侵犯公民个人信息犯罪被称为“百罪之源”，由此滋生了电信网络诈骗、敲诈勒索、绑架等一系列犯罪。以电信网络诈骗为例，犯罪行为人获取公民个人信息后贩卖给电信网络诈骗分子，为实施精准诈骗提供了条件，进而形成上游非法收集、中游代理商转手倒卖、下游诈骗犯罪非法利用的黑灰产业链。
《刑法中华人民共和国刑法》
第二百五十三条之一 违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
一、公民个人信息的认定
公民个人信息是动态且高度依赖于具体场景的，仅机械适用“概括+列举”方式静态类型化识别并不符合实际，故必须结合个案情况进行动态认定，即应结合具体案件因素对信息来源、去处、种类、价值以及其与人身权、财产权的紧密程度等综合加以判定。
侵犯公民个人信息罪中“公民个人信息”的认定，应当强调身份的可识别性以及与人身、财产法益的关联性，判断是否具备形式的可识别性、内容的隐私性、来源的不公开性、性质的敏感性等四项特征。
对于侵犯了单一信息如电话号码、购物信息等的，应当判断该信息是否关联人身利益与财产利益，对案涉信息进行限缩解释，从而避免无限递归下的动辄得咎。对于具有较高识别能力的个人和企业，应当根据其客观能力、义务范围等综合判定其对信息的可识别性。因此，对公民个人信息除以可识别性作为本质认定标准外，还应当综合考虑行为人的行为方式及侵犯公民个人信息的种类、数量、危害后果、识别能力等因素，对案涉信息进行动态识别。
二、居民身份证信息是否属于《解释》第五条第一款第四项中“其他可能影响人身、财产安全的公民个人信息”？
居民身份证信息是否属于《解释》第五条第一款第四项中“其他可能影响人身、财产安全的公民个人信息”。根据《解释》第五条第一款第四项规定，非法获取、出售或者提供住宿信息、通讯信息、健康生理信息、交易信息等其它可能影响人身、财产安全的公民个人信息五百条以上的可认定为“情节严重”。同款第五项规定，非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的可认定为“情节严重”。即，如果认定涉案居民身份证信息属于《解释》第五条第一款第四项中“其他可能影响人身、财产安全的公民个人信息”的，那么交易五百条以上个人信息即可认定“情节严重”,五千条以上构成“情节特别严重”。
1、相关案件一审法院认为：居民身份证上的住址是公民的实际居住地址或者名义户籍地址，无论何者，均与公民及其家人的人身安全、财产安全存在十分紧密而又重要的联系，家庭住址被非法曝光、泄露将对公民个人及其家人的人身安全、财产安全造成重大隐患，为精准实施各类违法犯罪行为大开方便之门，故理应予以重点保护，从举轻以明重的一般法理解释原则出发，其重要性也应高于作为公民临时性、过去性住所的“住宿信息”,故应被认定为《解释》第五条第一款第四项中所规定的信息种类。
2、相关案件二审法院认为：居民身份证除包含户籍地址信息外，还是公民的姓名、人脸信息、唯一身份号码等信息的综合体，是公民重要的身份证件，在信息网络社会，居民身份证信息整体均系敏感信息，可用来注册、认证、绑定网络账号。公民的人脸信息、身份号码、姓名、地址信息结合后所形成的公民个人信息具备唯一性，可与公民个人精准匹配，并可诱发公民其他个人信息的进一步泄露，对公民个人信息权益侵害极大，应将居民身份证信息整体认定为涉公民人身、财产安全的信息。
三、行踪轨迹信息的认定
行踪轨迹信息能够实时反映相关人员的轨迹状况，与人身安全直接相关，系高度敏感信息，故《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(法释[2017]10号)第五条将入罪标准设置为“五十条以上”,升档量刑标准设置为“五百条以上”。
对于行踪轨迹信息的认定，原则上只宜理解为GPS定位信息、车辆轨迹信息等可以直接定位特定自然人具体坐标的信息。而且，行踪轨迹信息不等于涉及轨迹的信息，而应当理解为涉及轨迹的实时信息。
四、利用涉案“颜值检测”软件窃取的“人脸信息”是否属于刑法规制范畴的“公民个人信息”？
“人脸信息”属于刑法第二百五十三条之一规定的公民个人信息，利用“颜值检测”黑客软件窃取软件使用者“人脸信息”等公民个人信息的行为，属于刑法中“窃取或者以其他方法非法获取公民个人信息”的行为，依法应予惩处。主要理由如下：
第一，“人脸信息”与其他明确列举的个人信息种类均具有明显的“可识别性”特征。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)中列举了公民个人信息种类，虽未对“人脸信息”单独列举，但允许依法在列举之外认定其他形式的个人信息。《解释》中对公民个人信息的定义及明确列举与民法典等法律规定中有关公民个人信息的认定标准一致，即将“可识别性”作为个人信息的认定标准，强调信息与信息主体之间被直接或间接识别出来的可能性。“人脸信息”属于生物识别信息，其具有不可更改性和唯一性，人脸与自然人个体——对应，无需结合其他信息即可直接识别到特定自然人身份，具有极高的“可识别性”。
