法院如何界定“侵犯公民个人信息罪”中的“个人信息”？

在“互联网大数据”时代，公民的个人信息保护不够完善的问题越来越突出。应时代要求，相关法规陆续出台，规定了侵犯公民个人信息的行为可能要承担相应的民事责任、行政责任、刑事责任。公民的哪些个人信息是受《刑法》所保护的？请看本期干货小哥的推送。

裁判规则

1.侵犯公民个人信息罪所指的公民个人信息，应当限定涉及个人隐私、被侵犯后将给公民的人身财产安全带来重大风险的信息——张显楼侵犯公民个人信息案

案例要旨：侵犯公民个人信息罪所指的公民个人信息，应当限定涉及个人隐私、被侵犯后将给公民的人身财产安全带来重大风险的信息，司法审查其范围、种类、数量应当严格遵循以下标准：依法公开的企业法定代表人、相关负责人信息不属于公民个人信息；财产信息、交易信息等敏感信息的认定应按照信息本身的属性并结合被告人的主观故意、用途等综合判断认定；对为合法经营而交换的一般公民个人信息是同一信息的，只对行为人向他人提供的一般公民个人信息数量计算为犯罪数量，但若交换的一般公民个人信息系不同信息的，应累计计算数量。

案号：（2018）渝0103刑初591号

审理法院：重庆市渝中区人民法院（原重庆市中区人民法院）

案例来源：《人民司法·案例》第2021.02期

2.行为人入侵工商行政管理系统扒取大量市场主体信息，其非法获取带有明显公民个人属性组合信息的行为，构成侵犯公民个人信息罪——王化琼、张龙、孙九桓侵犯公民个人信息案

案例要旨：公民个人信息是指能够识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、住址、账号密码等。工商行政管理办公系统内储存着市场主体的全部注册信息，其中包含法定代表人姓名、移动电话号码等具有公民个人属性的信息，行为人入侵工商行政管理系统扒取大量市场主体信息，其非法获取带有明显公民个人属性组合信息的行为，构成侵犯公民个人信息罪。

案号：（2018）辽0191刑初418号

审理法院：沈阳经济技术开发区人民法院

案例来源：《人民司法·案例》第2020.02期

3.iPhone手机的AppleID及解锁信息属于可能影响公民财产的个人信息——黄某某、魏某某侵犯公民个人信息案

案例要旨：行为人非法获取、出售iPhone机主的AppleID、机主手机号码、解锁信息，应认定为侵犯公民个人信息犯罪相关司法解释条款中第（四）项规定的“可能影响财产安全的公民个人信息”，500条即构成犯罪。

案号：（2017）粤0104刑初312号

审理法院：广东省广州市越秀区人民法院（原广州市东山区人民法院并入）

案例来源：《网络司法典型案例·刑事卷·2018》

4.行为人利用黑客技术侵入高校招生网站，非法获取考生信息的，构成侵犯公民个人信息罪——杜天禹侵犯公民个人信息案

案例要旨：（1）行为人利用黑客技术侵入高校招生网站，非法获取考生信息的，构成侵犯公民个人信息罪。对批量考生信息的条数一般根据查获数量直接认定。（2）对侵犯公民个人信息的行为人量刑时，要综合考虑涉案信息类型、信息数量、违法所得数额、行为方式以及所造成的社会危害后果等因素。（3）非法获取侵犯公民个人信息并出售，后被他人用于实施犯罪活动，并造成不良后果，引发媒体广泛报道和关注，应当认定侵犯公民个人信息造成恶劣社会影响。

案号：（2017）鲁1311刑初332号

审理法院：山东省临沂市罗庄区人民法院

案例来源：最高人民法院公布案例

5.新生婴儿信息的内容包括婴儿姓名、性别、出生日期、父母姓名、父母的联系电话及住址，属于公民个人信息的范畴——韩明、张金峰、范霞萍、李婕、黄琰、王公仆、吴永哲、龚海滨侵犯公民个人信息案

