引言

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号，2017年6月1日起施行）第一条界定了“公民个人信息”的范围，第三条明确未经被收集者同意将合法收集的信息向他人提供，属于“提供公民个人信息”，但经过处理无法识别特定个人且不能复原的除外。本文梳理“已公开”为什么不能一概免责、五十条、五百条、五千条三条数量门槛怎么数，并以最高人民法院指导性案例第194号熊某恒等侵犯公民个人信息案为参照。

这些信息网上都能搜到，我只是整理了一下，怎么也算犯罪？

当事人被带走时最常说的一句话是：我也没偷没抢，网上本来就有的东西，我只是汇总。这种理解，把“公开可见”当成了“可以随意使用”。

法律上，这个罪名解决的不是“信息有没有被看到过”，而是一个更实际的问题：这些信息是不是能够识别到具体的人，以及有没有违反国家规定去获取、提供。

判断顺序也很具体：先看是不是“公民个人信息”，再看获取或提供的方式是否违规，最后看数量、获利、用途是否达到情节门槛。三步走完，才谈得上构罪。

但“已经公开”这道屏障，比很多人以为的薄。公开渠道上可见，不等于信息主体同意被收集、被整理、被转卖；也不等于可以无限扩散。

本文要解决的核心问题包括：已公开的信息为什么仍可能受保护？“公民个人信息”怎么界定？五十条、五百条、五千条三条门槛怎么数？合法收集与非法获取的分界在哪？处理后无法识别，能不能免责？

