条文内容

第二百五十三条之一 内容

第二百五十三条之一 违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下或者，并处或者单处；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

 

罪名精析

释义阐明

本条是关于违规出售、提供公民个人信息犯罪和窃取、以其他方法非法获取公民个人信息犯罪及其处罚的规定。

本条是2009年《修正案（七）》增加的条款，2015年8月《刑法修正案（九）》对本条作了修改，主要是：1.增加一款作为第一款，规定一般主体违规向他人出售、非法提供公民个人信息的犯罪。2.将原第一款改作第二款，扩大犯罪主体的范围，将“违反国家规定”修改为“违反国家有关规定”，同时规定了从重处罚的原则。3.将原第二款移作第三款。4.将原第三款移作第四款。近年来，出售、非法提供和非法获取公民个人信息的犯罪出现了一些新情况。随着信息网络的进一步普及和发展,侵害公民个人信息的违法犯罪愈发突出，通过网络出售、非法提供和非法获取公民个人信息的行为增多。这类违法犯罪使公民权利遭受侵害，社会管理难度升级，同时容易引发其他严重的犯罪行为，加大对这些行为的惩处力度已经成为社会的一致要求与共识。有关方面提出，根据《刑法修正案（七）》的规定，只能打击金融、电信等单位工作人员出售、非法提供公民个人信息的犯罪行为，而对于一般主体违背公民个人意愿，出售、非法提供其个人信息的，难以依法惩治。还有意见提出，倒卖公民个人信息犯罪是的上游环节,现有规定无法打击倒卖行为。为了进一步加强对公民个人信息的保护，《刑法修正案（九）》根据实践需要和有关方面的意见对本条作了修改。

第一款是关于违规向他人出售或者非法提供公民个人信息的犯罪和处罚的规定。这是《刑法修正案（九）》新增加的规定，主要是为了惩治违背公民个人意愿，出售、非法提供其个人信息和倒卖公民个人信息行为。原刑法第二百五十三条第一款规定了国家机关、金融等单位的工作人员违规出售、提供公民个人信息犯罪，属于特殊主体的犯罪，本款将犯罪主体扩大至一般主体，即任何年满十六周岁的人，违反国家有关规定，向他人出售或者非法提供公民个人信息的行为，不论来源如何，只要符合本款规定的，都可以定罪处罚予以惩治。本款规定犯罪的客体是公民对个人信息享有的权利。这里规定的“公民个人信息”，主要是指公民的姓名、住址、身份证号、电话号码、银行帐号、银行卡号和财产状况等能够识别公民个人身份情况的信息。本款规定犯罪的主观方面是故意，即违反国家有关规定，故意出售和非法提供公民个人信息。这里的“违反国家有关规定”是指违反了有关法律、行政法规、规章等国家层面涉及公民个人信息管理方面的规定，如反洗钱法第五条规定：“对依法履行反洗钱职责或者义务获得的客户身份资料和交易信息，应当予以保密；非依法律规定，不得向任何单位和个人提供。反洗钱行政主管部门和其他依法负有反洗钱监督管理职责的部门、机构履行反洗钱职责获得的客户身份资料和交易信息，只能用于反洗钱行政调查。司法机关依照本法获得的客户身份资料和交易信息，只能用于反洗钱刑事诉讼。”此外，商业银行法、居民身份证法、护照法、消费者权益保护法、旅游法、社会保险法、统计法等法律也都有关于公民个人信息保护的规定。本款规定犯罪的客观方面，表现为向他人出售和非法提供公民个人信息，情节严重的行为。这里的“出售”，是指将自己掌握的公民信息卖给他人，自己从中牟利的行为。“非法提供”，是指违反国家有关规定，将自己掌握的公民信息提供给他人的行为，如现实生活中公民安装网络宽带，需将个人的身份证号提供给电信部门，电信部门只能以安装网络宽带的目的使用公民个人身份号码，如果电信部门的工作人员违反国家有关规定，将公民的身份证号提供给他人的，则属于非法提供。这里的“他人”，包括单位和个人。根据本款规定，向他人出售和非法提供公民个人信息达到情节严重的程度，是构成本罪的条件，尚未达到情节严重的，可依据法律、法规有关规定予以行政处罚。“情节严重”，一般是指大量出售公民个人信息的，多次出售公民个人信息的，出售公民个人信息获利数额较大的，以及公民个人信息被他人使用后，给公民造成了经济上的重大损失或者严重影，响到公民个人的正常生活等情况，具体情节的认定，应当由司法机关依法根据案件的具体情况认定。最高人民法院也可根据实际情况作出适用法律的解释。根据本款规定，对于情节严重构成犯罪的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

第二款是关于对在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人，情节严重的从重处罚的规定。本款是原刑法第二百五十三条第一款的规定，《刑法修正案（九）》对本款作了修改：一是删去“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”和“将本单位在履行职责或者提供服务过程中获得的”中的“本单位”，扩大了犯罪主体的范围，即所有在履行职责或者提供服务过程中可以收集、获得公民个人信息的单位和个人，如果违反规定出售或提供给他人，都可以适用本条规定追究刑事责任；二是将“违反国家规定”修改为“违反国家有关规定”，扩大了构成犯罪的范围，与“国家规定”相比，“国家有关规定”的范围更宽，包括法律、行政法规、规章等国家层面的涉及公民个人信息保护的规定，有利于根据不同行业、领域的特点有针对性地保护公民个人信息；三是加重了对本款犯罪的处罚，由于本款犯罪“依照前款规定从重处罚”，实施本款犯罪行为，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金，情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。与刑法原条文规定的刑罚相比，法定刑由最高可以判处三年有期徒刑，提高至最高可以判处七年有期徒刑。

实践中，在政府行政管理以及金融、电信、交通、医疗、物业管理、宾馆住宿服务、快递等社会公共服务领域，收集和储存了大量的公民个人信息。这些信息为提高行政管理和各项公共服务的质量和效率提供了便利。同时，一些组织或个人，违反职业道德和保密义务，将公民个人的信息资料出售或泄露给他人，获取非法利益。这些侵害公民合法权益的现象时有发生，甚至个人信息被一些犯罪分子用于诈骗犯罪活动，对公民的人身、财产安全、个人隐私以及正常的工作、生活构成严重威胁。与普通的向他人出售或者提供公民个人信息犯罪行为相比，出售或提供履职、提供服务过程中获得的公民个人信息的行为容易引发大范围的信息泄露，具有更大的社会危害性，而且违反了职业操守，应当从严打击，从重惩处，因此，《刑法修正案（九）》规定对这种行为依照第一款的规定从重处罚。应当注意的是，本款中的信息必须是单位在履行职责或者提供服务过程中获得的信息，也就是说利用公权力或者在提供公共服务过程中依法获得的信息，如购买飞机票必须提供本人的身份证号码，在银行等金融机构办理金融业务时，必须提供个人的身份证号码等情况。

第三款是关于非法获取公民个人信息的犯罪和处罚的规定。本款是原刑法第二百五十三条第二款的规定，《刑法修正案（九）》将本款移作第三款，同时将“上述信息”修改为“公民个人信息”，明确范围，避免产生歧义。根据本款规定，窃取或者以其他方法非法获取上述信息，情节严重的，构成非法获取公民个人信息罪，应当依照第一款的规定，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。这里的“窃取”，是指采用秘密的方法或不为人知的方法取得公民个人信息的行为，如在ATM机旁用望远镜偷看或用摄像机偷拍他人银行卡密码、卡号或身份证号，或通过网络技术手段获得他人的个人信息等情况。“以其他方法非法获取”，是指通过购买、欺骗等方式非法获取公民个人信息的行为。应当注意的是，本款规定的非法获取公民个人信息的行为，需达到情节严重的程度，才能构成非法获取公民个人信息的犯罪。这里的“情节严重”，一般是指非法获取公民个人信息的手段恶劣，获取了公民个人大量的信息，多次窃取或非法获取公民个人信息后又出售给他人牟利等情节。

第四款是关于的处罚规定。本款规定的犯罪主体，是公司、企业、事业单位、机关、团体等单位。根据本款规定，单位有出售或者非法提供公民个人信息和非法获取公民个人信息的行为，构成犯罪的，对单位判处罚金，并对单位直接负责的主管人员和其他直接责任人员，分别依照前三款的规定处罚。本款对单位犯罪规定了双重处罚原则，即对单位判处罚金，罚金的具体数额法律未作规定，可由司法机关根据犯罪情节决定。在对单位判处罚金的同时，对单位直接负责的主管人员和其他直接责任人员，分别按照前三款关于自然人的犯罪处罚。

实践中需要注意，除本条规定外，刑法和其他法律法规还有一些规定可能涉及侵犯公民个人信息的行为。如刑法第二百五十二条规定的隐匿、毁弃或者非法开拆他人信件，侵犯公民通信自由权利犯罪；刑法第二百五十三条规定的邮政工作人员私自开拆或者隐匿、毁弃邮件、电报犯罪；刑法第一百七十七条之一规定的窃取、收买或者非法提供他人信用卡信息资料的犯罪；刑法第二百八十四条规定的非法使用窃听、窃照专用器材的犯罪等。如果行为人为非法获取公民个人信息而采用了侵犯公民通信自由权利、通信秘密，非法使用窃听、窃照专用器材的手段或者是在实施上述犯罪的过程中同时窃取、获取了公民个人信息的，则可能同时构成本条规定的犯罪和其他罪名，应当根据案件的具体情况从一重罪处罚或者是数罪并罚。

 

构成要件

出售、非法提供公民个人信息罪是指违法国家有关规定，向他人出售或者非法提供公民个人信息，情节严重的行为。

本罪是《刑法修正案（七）》第7条增设的罪名，又经《刑法修正案（九）》第17条进行修改。

出售、非法提供公民个人信息罪的构成要件是

1．主体要件

本罪主体是一般主体，既可以是单位，也可以是自然人

根据自然人的身份不同，本罪量刑也有所区别：对于非因履行职责或者提供服务而获得公民个人信息的普通自然人，实施本罪的，依照本条第一款的规定处罚。对于因履行职责或者提供服务而获得公民个人信息的特殊单位的工作人员，如国家机关工作人员、金融、电信、交通、教育、医疗、快递等单位的工作人员，实施本罪的，依照本条第一款的规定从重处罚。如此体现了立法者对于违背职业规范和职业道德的犯罪行为从严惩处的态度。2009年《刑法修正案（七）》对本条第2款的主体范围以列举的方式点出，虽然可以明确主体范围，但在应对具体犯罪时缺乏灵活性，惩治力度不够。为此，2015年《刑法修正案（九）》对本款作出修改，扩大了主体范围，并加重了处罚。

单位也可以成为本罪的主体，单位犯罪的实行双罚制。根据本条第4款的规定，单位犯本罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员，依照前款规定处罚，即对于普通单位的主管人员和其他直接责任人员实施的犯罪行为，依照本条第1款的规定处罚；对于特殊单位的主管人员和其他直接责任人员实施的犯罪行为，依照本条第2款的规定处罚。

2．客体要件

本罪侵犯的客体是公民个人信息的安全和自由。

近年来，随着社会特别是网络技术的发展，我国公民个人信息被滥用的问题日趋严重，社会上不仅出现了大量兜售公民个人信息的现象，而且形成了一个新的产业，对公民的人身、财产安全和个人隐私构成严重成胁。为了保护公民个人信息的安全，《刑法修正案（七）》将侵犯公民信息安全、情节严重的行为增订为犯罪，用刑法手段维护公民的信息安全，从而填补了立法上的空白，不仅对保护公民的人身安全和财产安全，而且对预防利用公民个人信息实施诈骗、洗钱等犯罪活动，加强社会管理秩序和社会经济秩序都具有十分重要的意义。2012年以来，公安部门在全国先后开展数次打击侵害公民个人信息犯罪专项行动，破获一大批出售、非法提供公民个人信息犯罪案件，查获被盗取的各类公民个人信息数十亿条，涉及金融、电信、公安、交通、教育、医疗、国士、工商、房产、物业、保险、快递等多个部门和行业，这类非法行为不仅侵犯了公民权利，而且容易引发其他严重的犯罪行为，因此，加大对此类行为的惩处力度已经成为社会的一致要求和共识。为进一步从源头上打击和遏制此类犯罪行为，《刑法修正案（九）》在听取各方面意见的基础上，对本罪作出修改，严密了公民个人信息保护的法网。

3．主观要件

本罪主观方面由故意构成，包括直接故意和间接故意；过失不构成本罪。犯罪动机一般是为了获利，但动机不影响犯罪的成立。

4．客观要件

本罪客观方面表现为违反国家有关规定，向他人出售或者非法提供公民个人信息，情节严重的行为。

依照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《办理侵犯公民个人信息刑事案件解释》）的规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为《刑法》第253条之一规定的“违反国家有关规定”。如《居民身份证法》第13条第2款规定：“有关单位及其工作人员对履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息，应当予以保密。”此外，旅游法、护照法、社会保险法、统计法等法律也有关于公民个人信息保护的相关规定。

“公民个人信息”，根据《办理侵犯公民个人信息刑事案件解释》，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

“出售”是指出于商业目的，将自己掌握的公民个人信息出卖给他人。“非法提供”是指违反国家有关规定，将自己掌握的公民个人信息提供给他人的行为。这里的他人既可以是单位，也包括自然人。如果是为了提高行政效率或者维护国家安全，基于侦查、起诉、审判工作需要等，而向政府有关部门、司法机关等提供公民个人信息，则属合法提供。依照《办理侵犯公民个人信息刑事案件解释》的规定，向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为《刑法》第253条之一规定的“提供公民个人信息”。未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于《刑法》第253条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

按照法律规定，出售、非法提供公民个人信息的行为，必须达到“情节严重”的程度才构成犯罪。《办理侵犯公民个人信息刑事案件解释》规定，非法出售或者提供公民个人信息，具有下列情形之一的，应当认定为“情节严重”：（1）出售或者提供行踪轨迹信息，被他人用于犯罪的；（2）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；（3）非法出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的；（4）非法出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的；（5）非法出售或者提供第3项、第4项规定以外的公民个人信息5千条以上的；（6）数量未达到第3项至第5项规定标准，但是按照相应比例合计达到有关数量标准的（7）违法所得5千元以上的；（8）将在履行职责或者提供服务过程中获得的民个人信息出售或者提供给他人，数量或者数额达到第3项至第7项规定标准一半以上的；（9）曾因侵犯公民个人信息受过刑事处罚或者2年内受过行政处罚，又非法出售或者提供公民个人信息的；（10）其他情节严重的情形。

 

