【内容提要】近年来，“开盒”作为中国新的网暴形式，以非法获取、曝光公民个人信息为起点，叠加造谣、诋毁、“人肉搜索”等行为，将网络戾气蔓延至现实生活，已成为反映强烈的社会痛点。“开盒”作为一种新型网络暴力侵权行为，具有匿名性、及时性和群体性的特征。其频繁侵犯公民个人信息，严重扰乱网络秩序与公民正常生活，甚至引发一系列社会矛盾。“开盒”与侵犯公民个人信息罪的适用存在诸多冲突，入罪边界模糊、司法认定标准不一等问题，给实务办案带来诸多困扰。本文从“开盒”基本行为界定出发，梳理侵犯公民个人信息罪的入罪类型、行为、对象、主观四大边界要素；分析司法机关认定构罪的要点；剖析当前司法实践面临的困境；提出针对性的完善建议，为律师实务办案、司法机关精准定罪量刑提供指引，推动“开盒”的长效治理，切实保护公民个人信息安全。
【关键词】开盒 网络暴力 侵犯公民个人信息罪 入罪边界 司法认定
“开盒”链条复杂，涉及信息获取、泄露、传播、利用等多个环节，其与侵犯公民个人信息罪的适用存在诸多模糊地带，在司法认定过程中面临诸多难点。一是公民个人信息范围界定模糊，公开信息、组合信息是否入刑存在争议；二是合法获取与非法获取、一般信息与敏感信息边界不清；三是“情节严重” 认定标准不统一，数量、传播范围、危害后果适用混乱；四是与寻衅滋事、侮辱诽谤、敲诈勒索等罪名竞合时处理规则不明确。这些问题不仅影响司法机关的办案效率与质量，也给律师开展辩护、代理工作带来诸多困惑，亟须通过系统研究予以解决。
本文采用实务导向的研究思路，立足《中华人民共和国刑法》第二百五十三条之一及相关司法解释，以“开盒”适用侵犯公民个人信息罪的入罪边界与司法认定为核心，先界定相关概念与行为特征，再梳理规范基础，明确入罪边界，分析司法认定要点，剖析实践困境，最终提出完善建议。
一 “开盒”的基本界定
（一）“开盒”核心定义与典型表现
“开盒”一词源于网络社群，最初指“打开他人信息盒子”，后逐渐演变为网络暴力的一种特殊形态，本质上是“人肉搜索”的升级版本。与传统人肉搜索相比，“开盒”行为更依赖技术手段，常借助“社工库”、技术爬取、信息买卖等方式获取信息，且传播范围更广、速度更快，往往在短时间内形成大规模网络暴力，对被害人的侵害更为严重。
“开盒”的典型表现主要包括：1.非法获取公民个人信息；2.网络公开曝光并搭配侮辱、威胁文案；3.引导线上骚扰、线下跟踪、威胁的“线上+线下”双重侵害；4.形成信息买卖、有偿开盒的黑灰产业，形成完整的信息获取—泄露—传播—牟利—胁迫的产业链。
（二）行为特征：网络化、匿名化、低成本、扩散快、危害持续、跨平台
“开盒”作为一种新型网络暴力行为，具有鲜明的自身特征，区别于传统网络暴力与线下侵权行为：1.网络化，“开盒”全程在网络空间完成，依赖互联网平台、网络工具开展，信息的获取、泄露、传播均通过网络实现，脱离网络则无法形成完整的“开盒”行为；2.匿名化，行为人多使用匿名账号、虚拟身份开展“开盒”，部分行为人还通过境外工具、加密软件隐藏自身身份，导致行为主体难以识别，给取证、追责带来困难；3.低成本，随着互联网技术的普及，“开盒”的实施门槛极低，行为人无需具备专业技术，仅需通过简单的网络查询、信息买卖即可获取他人个人信息，实施成本低、难度小，导致此类行为屡禁不止；4.扩散快，网络平台的传播特性使得“开盒”泄露的个人信息能够在短时间内跨区域、跨平台传播，浏览量、转发量快速攀升，短时间内形成大规模网络暴力；5.危害持续，“开盒”泄露的个人信息一旦在网络上传播，便难以彻底删除，会长期存在于网络空间，持续对被害人的生活、名誉造成侵害，即使行为人被追责，信息泄露的危害也难以完全消除；6.跨平台，“开盒”往往不会局限于单一网络平台，行为人会将泄露的个人信息在多个社交平台、群组、论坛等渠道传播，形成跨平台的传播态势，进一步扩大危害范围。
