近年来，在邵律师接触办理的多起侵犯公民个人信息罪案件中，一个颇为明显的变化是：被立案调查的主体，越来越多并非传统意义上以非法获取、买卖信息为主要目的的“黑灰产团队”，而是原本以获客服务、数据运营等为主营业务、形式上处于合规经营状态的公司。
不少涉案企业负责人最初的反应几乎一致：
“行业里大家都这么做，怎么就我们出事了？”
而一线员工的想法如下想法也很常见：
“我只是做技术、做商务，怎么也会被带进去？”
恰恰是从业者存在普遍存在的认知误区，使得助贷、精准营销、大数据服务、房产中介、保险、医疗、通信、教培与招聘、电商与快递物流等行业，成为了侵犯公民个人信息罪的高发区域。
也正因如此，对于相关从业者而言，有必要结合司法实践的真实认定逻辑加以审视。本文将结合实务判例及邵律师亲办的一起无罪案例，对该类案件中“罪与非罪”的关键判断节点及辩护思路作出梳理，以期为行业主体识别风险边界、完善合规措施提供更具操作性的参考。
I 本文作者：邵诗巍律师
1
这些业务场景，正在成为侵犯公民个人信息罪的高发区
从近年已生效判例及我经办案件的行业分布来看，相关风险呈现出前述的一些特定行业中。这些行业有一个共同特征：业务增长高度依赖客户线索获取效率，一旦数据来源审核、授权链条或使用边界控制不严，就容易在业务扩张过程中被评价为“以信息流转作为重要盈利模式”。
下面两起公开案例，具有一定代表性。
1、“大数据行业第一股”数据堂员工侵犯公民个人信息案
数据堂（北京）科技股份有限公司（以下简称“数据堂”）被称为“国内首家大数据交易平台”、“大数据行业第一股”，是大数据行业内的先行者。2016年，其市值一度达21亿元。该案系公安部、最高检察院督办的特大侵犯个人信息专案。
公司将信息搜集、处理、交易后，根据用户兴趣、爱好等分别打上不同标签，之后依据客户需求向其精准营销。检方的起诉书称，“数据堂共向金时公司交付包含公民个人信息的数据60余万条。金时公司共计向客户发送公民个人信息168万余条。”终审法院认为，涉案被告人均构成“侵犯公民个人信息罪”，并处以十个月至四年六个月不等的刑期【(2018)鲁13刑终549号】。
值得注意的是，参与信息处理与流转环节的公司6名员工均被追责。
2、“爬虫涉刑第一案”——摩羯科技
杭州摩羯数据科技有限公司成立于2016年，主营金融大数据SaaS服务。其主要业务模式为：将前端插件嵌入网贷平台，在用户借款时引导其输入通讯运营商、社保、淘宝等网站账号密码，经授权后利用爬虫程序代用户登录并采集个人数据，提供给网贷平台用于资信评估，每笔收费0.1至0.3元。
摩羯科技与用户签订的协议虽承诺“不保存账号密码，仅单次授权采集”，但其实际采用技术手段长期保存用户隐私信息于租用的阿里云服务器。截至案发，服务器中被勘验发现以明文形式非法保存的个人账号密码达2124万余条，其中部分账号密码存在未经授权被二次使用的情况。公司法人及技术人员被判处有期徒刑三年，缓刑四年【(2020)浙0106刑初437号】。
3、从多起判例看：企业通常是如何一步步落入刑事风险的？
结合已判决案例和我本人经办案件的情况来看，相关企业由正常经营到触及刑事风险，其实是在业务在发展过程中逐步产生的。
最初，多数只是为了提高获客效率，引入外部数据；
随后，业务对批量数据形成依赖；
再往后，技术、运营、销售等多环节陆续参与数据处理；
直到某一阶段，整体模式被评价为以信息流转作为重要盈利来源。
很多企业等真正意识到问题时，案件往往已经进入刑事程序。
但个案是否已经达到入罪标准，仍须回到具体涉案信息的属性和证据情况本身来判断，而不能仅凭业务外观或数据规模作出简单结论。
也正因如此，司法实践中，由于对于公民个人信息的定义、归类等争议不断，往往在具体个案中直接导致了罪与非罪、罪轻罪重等不同的司法认定结果。
2
侵犯公民个人信息罪如何判断是否构罪？两个最关键的辩护切入点
