最高人民法院、最高人民检察院公告

　　《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》已于2017年3月20日由最高人民法院审判委员会第1712次会议、2017年4月26日由最高人民检察院第十二届检察委员会第63次会议通过，现予公布，自2017年6月1日起施行。

        [张磊律师解读]这是“两高”首次就打击侵犯公民个人信息犯罪出台司法解释。这里明示了《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》分别在最高人民法院审判委员会、最高人民检察院检察委员会通过的时间及会议号，同时公布了施行时间。

普通群众（不是法律职业人），只需要掌握施行时间即可。

为依法惩治侵犯公民个人信息犯罪活动，保护公民个人信息安全和合法权益，根据《中华人民共和国刑法》《中华人民共和国刑事诉讼法》的有关规定，现就办理此类刑事案件适用法律的若干问题解释如下：

[张磊律师解读]最近几年，以各种电信诈骗为主要特征的侵犯公民个人信息类型的犯罪层出不穷，许多普通老百姓深受其害，特别是去年，全国发生多起因受骗而人财两空的恶性事件，国家规范此类犯罪惩处、加大对此类犯罪的打击力度，是合乎民意的。通过司法解释规范此类案件的处理，也完全符合立法意图和刑法规定。

第一条刑法第二百五十三条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

[张磊律师解读]这里明确了“公民个人信息”的载体为“电子”或“其他方式”、“公民个人信息”的表现形式及功能是既可以单独使用又可以融入其他信息、“公民个人信息”的七种常见类型等，确立了“公民个人信息”的法定保护范围。

1、姓名

是指公民的身份证、护照、户籍登记簿、港澳通行证、台湾通行证、军官证、驾驶证等合法身份证件上的正式的、完整的姓名。

公民自行命名并使用或他人命名的笔名、小名、学名、网名、绰号、族名、企业号等等，不是“公民个人信息”意义上的姓名。

2、身份证件号码

是指公民的身份证、护照、户籍登记簿、港澳通行证、台湾通行证、军官证、驾驶证等合法身份证件上显示的、由证件签发机关依法编制的证件号码，它通常是与持证人一一对应的，是持证人惟一的、终身独享的。

3、通信通讯联系方式

这一信息类型较为复杂，其实包含“通信联系方式”和“通讯联系方式”两种，又分为广义的、狭义的；现实的、虚拟的等多种。

通信联系方式，是指传统的通过书信、邮局实现的联络方式，体现为通信地址（国家名、省名、所在城市或县区名、街道或村镇名或单位名、小区或楼栋或单元名或号等）、联系人、邮政编码等；

通讯联系方式，是指与电信、网络、自媒体等现代通讯手段密切联系的各种新型的现代的快速的联系方式。

我们不去考究“通信通讯联系方式”到底有哪些种类，只列常见的种类，譬如公民个人及家庭的通信地址、电话号码（手机号、住宅座机号、单位座机号等）、个人电子邮箱地址、个人QQ号、个人微信号、淘宝号、MSN号、飞信号、微信公众号、企鹅号、各种论坛号、网名、博客地址、微博地址等。

前述通讯联系方式都可能是两个或更多个，很多时候，它们是公开的、未加任何保护也难以保护的。

除了富商大贾、高官名人出于安全或保密需要而对个人通讯联系方式加以保密以外，绝大多数人、尤其是各种做业务的人，通讯联系方式几乎是满天飞、随便都能找到。    如此一来，对通讯联系方式的保护，难度非常大；因侵犯此类个人信息而入罪，取证难度也非常大，相应地，入罪门槛较低。

4、住址

住址与通信联系方式密切相关，甚至是同一的。

5、账号密码

这里没明示是“银行账号”、“存款账号”、“贷款账号”“支付宝账号”、“微信号”及相应密码，但推测是指这些与公民财产有关的账号及其密码。

但其实，上述账号除了跟密码对应，还可能跟指纹、动态口令、验证码等等对应，仅保护账号、密码是不够的。

6、财产状况

公民的财产状况，也是十分复杂的。

以财产权属分，有纯粹的个人财产（婚前财产，婚内约定的个人财产等）、期待中的个人财产（夫妻共有财产、家庭共有财产、合伙共有财产、受赠财产、继承财产等）；

以财产形式分，有房屋、车辆、现金、银行存款、股票、债券、基金份额、知识产权、股权、债权、合伙股份、土地使用权、山林使用权、宅基地使用权、采矿权等；

以财产存放地分，有国内财产、有国外财产。

这里的公民财产状况所指的财产，应为合法财产。

毒资、赌资、嫖（淫）资、贿赂所得、各种违法犯罪所得等，不在保护之列。

7、行踪轨迹

这是最难定义、最难把握的一类公民个人信息。

我以为，行踪轨迹既包括现实的行踪轨迹，也包括虚拟世界的行踪轨迹。既包括公民个人自身的行踪轨迹，也包括公民驾驶车辆所形成的行踪轨迹。

只是，那么多以网络为生产经营场所、工具、对象的企业，将如何合法地进行生产经营？

还有，“行踪轨迹”的说法，其实是并不规范的、或者说并不确定的，行踪、轨迹是两个类型的信息，前者趋于实，后者趋于虚；前者主要是公民个人行动形成，后者可能借助车辆、网络等等生成。