认定要义

一、合法提供公民个人信息的行为与本罪区分

根据《刑法》第253条之一的规定，构成出售、非法提供公民个人信息罪的前提，是违法国家有关规定而出售或者非法提供。如果依照相关规定应当提供的行为，则不能认定本罪。如《》第52条规定：“人民法院、人民检察院和公安机关有权向有关单位和个人收集、调取证据。有关单位和个人应当如实提供证据。”因此，人民法院、人民检察和公安机关基于办理刑事案件的需要向调取证据时，证人将自己知道的有关刑事案件的公民的个人信息提供给相关单位的，不能认定本罪

二、本罪的罪与非罪

根据《刑法》第253条之一的规定，构成本罪应当达到“情节严重”的程度，一般是指大量出售公民个人信息的，多次出售公民个人信息的，出售公民个人信息获利数额较大的，公民个人信息被他人使用后给公民造成经济上的重大损失或者严重影响到公民个人的正常生活等情况。出售、非法提供公民个人信息的行为，如果情节不严重，如系初犯，出售或者非法提快公民个人信息数量不大、获利不多等，则属违法行为，不构成犯罪，可通过行政手段来解决。如《居民身份证法》第19条规定：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员泄露在履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，由公安机关处十日以上十五日以下拘留，并处五千元罚款，有违法所得的，没收违法所得。单位有前款行为，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，由公安机关对其直接负责的主管人员和其他直接责任人员，处十日以上十五日以下拘留，并处十万元以上五十万元以下罚款，有违法所得的，没收违法所得。有前两款行为，对他人造成损害的，依法承担民事责任。”

三、本罪与他罪的区分

（1）本罪与窃取、收买或者非法提供他人信用卡信息资料罪

《刑法》第177条之一第2款规定：窃取、收买或者非法提供他人信用卡信息资料的，依照前款规定处罚。第3款规定：银行或者其他金融机构的工作人员利用职务上的便利，犯第二款罪的，从重处罚。

本罪与上述规定的“非法提供他人信用卡信息资料”在犯罪对象和客观方面均有重合。如果行为人非法提供的是他人信用卡信息赟资料，则该行为符合上述两个罪名的犯罪构成要件，属于想象竞合犯，应当从一重处罚。从法定刑来看，《刑法》第177条的规定重于第253条的规定，应当以窃取、收买或者非法提供他人信用卡信息资料罪定罪处罚。

（2）本罪与为境外非法提供国家机密罪、故意泄露国家秘密罪

根据《刑法》第11条规定，为境外的机构、组织、人员非法提供国家秘密或者情报的，构成为境外非法提供国家秘密罪。

根据《刑法》第398条规定，国家机关工作人员违反保守国家秘密法的规定，故意泄露国家秘密，情节严重的，构成故意泄露国家秘密罪。非国家机关工作人员犯前款罪的，依照前款的规定酌情处罚。

本罪与上述两个罪名通常不易混淆，但是如果出售、非法提供的公民个人信息中包含国家秘密的，则涉及罪与罪的区分。当行为人对国家秘密有认识，仍向境外组织、机构、人员出售、非法提供的，按照想象竞合犯的处罚原则从一重处罚，应当以《刑法》第111条的规定定罪处罚。当行为人对国家秘密有认识，出售、非法提供给境内组织、机构、个人的，其行为同时触犯本罪与故意泄露国家秘密罪，按照想象竞合犯的处罚原则，应当以故意泄露国家秘密罪定罪处罚。如果行为人对公民个人信息中包含的国家秘密不知也不可能知道的，则只能以本罪定罪处罚。

（京）立案标准

（一）具有下列情形之一的，属于“情节严重”，处三年以下有期徒刑或者拘役，并处或者单处罚金：

1.出售或者提供行踪轨迹信息，被他人用于犯罪的；

2.知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

3.非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的；

4.非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的；

5.非法获取、出售或者提供第三项、第四项规定以外的公民个人信息5000条以上的；

6.数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

7.违法所得5000元以上的；

8.将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

9.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

10.其他情节严重的情形。

为合法经营活动而非法购买、收受上述第三项、第四项规定以外的公民个人信息，具有下列情形之一的，属于“情节严重”：

1.利用非法购买、收受的公民个人信息获利5万元以上的；

2.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

3.其他情节严重的情形。

（二）具有下列情形之一的，属于“情节特别严重”，处三年以上七年以下有期徒刑，并处罚金：

1.造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

2.造成重大经济损失或者恶劣社会影响的；

3.数量或者数额达到前款第三项至第八项规定标准10倍以上的；

4.其他情节特别严重的情形。

（冀）立案标准

（一）具有下列情形之一的，属于“情节严重”，处三年以下有期徒刑或者拘役，并处或者单处罚金：

1.出售或者提供行踪轨迹信息，被他人用于犯罪的；

2.知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

3.非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的；

4.非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的；

5.非法获取、出售或者提供第三项、第四项规定以外的公民个人信息5000条以上的；

6.数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

7.违法所得5000元以上的；

8.将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

9.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

10.其他情节严重的情形。

为合法经营活动而非法购买、收受上述第三项、第四项规定以外的公民个人信息，具有下列情形之一的，属于“情节严重”：

1.利用非法购买、收受的公民个人信息获利5万元以上的；

2.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

3.其他情节严重的情形。

（二）具有下列情形之一的，属于“情节特别严重”，处三年以上七年以下有期徒刑，并处罚金：

1.造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

2.造成重大经济损失或者恶劣社会影响的；

3.数量或者数额达到前款第三项至第八项规定标准10倍以上的；

4.其他情节特别严重的情形。

 

量刑标准

依照《刑法》第253条之一第3款规定，犯非法获取公民个人信息罪的，处3年以下有期徒刑或者拘役，并处或者单处罚金。情节特别严重的，处3年以上7年以下有期徒刑，并处罚金。

依照本条第4款规定，单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

司法机关在适用时，应当注意以下问题：

1.本条第3款针对自然人非法获取公民个人信息的行为。虽然法条没有规定“情节严重”，但是按照第1款的规定，该行为需达到情节严重的，才能构成犯罪。对于情节一般，尚未造成严重后果的，可予以治安管理处罚或者

2．本条第4款针对单位犯罪，单位犯罪实施双罚制，除对单位判处罚金行政处罚，对单位的主管人员和其他直接责任人员符合第1款规定的依照该款规定处罚。

3．依照《办理侵犯公民个人信息刑事案件解释》的规定，实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免于刑事处罚；确有必要判处刑罚的，应当从宽处罚。

4．“情节特别严重”的认定。依照《办理侵犯公民个人信息刑事案件解释》的规定，实施本解释第5条第1款的行为，具有下列情形之一的，应当认定为“情节特别严重”：（1）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；（2）造成重大经济损失或者恶劣社会影响的；（3）数量或者数额达到第5条第1款第3项至第8项规定标准10倍以上的；（4）其他情节特别严重的情形。

5．罚金刑的适用。依照《办理侵犯公民个人信息刑事案件解释》的规定对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的1倍以上5倍以下。

6．规范化量刑。《最高人民法院关于常见犯罪的量刑指导意见》对非法提供公民个人信息罪的量刑并未作出规定，这主要是由于本罪经《刑法修正案（七）》和《刑法修正案（九）》新增和修改，最高司法机关尚未总结出一套成熟的量刑标准。在有关规定出台前，司法人员应当根据犯罪事实、性质、情节和社会危害程度，依照刑法和有关司法解释的规定判处刑罚。

具体情节与量刑的对应情况，列表格如下：

量刑档次	对应情节
三年以下有期徒刑或者拘役，并处或单处罚金	非法获取公民个人信息，情节严重的
三年以上七年以下有期徒刑，并处罚金	上诉行为，情节特别严重的
对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚	单位犯前款罪的

 

解释性文件

最高人民检察院《检察机关办理侵犯公民个人信息案件指引》（2018年11月9日施行 高检发侦监字〔2018〕13号）

各省、自治区、直辖市人民检察院，新疆生产建设兵团人民检察院：

《检察机关办理侵犯公民个人信息案件指引》已经2018年8月24日最高人民检察院第十三届检察委员会第五次会议通过，现印发你们，供参考。

最高人民检察院

 2018年11月9日

 

检察机关办理侵犯公民个人信息案件指引

高检发侦监字〔2018〕13号

 

目    次

一、审查证据的基本要求

（一）审查逮捕

（二）审查起诉

二、需要特别注意的问题

（一）对“公民个人信息”的审查认定

（二）对“违反国家有关规定”的审查认定

（三）对“非法获取”的审查认定

（四）对“情节严重”和“情节特别严重”的审查认定

（五）对关联犯罪的审查认定

三、社会危险性及羁押必要性审查

（一）审查逮捕

（二）审查起诉

 

根据《中华人民共和国刑法》第二百五十三条之一的规定，侵犯公民个人信息罪是指违反国家有关规定，向他人出售、提供公民个人信息，或者通过窃取等方法非法获取公民个人信息，情节严重的行为。结合《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）（以下简称《解释》），办理侵犯公民个人信息案件，应当特别注意以下问题：一是对“公民个人信息”的审查认定；二是对“违反国家有关规定”的审查认定；三是对“非法获取”的审查认定；四是对“情节严重”和“情节特别严重”的审查认定；五是对关联犯罪的审查认定。

一、审查证据的基本要求

（一）审查逮捕

1. 有证据证明发生了侵犯公民个人信息犯罪事实

（1）证明侵犯公民个人信息案件发生

主要证据包括：报案登记、受案登记、立案决定书、破案经过、证人证言、被害人陈述、供述和辩解以及证人、被害人提供的短信、微信或QQ截图等电子数据。

（2）证明被侵犯对象系公民个人信息

主要证据包括：扣押物品清单、勘验检查笔录、电子数据、司法鉴定意见及公民信息查询结果说明、被害人陈述、被害人提供的原始信息资料和对比资料等。

2. 有证据证明侵犯公民个人信息行为是犯罪嫌疑人实施的

（1）证明违反国家有关规定的证据：犯罪嫌疑人关于所从事的职业的供述、其所在公司的工商注册资料、公司出具的犯罪嫌疑人职责范围说明、劳动合同、保密协议及公司领导、同事关于犯罪嫌疑人职责范围的证言等。

（2）证明出售、提供行为的证据：远程勘验笔录及QQ、微信等即时通讯工具聊天记录、论坛、贴吧、电子邮件、手机短信记录等电子数据，证明犯罪嫌疑人通过上述途径向他人出售、提供、交换公民个人信息的情况。公民个人信息贩卖者、提供者、担保交易人及购买者、收受者的证言或供述，相关银行账户明细、第三方支付平台账户明细，证明出售公民个人信息违法所得情况。此外，如果犯罪嫌疑人系通过信息网络发布方式提供公民个人信息，证明该行为的证据还包括远程勘验笔录、扣押笔录、扣押物品清单、对手机、电脑存储介质、云盘、FTP等的司法鉴定意见等。

（3）证明犯罪嫌疑人或公民个人信息购买者、收受者控制涉案信息的证据：搜查笔录、扣押笔录、扣押物品清单，对手机、电脑存储介质等的司法鉴定意见等，证实储存有公民个人信息的电脑、手机、U盘或者移动硬盘、云盘、FTP等介质与犯罪嫌疑人或公民个人信息购买者、收受者的关系。犯罪嫌疑人供述、辨认笔录及证人证言等，证实犯罪嫌疑人或公民个人信息购买者、收受者所有或实际控制、使用涉案存储介质。

（4）证明涉案公民个人信息真实性的证据：被害人陈述、被害人提供的原始信息资料、公安机关或相关单位出具的涉案公民个人信息与权威数据库内信息同一性的比对说明。针对批量的涉案公民个人信息的真实性问题，根据《解释》精神，可以根据查获的数量直接认定，但有证据证明信息不真实或重复的除外。

（5）证明违反国家规定，通过窃取、购买、收受、交换等方式非法获取公民个人信息的证据：主要证据与上述以出售、提供方式侵犯公民个人信息行为的证据基本相同。针对窃取的方式如通过技术手段非法获取公民个人信息的行为，需证明犯罪嫌疑人实施上述行为，除被害人陈述、犯罪嫌疑人供述和辩解外，还包括侦查机关从被害公司数据库中发现入侵电脑IP地址情况、罪嫌疑人电脑中提取的侵入被害公司数据的痕迹等现场勘验检查笔录，以及涉案程序（木马）的司法鉴定意见等。

3. 有证据证明犯罪嫌疑人具有侵犯公民个人信息的主观故意

（1）证明犯罪嫌疑人明知没有获取、提供公民个人信息的法律依据或资格，主要证据包括：犯罪嫌疑人的身份证明、犯罪嫌疑人关于所从事职业的供述、其所在公司的工商资料和营业范围、公司关于犯罪嫌疑人的职责范围说明、公司主要负责人的证人证言等。

（2）证明犯罪嫌疑人积极实施窃取、出售、提供、购买、交换、收受公民个人信息的行为，主要证据除了证人证言、犯罪嫌疑人供述和辩解外，还包括远程勘验笔录、手机短信记录、即时通讯工具聊天记录、电子数据司法鉴定意见、银行账户明细、第三方支付平台账户明细等。

4. 有证据证明“情节严重”或“情节特别严重”

（1）公民个人信息购买者或收受者的证言或供述。

（2）公民个人信息购买、收受公司工作人员利用公民个人信息进行电话或短信推销、商务调查等经营性活动后出具的证言或供述。

（3）公民个人信息购买者或者收受者利用所获信息从事违法犯罪活动后出具的证言或供述。

（4）远程勘验笔录、电子数据司法鉴定意见书、最高人民检察院或公安部指定的机构对电子数据涉及的专门性问题出具的报告、公民个人信息资料等。证明犯罪嫌疑人通过即时通讯工具、电子邮箱、论坛、贴吧、手机等向他人出售、提供、购买、交换、收受公民个人信息的情况。

（5）银行账户明细、第三方支付平台账户明细。

（6）死亡证明、伤情鉴定意见、医院诊断记录、经济损失鉴定意见、相关案件起诉书、判决书等。

（二）审查起诉

除审查逮捕阶段证据审查基本要求之外，对侵犯公民个人信息案件的审查起诉工作还应坚持“犯罪事实清楚，证据确实、充分”的标准，保证定罪量刑的事实都有证据证明；据以定案的证据均经法定程序查证属实；综合全案证据，对所认定的事实已排除合理怀疑。

