随着科学技术的飞速发展，各种网络平台和软件不断兴起，科技在给市民带来便利和乐趣的同时，也隐藏着很多风险。 大家都在逐渐变得“透明”，个人信息安全成为一大隐患。 近年来，此类案件数量不断增加，《中华人民共和国刑法》第九修正案将原第253条之1“违反国家规定”修改为“违反国家有关规定”，扩大了范围，降低了刑事定罪的门槛，这在司法辩护中具有挑战性。
1. 与侵犯公民个人信息罪有关的法律规定
2015年，刑法第九修正案正式颁布实施，包括“非法提供公民个人信息罪”和“非法获取公民个人信息罪”。 2017年，最高人民法院、最高人民法院颁布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，进一步细化了个人信息的定义、种类和量刑标准，为司法实践提供了指导。 2021年，《个人信息保护法》颁布实施，对个人信息侵犯的内涵、分类和方式进行了更加系统、细致的划分，将个人信息保护纳入公益诉讼。
【侵害公民个人信息罪】。
中华人民共和国刑法第二百五十三条之一【侵害公民个人信息罪】违反国家有关规定，向他人提供公民个人信息**，情节严重的，处三年以下有期徒刑或者拘役或者单处罚金; 情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，提供公民在履行职责、提供服务过程中取得的个人信息或者向他人提供个人信息的，依照前款的规定从重处罚。
窃取或者以其他方式非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，对直接负责的主管人员和其他直接责任人员依照该款的规定处罚。
公民个人信息概念的定义
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条 刑法第二百五十三条之一规定，“公民个人信息”，是指以电子或者其他方式记录的能够识别特定自然人身份或者反映特定自然人活动的各种信息; 单独或结合其他信息，包括姓名、身份证号码、地址、账号密码、财产状况、行踪等。
定罪和量刑标准
行为人违反国家有关规定，对公民个人信息实施上述行为的，至少要达到“情节严重”的标准才能构成“侵犯公民个人信息罪”。 具体而言，犯罪分为量刑等级两个等级：情节严重的，处三年以下有期徒刑或者拘役，或者罚金; 情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
二、司法实践案例
通过“威科集团”平台搜索“侵犯公民个人信息罪”，发现相关裁判文书共计1.775万件，图中显示了2016-2022年每年的案件数量，呈逐渐上升后下降的趋势，2020年达到峰值，近两年出现明显下降。
近年来，案件数量和涉案人数逐年减少，犯罪多为单位实施，通过对裁判文书的研究发现，犯罪在司法实践中的难点大多有以下几点：公民个人信息分类标准的界限比较模糊; 对犯罪是否成立存在争议，共同犯罪的认定存在困难。
案例一：【指导案例】（2020）胡0109号行初957号
案情基本]2019年6月至2020年2月期间，被告人温（时任上海xx***运营总监）提前联系并同意微信、QQ名“发乐”、“赖立忠”、“怕寒风吹”等，以人民币6张**批量注册激活公司“爱球钱包”APP的“中银通魔方元”联名预付卡， QQ通过微信从上述人员处获取网盘共享链接，获取公民个人信息（公民身份证正反面），朱旭东将网盘链接转入移动硬盘，交给中国银行工作人员批量注册激活。被告人朱旭东在温伟离职后以同样的方式进行公民个人信息交易。
2019年12月，被告张江涛通过其所属QQ群从他人处购买公民个人信息数据，并转入其网盘账号，同时将数据分期转售给张建涛，分期共收取1.96万元。
经核实，从温伟的“erniegullit”网盘中统计了1万多组公民个人信息（公民身份证正反面**），从朱旭东的“zhuxudn”网盘中统计了3000多组公民个人信息（公民身份证正反面**），从张共享给朱旭东的网盘中统计了41654组公民个人信息（公民身份证正反面**）， 从张江涛的网盘中统计了60101组公民个人信息。
判决结果]1、被告人温伟犯有侵犯公民个人信息罪，被判处有期徒刑三年，并处罚金一万元。2、被告人朱旭东犯侵犯公民个人信息罪，被判处有期徒刑三年三个月，并处罚金一万元。 3、被告人张江涛犯有侵犯公民个人信息罪，被判处有期徒刑三年，并处罚金二万元。 （四）追缴、没收违法所得和犯罪工具。 [法院认为]。
