周末在家刷手机，刚搜索过“新生儿奶粉”，母婴广告推送便精准“找上门”；刚办完房贷，装修公司电话就追问“是否需要设计服务”……

信息时代，我们的姓名、手机号、住址甚至消费习惯，正以数据形式在网络空间“裸奔”。你是否想过：哪些行为会踩进“侵犯公民个人信息罪”的雷区？普通人不小心泄露信息会被判刑吗？

一、什么是“侵犯公民个人信息罪”？

《刑法》第253条之一规定：违反国家有关规定，向他人出售、提供公民个人信息，或者窃取、以其他方法非法获取公民个人信息的，情节严重的，处三年以下有期徒刑或拘役，并处或单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

简言之，该罪的成立需满足两个核心条件：行为“非法”+“情节严重”。

“非法”的界定：指违反法律、行政法规、部门规章有关公民个人信息保护的规定（如《个人信息保护法》《网络安全法》）。

例如，未经信息主体同意出售其手机号，或企业员工超出授权范围将客户信息导出转卖，均属“非法”。

“情节严重”的门槛：并非所有非法处理信息行为都构成犯罪，需达到《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）规定的量化标准。

二、哪些个人信息受刑法保护？

刑法对“个人信息”保护的范围有严格边界。根据《解释》第1条，“公民个人信息”是指：

能够单独或与其他信息结合识别特定自然人身份或反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

但以下两类信息不受刑法保护：

（一）匿名化信息：经技术处理（如加密、去标识化）后无法识别特定自然人，且不能复原的信息（例如将身份证号处理为“11010119800101****”）。

（二）已合法公开的信息：若信息已通过政府网站、企业公示等合法渠道向社会公开（如上市公司高管任职信息），他人正常收集、使用不构成犯罪（但非法滥用仍可能担责）。

三、入罪门槛：“情节严重”的三大量化标准

根据《解释》第5条，非法处理公民个人信息“情节严重”的具体标准如下，满足其一即可能入罪：

（一）信息数量标准：分三类信息划定红线

信息类型

入罪数量

示例

敏感信息

50条

行踪轨迹、通信内容、征信记录、财产信息（如银行卡号、存款金额）

一般信息

500条

住宿记录、健康生理信息（如病历）、交易信息（如网购订单）

其他普通信息

5000条

姓名+手机号、工作单位等单独或组合可识别身份的基础信息

（二）违法所得标准：盈利目的的“高压线”

即使信息数量未达标，若通过非法处理信息违法所得5000元以上，仍可能入罪。

例如：黑客非法获取300条一般信息（未达500条数量标准），但以2000元出售，因违法所得未达5000元，不构成犯罪；若违法所得6000元，则即使仅获取300条一般信息，仍可能被追责。

（三）特殊情形：出售或提供的信息被“用于犯罪”的，即可入罪

即使信息数量、违法所得均未达标，若出售或者提供行踪轨迹信息，被他人用于犯罪的或者知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的，即可构成侵犯公民个信息罪。

例如：某公司员工将客户行踪轨迹信息出售给绑架团伙，导致被害人被绑架，该员工仍属于“情节严重”。

四、哪些情形不构成侵犯公民个人信息罪？

实践中，许多人对侵犯公民个人信息罪存在误解，不清楚自己的行为属不属于侵犯公民个人信息，通常来说，以下情形通常不构成犯罪：

（一）经信息主体“明确同意”且用途合法

信息主体的“同意”是阻却行为违法性的关键。

根据《个人信息保护法》第13条，若满足：

1.同意是明确、具体的（如签署书面授权书，而非勾选模糊的“同意隐私政策”）；

2.处理信息的用途与同意范围一致（如患者同意医院将病历用于医学研究，但医院擅自出售给保险公司则超范围）；

3.未超出必要限度（如快递员仅需收件人手机号，若额外收集身份证号则可能越界）。

例如，某教育机构为家长提供课程服务，经家长书面同意后收集孩子的姓名、年级、就读学校等信息用于教学管理，即使后续因员工疏忽导致信息泄露，也不构成犯罪。

（二）为合法经营“合理使用”一般信息

企业为开展合法经营（如客户维护、市场推广）可能购买或收受公民信息。

根据《解释》第6条：

为合法经营活动而非法购买、收受其他普通信息（非敏感信息、一般信息），具有下列情形之一的，不构成犯罪：

1.利用非法购买、收受的公民个人信息获利未超过五万元以上的；

2.未‌‌‌‌曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

需注意两点限制：

第一，仅适用于“其他普通信息”（如手机号、住址），若涉及敏感信息（如财产信息），即使是合法经营也不适用；

第二，必须“合法使用”，若将信息转售牟利或用于非法目的（如骚扰电话），仍可能入罪。

五、给普通人的建议：守住“三不”原则

（一）不非法获取：不通过网络爬虫、购买、骗取等方式获取他人信息；

（二）不随意出售：即使持有他人信息（如工作中接触的客户资料），未经授权的情况下不要转卖或无偿提供给他人；

（三）不超范围使用：经同意收集、使用的他人信息，仅用于约定用途，不要擅自扩大使用范围。

结语：个人信息保护，既是权利也是责任

侵犯公民个人信息罪的设立，既是对公民隐私的“保护盾”，也是对数据滥用的“紧箍咒”。对公民的个人信息而言，法律保护的是“合理的信息流动”，而非要求“绝对的信息封闭”。在对于个人信息保护方面，关键是把握“非法+情节严重”的入罪逻辑——并非所有信息泄露都犯罪，但任何非法处理行为都需警惕。