作者：郑旭江

【中文关键词】 公民；个人信息；国家有关规定；情节

【摘要】 个人信息所具有的“三性”即法益性、映射性和真实性决定了个人信息的本质和范围；公民概念的坚守源于文义解释的要求，但并不意味着他国公民得不到我国刑法的平等保护，公民个人信息的深入探讨有助于厘清侵犯公民个人信息罪的对象。“违反国家有关规定”和“违反国家规定”存在立法上的区别，基于刑法秩序内外的一致性和协调性，应将“违反国家有关规定”限定于法律、行政法规和国务院部门规章。作为法定犯，侵犯公民个人信息罪必须与前置性法律法规保持协调统一。立法的从重、从严和从快初步构建了规制个人信息犯罪的法律体系，但我们应从危害行为类型、主体身份和前科情况、信息用途和主观不法、危害后果和情节要素的角度认识和坚守罪与非罪的边界。

【全文】

由于愈演愈烈的侵犯公民个人信息和电信诈骗的违法犯罪态势，法律对于个人信息的保护与日俱增，并逐渐构建了保护个人信息的法律体系。2009年的《刑法修正案(七)》(以下简称《刑修七》)首次将公民个人信息纳入刑法保护，在第253条之一规定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪两个新罪名。2015年的《刑法修正案(九)》(以下简称《刑修九》)加大了防治公民个人信息犯罪的力度，将“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”融合为“侵犯公民个人信息罪”；扩大了出售、非法提供公民个人信息罪的主体范围，不再局限于“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”；减低了出售、非法提供公民个人信息罪的入罪要求，将原先的“违反国家规定”修改为“违反国家有关规定”；删减了非法获取公民个人信息罪的犯罪构成要件，去掉了原有的“情节严重”的要求等。2016年的《中华人民共和国网络安全法》在第40—44条集中规定了个人信息的保护制度，比如第44条就规定：“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。”2017年的《中华人民共和国民法总则》在111条规定：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息”。2017年6月1日起，两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)正式施行，涉及公民个人信息的范围，侵犯公民个人信息罪的定罪量刑标准以及侵犯公民个人信息犯罪相关的犯罪竞合、单位犯罪和数量计算等重要问题，并由此引发侵犯公民个人信息罪的热议，值得我们对此开展进一步的探究。

一、侵犯公民个人信息罪的对象问题

(一)个人信息的性质和范围

自侵犯公民个人信息入罪化以来，对于“公民个人信息”概念的争论就未停止过。顾名思义，公民个人信息是指能够识别出公民个人身份和情况的信息，按照类别而言通常包括身份信息、征信信息、财产信息、通信信息、生理信息等。学界对此的争论主要有以下几种观点：1.公民个人信息应指以任何形式存在并与公民个人相关的信息，包括身份信息、财产信息和隐私信息等。2.公民个人信息应指与公民个人直接相关、能够反映公民局部或整体特点并具有法律保护价值的信息，包括反映个人生理、身份、经历、家庭、财务、识别代码等情况的信息。3.公民个人信息应是本人不希望为他人所知晓并存在法律保护价值的信息。[1]在《解释》出台之前，有关公民个人信息范畴的权威解释来自2013年两高和公安部联合发布的《关于依法惩处侵害公民个人信息犯罪活动的通知》，认为侵犯公民个人信息罪的“公民个人信息”是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。”由此，我们可以归纳出个人信息的性质，并在性质的基础上对范围有所限制，而非不加辨别地对所有与个人相关的信息都一视同仁。

首先，个人信息应具有法益性。在立法层面，刑法所保护的利益即法益决定了刑事违法性的规范，如果说《刑修七》对本罪犯罪主体的限制体现了公权主体对公民个人信息的保管义务，那么如今侵犯公民个人信息罪所侵害的是公民个人信息得到合法采集、流通和使用的权利。刑法第253条之一的规定介于“侵犯通信自由罪”和“私自开拆、隐匿、毁弃邮件、电报罪”之后，体现了侵犯公民个人信息罪所保护的法益应是与上述罪名相似的公民人格尊严和个人信息自由。因此，个人信息本身应与人格尊严和信息自由具有一定程度上的同质性和关联性。

