侵犯公民个人信息罪的辩护要点｜中豪研究

导言 ：侵犯公民个人信息罪在实践中呈现高发态势。辩护时，可从信息性质认定、数量统计、前置法违反判断、电子数据取证等角度挖掘辩护空间。部分案件在抽离存疑条数或推翻某一构成要件认定后，可能对案件结果产生实质影响。以下从行为模式、量刑标准、案件特点、辩护要点四个维度系统进行梳理。

   1     侵犯公民个人信息罪的常见行为模式

侵犯公民个人信息罪的行为形态取决于行为人获取信息的来源、方式与目的。数据来源——公开渠道抓取、内部系统导出还是黑市购买——直接决定了行为的可责性基础；获取手段的合法性与处理目的的正当性相互叠加，共同塑造了行为的法律定性。

模式一：利用爬虫技术批量抓取

行为特征：行为人通过爬虫脚本，从网站、APP、社交媒体等互联网平台批量抓取公民个人信息（姓名、手机号、身份证号、住址等），用于商业用途或再出售。

典型场景：在大数据风控、精准营销场景中，企业技术人员编写爬虫从公开商业网站、垂直行业平台爬取用户信息，自动化提取并建立数据库，同时对反爬措施进行技术对抗以持续获取数据。

辩护分析：爬虫抓取的辩护空间集中在两个环节。其一，信息来源的公开性——从企业公开工商登记网站、公共招聘平台等合法公开渠道抓取的信息，属于《个人信息保护法》第27条所规定的已公开信息，依据王某案（入库编号2024-18-1-207-003）的裁判要旨，一般不宜以本罪论处。其二，抓取手段的技术性质——正常访问请求型爬虫与破解反爬措施、绕过身份验证等突破型爬虫，主观恶性和法益侵害程度差异明显：前者更接近信息收集中性技术应用，后者违法性更强，辩护中应重点区分。

模式二：行业“内鬼”泄露

行为特征：掌握公民个人信息访问权限的内部工作人员（银行职员、电信运营商员工、快递员、房产中介、医护人员等），利用职务便利私自导出、复制系统中的公民个人信息，向外部人员出售或提供。

典型场景：银行职员利用业务系统权限，批量导出客户姓名、身份证号、银行卡号及交易记录后，出售给催收公司；快递网点员工将每日收件信息以每条0.5至2元的价格出售给数据贩子；房产中介将购房者联系方式整理为“客户资源包”出售。

辩护分析：行业“内鬼”泄露系2026年最高人民法院专门点名的重点打击类型，客观行为认定难度较低，但辩护空间仍存在于以下层面。其一，泄露数量与获利金额的对应关系——控方通常以全量导出记录作为数量依据，辩方可主张区分“单纯导出”与“实际出售”的信息条数：仅导出但未对外提供的信息，其对法益的实际侵害程度与已出售的信息存在显著差异。其二，单位犯罪中的责任分配——若单位未建立有效的数据访问权限管控机制（缺乏操作日志审计、权限拆分、导出审批制度），直接操作人员的主观可责性相应降低。其三，执行岗与管理层的区分——对于仅按上级指令执行数据导出操作的基层员工，其主观恶性远低于组织决策者，应区分主从犯。

模式三：非法买卖与交换

行为特征：行为人以牟利为目的，从上游数据商或黑市渠道批量购买公民个人信息后，向催收公司、营销机构、诈骗团伙等下游主体转售；或以交换方式在不同数据持有者之间流通公民个人信息。

典型场景：行为人在黑市批量购入包含姓名、手机号、身份证号的“一手数据”后，转售获利；不同网贷平台之间通过交换客户数据实现联合风控，实质上构成非法提供；征信行业中的“数据共享联盟”以共同风控为名实施批量信息交换。

