先给结论：侵犯公民个人信息罪的门槛比多数人想的低。行踪轨迹、通信内容、征信信息、财产信息五十条就够，住宿信息、通信记录、健康生理信息、交易信息五百条，其他信息五千条。此外还有几条不看条数的红线：违法所得五千元以上、信息被他人用于犯罪、二年内因这类行为受过行政处罚再犯。信息在你自己手里，不等于你可以处置。
刑法第二百五十三条之一规定四种行为形态：出售公民个人信息；向他人提供；窃取或者以其他方法非法获取；在履行职责或者提供服务过程中将获得的信息出售或者提供给别人。前三种是基本形态，第四种从重处罚。单位也能构成这个罪，判处罚金的同时，对直接负责的主管人员和其他直接责任人员按个人犯罪处罚。
「公民个人信息」的范围由司法解释界定：以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人身份、或者反映特定自然人活动情况的各种信息。判断标准不是信息看起来重不重要，而是能不能借它认出具体是谁、或者看出这个人在干什么。单独一个手机号通常锁定不到具体个人，姓名加手机号再加住址或单位，往往就锁定了。
这个罪的入罪前提是「情节严重」。司法解释把数量标准按信息敏感程度分成三档，这组数字最该记住。
一是高度敏感信息，五十条。行踪轨迹信息、通信内容、征信信息、财产信息，非法获取、出售或者提供五十条以上，属于情节严重。这四类指向的是人在哪里、和谁说了什么、账户和资产状况，泄露后危害最直接。
二是敏感信息，五百条。住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的信息，标准是五百条以上。
三是一般信息，五千条。不属于前两类的其他个人信息，标准是五千条以上。常见的姓名、手机号、住址、邮箱这类名单落在这个档次。
还有一个容易忽略的规则：数量没有单独达到某一档，但按各类信息的相应比例合计达到了标准的，同样属于情节严重。信息种类杂的案子，这一条往往直接决定是否入罪。
计数规则三条：非法获取后又出售或者提供的，同一条信息不重复计算；向不同对象分别出售、提供的，累计计算；批量信息原则上按查获数量直接认定，除非有证据证明不真实或者重复。
违法所得五千元以上。不问条数。卖一份名单只赚几千块、条数也不多，仍可能构成犯罪。
信息被用于犯罪。出售或者提供行踪轨迹信息，被他人用于犯罪的，不论多少条都构成情节严重。知道或者应当知道他人用来实施犯罪仍然出售、提供的，同样不论条数。
有前科再犯。曾因这个罪受过刑事处罚，或者二年内因这类行为受过行政处罚，又非法获取、出售、提供的，直接认定情节严重。
入罪路径不止一条。办案机关只要有一条成立就可能立案；辩护时每一条都要单独拆开看。
司法解释对「内鬼」型案件有专门规定：将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，认定情节严重的数量、数额标准，按前述标准的一半计算。折算下来是：高度敏感信息二十五条，敏感信息二百五十条，一般信息二千五百条，违法所得二千五百元。
这条覆盖的人群比想象中宽。房产中介、保险代理、教育培训、快递物流、医疗健康、金融信贷、物业管理，从业者因业务需要会接触大量客户信息。离职时带走名单，或者在职期间卖给同行，都可能落到这一条上。关键看信息是不是因履职才拿到的。
配套的还有一条：违反国家有关规定，在履行职责、提供服务过程中收集个人信息的，属于「以其他方法非法获取」。即使信息是客户主动填的、在手上本来合法，超出约定用途去收集、使用，也可能被认定为非法获取。
有一类情形要单独说明：为了合法经营活动，非法购买、收受敏感信息以外的公民个人信息。司法解释对这类情形规定了相对单独的标准：利用这些信息获利五万元以上的，属于情节严重；曾因这个罪受过刑事处罚或者二年内受过行政处罚，又非法购买、收受的，也属于情节严重。
这一条容易被误读成「为了做生意买信息就没事」。实际不是。它只是把门槛从按条数换成按获利算，前置条件仍是「非法购买、收受」，且限定在敏感信息以外。高度敏感信息和敏感信息不适用，直接按前面的数量档处理。
