第一条　刑法第二百五十三条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

第二条　违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

第三条　向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。

未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。

第四条　违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

第五条　非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；

（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；

（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；

（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；

（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；

（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；

（七）违法所得五千元以上的；

（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；

（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；

（十）其他情节严重的情形。

实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：

（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；

（二）造成重大经济损失或者恶劣社会影响的；

（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；

（四）其他情节特别严重的情形。

第六条　为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：

（一）利用非法购买、收受的公民个人信息获利五万元以上的；

（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；

（三）其他情节严重的情形。

实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。

第七条　单位犯刑法第二百五十三条之一规定之罪的，依照本解释规定的相应自然人犯罪的定罪量刑标准，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。

第八条　设立用于实施非法获取、出售或者提供公民个人信息违法犯罪活动的网站、通讯群组，情节严重的，应当依照刑法第二百八十七条之一的规定，以非法利用信息网络罪定罪处罚；同时构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。

第九条　网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。

第十条　实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。

第十一条　非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。

向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。

对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。

第十二条　对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。

第十三条　本解释自2017年6月1日起施行。

（一）行为主体

根据最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》，出售、非法提供公民个人信息罪的犯罪主体，除国家机关或金融、电信、交通、教育、医疗单位的工作人员之外，还包括在履行职责或者提供服务过程中获得公民个人信息的商业、房地产业等服务业中其他企事业单位的工作人员。

（二）行为内容

本罪的行为方式主要包括有出售行为和提供行为。在分析两者之前，首先应当明确何为“公民个人信息”。

1、公民个人信息的认定

根据最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》，公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。由于我国目前尚未制定出台个人信息保护法，因而如何确定个人信息的概念和范围是一个重要问题。公民个人信息是指公民个人不愿为一般普通社会公众所知并对公民个人有保护价值的信息。

2、出售行为

“出售”是指将自己掌握的公民信息卖给他人，自己从中牟利的行为。有学者认为:“出售是一种有偿转让行为，行为人具有明确的获利目的，在获利意图支配下，获利较少或者还没有来得及获利的，不影响出售的认定”。

（三）责任形式

本罪的主观是故意，即行为人在获取公民个人信息之后故意进行侵害行为，但是行为人侵害个人信息的目的各不相同，有仅供自己使用的，有为了进行商业推销的，也有为了用于实施其他犯罪活动的。

（一）罪与非罪的认定

非法开拆或者隐匿、毁弃邮件、电报必须达到情节严重，才能构成本罪。如果偶尔开拆他人一次邮件，没有造成严重后果等情节轻微的行为，不宜作犯罪处理。这里所谓的情节严重，依据有关司法解释的精神通常是指以下情形:私拆或者隐匿、毁弃邮件、电报，次数较多或数量较大的；私拆或者隐匿、毁弃邮件、电报，从中窃取财物的；私拆或者隐匿、毁弃邮件、电报，给国家集体利益以及公民合法权益造成严重危害的；私拆或者隐匿、毁弃邮件、电报，造成其他危害后果的。

（二）本罪与侵犯通信自由罪的区别

本罪和侵犯公民通信自由罪在主观方面相同，客观方面的犯罪手段也近似。但是，两者的犯罪构成要件还是有明显区别:

1、主体不同。前者的主体只能是邮电工作人员;后者的主体虽然也可以是利用职务便利开拆或隐匿、毁弃他人信件的邮电工作人员，通常主要是邮电工作人员以外的其他公民。

2、犯罪对象不同。前者的犯罪对象既可以是信件，也可以是电报或其他邮递物资;后者的犯罪对象则只能是信件。

3、客体不同。前者侵犯的客体既包括邮电部门的正常活动和信誉，也包括公民的通讯自由和通讯秘密;后者则仅包括公民权利。（三）情节严重的认定

情节严重是侵犯公民个人信息犯罪的客观构成要件，也是区分罪与非罪的重要标准之一。目前就该问题尚无立法或司法上的解释，从学理解释的角度来看，目前基本达成的共识是：情节严重一般包括出售、非法获取、提供公民个人信息数量较多、获利数额较大以及公民个人信息被非法提供、出售给他人后，给公民造成了经济上的损失，或者严重影响到公民个人正常生活，或者被用于进行违法犯罪活动等情形。