第二，将“人脸信息”认定为公民个人信息遵循了法秩序统一性原理。民法等前置法将“人脸信息”作为公民个人信息予以保护。民法典第一千零三十四条规定了个人信息的定义和具体种类，个人信息保护法进一步将“人脸信息”纳入个人信息的保护范畴，侵犯“人脸信息”的行为构成侵犯自然人人格权益等侵权行为的，须承担相应的民事责任或行政、刑事责任。
第三，采用“颜值检测”黑客软件窃取“人脸信息”具有较大的社会危害性和刑事可罚性。因“人脸信息”是识别特定个人的敏感信息，亦是社交属性较强、采集方便的个人信息，极易被他人直接利用或制作合成，从而破解人脸识别验证程序，引发侵害隐私权、名誉权等违法行为，甚至盗窃、诈骗等犯罪行为，社会危害较大。被告人李开祥操纵黑客软件伪装的“颜值检测”软件窃取用户自拍照片和手机相册中的存储照片，利用了互联网平台的开放性，以不特定公众为目标，手段隐蔽、欺骗性强、窃取面广，具有明显的社会危害性，需用刑法加以规制。
五、被刑事拘留的犯罪嫌疑人及其家属联系方式等信息，是否属于公民信息？
公民个人信息在形式上要求具备身份的可识别性，实质上强调与人身、财产法益的关联性。被刑事拘留的犯罪嫌疑人及其家属联系方式等信息，属于公民个人信息，理由如下：
第一，形式的可识别性，每一组信息与嫌疑人及家属、被害人及家属具有——对应关系，能够排除同名同姓等易混同身份的模糊情况，具有明确指向性与个人标签性；
第二，内容的隐私性，无论是针对嫌疑人还是被害人，该类信息应属于负面信息，具有绝对的隐私性；
第三，来源的不公开性，犯罪嫌疑人及其家属联系方式通常为登陆公安内网案件综合信息系统后获取，普通人无权获取；
第四，性质的敏感性，涉案的每组信息一旦被公开泄露，有可能使当事人人身权益面临较大的损害风险。
因此，应当认定涉案信息属于侵犯公民个人信息罪所规定的公民个人信息。
六、公民个人房屋权籍调查信息是否属于本罪“公民个人信息”？
1.财产信息与财产安全直接相关，系高度敏感信息，故《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(法释[2017]10号)第五条将入罪标准设置为“五十条以上”,升档量刑标准设置为“五百条以上”。
2.房产信息是否属于侵犯公民个人信息犯罪中的财产信息不应一概而论。判断房产信息是否属于财产信息，关键在于该信息是否直接涉及公民个人人身财产安全。“公民个人房屋权籍调查信息”直接来源于银行房屋信息系统，属于直接反映财产状况的信息，涉及财产安全，可以纳入“财产信息”的范畴。
3.判断涉案信息是否属于“财产信息”的范畴，可以结合信息获取渠道和交易价格考量。司法实践中，作为佐证，可以将信息交易价格作为敏感信息判断的辅助因素。通常而言，敏感信息、特别是高度敏感信息的交易价格要远远高于一般公民个人信息。
七、侵犯公民个人信息罪的附带民事公益诉讼问题
1、检察机关就侵犯公民个人信息的犯罪行为能否提起附带民事公益诉讼问题？
公众的个人信息更广泛地泄露和传播，滋生电信网络诈骗、“套路贷”等下游犯罪，进而威胁公众人身、财产安全，侵害了公共利益。保护公民个人信息事关不特定公众群体的切身利益，具有公益属性。检察机关在起诉实施侵犯公民个人信息行为的被告人时，可同时提起附带民事公益诉讼，符合国家对公民个人信息保护的价值取向，弥补了个人信息保护私益诉讼的不足。
2、同时科处刑事责任和民事责任是否竞合？
刑事责任与民事责任本质目的均为保护法益，但二者保护的法益并不相同，刑事责任是对违法行为人的惩罚和制裁，民事责任是对受害人所受损害的补救。二者内在逻辑存在本质区别，功能、性质均不相同，不存在冲突，相互不能被吸收，更无法替代。通过刑事附带民事公益诉讼，被告人除应承担刑事责任外，还应承担赔偿损失、向公众赔礼道歉、消除危险等民事责任。对被告人实施刑事和民事双重制裁，形成追责合力，更有利于实现对违法行为的预防和对公益的全面保护。
八、刑事附带民事公益诉讼案件损害赔偿数额的确定
在侵犯公民个人信息刑事附带民事公益诉讼案件中，民事主体因同一行为应当承担民事责任、行政责任和刑事责任的，承担行政责任或者刑事责任不影响承担民事责任。因此，追缴违法所得和公益损害赔偿可以并存。
在侵犯公民个人信息刑事附带民事公益诉讼案件中，行为人侵犯了不特定公民的信息权益，可以按照民法典第一百七十九条的规定承担相应的民事责任，并依据民法典第一千一百二十八条、个人信息保护法第六十九条的规定确定损害赔偿的数额。被告人违法所得数额是从犯罪中获得的收益，依据实际查明的获利数额进行追缴。如果实际损失数额能够查清，可以依据实际损失来认定。如果实际损失或者获利数额都无法查清，法院可以视情况酌定损害赔偿的数额。
最高人民法院 最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
第一条 刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
第二条 违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。