1. 有确实充分的证据证明发生了侵犯公民个人信息犯罪事实。该证据与审查逮捕的证据类型相同。

2. 有确实充分的证据证明侵犯公民个人信息行为是犯罪嫌疑人实施的

（1）对于证明犯罪行为是犯罪嫌疑人实施的证据审查，需要结合《解释》精神，准确把握对“违反国家有关规定”“出售、提供行为”“窃取或以其他方法”的认定。

（2）对证明违反国家有关规定的证据审查，需要明确国家有关规定的具体内容，违反法律、行政法规、部门规章有关公民个人信息保护规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

（3）对证明出售、提供行为的证据审查，应当明确“出售、提供”包括在履职或提供服务的过程中将合法持有的公民个人信息出售或者提供给他人的行为：向特定人提供、通过信息网络或者其他途径发布公民个人信息、未经被收集者同意，将合法收集的公民个人信息（经过处理无法识别特定个人且不能复原的除外）向他人提供的，均属于刑法第二百五十三条之一规定的“提供公民个人信息”。应当全面审查犯罪嫌疑人所出售提供公民个人信息的来源、途经与去向，对相关供述、物证、书证、证人证言、被害人陈述、电子数据等证据种类进行综合审查，针对使用信息网络进行犯罪活动的，需要结合专业知识，根据证明该行为的远程勘验笔录、扣押笔录、扣押物品清单、电子存储介质、网络存储介质等的司法鉴定意见进行审查。

（4）对证明通过窃取或以其他非法方法获取公民个人信息等方式非法获取公民个人信息的证据审查，应当明确“以其他方法获取公民个人信息”包括购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的行为。

针对窃取行为，如通过信息网络窃取公民个人信息，则应当结合犯罪嫌疑人供述、证人证言、被害人陈述，着重审查证明犯罪嫌疑人侵入信息网络、数据库时的IP地址、MAC地址、侵入工具、侵入痕迹等内容的现场勘验检查笔录以及涉案程序（木马）的司法鉴定意见等。

针对购买、收受、交换行为，应当全面审查购买、收受、交换公民个人信息的来源、途经、去向，结合犯罪嫌疑人供述和辩解、辨认笔录、证人证言等证据，对搜查笔录、扣押笔录、扣押物品清单、涉案电子存储介质等司法鉴定意见进行审查，明确上述证据同犯罪嫌疑人或公民个人信息购买、收受、交换者之间的关系。

针对履行职责、提供服务过程中收集公民个人信息的行为，应当审查证明犯罪嫌疑人所从事职业及其所负职责的证据，结合法律、行政法规、部门规章等国家有关公民个人信息保护的规定，明确犯罪嫌疑人的行为属于违反国家有关规定，以其他方法非法获取公民个人信息的行为。

（5）对证明涉案公民个人信息真实性证据的审查，应当着重审查被害人陈述、被害人提供的原始信息资料、公安机关或其他相关单位出具的涉案公民个人信息与权威数据库内信息同一性的对比说明。对批量的涉案公民个人信息的真实性问题，根据《解释》精神，可以根据查获的数量直接认定，但有证据证明信息不真实或重复的除外。

3. 有确实充分的证据证明犯罪嫌疑人具有侵犯公民个人信息的主观故意

（1）对证明犯罪嫌疑人主观故意的证据审查，应当综合审查犯罪嫌疑人的身份证明、犯罪嫌疑人关于所从事职业的供述、其所在公司的工商资料和营业范围、公司关于犯罪嫌疑人的职责范围说明、公司主要负责人的证人证言等，结合国家公民个人信息保护的相关规定，夯实犯罪嫌疑人在实施犯罪时的主观明知。

（2）对证明犯罪嫌疑人积极实施窃取或者以其他方法非法获取公民个人信息行为的证据审查，应当结合犯罪嫌疑人供述、证人证言，着重审查远程勘验笔录、手机短信记录、即时通讯工具聊天记录、电子数据司法鉴定意见、银行账户明细、第三方支付平台账户明细等，明确犯罪嫌疑人在实施犯罪时的积极作为。

4. 有确实充分的证据证明“情节严重”或“情节特别严重”。该证据与审查逮捕的证据类型相同。

二、需要特别注意的问题

在侵犯公民个人信息案件审查逮捕、审查起诉中，要根据相关法律、司法解释等规定，结合在案证据，重点注意以下问题：

（一）对“公民个人信息”的审查认定

根据《解释》的规定，公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。经过处理无法识别特定自然人且不能复原的信息，虽然也可能反映自然人活动情况，但与特定自然人无直接关联，不属于公民个人信息的范畴。

对于企业工商登记等信息中所包含的手机、电话号码等信息，应当明确该号码的用途。对由公司购买、使用的手机、电话号码等信息，不属于个人信息的范畴，从而严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。

（二）对“违反国家有关规定”的审查认定

《中华人民共和国刑法修正案（九）》将原第二百五十三条之一的“违反国家规定”修改为“违反国家有关规定”，后者的范围明显更广。根据刑法第九十六条的规定，“国家规定”仅限于全国人大及其常委会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。而“国家有关规定”还包括部门规章，这些规定散见于金融、电信、交通、教育、医疗、统计、邮政等领域的法律、行政法规或部门规章中。

（三）对“非法获取”的审查认定

在窃取或者以其他方法非法获取公民个人信息的行为中，需要着重把握“其他方法”的范围问题。“其他方法”，是指“窃取”以外，与窃取行为具有同等危害性的方法，其中，购买是最常见的非法获取手段。侵犯公民个人信息犯罪作为电信网络诈骗的上游犯罪，诈骗分子往往先通过网络向他人购买公民个人信息，然后自己直接用于诈骗或转发给其他同伙用于诈骗，诈骗分子购买公民个人信息的行为属于非法获取行为，其同伙接收公民个人信息的行为明显也属于非法获取行为。同时，一些房产中介、物业管理公司、保险公司、担保公司的业务员往往与同行通过QQ、微信群互相交换各自掌握的客户信息，这种交换行为也属于非法获取行为。此外，行为人在履行职责、提供服务过程中，违反国家有关规定，未经他人同意收集公民个人信息，或者收集与提供的服务无关的公民个人信息的，也属于非法获取公民个人信息的行为。

（四）对“情节严重”和“情节特别严重”的审查认定

1. 关于“情节严重”的具体认定标准，根据《解释》第五条第一款的规定，主要涉及五个方面：

（1）信息类型和数量。①行踪轨迹信息、通信内容、征信信息、财产信息，此类信息与公民人身、财产安全直接相关，数量标准为五十条以上，且仅限于上述四类信息，不允许扩大范围。对于财产信息，既包括银行、第三方支付平台、证券期货等金融服务账户的身份认证信息（一组确认用户操作权限的数据，包括账号、口令、密码、数字证书等），也包括存款、房产、车辆等财产状况信息。②住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息，数量标准为五百条以上，此类信息也与人身、财产安全直接相关，但重要程度要弱于行踪轨迹信息、通信内容、征信信息、财产信息。对“其他可能影响人身、财产安全的公民个人信息”的把握，应当确保所适用的公民个人信息涉及人身、财产安全，且与“住宿信息、通信记录、健康生理信息、交易信息”在重要程度上具有相当性。③除上述两类信息以外的其他公民个人信息，数量标准为五千条以上。

（2）违法所得数额。对于违法所得，可直接以犯罪嫌疑人出售公民个人信息的收入予以认定，不必扣减其购买信息的犯罪成本。同时，在审查认定违法所得数额过程中，应当以查获的银行交易记录、第三方支付平台交易记录、聊天记录、犯罪嫌疑人供述、证人证言综合予以认定，对于犯罪嫌疑人无法说明合法来源的用于专门实施侵犯公民个人信息犯罪的银行账户或第三方支付平台账户内资金收入，可综合全案证据认定为违法所得。

（3）信息用途。公民个人信息被他人用于违法犯罪活动的，不要求他人的行为必须构成犯罪，只要行为人明知他人非法获取公民个人信息用于违法犯罪活动即可。

（4）主体身份。如果行为人系将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，涉案信息数量、违法所得数额只要达到一般主体的一半，即可认为“情节严重”。

（5）主观恶性。曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，即可认为“情节严重”。

2. 关于“情节特别严重”的认定标准，根据《解释》，主要分为两类：一是信息数量、违法所得数额标准。二是信息用途引发的严重后果，其中造成人身伤亡、经济损失、恶劣社会影响等后果，需要审查认定侵犯公民个人信息的行为与严重后果间存在因果关系。

对于涉案公民个人信息数量的认定，根据《解释》第十一条，非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算；向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算；对批量出售、提供公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。在实践中，如犯罪嫌疑人多次获取同一条公民个人信息，一般认定为一条，不重复累计；但获取的该公民个人信息内容发生了变化的除外。

对于涉案公民个人信息的数量、社会危害性等因素的审查，应当结合刑法第二百五十三条和《解释》的规定进行综合审查。涉案公民个人信息数量极少，但造成被害人死亡等严重后果的，应审查犯罪嫌疑人行为与该后果之间的因果关系，符合条件的，可以认定为实施《解释》第五条第一款第十项“其他情节严重的情形”的行为，造成被害人死亡等严重后果，从而认定为“情节特别严重”。如涉案公民个人信息数量较多，但犯罪嫌疑人仅仅获取而未向他人出售或提供，则可以在认定相关犯罪事实的基础上，审查该行为是否符合《解释》第五条第一款第三、四、五、六、九项及第二款第三项的情形，符合条件的，可以分别认定为“情节严重”“情节特别严重”。

此外，针对为合法经营活动而购买、收受公民个人信息的行为，在适用《解释》第六条的定罪量刑标准时须满足三个条件：一是为了合法经营活动，对此可以综合全案证据认定，但主要应当由犯罪嫌疑人一方提供相关证据；二是限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息；三是信息没有再流出扩散，即行为方式限于购买、收受。如果将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准应当适用《解释》第五条的规定。

（五）对关联犯罪的审查认定

对于侵犯公民个人信息犯罪与电信网络诈骗犯罪相交织的案件，应严格按照《最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见》（法发〔2016〕32号）的规定进行审查认定，即通过认真审查非法获取、出售、提供公民个人信息的犯罪嫌疑人对电信网络诈骗犯罪的参与程度，结合能够证实其认知能力的学历文化、聊天记录、通话频率、获取固定报酬还是参与电信网络诈骗犯罪分成等证据，分析判断其是否属于诈骗、是否应该数罪并罚。

根据《解释》第八条的规定，设立用于实施出售、提供或者非法获取公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪；同时构成侵犯公民个人信息罪的，应当认定为侵犯公民个人信息罪。

对于违反国家有关规定，采用技术手段非法侵入合法存储公民个人信息的单位数据库窃取公民个人信息的行为，也符合刑法第二百八十五条第二款非法获取计算机信息系统数据罪的客观特征，同时触犯侵犯公民个人信息罪和非法获取计算机信息系统数据罪的，应择一重罪论处。

此外，针对公安民警在履行职责过程中，违反国家有关规定，查询、提供公民个人信息的情形，应当认定为“违反国家有关规定，将在履行职责或者提供服务过程中以其他方法非法获取或提供公民个人信息”。但同时，应当审查犯罪嫌疑人除该行为之外有无其他行为侵害其他法益，从而对可能存在的其他犯罪予以准确认定。

三、社会危险性及羁押必要性审查

（一）审查逮捕

1. 犯罪动机：一是出售牟利；二是用于经营活动；三是用于违法犯罪活动。犯罪动机表明犯罪嫌疑人主观恶性，也能证明犯罪嫌疑人是否可能实施新的犯罪。

2. 犯罪情节。犯罪嫌疑人的行为直接反映其人身危险性。具有下列情节的侵犯公民个人信息犯罪，能够证实犯罪嫌疑人主观恶性和人身危险性较大，实施新的犯罪的可能性也较大，可以认为具有较大的社会危险性：一是犯罪持续时间较长、多次实施侵犯公民个人信息犯罪的；二是被侵犯的公民个人信息数量或违法所得巨大的；三是利用公民个人信息进行违法犯罪活动的；四是犯罪手段行为本身具有违法性或者破坏性，即犯罪手段恶劣的，如骗取、窃取公民个人信息，采取胁迫、植入木马程序侵入他人计算机系统等方式非法获取信息。

犯罪嫌疑人实施侵犯公民个人信息犯罪，不属于“情节特别严重”，系初犯，全部退赃，并确有悔罪表现的，可以认定社会危险性较小，没有逮捕必要。

（二）审查起诉

在审查起诉阶段，要结合侦查阶段取得的事实证据，进一步引导侦查机关加大捕后侦查力度，及时审查新证据。在羁押期限届满前对全案进行综合审查，对于未达到逮捕证明标准的，撤销原逮捕决定。

经羁押必要性审查，发现犯罪嫌疑人具有下列情形之一的，应当向办案机关提出释放或者变更强制措施的建议：

1. 案件证据发生重大变化，没有证据证明有犯罪事实或者犯罪行为系犯罪嫌疑人、被告人所为的。

2. 案件事实或者情节发生变化，犯罪嫌疑人、被告人可能被判处拘役、、独立适用附加刑、免予刑事处罚或者判决无罪的。

3. 继续羁押犯罪嫌疑人、被告人，羁押期限将超过依法可能判处的刑期的。

4. 案件事实基本查清，证据已经收集固定，符合或者监视居住条件的。

经羁押必要性审查，发现犯罪嫌疑人、被告人具有下列情形之一，且具有悔罪表现，不予羁押不致发生社会危险性的，可以向办案机关提出释放或者变更强制措施的建议：

1. 预备犯或者中止犯；共同犯罪中的从犯或者胁从犯。

2. 主观恶性较小的初犯。

3. 系未成年人或者年满七十五周岁的人。

4. 与被害方依法自愿达成和解协议，且已经履行或者提供担保的。

5. 患有严重疾病、生活不能自理的。

6. 系怀孕或者正在哺乳自己婴儿的妇女。

7. 系生活不能自理的人的唯一扶养人。

8. 可能被判处一年以下有期徒刑或者宣告的。

9. 其他不需要继续羁押犯罪嫌疑人、被告人的情形。

 

最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释（2017年6月1日施行 法释〔2017〕10号）

【延伸阅读】《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》的理解与适用

为依法惩治侵犯公民个人信息犯罪活动，保护公民个人信息安全和合法权益，根据《中华人民共和国刑法》《中华人民共和国刑事诉讼法》的有关规定，现就办理此类刑事案件适用法律的若干问题解释如下：

第一条 刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

第二条 违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

第三条 向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。

未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

第四条 违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

第五条 非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；

（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

（七）违法所得五千元以上的；

（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

（十）其他情节严重的情形。

实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：

（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

（二）造成重大经济损失或者恶劣社会影响的；

（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；

（四）其他情节特别严重的情形。

第六条 为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）利用非法购买、收受的公民个人信息获利五万元以上的；

