一、量刑的基本框架

侵犯公民个人信息罪规定于刑法第二百五十三条之一。根据该条，非法获取、出售或者提供公民个人信息，达到“情节严重”的，处三年以下有期徒刑或者拘役，并处或者单处罚金；达到“情节特别严重”的，处三年以上七年以下有期徒刑，并处罚金。单位犯罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员依照上述规定处罚。

由此可见，量刑并非只看信息条数，而是围绕“情节”展开。司法实践中通常综合信息类型、数量、用途、违法所得、危害后果、行为人主观恶性及悔罪表现等因素判断。

二、“情节严重”的常见认定

根据相关司法解释，非法获取、出售或者提供公民个人信息，具有下列情形之一，一般认定为“情节严重”：

  • 敏感信息数量：行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；
  • 较敏感信息数量：住宿信息、通信记录、健康生理信息、交易信息等五百条以上的；
  • 其他信息数量：其他公民个人信息五千条以上的；
  • 违法所得：违法所得五千元以上的；
  • 用途与后果：非法获取、出售或者提供行踪轨迹信息，被他人用于犯罪的；
  • 前科与行政处罚：曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又实施相关行为的；
  • 其他情节严重情形。

需要说明的是，信息条数通常按查获的数量直接认定，但能够证明信息不真实或者重复的除外。批量信息中，行为人主观明知程度、信息用途也会影响最终裁量。

三、“情节特别严重”的加重规则

“情节特别严重”一般对应更高的数量或数额标准，例如达到“情节严重”标准十倍以上，或者造成被害人死亡、重伤、精神失常、被绑架等严重后果，或者造成重大经济损失、恶劣社会影响等。此时法定刑升至三年以上七年以下有期徒刑，并处罚金。量刑时，法院还会考虑是否退赃退赔、是否认罪认罚、是否初犯偶犯、是否主动消除影响等从宽情节。

四、量刑中的宽严相济

侵犯公民个人信息罪的量刑强调宽严相济。对于非法获取、出售或者提供信息数量大、涉及敏感信息、形成黑色产业链、造成实际危害的，依法从严；对于数量刚达到标准、违法所得较少、未造成实际损害、认罪悔罪并积极退赃的，可能依法从宽。罚金刑的适用也会与违法所得、情节轻重相适应。单位犯罪中，直接责任人员的责任大小、参与程度同样是裁量重点。

此外，行为人如果同时构成其他犯罪，如电信网络诈骗、敲诈勒索等，可能依照处罚较重的规定定罪处罚或者数罪并罚。具体案件需结合证据和事实依法认定。

五、普法提示

公民个人信息受法律保护。无论是企业还是个人，收集、使用、提供个人信息都应遵循合法、正当、必要原则，取得必要授权并采取安全措施。对已经掌握的个人信息，不得非法出售、提供或获取。了解量刑规则，有助于形成对法律边界的清晰认识，避免因“信息换利益”而触碰刑事红线。