根据个案情况，是否构成侵犯公民个人信息罪，绝非是机械统计买卖信息的条数进而简单相加之后予以认定。认定能够对行为人定罪量刑的信息，要看具体到每条信息是否能达到刑法意义上的“公民个人信息”。——这一点，也是本罪名辩护的关键切入点，分为以下2个方面展开说明：
1、信息类型如何归类？不同认定方式可能直接影响是否入罪
司法解释将公民个人信息划分为行踪轨迹信息等敏感信息50条以上、住宿信息等较敏感信息500条以上和除前述以外的一般信息5000条以上的，构成侵犯公民个人信息罪。
最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释
第五条 非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；
（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；
（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；
但实践中，如何针对个案对上述三种信息类型进行精准匹配和归类，不同的办案单位对案件中所涉信息的认定存在较大争议，由此也会导致类案的判决结果大不相同。
例如，在邵律师所办理的某侵公案件当中，行为人出售的是用户的身份证信息（数量不到5000条），办案单位认为，身份证信息中包含户籍地址，户籍地址可视为住宿信息，因此应认定行为人所获取的涉案信息属于较敏感信息，在此归类下，根据法律规定，超过500条即构罪。
但邵律师认为，办案单位对司法解释规定的理解存在偏差，“住宿信息”应当指的是能够精准定位公民当前的居住情况的信息，而户籍信息仅为登记信息，无法用于确认公民当下的实时定位。因此，身份证住址信息在功能上无法与住宿信息相提并论，二者在法律性质与风险程度上存在本质区别。由此主张应按照一般信息需达到5000条以上的标准，最终得到办案单位的认可。
2、公开渠道获取的信息，一定不构成侵犯公民个人信息罪吗？
若涉案信息是能够在互联网上查询到的公开信息，那么行为人是否构罪？关于此点，不同的办案人员对此也存在不同理解。
例如在上海一中院办理的朱某侵公案【(2018)沪01刑终1184号】当中，行为人获取的公民个人信息源自QQ群文件，其使用下载的公开信息用于“饿了么”刷单，被告人认为属于公开信息，且其没有出售，不应构成侵犯公民个人信息罪。但法院认为，不构成侵犯公民个人信息罪。上海市第一中级人民法院审理认为:公民的个人信息受法律保护,互联网上出现的公民个人信息，无论是被动公开，还是主动公开，同样受到法律保护，从而认定朱某构成“提供公民个人信息”，构成犯罪。
但在重庆中院所办理的周某侵公案【(2017)渝05刑终1090号】当中，周某通过QQ在线传输向他人发送及接受文件中，涉及企业法人信息7万余条，但二审法院认为，公开的企业法人信息不应计入侵犯公民个人信息罪中的“信息”范畴。
由此可见，虽然现行法律及司法解释已经对侵犯公民个人信息罪的行为类型和立案标准作出了明确规定，但相关条款本身仍具有一定的框架性。具体到个案层面，不同办案人员对信息属性、数量统计及行为性质的理解，往往存在不小差异，这也直接影响案件在罪与非罪、罪轻与罪重之间的最终走向。
因此，在此类案件中，围绕涉案个人信息的类型认定、数量计算以及证据是否确实充分展开精细审查，往往会成为影响案件结论的关键辩护切入点。
下面这起邵律师办理的案件，正是围绕准确认定刑法意义上的公民个人信息的准确认定而展开，并最终取得了撤案结果。
3
助贷公司涉40万条信息被立案，为什么最终撤案？
某助贷公司被公安指控，以帮人办贷款为由，吸引被害人填写个人信息，涉嫌买卖超40万条公民个人信息，公司全员均被立案调查。
我介入案件时，整体形势已经相当不利：
-
从公司层面看，确实存在向外部渠道批量采购用户信息的情况；
-
