作者：浙江金道律师事务所  高文律师

摘要：随着数字经济的快速发展，公民个人信息的法律保护成为刑事司法实践的重点领域。《刑法》第二百五十三条之一及《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）为定罪量刑提供了框架，但实务中关于公民个人信息的界定、情节轻重的认定、数量计算规则及不起诉适用条件等问题仍存在诸多争议。本文结合刑事立法规定、最高人民法院指导性案例及司法实务共识，梳理侵犯公民个人信息罪的核心疑难问题，分析检察机关不起诉决定的适用情形，为司法实践提供理论参考和实务指引。

关键词：公民个人信息界定 数量计算 情节认定 不起诉 

一、引言

2015年《刑法修正案（九）》将出售、非法提供公民个人信息罪与非法获取公民个人信息罪整合为侵犯公民个人信息罪，扩大了犯罪主体范围并提高了法定刑，2017年《解释》则进一步细化了定罪量刑标准。2022年最高人民法院发布第35批指导性案例（192-195号），对人脸信息、居民身份证信息、微信号、验证码等新型个人信息的定性作出明确指引，为司法实践统一了裁判标准。但实务中，因个人信息形态的多样性、行为方式的隐蔽性及数量计算的复杂性，案件办理仍存在诸多疑难问题。同时，宽严相济刑事政策下，如何准确认定“情节轻微”并适用不起诉决定，成为控辩双方的核心争议点。本文围绕上述问题展开分析，力求实现理论与实务的结合。

二、侵犯公民个人信息罪的核心疑难争议焦点

（一）公民个人信息的界定边界问题

《解释》第一条将公民个人信息定义为“能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”，并列举了姓名、身份证件号码、行踪轨迹等典型类型，综其表述，公民个人信息的核心特征是“可识别性”。但实务中，据此对多样的新型个人信息进行实务判断时仍存在举棋不定的尴尬局面，为什么会出现这种情况？原因在于，我们在判断什么是“可识别”时出现了困惑，“可识别”不是基于一般公众的可认知，而是基于从信息本身的属性出发，判断其是否具备“指向特定自然人”的客观可能性，是技术和客观层面的识别可能性。

首先，关于生物识别信息与衍生信息的定性。最高人民法院指导性案例192 号（李开祥案）明确，人脸信息作为生物识别信息，具有不可更改性和唯一性，无需结合其他信息即可直接识别特定自然人，属于公民个人信息。同理，指纹、声纹、虹膜等生物识别信息，因具备高度可识别性，应纳入刑法规制范畴。

其次，关于复合型信息与单一信息的认定。指导性案例 193 号（闻巍案）指出，当某一信息载体并非单一类型的公民个人信息，而是集合了姓名、人脸信息、唯一身份标识、户籍地址等多种具有可识别性的信息，形成兼具身份识别、人身或财产关联属性的复合型信息综合体时，司法认定中不再将其归为普通公民个人信息，而是整体认定为《解释》第五条第一款第四项规定的“其他可能影响人身、财产安全的公民个人信息”，适用更严格的定罪量刑标准（即更低的数量入罪标准、更重的刑罚裁量），且该类信息综合体因具备信息唯一性、关联权益重要性，其法益保护层级高于单一类型的个人信息。

最后，关于功能性信息的定性。指导性案例194号（熊昌恒案）将与手机实名绑定、具备支付和社交功能的微信号认定为公民个人信息；指导性案例195号（罗文君案）则明确，服务提供者发送给特定手机号的验证码，因具有独特性和隐秘性，可与手机号结合识别自然人身份，属于公民个人信息。上述案例明确，功能性信息只要具备“可识别性”核心特征，即属于刑法规制的公民个人信息。

实务中需注意，经处理无法识别特定个人且不能复原的信息，不属于公民个人信息（《解释》第三条）。此处的“处理”需达到彻底匿名化标准，若仅作简单脱敏（如隐去姓名部分字符），仍可通过其他信息关联识别的，仍应认定为公民个人信息。

（二）“情节严重”与“情节特别严重”的认定争议

侵犯公民个人信息罪以“情节严重”为入罪要件，以“情节特别严重”作为加重处罚标准，《解释》第五条对此作出细化规定，但实务中对数量标准、特殊主体身份从重、信息用途关联等问题仍存在认定分歧。

