在数据成为重要资源的今天，个人信息早已不只是隐私问题，而是刑法明确保护的法益。实务中，因岗位便利接触到客户名单、快递面单、征信数据、业主信息，随后出售或提供给他人而被立案的当事人并不少见。被问得最多的一句话就是：侵犯公民个人信息罪判几年？这个问题没有统一答案，但有清晰的判断路径。下面从办案角度做一个客观梳理。

一、法定刑只有两档，分界线在“情节”

《刑法》第二百五十三条之一规定：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。窃取或者以其他方法非法获取公民个人信息的，依照前述规定处罚。

可见，量刑的第一道分水岭是“情节严重”还是“情节特别严重”，前者最高三年，后者三到七年。数额、条数、后果，都围绕这两个档次展开。

二、“情节严重”的具体门槛

根据2017年最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，达到下列情形之一，即属于“情节严重”：

  • 出售或提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上；
  • 出售或提供住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的个人信息五百条以上；
  • 出售或提供前述两类以外的公民个人信息五千条以上；
  • 非法获取、出售或提供个人信息，违法所得五千元以上；
  • 将在履行职责或提供服务过程中获得的个人信息出售、提供给他人的，数量或数额达到上述标准一半以上即可入罪；
  • 曾因侵犯公民个人信息受过刑事处罚，或二年内受过行政处罚，又实施该行为的。

这也解释了为什么同样是“卖了几十条”，有人被立案、有人仅被行政处罚——信息的敏感程度不同，法律给的容忍度完全不同。

三、“情节特别严重”如何认定

数量或数额达到前述标准十倍以上的，一般认定为情节特别严重；此外，造成被害人死亡、重伤、精神失常或者被绑架等严重后果，造成重大经济损失或恶劣社会影响的，同样可能落入这一档。这意味着一旦数量跨过临界点，量刑区间会直接从“三年以下”跳到“三年以上”。

四、除了条数，法官还会看什么

作为辩护方关注的重点，量刑并非只看数字：

  • 信息类型与用途：被下游用于电信网络诈骗、骚扰营销还是单纯留存，社会危害性评价不同；
  • 行为方式与次数：一次性打包提供与长期持续出售，主观恶性有别；
  • 地位作用：是信息源头、中间转手还是末端使用，主从犯认定直接影响刑期；
  • 法定、酌定从宽情节：自首、坦白、认罪认罚、退缴违法所得、赔偿损失并取得谅解，都可能带来实质性的从轻；
  • 单位犯罪：单位犯罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员依照个人犯罪的规定处罚。

五、几个容易踩坑的认识误区

  • “没赚钱就不算犯罪”——非法获取、提供同样可能入罪，牟利不是必备要件；
  • “只是帮忙转发”——转发、提供与出售在刑法上被并列评价；
  • “条数按次数累加”——同一信息重复出售一般按一条计算，不同批次未被处理的通常累计计算，需结合证据逐条核对。

结语

侵犯公民个人信息罪的刑期，本质上由信息敏感度、数量数额、危害后果和行为人的主观恶性共同决定。对已经涉案的当事人而言，尽早厘清条数认定、违法所得计算口径，并积极争取自首、退赃、认罪认罚等从宽情节，往往比纠结于“会判几年”更有意义。毕竟在这类案件中，量刑的弹性空间和证据的准确性空间，始终存在。