（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

（三）其他情节严重的情形。

实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。

第七条 单位犯刑法第二百五十三条之一规定之罪的，依照本解释规定的相应自然人犯罪的定罪量刑标准，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。

第八条 设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪处罚；同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。

第九条 网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。

第十条 实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。

第十一条 非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。

向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。

对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。

第十二条 对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。

第十三条 本解释自2017年6月1日起施行。

 

最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（2016年12月20日施行 法发〔2016〕32号）

三、全面惩处关联犯罪

（二）违反国家有关规定，向他人出售或者提供公民个人信息，窃取或者以其他方法非法获取公民个人信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。

 

全国人大法工委对能够识别公民个人身份的电子信息是否属于公民个人信息的意见（2015年7月13日发布 法工办发〔2015〕178号）

公安部办公厅：

你部关于商请明确电子信息是否属于公民个人信息的函（公信安〔2015〕1903号）收悉。经研究，我们同意你部关于能够识别公民个人身份的电子信息应属于公民个人信息的意见。

全国人大常委会法制工作委员会办公室

 

公安部关于公安机关处置信访活动中违法犯罪行为适用法律的指导意见（2013年7月19日 中公通〔2013〕25号）

三、对侵犯人身权利、财产权利违法犯罪行为的处理

4.偷窥、偷拍、窃听、散布他人隐私，符合《治安管理处罚法》第四十二条第六项规定的，以侵犯隐私依法予以治安管理处罚；情节严重，符合《刑法》第二百五十三条之一第二款规定的，以非法获取公民个人信息罪追究刑事责任。

 

最高人民法院、最高人民检察院、公安部关于依法惩处侵害公民个人信息犯罪活动的通知（2013年4月23日 公通字〔2013〕12号）

各省、自治区、直辖市高级人民法院，人民检察院，公安厅、局，新疆维吾尔自治区高级人民法院生产建设兵团分院，新疆生产建设兵团人民检察院、公安局：

近年来，随着我国经济快速发展和信息网络的广泛普及，侵害公民个人信息的违法犯罪日益突出，互联网上非法买卖公民个人信息泛滥，由此滋生的、网络诈骗、敲诈勒索、绑架和非法讨债等犯罪屡打不绝，社会危害严重，群众反响强烈。为有效遏制、惩治侵害公民个人信息犯罪，切实保障广大人民群众的个人信息安全和合法权益，促进社会协调发展，维护社会稳定，现就有关事项通知如下：

一、切实提高认识，坚决打击侵害公民个人信息犯罪活动。当前，一些犯罪分子为追求不法利益，利用互联网大肆倒卖公民个人信息，已逐渐形成庞大“地下产业”和黑色利益链。买卖的公民个人信息包括户籍、银行、电信开户资料等，涉及公民个人生活的方方面面。部分国家机关和金融、电信、交通、教育、医疗以及物业公司、房产中介、保险、快递等企事业单位的一些工作人员，将在履行职责或者提供服务过程中获取的公民个人信息出售、非法提供给他人。获取信息的中间商在互联网上建立数据平台，大肆出售信息谋取暴利。非法调查公司根据这些信息从事非法讨债、诈骗和敲诈勒索等违法犯罪活动。此类犯罪不仅危害公民的信息安全，而且极易引发多种犯罪，成为电信诈骗、网络诈骗以及滋扰型“软暴力”等信息犯罪的根源，甚至与绑架、敲诈勒索、暴力追债等犯罪活动相结合，影响人们群众的安全感，威胁社会和谐稳定。各级公安机关、人民检察院、人民法院务必清醒认识此类犯罪的严重危害，以对党和人民高度负责的精神，统一思想，提高认识，精心组织，周密部署，依法惩处侵害公民个人信息犯罪活动。

二、正确适用法律，实现法律效果与社会效果的有机统一。侵害公民个人信息犯罪是新型犯罪，各级公安机关、人民检察院、人民法院要从切实保护公民个人信息安全和维护社会和谐稳定的高度，借鉴以往的成功判例，综合考虑出售、非法提供或非法获取个人信息的次数、数量、手段和牟利数额、造成的损害后果等因素，依法加大打击力度，确保取得良好的法律效果和社会效果。出售、非法提供公民个人信息罪的犯罪主体，除国家机关或金融、电信、交通、医疗单位的工作人员之外，还包括在履行职责或者提供服务过程中获得公民个人信息的商业、房地产业等服务业中其他企事业单位的工作人员。公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。对于在履行职责或者提供服务过程中，将获得的公民个人信息出售或者非法提供给他人，被他人用以实施犯罪，造成受害人人身伤害或者死亡，或者造成重大经济损失、恶劣社会影响的，或者出售、非法提供公民个人信息数量较大，或者违法所得数额较大的，均应当依法以非法出售、非法提供公民个人信息罪追究刑事责任。对于窃取或者以购买等方法非法获取公民个人信息数量较大，或者违法所得数额较大，或者造成其他严重后果的，应当依法以非法获取公民个人信息罪追究刑事责任。对使用非法获取的个人信息，实施其他犯罪行为，构成数罪的，应当依法予以并罚。单位实施侵害公民个人信息罪的，应当追究直接负责的主管人员和其他直接责任人员的刑事责任。要依法加大对财产刑的适用力度，剥夺犯罪分子非法获利和再次犯罪的资本。

三、加强协作配合，确保执法司法及时高效。侵害公民个人信息犯罪网络覆盖面大，关系错综复杂。犯罪行为发生地、犯罪结果发生地、犯罪分子所在地等往往不在一地。同时，由于犯罪行为大多依托互联网、移动电子设备，通过即时通讯工具、电子邮件等多种方式实施，调查取证难度很大、各级公安机关、人民检察院、人民法院要在分工负责、依法高效履行职责的基础上，进一步加强沟通协调，通力配合，密切协作，保证立案、侦查、批捕、审查起诉、审判等各个环节顺利进行。对查获的及时立案侦查，及时移送审查起诉。对于几个公安机关都有权管辖的案件，由最初受理的公安机关管辖。必要时，可以由主要犯罪地的公安机关管辖。对管辖不明确或者有争议的刑事案件，可以由公安机关协商。协商不成的，由共同上级公安机关指定管辖。对于指定管辖的案件，需要逮捕犯罪嫌疑人的，由被指定管辖的公安机关提请同级人民检察院审查批准；需要提起的，由该公安机关移送同级人民检察院审查决定；认为应当由上级人民检察院或者同级其他人民检察院起诉的，应当将案件移交有管辖权的人民检察院；人民检察院认为需要依照刑事诉讼法的规定指定审判管辖的，应当协商同级人民法院办理指定管辖有关事宜。在办理侵害公民个人信息犯罪案件的过程中，对于疑难、复杂案件，人民检察院可以适时派员会同公安机关共同就证据收集等方面进行研究和沟通协调。人民检察院对于公安机关提请批准逮捕、移送审查起诉的相关案件，符合批捕、起诉条件的，要依法尽快予以批捕、起诉；对于确需补充侦查的，要制作具体、详细的补充侦查提纲。人民法院要加强审判力量，准确定性，依法快审快结。

四、推进综合治理，建立防范、打击长效工作机制。预防和打击侵害公民个人信息犯罪是一项艰巨任务，必须标本兼治，积极探索和构建防范、打击的长效工作机制。各地公安机关、人民检察院、人民法院在依法惩处此类犯罪的同时，要积极参与综合治理，注意发现保护公民个人信息工作中的疏漏和隐患，及时通报相关部门，提醒和督促有关部门和单位加强监管、完善制度。要充分利用报纸、广播、电视、网络等多种媒体平台，大力宣传党和国家打击此类犯罪的决心和力度，宣传相关的政策和法律法规，提醒和教育广大群众运用法律保障和维护自身合法权益，提高自我防范的意识和能力。

各地接此通知后，请迅速传达至各级人民法院、人民检察院、公安机关。执行中遇到的问题，请及时报最高人民法院、最高人民检察院、公安部。 

 

最高人民法院研究室关于刑法二百五十三条之一第二款有关内容理解问题的研究意见（《司法研究与指导》2012年第1辑）

有关部门就刑法二百五十三条之一第二款有关内容理解问题征求最高人民法院研究室意见。最高人民法院研究室经研究认为：

1．刑法二百五十三条之一第二款（现第三款）“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚”中的“上述信息”，应当是指刑法二百五十三条之一第一款规定的国家机关、金融等相关单位“在履行职责或者提供服务过程中获得的公民个人信息”。

2．“非法获取公民个人信息罪”中的“公民”应当不限于中国公民。

【解读】（作者：最高人民法院研究室刘涛）

一、问题由来

犯罪嫌疑人熊某某、任某受雇于某甲，通过跟踪等手段非法获取了外籍人某乙的住处等个人信息，并提供给某甲。后某甲利用熊某某、任某提供的关于某乙的个人信息，找到某乙，并将某乙杀害。犯罪嫌疑人熊某某、任某涉嫌非法获取公民个人信息罪，被公安机关提请批准逮捕。但检察机关决定以二人不构成犯罪为由不批准逮捕。其理由如下：（1）不符合非法获取公民个人信息罪中对公民个人信息获取渠道的限制性要求。该罪中的“上述信息”应当是指刑法第二百五十三条之一第一款规定的“国家机关、金融等相关单位在履行职责或者提供服务过程中获得的公民个人信息”。（2）不符合非法获取公民个人信息罪中对“公民”的要求。“公民”仅指中国公民。

由于案件办理过程中存在较大争议，有关部门就刑法第二百五十三条之一第二款“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚”中的“上述信息”及非法获取公民个人信息罪中的“公民”的理解问题征求最高人民法院研究室意见。

二、主要争议问题

对于刑法第二百五十三条之一第二款“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚”中的“上述信息”是指哪些信息，在研究过程中存在以下分歧意见：

第一种意见认为刑法第二百五十三条之一第二款中的“上述信息”，应为该条第一款规定范围内的信息。其理由如下：一是从文义分析，刑法第二百五十三条之一第二款“上述信息”，应为该条第一款规定范围内的信息，否则刑法就不会这样规定；二是从立法精神来看，此条规定是为了打击利用公权力和公共服务实施的侵犯公民个人信息的行为，对“上述信息”进行限缩解释符合罪刑法定原则的要求。

第二种意见认为刑法第二百五十三条之一第二款中的“上述信息”，是指一切公民个人信息。其理由如下：一是刑法二百五十三条之一第二款中的“上述信息”本身有歧义，理解为一切公民个人信息并不违反罪刑法定原则；二是如果“上述信息”仅指该条第一款规定范围内的信息，则实践中利用网络技术、跟踪等手段非法获取公民个人信息的行为一概不能处罚，非法获取公民个人信息罪的成立范围明显过窄，不符合保护公民个人信息的立法精神；三是如果“上述信息”仅指该条第一款规定范围内的信息，则办理相关案件必须查实公民个人信息是来源于国家机关或者有关单位在履行职责、提供服务中获得的，只要犯罪嫌疑人、被告人坚持辩称其获得的信息并不是或者不知道是来源于国家机关或者有关单位，往往就不能追究其刑事责任，这将在很大程度上使保护公民个人信息的意旨落空。

关于非法获取公民个人信息罪中的“公民”如何理解，在研究过程中，存在以下分歧意见：

第一种意见认为，“非法获取公民个人信息罪”中的“公民”应当仅指中国公民。理由是：根据宪法第三十三条规定，凡具有中华人民共和国国籍的人都是中华人民共和国公民。故刑法中规定的“公民”应当依照宪法规定，仅指中国公民，而不包括外国公民。

第二种意见认为，“非法获取公民个人信息罪”中的“公民”应包括中国公民和在中国的外国公民。考虑到目前中国有大量外籍人，外国人的个人信息应同公民个人信息一样受法律保护。如“非法获取公民个人信息罪”中的“公民”仅包括中国公民，则会出现对外籍人个人信息保护的缺失。

三、研究意见及其理由

经认真研究，最高人民法院研究室认为：考虑到外国人个人信息也应与中国公民个人信息一样平等保护，“非法获取公民个人信息罪”中的“公民”应当不限于中国公民；刑法二百五十三条之一第二款“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚”中的“上述信息”，应当是指刑法二百五十三条之一第一款规定的国家机关、金融等相关单位“在履行职责或者提供服务过程中获得的公民个人信息”。关于刑法二百五十三条之一第二款中的“上述信息”作出以上理解，主要考虑如下：

1．从法条表述来看，第二款规定的“上述信息”应当是指第一款限定的信息，而非任意信息。刑法第二百五十三条之一第一款规定，“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。”第二款随之规定，“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。”从法条规定的上下文衔接来看，第二款中规定的“上述信息”显然应当指的是第一款明确表述的“信息”内容，即国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务过程中获得的公民个人信息。如将此处的“上述信息”解释为一切公民个人信息，则显然脱离了刑法第二百五十三条之一的规定内容，不符合刑法解释理论中体系解释的基本方法。

2．从立法原意来看，规定该条是为打击利用公权力或在提供服务过程中获得公民个人信息行为的供需两方，故规定“上述信息”的用意有所特指。近年来，无论是行使社会管理职权的政府部门或者被授权，或者受委托行使一定行政职能的组织，还是金融、电信、交通、医疗等社会公共服务领域为社会大众提供服务的单位在履行职责过程中，收集了大量的公民个人信息。这些信息为提高行政管理和公共服务的质量和效率提供了便利。由于信息技术的不断发展，批量处理和传递个人信息会越来越容易，个人信息遭到不当收集、恶意使用、篡改的隐患也就会随之出现。近年来，随着网络和电信业等技术的不断发展，公民个人信息的安全性问题越来越成为一个全社会关注的问题。一些组织或者个人，违反职业道德和保密义务，将公民个人信息资料出售牟利或者泄露给他人，获取非法利益。如个人在办理购房、购车、住院手续之后，相关信息就被相关机构或其工作人员卖给房屋中介、保险公司、母婴用品企业、广告公司等。在网络上出售全国股民资料（姓名、联系电话）、商务人士信息、房主信息、车主名录（包括车主姓名、联系电话、车型、车牌号码、家庭住址、发动机号和邮编等信息）、电信用户信息、患者信息等资料，上网点击随处可见。一些公司、个人出于谋利等目的，以窃取、收买等方法大肆收集公民个人信息，对公民个人信息泄露起到了推波助澜的作用，有严重社会危害性。公民个人信息的广为泄露，导致侵害公民合法权益的事件时有发生，对公民的人身、财产安全、个人隐私以及正常的工作、生活构成了严重威胁。这不仅提出公民隐私权的保护问题，而且还涉及到目前引起国内和国外刑事立法高度关注的热点问题，即刑法应当如何保护公民身份信息的安全和公民身份管理秩序，进而运用刑罚控制和打击利用公民身份信息进行的犯罪。①国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务过程中获得的公民个人信息，作为目前非法提供、非法获取的公民个人信息的主要来源，显然应当予以特殊保护。增加刑法第二百五十三条之一正是为了打击以此类以公民个人信息为目标的犯罪行为。