二 “开盒”适用侵犯公民个人信息罪的规范基础
（一）立足《中华人民共和国刑法》第二百五十三条之一及司法解释核心条款
“开盒”的法律规制主要依据《中华人民共和国刑法》第二百五十三条之一【侵犯公民个人信息罪】。该条规定“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”
为进一步明确侵犯公民个人信息罪的适用标准，最高人民法院、最高人民检察院出台了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），对“公民个人信息”的范围、“情节严重”“情节特别严重”的认定标准、非法获取、提供公民个人信息的行为类型等作出了具体规定。《解释》明确了公民个人信息的定义，界定了敏感个人信息与一般个人信息的范围，列举了“情节严重”“情节特别严重”的具体情形，为司法机关认定“开盒”行为是否构罪、如何量刑提供了具体指引，也为律师办理此类案件提供了明确的法律依据。
（二）“违反国家有关规定”其他法律体系
《中华人民共和国刑法》第二百五十三条之一【侵犯公民个人信息罪】构成要件之一“违反国家有关规定”。根据《解释》第二条对《中华人民共和国刑法》第二百五十三条之一的“违反国家有关规定”解释系“违反法律、行政法规、部门规章有关公民个人信息保护的规定的”。结合国家有关规定，主要包括《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律、行政法规，以及相关部门规章，形成针对“开盒”完整的法律体系。因此“开盒”若要构成侵犯公民个人信息罪，必须违反上述国家有关规定。
三 “开盒”适用侵犯公民个人信息罪的入罪边界
“开盒”并非所有涉及个人信息泄露的行为都构成侵犯公民个人信息罪，需结合信息类型、行为性质、行为对象、主观故意等要素，明确入罪边界。
（一）信息类型边界：区分一般信息与敏感信息
信息类型的不同，直接影响侵犯公民个人信息罪的入罪标准与量刑幅度。根据《解释》第五条规定非法获取、出售或者提供一般个人信息五百条以上的，才构成“情节严重”；而非法获取、出售或者提供敏感个人信息五十条以上的，即构成“情节严重”。因此，区别一般个人信息与敏感个人信息，是明确入罪边界的首要前提。
“一般个人信息”是指除敏感个人信息以外的公民个人信息，主要包括姓名、普通联系方式、普通住址、非敏感社交账号等，此类信息的泄露对公民的危害相对较小，因此，其“情节严重”的认定标准更为严格。“敏感个人信息”的范围前文已明确，此类信息一旦泄露，极易对公民的人身财产安全、名誉权等造成严重侵害，因此，刑法对敏感个人信息的保护更为严格。“开盒”行为中，若行为人仅泄露少量一般个人信息，未达到五百条以上，且未造成严重危害后果的，不构成侵犯公民个人信息罪；若泄露的信息中包含敏感个人信息，且达到五十条以上，即使未造成严重危害后果，也可能构成“情节严重”，依法追究刑事责任。
需要注意的是，敏感个人信息与一般个人信息的折算规则，后面将详细赘述。
（二）行为边界：合法获取与非法获取的区分
“开盒”是否构成侵犯公民个人信息罪，关键在于其获取、提供、传播个人信息的行为是否具有合法性，因此，区分合法获取与非法获取，是明确入罪边界的核心要素。
