作者：徐达妃律师、郭梦梦

图（源自“汽车之家”）

▲7月21日，国家互联网信息办公室依据《网络安全法》《数据安全法》《个人信息保护法》《行政处罚法》等法律法规，对滴滴全球股份有限公司处人民币80.26亿元罚款，对滴滴全球股份有限公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。
滴滴公司高额罚款事件再次引发了大众对互联网上公民个人信息“裸奔”的关注，本文旨在通过梳理“公民个人信息”相关法律规范来进一步明确其法律概念，以便于对“侵犯公民个人信息罪”展开辩护或对数据合规实操有更好的现实指导意义。

背景

图/“侵犯公民个人信息罪”时间分布统计

（来自Alpha检索工具，通过关键词“侵犯公民个人信息罪”检索得出）

图/“侵犯公民个人信息罪”地域分布统计

（来自Alpha检索工具，通过关键词“侵犯公民个人信息罪”检索得出）

图/“侵犯公民个人信息罪”行业分布统计

（来自Alpha检索工具，通过关键词“侵犯公民个人信息罪”检索得出）

正文

一、法律汇总

（1）《中华人民共和国网络安全法》

（2）《中华人民共和国民法典》

（3）《中华人民共和国刑法》

（4）《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》

二、相关法律法规检索

三、公民个人信息的分类（主要依据《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条对侵犯公民个人信息罪“情节严重”的规定）
《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条：非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；
（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；
（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；
（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；
（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；
（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；
（七）违法所得五千元以上的；
（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；
（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；
（十）其他情节严重的情形。
上述情节分别为信息类型和数量、违法所得数额、信息用途、主体身份、主观恶性以及兜底条款其他方面所提出的要求。除此之外，上述的中一些情节还可以用作公民个人信息划分的依据。
第一、第二种情节为一类，也即信息用途，它是指将侵犯的公民个人信息用于违法犯罪而非合法经营。
第三、四、五种情形成立的标准，依次由五十条、五百条增加至五千条，标准逐渐降低，而数量要求变化的原因则在于侵犯公民的此三类信息对法益的侵害程度不同，因此对其成立适用不同的标准。
第三种情形中的轨迹信息、通信内容、征信信息、财产信息，又称高度敏感信息。由于此类信息的泄露会给公民人身安全带来更紧迫的危害且大多存在“规范禁止性”的原因，因此法律对其赋予了更为严格的保护。（注：前述“规范禁止性”是指这些信息的获取只能由特定主体通过特定程序才可获取。）鉴于此类情形成立的标准极低且一旦成立法律后果较为严重，故为了坚持罪刑法定与均衡，对这四类信息是严禁进行扩大解释的。对于其中的财产信息，由于解释并未详细规定其具体内涵，因此日常生活中许多包含一定财产含义、反映一定财产情况的信息大多会被认定为财产信息，进而会触犯更严重的法律后果，造成罪刑不均衡的局面。有学者认为，对于财产信息，可以根据案件具体情况把握：既包括银行账户、第三方支付结算账户、证券期贷等金融服务账户的身份认证信息（一组确认用户操作权限的数据，包括账号、口令、密码、数字证书等），也包括存款、房产等财产状况信息。[ 喻海松：《侵犯公民个人信息罪司法解释理解与适用》 ]但对于此处的房产信息，笔者认为应当视情况来进行不同的讨论。