在上述七类信息中，姓名、身份证件号码都是与证件与持证人一一对应且惟一的；

微信号既是通讯联系方式，又是账号；

住址与通信联系方式多数情况下同一；

账号密码与财产状况关系密切；

行踪轨迹相当虚、相当俗；

没有提到房产证号、车牌号，我却以为它们也是公民个人信息。

第二条　违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

[张磊律师解读]这里明示了“国家有关规定”的范围为法律、行政法规、部门规章。

有点奇怪，难道违反地方法规、地方政府规章不算“违反国家有关规定”了吗？可是，地方法规、地方政府规章却是属于国家法律系列、国家规定的，并且，地方法规、地方政府规章可能也规定了公民个人信息保护的内容。

第三条　向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。

未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

[张磊律师解读]这里提醒大家，要特别注意这一条，对第一款要正确理解，不要误解。它是对违法提供公民个人信息的特殊情形的规定，防止有人“钻法律漏洞”去脱罪。

也就是说，“提供”的认定不以接受提供的对象为依据，无论是向特定人还是向不特定人提供公民个人信息，都可入罪，不能以“向特定人提供”没有广泛传播或以“通过网络发布”不是“提供”为由脱罪，此两种情形不是减罪或免罪的辩护理由。

还要注意的是，这里对“提供”的主体没有限定为企业，从文义上理解，是指一切提供主体的，包括企业、行政机关、事业单位等。

所以，在生产经营或行政、办事过程中需要收集、使用公民个人信息的企业，要特别注意第二款的规定，特别是生产经营或行政或办事的的上游、下游都要用到客户个人信息的企业事业单位及行政机关，一定要防备，不要掉入违法犯罪的“坑”里了。

避“坑”的方法就是“经被收集者同意”，只要是取得了被收集者同意而“将合法收集的公民个人信息向他人提供”就是正当的、合法的，就不是违法行为，更没有犯罪之虞。

值得庆幸的是，这里并没有限定“被收集者同意”的方法、形式。这就为广大企业事业单位和行政机关预留了征得被收集者同意的操作空间。

因此，在生产经营或行政或办事过程中需要收集、使用公民个人信息的有关主体，可以尽量采用效率高、成本低但可留下痕迹的方式获取被收集者的同意，您可以事先准备好知情同意书，在其中列明被收集者同意您使用他的哪些信息、在什么范围什么条件下使用、可以使用的期间，也就是说，在知情同意书里须体现被收集者同意的过程、同意的内容、同意的时间、同意是自愿的、不可撤销的、独立的等。如果您所制作的文书仅仅简单地表达为“同意使用本人个人信息”，是有瑕疵、不符合要求的，您一定得立即补正、完善。

请您务必把被收集者同意的证据材料保存好。您得到了被收集者的同意，就可放心地合法使用（自用或提供给他人）被收集者的个人信息。

本条第二款还为您指出了另外一种合法使用、提供的方法：对公民个人信息“经过处理无法识别特定个人且不能复原”，这就要看您或需要您提供公民个人信息的关联单位对公民个人信息的使用目的、使用方法、使用的技术要求。

如果必须原貌原样，就不能采取这种方法来使您的行为合法化。

第四条　违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

[张磊律师解读]这里列举了常见的、十分扰民的3种获取公民个人信息途径，明确其非法地位。其实，凭常识就可知这3种行为是非法的。

实践中，易模糊认识的，是“在履行职责、提供服务过程中收集公民个人信息的”行为。其意思是。若是履行职务、提供服务本身必然涉及公民个人信息，只可使用，不能收集，更不能传播。

近年来，侵犯公民个人信息犯罪仍处于高发态势，而且与电信网络诈骗、敲诈勒索、绑架等多种犯罪合流、混同，使人民群众防范难度提高，也使司法机关侦破难度提高。

第五条　非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；
 　　（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

（七）违法所得五千元以上的；

（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

（十）其他情节严重的情形。

实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：

（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

（二）造成重大经济损失或者恶劣社会影响的；

（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；

（四）其他情节特别严重的情形。

[张磊律师解读]我们几乎每个人，都或多或少被推销电话、诈骗短信骚扰过。而“非法获取、出售或者提供公民个人信息”则是诈骗短信得以发出的前提条件。

这里规定了十种构成“情节严重”的情形，分别从来源、去向、数量、用途、性质、违法所得等方面区分刑事责任的起刑线。譬如，对于最重要的信息“行踪轨迹信息、通信内容、征信信息”只要五十条以上就入罪；对于次重要的“住宿信息、通信记录、健康生理信息、交易信息”，需要五百条以上才入罪；对于相对普通或易得的前述两类以外的公民个人信息则须五千条以上才入罪。