其次，个人信息应具有映射性。在数学里，映射是指两个元素的集合之间元素相互“对应”的关系。在个人信息和个人的身份状况或活动情况之间也需要具备一定的映射关系。侵犯公民个人信息罪中的“信息”是指能单独或与其他信息结合后识别特定自然人身份或反映特定自然人活动情况的信息。能够单独识别特定自然人身份的信息当属个人信息无疑，然而如何判断与其他信息结合后能够识别身份的“信息”是否属于个人信息将是司法实践必须面对的问题。在大数据时代的信息环境中，因为信息“记录而有用，而非有用而记录”成为了一种行业常态和发展趋势。通过数据清理、数据集成、数据转换以及数据规约的一系列技术处理，原本与自然人身份或活动情况并不直接相关甚至相距甚远的信息也可以具有一定的识别功能。“应当认为，即便只是个人的非敏感信息，但这些针对特定主体、有明确目的收集的信息，实际上与家庭地址、电话号码等敏感信息具有同样重要的价值。小数据甚至比传统的个人档案还要详细，它从睡眠、饮食、出行、作息等方面事无巨细地记录了一个人，如果用于诈骗、敲诈勒索、绑架、盗窃等犯罪，会带来巨大危害……有针对性和特定性的个性化数据记录完全能够实现从一般数据到个人核心信息的转化。”[2]因此，我们需要在个人信息的识别性上加以进一步阐明，正确理解“结合”的技术应用范畴，理应让个人信息的单独识别和结合识别产生对个人信息范围的解释作用和限制作用。反映特定自然人活动情况的信息包括行踪轨迹、住宅信息、开房信息以及其他具备地理定位属性的信息。在《解释》出台之前，对于行踪轨迹是否属于公民个人信息尚有较大的争论，有学者就认为即使在《刑修九》实行之后，个人的日常行踪等动态情况仍然不能认定为刑法中的公民个人信息，因其不具有公民个人信息的“强识别性”和“法益关联性”。同时，公民个人信息不仅需要具备一定的可识别性，还应根据刑法的谦抑性对其范围进行合理的限缩。[3]但是，由于侵犯公民个人信息犯罪处于高发态势，而且与电信网络诈骗、敲诈勒索、绑架等犯罪呈合流态势，《解释》将反映自然人活动情况的信息也归入“公民个人信息”的范围当中，符合信息时代中对个人关键信息加强保护的未来要求。

最后，个人信息应具有真实性。《解释》根据个人信息的用途、数量和种类等情节要素来认定“情节严重”，但对于信息真实性及其举证责任的分配缺乏足够的说明。现行司法实践中，由于个人信息数量往往巨大，如果逐一认定个人信息是否真实则需要巨大的司法资源，因此司法机关往往对个人信息真实性不予以直接举证证实。但是无论基于“映射性”所内含的真实性要求，还是在窃取、收买、非法提供信用卡信息罪中司法机关对信用卡信息真实性的举证实践，都要求司法机关理应旗帜鲜明地重视个人信息中的真实性问题，对于虚假的个人信息，如符合“虚构事实，隐瞒真相”以谋求非法利益的构成要件，则可以诈骗罪加以处理，否则该予以剔除。

(二)公民的性质和范围

理论界和实务界对于侵犯公民个人信息罪中“个人信息”的性质和范围聚讼不已，但对于“公民”的概念却缺乏足够的重视。对于公民个人信息是否可以包含外国自然人的个人信息是一个值得加以研究的问题。