对财产信息的认定应当从本罪的立法目的与精神、法益、社会相当性以及获取方式等角度，适当考虑社会公众的基本常识和通常观念，对财产信息的字面解释予以适当限制。[ 财产信息的规范边界与使用规则——以我国刑法中侵犯公民个人信息罪为例，李嘉程 马聪]根据社会相当性，财产信息应与其他三种同类信息具有同样的性质特点。也即通过财产信息我们应该可以直接准确地得知财产所有人财产的客观、稳定情况，且财产信息的获取方式、程序也有一定的法定要求。因此，他人提供的小区业主姓名、联系方式、住址、户型等一般的房产信息无法成为此处的财产信息，原因在于信息获得者单依靠这些信息并不能直接准确地得知财产的客观、稳定情况，他还需要结合市场上房屋价格去进行一定推算，且同时这些信息的获取主体、方式途径等也缺少法律规定。而财产信息的另一特性、客观稳定性要求则使诸如有关他人基金种类、数量购买等的信息，因反映的财产情况并非是一直客观稳定的而不能被认定为财产信息。
第四种情形中的住宿信息、通信记录、健康生理信息、交易信息，此类信息的泄露给公民人身安全造成的危险要略低于上述高度敏感信息，因此也被称为敏感信息。由于解释对该条的规定较为宽泛且其对法益的危害性较低，故对于此类信息学界一致认同可以进行扩大解释。因此当房屋、车辆出让人向他人泄露买受人的姓名、联系方式、住址、户型、车辆信息等信息时，我们便可将前述信息认定为第四种情形中的交易信息，原因在于上文已论述此处的房屋、车辆信息并非财产信息，且又因为它们是在交易过程中产生的，与交易行为关系更加密切，故我们完全可以将其认定为敏感信息从而加以保护。对于车辆与房屋信息究竟应属于高度敏感信息、敏感信息亦或是一般信息？正如笔者上述提到的，应视不同情况来定。一般情况下，房屋、车辆信息很难成为高度敏感信息，因为其无法满足上述财产信息所提出的资质要求。而对于能否被理解为敏感信息中的交易信息则要看信息的主要来源。笔者个人认为只有来自于交易相对方也即交易主体提供的具体信息才可被认定为交易信息。上文也提到过，车辆、房屋信息可以被认定为交易信息的原因在于其产生和存在载体都是交易过程。而如果信息获取是通过查询或者其他途径，其便和交易关联不大，不宜再将其认定为敏感信息加以更严格的保护。笔者倾向于认为个人名下的车辆、财产则因属于个人所有物而更宜被认定为公民一般信息。
另外，住宿信息与上文的轨迹信息也需要进行一定的区分。单个开房记录应属于敏感信息一类中的住宿信息，而多个可以连点成线的、能够追踪公民个人行踪轨迹的当属于高度敏感信息。
第五种情形中的信息泛指上述信息以外的所有信息，也称一般信息。
第八种情形是主体身份要求，该类信息是指在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的信息。
四、安徽省内近十年涉及侵犯公民个人判决文书检索
笔者浏览了总共367份判决，近十年法院作出的侵犯公民个人信息判决的数量变化较大，2016~2019年逐年增加，2019年数值达到最高，随后逐年减少。
笔者上文提及的解释第一条即对公民个人信息进行了定义，且不同类型属性的公民个人信息所对应的入罪、从重处罚标准也有所不同，因此理清公民个人信息的属性有其必要性。笔者即对安徽省近十年涉及侵犯公民个人信息罪的判决书进行浏览分析，旨在加强对不同信息属性的深入理解。对于存在上述我们提到的分类无法含括但有其独立分类价值的情形笔者额外作了分类，以下即是笔者本人对362份判决中涉及到的公民个人信息进行的总结与分类。

• 工作便利是指履行职责或者提供服务过程中获得的公民个人信息。
• 网络手段是指利用类似网络爬虫等手段获取的公民个人信息。
• 关联犯罪是指被用于违法犯罪活动的公民个人信息。
• 不明确是指判决书中未表明性质属性的公民个人信息。

此外，依据不同信息背后所代表的不同法益，我们也可将具体的公民个人信息分为三类。一是可以区分、识别个体的信息，二是银行存款、个人消费记录等与公民财产对应的个人信息，三则是车辆轨迹、移动轨迹、开房记录等政府管理的个人信息。详细信息以下图展示。

法益一、二、三分别代表上述的第一类、第二类、第三类法益，不明确是指判决书中未明确指出具体的公民个人信息。