“非法”获取公民个人信息，主要包括窃取、购买、收受、技术爬取、胁迫、诱导等方式，其核心特征是未经公民本人同意，且违反国家有关规定。“开盒”绝大多数信息获取行为都属于非法获取；“合法”获取公民个人信息的行为，主要包括经公民本人同意获取、依法履行职责获取、为维护公共利益获取等情形，此类行为不违反国家有关规定，即使存在信息传播行为，也不构成侵犯公民个人信息罪。需要重点区分的是“合法获取后非法提供”的情形，即行为人合法获取公民个人信息，但未经公民本人同意，擅自将信息泄露、传播或提供给他人实施“开盒”行为。上述行为属于“非法提供”公民个人信息。若达到“情节严重”的标准，仍构成侵犯公民个人信息罪。
（三）对象边界：是否指向“可识别特定自然人”
根据《解释》规定，公民个人信息的核心特征是“可识别性”，即能够单独或者与其他信息结合识别特定自然人。因此，“开盒”所泄露的信息，若无法识别特定自然人，则不属于刑法保护的公民个人信息，不构成侵犯公民个人信息罪，故以下行为应当予以排除：1.排除纯公开信息，已经由公民本人公开或通过合法渠道公开，且无法进一步识别特定自然人的信息；2.排除模糊信息、无法定位个人的信息，即信息过于模糊，无法单独或与其他信息结合识别特定自然人；3.明确组合信息的识别标准，即单一信息可能不具有可识别性，但多个信息拼接后，能够识别特定自然人的，仍属于公民个人信息。“开盒”行为人往往会将多个模糊信息拼接，如将姓名、所在城市、工作单位、兴趣爱好等信息结合，识别出特定自然人，此类组合信息具有可识别性，属于刑法保护的公民个人信息，若非法获取、传播此类组合信息，达到“情节严重”的标准，即构成侵犯公民个人信息罪。
（四）主观边界：故意认定与“明知”规则
侵犯公民个人信息罪的主观方面为故意，包括直接故意与间接故意，过失不构成此罪，因此，明确主观故意的认定标准，尤其是转发、二次传播者的“明知”规则，是明确入罪边界的重要内容。
直接故意是指行为人明知自己的行为会侵犯公民个人信息，并且希望这种结果发生，“开盒”的组织者、信息提供者、主动传播者，通常具有直接故意，其主观目的明确。间接故意是指行为人明知自己的行为可能会侵犯公民个人信息，并且放任这种结果发生，“开盒”的部分传播者、参与者，可能具有间接故意，即明知自己转发、传播的信息是他人非法获取的个人信息，可能会对被害人造成侵害，但仍放任这种结果发生，不加以阻止，此类行为也构成侵犯公民个人信息罪。
需要重点明确的是转发、二次传播者的“明知”推定规则，由于“开盒”的匿名性、传播的快速性，转发者往往以“不知情”“不知道是非法信息”为由抗辩，因此，《解释》明确了“明知”的推定规则，即具有下列情形之一的，应当认定行为人“明知”1.知道或者应当知道他人从事侵犯公民个人信息犯罪活动，仍为其提供帮助、支持；2.收到公民或者有关部门的告知、警告后，仍继续传播非法获取的公民个人信息；3.传播的信息明显具有非法性；4.其他足以认定行为人“明知”的情形。
四 “开盒”构罪的司法认定要点
结合司法实践“开盒”构成侵犯公民个人信息罪的司法认定，核心在“情节严重”的认定、与关联罪名的区分、共犯认定与责任划分三个方面，也是律师办理此类案件的辩护、代理重点。
（一）“情节严重”的认定
“情节严重”是侵犯公民个人信息罪的入罪门槛，根据《解释》第五条规定“情节严重”的认定需综合考量信息数量、传播范围、危害后果、主观恶性四个核心要素，具体认定标准如下：
1.信息数量标准，这是最基础的认定标准，分为一般个人信息与敏感个人信息。非法获取、出售、提供一般个人信息五百条以上、敏感个人信息五十条以上的，即构成“情节严重”；非法获取、出售、提供一般个人信息五千条以上、敏感个人信息五百条以上的，构成“情节特别严重”。需要注意的是，敏感个人信息与一般个人信息的折算规则，一条敏感个人信息折算为十条一般个人信息，例如，行为人非法提供敏感个人信息40条、一般个人信息100条，折算后共计500条，达到“情节严重”的标准。