首先，公民在刑法中的概念与在其他法律中的概念要有所区分。我国最新民法总则在第2章目录采用了“公民(自然人)”这样的表述方式，其第8条第2款规定“本法关于公民的规定，适用于在中华人民共和国领域内的外国人、无国籍人，法律另有规定的除外。”可见，在民法领域，有时候“公民”和“自然人”在立法技术上可等同使用。但在刑法领域，“公民”这一概念显然不同于“自然人”。我国《刑法》7条“属人管辖权”规定：“中华人民共和国公民在中华人民共和国领域外犯本法规定之罪的，适用本法，但是按本法规定的最高刑为三年以下有期徒刑的，可以不予追究”；第8条“保护管辖权”规定：“外国人在中华人民共和国领域外对中华人民共和国国家或者公民犯罪，而按本法规定的最低刑为三年以上有期徒刑的，可以适用本法，但是按照犯罪地的法律不受处罚的除外。”可见，在我国刑法规范中，公民、外国人和自然人不会在具体语境中混为一谈。

其次，作为公法上的概念，公民是指具有一个国家国籍并享有其全部权利和承担其全部义务的自然人。有研究者认为，出于平等保护个人信息的需求和维护外国人在华的权益，我们理应借鉴“公民”概念在民法中的使用方式，宜把“公民”扩张解释为“自然人”，认为既可节约立法成本，也不会伤害民众预期。[4]但是，在公法上，“公民”具有自身显著的特定含义。我国宪法第33条规定，具有中华人民共和国国籍的自然人才是所谓的“公民”。我国刑法第376条“战时拒绝、逃避服役罪”规定，公民战时拒绝、逃避服役，情节严重的，处二年以下有期徒刑或者拘役。同时，民法总则也明确指出“法律另有规定的除外。”因此，将刑法中的“公民”扩张解释为“自然人”将会明显突破“公民”的核心语义范围，不符合刑法文义解释的基本原理。

最后，公民个人信息可以通过其他方式解释为包含外国自然人的个人信息。侵犯公民个人信息的行为并不会专门指向本国公民，我们并没有理由在司法个案中对本国公民和他国公民的个人信息进行区别对待，“所以在个人信息的保护上，对受到不法侵犯的中国公民或外国人，都应当给予其平等保护，不主张有例外。”[5]具体来说，我国刑法第253条并没有前缀去限定侵犯公民个人信息罪中的“公民”属于哪个国家的公民，因此，我们无需通过所谓的“扩张解释”来强行突破“公民”的特定含义，而是要充分挖掘刑法规范本身的弹性来应对实践中法益保护的需求。从长远来看，侵犯公民个人信息罪中的“公民”在以后法律规范的“立改删”中应加以阐明。

二、侵犯公民个人信息罪的前置性法律法规

侵犯公民个人信息罪是典型的法定犯，其所具备的二次违法性决定了对侵犯公民个人信息罪的界定有赖于前置性法律法规的相关规定。我国目前尚未建立公民个人信息保护法，也并没有对“个人信息”进行统一的法律表述。可以说，对于个人信息的刑法保护冲在了防治公民个人信息违法犯罪的前线，在保障法冲锋陷阵而前置法却相对延迟的情形下形成了对个人信息法律保护的“倒逼”状态。因此，我国刑法第253条中“违反国家有关规定”的解读就显得尤为重要。

首先，我们应该明确“违反国家有关规定”和“违反国家规定”的区别。我国《刑法》96条规定：“本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。”进一步来说，“国家规定”的发布主体限于人大及其常委会与国务院，具有国家中央层次的立法权限。而“违反国家有关规定”的表述在刑法中尚是首次出现，它与“国家规定”的区别到底在何处？从立法角度看，“违反……规定”的表述是立法技术在刑法规范中的运用，意味着该罪状属于需要参照其他前置性法律法规的空白罪状，罪状所涉的犯罪属于法定犯。从文义解释来看，将“规定”变为“有关规定”意味着两者基本含义的不同。刑法规范涉及公民的财产、自由乃至生命，一字之差甚至一个标点符号也理应严肃对待。我们有理由确信，无论是基于立法者的不同表述还是客观理解分则条文的表达方式，“国家规定”和“国家有关规定”在概念上确实存在显而易见的区别。