一是离职带走客户名单。销售、中介、课程顾问离岗时拷走客户资料，用于新单位或者自己开公司。可能同时涉及这个罪和侵犯商业秘密，取决于信息性质。
二是同行之间交换名单。两家机构互相「共享」客户资源，双方都可能构成提供和获取。互享不是免责理由，被交换的信息同样计入条数。
三是技术手段抓取数据。用程序批量抓取网站、平台的用户信息。即使抓的是公开页面，只要抓的是能识别到个人的信息且违反规则或未经同意，仍可能被认定为非法获取。
四是把手上信息对外发布。在群里、论坛公布他人姓名、电话、身份证号、住址，包括常说的「开盒」。司法解释明确，通过信息网络或者其他途径发布属于「提供」，对象是不特定多数人同样成立。
五是用合法收集的信息做别的事。未经同意把合法收集的信息提供给他人，属于「提供」。只有经过处理无法识别特定个人且不能复原的才是例外。所以匿名化必须做到位，不是改个字段名就算。
六是购买信息做精准推销。按前面讲的标准处理。经营者常以为这是惯例，实际是刑事风险。
辩护空间多数不在有没有做过，而在怎么定性、怎么计数。
信息属性与条数。涉案信息是不是公民个人信息、属于哪一档；条数怎么算、有没有重复、批量认定有没有依据。同一批数据里可能只有一部分能识别到个人，一部分脱敏、一部分重复。分类不同，数量标准差十倍到一百倍。
获取方式。是不是「违反国家有关规定」。司法解释把违反法律、行政法规、部门规章有关个人信息保护的规定作为认定标准，要落到具体违反了哪一条。
是否情节严重。逐条对照标准，看办案机关援引哪一项、证据是否到位。数量没达到、违法所得没达到、也没有前科和用于犯罪情形的，可能不构成犯罪。
量刑情节。法定刑分两档：情节严重，三年以下有期徒刑或者拘役，并处或者单处罚金；特别严重，三年以上七年以下有期徒刑，并处罚金。罚金一般在违法所得一倍以上五倍以下，违法所得也是罚金基数。
先弄清涉嫌罪名和关押地点。刑事拘留后，除无法通知或者涉嫌危害国家安全犯罪、恐怖活动犯罪通知可能有碍侦查外，公安机关应当在二十四小时以内通知家属。通知书上会写明涉嫌罪名和羁押的看守所。
尽快委托律师会见。这个罪涉及大量电子数据和专业判断，家属在外面很难弄清涉案信息的性质和条数。律师持执业证书、律所证明和委托书要求会见，看守所应当及时安排，至迟不得超过四十八小时。会见能核对涉案信息的来源、数量、用途，这是后面辩护的基础。
整理材料交给律师。包括能说明信息来源的材料、公司的业务流程和授权文件、劳动关系材料。先交给律师判断，不要自行处置。
不要删数据、不要找关系。删除、转移涉案数据可能构成新的违法甚至犯罪，也会被认为有逃避侦查的意图。这类案件的证据本身就是电子数据，删除动作会留下记录。
答：可能构成。购买、收受属于以其他方法非法获取，不需要再卖出去。入罪看的是获取行为加情节严重，条数或者违法所得达到标准就可能立案。
答：要看你做了什么。明知信息来源违规或者用途违法仍然参与整理、提供，可能被认定为责任人员；只是按流程执行、不知情的，要结合职责和证据判断。建议尽早让律师介入，把职责边界厘清。
答：删除不能消除已经发生的获取、提供行为，而且批量信息原则上按查获数量认定，删除可能被视为逃避侦查。正确做法是保留原状并如实说明，由律师判断怎么处理。
答：有可能，但要落在三年以下这一档。判处三年以下有期徒刑或者拘役是适用缓刑的前提，所以情节严重这一档有空间，特别严重这一档原则上不具备。还要看退赃退赔、认罪认罚、有无前科。
本文为法律知识普及，仅供参考，不构成对具体案件的法律意见，也不承诺任何处理结果。个案的事实、证据与情节差异较大，具体处理请委托律师结合案卷判断，具体以办案机关要求为准。
徐海燕律师｜上海德禾翰通律师事务所律师
执业证号：13101202311663264
刑事辩护律师、合伙人、刑案研究院成员。执业以来专注刑事辩护，办理过诈骗、职务侵占、侵犯公民个人信息、非法经营、掩饰隐瞒犯罪所得等经济与网络犯罪案件，熟悉上海地区公检法办案流程与证据审查标准。
电话／微信：13391128318