在刑法修正案（七）草案的征求意见过程中，有的意见提出应将第二百五十三条之一规定的犯罪主体扩大到“任何单位和个人”。考虑到该条主要是对在履行职责或提供公共服务过程中利用某种程度的“公权力”采集到的公民个人信息的国家机关或者单位，违反法律规定的保密义务应负的刑事责任，这些保密义务在刑事诉讼法、邮政法、律师法、居民身份证法、反洗钱法、劳动争议仲裁法、行政许可法、公证法、人民银行法、银行业监督法、保险法、电信条例等法律、行政法规中都已作规定，不宜将公民个人信息的刑事保护范围扩大到没有利用“公权力”采集的一切单位和个人。因此，这个意见在立法过程中也没有被采纳。②故将刑法第二百五十三条之一第二款中的“上述信息”解释为该条第一款规定范围内的信息，是符合立法原意的。

3．从打击范围适度性来看，不应随意扩大打击范围。目前我国还没有制定专门保护公民个人信息的法律法规，也没有对公民个人信息的统一界定。2005年中国人民银行发布实施的《个人信用信息基础数据库管理暂行办法》是规定保护公民个人信息内容较多的一个部门规章，但也仅限于对公民个人信用信息安全的保障和合法使用。该办法规定，个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。个人基本信息是指自然人身份识别信息、职业和居住地址等信息；个人信贷交易信息是指商业银行提供的自然人在个人贷款、贷记卡、准贷记卡、担保等信用活动中形成的交易记录；反映个人信用状况的其他信息是指除信贷交易信息之外的反映个人信用状况的相关信息。一般认为，公民个人信息是指能够识别公民个人身份的信息，主要包括姓名、年龄、性别、身份证号码、职业、职务、学历、民族状况、婚姻状况、专业资格和特长、工作经历、家庭背景和住址、电话号码、信用卡号码，教育、医疗、经济活动等的记录，揩纹、网上登陆账号和密码，等等。③

刑法修正案（七）规定，出售、非法提供公民个人信息罪和非法获取公民个人信息罪，将出售、非法提供或者非法获取国家机关或者金融、电信、交通、教育、医疗等单位在履行职责或者提供服务过程中获得的公民个人信息的行为纳入刑事打击的范围，已经迈出了公民个人信息刑事保护的关键一步。对公民个人信息的保护是一个循序渐进的过程。保持对侵犯公民个人信息犯罪打击的适度性，符合现阶段公民个人信息保护的基本状况。而对于行为人自己在网络上收集相对公开的公民个人信息或以其他方式收集其他并非利用“公权力”、公共服务获取的公民个人信息的行为，倘若一律纳入犯罪的范畴，则打击范围过大，可能有失刑事制裁的正当性。

①参见黄太云：《〈刑法修正案（七）〉解读》，载《人民检察》2009年第6期。

②参见黄太云：《〈刑法修正案（七）〉解读》，载《人民检察》2009年第6期。

③参见周海洋：《出售、非法提供公民个人信息罪和非法获取公民个人信息罪的理解与适用》，载《中国审判》2010年第1期。

 

证据规格

第二百三十五条之一 证据规格

侵犯公民个人信息罪：

（一）关于本罪主体的证据

本罪主体是特殊主体，即有关单位的工作人员，具体包括国家机关或者金融、电信交通、医疗等单位的工作人员。同时，也以是单位。

（二）关于本罪主观方面的证据

1.犯罪嫌疑人、被告人的供述和辩解。证实：

（1）案件发生的原因，犯罪的动机、日的，是为了营利，还是为了其他目的；

（2）是否明知违反相关国家规定。

2.被害人陈述。证实:行为人未经被害人许可出售、非法提供其个人信息。

3.书证：

（1）被害人向公安机关或其他司法机关报案的举报、控告记录、报案登记表；

（2）合同，账单，记载出售、非法提供公民个人信息的有关材料等，证明行为人出售、非法提供公民个人信息的起因、动机、目的等。

通过上述证据并结合客观方面的有关证据，证明行为人出售、非法提供公民个人信息的主观故意，即明知自己违反国家规定，出售或者非法提供公民个人信息给他人，即故意为之。

证明单位犯本罪的主观故意时，还需要通过收集和提取单位的法定代表人、直接主管人员和其他直接负责人员的供述、单位体讨论记录、有关负责人签署的文件、单位的财务账目等书证及相关证人证言等证据材料，以证明出售、非法提供公民个人信息的行为系由单位集体研究决定，或者由单位的负责人或被授权的其他人员决定、同意的，获得的违法所得大部分归单位所有。

实践中，要结合违反国家规定、出售和非法提供等要件和相关证据，证明行为主观上是故意还是过失，如果属于过失泄露公民个人信息的，则不构成本罪。

（三）关于本罪客观方面的证据

1.犯罪嫌疑人、被告人的供述和辩解。证实:

（1）行为人在履行职责或者提供服务过程中可以获得并已获取了公民个人信息；

（2）行为人实施出售或者非法提供公民个人信息给他人行为的时间、地点、方式及过程；

（3）出售或者非法提供公民个人信息的具体内容和数量；

（4）出售或者非法提供公民个人信息给他人的获利情况；

（5）行为人和被害人的关系；

（6）共同犯罪的起意、策划、分工、实施等情应详细讯问，查明每一个犯罪嫌疑人、被告人在共同犯罪中的地位和作用。

2.被害人陈述。证实：

（1）被害人曾在行为人所在的单位办理过有关业务，该单位留有被害人的公民个人信息；

（2）行为人的行为未经被害人同意或授权；

（3）行为人出售或者非法提供其个人信息的行为，给被害人造成的损失或不良影响

3.证人证言

（1）行为人的同事，证实:

①行为人可以在履行职责或者提供服务中获得公民个人信息；

②行为人实施了出售或者非法提供公民个人信息给他人的行为。

（2）公民个人信息获得者，证实：

①从犯罪嫌疑人、被告人处通过购买或其他不合法手段获得了相关公民个人信息，包括数量、内容以及支付的费用等。

②如何使用该非法获得的个人信息，以及给被害人造成的损失或不良影响。

4.物证、书证:

（1）有关文件和账目等材料，证实行为人利用职务便利获得公民个人信息并出售和非法提供的时间、地点及经过等情况；

（2）电信部门提供的（固定、移动）电话通话记录、短信息等记录；

（3）所违反的国家规定的文本和内容。

5.视听资料、电子数据。包括录音、录、电子介质等能够证明出售、非法提供公民个人信息的资料。

通过上述证据，证明行为人未经被害人同意，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重。

（四）关于本罪客体的证据

本罪侵犯的客体为公民个人信息不受非侵犯的权利。主要通过上述主、客观方面的证据予以证实。

 

地方规定

江西省刑事立案量刑标准（2019.12.5更新）

侵犯公民个人信息罪（刑法第253条）【26】

（一）具有下列情形之一的，属于“情节严重”，处三年以下有期徒刑或者拘役，并处或者单处罚金：

1.出售或者提供行踪轨迹信息，被他人用于犯罪的；

2.知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

3.非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的；

4.非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的；

5.非法获取、出售或者提供第三项、第四项规定以外的公民个人信息5000条以上的；

6.数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

7.违法所得5000元以上的；

8.将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

9.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

10.其他情节严重的情形。

为合法经营活动而非法购买、收受上述第三项、第四项规定以外的公民个人信息，具有下列情形之一的，属于“情节严重”：

1.利用非法购买、收受的公民个人信息获利5万元以上的；

2.曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

3.其他情节严重的情形。

（二）具有下列情形之一的，属于“情节特别严重”，处三年以上七年以下有期徒刑，并处罚金：

1.造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

2.造成重大经济损失或者恶劣社会影响的；

3.数量或者数额达到前款第三项至第八项规定标准10倍以上的；

4.其他情节特别严重的情形。

 

案例精选

张志磊、韦婧侵犯公民个人信息案（2016）苏10刑终325号-中国裁判文书网

【裁判要点】

上诉人、原审被告人为拓展其经营的扬州弘立信息咨询有限公司的客户源，通过微信联系卖家，以购买方式非法获取公民个人信息并进行电话营销，情节严重，依法应当以侵犯公民个人信息罪追究刑事责任。

张志磊、韦婧侵犯公民个人信息案

案情简介：江苏省扬州市邗江区人民法院审理江苏省扬州市邗江区人民检察院指控原审被告人张志磊、韦婧犯侵犯公民个人信息罪一案，于2016年11月14日作出（2016）苏1003刑初621号刑事判决。原审被告人张志磊不服，提起上诉。二审法院受理后，依法组成合议庭，公开开庭审理了本案。江苏省扬州市人民检察院指派检察员蔡淑园出庭履行职务，上诉人张志磊及其辩护人许慧明、张颖律师，原审被告人韦婧到庭参加诉讼。现已审理终结。

原判决认定：2016年3月2日，被告人张志磊、韦婧为拓展其经营的扬州弘立信息咨询有限公司的客户源，通过微信联系卖家，以人民币400元的价格，非法购买公民个人信息10000条，并进行电话营销。2016年以来，被告人张志磊为拓展客户源，通过购买“社工库论坛”账号等方式非法在互联网上下载公民个人信息（其中：2009年江苏省扬州市宝应县企业老板手机名录数据库1799条，2009年江苏省扬州市高邮市企业老板手机名录数据库1365条，2009年江苏省扬州市广陵区企业老板手机名录数据库620条，2009年江苏省扬州市邗江区企业老板手机名录数据库1257条，2009年江苏省扬州市企业老板手机名录数据库6687条，2009年江苏省扬州市江都市企业老板手机名录数据库2599条，2009年江苏省扬州市仪征市企业老板手机名录数据库1019条，扬州股民电话3397条，工商银行材料5806条，广州建设银行会员102007条，银行大额客户17992条，上海46760名车主手机号码名录46758条）并进行电话营销。2016年7月4日，被告人张志磊、韦婧主动向公安机关投案，如实供述非法获取公民个人信息的犯罪事实。上述事实，被告人张志磊、韦婧在开庭审理过程中无异议，且有常住人口基本信息、到案经过、扣押清单等书证，被告人张志磊、韦婧的供述，证人白某、

原审人民法院认为：被告人张志磊、韦婧以其他方法非法获取公民个人信息，其行为已构成侵犯公民个人信息罪，依法应当追究刑事责任。被告人张志磊、韦婧在第一节犯罪事实中共同故意犯罪，系共同犯罪。被告人张志磊、韦婧犯罪后自动投案，如实供述自己的罪行，系自首，依法均可以从轻处罚，其中对被告人韦婧可给予一定的缓刑考验期限。依照《中华人民共和国刑法》第二百五十三条之一第一款、第三款、第二十五条第一款、第六十七条第一款、第五十二条、第五十三条、第七十二条第一款、第三款、第七十三条第二款、第三款之规定，以侵犯公民个人信息罪，判处被告人张志磊有期徒刑一年，并处罚金人民币二万元；判处被告人有期徒刑六个月，缓刑一年，并处罚金人民币一万元。

原审被告人张志磊提出的上诉理由是：其通过购买“社工库论坛”账号自行下载获取企业主信息，不是非法获取的信息，且对获取的信息仅打过二十多个电话进行营销，没有造成大的影响和后果，具有自首情节，一审量刑过重，请求改判缓刑。其辩护人提出，在案证据存有瑕疵，但明确表示对一审判决认定的事实、证据、定性没有异议；针对量刑，其提出的辩护意见是，张志磊具有自首情节，能够认罪悔罪，亦没有造成影响和后果，且家庭赡养义务较重，请求能够适用缓刑。

出庭检察员认为，本案事实清楚，证据确实充分，张志磊、韦婧的行为构成侵犯公民个人信息罪，鉴于案件的具体情况以及张志磊具有法定和酌定从轻处罚的情节，建议依法从轻判决，可以考虑适用缓刑。

经二审审理查明：2015年11月28日，上诉人张志磊注册成立扬州弘立信息咨询有限公司，主要经营市场推广、培训与现货交易、交收服务等业务，原审被告人韦婧担任公司人事主管。2016年3月2日，张志磊、韦婧为拓展客户源进行电话营销，由韦婧通过手机微信联系卖家，以人民币400元的价格购得包括姓名和电话号码的公民个人信息10000条，并且利用该获取的信息进行电话营销。期间，张志磊亦独自通过网络搜寻客户源信息，后注册成为“社工库论坛”会员，通过留言、回贴、充值虚拟货币等方式在该论坛上下载包括姓名和电话号码的公民个人信息。同年7月4日，公安机关在处理其他民事纠纷时，张志磊、韦婧主动交代了购买部分公民个人信息的情况，公安机关于次日立案侦查，后侦查人员在张志磊经营公司的电脑硬盘内发现储存有大量公民个人信息，其中包括，2009年扬州企业老板手机名录信息15346条，扬州股民电话信息3397条，工商银行材料信息5806条，广州建设银行会员信息102007条，银行大额客户信息17992条，上海46760名车主手机号码名录信息46758条。

上述事实，有出庭检察员举证的下列证据予以证明：

一、证明张志磊、韦婧共同购买公民个人信息的主要证据。

1.原审被告人韦婧的供述笔录证明：在公安机关的第一份询问笔录中，其交代从手机微信好友处花费400元购买了客户姓名和联系方式。公安机关立案侦查后有四份讯问笔录，韦婧供认出于公司营销需要，以400元的价格从微信昵称“电话资源”处购买了10000条潜在客户的姓名和电话号码，其丈夫张志磊也参与购买，公司是通过四部铁通电话拨打客户电话，其和张志磊以及公司员工都曾拨打该信息上面的电话。其在庭审中亦供认不讳。

2.扬州市公安局邗江分局网络警察大队制作的[2016]069号电子证据检查工作记录证明，2016年7月19日15时30分至次日17时38分，侦查人员对韦婧使用的电脑硬盘进行电子证据检查，其中储存有部分公民个人信息，QQ聊天记录中有购买公民个人信息内容。

3.侦查人员制作的检查笔录和照片证明：在韦婧的手机微信中，有昵称“电话资源”的微信号，聊天记录内容有“您好，周一数据已经全部更新，有需要的可以联系”；2016年3月2日13时38分，韦婧通过微信转账400元给“电话资源”。

