侵犯公民个人信息罪：量刑几乎全由「条数」决定

一、法律规定与量刑档次

《刑法》第二百五十三条之一规定：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照前述规定处罚。

「情节严重」与「情节特别严重」的认定，依据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，主要看信息类型与条数、违法所得数额、信息用途和造成的后果。

三类信息之所以区分对待，是因为敏感程度和一旦泄露造成的危害不同。这是辩护中非常重要的抓手——同样的条数，落入哪一类，结论可能完全相反。

二、条数核减：最有效的辩护战场

这类案件的卷宗往往附有成千上万条数据清单，看似铁证如山，但技术上有大量可争空间。

• 是否属于「公民个人信息」：不具有可识别性、无法对应到具体自然人的数据，如脱敏后的统计信息、仅有昵称或虚拟账号而无真实身份关联的记录，不应计入。
• 去重：同一自然人的多条记录是否被重复统计。手机号、身份证号、姓名等不同字段指向同一人的，应当去重计算——这是最常见的核减方向。
• 真实性：数据中是否包含大量空号、错误号码、无效条目、系统生成的占位数据。抽样验证是必要动作。
• 来源合法性：数据从何处提取、由谁提供、提取过程是否规范、有无完整性校验、原始存储介质是否封存。
• 是否已公开：企业公示信息、公开渠道可查询的信息，是否应当排除或降低敏感等级评价。

对每一个数据包都应当单独审查并形成书面异议，不能接受笼统的汇总数字。

三、合法经营用途的抗辩

涉数据类案件中，当事人往往是在正常业务中接触和处理数据，主观恶性与职业「数据贩子」有明显区别，这一点应当充分论证。

第一，用途是否合法。信息用于合法经营、正常业务往来、风险评估、客户服务，还是用于电信诈骗、精准推销、恶意催收等违法活动。用途直接影响处罚力度。

第二，是否取得同意。依据《个人信息保护法》，取得个人同意或符合其他合法性基础的处理行为不构成违法。授权链条、用户协议、授权记录应予核查。

第三，「违反国家有关规定」的认定。本罪要求违反法律、行政法规、部门规章关于公民个人信息保护的规定。行为是否实际违反了相应层级的规范，需要逐条对应。

此外，如果是单位行为、员工执行公司指令、当事人仅系具体操作人员而非决策者，应当围绕单位犯罪与个人责任、主犯从犯关系展开辩护，争取减轻处理。

四、常见问题

重复数据会被重复计算吗？从证据规则上不应当，但实务中需要辩护人主动提出并核对。建议逐数据包审查并提交书面核减意见。

公司让员工整理客户数据，员工会被追究吗？要看具体角色。如果是单位行为、员工按公司指令执行且并非决策者，可以围绕单位犯罪与个人责任、主犯从犯关系辩护。同时要看数据处理是否取得用户同意、用途是否正当。本所办理的刘某某涉嫌侵犯公民个人信息罪一案，即在侦查阶段获得检察院不批准逮捕。