编者按
随着信息网络技术的不断进步和大数据产业的蓬勃发展，侵犯公民个人信息的违法犯罪活动愈发呈井喷之势。立法及司法机关对此予以了高度重视，举措频频。但即便在如此高压的态势之下，相关行为依然未能得到明显扼制，其深层原因，值得思考。对公民个人信息的法律保护涉及行政、民事、刑事等各个部门法，范围甚广。作为当下对公民个人信息保护相对全面和明确的刑事法规，保护方式显著区别于其他部门法，强调谦抑性。因此，实有必要从刑事方向就公民个人信息的保护进行深入研究，以实现精准保护的同时，避免刑罚手段万能化趋势。
一、侵犯公民个人信息罪的立法背景及进程
个人信息是有效开展现代社会活动所必不可少的要素，政府在社会治理和决策中要大量应用个人数据，基于对个人数据分析的精准营销、网络推送、个性化定制等也已成为现代商业的基本样态。①与此同时，信息的广泛收集与深度挖掘对公民个人人身安全与隐私利益的威胁也与日俱增，从京东12G用户信息泄露到华住5亿条开房数据被窃取，无不体现着刑法对公民个人信息予以保护的必要性与紧迫性。2009年2月28日，《刑法修正案（七）》将非法出售、提供、获取公民个人信息的行为纳入刑事打击的范围，首次在刑法规范中增设了侵犯公民个人信息的犯罪，确立了对公民个人信息给予全面保护的立法精神，并为公民个人信息提供了最严厉的法律保护。2013年4月23日，两高一部发布《关于依法惩处侵害公民个人信息罪活动的通知》（以下简称《通知》），进一步强调了需依法、及时、高效打击侵犯公民个人信息犯罪活动。2015年5月8日，《刑法修正案（九）》进一步扩大了侵犯公民个人信息罪的主体和对象范围，增加了更高一档的情节特别严重法定刑，取消了“非法提供”中的“非法”，将入刑的行为确定为“出售或提供公民个人信息”和“窃取或者以其他方法非法获取公民个人信息”两种行为。2015 年 11 月 1 日，两高《关于执行<中华人民共和国刑法>确定罪名的补充规定（六）》取消出售非法提供公民个人信息罪和非法获取公民个人信息罪罪名，统一整合为侵犯公民个人信息罪。2017年，两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）发布，对于司法实践中存在的新情况及疑难问题做了规定，以提升打击实效，准确适用法律。
二、刑法背景下公民个人信息的权利属性
毋庸置疑，个人信息对于公民具有重要意义，但侵犯公民个人信息罪所保护的法益，尚未有统一认识，直接影响着相关法律法规的理解与适用，对于公民个人信息的权利性质主要有三种观点：
1.财产权说，该说认为，个人信息确实具有财产的因素，因为信息资料都蕴含着一定的商业价值，其本身也可以作为财产加以利用，2系一种所有权，即公民对其自身信息享有占有、使用、收益、处分的权利。
2.人格权说，又可分为具体人格权说与隐私权说：具体人格权说认为，个人信息权是一项人格权，以人格利益为保护对象，信息主体对自身信息具有控制与支配的权利，其中姓名、肖像、隐私等已经上升为具体人格权，不再需要个人信息权进行保护，而其他信息则必须通过个人信息权的机制进行保护。隐私权说将该罪名归入侵犯名誉、隐私的犯罪，认为公民个人信息包括能够识别公民个人身份或者涉及公民个人隐私的信息和数据资料。
3.作为新型权利的个人信息权说或双重属性说，该说认为公民个人信息具有财产权和人格权的双重属性，系个人以自己信息为权利客体，包括积极使用并许可他人使用的权利和消极防御他人侵害的权利，兼有人格权和财产权的特点。
笔者认为，财产权说及新型权利说均将财产权作为个人信息的主要权利属性，但在刑事背景下，财产权并非侵犯公民个人信息罪所直接保护的主要法益。首先，刑罚设计有其特殊性，法益保护原则要求刑事立法必须以保护法益为目的，必须将严重侵犯法益或侵犯重大法益的行为规定为犯罪。作为单独个体的公民个人信息的商业价值一般较为有限，权利个体实际予以使用牟利的情况并不多见，刑事审判实践更无仅因侵犯个人信息的财产权属性导致严重侵犯法益或侵犯重大法益而入罪。与侵犯公民个人信息罪相关联的侵财类犯罪多属利用获得的公民信息进行诈骗、盗窃等下游犯罪，与个人信息本身的财产价值并无直接关联。其次，罪刑法定原则要求法无明文规定不为罪、法无明文规定不处罚，侵犯公民个人信息罪处罚的是不当提供及获取公民个人信息的行为，与侵犯包括占有、使用、收益、处分四项权能的财产所有权行为存在明显区别。再次，如忽略了“个人信息”中“人”的因素，则必然“在商言商”，妨害人格的平等性，“因为每个人的经济状况不同，信息资料也有不同价值，但人格应当是平等的，不应区别对待”。
关于人格权说，具体人格权说排除了姓名、肖像、隐私等信息，显然与本罪全面保护公民个人信息的立法意旨相异，至少在进行刑罚裁量时不应采用。相对而言，将侵犯公民个人信息的权利性质理解为人格权中的类隐私权更为合理，涵盖个人的私生活整体，包括私人秘密、私生活空间及安宁等。⑪唯此，方能符合当前刑事立法、司法对公民个人信息予以全面保护的需求。隐私权说面临的质疑主要为：隐私权侧重于消极防御，难以涵盖现代社会中大量存在的公民积极使用自身信息参与各种活动的现实，还难以与现代信息社会使用信息的客观需求相兼容，隐私权的概念还具有模糊性，易导致判断主观化。⑫隐私权保护的对象仅限于公民个人私有领域的信息，其范围远小于公民个人信息的范畴，个人隐私信息之外的信息依然有保护的必要性，将公民个人信息仅以隐私权性质进行保护与信息社会各类信息频受侵犯的司法现状相脱节。