（四）本罪的处罚适用

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

　　柯某侵犯公民个人信息案

——未经同意传播房源信息构成侵犯公民个人信息罪

　　（一）案情介绍

　　公诉机关：上海市金山区人民检察院。

　　被告人：柯某。

　　2016年1月至2017年10月期间，被告人柯某创建及经营管理房利帮网站，主要通过从房产中介人员处有偿获取上海市二手房出租、出售房源信息，或者安排公司员工从微信群、其他网站等获取部分房源信息，对信息的准确性进行核实后，将房源信息以会员套餐方式提供给房利帮网站会员付费查询使用，被告人柯某以此获利。其间，房产中介人员向房利帮网站上传房源信息时未事先取得信息权利人即房东的同意及授权，被告人柯某在获取房源信息时也未对信息的合法性进行审查，并在安排公司员工通过电话向房东核实信息过程中，存在冒充其他中介（包括知名中介）名义进行核实的情况，未如实告知房利帮网站的真实身份及使用信息的方式、目的等并取得房东的同意、授权。至案发，被告人柯某共获取房源信息30余万条，并通过收取会员套餐费方式获利150余万元。

　　（二）裁判要旨

　　以买卖房源信息牟利为目的，在未取得房东授权、同意的情况下非法获取、提供、出售房源信息，侵害了房东的隐私及生活安宁，违反了国家有关规定，应当以侵犯公民个人信息罪追究刑事责任。

裁判结果

　　上海市金山区人民法院经审理认为，本案中，涉案房源信息包含房东联系方式、具体房产地址、门牌号码等信息，且部分房源信息包含房东姓名或姓氏，能够单独或者与其他信息结合识别特定自然人身份，属于公民个人信息。涉案房源信息由房东挂牌至房产中介门店，其仅向特定范围公开，或即使通过公开网站发布，也只公开非重要、敏感信息，且房东公开的目的仅为促成房产交易，因此，房源信息不属于向社会公开的信息。关于被告人柯某的行为是否构成侵犯公民个人信息罪的问题。首先，被告人柯某的行为侵犯了房东的公民个人信息权利。房源信息经房利帮网站发布后，导致房东的房源信息由在特定范围公开转变为向全社会公开，由公开非重要、敏感信息转变为公开全部隐私信息，侵害了房东的隐私及生活安宁，极易被不法分子利用从而造成房东相关人身、财产权益受到侵害。其次，被告人柯某的行为未经房东授权、同意，未尽审查义务。房利帮网站作为网络运营者，应对获取的房源信息合法性进行审查，但其未尽审查义务，并在核实房源信息时冒充其他房产中介身份欺骗房东，在未取得房东授权、同意的情况下将房源信息对外出售。最后，被告人柯某的行为本质上属于非法买卖房源信息牟利行为。房利帮网站并非专业房产中介机构，且获取房源信息并非为了促进房产交易，而系将房源信息作为商品用于出售牟利，与房东发布房源信息的目的相悖。综上，被告人柯某在未取得信息权利人同意及授权的前提下，在网站上公开房源信息，使信息陷入失控及泄露风险，并从中获取巨额违法所得，其行为违反国家规定，侵犯公民个人信息权利，被告人柯某到案后能如实供述自己主要犯罪事实，可以从轻处罚。综合本案犯罪事实、性质、情节及社会危害性，对被告人柯某可适用缓刑。

　　金山区法院根据刑法第二百五十三条之一，第六十七条第三款，第七十二条第一款、第三款，第七十三条，第六十四条之规定，以侵犯公民个人信息罪判处被告人柯某有期徒刑3年，缓刑4年，并处罚金160万元一审判决后，被告人柯某未提出上诉，检察院亦未提出抗诉，判决已发生法律效力。