2.传播范围标准，“开盒”的危害主要通过信息传播体现，因此，传播范围是“情节严重”的重要认定要素。根据司法实践，非法提供、传播公民个人信息，浏览量达到五千次以上、转发量达到五百次以上，或在五百人以上的群组中传播，或通过多个网络平台跨平台传播，影响范围广泛的，可认定为“情节严重”；浏览量达到五万次以上、转发量达到五千次以上，或在五千人以上的群组中传播，或形成大规模网络舆论的，可认定为“情节特别严重”。
3.危害后果标准，“开盒”造成的危害后果，是认定“情节严重”的重要考量因素。根据《解释》规定，造成被害人死亡、重伤、精神失常或者被绑架等严重后果的，属于“情节特别严重”；结合司法实践，“开盒”造成被害人遭受电话骚扰、短信辱骂，影响正常工作、生活，或导致被害人失业、失学，或引发被害人自杀未遂、精神抑郁等后果的，可认定为“情节严重”；造成被害人自杀身亡、人身伤害等严重后果的，认定为“情节特别严重”。
4.主观恶性标准，行为人主观恶性的大小，直接影响“情节严重”的认定与量刑。“开盒”具有牟利目的、报复目的、恶意炒作目的，或属于团伙作案、累犯，或多次实施“开盒”，主观恶性较大的，可认定为“情节严重”；以牟利为目的，非法获利数额较大，或组织、领导“开盒”黑灰产业链，主观恶性极大的，认定为“情节特别严重”。
需要注意的是，“情节严重”的认定需综合上述四个要素，不能单独以某一个要素作为唯一标准。
（二）与关联罪名的区分界限
“开盒”通常不是单一行为，往往伴随寻衅滋事、侮辱、诽谤、敲诈勒索等行为交织，导致实践中容易出现罪名混淆。因此，明确侵犯公民个人信息罪与关联罪名的区分界限，是司法认定的重点，也是律师辩护的核心要点。
1.与寻衅滋事罪的区分，两者的核心区别在于行为目的与行为方式不同。寻衅滋事罪的行为目的是扰乱社会秩序，行为方式主要是随意殴打、追逐、辱骂、恐吓他人，或者在公共场所起哄闹事，造成公共场所秩序严重混乱，核心侵害的法益是社会公共秩序。“开盒”行为人以泄露个人信息为手段，引导网友对被害人进行围堵、骚扰，扰乱社会秩序，情节恶劣的，可能同时构成侵犯公民个人信息罪与寻衅滋事罪；若行为人仅实施“开盒”泄露个人信息，未扰乱社会秩序，则仅构成侵犯公民个人信息罪；若行为人未泄露个人信息，仅对被害人进行辱骂、恐吓，扰乱社会秩序，则构成寻衅滋事罪。
2.与侮辱、诽谤罪的区分，两者的核心区别在于行为内容与侵害法益不同。侮辱、诽谤罪的行为内容是以暴力或者其他方法公然侮辱他人，或者捏造事实诽谤他人，核心侵害的是公民的名誉权、人格尊严。“开盒”行为人在泄露个人信息的同时，搭配侮辱、诽谤性文案，公然侮辱、诽谤被害人，情节严重的，可能同时构成侵犯公民个人信息罪与侮辱、诽谤罪；若行为人仅泄露个人信息，未实施侮辱、诽谤行为，则仅构成侵犯公民个人信息罪；若行为人未泄露个人信息，仅实施侮辱、诽谤行为，则构成侮辱、诽谤罪。
3.与敲诈勒索罪的区分，两者的核心区别在于行为目的与行为方式不同。敲诈勒索罪的行为目的是非法占有他人财物，行为方式是以暴力、胁迫或者其他方法，强行索要他人财物。“开盒”行为人以公开、泄露被害人个人信息相威胁，逼迫被害人交出财物，数额较大的，构成敲诈勒索罪；若行为人仅实施“开盒”泄露个人信息，未索要财物，则构成侵犯公民个人信息罪；若行为人既泄露个人信息，又以泄露更多信息相威胁索要财物，则可能同时构成侵犯公民个人信息罪与敲诈勒索罪，择一重处。
4.竞合处理规则，“开盒”同时构成侵犯公民个人信息罪与其他关联罪名的，属于想象竞合犯，应当择一重处；若行为人实施多个独立行为，分别构成不同罪名的。