首先，关于不同类型信息的数量标准适用。《解释》第五条根据信息重要性设置了“五十条以上（如行踪轨迹、征信、财产等敏感信息）”、“五百条以上（如住宿、通信、交易等重要信息）”、“五千条以上（普通信息）” 的入罪标准，及上述信息达到十倍以上则为“情节特别严重”的升档标准，数量本身已较为明确，但实务中争议点在于信息类型的归类，及同一个信息载体时如何计算条数。如求职简历表，上面信息包含姓名、电话、住址及照片等；再如银行征信证明，上面即有个人基本信息，也有个人征信记录信息等。对此，本文认为：首先从信息种类上来讲，对于一个信息载体同时包含普通信息、重要信息或敏感信息时，按“就高”认定；其次从信息的条数上来讲，建议按照行为人提供的方式或载体来计算，对于按照一张张的简历表来提供或售卖的，一张（一个人）算是一条，对于把一个人的简历表中的信息做拆分组合后按照一条条进行售卖的，按照累计的条数来计算。此种计算方式是考虑了行为人的主观犯罪故意和不同方式所产生的社会危害性大小，兼顾了对“信息加工者”的打击力度。

其次，关于履职或服务过程获取信息的从重认定。《解释》第五条第八项规定，将履职或服务过程中获得的公民个人信息出售、提供的，数量或数额标准减半计算。实务中需准确认定“履职或服务关系”，即行为人获取信息的前提是基于职务身份或服务提供，如银行工作人员获取客户征信信息、电信员工获取用户手机号和验证码（指导性案例195号），均属于此类情形，应适用减半标准。

最后，关于信息被用于犯罪的关联认定。《解释》第五条第一款第（一）项、第（二）项规定，出售或提供行踪轨迹信息被用于犯罪，或明知他人利用信息实施犯罪仍提供的，直接认定为“情节严重”。实务中争议点在于“明知”的证明标准，需结合行为人主观认知、交易方式、信息用途等综合判断，如行为人向电信网络诈骗人员出售公民个人信息或提供实名认证的微信号，即使未明确约定用途，结合交易对象、价格等情节，亦可认定为“应当知道”。对此种情形的具体罪名适用要结合具体事实来认定。

（三）涉案公民个人信息数量的计算规则

《解释》第十一条规定了数量计算规则，但实务中因信息批量存储、重复传输、真伪混杂，数量认定成为案件办理的难点，核心争议在于重复信息、批量信息及不同渠道获取信息的计算方式。

首先，关于重复信息的扣除规则。非法获取公民个人信息后又出售、提供的，由于行为手段与目的行为针对的是同一犯罪对象，故条数不重复计算，但若向不同对象出售同一信息的，由于是多个独立的侵权行为与事实，故应累计计算。

另外，司法实务中，一般对同一信息针对同一自然人的多次传输，因侵害对象相同，故应认定为一条，但对针对不同自然人的相同类型信息（如多名自然人的手机号），因涉及到不同的被害人，故应各自单独计数。

其次，关于批量信息中单个信息真伪的认定。《解释》第十一条第三款规定，对批量公民个人信息的条数，根据查获数量直接认定，但有证据证明信息不真实或重复的除外。在司法实践中，由于对批量信息逐条核实真伪难以完成，通常采取抽样取证方式予以认定，但抽样的比例一般应当有足够的代表性。而此也通常成为控辩双方的争议焦点。对此，指导性案例192号（李开祥案）明确，公安机关可通过抽样验证确认信息真实性，司法鉴定机构应去除无效信息并合并去重。实务中，辩方若对公民个人信息的数量提出异议，则需要提供具体的线索或证据来证明信息不实，否则难以推翻上述一般认定规则。

最后，关于混合类型信息的折算规则。《解释》第五条第六项规定，公民个人信息数量未达不同信息类型的立案数量标准时，但按不同信息的折算比例合计能够达标的，应认定为“情节严重”。实务中，敏感信息、重要信息、普通信息的折算比例一般按1:10:100的比例折算（如1条敏感信息相当于10条重要信息、100条普通信息），合计后达到任一标准的，即构成“情节严重”。

（四）合法经营活动获取信息的入罪边界

《解释》第六条针对为合法经营活动非法购买、收受公民个人信息的情形设置了特殊入罪标准，实务中争议点在于“合法经营活动”的认定及“获利五万元以上”的计算方式。

首先，关于合法经营活动的界定。此处的“合法经营”要求经营行为本身符合法律规定，若经营活动本身违法（如从事虚假宣传、电信诈骗），则不适用该条款，应按《解释》第五条普通标准定罪。如行为人以广告推销为名，非法购买公民个人信息后实施诈骗，应直接认定为“情节严重”。

其次，关于获利数额的计算。《解释》第六条规定，利用非法获取的信息获利五万元以上的，认定为“情节严重”。实务中，获利数额应扣除合理经营成本，仅计算因非法使用个人信息产生的直接收益；若行为人同时存在合法经营收益与非法收益，应区分计算，仅非法收益达五万元的，才符合入罪标准。