辩护分析：买卖型侵犯公民个人信息罪的辩护，核心在于信息性质的判断——并非所有买入并转售的行为均构成犯罪。其一，买家对信息来源的主观认知——若行为人基于市场公开信息、合理价格、正常交易方式购买，对信息的非法来源缺乏认知，主观故意的举证存在薄弱环节。其二，已公开信息的例外——买入后转售的信息若来源于已合法公开的渠道（工商登记信息、公共招聘网站），依据王某案的裁判逻辑，应扣除该部分条数。其三，交换行为的对价认定——以交换方式提供信息的，“违法所得”或“获利”的计算方式在实践中存在争议，交换行为不具备直接的货币对价，应严格限制将其折算为违法所得的认定方式。

模式四：为合法经营活动购买信息

行为特征：行为人以推销产品、拓展客户、市场调研等合法经营为目的，从第三方渠道购买普通公民个人信息用于商业推广。

典型场景：教育培训机构购买潜在客户信息用于电话营销；保险公司代理人购买特定人群的联系方式进行保险产品推广；电商平台为精准推送购买用户画像数据。

辩护分析：法释〔2017〕10号第6条为本模式设置了独立的出罪/减轻路径——为合法经营活动而非法购买、收受普通公民个人信息（即第5条第（三）（四）项以外的信息）的，入罪门槛大幅提高：获利须达到五万元以上（而非一般标准的违法所得五千元），或曾因侵犯公民个人信息受过刑事处罚或二年内受过行政处罚又非法购买收受的。辩护中应重点审查：经营目的是否真实（有无实际经营活动）；涉案信息是否属于普通信息（排除行踪轨迹、通信内容等）；获利金额是否达到五万元门槛。需特别注意：一旦将购买的信息对外出售或提供，即不再适用特殊规则，转而按普通标准定罪。

模式五：以技术手段侵入系统获取

行为特征：行为人通过黑客技术手段——SQL注入、利用系统漏洞、植入木马程序、撞库攻击等——非法侵入他人计算机系统，窃取其中存储的公民个人信息。

典型场景：行为人利用Web应用程序漏洞，通过SQL注入批量提取数据库用户信息；在公共WiFi热点中植入木马程序，截获用户账号密码和身份信息；通过撞库方式（利用已泄露的用户名密码组合在其他网站测试登录）获取新平台用户数据。

辩护分析：技术侵入型获取因手段违法性较为显著，无罪辩护空间较小。但仍有值得关注的维度：其一，罪名竞合的选择——以技术手段侵入系统并获取数据的行为，可能同时触犯非法获取计算机信息系统数据罪（《刑法》第285条第2款）与侵犯公民个人信息罪，二者系法条竞合关系。若涉案信息不符合“公民个人信息”的实质标准，应排除本罪适用。其二，数量统计中应扣除无效数据——通过系统漏洞批量获取的数据中包含大量无效记录（测试账号、空值字段、格式错误信息），应在统计时予以剔除。

   2     侵犯公民个人信息罪的量刑标准

行为模式的识别回答了“行为人做了什么”，量刑标准则界定了“行为人面临多大的法律后果”。以下依据《刑法》规定及司法解释，梳理本罪的量刑框架。

（一）法定刑基本框架

侵犯公民个人信息罪的法律依据由三个层级构成：其一，《刑法》第253条之一规定了本罪的基本构成，区分“情节严重”与“情节特别严重”两档法定刑；其二，同条第4款规定了单位犯罪的双罚制；其三，法释〔2017〕10号对入罪标准作出了具体量化规定。

1.自然人犯罪

法释〔2017〕10号第5条以信息敏感程度为标准，设置三级信息类型对应的入罪数量门槛：

2.单位犯罪

对单位判处罚金，并对直接负责的主管人员和其他直接责任人员依照自然人犯罪的规定处罚。单位犯罪的入罪数量标准与自然人相同，但罚金数额须根据违法所得数额、造成损失的大小等情节综合裁量。

（二）特殊入罪情形

除数量标准以外，法释〔2017〕10号第5条还规定了不以数量为前提的特殊入罪情形：违法所得五千元以上的；将在履行职责或提供服务过程中获取的信息出售或提供给他人的（数量标准减半计算）；曾因侵犯公民个人信息受过刑事处罚或二年内受过行政处罚，又非法获取、出售或提供公民个人信息的；其他情节严重的情形。其中，“履行职责或提供服务过程中获取”条款系专门针对行业“内鬼”的从严规定，数量标准门槛减半，意味着银行职员、快递员等主体在入罪数量上承受更为严格的审查标准。