其次，“国家有关规定”的外延应该追求刑法秩序内的一致性。我国刑法在总则部分规定了“国家规定”的概念，又在分则部分第253条规定了“国家有关规定”。尽管刑法总则和分则分别具有各自的特点，但是基于同一个法律系统内秩序的一致性，我们在阐释和应用分则个罪中的“国家有关规定”时理应尽可能参照总则中“国家规定”的内涵和外延，以保持法律系统内的协调统一。有学者认为，在加入“有关”两字后，所有和我国相关的法律都可视为本罪的前置性法规，因此其范围应当扩大至包括地方性法规、部门规章和地方政府规章。至于其最终是否能认定为刑法中的“国家有关规定”，还应当取决于规章的法律效力。[6]但是，如果将“国家有关规定”的范围扩大至如此范围，则意味着司法裁判者在解决具体个案时要首先查明纷繁复杂的地方性法规、部门规章和地方政府规章。在潜藏的巨大司法成本之外，裁判者还要应对地方性法规、部门规章和地方政府规章之间的相互脱节、抵牾甚至矛盾。而且基于侵犯公民个人信息犯罪的跨地域性，不同地区不同层级的地方性法规和地方政府规章该如何协调也将是一个难题。反过来思考，如果我们可以遵从法秩序的一致性，参照“国家规定”来解读“国家有关规定”的外延，就可以有效解决上述的问题。《解释》第2条规定：违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。在这里，法律和行政法规与“国家规定”中的外延重合，但是如何理解增加的“部门规章”也将会存在一定的争议。在立法上，行政法规是指国务院制定颁布的规范性文件，其法律地位和效力仅次于宪法和法律；而部门规章是由国务院的组成部门和直属机构在它们的职权范围内制定的规范性文件，行政规章要服从宪法、法律和行政法规，并与地方性法规同级。为了避免“政出多门”而无所适从，也基于“国家规定”的参照提示作用，我们理应将部门规章作限制解释和狭义理解，排除同级地方性法规、广义部门规章中的地方行政规章。

最后，“国家有关规定”需要保持刑法秩序外的协调性。由于法律的滞后性和我国刑法应对的主动性，我们往往在缺乏相应前置性法律法规的时候就探索新兴领域的刑法治理，因而导致相关概念没有达成共识，刑法和其他法律法规缺乏应有的协调性。以“个人信息”的概念变迁为例，2005年6月16日中国人民银行发布实施的《个人信用信息基础数据库管理暂行办法》4条对公民个人信用信息作了明确：“本办法所称个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息”，“前款所称个人基本信息是指自然人身份识别信息、职业和居住地址等信息；个人信贷交易信息是指商业银行提供的自然人在个人贷款、贷记卡、准贷记卡、担保等信用活动中形成的交易记录；反映个人信用状况的其他信息是指除信贷交易信息之外的反映个人信用状况的相关信息。”2012年12月28日《全国人民代表大会常务委员会关于加强网络信息保护的决定》规定了公民个人电子信息，第1条第1款规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”上述规定虽然不是直接针对刑法第253条之一规定的“公民个人信息”，但为准确把握“公民个人信息”提供了参考的基础。2013年4月23日，两高和公安部联合发布的《关于依法惩处侵害公民个人信息犯罪活动的通知》2条规定：“公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料”，明确了公民个人信息主要包括能否识别公民个人身份的信息和涉及公民个人隐私的信息两大类。2013年6月28日，我国工业和信息化部审议通过的《电信和互联网用户个人信息保护规定》4条规定：“本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。”2016年11月7日通过的《网络安全法》在附则76条首次对“个人信息”进行了定义，认为“个人信息是指以电子或其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不仅限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”从公民个人信用信息到公民个人电子信息，从用户个人信息到公民个人信息再到个人信息，我们可以发现个人信息的内涵一直处于不断的调试当中。侵犯公民个人信息罪中的“个人信息”在形式上不再局限于电子信息，在范围上增加了反映特定自然人活动情况的信息，在本质上强调了信息和人之间的映射性。而在具体解释“国家有关规定”时，我们的目光更要往返于刑法规范和前置性法律法规之间，注重两者之间的协调均衡。