4.侦查人员调取的QQ聊天记录证明，韦靖与昵称“电话资源”通过QQ聊天达成交易事项，约定微信转账400元，购买10000条扬州本地针对投资理财、股票类的公民信息，当天交易完成。

二、证明张志磊通过网络下载公民个人信息的主要证据。

5.上诉人张志磊的供述笔录证明：在公安机关第一份询问笔录中，其交代潜在客户的电话是向一个信贷微信群里的人购买，还有一些客户信息是花钱从网络论坛上下载。公安机关立案侦查后有七份讯问笔录，张志磊均如实供述了购买电话号码以及从网站上下载电话号码等信息情况。其在庭审中亦供认不讳。

对于公司经营模式，其供认：2015年11月左右，其成立了弘立信息咨询有限公司，韦婧是公司人事主管，有白某、王某等多名员工。公司业务主要是推广代理的南京亚泰、天津汇港、海南大宗现货三个交易平台，招揽客户在交易平台上开户，只要操作都会产生手续费，公司赚取手续费里面的80%作为佣金。公司通过打电话方式向潜在客户推广代理的三个平台，因此需要掌握一些购买理财产品、炒股、现货交易等人员的号码，能够增加电话营销成功率。

对于获取信息情况，其供认：2016年3月，公司没有什么客源，韦婧讲有人卖电话号码之类的信息，其让韦婧去购买，花费400元，这些信息存在笔记本电脑里，有姓名和电话，公司买了四部铁通电话专做电话营销，员工拨打的就是购买的这些信息电话，后发现这些信息不准确，之后就不再用了。4月间，其花费200元购买了2000条左右的信息，存在电脑里，但没有拨打信息里面的号码。之后，其通过网络搜索找到一个“社工库论坛”，上面各种类的电话名录都有，其进行注册成为会员后，通过留言、回贴赚取论坛里面的金币才能够下载，也可以通过充值兑换虚拟货币后下载，十天之前共下载了5个压缩文件，有“广州建设银行会员”文档上标注有10万条、“100-300万的银行客户”文档上标注3.2万条、“1000万以上银行大额客户”文档上标注18万条、“扬州企业老板手机名录数据库”文档上标注1.5万条、“上海46760车主电话号码名录”文档上标注有46760名车主，文档里面具体有多少条信息没有去统计，其拍了银行客户文档照片发给了白某，下载的压缩文件通过QQ发给王某去整理。

6.扬州市公安局邗江分局网络警察大队制作的[2016]068号电子证据检查工作记录以及侦查人员出具的情况说明证明：2016年7月5日15时30分至18时30分，侦查人员对查扣的四张电脑硬盘进行电子证据检查，其中三张硬盘上储存有大量公民个人信息。详细内容有，2009年宝应县企业老板手机名录信息1799条、高邮市企业老板手机名录信息1365条、广陵区企业老板手机名录信息620条、邗江区企业老板手机名录信息1257条、扬州市企业老板手机名录信息6687条、江都市企业老板手机名录信息2599条、仪征市企业老板手机名录信息1019条，扬州股民电话信息3397条，工商银行材料信息5806条，广州建设银行会员信息102007条，银行大额客户信息17992条，上海46760名车主手机号码信息46758条。

7.侦查人员制作的检查笔录证明，张志磊的手机微信记录中，2016年6月26日3时30分，向白某发送一张图片，内容名为“100-300万的银行客户3.2万条”、“1000万以上银行大额客户18万条”的文件夹，存储路径显示为“XX搜狗高速下载”。

8.侦查人员调取的人口信息和银行信息资料证明，经过抽样调查，在案的“100－300万银行大客户信息”中的信息明细与真实情况相符。

9.证人白某的证言证明，2016年4月，其来到弘立信息有限公司工作，使用微信拉客户来公司开户，事发前几天，张志磊通过手机微信发来一个截图，显示了两个文件夹，分别是“100-300万的银行客户3.2万条”和“1000万以上银行大额客户18万条”，但文件内容没有发过来。

10.证人王某的证言证明：2016年2月，其来到弘立信息有限公司工作，张志磊曾两次让其整理过数据。一次在三个月前，张志磊发来的名称是企业老板电话号码的压缩包，其解压后里面有七个电子表格，是扬州县市区企业老板的姓名、地址、电话号码；另一次在两三个月前，张志磊发来的是“上海46760车主手机号码名录”，打开后里面有4万多条个人信息。

三、证明案发经过以及主体身份的证据。

11.扬州市公安局邗江分局的邗公（四）立字[2016]3005号立案决定书以及侦查人员出具的到案经过证明，2016年7月4日下午，扬州市公安局邗江分局四季园派出所接通到110指令，辖区内公元国际5楼506房间内有人闹事，民警赶至现场处警，系一名男子与弘立信息咨询有限公司经营人张志磊、韦婧发生冲突，该男子自称其妻在该公司投资亏损二十余万元，民警在调查过程中发现张志磊、韦婧涉嫌非法获取公民个人信息，公安机关于次日立案侦查。

12.扬州市公安局邗江分局的扣押清单以及侦查人员制作的搜查笔录证明，2016年7月5日10时30分至11时50分，侦查人员依法对弘立信息咨询有限公司进行搜查，查扣四张电脑硬盘、三张有姓名和电话号码的清单，以及韦婧使用的笔记本电脑一台。

13.侦查人员调取的营业执照、经营许可证证明，扬州弘立信息咨询有限公司成立于2015年11月28日，服务范围为市场推广、培训与现货交易、交收服务等。

14.侦查人员调取的附照片人口信息证明，上诉人张志磊、原审被告人韦婧的身份概况，犯罪时均系完全刑事责任年龄人。

上述证据，均经庭审质证，证据来源合法，证明内容客观、真实，与本案具有关联性，且证据之间相互印证，能够证明案件基本事实，其证明效力二审法院予以确认。

二审法院认为，上诉人张志磊、原审被告人韦婧以购买方式非法获取公民个人信息，情节严重，依法应当以侵犯公民个人信息罪追究刑事责任。上诉人张志磊、原审被告人韦婧共同购买公民个人信息，系共同犯罪。上诉人张志磊、原审被告人韦婧在犯罪后能够主动向公安机关供述罪行，系自首，依法可以从轻处罚。

对于庭审中控辩双方提出的量刑情节以及量刑问题，二审法院审理认为，上诉人张志磊出于公司推广业务需要购买了部分公民个人信息，之后又通过网络下载了大量的公民个人信息，其行为应当以侵犯公民个人信息罪论处。鉴于张志磊下载的大部分信息时间不长，尚未有证据证明投入营销使用，社会危害性不大，犯罪情节较轻，同时，张志磊能够主动投案，配合公安机关查处案件，确有认罪悔罪表现，且系初犯、偶犯，故对其可从宽处理。

综上，原审人民法院判决认定的基本事实清楚，基本证据具备，定性正确，审判程序合法，但量刑不当，依法予以改判。出庭检察员以及上诉人张志磊的辩护人均提出适用缓刑的建议，具有客观性，同时结合案件的具体情况，二审法院采纳适用缓刑意见。

据此，根据《中华人民共和国刑事诉讼法》第二百二十五条第一款第（二）项、《中华人民共和国刑法》第二百五十三条之一第一、三款、第二十五条第一款、第六十七条第一款、第七十二条第一款、第七十三条第二、三款、第五十二条、第五十三条的规定，判决如下：

一、维持江苏省扬州市邗江区人民法院（2016）苏1003刑初621号刑事判决第二项，即维持对原审被告人韦婧的定罪量刑部分。

二、撤销江苏省扬州市邗江区人民法院（2016）苏1003刑初621号刑事判决第一项中的量刑部分。

三、上诉人（原审被告人）张志磊犯侵犯公民个人信息罪，判处有期徒刑九个月，缓刑一年六个月，并处罚金人民币二万元。

（缓刑考验期从判决确定之日起计算）

 

《刑事审判参考》第1007号案例 胡某等非法获取公民个人信息案

【摘要】

通过非法跟踪他人行踪所获取的公民日常活动信息是否属于公民个人信息？

公民的日常行动轨迹和活动地点等信息，涉及家庭住址、单位地址、经常出入的场所等公民隐私和生活习惯性内容，具有个人专属性，能反映出该公民某些个人特征，且信息内容关系到公民日常生活的基本安全性，信息的泄露会使公民彻底失去安全感，严重影响其日常生活。因此通过非法跟踪他人行踪所获取的公民日常活动信息属于刑法所保护的“公民个人信息”。

如何理解非法获取公民个人信息罪中的“上述信息”“非法获取”以及“情节严重”？

从加强全面保护公民个人权益角度考虑，“上述信息”是指一切公民个人信息；根据刑法第二百五十三条之一第二款的规定，“窃取或者以其他方法非法获取”均属于“非法获取”；判断非法获取公民个人信息行为是否达到“情节严重”。可从用途、结果、行为方式以及信息数量、获利数额、行为持续时间等四个方面综合考量。

胡某等非法获取公民个人信息案

一、基本案情

被告人胡某，男，1978年3月24日出生。2012年1月21日因涉嫌犯非法获取公民个人信息罪被逮捕。

被告人王某，男，1983年9月17日出生。2012年1月21日因涉嫌犯非法获取公民个人信息罪被逮捕。

广东省A市人民检察院以被告人胡某、王某犯非法获取公民个人信息罪，向A市人民法院提起公诉。

被告人胡某、王某对公诉机关指控的事实及罪名无异议。王某的辩护人以王具有自首情节，系初犯，认罪态度较好，且参与犯罪时间不长等为由，提请法庭对王某从轻处罚。

A市人民法院经审理查明：2011年10月初，马某、刘某（均另案处理）以每月支付人民币3000元报酬、包吃包住等条件，雇用被告人胡某驾驶小汽车对广东省b市某机关领导所配专用公车进行跟踪。为此马某、刘某向胡某提供了录音笔、望远镜、摄像机、密拍器等器材。同年11月中下旬。胡某向马某提出聘请王某，胡某与王某相互配合进行跟踪、记录。马某遂以同样待遇雇用王某。后胡某、王某一起驾驶小汽车对目标车辆在b市行驶的路线、停车地点进行跟踪和记录，并将记录的行驶路线、停车地点等信息交给马某、刘某。同年12月，为了便于跟踪，胡某、王某购买2个通过互联网使用的汽车定位器，趁目标车辆停在一地下停车场时将定位器秘密安装在该车底盘处。胡某、王某通过互联网查询定位器的实时位置，获取了目标车辆每天所有行驶路线、停车位置的即时信息，直至案发。经鉴定，上述汽车定位器属于窃听专用器材。

A市人民法院认为，被告人胡某、王某通过非法手段获取公民个人信息，情节严重，其行为均构成非法获取公民个人信息罪，二被告人归案后如实供述犯罪事实，依法可以从轻处罚。根据胡某、王某的犯罪情节和悔罪表现，依照《中华人民共和国刑法》第二百五十三条之一第二款、第二十五条第一款、第六十七条第三款、第五十三条、第六十四条之规定，A市人民法院判决如下：

1.被告人胡某犯非法获取公民个人信息罪，判处有期徒刑二年六个月，并处罚金人民币二万元：

2.被告人王某犯非法获取公民个人信息罪，判处有期徒刑二年三个月，并处罚金人民币一万五千元。

一审宣判后，被告人胡某、王某均未提起上诉，检察机关亦未抗诉，该判决已发生法律效力。

二、主要问题

1.通过非法跟踪他人行踪所获取的公民日常活动信息是否属于公民个人信息？

2.如何理解非法获取公民个人信息罪中的“上述信息”、“非法获取”以及“情节严重”？

三、裁判理由

侵犯公民个人信息犯罪是刑法修正案（七）新设的罪名，规定在刑法第二百五十三条之一中。该条共三款：第一款规定的是出售、非法提供公民个人信息罪。即“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的”行为。第二款规定的是非法获取公民个人信息罪，即“窃取或者以其他方法非法获取上述信息，情节严重的”行为。第三款是关于单位犯罪的规定。由于该条中的“公民个人信息”“上述信息”“非法获取”以及“情节严重”等用语的含义，没有相应的法律、司法解释作出明确规定，故实践中对上述用语的含义和适用范围存在不同认识。本案审理过程中，对被告人胡某、王某的行为是否构成非法获取公民个人信息罪存在较大分歧，原因就在于对上述用语的理解和把握不同。具体分析如下：

（一）关于“公民个人信息”的范围

刑法第二百五十三条之一规定的“公民个人信息”，一般是指专属于某一自然人的一切能用于识别其特定身份的重要信息。其不为一般人所知悉.且具有保护价值。具体包括：公民的姓名、职业、职务、年龄、婚姻状况、种族、学历、学位、专业资格、工作经历、住址、电话号码、网上登录姓名及密码、居民身份号码、护照号码、社会保险卡号码、医疗保险卡号码、驾驶证号码、银行卡号码、指纹、唇纹、声音印记、DnA、书写的签名和电子签名等。关于“公民个人信息”的范围，我国法律没有明确规定。实践中对上述信息属于“公民个人信息”一般不存在争议。值得探讨的是，诸如个人日常行踪之类的活动记录，是否属于“公民个人信息”。有观点认为，只要与公民个人信息相关，公民不想公开，而且与公共利益无关的，都应当纳人“公民个人信息”的范围。如通过手机定位所获取的公民个人行踪情况，属于刑法保护的“公民个人信息”。我们同意这种观点。手机定位属于动态信息，当公民从事某些活动不希望被他人获悉时，因其所处具体位置与其从事的活动具有直接联系，一旦所处位置被他人获悉，其所从事的活动也就相应暴露，从而可能损害其利益。故其所处的具体位置就具有明显的隐私性和权益性，属于刑法所保护的“公民个人信息”。在此情况下，行为人擅自对公民的手机进行定位，就属于侵犯公民隐私的行为。正因为手机定位存在侵犯公民隐私和权益的危险，当前电信部门把手机定位作为一项特殊业务来开展.有着较为严格的审批程序。

本案中，被跟踪的车辆为专用公务车，该车的行驶路线、停车地点和时间等信息即反映了乘车人的日常活动情况。被告人胡某、王某获取的被害人的日常行动轨迹和活动地点等信息，涉及家庭住址、单位地址、经常出入的场所等公民隐私和生活习惯性内容，具有个人专属性，能反映出该公民某些个人特征，且信息内容关系到公民日常生活的基本安全性，信息的泄露会使公民彻底失去安全感，严重影响其日常生活。因此，该案中被害人的行踪属于刑法所保护的“公民个人信息”。