   3      侵犯公民个人信息罪的案件特点

上述量刑标准的理解与运用，须建立在对案件特点准确把握的基础上。当前侵犯公民个人信息罪案件呈现以下四项显著特点，彼此关联，共同塑造了此类案件的辩护难点。

（一）案件数量高位运行与重点打击领域明确

本罪自《刑法修正案（九）》将主体从“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”扩张至所有主体以来，案件数量持续攀升。2026年5月，最高人民法院专门发布了一批典型案例，明确指出行业“内鬼”泄露和催收行业非法获取信息是两大重点打击领域。与此同时，批量买卖公民个人信息的行为在教育培训、保险代理、房产中介等行业中已形成灰色产业链，执法重点的集中化使特定行业从业者的刑事风险显著上升。

（二）信息性质认定存在刑民交叉的灰色地带

本罪的实务争议之一，在于刑法意义上“公民个人信息”的边界。从《民法典》到《个人信息保护法》，民法体系对个人信息的保护范围呈扩张趋势——“已识别或可识别”的标准几乎覆盖了所有与自然人相关的数据。但刑法以法益侵害为介入条件，对“可识别性”的要求理应更为严格。这种刑民边界的不完全重合，为已公开信息的辩护、匿名化处理的出罪论证等留下了空间。实践中，同一信息在行政执法中被认定为“个人信息”，但在刑事审判中被排除出“公民个人信息”的情形，虽非普遍，但确实存在。

（三）数量认定高度依赖技术手段，控辩力量不对等

信息条数是本罪定罪量刑的核心要素，但其统计依赖电子数据取证、数据库查询、去重算法等技术手段。实践中，侦查机关通常以全量导出记录作为认定依据，被告人受限于技术能力与取证条件，难以对统计方法、去重算法、数据真实性逐一提出有效质疑。法释〔2017〕10号第11条第3款的“批量直接认定”规则进一步加剧了这种不对等——一旦适用该规则，举证责任从控方转移至辩方。技术力量的不对等是此类案件控辩失衡的重要成因。

（四）从信息泄露到下游犯罪的链条效应

侵犯公民个人信息罪往往不是终点，而是电信诈骗、敲诈勒索、非法催收等下游犯罪的起点。这种“信息犯罪—下游犯罪”的链条效应产生两个辩护层面的问题。其一，办案机关可能基于下游犯罪的严重性（如导致被害人自杀、引发群体性事件），在信息犯罪的定罪量刑上从严把握。其二，当涉案信息被用于下游犯罪时，信息提供者可能面临共犯指控——对于信息本身是否被用于犯罪、行为人是否对下游犯罪具有明知，举证责任归属和证明标准在实践中尚存争议。

   4     辩护要点

基于前文对行为模式、量刑标准及案件特点的梳理，以下从无罪辩护、轻罪辩护、数量与数额辩护、证据辩护四个层面展开辩护策略。

（一）无罪辩护

无罪辩护的核心在于攻击控方证据链的两个关键环节：涉案信息是否属于刑法意义上的公民个人信息与行为人是否具备侵犯公民个人信息的主观故意。

1.客观要件的出罪辩护

（1）“可识别性”的实质性审查

法释〔2017〕10号第1条对“公民个人信息”的界定包含识别主体与识别程度的双重要求。辩方应主张对可识别性进行实质性而非形式化的审查——控方仅证明涉案信息在抽象意义上“可能”识别自然人，而未证明其在具体案件中实际发挥了识别功能，即尚未完成对构成要件要素的举证。

具体路径包括：单独的手机号码因存在换号、销号等情形，其关联特定自然人的确定性受制于号码状态与时间维度，须结合其他信息方能实现识别功能；IP地址、设备识别码等间接标识符的识别精度有限，须与其他信息组合使用；匿名化的设备使用日志在脱敏处理后，通常难以精确关联特定自然人。

