随着科技的發展，網絡走進千家萬戶，深入到個人生活、社會運作、國家發展的各個領域之中。 作為其發揮各項功能的媒體，資訊的價值愈發凸 顯。2017年最高人民法院與最高人民檢察院聯合頒布 的《關于辦理侵犯公民個人資訊刑事案件适用法律若幹問題的解釋》（下稱《解釋》）一定程度上解決了司法實務中适用《刑法》二百五十三條之一時所遭遇的部分高發、難問題，為侵犯公民個人資訊最的定罪量刑設定了一定的标準，也為學界的理論研究增添了新的内容，同時還對公民個人資訊安全的保護提出了新的要求。值得注意的是，《解釋》的出台雖然解決了大量本罪司法适用過程中出現的疑難問題，彌補了許多個人資訊保護的漏洞，但是由于其中部分條文仍透露出原則性與模糊性，以及本罪犯罪特點的多元性與實行行為的多變性，導緻本罪仍有尚未解決的争議問題存在，值得深入研究。
侵犯公民個人資訊罪的實行行為
（一）出售公民個人資訊的認定
侵犯公民個人資訊罪中的“出售”不以等價交換為基礎。學界關于行為人實施本罪中“出售”公民個人資訊的行為是否需要對方支付相應的對價存在兩種觀點，第一種觀點認為，本罪中的出售行為，是一種現實的貨物與财物等價交換的行為，是以在犯罪行為實施的過程中必須存在合理的對價與個人資訊進行交易。另一種觀點則是對第一種觀點的反駁，既不需要對價，隻要本罪的行為人基于獲利的目的對公民個人資訊進行有償轉讓即可認定為“出售”。
大多數學者持第二種觀點。原因是正常商品的流通過程中，因為對于貨物的交易行為本身是法律所允許的，甚至是受到法律保護的，沒有違法性，是以商品流通過程中存在合理合法的國家标準、商業标準等，但是對于一些違禁品、假冒僞劣産品或者流通方式違反法律規定的物品，比如本罪中的公民個人資訊，這類物品因為法律禁止或者違反法律而不能進入流通領域，是以沒有通行的價格标準，畢竟隻有能用貨币衡量的商品，才可以适用等價交換規則。例如，在邵保明等侵犯公民個人資訊案中，被告人出售多種不同類型的公民個人資訊，如戶籍資訊、手機定位、住宿記錄等資訊上萬餘條，每條收取費用從10元至5000元不等，已達到了情節嚴重的程度。被告在出售資訊牟取利益時，所收受的費用不是一個明确的數額，明顯沒有一個标準的對價，更像是随意的定價，在不同情況中随機收取，查閱類似的案例也可以發現相同的情況，并且由于個人資訊也不存在所謂的市場價格，是以我們可以得出結論，對于本罪出售行為進行認定時，不能以需要對方支付相應的對價作為構成出售資訊行為的依據，因為這種違反法律規定的交易行為不存在所謂合理的對價。并且，在認定犯罪違法所得數額時直接使用行為人犯罪過程中實際擷取的利益也會更加便利，節約司法資源。另外，每個人的資訊、同一人的不同種類的資訊，其價值大小、重要程度也不同，甚至同一資訊在不同場景下地位作用也不同，即使由法律依據某種标準在價值大小上對不同種個人資訊進行分化，設定出大緻統一的标準，也很難涵蓋數量、種類有如天文數字一般的個人資訊，反而容易導緻司法僵化。
（二）提供公民個人資訊的認定
《刑法》原文在規定侵犯公民個人資訊罪的時将“提供型”行為分為了出售行為與提供行為，在性質上出售與提供有許多重疊的部分，為了正确認定本罪中的“提供”行為，應當對下列兩個問題進行讨論：
