数字经济时代，个人信息内涵丰富，其可利用价值明显上升，日益成为重要的生产要素和社会财富。当前，侵犯公民信息的犯罪行为，包含但不限于从源头的采集、获取到流转端的倒卖、出售再到末端的非法使用等全链条行为，搭上高速发展的互联网信息技术，不仅使该类犯罪的侵害对象呈现出批量化、规模化等特点，更是与下游的电信网络诈骗等关联犯罪深度结合，为下游犯罪的精准实施提供了“水之源，木之本”，甚至直接催生出了大量网络黑灰产业，严重危害公民的人身、财产安全，网络秩序及社会公共安全也受到严峻威胁。近期，团队全员办理的某网络科技公司多名人员涉嫌侵犯公民个人信息犯罪（以下简称“侵公罪”）一案均获得了相对不起诉的理想结果，作者想借此分享一些实务辩护思考，以期同侪指正或参考。
法律规定：我国刑法第二百五十三条之一规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第一条规定，“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。《解释》第五条基于不同类型公民个人信息的敏感程度，分别设置了非法获取、出售或者提供公民个人信息“五十条以上”“五百条以上”（敏感信息）“五千条以上”（非敏感信息）及其他行为模式的入罪标准。
辩护思路：关于侵公罪的实务辩护思路，律师认为应至少从两个层次辨析，首先应准确界定涉案信息是否属于“刑法意义上的公民个人信息”，其次再结合个案的犯罪行为判断其是否符合法定要件，进而确定对应的定罪量刑标准。
01、侵公罪中公民个人信息的刑法界定
案情一简介
被告人王某先后多次通过QQ及互联网等途径从他人手中收购包含企业法定代表人姓名、电话等的企业登记信息，并将该信息再次出售给他人获利或提供给第三方供其开展商业推销，并在推销成功后获得分成。经查实，王某非法购买的信息均由他人通过企查查、天眼查及阿里巴巴等公开途径获得。
（一）公民个人信息应具备可识别特定自然人的核心特征
结合侵公解释、个人信息保护法、网络安全法及民法典等多项法律规定，公民个人信息必须具备可识别特定自然人的核心特征，即涉案信息须单独或与其他信息结合能够识别特定自然人，或者反映特定自然人的活动情况，如经过处理无法识别特定自然人，或者虽然可能反映自然人活动情况，但与特定自然人无直接关联的，均不能认定为本罪的个人信息。
案例中已公开的企业法定代表人信息是否属于公民个人信息，该问题实践中历来存在争议。举一反三，求职网站上的个人简历等权利主体自愿公开、甚至主动公开的这一类个人信息应如何界定。支持说（多数观点）认为，已公开的工商企业登记信息，包括法定代表人的姓名、联系电话、公司住所地等内容，仍不失能够识别特定自然人的基本特性，形式上也属于《解释》规定的公民个人信息的范畴，且我国现行法律及司法解释并未规定个人信息必须具备“隐私性”，即“公开性”并非个人信息的排除事由[1]。否定说（少数观点）主张，工商企业在注册登记及经营过程中，主动公开部分公民个人信息既是国家有关法律法规（《企业信息公示暂行条例》等）的要求，也是自身经营发展必需。对个人来说，公开自身信息即使能够被他人识别，但其同意行为意味着愿意为企业让渡部分个人信息的利益，其对自身信息会被自由查询、扩散也应该有所认知，在此情况下刑法似乎并无介入保护的必要[2]。
（二）公民个人信息的识别界定还应结合具体犯罪行为综合判断
- 个人信息的界定应结合个案中行为人的具体用途及目的