对此，首先，刑罚的谦抑性决定了其只能作为规制侵犯公民个人信息行为的最后手段，且应为消极防御，即对侵犯公民个人信息的行为给予严厉的否定性法律评价，并不主动参与到公民个人信息的收集、处理、储存、利用的具体方式及规范的拟定中来，此与隐私权的消极防御属性非但不相矛盾，反而相对契合。其次，刑法对公民个人信息未做具体界定，一方面是考虑到了实践情况的复杂多变，为司法适用留足空间，另一方面也为之后《中华人民共和国个人信息法》（以下简称《个人信息法》）等其他法律的立法工作做好准备。不可否认，随着技术的不断进步，任何事关个人的信息，通过具有强大运算能力的计算机进行整合、归纳、分析，最终都将能够反映公民个人的身份及活动情况，如一律纳入刑法规范，显然没有必要，也不合理。而广义上的隐私权涵盖范围广泛，恰恰与刑法不对公民个人信息做具体界定的意旨不谋而合。再次，从域外保护模式看，美国对个人信息主要采取隐私权保护模式，以隐私权为基础，通过大量判例逐步构建起了一套保护制度；而欧盟关于数据信息的保护则是从法律上将数据信息视为人格权的延伸。最后，侵犯公民个人信息罪位于刑法“侵犯公民人身权利、民主权利罪”一章，置于第二百五十三条“私自开拆、隐匿、毁弃邮件、电报罪”之后，作为二百五十三条之一。最近颁布施行的《中华人民共和国民法典》（以下简称《民法典》）亦将隐私权与个人信息保护统一置于第四编第六章，并规定个人信息中的私密信息，适用有关隐私权的相关规定。根据体系解释，立法者将两者并列，可理解为侵犯公民个人信息罪主要危害的是与公民个人的隐私相关等事项。因此，至少在目前的法律框架下，侵犯公民个人信息罪所保护的法益依然应当理解为公民的个人私生活整体。
当然，从世界范围看，对个人信息的保护大体经历了特殊行业伦理规范、一般人格权规范、隐私权规范、新型人格权之个人信息权规范发展的历史与逻辑。国际社会对个人信息的保护目的远超隐私利益，是在全面的个人基本权利意义上设计个人数据保护规则的。即对于个人信息的保护，已经逐渐过渡到将个人信息作为独立的权利加以保护。但无论立法趋势如何，公民个人信息中的“公民”、“个人”的前置定语决定了其人身依附性。民法典亦将个人信息作为一种人格权加以看待。而刑法保护公民个人信息不仅是保护公民的隐私权，更着重保护的是公民身份信息的安全，防止个人信息泄露或者个人信息被滥用。随着《个人信息法》等法律的陆续出台，刑法保护的相关法益可能有所变化，必要时，亦可做相应调整。
三、公民个人信息的内涵与外延
厘清侵犯公民个人信息罪所保护的法益，进而便可以此为依凭，探索公民个人信息之内涵与外延。
（一）公民个人信息的概念解析
公民个人信息概念的发展呈现出立法先行的特征，即立法层面对个人信息进行规定后，相关研究便围绕相关司法解释中的阐释进行。有资料显示，我国目前有近40 部法律、30 余部法规，以及近200 部规章涉及个人信息保护，其中包括规范互联网信息规定、医疗信息规定、个人信用管理办法等。⑰其中，涉及公民个人信息定义的依照时间顺序主要有2012年全国人大常委会《关于加强网络信息保护的决定》（以下简称《决定》），2013年的《通知》，2016年《网络安全法》及2017年的《解释》，2020年的《民法典》，2021年的《个人信息法》，整理如下表：
其中，《决定》与《通知》阐述的是个人信息外延，严格而言并非公民个人信息之概念。对公民个人信息进行较为明确界定的是《网络安全法》《民法典》《个人信息法》及《解释》。其中，作为刑事审判实践重要依据的《解释》，在对公民个人信息进行界定时，充分考虑了《网络安全法》等法律规定，采取规范加列举的方式，在规范部分较为详细的阐述了个人信息的特征及判断标准，列举部分则对规范部分予以回应与细化。《解释》结合刑法层面保护公民个人信息安全和其他相关合法权益的目的，对需要刑法保护的公民个人信息予以了明确，表明刑法设立侵犯公民个人信息罪亦指向公民个人信息背后涉及的公民的人身、财产安全，可见其涵盖了公民的私生活整体，提供全面保护。之后的《民法典》和《个人信息法》亦基本认同《解释》的界定方式，但将个人信息范畴又做了一定程度的扩张。作为最后保障法的刑法规范，《解释》与《民法典》《个人信息法》等其他部门法律对于个人信息的界定还是能够基本保持一致，是符合法秩序统一之要求的。
《解释》对公民个人信息作出界定后，有观点提出置疑，认为财产状况、账号密码、活动情况、行踪轨迹等虽属于广义上的个人信息，但在可识别性上，并不完全符合公民个人信息之内涵要求，已经突破了个人信息的概念，实际是在为保护背后的财产权目的而服务。⑱笔者认为：设立侵犯公民个人信息罪本就有保护背后的公民的人身权、财产权之目的，不应成为否定相关个人信息纳入刑法保护之理由。至于财产状况，其虽不能成为识别特定自然人身份之信息，但能够反映公民财产活动情况，对于公民的人身、财产隐私及安全的保护具有重要作用，应当成为受保护的信息。但账号密码的表述确略显简单，司法实践中，与身份证、电话号码等绑定的具有直接经济价值的账号、密码具有较高的识别性，但确有未绑定身份证、电话号码等情况出现，该类账号密码因不具有可识别性，应当排除于公民个人信息之外。