（二）关于“上述信息”的理解

对刑法第二百五十三条之一第二款中的“上述信息”如何理解，实践中主要形成两种意见：一种意见认为，根据文义解释，“上述信息”应当是指该条第一款规定的信息，即国家机关、金融等相关单位“在履行职责或者提供服务过程中获得的公民个人信息”。①另一种意见认为，“上述信息”是指一切公民个人信息，否则对实践中利用网络技术、跟踪等手段非法获取公民个人信息的行为均不能处罚，如此非法获取公民个人信息罪的适用范围明显过窄，不符合加强保护公民个人信息的立法精神。从加强全面保护公民个人权益角度考虑，我们赞同第二种意见。

（三）关于“非法获取”的理解

根据刑法第二百五十三条之一第二款的规定，“窃取或者以其他方法非法获取”均属于“非法获取”。“窃取”是指采取不为权利人所知晓的方法，秘密地取得。而“以其他方法非法获取”则是指以与窃取具有相当社会危害性的方法获取，主要包括：（1）以违法方式获取，即获取公民个人信息的手段违反法律、法规、规章等规范性文件中的禁止性规定；（2）未获得授权而获取此种情况下行为人没有得到公民本人授权，无权了解、接触相关公民个人信息；（3）以不正当方式获取，此种情况下行为人违背了信息所有人的意愿或者真实意思表示，或者违反了社会公序良俗。

本案中，被告人胡某、王某未经他人同意进行秘密跟踪，违背他人意愿，并在目标车辆上安装定位器对车辆进行监视，还使用密拍器进行拍摄.获取该车使用人的个人行踪。汽车定位器属于窃听专用器材，而胡某、王某不是国家执法人员，无权使用此类器材，二人通过上述方法获取公民个人信息明显违法，属于非法获取公民个人信息。

（四）关于“情节严重”的理解

目前，对于何种情况属于刑法第二百五十三条之一规定的“情节严重”尚无明确规定。有观点认为，该条第一款中的“情节严重”是指出售公民个人信息获利较大，出售或者非法提供多人信息，多次出售或者非法提供公民个人信息，以及公民个人信息被非法提供、出售给他人后。给公民造成了经济损失，或者严重影响公民正常生活，或者被用于违法犯罪活动等情形。就第二款规定的非法获取公民个人信息而言，即便没有出售、向第三者提供，其行为本身就已经直接威胁到公民个人信息的安全，甚至给公民个人生活带来隐患。因而，刑法第二百五十三条之一中的“情节严重”，作为定罪情节，主要应当从行为手段是否恶劣、行为持续时间长短等方面进行综合认定。行为动机宜视为量刑情节进行认定。司法实践中，苏州、杭州等地对于“私家侦探”非法获取公民个人信息的行为，均认定为非法获取公民个人信息罪中的“情节严重”。

我们认为，判断非法获取公民个人信息行为是否达到“情节严重”。可从以下四个方面综合考量：一是从用途考虑，非法获取的信息是否被用于犯罪活动；二是从结果考虑，该信息是否严重影响被害人的正常生活，或者给被害人带来较大经济损失；三是从行为方式考虑，采取的手段、方法是否恶劣，是否使用违禁工具等；四是从信息数量、获利数额、行为持续时间等方面考虑，非法获取公民个人信息的数量、次数较多，行为人获利数额较大，以及非法获取行为持续时间较长等的，一般都可以认定为“情节严重”。综合以上因素考虑，对于没有使用违禁的密拍设备、窃听窃照器材，跟踪时间较短，没有非法获利的普通跟踪行为，一般不宜作为犯罪处理。

本案被告人胡某、王某受人雇用跟踪他人，采用驾车及在目标车辆上安装跟踪定位器等方式获取他人的出行记录，并将所获取的汽车行驶路线、停车地点等信息记录整理后交给雇主，跟踪长达两个多月，具有比较严重的社会危害性，属于“情节严重”，依法应予惩处。

综上，公民个人的行踪属于公民个人信息，被告人胡某、王某采取驾车和安装定位器等非法手段进行长时间跟踪，情节严重，A市人民法院对二被告人的行为按照非法获取公民个人信息罪进行定罪处罚是正确的。 　　

①参见“最高人民法院研究室关于刑法二百五十三条之一第二款有关内容理解问题的研究意见”，载张军主编：《司法研究与指导》（2012年第1辑），人民法院出版社2012年版。

 

《刑事审判参考》第741号 谢新冲出售公民个人信息案

【摘要】

手机定位是否属于刑法保护的“公民个人信息”？

一般认为，公民个人信息包括姓名、职业、职务、年龄、婚姻状况、学历、专业资格、工作经历、家庭住址、电话号码、信用卡号码、指纹、网上登录账号和密码等能够识别公民个人身份的信息。从表现形式看，这些信息基本是静态而非动态的。手机定位是随着手机在社会生活中的广泛使用而出现的一种技术手段。其做法是通过特定的定位技术来获取移动手机或终端用户的位置信息（经纬度坐标），在电子地图上标出被定位对象的位置。通过对手机号码进行定位，定位人能够知道被定位人的大概位置。但这种位置可能会发生变化，故手机定位属于动态信息。从生活经验看，公民在某个时间内所处的具体位置在一般情况下并不具有明显的隐私性或者权益性，对于其本人或他人而言都并非值得关注的问题。但是，当公民从事某些活动不希望被他人获悉时，因其所处具体方位与所从事的活动之间具有直接联系，一旦被他人获悉，其所从事的活动也就相当程度被暴露，损害其利益，故其所处具体位置就具有明显的隐私性和权益性，属于刑法所保护的公民个人信息。

谢新冲出售公民个人信息案

一、基本案

被告人谢新冲，男，1979年9月16日出生。因涉嫌犯出售公民个人信息罪于2010年1月19日被逮捕。

被告人刘海亮，男，1980年2月16日出生。因涉嫌犯非法获取公民个人信息罪于2010年1月19日被逮捕。

被告人程春郊，男，1973年9月25日出生。因涉嫌犯非法获取公民个人信息罪于2010年1月19日被逮捕。

被告人张超英，女，1958年3月13日出生。因涉嫌犯非法获取公民个人信息罪于2010年2月2日被逮捕。

北京市人民检察院第二分院以被告人谢新冲犯出售公民个人信息罪，被告人刘海亮、程春郊、张超英犯非法获取公民个人信息罪，向北京市第二中级人民法院提起公诉。

北京市第二中级人民法院经公开审理查明：2009年3月至12月间，时任北京京驰无限通信技术有限公司（以下简称京驰公司）运维部经理的被告人谢新冲，利用中国移动通信集团北京有限公司授予其所在公司开展手机定位业务的权限，先后多次为被告人刘海亮、程春郊、张超英等人提供的90余个手机号码进行定位，非法获利人民币9万元。其中，刘海亮从谢新冲处非法获取手机定位40余个，并将其中部分转卖给程春郊，刘海亮还从程春郊处非法获取通话清单等信息近10条。程春郊通过刘海亮从谢新冲处非法获取手机定位30余个，后用于公司调查或转卖给他人，程春郊还从他人处非法获取座机名址、移动手机名址等公民个人信息近10条，后转卖给刘海亮。张超英从谢新冲处非法获取手机定位10余个。

北京市第二中级人民法院认为，被告人谢新冲作为电信单位工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息出售给他人，情节严重，其行为已构成出售公民个人信息罪。被告人刘海亮、程春郊、张超英以购买方式非法获取公民个人信息，情节严重，其行为已构成非法获取公民个人信息罪。刘海亮与程春郊的部分行为构成共同犯罪。鉴于四被告人归案后能如实供述自己罪行，可酌情从轻处罚。其中，张超英的犯罪情节较轻，且有悔罪表现，没有再犯罪的危险，可对其宣告缓刑。据此，依照《中华人民共和国刑法》第二百五十三条之一第一款、第二款，第二十五条第一款，第七十二条第一款、第三款，第七十三条第二款、第三款，第五十二条，第五十三条，第六十一条之规定，判决如下：

1.被告人谢新冲犯出售公民个人信息罪，判处有期徒刑二年二个月，并处罚金人民币二万六千元；

2.被告人刘海亮犯非法获取公民个人信息罪，判处有期徒刑一年九个月，并处罚金人民币二万一千元；

3.被告人程春郊犯非法获取公民个人信息罪，判处有期徒刑一年九个月，并处罚金人民币二万一千元；

4.被告人张超英犯非法获取公民个人信息罪，判处有期徒刑一年五个月，缓刑一年五个月，并处罚金人民币一万七千元。

宣判后，被告人谢新冲认为原判量刑过重，提出上诉。北京市高级人民法院经二审审理认为，原判认定事实清楚，定罪准确，量刑适当，审判程序合法。依照《中华人民共和国刑事诉讼法》第一百八十九条第一项之规定，裁定驳回上诉，维持原判。

二、主要问题

1.手机定位是否属于刑法保护的“公民个人信息”

2.被告人谢新冲的行为是否构成出售公民个人信息罪

三、裁判理由

随着社会进入信息时代，个人信息的重要性日益显现，非法买卖个人信息以获取经济利益的现象逐渐增多。金融、电信、教育、医疗等单位在履行职责或提供服务过程中掌握了大量公民个人信息，其中一些工作人员遂利用职务便利出售或者非法提供公民个人信息以获取经济利益。近年来发生的一些泄露公民个人信息案件，就鲜明地反映了这种犯罪现象。为了打击此类犯罪行为，保护公民合法权益，2009年2月28日公布施行的《中华人民共和国刑法修正案（七）》增设了出售、非法提供公民个人信息罪和非法获取公民个人信息罪。本案是北京市首例对出售手机定位行为以出售公民个人信息罪定罪处罚的案件。

（一）手机定位属于刑法保护的“公民个人信息”对于何谓公民个人信息，目前法律上尚无明确界定。一般认为，公民个人信息包括姓名、职业、职务、年龄、婚姻状况、学历、专业资格、工作经历、家庭住址、电话号码、信用卡号码、指纹、网上登录账号和密码等能够识别公民个人身份的信息。从表现形式看，这些信息基本是静态而非动态的。手机定位是随着手机在社会生活中的广泛使用而出现的一种技术手段。其做法是通过特定的定位技术来获取移动手机或终端用户的位置信息（经纬度坐标），在电子地图上标出被定位对象的位置。通过对手机号码进行定位，定位人能够知道被定位人的大概位置。但这种位置可能会发生变化，故手机定位属于动态信息。从生活经验看，公民在某个时间内所处的具体位置在一般情况下并不具有明显的隐私性或者权益性，对于其本人或他人而言都并非值得关注的问题。但是，当公民从事某些活动不希望被他人获悉时，因其所处具体方位与所从事的活动之间具有直接联系，一旦被他人获悉，其所从事的活动也就相当程度被暴露，损害其利益，故其所处具体位置就具有明显的隐私性和权益性，属于刑法所保护的公民个人信息。此时，对公民的手机进行定位，就属于侵犯公民隐私的行为。正是基于手机定位存在侵犯公民隐私和权益的危险，当前电信部门把手机定位作为一项特殊业务来开展，有较为严格的办理手续。如中国移动北京分公司有一项“单位通”手机定位业务，须持单位营业执照、介绍信才能办理。在这种业务中，单位可以因公务对员工的位置实现手机定位，从而查询到机主所处的大概方位，但这种业务只面向单位，并且是单位对个人的单向定位。

在办理此类案件时，较为重要的一个问题是如何计算手机定位信息的数量。有人认为，对同一部手机定位一次即属于一条信息，定位多次则属于多条信息。我们认为，对此要根据具体情况进行分析，不能一概而论。如果基于同一个人的申请，在相对固定的时间内（如一周、一个月或者一年）对同一部手机进行连续多次定位，可以计算为一条信息，但量刑时不应仅以一条信息而论，还必须考虑这种连续定位行为的危害性，体现与仅定位一次的区别。如果对手机定位后，经过一段时间再次对同一部手机进行定位，特别是申请定位人不是同一人时，则不宜计算为一条信息，可根据实际定位次数计算信息数量。本案中，被告人谢新冲出售的手机定位方式是一个手机号码授权定位一个月，可使用50次，每次都能查到被定位人的大概位置。这种定位方式是对一个手机号码以月为单位以固定次数“打包”计价出售，虽然在一个月内对同一部手机进行了多次定位，仍可以计算为一条信息，而非多条信息，但在量刑时要体现与仅定位一次的区别。

（二）被告人谢新冲的行为构成出售公民个人信息罪根据刑法第二百五十三条之一第一款的规定，出售公民个人信息罪是指国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售给他人，情节严重的行为。据此，构成出售公民个人信息罪要具备多个条件：一是具有特定身份，即属于国家机关或者金融、电信、交通、教育、医疗等单位的工作人员；二是违反了国家的相关规定；三是出售公民个人信息“情节严重”。下面结合本案进行具体分析。

首先，被告人谢新冲具备出售公民个人信息罪的主体条件。目前，我国的电信运营单位主要包括中国联通、中国移动、中国电信以及其他一些小的电信公司。这些电信单位在履行职责或者提供服务过程中积累了大量的客户资料，其工作人员也较容易获得这些资料。本案中，京驰公司经中国移动公司授权开展手机定位业务，主要包括对企业外勤人员的考勤，对智障人员、老人、儿童的监护，但不包括对有语音服务的sIM卡进行定位。对于这些可提供的合法手机定位服务，中国移动公司要求申请定位人必须是企业用户，且被定位人要知情。由于京驰公司可以经营电信业务，谢新冲作为该公司运维部经理，能够实施手机定位工作，故当然属于电信单位的工作人员。其次，被告人谢新冲出售公民个人信息的行为违反了国家的相关规定。国务院2000年颁布的《中华人民共和国电信条例》（以下简称《电信条例》）对电信企业保护公民个人信息问题作了多项规定。例如，第六条规定，电信网络和信息的安全受法律保护，任何组织或者个人不得利用电信网络从事危害国家安全、社会公共利益或者他人合法权益的活动。第五十八条规定，任何组织或者个人不得利用电信网从事窃取或者破坏他人信息、损害他人合法权益的活动。显然，出售手机定位信息的行为违反了《电信条例》的上述规定。同时，正是因为电信工作与公民隐私保护密切相关，电信企业通常要求员工签订保密协议。本案被告人谢新冲在案发前曾与中国移动公司签订保密合同，约定不得泄露在履行职务过程中获取的公民个人信息。故谢新冲主观上也明知自己出售公民个人信息的行为具有违法性。