　　（三）案件评析

　　一、涉案房源信息不属于信息权利人主动、自愿公开的信息，属于限制公开的信息

　　第一，涉案房源信息不属于公开信息。涉案房源信息主要来源于房产中介人员向房利帮网站上传的信息。房产中介人员上传房源信息的主要来源途径包括：从工作中获取的房源信息（从公司系统中查询获取房源信息，公司的房源信息来源包括：房东上门挂牌登记，各业务员将手头房源信息录入，其他同事从其他公司获取等）、从房产中介微信朋友圈（房产中介交流共享房源信息）获取的房源信息、从其他网站搜集房东发布的挂牌信息（没有门牌号码）后通过电话询问具体房源地址从而获取的房源信息。前述房产中介人员向房利帮网站上传的房源信息应不属于房东直接通过公开网站向全社会公开的信息，不属于公开信息。

　　第二，涉案房源信息属于限定公开的信息，其公开性具有一定限制，包括内容的有限性、目的的特定性和公开对象的有限性。本案中，房产中介人员向房利帮网站上传的房源信息，其源头虽主要为房东主动挂牌至房产中介门店，或主动发布到其他房产网站后经房产中介人员询问后获取。对于前者，房东向相关房产中介门店公开了具体房源地址、面积、价格、联系人联系方式等，但房东公开的范围仅是告诉中介人员，并不意味着无限制地向社会公开。对于后者，房东通过网站向社会公开的内容仅为待售、待租房屋所在小区名称、面积、价格、房东姓名或姓氏、联系电话等，并未公开房屋的具体门牌号码。相关房产中介人员通过网上预留的电话号码联系房东询问房源地址，房东只是将该房源信息告诉房产中介人员，并希望该房产中介人员将该房源推荐给意向客户，从而实现房产交易目的，但房产中介人员将该房源信息上传至房利帮网站并获利，显然违背房东意愿。综上，涉案房源信息属于限定公开的房源信息，限于向房产中介人员传播，且房东公开房源信息的目的仅在于促进房屋的出售、出租，而本案中，被告人将房源信息直接作为商品出售，显然是超出房东预期的。

　　二、被告人从房产中介从业人员处收购房源信息、安排话务员冒充其他房产中介名义向房东核实房源信息、将房源信息出售给房产中介的行为均违反国家有关规定，属于非法获取、提供、出售公民个人信息行为

　　第一，房产中介从业人员向房利帮网站上传房源信息时未告知信息权利人（房东）并获得同意，被告人柯某收购、获取房源信息时未进行审查，也未获得房东的同意及授权，属于非法获取行为。被告人柯某主要是从房产中介从业人员处收购获取房源信息，房产中介从业人员将自己工作中掌握的房源信息，或通过房产中介交流微信群、网站等收集、获取的房源信息，在未征得信息权利人同意和授权的情况下，上传到房利帮网站。

　　1.网络安全法第二十二条规定，网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。第四十二条第一款规定，网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。第四十四条规定，任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。第四十七条规定，网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。

　　2.侵权责任法第三十六条规定，网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。网络服务提供者接到通知后未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。

　　3.《信息安全技术公共及商用服务信息系统个人信息保护指南（GB/Z 28828-2012）》（2013年起实施，属国家标准，不属司法解释规定的国家有关规定）5.2收集阶段5.2.2规定，收集前要采用个人信息主体易知悉的方式，向个人信息主体明确告知和警示如下事项：a）处理个人信息的目的；b）个人信息的收集方式和手段、收集的具体内容和留存时限……5.2.3处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息；收集个人敏感信息（包括身份证号码、手机号码、种族、政治观点、宗教信仰、基因、指纹等）时，要得到个人信息主体的明示同意。5.4转移阶段5.4.1不违背收集阶段告知的转移目的，或超出告知的转移范围转移个人信息。

　　4.《个人信息安全技术规范》5.3a）（属国家标准）规定，收集个人信息前，应向个人信息主体明确告知所提供产品或者服务的不同业务功能分别收集个人信息类型，以及收集、使用个人信息的规则（例如收集和使用个人信息的目的、收集的方式和频率、存放地址、存储期限、自身的数据安全能力、对外共享、转让、公开披露的有关情况等），并获得个人信息主体的授权同意（该规定虽然是在2018年5月施行，相对于本案是新法，但该规定应该视为网络安全法等相关法律规定的具体细化操作，规范的规定没有超出网络安全法的基本立法目的，可作本案中评价被告人行为的评价标准）。