（三）共犯认定与责任划分
“开盒”通常涉及多人参与，往往有组织者、信息提供者、传播者、技术支持者，因此，明确共犯的认定标准与责任划分，是司法认定的重要内容，也是律师办理此类案件时区分主从犯、开展辩护的重点。
1.共犯的认定标准，根据刑法规定，共同犯罪是指二人以上共同故意犯罪。“开盒”的共犯认定，需满足三个条件：（1）主体为二人以上；（2）主观上具有共同的故意；（3）客观上实施了共同的犯罪行为。
2.不同参与者的责任划分，结合“开盒”的链条，不同参与者的角色不同，责任也不同，主要分为主犯、从犯：（1）组织者：主要是指发起“开盒”、组织他人实施信息获取、泄露、传播的人员，此类人员在共同犯罪中起主要作用，是主犯，应当按照其组织、指挥的全部犯罪处罚；（2）信息提供者：主要是指非法获取公民个人信息，并提供给组织者、传播者的人员，此类人员在共同犯罪中起主要或次要作用，若积极提供大量信息、多次提供信息，起主要作用，认定为主犯；若被动提供少量信息、起辅助作用，认定为从犯，依法从轻、减轻处罚；（3）传播者：主要是指转发、分享“开盒”信息的人员，此类人员在共同犯罪中多起辅助作用，认定为从犯，依法从轻、减轻处罚；但如果传播者明知是“开盒”信息，仍积极传播、扩大传播范围，造成严重危害后果，起主要作用，可认定为主犯；（4）技术支持者：主要是指为“开盒”提供技术支持的人员，如搭建“社工库”网站、提供技术爬取工具、帮助隐藏身份等，此类人员在共同犯罪中起辅助作用，可认定为从犯，依法从轻、减轻处罚；若技术支持者积极提供核心技术支持，参与组织、策划，起主要作用，可认定为主犯。
3.平台的刑事责任边界，网络平台作为信息传播的载体，若明知平台上存在“开盒”泄露公民个人信息，未采取删除、屏蔽、断开链接等措施，放任信息传播，情节严重的，可能构成侵犯公民个人信息罪的共犯。
五 “开盒”适用侵犯公民个人信息罪司法实践困境与完善建议
（一）司法实践困境
结合当前司法实践，“开盒”适用侵犯公民个人信息罪的认定与处理，仍面临诸多困境，主要体现在以下五个方面：
1.取证难，“开盒”具有匿名化、跨平台、传播快的特征，行为人多使用匿名账号、境外工具开展行为，身份难以识别；同时，“开盒”信息传播范围广、形式多样，电子证据容易被删除、篡改，难以固定、提取，导致司法机关难以收集足够的证据，认定行为人的犯罪事实。
2.定性难，“开盒”与关联罪名的界限模糊，部分“开盒”同时涉及侵犯公民个人信息、寻衅滋事、侮辱、诽谤等多个罪名，竞合情形下的定性难度较大；同时，“公民个人信息”的范围界定、“情节严重”的认定标准，在实践中存在不同理解，导致不同地区、不同案件的定性存在差异，影响司法公正。
3.数量认定难，“开盒”信息数量的统计难度较大，部分信息为组合信息、模糊信息，难以准确区分敏感信息与一般信息，也难以准确统计信息条数；同时，电子证据中的信息条数统计，容易出现重复统计、遗漏统计的问题，影响“情节严重”的认定。
4.跨平台难，“开盒”往往跨多个网络平台传播，不同平台之间的信息不互通，司法机关需要向多个平台调取证据，协调难度大、效率低；同时，部分境外平台不配合司法机关的调查取证工作，导致证据调取困难，影响案件办理。
5.打击偏轻，部分“开盒”虽然构成侵犯公民个人信息罪，但由于取证困难、信息数量难以认定，导致司法机关难以对行为人处以较重的刑罚；同时，部分转发、传播者的“明知”难以认定，导致其未被追究刑事责任，打击力度不足，难以形成有效震慑，导致“开盒”屡禁不止。
（二）完善路径
