打开网易新闻 查看精彩图片

数字时代，个人信息的流动边界日趋模糊，刑事风险随之向企业合规与个体行为渗透。《刑法》第二百五十三条之一将“情节严重”作为入罪门槛，司法解释则以信息类型与数量构建了三档阶梯式标准。然而，数量的机械累计并不等同于法益侵害的实质成立。对于此种行为，北京市中恒信律师事务所刘震律师根据法律条文规定以及裁判规则，梳理了侵犯公民个人信息罪“从数量入罪到实质排除”的审查逻辑，供大家参考。

入罪门槛以信息分级为基准

本罪的行为方式包括“出售或者提供”与“非法获取”，《解释》第一条将公民个人信息界定为“能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”。在入罪标准上，《解释》第五条根据信息敏感程度设置了三档数量门槛：行踪轨迹信息、通信内容、征信信息、财产信息五十条以上；住宿信息、通信记录、健康生理信息、交易信息等五百条以上；其他普通信息五千条以上。违法所得五千元以上、曾因同类行为受过刑事处罚或二年内受过行政处罚又实施行为的，亦独立构成“情节严重”。这意味着本罪的成立并不以“造成实际损害”为必要，信息类型与数量的规范评价本身即具有入罪机能。

批量信息不等于有效条数

司法实践中，涉案信息动辄数万乃至数十万条，但查获数量与可归责数量之间存在需要实质审查的距离。《解释》第十一条第三款规定，对批量公民个人信息的条数，根据查获的数量直接认定，“但是有证据证明信息不真实或者重复的除外”。这一但书并非形式点缀，而是要求对无效号码、重复记录、脱敏后无法识别特定个人的数据予以剔除。此外，《解释》第六条对“为合法经营活动”而非法购买、收受普通信息的情形设置了更高的入罪门槛，但该从宽规则仅适用于普通信息，不涵盖敏感信息与重要信息，且获利五万元以上仍可独立构罪。合法经营目的不是免责事由，只是入罪门槛的有限调整。

刘震律师曾对侵犯公民个人信息罪的辩护视角，带有鲜明的“指控逻辑反向审查”特征。在刘震律师看来，此类案件的关键争点往往不在于行为人是否接触了信息，而在于进入定罪量刑的数量是否经得起实质检验。批量信息的直接认定规则降低了控方证明负担，但辩护的重心恰恰应当前移：逐项审查信息的可识别性，剔除重复、失效与脱敏数据；对“情节特别严重”所依据的十倍数量或数额，坚持逐档对应而非笼统累计；在涉企案件中，严格甄别“合法经营”抗辩的适用范围，避免将普通信息的经营利用与敏感信息的非法流转混同评价。刘震律师进一步指出，随着信息类型划分日趋精细，主观明知的审查同样不可虚置——行为人是否认识到所涉信息的敏感属性、是否知道下游用途，直接影响不法内涵的轻重。将辩护从“数字比对”推进到“实质识别与主观归责”，既是对罪刑法定原则的贯彻，也是在个人信息刑事治理日趋严密背景下，实现精准辩护的务实路径。