作者：张春律师 知恒广州刑事专业委 副主任 、专注重大疑难复杂的诈骗案辩护、电话：170 6045 1589（微信同号）；
备注：本文原创，未经许可不能转载
张春律师团队在办理一起网络犯罪诈骗案件的过程中，因为电诈需要大量拨打电话开拓业务，就有了购买公民个人信息的市场，我们代理的张三除了实施网络犯罪以外，也有向他人出售公民个人信息的行为，根据对方李四的笔录显示，购买了400多万条信息，最终被以侵犯公民个人信息罪移送审查起诉。
我们在阅卷的过程中发现，张三的笔录对于该起事实的供述几乎为零，一直声称自己不构成该罪，没有批量提供公民个人信息给他人。我们在查阅对方李四的笔录中发现，其供述与张三是网上认识的，没有见过面，购买了400多万条信息，不知道张三的全名，也不能辨认出谁是张三。双方仅有的客观证据就是转账记录100万元，整个案件中没有一条公民个人信息，没有相关的电子数据可以形成完整的证据链显示400多万条信息的真实性。
张春律师提出现有的证据属于孤证，没有直接证据证明犯罪事实，获利无法排除是其他的往来款，400多万条信息条数只有一次口供，没有其他证据佐证，无法形成完整的证据链，在证据存疑的情况下，应当按照存疑时有利于被告人的原则认定张三不构成侵犯公民个人信息罪，司法机关采用推定的原则是不符合刑法的原则，刑法禁止类推，最终案件实现有效辩护。
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(法释〔2017〕10号，2017年6月1日起施行，以下简称“解释1”)第十一条规定：
非法获取公民个人信息后又出售或者提供的，公民个人信息的条数不重复计算。
向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。
对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。
《解释1》对信息的条数计算方式做了详细的解释，实务中很多司法机关在计算的时候会累计计算、重复计算。
上个月我们团队在开一起保健品诈骗案件庭审的时候，检察官当庭出示的公民个人信息就是重复计算的，在一份电子表格里面，一个人的名字重复出现十几次，叠加计算信息条数，这么离谱的错误被我们律师当庭指出并出示给法庭，检察官表示是公安统计的，他们没有细看。
因此，在我们律师办案过程中一定要对如何认定公民个人信息的条数做一个综合判断，不能只去看供述的结果、鉴定的结果，就如我们开篇提到的这起案件，这个案件没有客观的证据，即使是有客观的证据，这个当事人未必对400万条信息逐一核对，或者说过去几年的事情还能记得很清楚多少条，这都不符合常理的。
对公民个人信息的认定，2016年5月9日上午，最高人民法院、最高人民检察院召开新闻发布会，公布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
这里强调“特定自然人”，即能反映有关信息属于特定自然人，如仅有一组信息但该信息或结合其他信息未能指向特定自然人的，则并不属于本罪中的“公民个人信息”。比如向裁判文书公布的隐名的文书就不能指向特定的人。对于一组信息中涉及个人多个信息，比如家庭住址、姓名、电话号码等，按照一条公民个人信息来交易的，应当按照一条公民个人信息，所以我们在看的时候不能仅看单个数据，而是应当理解为一组数据。
主要考虑如下：(1)从司法实践来看，一般公民个人信息的价格相对较低，甚至不会按条计价，故要求逐一认定不具有可操作性;而公民个人敏感信息价格通常较高，通常按条计价，逐条认定不存在难题。(2)涉敏感信息的案件入罪标准较低，50条或者500条即达到入罪标准。为此，对于此类案件要求逐一认定敏感信息的数量，对于确保定罪量刑的准确，完全必要。
根据《解释1》第3款的规定，即根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。举证责任仍应在公诉机关。行为人不需要自证。