如经过上述分析仍无法准确界定是否属于个人信息，律师应在个案中进一步结合个人信息的具体用途及目的，即行为人是否明显违背已公开个人信息的公开目的；是否明显改变已公开个人信息的用途。最高人民检察院印发的《检察机关办理侵犯公民个人信息案件指引》（以下简称《指引》）规定，对于企业工商登记中包含的手机、电话号码等信息，应当明确该号码的用途，严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。该规定同样着重强调了应明确区分该类公民信息的用途是否符合其公开的目的，例如将已公开的企业信息及企业人员信息等提供给贷款机构，促成企业融资，我们理解该行为并未超出企业为经营发展需要资金支持而依法主动公开相关信息的商业目的，不宜定罪。 - 侵公罪的认定还应结合犯罪行为是否危害公民人身及财产权益
除了考量个人信息的具体用途之外，还应结合行为人是否利用已公开个人信息实施了可能危及公民人身或财产安全的违法犯罪行为。近两年，伴随民法典的生效，新增的“合理处理该自然人自行公开的或者其他已经合法公开的信息的，行为人不承担民事责任”之规定给本罪也带来了新变化。2021年1月20日，《检察日报》刊发的“出卖公开的企业信息谋利：检察机关认定行为人不构成犯罪”一案中，检察机关正是基于该规定审查后认定，案件没有证据证实行为人出售合法公开信息的行为会侵害企业或自然人的重大利益或遭到权利人拒绝，并据此向公安机关发出了撤案的司法建议。
02、侵公罪中特殊行为模式的认定及其入罪标准
案情二简介
某网络科技公司主营互联网引流业务，即向合作的第三方旅游、教培等机构推荐意向客户，第三方机构与客户达成交易的，该公司从中获取一定比例的分成。为开展业务，该公司需要一定数量的手机号及其验证码，该公司便从外部购买了部分“地推号”“厅推号”等不同来源的通讯信息。
区别于常见的获取、出售及提供信息等流转行为，该案例涉嫌的使用行为较为特殊，即为合法经营活动而非法购买、收受公民信息，律师在实务辩护中应尤其注意该情形在定罪量刑上的特殊规定。
（一）为合法经营而非法获取并使用公民信息应符合相应的法定要件
《解释》第六条规定，为合法经营活动而非法购买、收受非敏感个人信息，并利用其获利五万元以上的，构成本罪。由此可知，该行为模式需满足如下条件：一是获取公民个人信息是为了合法经营活动，对此可以综合全案证据及事实予以认定，但主要应当由犯罪嫌疑人一方提供相关证据。具体到上述案例，某网络科技公司从事的民事推介业务未违反相关法律法规，为合法的经营活动；二是仅限于非敏感的公民个人信息，即不包括行踪轨迹信息、通信内容、征信信息、财产信息及住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的敏感信息；三是信息没有再次流出扩散，即行为方式限于购买、收受后使用，如行为人将信息再次流转的，应按《解释》第五条的规定定罪量刑。
（二）该情形的获利金额应扣除合理的犯罪成本
因不同的行为模式适用完全不同的处罚标准，流通行为的定罪量刑适用《解释》第五条规定，即涉案信息的数量按敏感程度分为五十条、五百条及五千条或“违法所得”为五千元以上等情形；为合法经营活动的使用行为应适用《解释》第六条规定，即使用非法获取的信息“获利”五万元。立法者在前后紧挨的两条规定中分别使用了“违法所得”及“获利”的概念，提示律师应重点把握“获利”金额的认定，入罪标准应扣除合理的犯罪成本，不应以业务的全部营收为准。该问题不仅关系到罪与非罪的界限，还直接影响着案件赃款和罚金数额的认定，在定罪量刑查证属实的情况下能够发挥为当事人减损的实际作用。
综上，侵公罪的实务辩点除前文所述之外，仍有诸多争议，包含但不限于公民信息的真实性、公民信息数量的查重与排除、违法所得数额的认定等诸多争议问题值得深入研究，但限于文章篇幅，作者有机会将另行分享。
[1]2018年第32期《人民司法（案例）》刊载的《公开的工商企业登记信息也可成为公民个人信息》一文，以及2020年人民法院出版社出版的《侵犯人身权利罪裁判精要与规则适用》一书载明了相同观点。
[2]2018年6月21日《人民法院报》刊载的《公民个人信息刑法保护的例外》一文载明了相同观点。