最后，被告人谢新冲出售公民个人信息属于情节严重。关于这里的情节严重，尚无司法解释作出明确规定，实践中通常参照其他司法解释的有关规定，结合案件具体情况来认定。一般来说，情节严重的情形包括：多次出售、向多人出售或者出售多人信息的；出售公民个人信息非法获利数额较大的；给公民造成严重经济损失或者严重影响公民个人正常生活的；对国家安全或社会民生造成影响的；将公民个人信息出售给境外机构或者个人的；出售的公民个人信息被用于违法犯罪活动的；等等。谢新冲无视所在公司工作纪律，为谋取非法获利私自承揽手机定位业务，只要申请人提供被定位人的电话号码、姓名、身份证号码，谢新冲就进行手机定位。具体做法是：谢新冲先把定位软件发给申请定位人，对方把需要定位的手机号码给谢新冲，谢再把号码报给移动公司，移动公司对这些号码开放权限后，谢在自己的定位系统内给申请定位人的用户名开放权限，对方就可以用自己的电脑进行定位操作。谢新冲给调查公司进行手机定位的收费远高于给正常用户定位的收费，给正常用户定位一个号码收费100元，有三个月的定位权限；而给调查公司定位一个号码收费1000元，仅有一个月的定位权限。谢新冲先后为被告人刘海亮、程春郊、张超英等多人进行手机定位90余个，非法获利人民币9万元，属于多次向多人出售多个公民个人信息，且非法获利数额巨大，应当认定为情节严重。因此，谢新冲的行为构成出售公民个人信息罪。

值得一提的是，出售、非法提供公民个人信息罪与非法获取公民个人信息罪之间属于对向犯关系。当非法获取公民个人信息达到情节严重的程度时，可以以非法获取公民个人信息罪定罪处罚。本案被告人刘海亮、程春郊、张超英明知手机定位信息来源于电信单位的谢新冲处，而通过购买方式直接获取。其中，刘海亮非法获取手机定位信息40余个，程春郊非法获取手机定位信息30余个，张超英非法获取手机定位10余个，三人均属于多次非法获取公民个人信息，符合“情节严重”的定罪条件，应当认定为非法获取公民个人信息罪。

 

《刑事审判参考》第719号 周娟等非法获取公民个人信息案

【摘要】

非法获取大量公民个人信息的行为，如何定罪量刑？

根据《刑法修正案（七）》第七条的规定，窃取或者以其他方法非法获取公民个人信息，情节严重的，构成非法获取公民个人信息罪。采用“窃取”手段获取公民个人信息的行为比较容易认定，关键是如何认定本条中的“以其他方法非法获取”。根据浦东新区法院审理该类案件的情况和媒体报道的其他法院审理该类案件的情况，目前在非法获取公民个人信息犯罪案件中，“以其他方法非法获取”主要包括冒充相关部门工作人员至电信部门调取通话清单，向掌握大量公民个人信息的人员如房地产公司、电讯公司工作人员购买等，获取的信息内容不仅包括公民的电话号码等联系方式，还包括职业、简历、住址等信息。总体而言，这些行为具有一个共同的特征，即被告人均是未经授权擅自获取公民个人信息。例如，房产业主购房时登记自己的电话号码，只是为了便于与开发商或卖家联系，其信息被多次转卖显然超出其同意的范围。再如，求职者向某职位发送个人简历，只是为了应聘该职位，其信息被转卖至其他公司也显然违背其意愿。

周娟等非法获取公民个人信息案

一、基本案情

被告人周娟，女，1975年11月22日出生，上海泰梦信息技术有限公司法定代表人。因涉嫌犯非法获取公民个人信息罪于2009年9月30日被逮捕。

（被告人李之召、张宜宇、陈遵龙、余银华等9名被告人的基本情况略）

上海市浦东新区人民检察院以上述十名被告人犯非法获取公民个人信息罪，向上海市浦东新区人民法院提起公诉。

上海市浦东新区人民法院经审理查明：

2005年2月，被告人周娟注册成立上海泰梦信息技术有限公司，在上海市上南五村56号402室、浦东南路4950弄5号401室设立办公地点。随后，周娟雇用被告人李之召、张伟、胡梅珍、李雪花、张修、王开生等人，通过互联网非法获取（网上交易或以信息换信息的方式）并出售公民个人信息。2009年3月至9月，周娟将通过互联网非法获取的公民个人信息以刻制成光盘或发送电子邮件等方式出售，并指使被告人胡梅珍、李雪花、张修、王开生送信息和收取货款。周娟对非法所得予以支配，各被告人均从中牟利。案发后，从被告人处扣缴的电脑及硬盘中的资料显示，2009年3月至案发前，周娟获取的股民资料、车主名单、银行卡会员名单等公民个人信息共计98万余条。

2008年6月，被告人李之召离开上海泰梦信息技术有限公司后，先后在上海市原南汇区瑞和路168弄42号1302室、湖北省武汉市江夏区等地设立办公地点。随后，李之召以“上海OK信息”、“上海易通信息”为名，在互联网上非法获取并出售公民个人信息。2009年6月至9月，李之召雇用并指使被告人张修送信息和收取货款；2009年8月至9月，李之召雇用并指使被告人张伟在互联网上发帖联系买家出售信息。李之召对非法所得予以支配，张修、张伟等被告人均从中牟利。案发后，从被告人处扣缴的电脑和优盘中的资料显示，2009年3月至案发前，李之召所获取的股民资料、长沙及北京车主、银行客户、保险客户、高收人人群名单等公民个人信息共计3000余万条。

2009年5月至8月，被告人张宜宇先后多次通过互联网从“上海易通信息”、陆亚南（另行处理）等人处非法获取公民个人信息，然后在互联网发帖出售上述信息，从中牟利。案发后，从被告人处扣缴的电脑、硬盘中显示，张宜宇所获取的银行存款客户名单，车主名单、小孩出生资料、联通全库、股民名录、高收入人群、楼盘业主资料等公民个人信息共计1000余万条（其他事实略）。

浦东新区法院认为，被告人周娟、李之召、张伟、胡梅珍、李雪花、张修、王开生、张宜宇、余银华、陈遵龙非法获取公民个人信息，数量大，情节严重，其行为已构成非法获取公民个人信息罪。在被告人周娟、胡梅珍、李雪花、王开生、张修共同犯罪中，周娟起主要作用，系；胡梅珍、李雪花、王开生、张修起辅助作用，系从犯。在被告人李之召、张修、张伟共同犯罪中，李之召起主要作用，系主犯；张修起辅助作用，张伟起次要作用，均系从犯。对被告人胡梅珍、李雪花、张修、王开生、张伟均依法从轻处罚。被告人余银华到案后有检举他人犯罪的立功表现，且犯罪情节轻微，危害不大，可免予处罚。上述被告人均自愿认罪，可酌情从轻处罚。依照《中华人民共和国刑法》第二百五十三条之一第二款、第二十五条、第二十六条、第二十七条、第六十八条第一款、第三十七条、第七十二条、第七十三条、第五十三条之规定，判决如下：

被告人周娟犯非法获取公民个人信息罪，判处有期徒刑一年，罚金人民币二万元（其他被告人判决情况略）。

宣判后，被告人张宜宇向上海市第一中级人民法院提出上诉，后在二审审理期间申请撤回上诉。二审法院认为，一审法院认定的事实清楚，证据确实、充分，定罪准确，量刑适当，审判程序合法，裁定准许撤回上诉。

二、主要问题

1.如何认定非法获取公民个人信息罪中的“非法获取”

2.如何把握非法获取公民个人信息罪的定罪标准和量刑情节

三、裁判理由

（一）对于非法获取公民个人信息犯罪，未经授权的不当获取应构成“非法获取”

根据《刑法修正案（七）》第七条的规定，窃取或者以其他方法非法获取公民个人信息，情节严重的，构成非法获取公民个人信息罪。采用“窃取”手段获取公民个人信息的行为比较容易认定，关键是如何认定本条中的“以其他方法非法获取”。根据浦东新区法院审理该类案件的情况和媒体报道的其他法院审理该类案件的情况，目前在非法获取公民个人信息犯罪案件中，“以其他方法非法获取”主要包括冒充相关部门工作人员至电信部门调取通话清单，向掌握大量公民个人信息的人员如房地产公司、电讯公司工作人员购买等，获取的信息内容不仅包括公民的电话号码等联系方式，还包括职业、简历、住址等信息。总体而言，这些行为具有一个共同的特征，即被告人均是未经授权擅自获取公民个人信息。例如，房产业主购房时登记自己的电话号码，只是为了便于与开发商或卖家联系，其信息被多次转卖显然超出其同意的范围。再如，求职者向某职位发送个人简历，只是为了应聘该职位，其信息被转卖至其他公司也显然违背其意愿。

有学者提出，一些单位将本机构人员信息公布于网站上，某些经营信息的企业或个人通过网络搜索上述信息并整理出售的行为是否应该人罪，法律规定并不明确。我们认为，互联网是一个开放的平台，如果信息所有者自行或者通过单位将信息公布于网站上，应当推定其同意公开个人信息。作为一个理性的个人，应当能预见信息公开的后果，所以在选择公开的程度和方式时会有所控制，不会将私密性较强的信息公布于网站上。所以，即使这些公开的信息被他人搜索到之后再整理出售，一方面该行为的危害程度有限，另一方面该行为的后果是信息所有者应当能够预见到的，所以不宜入罪。

另有观点认为，非法获取行为的“非法性”同时还应当体现为手段行为的“非法性”，即采用的手段属于窃取以及其他与窃取行为具有相当违法性的行为。我们认为，这种观点不能很好地解释买卖和互易信息行为的违法性，目前虽然没有个人信息保护法规明确将公民个人信息规定为禁止买卖和互易的商品，很难确认买卖或者互易的手段本身是否具有违法性，但如果行为人未经授权擅自获取公民个人信息，则无疑属于非法获取公民个人信息。因此，本案中，行为人在网上购买、互易、发布虚假招聘广告骗取求职者个人信息以及利用职务便利私自复制公司客户资料等手段均可认定为“非法获取”。

（二）非法获取公民个人信息罪的定罪标准和量刑情节应结合案件具体情况予以认定

作为一个新的罪名，目前，尚无司法解释明确规定非法获取公民个人信息罪的定罪量刑标准。

在定罪方面，我们认为，不能唯数量论，即使涉案信息数量不大，但有其他严重情节的，也能够构成本罪。侧如，非法获取的手段行为具有较大的破坏性（破坏他人计算机系统以获取信息）；非法获取他人隐私类信息，严重影响他人工作、学习和生活；非法获取他人信息用于违法犯罪活动；非法获取并出售他人信息，导致他人人身和财产安全遭到严重威胁或危害等，都应属于情节严重的表现。

在量刑方面，我们认为，除了将涉案个人信息的数量作为主要的量刑情节之外，还应当结合以下几个方面综合把握：

1.犯罪动机

根据各被告人的供述，被告人周娟、李之召、张伟、胡梅珍、李雪花、张修、王开生、张宜宇、陈遵龙的犯罪动机主要是为了牟利，而被告人余银华称自己最初获取信息只是为了从事人力资源行业的工作方便。我们认为，出于牟利目的而非法获取信息的行为与因日常生活和工作需要而非法获取信息的行为相比，前者主观恶性明显要大，且信息的传播范围要更广，因此，情节更为严重。

2.犯罪手段

从获取信息的手段分析，被告人周娟、李之召、张伟、胡梅珍、李雪花、张修、王开生和张宜宇都是通过互易、购买的方式获取公民个人信息，被告人陈遵龙是购买以及通过在网站发布虚假招聘广告的方式骗取，被告人余银华主要是利用职务便利在公司私自复制、购买以及发布虚假招聘广告骗取，其中2009年3月以后余银华主要是通过购买的方式获取。一般而言，如果手段行为本身具有违法性或者破坏性，如骗取、窃取他人信息，采取破坏性手段侵入他人计算机系统等方式获取信息，相比一般的购买、互易信息行为具有更大的危害性。同时，骗取、窃取行为一般获取的是“第一手”信息，可能导致更多本身不在信息“流通”市场的公民个人信息被转卖或传播，所以其量刑应当相对较重。

3.信息类型

对于公民个人信息范围的界定一直存有争议，我们认为，本罪中的公民个人信息是指与公民个人密切相关的、其不愿该信息被特定人群以外的其他人群所知悉的信息。一方面，公民个人信息的保护是公民人格权的重要组成部分，对公民不愿意公开的信息进行保护是现代法治的应有之义；另一方面，公民个人信息的泄露可能为不法分子所利用，进而为公民带来负面的影响。因此，非法获取的公民个人信息如果属于公民隐私类信息或者泄露后可能会产生极其不良后果的信息，相对于非法获取公民一般信息，情节更为严重。本案中，被告人非法获取的个人信息包括两类：一类是股民资料、车主和房产业主资料、高收人人群名单、银行存款客户名单、保险客户、小孩出生资料等，主要是一些电话号码，一般是被用于商业推销等用途；另一类是求职者信息，主要是求职者的简历之类的内容，一般为“猎头”所用。以上两类信息都属于一般公民信息。

4.犯罪后果

被告人非法获取信息后主要有三种处理结果：一是自己存留；二是转卖给他人；三是自行使用。第一，对于自己存有的情形，行为的危害性较小，量刑时可以比照其他情况适当从轻。第二，对于转卖给他人的，如果他人将信息用于实施犯罪行为，且被告人对此是明知的，则可能构成共犯。第三，被告人不知他人欲将信息用于犯罪活动，但间接地造成了严重后果，也应当认为其非法获取公民个人信息的行为危害性较大，并将之作为从重处罚的情节。第四，如果被告人利用自己获得的信息实施了犯罪行为，应当对其数罪并罚。第五，若被告人利用获得的信息实施了犯罪以外的其他行为，应当将其使用后果作为量刑情节予以考虑。本案中，被告人及其辩护人提出，被告人获取并出卖的信息可能会让信息所有者获得有用的信息或者合适的工作机会，社会危害不大。公诉人则指出，此种行为更大程度上是对信息所有者造成了骚扰。法院在量刑时应当充分考虑控辩双方的意见。

本案中，考虑到各被告人获取信息的数量、动机、手段、类型和后果，法院对被告人周娟、李之召、张伟、胡梅珍、李雪花、张修、王开生、张宜宇、陈遵龙九名被告人分别判处拘役六个月至有期徒刑二年不等的刑罚，且根据具体情况对被告人胡梅珍、李雪花、张修、王开生适用缓刑；被告人余银华在2009年3月至9月间，通过购买的方式获取公民个人信息2000余条，数量较小，且有立功表现，认罪悔罪态度较好，故免予刑事处罚。