第一，“提供”行為與“出售”行為之間的關系是什麼？根據《解釋》第三條的規定，本罪中的“提供”行為包括三種具體的表現形式：第一種，行為人将其持有的公民個人資訊提供給特定對象的，第二種，公開釋出、散布個人資訊的，第三種，在資訊被收集者拒絕或尚未獲得資訊被收集者同意的情況下，将原本合法收集的當事人的資訊違反法律規定向第三方提供的。以上規定便涉及到本罪中“提供”與“出售”的關系，因為上述三種提供的表現形式其實也可以出售的方式完成，對于法條中涉及的“出售”與“提供”兩者之間的關系，有兩種可能性，第一種是“提供”與“出售”為并列關系，互相之間并不存在交叉點。另一種是“提供”行為與“出售”行為之間是包含關系。本文認為，本罪中的“出售”應當包含于“提供”之内，“出售”行為其實是“提供”行為的所應當涵蓋的方式之一。分析《解釋》的有關規定，本罪中的“提供”是指行為人故意使不應知悉的人獲得其掌握的公民個人資訊；而“出售”是指行為人将其掌握的公民個人資訊通過交易的方式使其他原本不應知悉個人資訊的人獲悉。“提供”與“出售”的共同之處在于兩者都使不應掌握公民個人資訊的人獲得了資訊，差別在于提供未必擷取報酬而出售必定擷取了報酬。換言之，“出售”行為是在“提供”行為的基礎之上增加了以取得報酬為目的之要求，但是其根基與“提供”是相同的，可見“提供”行為與“出售”行為并不是平行的關系，而應當是“出售”包含于“提供”之内，刑法其實是将本罪中的“出售”認定為“提供”的一種。法律條文之是以會同時提及“出售”行為與“提供”行為，其目的并不是為了将“出售”與“提供”切分，而是為了強調“出售”是一種典型的“提供”方式。
第二，本罪中“提供”的對象是否必須特定？實施“提供”行為，必然有相應的接收資訊的對象。“向特定人提供公民個人資訊，屬于‘提供’公民個人資訊，對此不存在疑義。但是對于通過資訊網絡或者其他途徑釋出公民個人資訊，是否屬于‘提供公民個人資訊’，存在不同認識”。首先，将向特定人提供資訊與通過網際網路散布、釋出兩種行為的對象進行對比，後者将會使更多原本不應知悉的人擷取資訊，其具有資訊擷取者的不确定性、造成更大危害結果的可能性和更高的法益危害性。既然行為人向特定對象提供資訊的行為便可以滿足本罪法益危害程度的條件，那麼，舉輕以明重，在可能造成的法益危害程度方面，向不特定對象提供資訊的行為毫無疑問是滿足本罪社會危害性要求的。其次，《解釋》第三條也承認本罪中“提供”的手段包括公開釋出、散布，由此可以看出，《解釋》也是支援本罪中“提供”是包含向不特定對象釋出、散布這種情形的。最後，許多案例也證明了實務中的确會出現公開釋出、散布資訊的情形，若不對這類案件進行處理，顯然是不合理的。例如，丁亞光侵犯公民個人資訊案，被告人利用一間為幾千家酒店提供技術支援服務的網絡技術公司系統中存在的漏洞，對其存儲的酒店住宿記錄進行下載下傳，在下載下傳這些資訊後，被告人将其上傳至自己建立的個人網站中，提供收費的下載下傳服務。
此案中，行為人對公民個人資訊在網上進行釋出，隻要注冊成為會員的人都可以擷取該資訊，提供對象明顯不特定，這種向不特定對象提供他人個人資訊的行為相比向特定對象提供公民個人資訊的行為性質更加惡劣，而且由于擷取者的不特定導緻可能造成難以預料的後果，維護秩序的穩定本就是刑法的責任，對于這種具有更高法益危害可能性的行為，更應當受到刑法的規制。是以，本罪中的“提供”應當包括向不特定人群散布、釋出的情形。
摘自：廣東财經大學 陳建清、王祯 《侵犯公民個人資訊罪行為與情節之認定》