（2）“已公开个人信息”的出罪

这是本罪辩护中出罪力度较强的切入点。王某侵犯公民个人信息案［入库编号2024-18-1-207-003，苏州市姑苏区法院（2018）苏0508刑初40号］确立了公开信息出罪的裁判规则。该案中，被告人出售、交换的信息合计31万余条，其中21.9万余条为企业法定代表人姓名与手机号码的组合，来源于阿里巴巴、百度、天眼查等公开商业网站。辩护人当庭提出后，被告人随机抽取6条信息向法庭演示了公开查询过程。法院认定相关信息已合法公开，要求行为人的收集、整理、交换行为仍需得到“被收集者同意”的要求过于苛刻且不合理，该21.9万余条信息不应计入犯罪数量，最终仅以剩余的9.2万余条定罪。

辩护中应通过三步论证实现公开信息的出罪：其一，识别信息来源——逐项审查涉案信息的来源，区分“企业公开工商登记信息”“个人自行发布于社交平台的内容”“合法新闻报道中披露的信息”等类型，援引《个人信息保护法》第27条（已公开信息的合理处理规则）及《民法典》第1036条第2项（合理处理已公开信息不承担民事责任）；其二，审查拒绝表示——《个人信息保护法》第27条规定个人对已公开信息的处理享有拒绝权，但拒绝须以明示方式作出，若缺乏此类证据，已公开信息的出罪功能不受影响；其三，评估重大利益侵害——已公开信息的出罪功能在处理行为侵害个人“重大利益”时存在例外，此处的“重大利益”应作严格限定解释，一般性的商业利用不属于“重大利益侵害”范畴。

（3）“违反国家有关规定”的双重审查

《刑法》第253条之一将“违反国家有关规定”作为构成要件的前置要素。法释〔2017〕10号第2条将其解释为“违反法律、行政法规、部门规章有关公民个人信息保护的规定”。辩护中对前置法的审查应把握两点：第一，规范层级限制——地方性法规、行业标准、企业内部规定不具有前置法效力，若控方仅依据此类规范论证“违反国家有关规定”，该论证不应被采纳；第二，内容相关性限制——所违反的规定须是“有关公民个人信息保护的”，而非其他领域的规定。用人单位以违反劳动合同保密条款为由追究员工刑事责任，需进一步查证是否同时违反了《个人信息保护法》等专门规范。

2.主观故意的出罪辩护

侵犯公民个人信息罪系故意犯罪，行为人须对信息性质具有明知——即知道或应当知道其所处理的系公民个人信息。以下两类事实认识错误可阻却本罪故意的成立。

（1）来源认知

行为人是否知晓所涉信息的来源性质——从公开商业网站抓取的信息与从内部数据库窃取的信息，反映了完全不同的主观恶性。前者中，行为人对信息来源的公开性具有合理认知，其主观可责性相应削弱。若行为人确实不知信息来源于非法渠道（如以合理价格从公开市场购入，对上游的非法获取行为不知情），则缺乏本罪故意所要求的认知内容。

（2）性质认知

行为人是否知晓涉案信息属于“公民个人信息”——在部分涉及企业信息的案件中，行为人真诚地认为企业法定代表人的公开联系方式不属于受刑法保护的个人信息。此类认识错误是否构成刑法上的事实认识错误而阻却故意，在个案中值得争辩。

3.目的要素的间接作用

本罪不要求特定目的，但目的确实影响量刑和不起诉裁量。法释〔2017〕10号第10条规定，不属于情节特别严重、系初犯、全部退赃并确有悔罪表现的，可以认定为情节轻微，不起诉或免予刑事处罚。在符合上述条件时，辩方应将“目的正当性”（如为学术研究、安全测试）作为请求从宽处理的重要理由。

（二）轻罪辩护

在无罪证据难以完全推翻指控的情况下，轻罪辩护的核心在于推动信息类型的降格认定、争取“为合法经营活动”的特殊规则适用、区分单位犯罪中的个人责任。

1.信息类型的降格辩护

法释〔2017〕10号第5条根据信息敏感程度设置的三级入罪门槛之间相差十倍——高度敏感信息50条、敏感信息500条、普通信息5000条。在实践中，信息类型的重新认定可能直接改变罪与非罪的判断。

