最高法院刑事指导案例解析：侵犯公民个人信息罪的争议要点与辩护突破

发布日期：2026-10-17 作者：李荣维律师

本文作者|李荣维律师
引言侵犯公民个人信息罪是近十年来刑法适用变化最为显著的罪名之一。自《刑法修正案（七）》首次将侵犯公民个人信息情节严重的行为增设为犯罪以来，该罪的保护范围持续扩张，刑事制裁力度不断加大。最高人民法院曾集中发布四个侵犯公民个人信息犯罪指导性案例，分别涉及人脸信息、居民身份证信息、社交账号和验证码四类新型信息形态的刑法认定。这四个案例构成了当前司法实践中认定该罪的核心参照规则。
与此同时，近年来最高人民法院发布的侵犯公民个人信息犯罪及关联犯罪典型案例，明确释放从严打击信号；两高联合发布的网络暴力典型案例，亦明确将“人肉搜索”泄露个人信息的行为列为从重处罚情节。在这一背景下，系统梳理四个指导性案例确立的裁判规则，提炼辩护突破路径，对刑辩律师具有紧迫的实务价值。
一、争议要点一：人脸信息的刑法属性认定案例一系某侵犯公民个人信息刑事附带民事公益诉讼案。被告人甲制作一款具有窃取安装者相册照片功能的手机黑客软件，伪装成某检测类软件发布于某网络论坛供免费下载。用户安装使用后，软件自动在后台获取手机相册照片并上传至其搭建的服务器，窃取照片若干，其中含人脸信息、姓名、身份号码、联系方式、家庭住址等公民个人信息若干条。此后，被告人甲从某非法数据交易渠道购买所谓“社工库资料”，明知其中含户籍、账号注册、车主、借贷等信息，仍将网盘链接分享至其担任管理员的某即时通讯群组供免费下载，经鉴定去重后含各类公民个人信息海量条。
法院生效裁判认定，人脸信息具有高度的可识别性，其具有不可更改性和唯一性，无需结合其他信息即可直接识别到特定自然人身份。同时，民法典和个人信息保护法均将人脸信息纳入保护范畴，认定其属于公民个人信息遵循了法秩序统一性原理。这一裁判规则的核心逻辑在于“可识别性”标准——人脸信息是唯一能够单独直接识别到特定自然人身份的生物特征信息，其“可识别性”程度高于一般个人信息。
辩护视角：在这一规则下，辩护空间主要集中于两个维度。其一，信息数量的实质审查。本案中辩护人曾提出检察机关未对涉案海量数据的真实性核实确认，法院回应称公安机关侦查过程中采用了抽样验证方法，随机挑选部分个人信息进行核实，能够确认涉案个人信息的真实性。这提示辩护律师在涉及海量数据的案件中，应当积极主张对数据真实性、有效性的逐项审查，不能简单以“批量认定”规则替代个案审查。其二，可识别性的具体判断。如果涉案照片仅包含面部图像而无法与特定自然人身份信息关联，或者图像分辨率过低不足以实现识别功能，则可以主张不属于刑法意义上的公民个人信息。人脸信息的认定不应以“具有人脸信息”为唯一标准，而应审查该信息是否实际具备识别特定自然人身份的功能。
二、争议要点二：居民身份证信息的整体认定案例二系某侵犯公民个人信息案。被告人乙、丙等以每张若干元的价格，通过某社交软件获取网盘分享链接的方式，批量获取居民身份证正反面照片，用于批量注册激活某联名预付费卡；被告人丁向他人购买公民个人信息数据并转卖。经清点，各被告人网盘内清点出居民身份证信息若干组。
一审法院与二审法院虽然论证路径不同，但结论一致——一审法院从“举轻以明重”的法理出发，认为居民身份证上的住址信息与公民人身安全、财产安全存在紧密联系，其重要性应高于“住宿信息”，故应认定为《解释》第五条第一款第四项规定的信息类型；二审法院则进一步指出，居民身份证除包含户籍地址信息外，还是公民的姓名、人脸信息、唯一身份号码等信息的综合体，应将居民身份证信息整体认定为涉公民人身、财产安全的信息。
