侵犯公民个人信息罪，是大数据时代的高发罪名。做业务的、搞营销的、开发软件的，都可能在不经意间触碰到这条红线——买卖信息、违规收集、批量导出，一旦达到"情节严重"，就面临刑事追诉。本文把这个罪名的定罪标准和辩护要点讲清楚。
一、这个罪名，是什么
侵犯公民个人信息罪，针对的是违反国家有关规定，向他人出售或者提供公民个人信息，以及窃取或者以其他方法非法获取公民个人信息，情节严重的行为。
这个罪名的核心，一在"公民个人信息"的界定，二在"情节严重"的认定。两者都直接影响罪与非罪、罪轻罪重。
二、什么是"公民个人信息"
公民个人信息，指的是能够识别特定自然人身份、或者反映特定自然人活动情况的各种信息，比如姓名、身份证号码、电话号码、住址、行踪轨迹、财产状况等。
需要区分的是：经过匿名化处理、无法识别特定个人的信息，一般不属于本罪保护的范围；而能够直接或间接识别个人身份的信息，都在保护之列。这个边界，直接影响很多案件定性。
三、"情节严重"，怎么认定
"情节严重"是入罪的门槛，实践中通常看信息的数量和类型：
信息的类型。 行踪轨迹、通信内容、征信信息、财产信息等敏感信息的入罪门槛较低；普通信息则要求数量更多。
信息的数量。 出售、提供、获取的信息达到一定条数，就构成情节严重。
违法所得。 通过信息买卖获得的违法所得，也是认定的标准之一。
是否用于犯罪。 信息被用于诈骗、敲诈等犯罪的，性质更重。
四、辩护的着力点
这个罪名的辩护，可以在几处下功夫：
信息是否属于"公民个人信息"。 匿名化信息、无法识别个人的信息，是否被错误计入。
数量认定。 信息的条数怎么算，有没有去重，有没有把无效、重复的信息算入。
情节是否严重。 是否真的达到入罪门槛，违法所得、信息类型、用途是否被准确认定。
用途和后果。 信息的实际用途、造成的后果，是量刑的重要考量。
合规背景。 是否履行了告知、同意等合规义务，是否有合法来源。
五、信息数量怎么算、怎么质证
情节严重与否，很大程度上落在"数量"上。辩护时，信息的条数往往是最值得较真的地方：同一信息是否被重复计入、无效或空号的信息是否被剔除、经过匿名化处理无法识别特定个人的信息是否被错误算入，都直接影响数量认定。
此外，认定数量所依赖的电子数据，其提取、固定是否合法、完整，鉴定意见是否规范，也是质证的重点。电子数据一旦在提取程序上存在瑕疵，其证明力就可能被削弱。
六、企业和个人，怎么避免踩线
对做业务、做营销、做软件的人来说，保护自己其实有章可循：收集个人信息要遵循合法、正当、必要原则，履行告知、同意义务；使用时要限定在约定的目的和范围内；对外提供、出售，必须有合法依据。
员工个人层面，要警惕"顺手导出一批名单""帮客户爬一批数据"这类看似普通的操作，一旦被认定为非法获取或提供，达到情节严重就可能追责。合规意识，是把风险挡在门外的最便宜的一道防线。
七、律师介入后，重点做哪几件事
辩护律师介入后，通常会从四个方向展开：一是会见当事人，厘清信息的来源、用途、流向，判断有无合法依据；二是审查数量认定，对信息的条数、去重情况、电子数据的提取程序进行质证；三是论证信息性质，看是否属于"公民个人信息"，有无匿名化、无法识别个人的情形；四是争取从宽，落实退赃、认罪认罚、初犯偶犯等情节。
其中，电子数据的质证尤为关键。涉案信息往往存储在电脑、服务器、云盘中，提取、固定、鉴定的程序是否合法，直接决定这些"数量证据"能不能用、能用多少。
把这几件事做实，既可能影响罪与非罪，也可能把刑期和罚金往低的方向争取。
常见问题
Q：卖一批客户电话，会构成犯罪吗？
可能。如果属于公民个人信息、达到情节严重标准，就可能构成侵犯公民个人信息罪。
Q：什么是"公民个人信息"？
能识别特定自然人身份或反映其活动情况的信息，如姓名、身份证号、电话、住址、行踪等。
Q：情节严重，怎么认定？
看信息类型、数量、违法所得、是否用于犯罪等，敏感信息门槛更低。
Q：做业务获取客户信息，会踩线吗？
要依法合规收集，履行告知同意义务，避免违规买卖、批量导出个人信息。
Q：公司内部员工违法收集信息，单位会担责吗？
单位犯罪的，单位和直接负责的主管人员、其他直接责任人员都可能被追责。
Q：这个罪名的量刑，大概多重？
情节严重的一般处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
Q：信息被用作诈骗，量刑会加重吗？
会。把公民个人信息用于实施犯罪，或者明知他人用于犯罪仍提供的，性质更重、量刑更严。
本文对侵犯公民个人信息罪的定罪与辩护作一般性介绍，供了解参考，不构成对具体案件的法律意见或结果承诺；个案定性需结合信息类型与情节判断。截至2026年9月4日。
