随着科技的发展，网络走进千家万户，深入到个人生活、社会运行、国家发展的各个领域之中。 作为其发挥各项功能的介质，信息的价值愈发凸 显。2017年最高人民法院与最高人民检察院联合颁布 的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》）一定程度上解决了司法实务中适用《刑法》二百五十三条之一时所遭遇的部分高发、难问题，为侵犯公民个人信息最的定罪量刑设置了一定的标准，也为学界的理论研究增添了新的内容，同时还对公民个人信息安全的保护提出了新的要求。值得注意的是，《解释》的出台虽然解决了大量本罪司法适用过程中出现的疑难问题，弥补了许多个人信息保护的漏洞，但是由于其中部分条文仍透露出原则性与模糊性，以及本罪犯罪特点的多元性与实行行为的多变性，导致本罪仍有尚未解决的争议问题存在，值得深入研究。
侵犯公民个人信息罪的实行行为
（一）出售公民个人信息的认定
侵犯公民个人信息罪中的“出售”不以等价交换为基础。学界关于行为人实施本罪中“出售”公民个人信息的行为是否需要对方支付相应的对价存在两种观点，第一种观点认为，本罪中的出售行为，是一种现实的货物与财物等价交换的行为，因此在犯罪行为实施的过程中必须存在合理的对价与个人信息进行交易。另一种观点则是对第一种观点的反驳，既不需要对价，只要本罪的行为人基于获利的目的对公民个人信息进行有偿转让即可认定为“出售”。
大多数学者持第二种观点。原因是正常商品的流通过程中，因为对于货物的交易行为本身是法律所允许的，甚至是受到法律保护的，没有违法性，因此商品流通过程中存在合理合法的国家标准、商业标准等，但是对于一些违禁品、假冒伪劣产品或者流通方式违反法律规定的物品，比如本罪中的公民个人信息，这类物品因为法律禁止或者违反法律而不能进入流通领域，因此没有通行的价格标准，毕竟只有能用货币衡量的商品，才可以适用等价交换规则。例如，在邵保明等侵犯公民个人信息案中，被告人出售多种不同类型的公民个人信息，如户籍信息、手机定位、住宿记录等信息上万余条，每条收取费用从10元至5000元不等，已达到了情节严重的程度。被告在出售信息牟取利益时，所收受的费用不是一个明确的数额，明显没有一个标准的对价，更像是随意的定价，在不同情况中随机收取，查阅类似的案例也可以发现相同的情况，并且由于个人信息也不存在所谓的市场价格，因此我们可以得出结论，对于本罪出售行为进行认定时，不能以需要对方支付相应的对价作为构成出售信息行为的依据，因为这种违反法律规定的交易行为不存在所谓合理的对价。并且，在认定犯罪违法所得数额时直接使用行为人犯罪过程中实际获取的利益也会更加便利，节约司法资源。另外，每个人的信息、同一人的不同种类的信息，其价值大小、重要程度也不同，甚至同一信息在不同场景下地位作用也不同，即使由法律依据某种标准在价值大小上对不同种个人信息进行分化，设定出大致统一的标准，也很难涵盖数量、种类有如天文数字一般的个人信息，反而容易导致司法僵化。
（二）提供公民个人信息的认定
《刑法》原文在规定侵犯公民个人信息罪的时将“提供型”行为分为了出售行为与提供行为，在性质上出售与提供有许多重叠的部分，为了正确认定本罪中的“提供”行为，应当对下列两个问题进行讨论：
第一，“提供”行为与“出售”行为之间的关系是什么？根据《解释》第三条的规定，本罪中的“提供”行为包括三种具体的表现形式：第一种，行为人将其持有的公民个人信息提供给特定对象的，第二种，公开发布、散布个人信息的，第三种，在信息被收集者拒绝或尚未获得信息被收集者同意的情况下，将原本合法收集的当事人的信息违反法律规定向第三方提供的。以上规定便涉及到本罪中“提供”与“出售”的关系，因为上述三种提供的表现形式其实也可以出售的方式完成，对于法条中涉及的“出售”与“提供”两者之间的关系，有两种可能性，第一种是“提供”与“出售”为并列关系，互相之间并不存在交叉点。另一种是“提供”行为与“出售”行为之间是包含关系。本文认为，本罪中的“出售”应当包含于“提供”之内，“出售”行为其实是“提供”行为的所应当涵盖的方式之一。分析《解释》的有关规定，本罪中的“提供”是指行为人故意使不应知悉的人获得其掌握的公民个人信息；而“出售”是指行为人将其掌握的公民个人信息通过交易的方式使其他原本不应知悉个人信息的人获悉。“提供”与“出售”的共同之处在于两者都使不应掌握公民个人信息的人获得了信息，区别在于提供未必获取报酬而出售必定获取了报酬。换言之，“出售”行为是在“提供”行为的基础之上增加了以取得报酬为目的之要求，但是其根基与“提供”是相同的，可见“提供”行为与“出售”行为并不是平行的关系，而应当是“出售”包含于“提供”之内，刑法其实是将本罪中的“出售”认定为“提供”的一种。法律条文之所以会同时提及“出售”行为与“提供”行为，其目的并不是为了将“出售”与“提供”切分，而是为了强调“出售”是一种典型的“提供”方式。
第二，本罪中“提供”的对象是否必须特定？实施“提供”行为，必然有相应的接收信息的对象。“向特定人提供公民个人信息，属于‘提供’公民个人信息，对此不存在疑义。但是对于通过信息网络或者其他途径发布公民个人信息，是否属于‘提供公民个人信息’，存在不同认识”。首先，将向特定人提供信息与通过互联网散布、发布两种行为的对象进行对比，后者将会使更多原本不应知悉的人获取信息，其具有信息获取者的不确定性、造成更大危害结果的可能性和更高的法益危害性。既然行为人向特定对象提供信息的行为便可以满足本罪法益危害程度的条件，那么，举轻以明重，在可能造成的法益危害程度方面，向不特定对象提供信息的行为毫无疑问是满足本罪社会危害性要求的。其次，《解释》第三条也承认本罪中“提供”的手段包括公开发布、散布，由此可以看出，《解释》也是支持本罪中“提供”是包含向不特定对象发布、散布这种情形的。最后，许多案例也证明了实务中的确会出现公开发布、散布信息的情形，若不对这类案件进行处理，显然是不合理的。例如，丁亚光侵犯公民个人信息案，被告人利用一间为几千家酒店提供技术支持服务的网络技术公司系统中存在的漏洞，对其存储的酒店住宿记录进行下载，在下载这些信息后，被告人将其上传至自己建立的个人网站中，提供收费的下载服务。
此案中，行为人对公民个人信息在网上进行发布，只要注册成为会员的人都可以获取该信息，提供对象明显不特定，这种向不特定对象提供他人个人信息的行为相比向特定对象提供公民个人信息的行为性质更加恶劣，而且由于获取者的不特定导致可能造成难以预料的后果，维护秩序的稳定本就是刑法的责任，对于这种具有更高法益危害可能性的行为，更应当受到刑法的规制。因此，本罪中的“提供”应当包括向不特定人群散布、发布的情形。
摘自：广东财经大学 陈建清、王祯 《侵犯公民个人信息罪行为与情节之认定》