不同类型降格辩护的切入点各有侧重：行踪轨迹信息须达到实时性或准实时性（GPS定位数据、基站实时位置），历史性行程记录、静态通讯地址不属于行踪轨迹；财产信息须反映相对完整的财产状态（银行存款余额、不动产登记信息），单一的交易记录或支付凭证不等同于财产信息；通信内容指信息本身的实质内容（短信正文、微信聊天文字），通信记录（通话时长、联络对象等元信息）属于第（四）项而非第（三）项；征信信息须是征信机构依法采集、整理、保存的反映个人信用状况的信息，企业内部的客户信用评级记录不属于司法解释意义上的征信信息。

2.“为合法经营活动”的特殊规则

法释〔2017〕10号第6条为以合法经营为目的购买普通信息的被告人，设置了独立的出罪/减轻路径——获利须达到五万元以上方构成“情节严重”（而非一般标准的违法所得五千元）。对于为推销产品、拓展客户等商业目的而购买普通信息的被告人，如果获利未达五万元且无前科，一般不能以本罪定罪。

辩护中应重点审查三个要素：经营目的是否真实——有无实际经营活动、营业执照、持续的业务开展；涉案信息是否属于普通信息——排除行踪轨迹、通信内容、征信、财产、住宿等类型；获利金额是否达到五万元门槛——此处的“获利”不等同于“违法所得”，应区分经营利润与信息买卖差价。需注意：一旦将购买的信息对外出售或提供，即不再适用特殊规则，转而按第5条的一般标准定罪量刑，辩方应审慎评估是否存在后续出售或提供行为以准确选择辩护路径。

3.单位犯罪中个人责任的限缩

本罪可成立单位犯罪（《刑法》第253条之一第4款），在涉及公司业务中批量处理数据的案件（大数据公司、营销公司、征信机构），个人责任范围的界定是重要的辩护维度。

辩护路径包括三个层面：其一，职务行为与个人行为的区分——行为是否在单位决策范围内、是否为执行单位指派的任务、是否以单位名义实施、所得利益是否归属单位，若系职务行为，个人的主观可责性相应降低，应优先审查单位是否构成犯罪；其二，“其他直接责任人员”的范围限缩——对于非决策层的技术人员（程序员、数据分析师、运维工程师），单纯按照上级指令执行技术操作，对信息的违法性缺乏认知或认知程度较低的，不应简单纳入追究刑事责任的范围；其三，合规制度的免责价值——若被告人所在单位已建立个人信息保护合规制度，被告人系因制度执行漏洞或上级违规指令而在个案中偏离合规要求，合规制度的存在可作为主观恶性较小、社会危害性有限的量刑情节，在审查起诉阶段推进企业合规不起诉的背景下，这一论证具有特殊的制度说服力。

（三）数量与数额辩护

信息条数是本罪定罪量刑的核心要素，对数量认定的有效质疑是辩护中实效性较强的工作。

1.批量认定规则的适用边界

法释〔2017〕10号第11条第3款规定：“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”该规定在实践中产生了显著的量刑影响——一旦适用“直接认定”规则，举证责任从指控方实质性地转移至辩护方。

辩护中应将举证责任分配作为核心争点。司法解释的用语是“有证据证明”，而非“被告人举证证明”。全案证据——包括侦查机关的提取笔录、鉴定意见、电子数据——已经显现出信息不真实或重复的合理怀疑时，即使被告人未主动提交独立证据，法院也不应径行适用“直接认定”规则。

具体审查要点包括：信息文件本身的格式混乱、字段缺失、数据格式明显异常（手机号码不符合编码规则、身份证号码校验位错误），属于“信息不真实”的客观证据表现；同一信息在多个文件中的重复出现、不同文件中相同联系方式对应不同姓名的矛盾记录，属于“重复”的客观表现。辩方应在阅卷阶段逐一标注此类问题，形成质疑批量认定规则适用的实质依据。

