近年来，电信网络诈骗犯罪高发频发，已成为严重侵害人民群众切身利益的社会公害，广大群众对此类犯罪活动深恶痛绝。作为电信网络诈骗犯罪的上游犯罪的其中之一，网络侵犯公民个人信息犯罪起到了重要的推波助澜作用，为诈骗分子实施诈骗提供了更加便利的条件。2017年5月，最高法、最高检联合发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）。

公民个人信息泄漏的主要途径

随着网络的普及，基于公民个人的专属服务日趋增多，人们对网络的依赖远远超出之前任何时代，由此泄漏个人信息的事件屡屡发生，给犯罪分子可乘之机，本文将目前泄漏个人信息较多的情况总结如下：一是线下泄漏。在日常生活中各种实名制购买行为的发生以及实名认证成为信息泄漏的第一来源。如快递单、邮政单据、物业账单、电信账单、水电费账单等以及个人信息证券市场、4S店、房地产商、学校等场所机构；二是线上泄漏。在网络交友和网络访问成为个人信息泄漏另一大源头。如各种网络社交工具、钓鱼网站、非法链接以及骇客发起的网络攻击等；三是其他方式泄露个人信息。如在打印店复印资料或身份证件时，一些缺乏职业道德的打字店、复印店利用便利，将客户信息资料存档留底，然后转手卖掉等，这些都泄露了个人信息。

侦查打击侵犯公民个人信息类案件的难点

点多线长面广，取证工作困难重重。首先，数量庞大，寻找受害人难。侵害公民个人信息案件普遍存在人员以买、卖关系、买卖个人信息数量大、并具有熟练使用计算机、网络等特点。其次地域跨度大，侦查布控难。网络犯罪覆盖面大，关系错综复杂，犯罪行为发生地、犯罪结果发生地、犯罪分子所在地等往往不在一地。给侦查、布控增加难度。最后，犯罪手段智能化程度高，取证难。侵害公民个人信息案件的犯罪为大多依托互联网、移动电子设备，通过即时通讯工具、电子邮件等多种方式实施，调查取证难度很大，对案件的侦破造成较大难度。

相关法条的界限不清、法律适用难执行。首先情节严重界限难以把握。虽然《刑法修正案（七）》新增侵犯公民个人信息犯罪，《刑法修正案（九）》，对刑法第二百五十三条作了修改，对侵害公民个人信息的行为进行进一步细化，为惩治此类犯罪提供了明确的法律依据。但对情节严重的界定标准定义广而空，也没有出台相应的法律解释，致使广大执法办案部门不敢作为的情况。其次公民个人信息买方是否同罪的法律缺失。从目前法律法规来看，对公民个人信息的提供，销售都提供了明确的惩戒条文，但是对买方却没有相应的处罚条文。致使公民个人信息买卖利益链条依旧存在，不法份子铤而走险的可能依旧存在。

利益链隐蔽和监管缺位，司法监督难执行。在虚拟网络中犯罪分子脱去道德外衣，追逐利益最大化，侵害公民个人信息案件时有发生。首先网络利益链条长时间存在。在网络中庞大的个人信息潜藏着巨大的经济利益，驱使部分不法分子，买卖个人信息，已经形成一条巨大利益链。其次专门监管机构缺失和监督标准的不一致。目前各政府职能部门、企事业单位在收集公民个人信息时，往往各行其是，整个过程也是自行监督，致使目前尚无专门的机构进行收集公民个人信息收集行为进行监督。不管政府机构和企事业单位在信息安全保护方面缺乏统一的行为标准，给违法犯罪份子有可乘之机。

法律规定

侵犯公民个人信息罪，源于《刑法修正案（七）》《刑法修正案（九）》的两次修改。

出售、非法提供公民个人信息罪和非法获取公民个人信息罪

《刑法修正案（七）》第七条规定，在刑法第二百五十三条后增加一条，作为第二百五十三条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。

“单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”

侵犯公民个人信息罪

《刑法修正案（九）》第17条规定，将刑法第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

“单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

通过《刑法修正案（九）》的修改，出售、非法提供公民个人信息罪和非法获取公民个人信息罪被整合为侵犯公民个人信息罪，从而强化公民个人信息的保护力度。

《解释》对侵犯公民个人信息罪的法律适用问题和定罪量刑标准做了明确的规定。

侵犯公民个人信息罪的行为方式

刑法规定侵犯公民个人信息罪的行为方式，包括两种，一是出售或者非法提供公民个人信息；二是非法获取公民个人信息，具体而言：

违反国家有关规定向他人出售或者非法提供公民个人信息

《解释》第二条规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。由此，这里的国家规定，仅限于法律、行政法规、部门规章等国家层面的规定，而不包括地方层面的地方性法规等文件。

《解释》第三条规定，向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。

未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

根据该条规定，本罪旨在限制非法提供公民个人信息，也即获取信息之后，向他人提供的行为。这种提供行为又分为两种情况，一是向特定人提供信息，比如公安机关、金融、住宿等单位的工作人员将其合法获取的信息提供给他人；二是通过网络向不特定人发布信息，比如人肉搜索，利用网络肆意散发他人信息。

《解释》第三条第三款之规定，实为一种法律注意规定，拟在提示司法工作人员，即便合法收集公民个人信息，但未经过可识别处理的，便提供给他人仍属于非法提供公民个人信息。比如APP打车软件，在获取司机、用户的订单、行程、轨迹之后，运营公司不经过处理，便打包向其他公司提供这些信息，便存在适用本条的可能性。

窃取或者以其他方法非法获取公民个人信息

《解释》第四条规定，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

这种行为方式的问题主要在于厘清其他方法，《解释》第四条进行了明确，一是，违反国家有关规定，购买、收受、交换等方式获取信息；二是，违反国家有关规定，在履行职责、提供服务过程中收集公民个人信息。

理论上对于“其他”的理解，要求其应与刑法条款列举的方式具有相同的社会危害性，具体到本罪中，其他方法是否需要具备盗窃行为自身具有的非法性，各方认识上并不一致。《解释》一锤定音，消弭了分歧，将购买、收受、交换等方式解释为与盗窃等同的其他方法。从该规定来看，其他方式不需要自身行为的非法性，也即购买、交换这种行为，即便自身不具有非法性质，只要行为人没有获取公民个人信息的法律依据或者资格而获取相关个人信息同样属于非法获取。

此外，该条将非法收集也规定为其他方法，主要是为了遏制违反个人意愿，收集他人信息的行为。比如网络运营者违反规定、约定，收集公民个人信息的行为。《网络安全法》第四十一条对此作了规定，“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。”

情节严重的认定

《解释》对于刑法规定的情节严重，作了细化规定，具体列举了10种侵犯公民个人信息的情形：

（1）出售或者提供行踪轨迹信息，被他人用于犯罪的；

（2）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（3）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

（4）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

（5）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

（6）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

（7）违法所得五千元以上的；

（8）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

（9）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

（10）其它情节严重的情形。

从上述规定来看，“情节严重”的认定主要是五个方面，一是信息用途，情形一、提供他人的信息被用于犯罪，情形二、明知他人利用信息实施犯罪，仍予以提供信息的；二是信息类型和数量，针对不同信息，设置了五十条、五百条、五千条的标准；三是违法所得数额，获取信息通常是为了牟利，五千元以上的；四是主体身份，履行职责或者提供服务过程中获得的公民个人信息的人员，在信息数量和所得数额上减半认定；五是前科情况；六是其他情况，作为兜底条款，从而将那些在主观恶性、社会危害性与前五种情形等同的行为认定为情节严重。