根据《解释1》第3款的规定，即根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。举证责任仍应在公诉机关。行为人不需要自证。
我们团队在办案的过程中还发现，有些人出售的信息是几年前的，还有的是篡改过的，这类信息本身就不具有实用性，也无法识别出具体的公民，这种就不具有隐私性，不能认定为有效信息条数，均不能认定为本罪的个人信息。
我们还遇到一起，在查阅数据的时候发现有大量重复的，当时我们团队律师随机抽取了部分电话拨打，其中有部分是空号，然而这个案件的信息条数是接近40万条，但是侦查机关在取证的时候仅对部分的6名被害人做了笔录，用6份笔录推定40万条的数据的真实性不符合常理。
可能有些人会提出，既然律师提出这个疑问，那么举证责任倒置，当事人应当证明哪些不是真实的、有效的信息。对于这个疑问，大家要记住一点，刑事案件的举证责任在司法机关，我们只需要提出合理的怀疑就可。
我们认为，对于信息条数较多的案件，司法机关在取证的时候，不要求全部信息都是真实的，但至少要保证能够达到入罪条件。
我国刑法第二百五十三条之一规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条规定，“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。《解释》第五条基于不同类型公民个人信息的敏感程度，分别设置了非法获取、出售或者提供公民个人信息“五十条以上”“五百条以上”(敏感信息)“五千条以上”(非敏感信息)及其他行为模式的入罪标准。
关于信息数量的判断标准，《解释》区分了不同类型的公民个人信息，分别以50条(行踪轨迹信息、通信内容、征信信息、财产信息，以下简称“Ⅰ类信息”)、500条(住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的公民个人信息，以下简称“Ⅱ类信息”)和5000条(其他公民个人信息，以下简称“Ⅲ类信息”)为标准认定“情节严重”。
此外，《解释》明确规定，不同类型的信息数量可以按相应比例折算合计。我们理解所谓“相应比例折算合计”应该是指对Ⅰ、Ⅱ、Ⅲ类信息按照1:10:100的比例进行合计计算，即使每一种信息的数量均不符合上述标准，但折算后达到任一标准即属于“情节严重”。
关于违法所得额标准，非法提供或者获取个人信息违法所得5千元以上属于“情节严重”。但是，对于为合法经营活动而非法购买、收受(不包括提供)Ⅲ类信息(不包括Ⅰ、Ⅱ类信息)的，违法所得5万以上应认定为“情节严重”。
在《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》还为刑法中规定的 “情节严重” 具体设置了十项认定标准(包括一项兜底条款)，为“情节特别严重”设置了四项认定标准(包括一项兜底条款)。根据《司法解释》，我们可以看出，判断“情节严重”和“情节特别严重”的具体标准主要集中在信息类型、信息数量、信息用途、营利数额、犯罪主体、犯罪后果等六个方面。
综上所述，对公民个人信息的认定，需满足 “可识别特定自然人” 要件，篡改、失效或无法关联到具体个体的信息不属于本罪范畴。对于敏感信息(如行踪轨迹、财产信息)应逐一核实，而一般信息虽可批量计算，但需排除重复或无效数据。实务中存在的重复计算、机械累加等错误，凸显了律师在辩护中需结合《解释 1》《解释 2》对信息类型、数量、用途进行实质性审查的重要性。
在张三涉嫌出售 400 万条公民个人信息案中，控方仅有转账记录和单方供述，缺乏电子数据、实物证据等直接证明信息真实性的关键证据，且李四无法辨认张三身份，导致证据链断裂。律师依据《解释 1》第 11 条关于批量信息认定规则，指出司法机关采用 “推定” 原则违反刑法禁止类推的基本原则，最终以证据不足实现有效辩护。
值得注意的是，刑事案件举证责任在公诉机关，行为人无需自证信息无效。本案还折射出司法实践中对 “情节严重” 标准的理解偏差 —— 单纯依赖供述或鉴定结论，忽视信息真实性和关联性审查，可能导致错案。律师通过精准运用法律解释规则，成功推翻控方指控，为同类案件辩护提供了范本。