2.重复信息的争议规则

法释〔2017〕10号第11条第1款规定“非法获取公民个人信息后又出售或者提供的，条数不重复计算”，但该规则仅适用于同一行为人的获取与出售行为之间。对于行为人从多个来源获取的同一信息、以及向多个对象出售的同一信息（第11条第2款），现行规则倾向于累计计算。辩方应在此处区分“实质上相同”与“形式上重复”——从不同来源获取的同一主体的信息，若信息内容完全一致，其法益侵害是一次性的，累计计算存在逻辑上的质疑空间。

3.违法所得与获利数额的审查

法释〔2017〕10号第5条将“违法所得五千元以上”作为“情节严重”的认定标准之一，第6条将“获利五万元以上”作为“为合法经营活动”的入罪门槛。辩护中应重点审查违法所得的具体金额认定——应当扣除购买信息的支出成本；应当区分合法经营收入与信息出售/提供的违法所得；以交换方式提供信息的，交换行为不具备直接的货币对价，将其折算为违法所得的认定方式应予严格限制。

（四）证据辩护

证据辩护贯穿于无罪辩护、轻罪辩护、数量辩护的全过程，但作为独立辩护层面，重点在于攻击控方证据链的技术性薄弱环节。

1.电子数据取证的合法性审查

本罪的高度技术性特征决定了电子数据在证据体系中居于核心地位。涉案信息的载体——电脑硬盘、手机存储、云服务器、数据库导出文件等——从提取到鉴定均须遵循电子数据取证规范。侦查机关未能依照《公安机关办理刑事案件电子数据取证规则》的要求扣押封存原始存储介质、未计算哈希值确保数据完整性、远程勘验未取得合法审批手续的，相关电子数据不应作为定案根据。

2.信息数量统计的技术性质疑

鉴定意见和电子数据检查笔录中关于信息条数的统计，在技术层面存在若干可质疑的薄弱环节：数据库导出中的去重算法是否准确排除了重复信息；不同表结构的关联查询是否存在空值误计；是否将非个人信息的系统字段（数据库ID、时间戳等）错误计入个人信息条数。对于这些技术问题，辩方可申请有专门知识的人出庭，就统计方法的科学性提出质疑。

3.“不能复原”的技术论证

法释〔2017〕10号第3条第2款规定，经过处理无法识别特定个人且不能复原的信息提供，不构成本罪。对于主张匿名化处理出罪的案件，需技术层面的辅助论证——所采用的脱敏方法（哈希处理、泛化处理、差分隐私等）在现有技术条件下是否具备“不能复原”的特征。此项论证的专业性较高，建议委托技术专家出具专门意见。

4.信息来源的独立验证

对于主张获取的信息来源于合法公开渠道的案件，可通过公开信息平台的记录、网络存档的快照等方式进行独立验证。这一验证不仅服务于“已公开信息出罪”的辩护论证，也可辅助论证行为人对信息来源合法性的合理认知。

 结  语 

侵犯公民个人信息罪的有效辩护，始于对行为模式的准确识别——是爬虫抓取、内鬼泄露、买卖交换，还是为合法经营购买，直接决定了罪与非罪的争夺方向。量刑标准的把握——三级信息类型的十倍差异、“为合法经营活动”的五万元获利门槛——为轻罪辩护提供了制度性的降档空间。案件特点——信息性质的刑民交叉矛盾、数量认定的技术力量不对等——决定了程序辩护与电子数据审查在整体辩护策略中的重要地位。

本罪与其他经济犯罪的根本区别在于：入罪门槛高度依赖技术性事实的认定——一条信息是否算“公民个人信息”，一个去重算法是否准确，一份电子数据是否应被排除，往往影响全案走向。在这个领域，辩护律师对技术细节的把握能力与对法律条文的理解同样重要。精细化的技术性质证与电子数据审查，应当贯穿于辩护的全过程。就预防而言，企业和个人建立完善的数据合规体系——明确数据来源、规范处理权限、保留操作日志——是降低刑事风险的重要路径。

（作者吃：汤伟佳  李全振）