公民個人信息罪定罪處罰?！?/p>
（八）拒不履行公民個人信息安全管理義務(wù)行為的處理
當前，一些單位因為履行職責或者提供服務(wù)的需要，掌握著海量公民個人信息，這些信息一旦泄露將造成惡劣社會影響和嚴重危害后果。實際上，侵犯公民個人信息違法犯罪的猖獗，與有關(guān)單位保護公民個人信息工作存在疏漏有一定關(guān)聯(lián)，相關(guān)管理機制有進一步完善的空間。這一問題在互聯(lián)網(wǎng)時代更為突出。為了促進網(wǎng)絡(luò)運營者采取切實有效的措施加強對公民個人信息的保護，《網(wǎng)絡(luò)安全法》明確了網(wǎng)絡(luò)信息安全的責任主體，確立了“誰收集，誰負責”的原則，將收集和使用個人信息的網(wǎng)絡(luò)運營者，設(shè)定為個人信息保護的責任主體。其中，第四十條明確規(guī)定：“網(wǎng)絡(luò)運營者應(yīng)當對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度?！迸c之相銜接，《刑法修正案（九）》設(shè)立了拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪，規(guī)定網(wǎng)絡(luò)服務(wù)提供者不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，致使用戶信息泄露，造成嚴重后果的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金。因此，對于網(wǎng)絡(luò)服務(wù)提供者未切實落實個人信息保護措施，符合刑法第二百八十六條之一規(guī)定的，可能構(gòu)成拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪。據(jù)此，《解釋》第九條規(guī)定：“網(wǎng)絡(luò)服務(wù)提供者拒不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，致使用戶的公民個人信息泄露，造成嚴重后果的，應(yīng)當依照刑法第二百八十六條之一的規(guī)定，以拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪定罪處罰?！?/p>
（九）涉案公民個人信息的數(shù)量計算規(guī)則
針對公民個人信息數(shù)量“計算難”的實際問題，《解釋》第十一條專門規(guī)定了數(shù)量計算規(guī)則。具體而言：
1.公民個人信息的條數(shù)計算。關(guān)于公民個人信息的條數(shù)計算，如同一條信息中涉及多個個人信息的，如家庭住址、銀行卡信息、電話號碼，實踐中往往認定為一條公民個人信息。對此問題，實踐中并無太大爭議,故未作專門規(guī)定。對于實踐中存在的針對同一對象非法獲取公民信息后又出售或者提供的情形，則明顯不宜先計算非法獲取的公民個人信息數(shù)量、再計算出售或者提供的公民個人信息數(shù)量，故《解釋》第十一條第一款規(guī)定：“非法獲取公民個人信息后又出售或者提供的，公民個人信息的條數(shù)不重復計算?！贝送?，考慮到公民個人信息可能被重復出售或者提供，其社會危害性明顯不同于向他人出售或者提供一次的情形，故而，《解釋》第十一條第二款規(guī)定：“向不同單位或者個人分別出售、提供同一公民個人信息的，公民個人信息的條數(shù)累計計算?！?/p>
2.批量公民個人信息的數(shù)量認定規(guī)則。從實踐來看，除公民個人敏感信息外，涉案的公民個人信息動輒上萬條甚至數(shù)十萬條。此類案件中，不排除少數(shù)情況下存在信息重復，如針對同一對象并存“姓名+住址”“姓名+電話號碼”“姓名+身份證號”等數(shù)條信息，但要求做到完全去重較為困難。此外，對于信息的真實性也難以一一核實。個別案件中，要求辦案機關(guān)電話聯(lián)系權(quán)利人核實公民個人信息的做法，明顯不合適?；诖?，《解釋》第十一條第三款規(guī)定：“對批量公民個人信息的條數(shù)，根據(jù)查獲的數(shù)量直接認定，但是有證據(jù)證明信息不真實或者重復的除外?！?/p>
（十）侵犯公民個人信息犯罪的罰金刑適用規(guī)則
侵犯公民個人信息犯罪具有明顯的牟利性，行為人實施該類犯罪主要是為了牟取非法利益。因此，有必要加大財產(chǎn)刑的適用力度，讓行為人在經(jīng)濟上得不償失，進而剝奪其再次實施此類犯罪的經(jīng)濟能力?；诖耍督忉尅返谑l規(guī)定：“對于侵犯公民個人信息犯罪，應(yīng)當綜合考慮犯罪的危害程度、犯罪的違法所得數(shù)額以及被告人的前科情況、認罪悔罪態(tài)度等，依法判處罰金。罰金數(shù)額一般在違法所得的一倍以上五倍以下。”