三、侵犯公民个人信息罪的“情节”

情节犯作为我国刑法中特有的一种犯罪类型，因其立法表述上的“开放性”和“模糊性”，尤其需要刑法学界对其内涵和意蕴进行深入的解读，在解读刑法分则个罪中的“情节”时理应采取类型化的思维进行总结和应用。侵犯公民个人信息罪的情节要素可以概括为以下6类，分别对应“情节严重”和“情节特别严重”的不同情形。

(一)信息种类和数量

《解释》规定了不同个人信息种类和相应的信息数量所构成的情节程度。个人信息种类在一定程度上反映了危害行为所侵害或威胁的法益的大小，个人信息的数量也表征着危害行为的社会危害性程度的高低。在个人信息种类上，主要有行踪轨迹信息、通信内容、征信信息、财产信息、住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息；在信息数量上，主要存在“五十条以上”、“五百条以上”、“五千条以上”、“相应标准一半以上”、“相应标准10倍以上”的入罪标准，以体现罪责刑相适应的刑法原则。此外，《解释》规定“数量未达到第三项至第五项规定标准，但是按照相应比例合计达到有关数量标准的”，也将达到“情节严重”的程度。在这里，如何理解“相应比例”需要更进一步的明确。司法实践中，在涉及同一罪名下不同类型犯罪的数额计算时，往往按照入罪的数额标准按照一定比例进行折算与合计。就如信用卡诈骗罪中恶意透支型信用卡诈骗罪计算数额的方式一样，侵犯公民个人信息罪中，如果犯罪嫌疑人非法获取、出售或提供不同类型个人信息时未达到规定的数量标准，则可以不同类型个人信息所对应的50∶500∶5000的标准进行相应的折算。

(二)危害行为类型

《解释》在不同的条款列举了不同的行为类型，编织了严密的法网以涵盖现实中出现的各种情形。1.非法获取公民个人信息。“非法获取公民个人信息”存在两种情形，一种是行为人违反国家有关规定，购买、收受、交换公民个人信息；另外一种是在履行职责、提供服务过程中非法收集。2.非法出售公民个人信息。未经过个人信息被收集者同意，以一定的对价方式与他人进行个人信息的交易，应当认定为非法出售公民个人信息。3.非法提供公民个人信息。对于非法搜集的公民个人信息，《解释》规定：“向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第253条之一规定的‘提供公民个人信息’。”由此，“人肉搜索”的行为就属于行为人未经权利人同意即将其身份、照片、姓名、生活细节等个人信息公布于众的“非法提供公民个人信息”的行为，可以承担相应的刑事责任。对于合法搜集的公民个人信息，《解释》规定：“未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的‘提供公民个人信息’，但是经过处理无法识别特定个人且不能复原的除外。”其中，如何认定“无法识别特定个人且不能复原”，需要确立一定的技术标准和行业准则，比如引入虚拟匿名化信息采集技术来代替原先的匿名信息采集技术，[7]否则将很有可能阻滞信息的自由流通和高效运用。4.为“合法经营活动”而非法购买、收受公民个人信息。实践中企业公司为从事广告推销等经营活动而非法购买、收受公民个人信息的情形较为普遍，为贯彻体现宽严相济刑事政策，《解释》第6条专门规定为合法经营活动而非法购买、收受敏感信息以外的公民个人信息，具有下列情形之一的，应当认定为“情节严重”：1.获利5万元以上的；2.有此罪前科的；3.其他情节严重的情形。

(三)主体身份和前科状况

《解释》考虑到了行为人的职业身份所赋予的义务和以往经历所反映的人身危险性，明确规定“将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人”的，认定“情节严重”的数量、数额标准减半计算。对于曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，行为人屡教不改、主观恶性较大，因而将其也规定为“情节严重”。在这里，行为人可能构成一般累犯，即被判处有期徒刑以上刑罚的行为人，刑罚执行完毕或者赦免以后，在5年以内再犯应当判处有期徒刑以上刑罚之罪，应当从重处罚，不得适用缓刑和假释。