被告人温伟、朱旭东、张江涛违反国家有关规定，非法获取或**公民个人信息，情节特别严重，应当以侵犯公民个人信息罪追究刑事责任。 本案部分犯罪事实为单位犯罪，被告人温、朱旭东是其参与的部分犯罪的直接责任人。 本案部分犯罪事实属于共同犯罪，被告人温、朱旭东在参与的犯罪中起主要作用，不宜区分主犯和从犯。
1）关于本案中公民个人信息的种类问题。
经调查，《解释》第五条第4项规定的信息类型，往往与人身安全、财产安全直接相关，常被用于各种违法犯罪活动，因此将刑事定罪标准定为“500条以上”，将倒档标准定为“5000条以上”。 需要注意的是，该规定包含“以及可能影响人身和财产安全的其他公民个人信息”的表述，在司法实践中，完全可以根据具体情况进行超分类解释，但应确保适用的公民个人信息涉及人身和财产安全， 在重要性上等同于“住宿信息、通信记录、健康和生理信息以及交易信息”。
2）被告人温伟在共同犯罪中的作用。
经调查，被告温伟作为上海XX***的运营总监，代表浩缇公司与B公司协商联名预付卡推广业务，以快速完成公司绩效指标并获得工资和奖金，以快速完成公司绩效指标并获得工资和奖金， 他还与朱旭东合作，主动获取这些“信息黄牛”非法提供的一批公民个人信息，以通过虚假交易骗取中国A公司的优惠补贴，并支付6元**批量注册激活上述“信息黄牛”的相关预付卡，对社会危害很大， 其犯罪行为的整体表现对单位犯罪和共同犯罪的结果起到了直接和关键的作用。 因此，被告温伟的辩护人关于被告温伟应认定为共犯的辩护意见不符合事实和法律，本院不予采信。
案例二：（2018）胡0116兴初839号
基本案例详情]2016年1月至2017年10月期间，被告柯某某主要通过向房地产经纪人获取该市二手房出租信息，或安排公司员工从微信群等获取部分**信息，并在核实信息准确性后， **信息以会员形式提供给“房利美帮”**成员，供有偿查询和使用，被告柯某某从中获利。在此期间，房地产经纪人在将信息上传至“房利美帮”时，未事先获得信息所有者即房东的同意和授权，被告柯某某在获取信息时未对信息的合法性进行审查，在安排公司员工通过**与房东核实信息的过程中， 存在冒充其他中介人（包括知名中介人）姓名进行核实，且未如实告知“房利美帮”**的真实身份及使用该信息的方式和目的，并取得业主的同意和授权的情况。案发时，被告人柯某某共获取信息30余条，通过收取会费获利150余元。
判决结果]1、被告人温伟犯有侵犯公民个人信息罪，被判处有期徒刑三年，并处罚金一万元。2、被告人朱旭东犯侵犯公民个人信息罪，被判处有期徒刑三年三个月，并处罚金一万元。 3、被告人张江涛犯有侵犯公民个人信息罪，被判处有期徒刑三年，并处罚金二万元。 （四）追缴、没收违法所得和犯罪工具。 [法院认为]。
被告人柯某某非法获取和**公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。 被告人柯某某被带去后，能够如实供述其主要犯罪事实，可以从轻处罚。 根据本案犯罪的事实、性质、情节和对社会的危害性，可以对被告人柯某某判处缓刑。
案例三：【典型案例】李某侵犯公民个人信息案
从2020年6月到9月，李制作了一个可以窃取安装人员手机的软件。 当手机用户安装软件并打开时，软件会自动获取手机相册，并上传到Li构建的服务器后台。 李某将该软件发布在暗网上的论坛上出售，截至2021年2月9日，共售出30美元的虚拟货币。 后来，为了炫耀自己的技术，满足自己的虚荣心，李某将软件伪装成“外观检测”软件，发布在论坛上供网友免费安装，以这种方式窃取了安装人员手机相册的1751张照片。 其中，它包含100多条公民的个人信息，如人脸信息、姓名、身份证号码和家庭住址。
2020年9月，李某在暗网论坛上用虚拟货币购买“社工数据库信息”，并将其转移到网盘上。 2021年2月，李某为了炫耀自己的能力，还把网盘链接分享到“车主交流”QQ群（150人），知道“社工数据库信息”包含户籍信息、车主信息等。 在删除无效数据并合并和重复数据删除后，“社会工作数据库数据”共包含8100多条公民个人信息。
判决结果]奉贤区人民法院在审理中认为，李某有认罪情节，自愿认罪认罚，依法从轻处罚，以侵害公民个人信息罪判处李某有期徒刑三年、缓刑三年、处罚金。