从人员笔录看，技术人员笔亦向公安机关明确表示，“公司就是靠买卖数据赚钱的”；
-
从客观证据看，鉴定机构已根据SaaS系统后台统计出高达40万条的信息规模；
-
从类案情况看，经检索的该地区类似案件，绝大多数判处实刑。
从现有证据来看，本案认定构罪几乎不存在争议。当事人也展现出较为悲观的状态，认为本案基本没有辩护空间了。
但在反复阅卷研究证据并和当事人细化梳理公司实际业务流后，我逐渐形成针对本案的辩护思路：
本案看起来是“信息数量巨大”的典型侵公案件，但真正的争议焦点，很可能并不在数量本身，而在于——现有证据能否在刑法意义上成立为“可被评价的公民个人信息”。
换句话说，如果信息属性与可识别程度的认定基础并不稳固，那么单纯的条数累加，并不足以当然得出入罪结论。
基于这一判断，针对本案的辩护突破口，我开始逐步向技术层面的数据形态与处理方式转移。
在与当事人深入沟通后我了解到，公司此前一直投入成本用于数据加密和脱敏处理。但公司管理层本身并不具备技术背景，难以向办案机关清晰说明相关实现逻辑。
也正因为如此，我决定先自行把技术问题彻底搞清楚，再据此与办案机关展开针对性沟通。
之所以必须把技术问题弄明白，是因为本案的辩护突破口，很大程度上取决于检察官能否准确理解该SaaS系统在数据传输与处理环节所采取的加密、脱敏措施。只有在这一技术前提被办案人员充分理解的情况下，再进一步提出对涉案数据重新鉴定、去重，并依法核算符合入罪标准的信息类型与数量，律师意见才有被检察官采纳的可能。
从一般技术架构来看，SaaS系统通常会在数据采集、传输、存储及使用等不同阶段介入防护措施，核心主要体现在两类操作：
一是数据脱敏。即对敏感字段进行变形处理，例如将手机号处理为“138****1234”，在保留数据结构可用性的同时，降低对特定个人的直接识别能力。
二是数据加密。即通过算法将明文转换为密文，原则上仅持有相应密钥的主体方可还原原始信息，主要用于保障数据在传输和存储过程中的机密性。
在具体技术实现层面，常见还包括入库阶段的字段级加密、哈希存储、掩码写入，以及出库阶段的动态掩码、令牌映射、二次加密等处理方式。
在对上述技术路径进行系统了解后，我就相关问题与检察官进行了多轮沟通。随后，检察机关根据律师意见，建议公安机关对涉案数据作进一步补充侦查。
补侦后，果然等到了好消息！由于涉案SaaS系统在数据接收及输出环节均存在加密、脱敏处理，经重新去重和鉴定后，被认定同时包含姓名与手机号的信息数量已不足5000条。
在此基础上，我进一步提出：现有证据尚不足以证明对外提供的数据在可识别程度上已经稳定达到刑法意义上的公民个人信息标准，因而认定构成侵犯公民个人信息罪的证据基础并不充分。
最终，检察机关采纳律师意见，建议公安机关对本案作出撤案，公司全员无罪。
但基于对本案的深入研究，我也发现，并非所有企业所使用的SaaS系统都具备实质性的保护能力。实践中，不少系统仅停留在前端展示层面的“表面脱敏”，而后台仍以明文存储；部分系统缺乏自动删除或二次脱敏机制，合作方仍有机会获取完整信息。在此情形下，相关业务仍可能面临较高刑事风险。所以，也需要在此特别提醒从业人员注意。
4
结语
随着线上获客和数据驱动经营模式的普及，越来越多企业在日常业务中都会接触和处理大量个人信息，这已经成为不少行业的常态。但也正因为如此，相关业务一旦在授权取得、数据来源或使用边界上把握不当，就更容易进入刑事审查视野。
从实务情况看，侵犯公民个人信息罪在具体认定上仍存在一定弹性，不同案件在信息类型、技术处理方式以及证据基础上的差异，往往会直接影响最终结论，不能简单类比判断。
因此，一方面，企业在经营过程中仍有必要把前端合规和系统保护措施做扎实；另一方面，一旦已经被调查或进入刑事程序阶段，更建议尽早结合个案情况寻求专业评估，避免在关键节点上被动应对。
推荐阅读
以警方破获2例虚拟货币买卖个人信息案为视角，看助贷行业能得到哪些启示？
