一、相关法条
《刑法》
第二百五十三条之一：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
第一条：刑法第二百五十三条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
二、权利人对“公民个人信息”的态度是否影响构罪
其一，对于权利人自愿公开甚至主动公开的公民个人信息，行为人获取相关信息后出售、提供的行为，目前不宜以侵犯公民个人信息罪论处。
主要考虑如下：
(1)关于公民个人信息的权利属性，存在不同看法。但一般认为，公民个人信息一定程度上是从隐私权中分离出来的权利。特别是在我国，以往对公民个人信息的界定直接采用了“涉及个人隐私”的表述。《关于加强网络信息保护的决定》中明确规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”《关于依法惩处侵害公民个人信息犯罪活动的通知》也明确规定，公民个人信息包括“能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料”。因此，侵犯公民个人信息罪所保护法益的重要方面应当为隐私和生活安宁。由于行为人自愿公开甚至主动公开相关个人信息，将其获取后并出售或者提供的行为，通常不会对权利人的隐私和生活安宁造成侵犯，不宜适用侵犯公民个人信息罪。特别是，有些情形下行为人希望相关信息传播，如涉及公民个人信息的广告信息，将其认定为犯罪明显违背一般人的认知。
(2)根据刑法第二百五十三条之一的规定，向他人出售或者提供公民个人信息构成侵犯公民个人信息罪，须以违反国家有关规定为前提。为稳妥起见，对于相关情形追究刑事责任，应当进一步审查出售、提供行为是否违反法律、行政法规、部门规章的禁止性规定。根据《解释》第3条第2款的规定，将合法收集的公民个人信息向他人提供的，属于提供公民个人信息，但此种情形是否构成侵犯公民个人信息罪，还需要进一步判断是否违反国家有关规定。对于权利人自愿公开甚至主动公开的公民个人信息，经整理后(未形成新的信息内容)向他人提供的行为，是否可以推定被收集者存在概括同意，从而无须就出售或者提供行为再次获得被收集者同意，实践中存在不同认识。笔者认为，关于公开公民个人信息获取后出售或者提供的行为，是否需要权利人二次授权，目前我国相应的法律法规和部门规章缺乏明确规定。在此背景下，除相关权利人明确要求或者推定要求二次授权的外，宜认为存在概括同意，不宜对收集后出售或者提供的行为要求二次授权，也就不应认为行为人出售或者提供公民个人信息的行为系违反国家有关规定。
(3)当前，我国侵犯公民个人信息违法犯罪泛滥，公民个人信息保护水平整体不高。在此背景下，对侵犯公民个人信息罪的适用应当主要以涉侵犯未公开的公民个人信息案件为重点，切实加大对公民个人信息的保护水平。否则，由于涉出售或者提供公开公民个人信息的案件侦办难度相对较小，公安机关可能以此类案件为打击重点，反而会造成对未公开的公民个人信息刑事保护的不力，长此以往，可能会偏离侵犯公民个人信息罪的立法旨趣和修法精神。
其二，对于行为人非自愿公开或者非主动公开的公民个人信息，行为人获取相关信息后出售、提供的行为，可以根据情况以侵犯公民个人信息罪论处。
实践中，有些公开信息并非权利人自愿公开，如个人信息被他人通过信息网络或者其他途径发布；有些信息并非权利人主动公开，如有关部门为救济、救助或者奖励而公示的公民个人信息；有些信息的扩散并非权利人的意愿，如权利人发现个人信息被收集后主动要求行为人删除。上述情形中，获取相关信息的行为可以认定为合法，但后续的出售或者提供行为明显违背了权利人意愿，对其个人隐私和生活安宁造成侵犯，对其中情节严重的行为完全可以适用侵犯公民个人信息罪予以惩治。
赵海军等侵犯公民个人信息案而言，法院认为，公开的个人信息也可以成为侵犯公民个人信息罪的行为对象。该案中，部分工商企业信息中包含有法定代表人姓名、联系电话等内容，该部分信息可以在国家企业信用信息公示系统中查询，确实已不具有私密性，但是，上述信息相结合完全能够识别到特定自然人，属于公民个人信息。而国家企业信用信息公示系统通过合法渠道收集工商企业信息并进行网络公开，其设立目的是方便民众查询以确认企业信息是否真实有效。可见，权利人同意的内容应该仅限于在该系统公开，而不包括同意其他人收集其信息并提供给他人。因此，行为人可以通过国家企业信用信息公示系统来查询收集相关信息供自己使用，但如果被告人未征得被收集者同意，在未进行匿名处理的情况下提供给他人的，应当认定为非法提供公民个人信息。据此，法院以侵犯公民个人信息罪对被告人赵海军等判处相应刑罚。从个案处理的角度而言，上述论理较为充分细致，但鉴于此类案件具有相当普遍性，未来的公民个人信息保护法和相关法律法规宜对公民个人公开信息的问题作出明确规定，以便于相关案件的处理。
摘自法制天平《侵犯公民个人信息罪司法疑难之案解》
