上海某在读计算机系研究生，从他人手中得到国外邮箱数据账号和密码，在互联网上用微信群的方式对外出售，获利两万多元，结果因非法获取他人信息罪，被法律惩处。

据了解，这名90后男子从2014年开始从他人手中得到国外邮箱数据账号及密码。对被告人获取的100万组邮箱数据进行登入验证发现，共扫描邮箱数据179427组，可以正确登入的条目为65458组。被告人被警方抓获归案，到案后自愿如实供述自己的罪行。

法院认为，被告人违反国家有关规定，向他人出售公民个人信息，情节严重，其行为均触犯了《刑法》二百五十三条之一第三款的规定，构成侵犯公民个人信息罪，应予惩处。被告人到案后能如实供述自己的罪行，自愿认罪，愿意接受处罚，依法可从轻处罚。依照《刑法》判处有期徒刑一年六个月，缓刑二年，并处罚金20000元。依法追缴被告人违法所得24407.50元，予以没收，上缴国库。犯罪工具手机一部、电脑机箱一台、银行卡一张都依法予以没收，上缴国库。

“公民的个人信息属于隐私，不能随意泄露给他人，否则将构成泄露公民个人信息罪，在法律上会受到定罪处罚。“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。”

　　“公民个人信息”的内涵 

　　由于我国目前尚未制定出台个人信息保护法,因而如何确定个人信息的概念和范围，是一个重要问题。公民个人信息，是指公民个人不愿为一般普通社会公众所知，并对公民个人有保护价值的信息。在刑法语境里，非法获取公民个人信息意指侵犯了公民的隐私权，即自然人享有的私人生活安宁与私人信息不被他人非法知悉、搜集、利用和公开的一项人格权。该条文规定的公民个人信息即为任何单位或个人在履行职责或者提供服务过程中获得的公民个人信息。从信息的内容看，其涉及公民的个人隐私权。刑法修正案（九）将犯罪主体扩大到一般主体，而不仅局限于刑法规定的国家机关、金融、电信、交通、医疗等单位的工作人员。

　　笔者认为，公民个人信息应当是“与公民个人密切相关的、其不愿被特定人群以外的其他人群所知悉的信息”。

　　“出售、提供、获取”是否为非法的适用理解 

　　刑法修正案（九）将刑法修正案（七）所规定的“出售、非法提供公民个人信息”中的“非法”予以删除。笔者认为，此举既是一种立法应然的理性价值取向，同时也是一种立法应然的规范取向。事实上，“出售、提供、获取”行为本身即侵犯了公民的个人隐私权，这种行为无论从何种角度来说，都是违背公民之主观愿望而“非法”的。由此，笔者认为，“出售、提供、获取”之“非法”并非指出售、提供、获取手段或者方法行为的性质，而是指行为人的出售、提供、获取行为在本质上就是非法的。不能单纯以获取、出售、提供行为违背法律禁止性规定予以认定，即行为人只要没有出售、提供、获取公民个人信息的法律依据或者资格，也没有得到公民个人的许可，就可能构成犯罪。

　　对于“出售、提供、获取”的方式，目前理论界和实务界关注不多，笔者认为，无论以何种方式出售、提供、获取公民个人信息，只要其超越了公民个人相应授权和许可，即没有出售、提供、获取资格或者根据的人，以窃取或者其他方法出售、提供公共服务提供者在服务过程中收集或者发布公民个人信息的，即可认定为“非法”。易言之，刑法既要制裁公共服务提供者将自己保有的公民个人信息非法出售、提供给他人的行为，又要处罚他人侵犯公共服务提供者对公民个人信息之保有状态的行为。从这个层面上看，出售、提供、获取等方式均为侵犯公民个人信息之行为。公民在接受公共服务时,相关单位也应对其所保存的个人信息予以保密，如擅自获取并出售、提供给他人或单位，只要造成相应的严重后果，也应追究其刑事责任，而能获取公民个人信息之主体，无论其出于何种目的或主观愿望，皆不能擅自通过任何手段、方式获取公民个人信息。

　　“出售”与“提供”之间有何区别与联系 

　　刑法修正案（九）第17条第1款、第2款将出售与提供行为并列表述。有观点认为，所谓的出售，是指以获得对价为目的的提供行为；提供，是指不以获得对价为目的的提供行为，出售与提供两者是并列关系。该观点值得肯定的地方在于其认为出售亦是一种提供行为，但对于提供须具有不以获得对价的目的的看法。笔者认为，该观点值得商榷。

　　从语义上分析，“出售”是指将自己掌握的公民信息卖给他人，自己从中牟利的行为；“提供”是指不应将自己掌握的公民信息提供给他人（包括单位和个人）而予以提供的行为。易言之，提供并非指不以获得对价为目的的提供行为，立法上对其主观目的并无限制；而出售是指以谋取对价后将某物提供给他人，其亦属提供行为的一种。如果认为出售行为比单纯的提供行为具有更为严重的主观恶性及客观危害，则在罪状的表述上应能体现出来。但遗憾的是，不管是刑法修正案（七）抑或刑法修正案（九），从罪状的表述上看，出售与提供行为均为并列关系，两者在达到情节严重后，均可入罪惩治，并无量刑上的差异。如若认为出售与提供行为危害性方面无异，那么出售也是一种提供行为，直接规定提供行为即可。可见，刑法修正案（九）将出售与提供行为进行并列表述的方式有待商榷。

　　关于“情节严重”的理解及适用 

　　对于侵犯公民个人信息罪中“情节严重”的认定，目前尚无司法解释作出规定。笔者认为可依次考虑三个因素：一是只要该信息被用于实施犯罪活动，均可认定为情节严重；二是看是否严重危及公民个人的正常生活，或者给公民个人带来较大经济损失或导致其他后果；三是在无法认定前两者的情况下，根据出售、提供或者获取信息的数量、次数加以确定，其中，在出售的情况下还包括获利金额，在提供、获取的情况下还要考虑手段的恶劣程度或者支付的对价金额，等等。即情节是否严重，可以从出售、提供、获取的公民个人信息的数量、次数、获利金额、手段、持续时间、动机目的、危害后果等多个方面进行综合判定。具体而言，具有以下情形之一的，可以判定为情节严重：

　　1.利用出售、提供、获取的公民个人信息进行违法犯罪活动的。实践中，有些行为人出售、提供、获取公民个人信息是为了拓展公司业务或是个人人脉，有些行为人则是为了进行违法犯罪活动，其主观恶性差异较大。对于为了实施违法犯罪目的而获取、使用公民个人信息的，应当属于情节严重。