一．已经公开的信息，处理了也犯罪吗？

可能。公开只影响信息的敏感程度，不当然免除获取、提供环节的合规义务。

第一，公开不等于同意。信息主体把电话号码留在某个平台，是为了完成一次交易，不是同意被第三方收集、汇总、转卖。用途的目的限定，是这条线的核心。

第二，公开不等于可以二次扩散。把散落在各处的信息归集成库、按条出售，形成的是一份新的、可精准触达的信息集合，危害与单条公开完全不同。

第三，敏感信息门槛更低。行踪轨迹、通信内容、征信、财产信息五十条就达到情节严重；住宿、通信记录、健康生理、交易信息是五百条；其他一般信息是五千条。

第四，处理后可免责，但有条件。解释第三条明确，经过处理无法识别特定个人且不能复原的，不属于“提供公民个人信息”。匿名化、去标识化做到什么程度，是实务争点。

二．“公民个人信息”怎么界定？

以可识别性为核心：以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。

第一，包括身份信息。姓名、身份证件号码、联系方式、住址、账号密码、财产状况等，属于典型的身份识别信息。

第二，包括活动情况信息。行踪轨迹、住宿信息、通信记录、健康生理信息、交易信息等，反映特定自然人的活动情况，同样在保护范围内。

第三，可识别性是关键。单独不能识别、但与其他信息结合可以识别到具体个人的，仍属于公民个人信息。这正是“信息拼图”式归集的风险所在。

第四，去标识化不等于匿名化。删除姓名但保留手机号、住址、消费记录，通常仍可识别；只有达到无法识别且不能复原的程度，才可能出罪。

三．三条数量门槛，怎么数？

按信息类型分三档：五十条、五百条、五千条，分别对应不同敏感程度。

第一档，五十条。行踪轨迹信息、通信内容、征信信息、财产信息，五十条以上即为情节严重。这四类信息直接关联人身财产安全，门槛最低。

第二档，五百条。住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息，五百条以上。

第三档，五千条。除上述两类以外的公民个人信息，五千条以上。批量获取的名单、客户资料，多落在这一档。

数量的计算方式也要注意。不重复计算同一信息；但一条信息同时属于多类的，按其中更严格的一类认定。涉案信息的真实性、来源、是否同一人多次出现，都会影响最终条数。

四．合法收集与非法获取，分界在哪？

看三件事：有没有获得同意、有没有超出目的使用、有没有合法来源。

第一，同意是基础。经被收集者同意收集，是合法性前提。但同意通常是针对特定用途作出的，超出原用途使用，就脱离了同意范围。

第二，目的是限定。为提供服务而收集的客户信息，用于营销、转售、交换，属于目的外使用。解释第三条正是针对这一环节作出的规定。

第三，来源必须可证。购买、交换、受赠、爬取，凡不能说明合法来源的，容易被认定为“以其他方法非法获取”。这条在实践中是很多案件的突破口。

第四，履职与提供服务环节从重。在履行职责或者提供服务过程中获得的信息，出售或提供的，依法从重处罚。这一款对内部人员尤其不利。

五．“处理后无法识别”，能免责吗？

有条件地可以。但去标识化的程度必须达到无法识别特定个人且不能复原。

第一，法条留了口子。解释第三条规定，经过处理无法识别特定个人且不能复原的，不属于“提供公民个人信息”。这是技术处理的法律依据。

第二，标准很实。是否保留唯一标识符、是否保留精确时间地点、能否通过与其他数据结合复原，是判断的三个落点。

第三，只删姓名远远不够。姓名删除但保留手机号、收货地址、订单时间，通过简单关联即可复原到具体个人，通常不被认可。

第四，最好留痕。处理规则、处理日志、字段清单、样本比对，这些是主张“无法识别”时最实在的材料。没有留痕，主张很难落地。

六．熊某恒案：批量“空账号”，为什么也算公民个人信息

公开案例 ｜ 最高人民法院指导性案例第194号·熊某恒等侵犯公民个人信息案（第35批，2022年12月26日发布）

熊某恒等人违反国家有关规定，购买已注册但尚未使用的微信账号等社交媒体账号，借助具有智能群发、添加好友、建立群聊等功能的营销工具批量登录使用，从而获取大量公民个人信息，并对外出售、提供。

这起案件的争点看起来很像当事人常说的那句“这些信息本来就在网上”：账号是空的、没人在用，市面上还能买到。那么，它算不算公民个人信息，批量登录又算不算非法获取。

指导性案例第194号的裁判要点明确：违反国家有关规定，购买已注册但未使用的微信账号等社交媒体账号，通过具有智能群发、添加好友、建立群聊等功能的营销工具批量登录、使用，获取公民个人信息的，属于刑法第二百五十三条之一规定的“以其他方法非法获取公民个人信息”。账号所关联的实名信息等能够识别特定自然人的，属于公民个人信息。

该案的关键词里还有“合理处理”。它指向的是：处理行为是否在必要、合法的范围内，而不是信息有没有在公开渠道露过面。这一层与本文第五章讲的“目的限定”，是同一条线。

同批发布的另外两案，把边界补得更细：第193号闻巍等案明确，居民身份证信息包含姓名、人脸识别信息、身份号码、户籍地址等，属于公民个人信息，非法获取、出售情节严重的构成本罪；第195号罗文君、瞿某珍案明确，服务提供者专门发给特定手机号码的验证码，具有独特性、隐秘性，能够识别特定自然人的，同样属于公民个人信息。

也需要冷静看待：194号讲的是批量购买账号并非法获取，与“整理公开信息”并不完全相同。但它确立的方法是一致的——判断核心是可识别性，而不是信息是否曾经公开。至于公开渠道信息的拼凑归集，最高人民法院官网发布的吴某慧“开盒”案已把这种行为纳入了评价。

