根據刑法第二百五十三條之一的規定，侵犯公民個人信息罪是指違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的行為。2017年“兩高”發布《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》(以下簡稱《個人信息刑事解釋》)，2021年個人信息保護法正式頒布，進一步完善了個人信息保護的法律體系，然而，刑法與前置法對“個人信息”的定義表述不同，為了能夠正確認定侵犯公民個人信息罪，需要對“個人信息”的內涵和外延進行準確的把握。

一、公民個人信息的內涵界定

根據上述司法解釋的規定，刑法第二百五十三條之一規定的“公民個人信息”，是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。根據個人信息保護法第四條規定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。

那么，刑法與前置法對個人信息的定義真的存在差距嗎?筆者認為，二者并不存在本質差異。無論是“擴張說”“限縮說”還是“獨立說”，都混淆了一個前提：個人信息作為一個法律領域和非法律領域皆有的名詞，有通俗的內涵。個人信息表述的內容能夠直接或間接指向特定自然人，反映該自然人在社會中的存在形式，如社會地位、樣貌、財產等。個人信息這一內涵也直接反映在了個人信息保護法和《個人信息刑事解釋》中，表述差距僅僅是立法技術問題。因此，需要修改刑法中的“個人信息”定義本質上是個偽命題。

從個人信息功能來看，《個人信息刑事解釋》是“能夠單獨或者與其他信息結合識別”，強調識別的可能性。個人信息保護法的個人信息是“與已識別或者可識別的自然人有關”。個人信息通過單獨或結合識別，能夠實現特定自然人由可識別狀態向已識別狀態的轉變。對于不可識別信息，即使信息結合，也不可能實現對特定自然人的識別。從法律條文的表述來看，《個人信息刑事解釋》從主體本身及社會活動兩個方面對個人信息進行闡釋，而單純的社會活動之所以能夠識別特定自然人，是與其他信息相結合實現的，最終指向仍然是特定自然人的身份。同時，個人信息保護法中“自然人有關的各種信息”內涵看似廣泛，但自然人有關的各種信息要求能夠“直接或間接指向特定自然人，反映該自然人在社會中的存在形式”，各種信息都要獨立或結合地具備可識別性，最終指向對特定自然人身份的識別。

身份是自然人存在于社會的外示，是包括生物信息在內的所有信息的集合體，具備個體獨特性，無論是個人信息保護法還是《個人信息刑事解釋》中的個人信息，其功能都指向對特定自然人的身份識別。刑法與前置法對個人信息的定義不存在本質差別，而這也進一步說明了只有可識別的個人信息，才有通過刑法保護的必要性。

二、應保持不同法律對個人信息外延限定的獨立性

雖然刑法與前置法對個人信息的定義基本相同，均突出身份的可識別性特點，但是在個人信息的外延上，特別是在個人信息的分類上，又該堅持何種立場呢?

顯然，刑事解釋先行定義個人信息，導致個人信息保護法出臺后，刑法與前置法出現了定義差異。對此，有學者認為，應當以前置法為依據對刑法中的公民個人信息的定義進行擴張或限縮。但是反對的觀點認為，刑法作為后置法，應該保持其獨立性，無需修改個人信息定義。筆者認為，以前置法為依據調整刑法中關于個人信息的定義是不必要的。刑事案件中法官優先適用的應當是刑法，司法解釋作為刑法條文內容的具體詮釋，法官自然可以將其作為裁判依據，在與現行法不沖突的情況下，保持刑法設定標準的獨立性是合理的。

個人信息保護法將個人信息分為了一般個人信息和敏感個人信息。敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。個人信息的司法解釋雖然沒有明確對個人信息進行分類，但根據第五條的規定，刑法保護程度可以從嚴到寬進行排序：首先是行蹤軌跡信息、通信內容、征信信息、財產信息;其次是住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息;最后是前述規定以外的其他公民個人信息。

個人信息保護法對個人信息的分類無法直接適用于刑法。首先，簡單的劃分敏感與非敏感信息難以適應刑法領域的復雜案情。在衡量情節是否嚴重時，通常以行為人非法獲取、出售或者提供的個人信息數量為重要標準。如非法出售個人信息五十條和五千條數量差距巨大，單一標準難以衡量其危害性質，不能做到有效的責任劃分，貫徹罪責刑相適應原則。其次，從文字表述上看，敏感個人信息是遭到泄露或非法使用后，易發生人格尊嚴損害、人身傷害或財產損害的信息，強調信息本身的秘密性和重要性。而侵犯公民個人信息罪位于侵犯公民人身權利、民主權利一章，客觀方面包括非法獲取、出售或提供，強調公民人身、財產安全。兩者側重點不同，雖然都具備保護人身、財產的目的，但依據信息本身性質而非人身、財產相關程度的劃分，不符合罪名設置目的。因此，刑法中的個人信息分類不應當依據前置法，應當考慮刑法本身。

三、應根據刑法屬性對個人信息進行科學的再分類

《個人信息刑事解釋》沒有明確對個人信息進行分類。但根據法律表述，可以推斷出司法解釋想根據影響人身、財產安全的程度對個人信息進行劃分。

但筆者認為，現有分類不夠合理。從犯罪客體上看，刑法第二百五十三條是私自開拆、隱匿、毀棄郵件、電報罪，犯罪客體是通信自由和通信秘密，侵犯公民個人信息罪位于第二百五十三條之一，犯罪客體應當包括信息秘密即隱私權�！秱�人信息刑事解釋》僅以是否可能影響人身、財產安全為劃分標準，既不能合理體現侵犯公民個人信息罪的犯罪客體，也沒有對保護內容進行科學分類。侵犯隱私權并不當然影響人身安全，如單純的通話記錄不會直接影響到人身或財產安全，只會侵犯主體的通信自由和通信秘密，將其歸類在第二保護級并不合理。而住宿信息直接反映了主體的動態行蹤，交易信息反映了主體的財產交易狀況，與人身安全、財產安全緊密聯系，歸類在第二保護級不能實現嚴密保護。在文字表述上，第三保護級的內容包含了第一、二保護級以外的全部個人信息，但第二保護級并未詳盡列舉，導致個人信息的標準十分不明確。因此，要對個人信息進行合理歸類，并通過司法解釋等權威文件進行明文規定，明確分類標準。

根據個人信息與隱私權、人身安全以及財產安全關聯程度不同，本文主張刑法保護程度從嚴到寬的重新排序：①行蹤軌跡信息、住宿信息、通信內容、財產信息等其他直接威脅隱私權、人身或財產安全的公民個人信息;②征信信息、健康生理信息等其他可能影響隱私權、人身或財產安全的公民個人信息;③一般公民個人信息。

個人信息的表現方式及其內容復雜，因此我們無法對個人信息進行窮盡式列舉，也不能固定刑法保護級別。在實踐中，仍然需要根據具體的個人信息比照隱私權、人身或財產安全進行判斷。個人信息與隱私權、人身或財產安全關系越密切，非法獲取、出售或者提供個人信息的行為危害越大，該類個人信息就應當受到更嚴密的保護。如賬號密碼類個人信息，泄露或非法使用會造成財產嚴重損失的，應當歸入第一保護級;若該賬號密碼與財產無關，則屬于一般個人信息。

原文標題：正確認定侵犯公民個人信息罪個人信息

以上內容供參考，刑事法律服務專業性強，請咨詢專業刑事律師事務所，資深刑事律師咨詢電話15695295888。