(四)信息用途和主观不法

侵犯公民个人信息所得信息的用途或目的也是“情节”的组成要素。是否承认主观不法一直是结果无价值与行为无价值的争议点之一，在一定范围内将主观不法纳入情节的要素能够完善情节犯的评价体系，健全“情节严重”的分类，从而有助于刑法规范的解释和适用《。解释》将“非法获取、出售或者提供行踪轨迹信息，被他人用于犯罪”、“知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供”规定为“情节严重”。在这里，“非法获取、出售或者提供行踪轨迹信息，被他人用于犯罪”属于行为人本身难以预料的客观现实，刑法为了严厉打击公民个人信息方面的犯罪而科以更高的合法使用信息的责任。“知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供”则为犯罪人提供了犯罪的条件，在一定条件下可能构成他人所犯之罪的帮助犯。

(五)危害后果和违法所得

侵犯公民个人信息往往是为了牟利或者会造成一定的危害后果，因此《解释》将违法所得和危害后果作为“情节”的要素。《解释》将违法所得5000元以上的规定为“情节严重”；将“造成被害人死亡、重伤、精神失常或者被绑架等严重后果”，“造成重大经济损失或者恶劣社会影响”规定为“情节特别严重”。值得注意的是，在“情节特别严重”列明“经济损失”的情节要素时，“情节严重”的情形中并没有明确列出“经济损失”的要素，侵犯公民个人信息的行为既可能产生违法所得，也很有可能造成信息所有人的“经济损失”，甚至两者兼有。

(六)其他情节严重或情节特别严重的情形

在从上述5大方面罗列情节要素的同时，《解释》基于立法技术留下了“兜底”条款，如何认定“其他情形”这样的“兜底”性规定需要参照上述情节要素的性质而加以总结。在危害行为上，可以将获取信息的手段是否恶劣作为情节要素；在危害后果上，可以将一定数量的信息流向境外作为要素；在主体身份上，可将执法机关在履职过程中甄别身份或收集证据侵犯公民个人信息作为情节要素；在主观不法上，可以将“为进行违法犯罪活动获取公民个人信息”、“以陷害目的获取公民个人信息”、“为打击、报复目的获取公民个人信息”等列为情节要素。在斟字酌句地对侵犯公民个人信息罪进行述与评之后，《解释》的进步和局限一目了然，而日新月异的社会发展和科技进步将会持续推动侵犯公民个人信息罪的研究，如何在公民个人权利保护和社会科技经济进步之间保持动态的平衡将是大数据时代刑法学人必须思考的命题。

(责任编辑：李琦)

【注释】 *郑旭江，浙江理工大学讲师，华东政法大学刑法学博士，美国德克萨斯大学奥斯汀法学院访问学者。本文系2018 年软科学研究计划“网络空间综合治理中的在线纠纷解决体系研究”（2018C25029）。

[1]参见张磊：“司法实践中侵犯公民个人信息犯罪的疑难问题及其对策”，载《当代法学》2011年第1期。

[2]于志刚、李源粒：“大数据时代数据犯罪的制裁思路”，载《中国社会科学》2014年第10期。

[3]叶良芳、应家赟：“非法获取公民个人信息罪之‘公民个人信息’的教义学阐释”，载《浙江社会科学》2016年第4期。

[4]韦鹏：《侵犯公民个人信息罪疑难问题研究》，西南大学2016年硕士学位论文，第8—9页。

[5]赵秉志主编：《刑法修正案(七)专题研究》，北京师范大学出版社2011年版，第150页。

[6]吴允锋、纪康：“侵犯公民个人信息罪的司法适用——以《网络安全法》为视角”，载《河南警察学院学报》2017年第2期。

[7]万方：“大数据背景下个人信息保护的新路径”，载《图书情报知识》2016年第6期。　

【期刊名称】《法律适用》【期刊年份】 2018年 【期号】 7