简要案情
2017年7月至9月期间，被告人李某某为骗取“饿了么”等平台的新用户“首单优惠”以及注册游戏账号，通过QQ群下载包含公民姓名、身份证号码等公民个人信息1700多万条，后对部分公民个人信息予以使用。2018年1月30日，被告人李某某在其暂住地被民警抓获。
法院判决
上海市长宁区人民法院经审理认为：被告人李某某犯侵犯公民个人信息罪，判处有期徒刑三年，缓刑五年，并处罚金人民币一万元；作案工具电脑主机一台、手机二部予以没收。
案例评析
1.关于“公民个人信息”的相关界定。2021年11月1日起施行的《中华人民共和国个人信息保护法》第四条明确了“公民个人信息”，是指个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。本案当中，被告人李某某下载的公民个人信息，主要内容为公民姓名、身份证号码和电话号码，均为可识别公民个人身份的认证信息，属于法律保护的公民个人信息范围。
2.关于侵犯公民个人信息的犯罪主体和行为方式。侵犯公民个人信息罪“出售或者提供公民个人信息”有“以违反国家有关规定”为前提，所以必须满足“非法性”的要件。对于在履行职责或者提供服务过程中，将获得的公民个人信息出售或者非法提供给他人，被他人用以实施犯罪，造成被害人人身伤害或者死亡，或者造成重大经济损失、恶劣社会影响的，或者出售、非法提供公民个人信息数量较大，或者违法犯罪所得数额较大的，均应当以侵犯公民个人信息犯罪追究刑事责任。对于窃取或者以购买等方法非法获取公民个人信息数量较大，或者违法所得较大，或者造成其他严重后果的，应当以侵犯公民个人信息罪追究刑事责任。
本案中，被告人李某某通过在QQ群中大量下载他人公民身份信息，数额特别巨大，属于以“其他方法非法获取公民个人信息”，亦可构成此罪。
3.关于“情节严重”和“情节特别严重的认定”。侵犯公民个人信息罪系情节犯，定罪量刑标准为情节严重、情节特别严重。对于这一概括性的定罪量刑情节，2017年5月8日，“两高”发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》），根据司法实践的情况从信息的类型、数量、用途、非法所得额、主体身份等多个角度加以区别考量。
第一，信息类型和信息数量。不同类型的信息对公民的价值和意义是不同的。一般而言，信息保护的重要性和紧迫性越大，成立犯罪的标准就应当越低。因此《解释》对信息进行分类，分别设定了侵犯不同类型信息构成“情节严重”和“情节特别严重”的具体标准。如非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上的，非法获取、出售或者提供该款第3项、第4项规定以外的公民个人信息5000条以上的，均可认定为“情节严重”。而“数量或数额达到前款第三项至第八项规定标准十倍以上的”，为“情节特别严重”。
第二，信息的用途。公民个人信息既可能被用于合法活动，也可能被用于违法犯罪活动，二者的危害程度显然有区别。《解释》对此进行了区别：一是行踪轨迹信息被用于犯罪的，在此情形下，构成“情节严重”并无信息数量上的要求。二是个人信息用于合法经营的，则对于情节严重设立了较高的入罪门槛，即“利用非法购买、收受的公民个人信息获利五万元以上的”或“曾因侵犯公民个人信息受过刑事处罚或者二年内受过等下处罚，又非法购买、收受公民个人信息的”。
第三，主体身份。在犯罪主体方面有两类主体值得特别关注；一是互联网经营机构的人员，由于他们直接从事互联网运行技术方面工作，能够直接接触和获得大量公民个人信息。二是电信、银行、房产中介、医院等有关机构和单位的内部人员，在发行职责或者提供服务过程中，亦可以正当合法获得大量公民个人信息。针对特定主体侵犯公民个人信息，《解释》降低了入罪门槛。依据《解释》第5条第1款第8项规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的，为“情节严重”。降低入罪门槛的理由是，在实际发生的公民个人信息泄露案件中，有不少系内部人员作案或者参与作案，若不就此设置特殊标准，往往难以惩治此类源头行为。
第四，主观要素。依据《解释》第5条第1款第（2）项规定，知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的，构成“情节严重”。“知道或者应当知道”表明的是行为人的主观认识，即“明知”他人利用公民个人信息实施犯罪而向其出售或提供公民个人信息。
本案中被告人李某某获取有效信息为1700余万条，属于情节特别严重。但本案被告人通过QQ群他人上传而获取公民个人信息的行为，与典型的侵犯公民个人信息的行为有所差异。其行为可类似参考2017年8月《最高人民法院、最高人民检察院关于利用网络云盘制作、复制、贩卖、传播淫秽电子信息牟利行为定罪量刑问题的批复》进行处理。该批复规定：“二、对于以牟利为目的，利用网络云盘制作、复制、贩卖、传播淫秽电子信息的行为，在追究刑事责任时，鉴于网络云盘的特点，不应单纯考虑制作、复制、贩卖、传播淫秽电子信息的数量，还应充分考虑传播范围、违法所得、行为人一贯表现以及淫秽电子信息、传播对象是否涉及未成年人等情节，综合评估社会危害性，恰当裁量刑罚，确保罪责刑相适应。”本案中，被告人李某某非法获取公民个人信息达1700余万条，依法构成“情节特别严重”，应当判处三年以上七年以下有期徒刑。但考察其主要行为系从QQ群体下载了他人上传的两个TXT压缩文件包，提取100余条信息用于注册“饿了么”平台用于首单优惠，获得仅为百余元，侵犯公民个人信息造成的实质危害性较小。因此量刑时不应单纯考虑下载的压缩文件中公民个人信息（姓名+身份证号码）数量来定，还应当充分考虑本案中被告人使用其中近100条身份信息实名QQ小号，主要用来个人注册“饿了么”获取首单减免优惠，没有向其他人传播，个人获利有限，本人平时表现良好系初犯等因素综合进行量刑。鉴于其没有减轻处罚情节，法院对其最终决定判处有期徒刑三年，缓刑五年，并处罚金人民币八千元。