辩护视角：本案例的核心争议在于信息分类——将居民身份证信息归入“可能影响人身、财产安全的信息”还是“普通信息”，直接决定了入罪门槛从五千条降至五百条，情节特别严重的标准从五万条降至五千条。辩护律师应当重点审查：第一，涉案信息是否确为完整的居民身份证照片信息。如果仅有部分字段信息，如仅有姓名和照片，无身份证号码或住址，则不应整体归入高敏感类别。第二，信息数量中是否存在重复计算。本案中一审法院明确指出，对于批量公民个人信息应进行去除重复信息后的认定。辩护中应主张由控方承担证明每条信息唯一性和可识别性的举证责任，而不能简单以鉴定机构出具的“去重后”数据作为认定依据。
三、争议要点三：社交账号与已公开信息的非法利用案例三系某侵犯公民个人信息案。被告人戊等共同出资购买某营销软件，非法添加好友、制作成品社交账号出售牟利；后又通过网络购买他人求职信息，组织员工以“刷单兼职”话术招揽被害人进群，致使部分被害人受骗。法院认为，社交账号与手机实名绑定、与银行卡绑定，和自然人一一对应，属于公民个人信息；非法制作、出售成品社交账号，属于“向他人出售或者提供公民个人信息”。同时，未经同意或未获法律授权，将已公开的公民个人信息进行非法利用，改变了信息公开的范围、目的和用途，不属于合理处理，属于“以其他方法非法获取公民个人信息”。
辩护视角：这一裁判规则对辩护提出了更高的专业要求。首先，关于社交账号的性质认定，辩护中应审查涉案账号是否确与特定自然人身份形成唯一对应关系。如果涉案账号系未实名认证的匿名账号，或者行为人获取的仅为账号本身而不包含与之关联的手机号、身份信息等，则其可识别性程度应重新评估。其次，关于已公开信息的利用，辩护的重点应转向“合理处理”的边界判断。根据个人信息保护法的规定，合理处理已公开个人信息需符合该信息被公开时的用途，如果行为人利用信息的目的与信息最初公开的目的具有实质一致性，则不应认定为犯罪。例如，求职者将简历信息公开于招聘平台，其目的即为求职，若第三方仅为求职者推荐工作机会而使用该信息，其可责性应显著低于将信息用于诈骗等犯罪活动的情形。再次，这一裁判规则实际上将“未经同意处理已公开信息”纳入了刑事规制范围，辩护律师可以主张，对于已公开信息的处理应当优先适用个人信息保护法中的民事、行政责任机制，刑法介入应保持谦抑性。
四、争议要点四：验证码的信息属性与行为定性案例四系某侵犯公民个人信息刑事附带民事公益诉讼案。被告人己利用担任某通信公司培训老师的便利，建立、管理某即时通讯群组，组织学员非法获取客户手机号码和随机验证码，用于注册某电商平台新账号，并贩卖给他人。法院认为，验证码系专门发给特定手机号的独一无二的数字组合，具有识别、验证个人身份的功能，与手机号码结合能够识别特定自然人，属于公民个人信息。同时明确侵犯公民个人信息罪不以造成具体损失为构成要件。值得注意的是，被告人己设立出售、提供公民个人信息的通讯群组，其行为同时构成非法利用信息网络罪和侵犯公民个人信息罪，法院依法以侵犯公民个人信息罪定罪。
辩护视角：本案最具辩护价值之处在于验证码的信息属性认定。验证码具有“瞬时性”——其有效期通常仅为数分钟，过期后即失去验证功能。辩护中应重点审查：涉案验证码是否在有效期内被使用，还是仅获取了已过期的验证码。如果行为人获取的验证码已丧失验证功能，则该信息是否仍具有刑法意义上的“可识别性”便存在争议。此外，关于罪数问题，本案中被告人己同时构成非法利用信息网络罪和侵犯公民个人信息罪，法院从一重罪处罚。辩护中应审查是否存在将一行为重复评价的问题，如果非法利用信息网络的行为已经涵盖了对个人信息法益的侵害，则从一重罪处断是否适当值得商榷。同时，本案中法院明确指出侵犯公民个人信息罪不以造成具体损失为构成要件，这一认定虽然符合刑法规定，但也意味着辩护不能以“未造成实际损失”作为无罪辩护的核心论据，而应当转向信息数量、信息性质、行为方式等构成要件要素的实质性审查。