还需注意的是，随着数据化进程的加快及计算机通信技术的不断发展，以往不被关注的，如购物记录等碎片信息的价值被逐渐发掘，通过与其他信息相互结合最终都能实现身份识别及反映活动情况，甚至比《解释》中所列举的信息更为详尽、具体，该类信息是否需要刑法予以保护，还是归入民事和行政规范，尚待进一步予以明确，具体分析时，可着重于该类信息的泄露、使用等是否足以危害到公民的私生活安宁等，综合考量决定。此外，根据《解释》，公民个人信息应当直接指向特定自然人，故上网记录、消费记录等留存于特定介质的信息因只能直接反映特定介质的活动情况，而往往不能直接指向到人，反映的是特定终端上相应用户的使用频次及爱好，并不能直接指向特定自然人的活动情况，不宜归入公民个人信息。
（二）公民个人信息的外延厘清
1.公开的公民个人信息是否应受刑法保护
公共平台可以查询到的包含房屋位置、面积、户型、户主及联系方式，立功受奖人员等信息，是否能认定为刑法中的公民个人信息存在争议：首先，从字面含义上看，公开的对应面为隐秘、秘密，意为以隐藏方法避免他人发现，强调的是主动隐藏，与隐私并不完全等同，隐私包括私人生活秘密、私生活空间以及私生活的安宁状态，相关信息涉及任何一方面均可归入本罪中的个人信息。其次，为保护公民私生活秘密和正常的工作、生活不受侵害和干扰，《网络安全法》及《解释》对公民个人信息进行界定时强调的是高度辨识性，即通过所获取的信息能够锁定到公民个人即可，未将是否公开或者隐秘性作为认定要件，故即便相关信息已经公开，仍有可能成为公民个人信息。再次，从《解释》本身看，未经同意向他人提供合法收集的个人信息，符合本罪规定的提供个人信息。合法收集的个人信息显然包括通过互联网获取的开放、可查的个人信息。因此，即便是互联网上公开的公民个人信息，无论是被动公开，还是主动公开，如果确实能够锁定到相应的公民，则同样受法律保护，不得随意获取、出售或者提供。
2.公民个人信息中的公民是否包括外国人及无国籍人
有观点认为，虽然我国对中国公民、处在中国境内的外国人和无国籍人以及遭受中国领域内危害行为侵犯的外国人和无国籍人，一视同仁地提供刑法的保护，不主张有例外。⑲但刑法中的个人信息系以“公民”为前缀，“公民”则属于法律上之概念，是指具有某国国籍的自然人。根据我国法律规定，我国国籍系出生取得，故无国籍人、胎儿均难以归入。因此，至少在刑法条文将公民个人信息的表述修改为个人信息前，非无国籍人、胎儿等非公民的个人信息不宜纳入刑法的保护范围，不能因为所谓保护缺失或司法实践中的操作不便而硬性扩大解释。同理，法人、非法人组织信息亦不应归入。
3.关于不同类型公民个人信息之区分
《解释》对侵犯公民个人信息罪规定了“五十条以上”“五百条以上”“五千条以上”的入罪标准。“五十条以上”的信息入罪门槛较低，仅限于行踪轨迹信息、通信内容、征信信息和财产信息这四类与公民财产、人身安全密切相关，且重要度和敏感度极高的信息，不允许等外解释。“五百条以上”信息，则规定除住宿信息、通信记录、健康生理信息、交易信息外，还可以作其他可能影响人身安全、财产安全的公民个人信息的等外解释。“五千条以上”信息则是除“五十条”“五百条”规定以外的一般公民个人信息，体现了司法对于公民个人信息依据其重要性予以区分保护之原则。但司法实践中所面临的情况往往更为复杂，样式更为多样化，如以账号密码的方式出售定位信息、以网盘下载权限的方式出售购房信息等，内容上有时则会呈现杂糅之特征，如简历、学籍信息等，此时如何准确予以把握和区分，成为难点。
笔者认为，公民个人信息直接保护的是公民的隐私权，间接保护的是公民的人身、财产安全，以此为据，可着重从以下两方面予以考量：第一，内容映射性及敏感重要性。刑法所规范的公民个人信息的重要特征在于能够识别特定自然人身份和反映特定自然人活动情况，指向的是私人生活秘密、私生活空间以及私生活的安宁状态。住宿信息、通信记录、健康生理信息和交易信息除了能够反映公民的基本身份信息外，还能够指向公民日常活动的深层要素，反映出特定公民在特定时间段内与人身、财产安全密切相关的活动信息。如住宿信息反映公民特定时间的地理定位，通信记录反映公民的日常交际对象及频次，健康生理信息反映公民特定时间的就诊情况，交易信息反映公民的交易对象、邮寄地址、消费喜好等，往往能够让犯罪分子直接实施精准诈骗等犯罪活动，系直接关系到公民人身及财产安全的高度敏感信息和重要信息。适用该项规定时，一方面应确保所适用的公民个人信息与该项所列举的四项信息在敏感性及重要程度上具有相当性，另一方面还应考量被侵犯的公民个人信息指向的具体内容深度是否足以让犯罪分子直接实施精准诈骗等犯罪活动，从而使公民人身、财产安全处于危险状态。第二，获取难度及隐秘性。首先，住宿信息、通信记录、健康生理信息、交易信息往往直接涉及个人隐私，一般均由酒店服务商、通讯服务商、医疗服务机构、交易平台等特定单位依法保存，任何单位及个人未经授权不得擅自调取或查阅，即该类信息均具有一定保密性。其次，上述信息系公民日常生活必然留痕的轨迹，信息提供人通常希望相关信息获取方或持有方等不对外泄露或使用上述信息，即该类信息均具有一定的隐秘性。再次，国家对此类信息进行严格保护，禁止任何单位或个人依据此类信息获利，即该类信息均具有不可经营性。
四、侵犯公民个人信息罪的实践进路