三、检察机关对侵犯公民个人信息罪作不起诉决定的适用情形

宽严相济是我国基本刑事政策，《解释》第十条明确了“情节轻微不起诉”的适用条件，结合《刑事诉讼法》第一百七十七条第二款的相对不起诉规定，实务中行为人若符合法定条件+酌定情节，检察机关可作出不起诉决定。结合12309 中国检察网公布的不起诉案例，不起诉决定的适用可分为“法定”情节轻微不起诉和“酌定”情节轻微不起诉，核心在于准确认定“情节轻微”。

（一）法定情节轻微不起诉的适用条件（《解释》第十条）

此处所说的“法定”情节轻微不起诉是指有明确司法解释规定可以不起诉的情形。如《解释》第十条就是对侵犯公民个人信息罪作不起诉的核心法律依据，其适用需同时满足四个要件，缺一不可。

第一，不属于“情节特别严重”。即未达到《解释》第五条第二款规定的标准，如未造成被害人死亡、重伤等严重后果，信息数量未达入罪标准十倍以上，违法所得未达五万元以上。若属于“情节特别严重”，即使具备其他从宽情节，也不得适用不起诉。

第二，行为人系初犯。即行为人此前未因侵犯公民个人信息受过刑事处罚，且二年内未受过行政处罚（《解释》第五条第一款第（九）项规定的前科情形除外）。若行为人有相关前科，即使本次情节较轻，也因主观恶性较大，不适用不起诉。

第三，全部退赃。退赃是法定从宽量刑情节，退赃的及时性和完整性是判断悔罪态度的重要标准，对于行为人主动将违法所得全部退赃的，且无转移、隐匿赃款行为的，一般认定为是实际悔罪行为的表现。同时，此也是通过经济制裁手段预防犯罪的一种方式。

第四，确有悔罪表现。行为人是否确实悔罪，通常不能仅以其口头表示，而需要结合客观行为来认定，比如行为人是否自动投案、是否如实供述、是否自愿认罪认罚、是否积极消除危害后果（如删除非法获取的信息、向被害人赔礼道歉取得谅解）、是否全部退赃等。若行为人虽“拍胸脯表决心”，但拒不供述犯罪事实，一般也不能认定为“确有悔罪表现”。

（二）酌定情节不起诉的补充适用情形

此处的“酌定”情节不起诉是指没有司法解释的明确规定，而是需要综合评判的情形。即，除《解释》第十条外，结合《刑事诉讼法》及司法实务，具备以下酌定情节的，检察机关可综合考量作出不起诉决定，此类情形多适用于犯罪情节相对较轻，且具有犯罪中止、未遂、自首、从犯等法定从轻、减轻或免除处罚量刑情节的案件。

第一，犯罪中止、未遂或预备。行为人主动放弃犯罪，或行为人已着手实施非法获取、出售个人信息行为，但因意志以外的原因未得逞（如信息未实际交付、未获取到信息），或处于为犯罪准备工具、制造条件的预备阶段，因社会危害性较小，可不起诉。

第二，从犯或胁从犯。在共同犯罪中，行为人起次要或辅助作用（如仅为上家传递信息、收取少量费用），或因被胁迫参与犯罪，且无获利或获利极少的，结合其地位、作用，可不起诉。

第三，信息数量极少且未造成危害后果。行为人非法获取、出售的个人信息数量刚达入罪标准，且信息未被用于违法犯罪活动，未造成被害人信息泄露、财产损失等危害后果的，可认定为犯罪情节轻微，危害性不大。

（三）不起诉决定的适用限制

实务中需注意，以下情形即使具备部分从宽情节，一般也不宜适用不起诉决定或慎重适用，以体现刑事司法对侵犯公民个人信息犯罪的严厉打击：

一是，履职或服务过程中非法获取、出售信息的。此类行为因行为人利用职务便利，主观恶性较大，且《解释》规定了从重处罚标准，即使情节较轻，一般也应提起公诉，仅在量刑时予以从宽。

二是，将信息出售、提供给电信网络诈骗、敲诈勒索等犯罪人员的。因信息被用于下游犯罪，社会危害性较大，即使具备退赃、认罪认罚等情节，一般也不宜适用不起诉。

三是，非法获取、出售敏感信息（如行踪轨迹、征信、财产信息）的。敏感信息与公民人身、财产安全密切相关，《解释》设置了较低的入罪标准，即使数量较少，一般也应定罪处罚。

四是，多次实施侵犯公民个人信息行为的。即使每次行为未达入罪标准，但累计数量达标的，因行为人主观恶性较大，不适用不起诉。

四、争议解决路径

（一）统一公民个人信息的认定标准，坚持“可识别性”核心原则

实务中对新型个人信息的定性，应始终以《解释》第一条的“可识别性”为核心判断标准，结合信息的属性、功能、与自然人的关联程度综合认定。对生物识别信息、功能性信息（微信号、验证码）、复合型信息（居民身份证信息），参照最高人民法院指导性案例192-195号的裁判规则，直接认定为公民个人信息；对脱敏信息，需审查其是否达到“无法识别且不能复原”的标准，由辩方提供证据证明信息已匿名化，否则应认定为公民个人信息；对公开信息的处理，若行为人非法获取在一定范围内公开的个人信息，改变其公开范围、目的并用于牟利的，参照指导性案例194号认定为“非法获取公民个人信息”，但可在量刑时考量信息已公开的情节。