第三条 向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。
未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。
第四条 违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。
第五条 非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；
（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；
（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；
（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；
（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；
（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；
（七）违法所得五千元以上的；
（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；
（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；
（十）其他情节严重的情形。
实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：
（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；
（二）造成重大经济损失或者恶劣社会影响的；
（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；
（四）其他情节特别严重的情形。
第六条 为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）利用非法购买、收受的公民个人信息获利五万元以上的；
（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；
（三）其他情节严重的情形。
实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。
第七条 单位犯刑法第二百五十三条之一规定之罪的，依照本解释规定的相应自然人犯罪的定罪量刑标准，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。
第八条 设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪处罚；同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。
第九条 网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。
第十条 实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。
第十一条 非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。
向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。
对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。
第十二条 对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。
判例资料：
1、江西省安义县人民法院(2020)赣0123刑初53号刑事附带民事公益诉讼判决书
2、北京市朝阳区人民法院(2021)京0105刑初2759号刑事附带民事判决
3、上海市虹口区人民法院(2018)沪0109刑初535号刑事判决
4、上海市虹口区人民法院（2020）沪0109刑初9577号刑事判决书
5、上海市浦东新区人民法院(2022)沪0115刑初388号刑事判决
6、上海市第一中级人民法院(2022)沪01刑终934号刑事裁定
7、北京市东城区人民法院(2021)京0101刑初13号刑事判决
8、云南省德宏傣族景颇族自治州中级人民法院(2021)云31刑初117号刑事判决
9、浙江省宁波市海曙区人民法院(2021)浙0203刑初653号刑事判决
10、上海市奉贤区人民法院（2021）沪0120刑初828号刑事判决书
11、辽宁省沈阳市于洪区人民法院(2018)辽0114刑初547号刑事判决
12、辽宁省沈阳市中级人民法院(2018)辽01刑终686号刑事裁定
来源：（1）人民法院案例库
（2）裁判文书网
长按左侧二维码
关注【刑辩艺术】
图文 | 杨 琼 云南子尚律师事务所
编辑 | 杨 琼 云南子尚律师事务所
