侵犯公民个人信息罪的「情节严重」如何认定：三类信息的数量门槛与辩护要点

一、结论先行：先分类，再套数量，最后看是否减半

侵犯公民个人信息罪的入罪判断有一条固定顺序：先判断涉案信息属于哪一类，再套用该类别的数量标准，最后看是否存在「减半」情形。跳过第一步直接数条数，是实务中最常见的错误。

按《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条，三类信息的入罪数量门槛分别是：行踪轨迹信息、通信内容、征信信息、财产信息五十条以上；住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的公民个人信息五百条以上；上述以外的公民个人信息五千条以上。此外，违法所得五千元以上的，单独构成「情节严重」。

一条容易被忽略的加重规则是：将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，数量或者数额标准减半。同一批数据，普通员工与「内鬼」的入罪门槛相差一倍，这也是同类案件中量刑差异的主要来源。

二、罪名结构与前置问题：什么算「公民个人信息」

《刑法》第二百五十三条之一规定了三档：情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。单位犯本罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员依照前述规定处罚。

前置问题是对象的界定。《个人信息保护法》第四条把个人信息定义为「以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息」。刑法上的认定与这一口径基本一致：经过匿名化处理、无法识别到特定自然人的数据，不属于本罪对象；而经过去标识化处理的信息仍属个人信息，只是风险等级不同。

另一个常见争点是「企业信息」与「个人信息」的混合。企业公示信息中若包含法定代表人姓名、手机号等自然人信息，相应部分仍属个人信息；但单纯的企业登记信息、经营数据不属于本罪对象，数量应予剔除。

三、「情节严重」的十项情形与分类清单

法释〔2017〕10号第五条列举了十项「情节严重」情形，实务中按下列四组把握：

1. 按用途与明知：出售或者提供行踪轨迹信息，被他人用于犯罪的；知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的。这两项不设数量门槛，一条也可能构罪。
2. 按数量：五十条（行踪轨迹、通信内容、征信、财产）、五百条（住宿、通信记录、健康生理、交易等信息）、五千条（其他）三档。
3. 按比例折算：数量未达到上述标准，但按相应比例折算合计达到有关数量标准的，可以累计认定。
4. 按违法所得与再犯：违法所得五千元以上的；曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的。

四、三类信息的数量标准对比

五、条数计算规则：去重、折算与累计

条数不是简单相加。法释〔2017〕10号对计算规则作了专门规定，实务中需把握三点：

• 同一信息不重复计算：非法获取后又出售或者提供的，条数不重复计算。行为人先买后卖同一批数据，不能按「获取+出售」双倍计算。
• 向不同对象分别提供同一信息，累计计算：同一批信息卖给三个下家，按三次计算。这是实务中数量快速膨胀的主要原因。
• 批量数据的核减：侦查机关通常以查获的电子数据总条数起诉，辩护时应逐项核对是否存在重复、无效（空号、停机、非本人）、非个人信息（企业信息、匿名化数据）部分，并申请对鉴定意见的计算方法进行质证。

「情节特别严重」的标准是：数量或者数额达到前述第三至七项规定标准十倍以上；或者造成被害人死亡、重伤、精神失常、被绑架等严重后果；或者造成重大经济损失、恶劣社会影响。十倍是一个硬门槛，数量核减往往直接决定量刑档次的跨越。

六、六项常见辩护与合规要点

1. 信息类型降档：把「五十条类别」争为「五百条类别」或「五千条类别」，等于把入罪门槛提高十倍或百倍。核心是论证该信息不能反映人身、财产安全风险。
2. 数量核减去重：要求出示原始存储介质与提取笔录，核对去重规则、空号比例、是否混入企业信息与匿名化数据。
3. 否定「提供」：内部共享、受托处理、共同处理在具备合法性基础时不构成「非法提供」，应结合《个人信息保护法》第十三条、第二十一条、第二十三条区分。
4. 否定「违反国家规定」：合法公开信息在合理范围内处理，属于《个人信息保护法》第十三条第一款第六项的合法性基础，不当然构成犯罪。
5. 单位犯罪与责任人员：单位犯罪只追究直接负责的主管人员和其他直接责任人员，普通执行人员、外包人员原则上不承担刑事责任，但需有岗位职责、审批流程等证据支撑。
6. 量刑情节：退赃退赔、认罪认罚、初犯、数量刚过门槛、未造成实际损失，是争取缓刑或不起诉的主要抓手。合规整改情况在部分试点地区可作为从宽考量因素。

七、常见问题

问：公司采购了一批客户名单用于电话营销，构成犯罪吗？

关键看来源与授权。若名单系通过购买、收受、交换等方式从无处分权人处获得，且未取得个人同意、不属于《个人信息保护法》第十三条规定的其他合法性基础，则可能构成「非法获取」。数量达到五千条（或其他类别对应标准）即可能入罪。企业应保留来源合法性证明与告知同意记录。

问：员工私自导出客户信息，公司要不要担责？

公司是否担责取决于是否构成单位犯罪。若公司有明确制度禁止、员工超越权限私自导出、公司不知情且未获利，一般不认定单位犯罪，但可能承担《个人信息保护法》第六十六条项下的行政责任（未履行安全保障义务）。反之，若公司默许、组织或从中获利，则可能被认定为单位犯罪。

问：同一条信息卖给两个人，算一条还是两条？

按法释〔2017〕10号的计算规则，向不同单位或者个人分别出售、提供同一公民个人信息的，条数累计计算。卖给两个人即为两条。

问：数量刚好超过标准一点点，还有争取空间吗？

有。数量刚过门槛、认罪认罚、全额退赃、初犯、未造成实际损失的案件，存在不起诉或者判处缓刑的空间。此外，若部分信息经核减后低于门槛，应争取在审查起诉阶段提出，而非留到庭审。

问：匿名化处理后的数据还能构成犯罪吗？

《个人信息保护法》第四条明确匿名化处理后的信息不属于个人信息，因此不构成本罪对象。但「匿名化」的证明标准很高，须达到无法复原、无法识别特定自然人的程度；仅作去标识化、脱敏处理的，仍属个人信息。这一点在实务中存在争议，鉴定意见往往是关键。

八、小结：三条可执行的动作

对企业而言，防控本罪风险的动作只有三条：来源可证、授权可查、流转可控。来源可证，指采购与合作中的数据来源有合同与合规证明；授权可查，指告知同意记录、合法性基础判断留痕；流转可控，指内部权限最小化、导出留痕、对外提供有审批。三者齐备，既能在行政检查中证明已尽义务，也能在刑事程序中阻断「明知」的推定。

法条与依据核验：《中华人民共和国刑法》第二百五十三条之一（侵犯公民个人信息罪，三档法定刑及单位犯罪）；《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号，2017年6月1日起施行）第五条（「情节严重」十项情形，含五十条、五百条、五千条三档数量标准、违法所得五千元标准、履职或提供服务过程中获得的标准减半）、第六条（「情节特别严重」，十倍标准及严重后果情形）、关于条数计算与「提供」认定的相关条款；《中华人民共和国个人信息保护法》第四条（个人信息与匿名化的定义）、第十三条（处理个人信息的合法性基础）、第二十一条（委托处理）、第二十三条（向其他处理者提供）、第六十六条（违法处理个人信息的行政责任）。特别说明：本文所述数量标准以法释〔2017〕10号官方公布文本为准；条文项次的表述经归纳整理，援引时请核对原文；「匿名化」的认定标准、单次收货地址是否构成「行踪轨迹」、单独手机号的可识别性判断，实务中存在争议，已在文中标注。