针对上述司法实践困境，结合律师实务与司法实践经验，提出以下建议，推动“开盒”适用侵犯公民个人信息罪的精准认定与有效打击：
1.统一“开盒”司法认定规则，最高法、最高检可出台专门的司法解释或指导意见，明确“开盒”的定义、“公民个人信息”的范围界定、“情节严重”“情节特别严重”的具体认定标准，明确侵犯公民个人信息罪与关联罪名的区分界限、竞合处理规则，统一司法裁判尺度，解决定性难、认定标准不一的问题，为司法机关办案、律师辩护提供明确指引。
2.明确敏感信息折算与传播量标准，细化敏感个人信息与一般个人信息的折算规则，明确不同类型信息的数量统计方法，避免重复统计、遗漏统计；同时，明确传播范围的认定标准，如浏览量、转发量的统计范围、统计方法，明确跨平台传播的数量合并计算规则，解决数量认定难、传播范围认定难的问题。
3.强化电子证据固定与链上取证，完善电子证据的收集、固定、提取规则，明确网络平台、技术服务提供者的证据保存义务，要求平台对用户发布的信息、操作记录等进行一定期限的保存，便于司法机关调取；同时，加强技术侦查手段的应用，提升链上取证、匿名账号识别的能力，破解取证难、身份识别难的问题，严厉打击境外“开盒”黑灰产。
4.建立刑事、行政、民事协同治理机制，加强司法机关与行政机关、网络平台的协作配合，形成治理合力；对未构成犯罪的“开盒”行为，由行政机关依法给予行政处罚，如罚款、警告、责令整改等；对构成犯罪的，依法追究刑事责任；同时，支持被害人提起民事诉讼，要求行为人承担民事赔偿责任，实现刑事处罚、行政处罚、民事赔偿的有机衔接，全方位打击“开盒”，保护公民个人信息安全。
5.加强宣传引导与平台监管，通过媒体、网络平台等渠道，宣传“开盒”行为的违法性、危害性，强化公众的法律意识，引导公民自觉保护他人个人信息，不参与“开盒”、不传播“开盒”信息；同时，强化网络平台的监管责任，要求平台建立健全信息审核、监测机制，及时发现、删除“开盒”信息，屏蔽相关账号，从源头遏制“开盒”的泛滥。
七 结论
“开盒”作为一种新型网络暴力行为，其链条复杂、危害严重，侵犯公民的个人信息安全、隐私权、人格权等合法权益，扰乱网络秩序与社会稳定。明确“开盒”适用侵犯公民个人信息罪的入罪边界，需从信息类型、行为性质、行为对象、主观故意四个方面进行界定，区分一般信息与敏感信息、合法获取与非法获取、可识别信息与不可识别信息、故意与过失，实现精准入罪。
司法实践中，“开盒”构罪的认定，核心在于“情节严重”的综合认定、与关联罪名的区分、共犯的认定与责任划分，需结合信息数量、传播范围、危害后果、主观恶性等要素，综合考量，准确定性、合理量刑。当前，“开盒”的司法治理仍面临取证难、定性难、数量认定难等困境，需要通过统一司法认定规则、明确认定标准、强化电子取证、建立协同治理机制等方式，不断完善法律规制路径。
本文从律师实务视角，对“开盒”适用侵犯公民个人信息罪的入罪边界与司法认定进行论述，希望能够为律师开展辩护代理工作提供指引。
【参考文献】
【1】邢瑞英编：数据犯罪刑事规制的挑战与出路——以数据法益为中心，微信公众号。
【2】最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017年）。
【3】《中华人民共和国刑法》（2020年修正）。
【4】《中华人民共和国个人信息保护法》（2021年）。
【5】最高人民检察院《检察机关依法惩治网络暴力犯罪典型案例》（2023年）。
【6】张明楷：《刑法学》（第七版），法律出版社2021年版。
【7】王利明：《个人信息保护法解读》，中国人民大学出版社2022年版。
【8】刘宪权：《网络犯罪的刑法规制》，法律出版社2020年版。
热门跟贴