作为刑事司法实践中对侵犯公民个人信息犯罪进行定罪量刑主要依据的刑法二百五十三条及《解释》等，对于办理该类案件起着重要的指导作用。但司法实践中侵犯公民个人信息的情况更为复杂多变，相关规定有时会出现力有未逮之情况，有必要结合立法意旨及法益保护进行深入分析，以保证准确适用法律，实现罚当其罪。
（一）侵犯公民个人信息罪的主观故意及罪数区分
有观点认为，因为“出售、非法提供”公民个人信息的行为人在主观上往往具有谋取经济利益或者其他好处的动机或者意图，其实是追求“公民个人信息被不应当知道的人知道”这种后果状态，即符合直接故意的态度。因此，严格地讲，应将出售、非法提供公民个人信息罪的犯罪主观方面确定为直接故意。⑳但主观上的牟利意图并不能推导出行为人积极追求公民个人信息被泄露之后果。笔者认为，侵犯公民个人信息罪的主观故意包括两个方面：第一，行为人应当明知其出售、提供、获取的可能系侵犯公民私人生活秘密、私生活空间以及私生活的安宁状态的信息，即知道自己行为的内容与社会危害。第二，行为人应当明知其手段行为的非正当性。如行为人明知系公民个人信息而非法获取、出售或非法提供的，即可认定为具有侵犯公民个人信息的主观故意，且获取等行为本身即决定了行为人对于公民个人信息被侵犯主观上为积极追求状态，属直接故意。
对于非法获取公民个人信息的行为人，一般还可能涉嫌非法获取计算机信息系统数据罪及利用获取的公民个人信息实施的诈骗、故意伤害等下游犯罪。前者属想象竞合犯，应择一重罪定罪处罚；对于后者如何处罚，存在一定分歧。有观点认为法无明文规定的情况下应当按照牵连犯从一重罪处理。21笔者认为，只有当某种手段通常用于实施某种犯罪，或者某种原因通常导致某种结果行为时，才宜认定为牵连犯。22 非法获取公民个人信息的行为人一般是为利用该信息谋取相应利益，方式包括转手牟利、拨打推销电话等，显然与下游犯罪并无类型意义上之关联，且被用于实施下游犯罪的公民个人信息数量相对获取总量一般占比极低，本着充分评价原则，还是以数罪并罚为妥。如实践中多发的为实施诈骗而非法获取公民个人信息，且实施了诈骗行为的，由于虚构事实、隐瞒真相的手段行为并不能完全包容非法获取公民个人信息的行为，应当认定为数罪。
（二）关于“非法获取、提供”的审查
侵犯公民个人信息罪的客观行为方式有非法获取、出售或者提供等，但实践中较为常见的是一些房产中介、保险公司业务员往往会与同行相互交换各自掌握的客户信息；即便是同一经营团队成员，出于团队业务开展需要，也会把公民个人信息在内部进行流转、共享使用。该类特殊主体之间的信息共享行为是否属“非法获取、提供”，直接影响罪与非罪及法定刑选择。
根据刑法及《解释》规定，违反国家有关规定且未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条规定的“提供公民个人信息”，违反国家相关规定获取、收集公民个人信息，即可认为是与窃取相当的非法获取行为。首先，房产中介、保险业务员的信息共享行为侵犯的法益与非法获取、提供等行为并无本质不同，应当等同视之。犯罪主体间关系的特殊性不应影响案件的定罪量刑，否则将成为行为人推诿责任的借口，其次，房产中介、保险公司业务员等职业掌握的公民个人信息通常是具有购房或购买保险意愿的公民的联系方式及购买意向等。对于该类信息，《解释》已经规定了较为宽泛的数量标准，通常情况下，个体房产中介或业务员通过正常业务活动掌握的公民信息数量往往较为有限，其彼此之间的信息交换数量一旦达到入罪标准，意味着行为的社会危害性已经较为严重，必要时，应当予以刑罚处罚。
（三）关于“合法经营”的判断
为贯彻体现宽严相济刑事政策，《解释》第六条针对为合法经营活动而购买、收受公民个人信息的行为设置了较高的入罪门槛，但对何为合法经营，并未作出详细阐述。由此导致实践中对合法经营的内涵把握存在争议，其中，较为突出的是非法购买、收受公民个人信息从事的行为属模糊地带的定性，如房产或贷款等中介为开拓业务而购买、收受公民个人信息，又如无营业执照或超越营业执照范围进行的业务推广活动等。
首先，需要明确的是，合法经营与购买、收受公民个人信息是截然不同的两个行为，两者是目的与手段关系，不应混同。其次，根据法律规定，关于合法经营，可包括两个方面，一为内容性合法，即经营的内容应当符合法律规定，如经营法律所禁止的内容如淫秽物品、邪教迷信等，即可认为非法。二为程序性合法，即经营资质应当经过相关部门注册或审核，且应当在营业范围内经营等。两者兼备方可认定为合法经营。但随着经济社会的快速发展，事无巨细的要求各行各业的每个经营行为均完全符合上述两项要求也不切实际。如房产和贷款中介等经营范围模糊是常态，其工作甚至有时会游走在违法犯罪的边缘。因此，确认是否属合法经营，除严格遵照相关规定外，还需结合行业特征，分析相关行为的法益侵害程度，谨慎认定。
随着信息网络技术的不断进步和大数据产业的蓬勃发展，侵犯公民个人信息的违法犯罪活动愈发呈井喷之势。立法及司法机关对此予以了高度重视，举措频频。但即便在如此高压的态势之下，相关行为依然未能得到明显扼制，其深层原因，值得思考。对公民个人信息的法律保护涉及行政、民事、刑事等各个部门法，范围甚广。作为当下对公民个人信息保护相对全面和明确的刑事法规，保护方式显著区别于其他部门法，强调谦抑性。因此，实有必要从刑事方向就公民个人信息的保护进行深入研究，以实现精准保护的同时，避免刑罚手段万能化趋势。