案例要旨：新生婴儿信息的内容包括婴儿姓名、性别、出生日期、父母姓名、父母的联系电话及住址，属于公民个人信息的范畴；虽为正常的经营活动但没有合法依据购买新生婴儿信息的行为，属于以其他方法非法获取公民个人信息的范畴；虽是国家工作人员，但在平时工作职责中不负责管理新生婴儿信息，只是利用职务之便侵入同事的电脑获取新生婴儿信息的行为属于窃取，不属于在履行职责过程中获取的信息，故不适用刑法第二百五十三条之一第二款从重处罚的规定；同时，存在多方买卖、流转个人信息的过程中，信息的数量如何避免重复计算，均是审理重点。

案号：（2017）沪01刑终525号

审理法院：上海市第一中级人民法院

案例来源：《人民司法·案例》 第2018.32期

司法观点

1.为维护法秩序统一性，刑法不宜在前置法之外另行提出独特的个人信息概念。对于获取、出售、提供、交换已公开的个人信息的行为，可以依据行为目的来判断其是否成为“侵犯公民个人信息罪”对象

侵犯公民个人信息罪的相关司法解释和民法典、网络安全法以及审议中的个人信息保护法所采用的个人信息概念并不完全相同，但是，也都坚持信息的可识别性特征。刑法出于保护法益的考虑，更多地在与个人行动自由、人身安危及财产安全紧密关联的意义上把握这一概念。个人信息和隐私之间不是对立关系，具有私密性的健康信息、行踪信息明显具有识别特定自然人的功能，属于本罪的行为对象。刑法不宜在前置法之外另行提出独特的个人信息概念，否则，既可能冲击法秩序统一性原理，也与《民法典》第1034条第2款的规定相抵触。刑法上关于个人信息的分类可以与前置法不一致，但分类过于细碎可能带来罪刑关系失衡。对于获取企业注册信息、征信信息等公开信息，然后出售、提供、交换给他人的，信息数量成为定罪根据，这样的评价标准过于简单化。对于已公开的个人信息的获取或提供，在与该信息公开的目的基本一致时，无论处理信息多少都不宜定罪；处理已公开的个人信息，但违背该信息公开的目的或者明显改变其用途的，或者该信息被进一步利用后危及个人的人身或财产安全的，对该信息的处理侵害了被害人的法益处分自由（对信息的最终决定权），可以成立本罪。

（摘自周光权：《侵犯公民个人信息罪的行为对象》，载《清华法学》2021年第3期。）

2.如果已公开的个人信息在公开时没有明确限定公开场景，则对于收集并提供该信息的行为，宜认为仍在“合理处理”的范畴之内

值得探讨的是，对于《民法典》第1036条第2项规定的“合理处理”的认定，应当采用相对宽泛的理解。原则上，只要法律、法规没有明确禁止的处理行为，均可以认定为“合理处理”，至少不能认定为犯罪。特别是，从保护信息自由流通的角度出发，要切实防止只要获取个人信息后进行营利活动或者超越信息初始公开使用场景的，即认为超越了合理处理界限的极端认识。例如，部分工商企业信息中包含有法定代表人姓名、联系电话等内容，属于公民个人信息的范畴。相关信息可以在“国家企业信用信息公示系统”中查询，已处于合法公开的状况。从初始的公开使用场景而言，确实限于在国家企业信用信息公示系统公开，方便民众查询以确认企业信息是否真实有效。以往刑事司法实践中，一些收集工商登记信息，未经自然人同意超越初始公开场景使用的情形，被认定构成侵犯公民个人信息罪。对此，笔者曾主张：“鉴于此类案件具有相当普遍性，未来的公民个人信息保护法和相关法律法规宜对公民个人公开信息的问题作出明确规定，以便利相关案件的处理。”在《民法典》对公开的个人信息的处理规则作出明确规定的情况下，对于上述案件，如果相关信息在公开时没有明确限定公开场景（即没有明确拒绝他人收集后在其他场景下使用)，则对于收集并在未通知和征得该自然人同意情况下提供相关信息的行为，宜认为仍在“合理处理”的范畴之内。