（二）规范情节轻重的认定，严格适用《解释》并结合案件实质综合评判

对信息数量和类型的认定，应委托司法鉴定机构进行去重、真伪验证，区分敏感信息、重要信息、普通信息并分别计数，混合类型信息按比例折算；对“明知他人利用信息实施犯罪”的认定，采用客观推定标准，结合交易对象、交易价格、信息类型、行为方式等情节综合判断，无需行为人明确供述；对履职或服务过程获取信息的从重认定，需审查行为人获取信息的前提与职务或服务的关联性，仅基于职务身份或服务提供获取的信息，才适用减半标准。

（三）准确适用不起诉决定，坚持“主客观相统一”与“罪责刑相适应”原则

检察机关在作出不起诉决定时，应综合考量行为人的主观恶性、犯罪情节、社会危害性、悔罪表现，避免机械适用《解释》第十条。对符合《解释》第十条四个要件的，应依法作出不起诉决定，体现宽严相济刑事政策；对具备酌定从宽情节的，需结合案件实质判断社会危害性，仅对情节显著轻微、危害不大的，才适用不起诉；对存在从重情节的（如履职过程犯罪、信息用于下游犯罪），即使具备退赃、认罪认罚等情节，一般也应提起公诉，通过量刑实现罪刑均衡。

（四）完善证据收集与审查，聚焦核心事实与证据

实务中，案件办理的难点在于证据收集，针对侵犯公民个人信息罪的特点，侦查机关应重点收集信息载体（如硬盘、服务器、手机等）、交易记录（如转账凭证、聊天记录等）、信息真实性鉴定意见、行为人供述与辩解等证据；检察机关在审查起诉时，应重点审查涉案信息的可识别性和类型归类，确保数量计算准确；行为人主观明知的证据，结合客观行为推定其主观状态；退赃、认罪认罚等从宽情节的证据，核实退赃的完整性和悔罪表现的客观性；信息是否被用于下游犯罪、是否造成危害后果的关联证据，准确认定情节轻重。

五、结语

侵犯公民个人信息罪的司法适用，既需严格遵循刑法及《解释》的规定，又需结合数字时代个人信息的形态特征，准确把握“可识别性”核心认定标准和“情节轻重”的实质判断原则。最高人民法院指导性案例为新型个人信息的定性提供了明确指引，而检察机关不起诉决定的适用，应在宽严相济刑事政策下，兼顾打击犯罪与保障人权，对情节轻微、悔罪态度良好的行为人依法作出不起诉决定，对主观恶性大、社会危害性严重的行为人则严厉打击。

司法实践中，办案机关应进一步统一裁判标准，规范证据收集与审查，准确适用数量计算规则和情节认定标准，同时注重发挥认罪认罚从宽制度的作用，实现政治效果、法律效果和社会效果的统一。对于辩护方而言，在案件办理中应重点围绕公民个人信息的界定、数量计算的准确性、情节轻重的认定、不起诉条件的适用等核心问题展开辩护，为行为人争取合法的从宽处理结果。

参考文献：

[1] 徐聪、石拓：《侵犯公民个人信息行为的主观责任认定》，载《公安研究》 2025年第1期。

[2] 敬力嘉：《侵犯公民个人信息罪保护法益的厘清》，载《现代法学》2024年第9期。

[3] 崔苗、蒋昊：《侵犯公民个人信息罪的司法困境及回应》，载《上海公安学院学报》2025年10月第35卷第5期。

[4] 陈禹衡：《侵犯公民个人信息罪的违法性认识错误出罪路径》，载《中国刑事法杂志》2024年第6期。

[5] 周永敏、郑新月：《非法获取型侵犯公民个人信息罪的认定》，载《人民司法》2025年第14期。

[6] 张明、张传武：《侵犯公民个人信息罪中行踪轨迹信息的界定》，载《人民检察》2025年第21期。

[7] 杨柳：《数智时代侵犯公民个人信息罪中个人信息的保护范围》，载《华东政法大学学报》2025年第6期。

[8] 张丽霞：《论侵犯公民个人信息罪的“违反国家有关规定”》，载《河北法学》2025年9月第43卷第9期。

[9] 周光权：《侵犯公民个人信息罪的行为对象》，载《清华法学》2021年第3期。

2026年3月8日