一、侵犯公民个人信息罪的立法背景及进程
个人信息是有效开展现代社会活动所必不可少的要素，政府在社会治理和决策中要大量应用个人数据，基于对个人数据分析的精准营销、网络推送、个性化定制等也已成为现代商业的基本样态。①与此同时，信息的广泛收集与深度挖掘对公民个人人身安全与隐私利益的威胁也与日俱增，从京东12G用户信息泄露到华住5亿条开房数据被窃取，无不体现着刑法对公民个人信息予以保护的必要性与紧迫性。2009年2月28日，《刑法修正案（七）》将非法出售、提供、获取公民个人信息的行为纳入刑事打击的范围，首次在刑法规范中增设了侵犯公民个人信息的犯罪，确立了对公民个人信息给予全面保护的立法精神，并为公民个人信息提供了最严厉的法律保护。2013年4月23日，两高一部发布《关于依法惩处侵害公民个人信息罪活动的通知》（以下简称《通知》），进一步强调了需依法、及时、高效打击侵犯公民个人信息犯罪活动。2015年5月8日，《刑法修正案（九）》进一步扩大了侵犯公民个人信息罪的主体和对象范围，增加了更高一档的情节特别严重法定刑，取消了“非法提供”中的“非法”，将入刑的行为确定为“出售或提供公民个人信息”和“窃取或者以其他方法非法获取公民个人信息”两种行为。2015 年 11 月 1 日，两高《关于执行<中华人民共和国刑法>确定罪名的补充规定（六）》取消出售非法提供公民个人信息罪和非法获取公民个人信息罪罪名，统一整合为侵犯公民个人信息罪。2017年，两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）发布，对于司法实践中存在的新情况及疑难问题做了规定，以提升打击实效，准确适用法律。
二、刑法背景下公民个人信息的权利属性
毋庸置疑，个人信息对于公民具有重要意义，但侵犯公民个人信息罪所保护的法益，尚未有统一认识，直接影响着相关法律法规的理解与适用，对于公民个人信息的权利性质主要有三种观点：
1.财产权说，该说认为，个人信息确实具有财产的因素，因为信息资料都蕴含着一定的商业价值，其本身也可以作为财产加以利用，2系一种所有权，即公民对其自身信息享有占有、使用、收益、处分的权利。
2.人格权说，又可分为具体人格权说与隐私权说：具体人格权说认为，个人信息权是一项人格权，以人格利益为保护对象，信息主体对自身信息具有控制与支配的权利，其中姓名、肖像、隐私等已经上升为具体人格权，不再需要个人信息权进行保护，而其他信息则必须通过个人信息权的机制进行保护。隐私权说将该罪名归入侵犯名誉、隐私的犯罪，认为公民个人信息包括能够识别公民个人身份或者涉及公民个人隐私的信息和数据资料。
3.作为新型权利的个人信息权说或双重属性说，该说认为公民个人信息具有财产权和人格权的双重属性，系个人以自己信息为权利客体，包括积极使用并许可他人使用的权利和消极防御他人侵害的权利，兼有人格权和财产权的特点。
笔者认为，财产权说及新型权利说均将财产权作为个人信息的主要权利属性，但在刑事背景下，财产权并非侵犯公民个人信息罪所直接保护的主要法益。首先，刑罚设计有其特殊性，法益保护原则要求刑事立法必须以保护法益为目的，必须将严重侵犯法益或侵犯重大法益的行为规定为犯罪。作为单独个体的公民个人信息的商业价值一般较为有限，权利个体实际予以使用牟利的情况并不多见，刑事审判实践更无仅因侵犯个人信息的财产权属性导致严重侵犯法益或侵犯重大法益而入罪。与侵犯公民个人信息罪相关联的侵财类犯罪多属利用获得的公民信息进行诈骗、盗窃等下游犯罪，与个人信息本身的财产价值并无直接关联。其次，罪刑法定原则要求法无明文规定不为罪、法无明文规定不处罚，侵犯公民个人信息罪处罚的是不当提供及获取公民个人信息的行为，与侵犯包括占有、使用、收益、处分四项权能的财产所有权行为存在明显区别。再次，如忽略了“个人信息”中“人”的因素，则必然“在商言商”，妨害人格的平等性，“因为每个人的经济状况不同，信息资料也有不同价值，但人格应当是平等的，不应区别对待”。
关于人格权说，具体人格权说排除了姓名、肖像、隐私等信息，显然与本罪全面保护公民个人信息的立法意旨相异，至少在进行刑罚裁量时不应采用。相对而言，将侵犯公民个人信息的权利性质理解为人格权中的类隐私权更为合理，涵盖个人的私生活整体，包括私人秘密、私生活空间及安宁等。⑪唯此，方能符合当前刑事立法、司法对公民个人信息予以全面保护的需求。隐私权说面临的质疑主要为：隐私权侧重于消极防御，难以涵盖现代社会中大量存在的公民积极使用自身信息参与各种活动的现实，还难以与现代信息社会使用信息的客观需求相兼容，隐私权的概念还具有模糊性，易导致判断主观化。⑫隐私权保护的对象仅限于公民个人私有领域的信息，其范围远小于公民个人信息的范畴，个人隐私信息之外的信息依然有保护的必要性，将公民个人信息仅以隐私权性质进行保护与信息社会各类信息频受侵犯的司法现状相脱节。
