侵犯公民个人信息罪的辩护要点 | 王吉成律师

江西刑事律师王吉成，执业于吉安市江西吉泰律师事务所，专注刑事辩护与涉币辩护，本文系其实务解析。

大数据时代，公民个人信息成为重要资产，也成为刑事风险的高发点。侵犯公民个人信息罪是《刑法修正案（七）（九）》增设并完善的罪名，2021年《个人信息保护法》施行后该罪适用更加规范。本文依据《刑法》第二百五十三条之一及司法解释，梳理侵犯公民个人信息罪的辩护要点。

一、立法沿革

1. 2009年《刑法修正案（七）》

首次增设”出售、非法提供公民个人信息罪”和”非法获取公民个人信息罪”。

2. 2015年《刑法修正案（九）》

合并罪名：侵犯公民个人信息罪（《刑法》第253条之一）。

3. 2017年两高司法解释

《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》细化定罪量刑标准。

4. 2021年《个人信息保护法》施行

为个人信息处理活动提供更全面的法律框架，影响刑事案件的认定。

二、犯罪构成要件

1. 主体

一般主体：自然人和单位；
主要包括：网络服务提供者、内部员工、数据中介、运营商、技术服务方等；
单位犯罪：单位与个人并罚。

2. 行为

依据《刑法》第253条之一：

违反国家有关规定；
向他人出售或者提供公民个人信息；
窃取或者以其他方法非法获取公民个人信息。

3. 情节标准

依据2017年两高司法解释：

出售或提供行踪轨迹信息、通信内容、征信信息、财产信息：50条以上；
上述信息以外的其他公民个人信息：500条以上；
违法所得：5000元以上；
将在履行职责或者提供服务过程中获取的公民个人信息出售或者提供给他人，入罪标准减半（即25条/250条/2500元）。

4. 特别严重情节

数量或数额是上述标准的 10 倍以上；
造成被害人重伤、死亡、精神失常、被诈骗等严重后果；
造成重大社会影响、群体性事件；
其他特别严重情节。

三、“公民个人信息”的认定

1. 定义

依据2017年司法解释：以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份的各种信息，包括：

姓名、身份证件号码、联系方式、住址、账号密码、财产状况、行踪轨迹等。

2. “识别”是核心

单独可识别特定自然人的；
与其他信息结合识别特定自然人的。

3. 公开信息的特殊考量

公开信息不必然不属于个人信息（如某些公开渠道的数据组合后仍可识别）；
公开信息的处理仍需遵守《个人信息保护法》规定；
刑事追诉应结合公开程度、信息敏感度综合判断。

四、“违反国家有关规定”的界定

1. 有关规定

《个人信息保护法》；
《网络安全法》；
《数据安全法》；
《征信业管理条例》；
行业监管规定；
部门规章、地方性法规中的个人信息保护规范。

2. 合法处理个人信息的情形

依据《个人信息保护法》第13条：

取得个人的同意；
订立或履行合同所必需；
履行法定职责或法定义务；
应对突发公共卫生事件；
在合理的范围内处理已公开信息；
法律、行政法规规定的其他情形。

3. 不构成犯罪的情形

经个人同意处理的；
在合理范围内处理已公开信息的；
履行法定职责或法定义务的；
处理个人信息未违反规定的；
数量、情节未达入罪标准的。

五、几种典型情形的辩护

1. 内部员工携带客户信息跳槽

客户信息是否为”个人信息”（特别是已公开的工商信息）；
是否违反公司保密义务（民事违约）与刑事犯罪的边界；
信息用途（客户维护 vs 出售他人）；
是否构成”出售或提供”。

2. 数据爬取/技术抓取

是否违反《数据安全法》《个人信息保护法》；
是否违反网站的 Robots 协议、用户协议；
抓取的信息是否属于个人信息；
抓取行为的目的与方式（个人研究、商业用途）。

3. 第三方数据交易

卖方与买方是否知情信息内容；
是否形成”产业链”（信息收集、整理、销售）；
交易方式、数量、金额。

4. 跨境数据流转

是否违反《数据安全法》《个人信息保护法》的出境规定；
涉及的国家/地区；
涉案数据的敏感程度。

六、单位犯罪与责任人员

1. 单位犯罪

单位向他人出售或提供个人信息的，构成单位犯罪；
对单位判处罚金；
对直接负责的主管人员和其他直接责任人员判处刑罚。

2. 责任人员范围

单位负责人（法定代表人、董监高）；
部门负责人（直接负责的主管人员）；
具体实施行为的员工（其他直接责任人员）。

3. 责任人员范围限缩

仅领取固定工资、未参与决策和实施的员工，应排除；
接受单位指派的执行者，争取从犯认定。

七、辩护要点

1. 主体身份

单位犯罪 vs 个人犯罪的区分；
责任人员范围的审查。

2. 客观行为

是否违反国家有关规定；
是否属于”出售、提供”或”窃取、非法获取”；
是否符合刑民交叉的边界（民事违约 vs 刑事犯罪）。

3. 数量与情节

数量是否达到入罪标准（注意员工案减半规则）；
违法所得是否达到入罪标准；
是否属于”履行职责或提供服务过程中获取”（影响减半）；
是否属于”特别严重情节”。

4. 信息性质

是否属于”个人信息”（是否可识别特定自然人）；
是否为公开信息；
信息的敏感程度（行踪、征信 vs 一般信息）。

5. 程序性辩护

取证程序是否合法；
电子数据是否完整、真实；
是否符合《个人信息保护法》《数据安全法》的程序要求。

6. 自首、立功与退赔

主动投案、如实供述；
揭发他人犯罪经查证属实；
主动删除、退回涉案信息。

八、给当事人及律师的建议

当事人：

评估个人信息的处理是否取得合法授权；
主动配合调查、如实供述；
主动删除、停止处理涉案信息；
及时委托律师评估法律风险。

企业：

建立个人信息合规管理制度；
取得个人同意或法律依据；
完善数据安全技术措施；
与员工签订保密协议；
评估数据流转的合规风险。

律师：

精细审查构成要件（个人信息性质、违法行为、情节）；
准确适用”减半规则”；
区分民事违约与刑事犯罪；
综合运用证据规则与量刑情节。

侵犯公民个人信息罪是数据时代的核心罪名之一。王吉成律师办理网络犯罪与数据合规案件，熟悉侵犯公民个人信息罪的辩护与合规。咨询热线：183-0796-5661，微信：lawyer_wang_zz，江西吉泰律师事务所。

王吉成律师