（摘自喻海松：《<民法典>视域下侵犯公民个人信息罪的司法适用》，载《北京航空航天大学学报（社会科学版)》2020年第6期。）

法律条文

1.《中华人民共和国刑法（2020年修正）》

第二百五十三条之一【侵犯公民个人信息罪】违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2.《中华人民共和国刑法修正案（九）》

十七、将刑法第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

“单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”

3.《中华人民共和国刑法修正案（七）》

七、在刑法第二百五十三条后增加一条，作为第二百五十三条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。

“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”

4.《中华人民共和国个人信息保护法》

第四条个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

第二十八条敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

5.《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）

第一条刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

6.《<关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释>理解与适用》（2017年5月8日最高人民法院公布的司法解释解读）

关于“公民个人信息”的外延，有以下几个具体问题值得注意：（1）“公民个人信息”，既包括中国公民的个人信息，也包括外国公民和其他无国籍人的个人信息。（2）公民个人信息须与特定自然人关联。这是公民个人信息所具有的关键属性。因此，经过处理无法识别特定个人且不能复原的信息，虽然也可能反映自然人活动情况，但与特定自然人无直接关联，不能成为公民个人信息的范畴。对于与特定自然人关联，可以是识别特定自然人身份，也可以是反映特定自然人活动情况。需要注意的是，无论是识别特定自然人身份，还是反映特定自然人活动情况，都应当是能够单独或者与其他信息结合所具有的功能。例如，身份证号与公民个人身份一一对应，可以单独识别公民个人身份；而工作单位、家庭住址等无法单独识别公民个人身份，需要同其他信息结合才能识别公民个人身份。但是，上述两类信息无疑都属于公民个人信息的范畴。（3）与特定自然人关联的账号密码属于“公民个人信息”。对于“账号密码”能否纳入“公民个人信息”的范围，存在不同认识。经研究认为，当前账号密码往往绑定身份证号、手机号码等特定信息，即使未绑定，非法获取账号密码后往往也会引发侵犯财产甚至人身的违法犯罪。因此，《解释》第一条明确将“账号密码”列为“公民个人信息”的范围。

7.《最高人民检察院关于印发<检察机关办理侵犯公民个人信息案件指引>的通知》（高检发侦监字〔2018〕13号）

公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。经过处理无法识别特定自然人且不能复原的信息，虽然也可能反映自然人活动情况，但与特定自然人无直接关联，不属于公民个人信息的范畴。

对于企业工商登记等信息中所包含的手机、电话号码等信息，应当明确该号码的用途。对由公司购买、使用的手机、电话号码等信息，不属于个人信息的范畴，从而严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。

8.《最高人民法院、最高人民检察院、公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（二）》（法发〔2021〕22号）

五、非法获取、出售、提供具有信息发布、即时通讯、支付结算等功能的互联网账号密码、个人生物识别信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。

对批量前述互联网账号密码、个人生物识别信息的条数，根据查获的数量直接认定，但有证据证明信息不真实或者重复的除外。

9.《最高人民法院 最高人民检察院 公安部关于办理电信网络诈骗等刑事案件适用法律若干问题的意见》（法发〔2016〕32号）

违反国家有关规定，向他人出售或者提供公民个人信息，窃取或者以其他方法非法获取公民个人信息，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪追究刑事责任。

使用非法获取的公民个人信息，实施电信网络诈骗犯罪行为，构成数罪的，应当依法予以并罚。

10.《最高人民法院、最高人民检察院、公安部关于依法惩处侵害公民个人信息犯罪活动的通知》（公通字〔2013〕12号）

“......公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料......”

11.《最高人民法院 最高人民检察院关于执行<中华人民共和国刑法>确定罪名的补充规定（六）》（法释〔2015〕20号）

……“第二百五十三条之一（《刑法修正案（九）》第十七条）”修改为：“侵犯公民个人信息罪（取消出售、非法提供公民个人信息罪和非法获取公民个人信息罪罪名）”。