对此，首先，刑罚的谦抑性决定了其只能作为规制侵犯公民个人信息行为的最后手段，且应为消极防御，即对侵犯公民个人信息的行为给予严厉的否定性法律评价，并不主动参与到公民个人信息的收集、处理、储存、利用的具体方式及规范的拟定中来，此与隐私权的消极防御属性非但不相矛盾，反而相对契合。其次，刑法对公民个人信息未做具体界定，一方面是考虑到了实践情况的复杂多变，为司法适用留足空间，另一方面也为之后《中华人民共和国个人信息法》（以下简称《个人信息法》）等其他法律的立法工作做好准备。不可否认，随着技术的不断进步，任何事关个人的信息，通过具有强大运算能力的计算机进行整合、归纳、分析，最终都将能够反映公民个人的身份及活动情况，如一律纳入刑法规范，显然没有必要，也不合理。而广义上的隐私权涵盖范围广泛，恰恰与刑法不对公民个人信息做具体界定的意旨不谋而合。再次，从域外保护模式看，美国对个人信息主要采取隐私权保护模式，以隐私权为基础，通过大量判例逐步构建起了一套保护制度；而欧盟关于数据信息的保护则是从法律上将数据信息视为人格权的延伸。最后，侵犯公民个人信息罪位于刑法“侵犯公民人身权利、民主权利罪”一章，置于第二百五十三条“私自开拆、隐匿、毁弃邮件、电报罪”之后，作为二百五十三条之一。最近颁布施行的《中华人民共和国民法典》（以下简称《民法典》）亦将隐私权与个人信息保护统一置于第四编第六章，并规定个人信息中的私密信息，适用有关隐私权的相关规定。根据体系解释，立法者将两者并列，可理解为侵犯公民个人信息罪主要危害的是与公民个人的隐私相关等事项。因此，至少在目前的法律框架下，侵犯公民个人信息罪所保护的法益依然应当理解为公民的个人私生活整体。
当然，从世界范围看，对个人信息的保护大体经历了特殊行业伦理规范、一般人格权规范、隐私权规范、新型人格权之个人信息权规范发展的历史与逻辑。国际社会对个人信息的保护目的远超隐私利益，是在全面的个人基本权利意义上设计个人数据保护规则的。即对于个人信息的保护，已经逐渐过渡到将个人信息作为独立的权利加以保护。但无论立法趋势如何，公民个人信息中的“公民”、“个人”的前置定语决定了其人身依附性。民法典亦将个人信息作为一种人格权加以看待。而刑法保护公民个人信息不仅是保护公民的隐私权，更着重保护的是公民身份信息的安全，防止个人信息泄露或者个人信息被滥用。随着《个人信息法》等法律的陆续出台，刑法保护的相关法益可能有所变化，必要时，亦可做相应调整。
三、公民个人信息的内涵与外延
厘清侵犯公民个人信息罪所保护的法益，进而便可以此为依凭，探索公民个人信息之内涵与外延。
（一）公民个人信息的概念解析
公民个人信息概念的发展呈现出立法先行的特征，即立法层面对个人信息进行规定后，相关研究便围绕相关司法解释中的阐释进行。有资料显示，我国目前有近40 部法律、30 余部法规，以及近200 部规章涉及个人信息保护，其中包括规范互联网信息规定、医疗信息规定、个人信用管理办法等。⑰其中，涉及公民个人信息定义的依照时间顺序主要有2012年全国人大常委会《关于加强网络信息保护的决定》（以下简称《决定》），2013年的《通知》，2016年《网络安全法》及2017年的《解释》，2020年的《民法典》，2021年的《个人信息法》，整理如下表：
法律法规 | 效力级别 | 定义 |
《决定》 | 立法解释 | 国家保护能够识别公民个人身份及涉及个人隐私的电子信息 |
《通知》 | 司法解释 | 公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料 |
立法 | 个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等 | |
《解释》 | 司法解释 | 公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等 |
《民法典》 | 立法 | 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。 |
《个人信息法》 | 立法 | 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 |
其中，《决定》与《通知》阐述的是个人信息外延，严格而言并非公民个人信息之概念。对公民个人信息进行较为明确界定的是《网络安全法》《民法典》《个人信息法》及《解释》。其中，作为刑事审判实践重要依据的《解释》，在对公民个人信息进行界定时，充分考虑了《网络安全法》等法律规定，采取规范加列举的方式，在规范部分较为详细的阐述了个人信息的特征及判断标准，列举部分则对规范部分予以回应与细化。《解释》结合刑法层面保护公民个人信息安全和其他相关合法权益的目的，对需要刑法保护的公民个人信息予以了明确，表明刑法设立侵犯公民个人信息罪亦指向公民个人信息背后涉及的公民的人身、财产安全，可见其涵盖了公民的私生活整体，提供全面保护。之后的《民法典》和《个人信息法》亦基本认同《解释》的界定方式，但将个人信息范畴又做了一定程度的扩张。作为最后保障法的刑法规范，《解释》与《民法典》《个人信息法》等其他部门法律对于个人信息的界定还是能够基本保持一致，是符合法秩序统一之要求的。