《刑法》
第二百五十三条之一：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》
第一条：刑法第二百五十三条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
二、权利人对“公民个人信息”的态度是否影响构罪
其一，对于权利人自愿公开甚至主动公开的公民个人信息，行为人获取相关信息后出售、提供的行为，目前不宜以侵犯公民个人信息罪论处。
主要考虑如下：
(1)关于公民个人信息的权利属性，存在不同看法。但一般认为，公民个人信息一定程度上是从隐私权中分离出来的权利。特别是在我国，以往对公民个人信息的界定直接采用了“涉及个人隐私”的表述。《关于加强网络信息保护的决定》中明确规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”《关于依法惩处侵害公民个人信息犯罪活动的通知》也明确规定，公民个人信息包括“能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料”。因此，侵犯公民个人信息罪所保护法益的重要方面应当为隐私和生活安宁。由于行为人自愿公开甚至主动公开相关个人信息，将其获取后并出售或者提供的行为，通常不会对权利人的隐私和生活安宁造成侵犯，不宜适用侵犯公民个人信息罪。特别是，有些情形下行为人希望相关信息传播，如涉及公民个人信息的广告信息，将其认定为犯罪明显违背一般人的认知。
(2)根据刑法第二百五十三条之一的规定，向他人出售或者提供公民个人信息构成侵犯公民个人信息罪，须以违反国家有关规定为前提。为稳妥起见，对于相关情形追究刑事责任，应当进一步审查出售、提供行为是否违反法律、行政法规、部门规章的禁止性规定。根据《解释》第3条第2款的规定，将合法收集的公民个人信息向他人提供的，属于提供公民个人信息，但此种情形是否构成侵犯公民个人信息罪，还需要进一步判断是否违反国家有关规定。对于权利人自愿公开甚至主动公开的公民个人信息，经整理后(未形成新的信息内容)向他人提供的行为，是否可以推定被收集者存在概括同意，从而无须就出售或者提供行为再次获得被收集者同意，实践中存在不同认识。笔者认为，关于公开公民个人信息获取后出售或者提供的行为，是否需要权利人二次授权，目前我国相应的法律法规和部门规章缺乏明确规定。在此背景下，除相关权利人明确要求或者推定要求二次授权的外，宜认为存在概括同意，不宜对收集后出售或者提供的行为要求二次授权，也就不应认为行为人出售或者提供公民个人信息的行为系违反国家有关规定。
(3)当前，我国侵犯公民个人信息违法犯罪泛滥，公民个人信息保护水平整体不高。在此背景下，对侵犯公民个人信息罪的适用应当主要以涉侵犯未公开的公民个人信息案件为重点，切实加大对公民个人信息的保护水平。否则，由于涉出售或者提供公开公民个人信息的案件侦办难度相对较小，公安机关可能以此类案件为打击重点，反而会造成对未公开的公民个人信息刑事保护的不力，长此以往，可能会偏离侵犯公民个人信息罪的立法旨趣和修法精神。
其二，对于行为人非自愿公开或者非主动公开的公民个人信息，行为人获取相关信息后出售、提供的行为，可以根据情况以侵犯公民个人信息罪论处。
实践中，有些公开信息并非权利人自愿公开，如个人信息被他人通过信息网络或者其他途径发布；有些信息并非权利人主动公开，如有关部门为救济、救助或者奖励而公示的公民个人信息；有些信息的扩散并非权利人的意愿，如权利人发现个人信息被收集后主动要求行为人删除。上述情形中，获取相关信息的行为可以认定为合法，但后续的出售或者提供行为明显违背了权利人意愿，对其个人隐私和生活安宁造成侵犯，对其中情节严重的行为完全可以适用侵犯公民个人信息罪予以惩治。
赵海军等侵犯公民个人信息案而言，法院认为，公开的个人信息也可以成为侵犯公民个人信息罪的行为对象。该案中，部分工商企业信息中包含有法定代表人姓名、联系电话等内容，该部分信息可以在国家企业信用信息公示系统中查询，确实已不具有私密性，但是，上述信息相结合完全能够识别到特定自然人，属于公民个人信息。而国家企业信用信息公示系统通过合法渠道收集工商企业信息并进行网络公开，其设立目的是方便民众查询以确认企业信息是否真实有效。可见，权利人同意的内容应该仅限于在该系统公开，而不包括同意其他人收集其信息并提供给他人。因此，行为人可以通过国家企业信用信息公示系统来查询收集相关信息供自己使用，但如果被告人未征得被收集者同意，在未进行匿名处理的情况下提供给他人的，应当认定为非法提供公民个人信息。据此，法院以侵犯公民个人信息罪对被告人赵海军等判处相应刑罚。从个案处理的角度而言，上述论理较为充分细致，但鉴于此类案件具有相当普遍性，未来的公民个人信息保护法和相关法律法规宜对公民个人公开信息的问题作出明确规定，以便于相关案件的处理。
摘自法制天平《侵犯公民个人信息罪司法疑难之案解》