七．涉侵犯公民个人信息指控，当事人及家属要走哪几步？

定信息类型、核来源、算条数、查去向、提意见，五步走完才算完整。

第一步，把信息按类型分档。哪些属于行踪轨迹、通信内容、征信、财产信息，哪些属于住宿、健康、交易信息，分档不同，门槛差十倍到百倍。

第二步，核查信息来源。是客户自己提交、合作方提供、公开渠道抓取，还是购买交换。来源能否说清、能否举证，直接决定“非法获取”是否成立。

第三步，核对条数与重复。同一人重复出现的记录、已失效的信息、无法对应到具体个人的字段，都要逐项核减。条数从五千降到四千九，结论可能完全不同。

第四步，查清流向与用途。提供给谁、用于什么、有没有获利、获利多少。用途是合法经营的必要环节，还是对外转售，评价差别很大。

第五步，审查起诉阶段提交书面意见。围绕信息类型、来源合法性、条数核减、去标识化程度四点展开，附字段清单、处理日志、授权文件。

八．这一类案件，最容易踩的四个坑是什么？

以为公开就随便用、只删姓名就算脱敏、条数照抄鉴定、来源说不清。

一，把“公开可见”当成授权。公开只是信息存在的一种状态，不是使用的许可。批量归集、对外提供，仍要有合法依据。

二，以为删掉姓名就脱敏。保留手机号、住址、订单时间的“脱敏”，通过简单关联即可复原，通常不被认可。

三，条数直接照抄。鉴定意见中的条数往往未经去重、未剔除失效数据。逐项核减是这类案件最实在的辩护工作。

四，来源说不清。“别人给的”“网上买的”这类回答，等于承认来源不明。来源必须有凭证，否则“非法获取”这一环无法反驳。

九．当事人及家属常见问题解答（FAQ）

问：网上能搜到的信息，整理后出售也犯罪吗？

答：可能。公开可见不等于同意被收集转卖。未经同意批量归集、对外提供，可能构成侵犯公民个人信息罪。

问：多少条会构成“情节严重”？

答：按类型分档：行踪轨迹、通信内容、征信、财产信息五十条以上；住宿、通信记录、健康生理、交易信息五百条以上；其他信息五千条以上。

问：公司正常经营中收集的客户信息，能用于营销吗？

答：要看是否在原同意范围内。超出原用途使用，可能被认定为违规提供；内部使用与对外提供的评价也不同。

问：把姓名删掉、只留手机号，算脱敏吗？

答：通常不算。通过移动设备识别码、住址、订单时间等信息仍可关联到具体个人，达不到“无法识别且不能复原”的标准。

问：员工从公司系统导出客户名单，谁担责？

答：员工可能构成犯罪，且在履行职责、提供服务过程中获取的信息被出售、提供的，依法从重处罚；公司管理失职也可能承担相应责任。

问：只是自己用，没有卖钱，会构罪吗？

答：可能。法条同时规制“非法获取”，不以出售牟利为唯一方式；但数量、用途、危害后果会影响是否达到情节严重。

问：信息是合作方提供的，还要担责吗？

答：要看有没有尽到审核义务。来源合法且有授权文件、使用范围相符的，责任明显减轻；明知来源不明仍接收使用的，难以免责。

问：“开盒”他人信息，会怎么处理？

答：可能同时涉及本罪与治安处罚，情节严重的还可能牵连其他罪名。最高人民法院已发布相关案例，对“开盒”行为持从严态度。

问：条数认定有争议怎么办？

答：逐条核对：是否重复、是否失效、能否对应到具体个人、是否属于同一人多条。可以申请重新鉴定或补充说明。

问：已经批捕，还有空间吗？

答：有。批捕只是强制措施，信息类型、来源合法性、条数核减都是审查起诉阶段可以争取的空间，符合条件的还可申请羁押必要性审查。

十．结语：先做三件事

这个罪名的关键，不在信息有没有被看到过，而在它能不能识别到具体的人、以及怎么被获取和流向哪里。被立案之后，先做三件事。

第一，把信息按类型分档。分档不同，入罪门槛差十倍到百倍。先把这一层分清，再谈数量。

第二，把来源凭证找出来。客户授权、合作协议、公开渠道的抓取记录，凡是能证明来源合法的，都要固定。来源说不清，是最被动的一种局面。

第三，逐项核减条数。重复、失效、无法对应到具体个人的记录，一条一条剔。条数下来了，量刑档次的压力才下得来。

温馨提示

本文更新于2026年11月，仅为条文与案例实务整理，不属于立法有权解释，不构成个案法律意见。具体案件请结合在案证据咨询专业律师。如有侵犯公民个人信息、数据合规相关问题，可向北京市盛廷律师事务所刑事团队咨询：400-039-8667。

参考文献

[1] 全国人民代表大会常务委员会. 中华人民共和国刑法（2023年修正）. 第二百五十三条之一.

[2] 最高人民法院、最高人民检察院. 关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释（法释〔2017〕10号）. 2017年6月1日施行.

[3] 最高人民法院. 指导性案例第194号 熊某恒等侵犯公民个人信息案. 第35批指导性案例.

[4] 最高人民法院. 指导性案例第193号 闻巍等侵犯公民个人信息案.

[5] 最高人民法院. 指导性案例第195号 罗某君、瞿某珍侵犯公民个人信息刑事附带民事公益诉讼案.

[6] 最高人民法院. 吴某慧“开盒”案.

北京市盛廷律师事务所刑事律师团队提醒涉案当事人及其家属：

公开可见不等于可以使用。未经同意批量归集、对外提供，仍可能构成本罪。

三条门槛按类型分档：五十条、五百条、五千条，先分档再谈数量，别用一个数字套所有信息。

删姓名不等于脱敏。字段清单、处理日志、来源授权，是这类案件最实在的材料，越早整理越好。