当前,侵犯公民个人信息犯罪呈现出逐年高发态势,且与电信网络诈骗、敲诈勒索等一系列下游犯罪的勾连日益密切。但由于相关立法与司法解释的滞后性以及犯罪手法的多样化、复杂化,使得司法实践中对于此类犯罪“不会判”、“不敢判”的现象屡屡发生。对此,两高于2017年5月8日联合发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》),《解释》丰富了公民个人信息的内涵,对个人信息犯罪的定罪量刑标准作出了明确而清晰的细化,在一定程度上平息了该罪设立及修正以来所引发的争议与疑难问题,有助于司法实践的准确性与统一性。但从《解释》的内容来看,相应的定罪量刑标准还尚存进一步解读的空间,一些法律适用问题仍然存在较大的争议。本文将立足于《解释》的新规定,对侵犯公民个人信息罪的犯罪构成要件进行梳理,对司法适用中的疑难问题作出进一步分析与探讨,以期对公民个人信息犯罪的有效防范有所助益,为有关司法实践提供借鉴与参考。本文除引言外,分为如下三章:第一章对“违反国家有关规定”的含义予以明确。《刑法修正案(九)》中最新对于“违反国家有关规定”的表述是立法者有意为之,其内涵和外延与《刑法》第96条“违反国家规定”相比存在较大的差异。“违反国家有关规定”属于客观构成要件要素,基于法定犯的二次性违法特征,司法实务中应当在判决书的说理部分明确指出行为人违反了哪部前置法的哪条规定。《解释》第2条将部门规章纳入国家有关规定的范畴虽属应对当下前置性法律缺失的无奈之举,符合目的解释的逻辑,但与社会主义法制统一原则相抵触,无法通过合宪性审视。在《解释》生效的前提下,应对“国家有关规定”进行限缩性解释,部门规章仅有在对上位法律、行政法规所规定的内容进行明确、细化的情形下才能作为判断行为是否违反国家有关规定的准则。第二章对“公民个人信息”的内涵和外延进行了明晰。为打击风险社会复杂多变的信息犯罪,公民个人信息的含义扩张为包括静态识别信息和动态活动情况信息。准确理解与认定公民个人信息须从实际违法性角度出发,牢牢把握本罪所保护的公民生活安宁和公共信息安全双重法益,紧紧抓住“可识别性”这一认定公民个人信息的核心要素。公民个人信息的主体应包括中国公民、外国公民、其他无国籍人等一切自然人,不包括法人和其他组织。对行踪轨迹信息的认定应从内容的动态性、相对独立性两方面加以把握,静态的人员定位信息、交通票据载明的出行信息不属于行踪轨迹信息的范畴。此外,对于财产信息宜作限缩性解释,侧重于反映财产性质,体现财产静态特征,若涉及财产交易情况,即展现财产动态特征,宜认定为交易信息。第三章对侵犯公民个人信息罪的客观行为进行了归纳与剖析。本罪的客观行为可简要概括为泄露型和获取型两类。泄露型是指向他人出售和提供公民个人信息的行为,出售是提供的常见情形,因此被单独列出以示强调,二者的区别在于行为人是否获得报酬。认定“提供”行为的标准为是否违反了“国家有关规定”,而并非是否征得权利人的同意。知道或应知他人实施犯罪而向其出售或提供公民个人信息的行为,根据对被帮助者所要从事的犯罪认识程度的不同,最终认定的罪名也不同。此外,此处所指的“犯罪”不应包含本罪,也即知道或应当知道他人利用其提供的公民个人信息继续实施个人信息犯罪的,不适用该项的规定。所谓获取型是指窃取或以其他非法方法获取公民个人信息的行为,“非法”应同样理解为违反国家有关规定,只要行为违反国家有关规定且与窃取行为具有手段上的相当性就可以认定为“其他方法”,也即中性手段也有可能构成本罪。针对《解释》第6条规定的为合法经营而非法购买、收受行为,应从实质层面准确把握合法经营的内涵,也即关注企业获取信息所用于开展的业务本身是否合法,故应将经营中的行政违法情形排除在外。对于“获利”的含义可以参照知识产权犯罪中有关“违法所得数额”认定标准加以把握。对于非法利用公民个人信息的行为,可以借助外围规制理论通过对法条中语词的解释将其纳入犯罪圈,而无需单独将此种行为类型规定为犯罪。