五、辩护突破的体系化路径综合上述四个指导性案例，侵犯公民个人信息罪的辩护可以从以下五个维度构建体系化路径：
第一，信息性质的实质审查。四个案例分别将人脸信息、居民身份证信息、社交账号、验证码纳入“公民个人信息”范畴，其核心认定标准均为“可识别性”。但“可识别性”是一个需要具体判断的标准——人脸信息具有不可更改性和唯一性，可识别性最强；居民身份证信息是多种信息的综合体，需整体判断；社交账号需与手机号绑定才能实现唯一对应；验证码则具有瞬时性。辩护中应针对不同类型信息的特点，审查其是否实际具备识别特定自然人身份的功能，不能简单套用指导性案例的结论。
第二，信息数量的精准质证。《解释》第十一条第三款确立了批量公民个人信息数量计算规则，但实践中对“批量”的标准、数据的真实性核验、重复信息的剔除等问题存在较大争议。有观点指出，“批量”宜认定为数量在五千以上，数量在五千以下的构罪情形应当对数据逐一审查。辩护律师应当在审查起诉和审判阶段积极主张：对信息数量进行分层审查，对于高敏感信息和低敏感信息，由于入罪数量较少，应当逐条核实真实性；对于一般信息，虽然可以适用批量认定规则，但辩护方仍有权对鉴定方法的科学性和鉴定结论的准确性提出质疑。
第三，从重处罚情节的限缩解释。刑法第二百五十三条之一第二款规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或提供给他人的，从重处罚。有学者指出，该从重处罚情节限于“出售或者提供”的行为，不包含“非法获取”的行为，实践中不乏在履行职责或提供服务过程中收集信息却未向他人提供的情形，此时不适用从重处罚。辩护中应严格审查行为人是否实际实施了“出售或提供”行为，如果仅为收集或获取，即使利用了职务便利，也不应适用从重处罚条款。
第四，出罪事由的充分运用。《解释》第六条为“为合法经营活动而非法购买、收受普通公民个人信息”的行为设置了独立的出罪或减轻路径——入罪门槛大幅提高，获利须达到五万元以上。辩护中应重点关注：行为人获取信息是否用于合法经营活动，是否仅为正常商业推广而收集信息，信息是否未进一步扩散或造成次生犯罪等。此外，如果涉案信息来源于公开渠道且行为人的使用方式未超出信息最初公开的目的范围，则可以主张不构成犯罪。
第五，合规整改的从宽功能。在涉案企业或单位犯罪案件中，如果涉案单位在案发后建立了完善的数据安全管理体系、采取了有效的合规整改措施，辩护中应积极主张将合规整改作为量刑从宽情节。最高人民法院发布典型案例中明确对行业“守门人”监守自盗依法从重的政策导向，反过来说明，对于已建立有效合规体系的单位，在量刑上应当体现区别对待。
结语最高人民法院发布的四个侵犯公民个人信息犯罪指导性案例，确立了该罪在信息类型认定上的基本框架，其核心裁判逻辑是“可识别性”标准与法秩序统一性原理。这四个案例既是各级法院审理同类案件的参照依据，也为辩护律师提供了明确的辩护靶向。在刑事政策持续从严的背景下，辩护的重心应从“是否构成犯罪”的宏观争辩，转向信息性质分类、数量精准质证、从重情节限缩、出罪事由运用等精细化的构成要件审查。唯有将指导性案例的裁判规则内化为辩护方法论，才能在这一高发罪名中为当事人争取实质性的合法权益。
说明：为保护当事人隐私及避免识别，本文对案例中的当事人姓名、指导性案例编号、案号、平台名称、公司名称及具体个人信息等作脱敏处理，相关裁判规则仍依据最高人民法院发布的侵犯公民个人信息犯罪指导性案例精神展开分析。

没找到您需要的？您可以发布法律咨询，我们的律师随时在线为您服务