典型意义] （一）公民个人信息分批数量，根据查获数量直接确定，但有证据证明信息不真实或者重复的除外。在侵犯公民个人信息的犯罪中，案件中往往涉及数万甚至数十万条信息，在信息海量的状态下，客观上很难对信息进行逐一核实。 因此，在实践中，允许适用推定规则，即直接确定扣押量，但这并不意味着举证责任倒置。 信息的真实性可以通过抽样来验证。
2）人脸信息是不可变且唯一的生物特征信息。人脸识别技术在为生活带来便利的同时，也很容易被犯罪分子窃取、使用或合成，破解人脸识别验证程序，侵犯隐私、名誉和财产。 在生活中，要谨慎使用“颜值检测”等“有趣”的软件，防止个人信息泄露，损害合法权益。
3. 论点分析
在审查认定违法所得数额过程中，对查获的银行交易记录、第三方支付平台交易记录、聊天记录、供述、证人证言等进行综合认定，行为人无法解释用于具体实施侵犯公民个人信息犯罪的银行账户或第三方支付平台账户资金收入的合法性的， 根据整个案件的证据，确定为违法所得。
对于违法所得，直接根据行为人个人信息的收益确定，不扣除购买信息的犯罪成本。
（一）犯罪人违法所得数额未达到立案标准，行为人的行为未违反国家有关规定，提供的资料量未达到5000条以上的，不构成犯罪。事实不清，证据不足以证明犯罪事实。
2）主观方面：行为人主观上缺乏犯罪意图。
在司法实践中，抗辩可以基于当事人的主观意图。 具体而言，可以认为情节明显轻微、危害不大、涉案信息量少，或者在共同犯罪中起次要作用，是共犯，获利不多，存在返赃、供认有罪、受罚等情形， 等等。
情节不严重的，可以结合行为人全部归还赃物并有真真悔意的情形进行免起诉、免刑辩护。
四、预防和化解犯罪风险
2021年生效的《中华人民共和国个人信息保护法》填补了个人信息保护专门立法缺失的空白，有助于进一步认识侵犯公民个人信息犯罪的保护和利益，也为国内企业开展个人信息收集合规建设提供了重要的指导作用， 有助于规范企业的经营管理活动。
平台侧。 根据《个人信息保护法》第51条，个人信息保护是企业内部管理的基本要求。 此前，《数据安全法》第十九条要求国家根据数据在经济社会发展中的重要性，以及对公共利益或公民和组织的合法权益造成的损害程度，对数据实行分级分类保护。 目前，相关部委的指导性文件和标准为企业内部对个人信息进行分层分类管理提供了好思路。 比如，《工业数据分类分级指南（试行）》提出了工业数据的分类分级标准; 《业务数据分类分级指南》根据对象、范围和影响程度三个要素对数据进行综合分类; 《个人财务信息保护技术规范》对个人财务信息进行了分类和分级。
同时，根据自身业务和运营实际，建立内部个人信息分类机制，严格区分敏感个人信息和一般个人信息，根据个人信息的内容、价值、安全风险制定不同的等级。 需要注意的是，在对个人信息进行分类分级之后，企业还需要采取一系列的配套措施来实现个人信息的安全管理。 这包括制定个人信息分类的制度和操作指南，特别是确定更新机制; 建立个人信息分类分级责任机构和岗位，明确职责，引入培训和评估机制; 明确个人信息共享、授权使用等流程合规要求。
签署保密协议。 在与员工签订的劳动合同中，明确了个人信息安全保密相关义务，加强了对员工的有效合规培训，并引入了考核机制; 系统帐户和密码专用于特殊人员。 对员工处理信息权限进行分级管理，区分录入、访问、更新、维护权限，与个人信息级别相匹配，确保专人专用; 留下个人信息处理的痕迹。 建立日志管理，严格监控操作流程; 建立事前评估机制，完善个人信息泄露救济机制，建立责任追究制度。
律师团队介绍
陈志华. 海华永泰高级合伙人（有限权益） 海华永泰律师事务所
陈志华律师自2005年1月起从事律师工作，致力于：常年为企业提供法律服务，主要服务有：公司制度建设、合同审核、协助员工管理、协助对外商务谈判等; 企业股权结构设计; 公司经济诉讼; 企业劳动仲裁诉讼; 专利无效侵权**; 商标流程**; 商业秘密、专利、商标、不正当竞争权利保护**。
李瑾. 海华永泰刑事事业委员会秘书长。
彼持有南京大学法学学士学位及复旦大学刑法硕士学位。 2005年首次在某律师事务所担任专职律师，为多家外资企业提供常年法律顾问、新公司设立、分立、兼并、股权变更、转让、重组等法律服务。 2007年，他从事审判工作。 2020年6月，他辞去公职，加入海华永泰律师事务所。
崔文兰. 律师。
2019年1月毕业于华东理工大学，获经济法硕士学位。 主要执业领域为民商事争议解决、常年法律顾问、知识产权、劳动争议解决等业务。
王甜甜. 助理。
2022年6月毕业于华东理工大学，获知识产权学士学位。 他致力于知识产权和民商事领域的法律服务和研究。 （海化）。