在刑事普法咨询中，经常有人问：侵犯公民个人信息多少条才构成犯罪？作为律师，需要先说明一个关键点：本罪并不是只看“条数”，而是要看信息类型、行为方式、违法所得、是否用于犯罪、是否利用职务便利等多重因素。司法解释对“情节严重”作了类型化规定，数量只是其中最常见的入罪路径之一。

一、先明确什么是“公民个人信息”

刑法意义上的公民个人信息，通常指以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、联系方式、住址、账号密码、财产状况、行踪轨迹等。并非所有“数据”都当然等同于个人信息，办案中需要结合识别性和关联性判断。

二、数量入罪：不同信息类型门槛不同

根据侵犯公民个人信息刑事案件司法解释，非法获取、出售或者提供公民个人信息，达到“情节严重”的，才进入刑事追诉范围。数量标准大致分为三档：

  • 五十条以上：行踪轨迹信息、通信内容、征信信息、财产信息。这类信息敏感度高，一旦泄露可能直接影响人身、财产安全，因此门槛最低。
  • 五百条以上：住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息。
  • 五千条以上：上述两类以外的普通公民个人信息。

如果数量未单独达到某一档标准，但按相应比例合计达到有关数量标准的，也可能被认定为“情节严重”。例如不同敏感程度的信息按比例折算后合计达标，同样存在刑事风险。

三、没有达到条数，也可能入罪

数量不是唯一标准。司法解释还规定了几种情形：出售或者提供行踪轨迹信息，被他人用于犯罪的；知道或者应当知道他人利用公民个人信息实施犯罪，仍向其出售或者提供的；违法所得五千元以上的；将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到相关标准一半以上的；曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又实施相关行为的。这些情形即使条数不高，也可能构成犯罪。

四、数量如何计算，是否有例外

对批量公民个人信息，办案机关可以根据查获的数量直接认定，但有证据证明信息不真实或者重复的除外。因此，实践中不能简单认为“查获多少条就认定多少条”，仍需围绕信息真实性、重复性、是否属于公民个人信息、是否达到相应类型标准等进行审查。对于为合法经营活动而非法购买、收受普通个人信息的行为，司法解释还设置了获利数额、前科等入罪条件，需要区别对待。

五、律师提示

侵犯公民个人信息多少条入罪，不能用一个数字概括。最稳妥的理解是：敏感信息五十条、重要信息五百条、一般信息五千条是常见数量门槛；未达数量标准时，违法所得、特殊身份、前科、信息用途等也可能触发刑事责任。达到相应标准十倍以上的，还可能被认定为“情节特别严重”。无论是企业处理数据，还是个人获取、提供信息，都应坚持合法、必要、授权原则，避免因“帮个忙”“转一手”而触碰刑事红线。