　　本案中，被告人柯某获取房产信息的来源均是房产中介而非房东，而这些信息并非是房东自愿向社会公众公开的。如前所述，房源信息属于限定公开的信息，房东向房产中介挂牌交易自有房产，只是希望房源信息在房产中介之间进行传播，即使房东通过网站发布房源信息也会隐去具体门牌号码，并非将具体门牌号码等全部信息向社会公开。房东出于对自己房源信息、个人信息保护的目的，其他社会主体未经其授权，均不能传播、获取其房源信息。房产中介向房利帮网站上传前述房源信息时未告知房东并取得同意，显然违背房东意愿，侵犯其合法权益。对此，被告人柯某作为网站运营者，应当加强对其用户发布信息的管理，其与用户（房产中介）之间的内部协议（辩护人提出房利帮网站与用户有用户协议，要求用户上传的信息符合法律规定）不能对抗法律规定。房利帮网站从房产中介处获取房源信息时应进行审查，对于房产中介上传的未经房东授权的房源信息，其要想合法获取，应当明确告知信息权利人即房东并经过后者的明示同意及再次授权。被告人柯某并没有获取信息权利人的明示同意及再次授权，故其行为属于前述网络安全法第四十四条规定的非法获取个人信息行为。

　　第二，被告人安排话务员核实房源信息的过程应当视为直接收集，应当履行告知义务。被告人在经营过程中，安排话务员电话联系房东核实房源信息准确性（核实房源地址、面积、价格、是否在售、在租等信息），在该过程中未主动告知自己房利帮的身份，存在冒充大型房产中介工作人员与房东核实房源信息的情况。在该过程中，被告人的行为具有两方面违法性：一是未告知房东相关房源信息的真实用途、使用目的、可能产生的风险，因此信息主体对个人信息的删除权、安全保障权等均无法实现。二是以虚假身份获得房源信息，虽然被告人已经从房产中介处获取了包括房源地址、房东电话等在内的信息，但在核实过程中也可能存在之前上传的房源地址错误，后经核实获取准确房源地址信息的情况，属于以欺骗方式获得业主信息。被告人获取公民信息的行为违反了相关法律规定，属于刑法第二百五十三条之一第三款规定的以其他方法非法获取公民个人信息行为。

　　第三，被告人柯某出售公民信息的行为违反了国家有关规定。网络安全法第四十四条规定，任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。本案中，判断出售行为是否合法，有赖于对本案的信息作出以下两个判断：一是判断房源信息是否属于公民自愿向社会公开的信息，二是出售行为是否违背公民的自主意愿。关于是否违背公民意愿问题，（一）被告人将房源信息出售给他人，并没有征得信息所有人也即房主同意。（二）根据公安机关出具的工作情况证实，公安机关在房利帮房源信息中抽取200个信息进行核实，其中仅20名涉案房源信息的房东愿意配合调查。上述20人中有9人表示不同意将自己挂牌的房产信息通过共享、买卖、交换等手段交流出去。对房产信息挂牌之后，是否接到房屋销售、装修材料促销、垃圾广告、短信等而严重影响生活的，除了2人称稍有影响外，其他18人均称影响特别大，已经严重干扰了他们的生活。（三）从房源信息发布的目的来看，将房源信息作为商品出售的做法违背了当事人的意志，当事人公布房源信息的目的仅在于销售房产，而非为房产关联产业提供原始信息资源，被告人的做法固然有促进房产交易的客观作用，但其行为超出信息主体的授权范围，应视为违法行为。（四）被告人销售房源信息违背了信息披露中去标示化的基本要求。信息披露应当以不损害当事人合法权益为原则，被告人是在当事人不知情的情况下牺牲了当事人合法权益而牟取了个人非法利益，该行为明显违背法益保护原则，属于非法出售公民个人信息行为。（五）在信息化建设过程中应注重对个人信息的保护。本案中房源信息的所有者对个人信息已经完全失控，违背了其自身意志，不知晓自己的信息已用于出售，也无法判断信息会流向何处，是否会被用于犯罪活动。对这些潜在的危险性，被告人并不能排除，被告人的行为已经严重侵犯了公民人身、财产安全。

侵犯个人隐私