这是因为，公民的行踪轨迹、通信内容、征信信息是与公民人身及财产状况直接关联的，也是最容易满足电信网络诈骗、敲诈勒索、绑架等涉财产犯罪目的的，所以入罪门槛最低。

对于因“履行职责或者提供服务过程中获得”信息而违法提供的，则入罪门槛更低，数量只有非职责非服务情形的一半。这是因为，“履行职责或者提供服务过程中获得”信息是基于人们为满足合法需求而向有关机关企业事业单位提供个人信息，若此类活动都没有安全保障，那将使很多公共服务业务无法开展。

第六条　为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）利用非法购买、收受的公民个人信息获利五万元以上的；

（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

（三）其他情节严重的情形。

实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。

[张磊律师解读]“为合法经营活动而非法购买、收受”个人信息的情形，有点难以理解，像是绕口令似的，既是合法经营，为何又要非法购买个人信息？

这是因为，企业事业单位的合法经营活动可能需要大量的个人信息，正规渠道满足不了这种需要，或者正规渠道的代价太高。于是就出现了这种“绕口令”似的情形。

实务中这种情形并不少见。譬如房产中介，它的经营是合法的，它的部分员工为提高业务量或提高成功率，可能就会从非法渠道去以购买或收受的方式寻求业主信息；同样的道理，很多业务单位的经营者或从业者可能在这条中枪。

由于此种情形下的非法购买是用于合法经营的，往往只是对信息主体造成骚扰而一般不会有严重损害，所以起刑点比第五条第一款第七项高十倍。

而本条第二款则明文规定“定罪量刑标准适用本解释第五条的规定。”这是因为，第二款的情形下，非法购买来的个人信息不是用于合法经营了。

第七条　单位犯刑法第二百五十三条之一规定之罪的，依照本解释规定的相应自然人犯罪的定罪量刑标准，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。

[张磊律师解读]也就是说，单位也可构成【侵犯公民个人信息罪】，且对单位犯罪实行双罚制：既处罚单位，又惩罚直接负责的主管人员和其他直接责任人员。

注意了，这里对“单位”并无任何限制，行政机关、企业、事业单位等一切有刑事责任能力的“单位”都是本条所指犯罪的适格主体。

所以，提醒业务中需要利用公民个人信息的企业事业单位，一定不要强令员工非法利用公民个人信息；这些单位的员工，也一定不要盲从上司的指令去非法利用公民个人信息。

第八条　设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪处罚；同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。

[张磊律师解读]这里的“通讯群组”的概念范围比较大，所有现代化的主要以网络为表现形式的通讯方式如QQ、微博、微信、飞信等等，都符合这个概念、都可能成为犯罪主体形式；同时，本条所指行为可能出现数罪并罚。

相比之下，第二百八十七条之一规定的【非法利用信息网络罪】比二百五十三条之一规定的【侵犯公民个人信息罪】的法定刑要低。但在数罪并罚时，罪责就更重。

第九条　网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。

[张磊律师解读]这里的“网络服务提供者”是广义的，包括一切提供网络服务的企业事业等主体，可能是传统的网络服务（社交、传媒等），也可能是发展迅速的网络金融、自媒体、各种平台、各种认证单位等。此类单位因提供网络服务而合法获取大量的个人信息，即使自己完全合法使用，也可能成为黑客等非法者或犯罪嫌疑人的攻击对象而泄露公民个人信息。所以，此类单位既要注意合法收集、使用个人信息，又要严格依法依约管理好这些信息，严防信息泄露。

不过，这里有一道“防火墙”：“经监管部门责令采取改正措施而拒不改正”，当监管部门发出指令时，您就要高度重视、及时改正，那就不会触犯刑律了。

第十条　实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。

[张磊律师解读]由于侵犯公民个人信息犯罪的情况十分复杂，规定对初犯者不起诉、免予处罚或从宽处罚，体现了宽严并济的刑事政策。

第十一条　非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。

向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。

对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。

[张磊律师解读]这里非常清晰地规定了犯罪数量的计算方法，标准客观、计量方便、证据易固定。

第十二条　对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。

[张磊律师解读]犯本罪的，都要并处罚金。本条规定了罚金的数额范围、罚金的处罚原则。

第十三条　本解释自2017年6月1日起施行。

[张磊律师解读]规定了施行日，自施行日之后的有关行为，适用本解释。这里包括施行日之后实施的行为、施行日之前实施但在施行日后才进入刑事程序并被刑事处罚的行为。