《解释》对公民个人信息作出界定后，有观点提出置疑，认为财产状况、账号密码、活动情况、行踪轨迹等虽属于广义上的个人信息，但在可识别性上，并不完全符合公民个人信息之内涵要求，已经突破了个人信息的概念，实际是在为保护背后的财产权目的而服务。⑱笔者认为：设立侵犯公民个人信息罪本就有保护背后的公民的人身权、财产权之目的，不应成为否定相关个人信息纳入刑法保护之理由。至于财产状况，其虽不能成为识别特定自然人身份之信息，但能够反映公民财产活动情况，对于公民的人身、财产隐私及安全的保护具有重要作用，应当成为受保护的信息。但账号密码的表述确略显简单，司法实践中，与身份证、电话号码等绑定的具有直接经济价值的账号、密码具有较高的识别性，但确有未绑定身份证、电话号码等情况出现，该类账号密码因不具有可识别性，应当排除于公民个人信息之外。
还需注意的是，随着数据化进程的加快及计算机通信技术的不断发展，以往不被关注的，如购物记录等碎片信息的价值被逐渐发掘，通过与其他信息相互结合最终都能实现身份识别及反映活动情况，甚至比《解释》中所列举的信息更为详尽、具体，该类信息是否需要刑法予以保护，还是归入民事和行政规范，尚待进一步予以明确，具体分析时，可着重于该类信息的泄露、使用等是否足以危害到公民的私生活安宁等，综合考量决定。此外，根据《解释》，公民个人信息应当直接指向特定自然人，故上网记录、消费记录等留存于特定介质的信息因只能直接反映特定介质的活动情况，而往往不能直接指向到人，反映的是特定终端上相应用户的使用频次及爱好，并不能直接指向特定自然人的活动情况，不宜归入公民个人信息。
（二）公民个人信息的外延厘清
1.公开的公民个人信息是否应受刑法保护
公共平台可以查询到的包含房屋位置、面积、户型、户主及联系方式，立功受奖人员等信息，是否能认定为刑法中的公民个人信息存在争议：首先，从字面含义上看，公开的对应面为隐秘、秘密，意为以隐藏方法避免他人发现，强调的是主动隐藏，与隐私并不完全等同，隐私包括私人生活秘密、私生活空间以及私生活的安宁状态，相关信息涉及任何一方面均可归入本罪中的个人信息。其次，为保护公民私生活秘密和正常的工作、生活不受侵害和干扰，《网络安全法》及《解释》对公民个人信息进行界定时强调的是高度辨识性，即通过所获取的信息能够锁定到公民个人即可，未将是否公开或者隐秘性作为认定要件，故即便相关信息已经公开，仍有可能成为公民个人信息。再次，从《解释》本身看，未经同意向他人提供合法收集的个人信息，符合本罪规定的提供个人信息。合法收集的个人信息显然包括通过互联网获取的开放、可查的个人信息。因此，即便是互联网上公开的公民个人信息，无论是被动公开，还是主动公开，如果确实能够锁定到相应的公民，则同样受法律保护，不得随意获取、出售或者提供。
2.公民个人信息中的公民是否包括外国人及无国籍人
有观点认为，虽然我国对中国公民、处在中国境内的外国人和无国籍人以及遭受中国领域内危害行为侵犯的外国人和无国籍人，一视同仁地提供刑法的保护，不主张有例外。⑲但刑法中的个人信息系以“公民”为前缀，“公民”则属于法律上之概念，是指具有某国国籍的自然人。根据我国法律规定，我国国籍系出生取得，故无国籍人、胎儿均难以归入。因此，至少在刑法条文将公民个人信息的表述修改为个人信息前，非无国籍人、胎儿等非公民的个人信息不宜纳入刑法的保护范围，不能因为所谓保护缺失或司法实践中的操作不便而硬性扩大解释。同理，法人、非法人组织信息亦不应归入。
3.关于不同类型公民个人信息之区分
《解释》对侵犯公民个人信息罪规定了“五十条以上”“五百条以上”“五千条以上”的入罪标准。“五十条以上”的信息入罪门槛较低，仅限于行踪轨迹信息、通信内容、征信信息和财产信息这四类与公民财产、人身安全密切相关，且重要度和敏感度极高的信息，不允许等外解释。“五百条以上”信息，则规定除住宿信息、通信记录、健康生理信息、交易信息外，还可以作其他可能影响人身安全、财产安全的公民个人信息的等外解释。“五千条以上”信息则是除“五十条”“五百条”规定以外的一般公民个人信息，体现了司法对于公民个人信息依据其重要性予以区分保护之原则。但司法实践中所面临的情况往往更为复杂，样式更为多样化，如以账号密码的方式出售定位信息、以网盘下载权限的方式出售购房信息等，内容上有时则会呈现杂糅之特征，如简历、学籍信息等，此时如何准确予以把握和区分，成为难点。
笔者认为，公民个人信息直接保护的是公民的隐私权，间接保护的是公民的人身、财产安全，以此为据，可着重从以下两方面予以考量：第一，内容映射性及敏感重要性。刑法所规范的公民个人信息的重要特征在于能够识别特定自然人身份和反映特定自然人活动情况，指向的是私人生活秘密、私生活空间以及私生活的安宁状态。住宿信息、通信记录、健康生理信息和交易信息除了能够反映公民的基本身份信息外，还能够指向公民日常活动的深层要素，反映出特定公民在特定时间段内与人身、财产安全密切相关的活动信息。如住宿信息反映公民特定时间的地理定位，通信记录反映公民的日常交际对象及频次，健康生理信息反映公民特定时间的就诊情况，交易信息反映公民的交易对象、邮寄地址、消费喜好等，往往能够让犯罪分子直接实施精准诈骗等犯罪活动，系直接关系到公民人身及财产安全的高度敏感信息和重要信息。适用该项规定时，一方面应确保所适用的公民个人信息与该项所列举的四项信息在敏感性及重要程度上具有相当性，另一方面还应考量被侵犯的公民个人信息指向的具体内容深度是否足以让犯罪分子直接实施精准诈骗等犯罪活动，从而使公民人身、财产安全处于危险状态。第二，获取难度及隐秘性。首先，住宿信息、通信记录、健康生理信息、交易信息往往直接涉及个人隐私，一般均由酒店服务商、通讯服务商、医疗服务机构、交易平台等特定单位依法保存，任何单位及个人未经授权不得擅自调取或查阅，即该类信息均具有一定保密性。其次，上述信息系公民日常生活必然留痕的轨迹，信息提供人通常希望相关信息获取方或持有方等不对外泄露或使用上述信息，即该类信息均具有一定的隐秘性。再次，国家对此类信息进行严格保护，禁止任何单位或个人依据此类信息获利，即该类信息均具有不可经营性。
四、侵犯公民个人信息罪的实践进路
作为刑事司法实践中对侵犯公民个人信息犯罪进行定罪量刑主要依据的刑法二百五十三条及《解释》等，对于办理该类案件起着重要的指导作用。但司法实践中侵犯公民个人信息的情况更为复杂多变，相关规定有时会出现力有未逮之情况，有必要结合立法意旨及法益保护进行深入分析，以保证准确适用法律，实现罚当其罪。
（一）侵犯公民个人信息罪的主观故意及罪数区分
有观点认为，因为“出售、非法提供”公民个人信息的行为人在主观上往往具有谋取经济利益或者其他好处的动机或者意图，其实是追求“公民个人信息被不应当知道的人知道”这种后果状态，即符合直接故意的态度。因此，严格地讲，应将出售、非法提供公民个人信息罪的犯罪主观方面确定为直接故意。⑳但主观上的牟利意图并不能推导出行为人积极追求公民个人信息被泄露之后果。笔者认为，侵犯公民个人信息罪的主观故意包括两个方面：第一，行为人应当明知其出售、提供、获取的可能系侵犯公民私人生活秘密、私生活空间以及私生活的安宁状态的信息，即知道自己行为的内容与社会危害。第二，行为人应当明知其手段行为的非正当性。如行为人明知系公民个人信息而非法获取、出售或非法提供的，即可认定为具有侵犯公民个人信息的主观故意，且获取等行为本身即决定了行为人对于公民个人信息被侵犯主观上为积极追求状态，属直接故意。
对于非法获取公民个人信息的行为人，一般还可能涉嫌非法获取计算机信息系统数据罪及利用获取的公民个人信息实施的诈骗、故意伤害等下游犯罪。前者属想象竞合犯，应择一重罪定罪处罚；对于后者如何处罚，存在一定分歧。有观点认为法无明文规定的情况下应当按照牵连犯从一重罪处理。21笔者认为，只有当某种手段通常用于实施某种犯罪，或者某种原因通常导致某种结果行为时，才宜认定为牵连犯。22 非法获取公民个人信息的行为人一般是为利用该信息谋取相应利益，方式包括转手牟利、拨打推销电话等，显然与下游犯罪并无类型意义上之关联，且被用于实施下游犯罪的公民个人信息数量相对获取总量一般占比极低，本着充分评价原则，还是以数罪并罚为妥。如实践中多发的为实施诈骗而非法获取公民个人信息，且实施了诈骗行为的，由于虚构事实、隐瞒真相的手段行为并不能完全包容非法获取公民个人信息的行为，应当认定为数罪。
（二）关于“非法获取、提供”的审查
侵犯公民个人信息罪的客观行为方式有非法获取、出售或者提供等，但实践中较为常见的是一些房产中介、保险公司业务员往往会与同行相互交换各自掌握的客户信息；即便是同一经营团队成员，出于团队业务开展需要，也会把公民个人信息在内部进行流转、共享使用。该类特殊主体之间的信息共享行为是否属“非法获取、提供”，直接影响罪与非罪及法定刑选择。
根据刑法及《解释》规定，违反国家有关规定且未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条规定的“提供公民个人信息”，违反国家相关规定获取、收集公民个人信息，即可认为是与窃取相当的非法获取行为。首先，房产中介、保险业务员的信息共享行为侵犯的法益与非法获取、提供等行为并无本质不同，应当等同视之。犯罪主体间关系的特殊性不应影响案件的定罪量刑，否则将成为行为人推诿责任的借口，其次，房产中介、保险公司业务员等职业掌握的公民个人信息通常是具有购房或购买保险意愿的公民的联系方式及购买意向等。对于该类信息，《解释》已经规定了较为宽泛的数量标准，通常情况下，个体房产中介或业务员通过正常业务活动掌握的公民信息数量往往较为有限，其彼此之间的信息交换数量一旦达到入罪标准，意味着行为的社会危害性已经较为严重，必要时，应当予以刑罚处罚。
（三）关于“合法经营”的判断
为贯彻体现宽严相济刑事政策，《解释》第六条针对为合法经营活动而购买、收受公民个人信息的行为设置了较高的入罪门槛，但对何为合法经营，并未作出详细阐述。由此导致实践中对合法经营的内涵把握存在争议，其中，较为突出的是非法购买、收受公民个人信息从事的行为属模糊地带的定性，如房产或贷款等中介为开拓业务而购买、收受公民个人信息，又如无营业执照或超越营业执照范围进行的业务推广活动等。
首先，需要明确的是，合法经营与购买、收受公民个人信息是截然不同的两个行为，两者是目的与手段关系，不应混同。其次，根据法律规定，关于合法经营，可包括两个方面，一为内容性合法，即经营的内容应当符合法律规定，如经营法律所禁止的内容如淫秽物品、邪教迷信等，即可认为非法。二为程序性合法，即经营资质应当经过相关部门注册或审核，且应当在营业范围内经营等。两者兼备方可认定为合法经营。但随着经济社会的快速发展，事无巨细的要求各行各业的每个经营行为均完全符合上述两项要求也不切实际。如房产和贷款中介等经营范围模糊是常态，其工作甚至有时会游走在违法犯罪的边缘。因此，确认是否属合法经营，除严格遵照相关规定外，还需结合行业特征，分析相关行为的法益侵害程度，谨慎认定。