在当今网络科技发展迅速、信息满天飞的时代，相信不少民众在日常生活中都遭遇过个人及家庭信息被严重泄露的困扰，既不堪忍受铺天盖地的电话、短信骚扰，又不可避免的担心自身及家庭人身、财产安全。而实践中，除少数非法获取、出售或者提供公民个人信息的不法分子被追究刑事责任外，大量的真正受益主体（即非法购买、收受公民个人信息的企业或个人），却往往能援引“合法经营”条款，而最终免于追究刑事责任。
那么问题来了，同样是侵犯公民个人信息行为，甚至同等涉案信息数量，为什么有些行为人需要被追究刑事责任，而有些则能够幸免？究竟应当如何正确理解和适用侵犯公民个人信息罪中“合法经营”条款？我们需要结合具体法律条文及司法解释分析探讨。
一、侵犯公民个人信息罪的刑法依据
《中华人民共和国刑法》（以下简称《刑法》）第二百五十三条之一规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”
其中，就何为“公民个人信息”，《最高人民法院最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第一条明确规定：刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
二、侵犯公民个人信息的一般入罪门槛
《解释》第五条规定，非法获取、出售或者提供公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）出售或者提供行踪轨迹信息，被他人用于犯罪的；
（二）知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供的；
（三）非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；
（四）非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；
（五）非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的；
（六）数量未达到第三项至第五项规定标准，但是按相应比例合计达到有关数量标准的；
（七）违法所得五千元以上的；
（八）将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到第三项至第七项规定标准一半以上的；
（九）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法获取、出售或者提供公民个人信息的；
（十）其他情节严重的情形。
实施前款规定的行为，具有下列情形之一的，应当认定为刑法第二百五十三条之一第一款规定的“情节特别严重”：
（一）造成被害人死亡、重伤、精神失常或者被绑架等严重后果的；
（二）造成重大经济损失或者恶劣社会影响的；
（三）数量或者数额达到前款第三项至第八项规定标准十倍以上的；
（四）其他情节特别严重的情形。
三、为合法经营活动而非法购买、收受公民个人信息的特殊入罪门槛
考虑某些行为人非法获取公民个人信息的主观目的仅系为了自身合法经营活动，而非出售或提供他人，社会危害性相对较小，《解释》第六条特别规定，为合法经营活动而非法购买、收受本解释第五条第一款第三项、第四项规定以外的公民个人信息，具有下列情形之一的，应当认定为刑法第二百五十三条之一规定的“情节严重”：
（一）利用非法购买、收受的公民个人信息获利五万元以上的；
（二）曾因侵犯公民个人信息受过刑事处罚或者二年内受过行政处罚，又非法购买、收受公民个人信息的；
（三）其他情节严重的情形。
实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。
四、如何理解和适用《解释》第六条的“合法经营”条款
首先，该条适用的前提应限于“合法经营活动”。
然，究竟何为“合法经营活动”？企业未来得及办理工商登记或超出营业执照登记范围所实施的一般经营性活动，或者企业虽在营业执照登记范围内从事经营活动，但同时存在其他轻微的违法或违约行为，还能否适用《解释》第六条？《解释》中并未明确。
结合多年刑辩经验，笔者认为，此处的“合法经营活动”应对比《刑法》所打击的违法犯罪活动，理由在于：《解释》第六条的设置，本就是考虑大多侵犯公民个人信息行为其主要目的系用于违法犯罪活动，如进行电信网络诈骗、洗钱等，具有显著的社会危害性，但仍有相当一部分行为人，其收集公民个人信息行为后并未继续扩散，而仅是用于企业自身经营发展需要，比如广告推销、企业宣传等，鉴于后者危害性相对不大，如一味予以刑事打击，将明显违背立法本意，遂秉承刑法的谦抑性，对该类行为适当提高入罪门槛，以体现宽严相济政策；此外，若设置了该条款，却不能容忍企业或个人的一般违法违约行为，将其继续上升至刑事违法层面，进而缩小“合法经营活动”的适用范围，则无异于再次违背了法律及《解释》出台的本意。
除常见的网络赌博、电信诈骗等违法犯罪活动外，依据《刑法》第二百二十五条规定，“非法经营行为”主要指以下四类：（一）未经许可经营法律、行政法规规定的专营、专卖物品或者其他限制买卖的物品的；（二）买卖进出口许可证、进出口原产地证明以及其他法律、行政法规规定的经营许可证或者批准文件的；（三）未经国家有关主管部门批准非法经营证券、期货、保险业务的，或者非法从事资金支付结算业务的；（四）其他严重扰乱市场秩序的非法经营行为。
举例说明，山东省禹城市人民法院在（2018）鲁1482刑初67号《刑事判决书》中明确表示，“为了合法经营活动，也就是说行为人主观目的必须是出于合法经营的目的，而非用于其他违法犯罪行为，本案中两被告人获取公民信息的主观目的就是从事保健食品经营，客观事实上也是将信息用于了销售保健食品，虽未及时办理营业执照和食品流通许可证等经营手续，但该行为与认定为是否系‘为合法经营活动’并无关联......”，并最终采纳辩护人关于“被告人行为符合为合法经营活动而非法购买和收受公民个人信息”的辩护意见。
再如，浙江省温州市鹿城区人民法院在（2017）浙0302刑初1487号案《刑事判决书》中明确表示，“公诉人认为，温州xx有限公司部分业务超范围经营的行为，违反了相关行政管理规定，其经营活动不具有合法性。经查，温州市鹿城区市场监督管理局向温州xx有限公司颁发的营业执照所确定的经营范围包括‘开展英语、作文、绘画、语言、音乐、舞蹈、体育培训’等，由此可见，温州xx有限公司系一家合法的培训机构。据此，本院认为，公诉机关未就温州xx有限公司在经营过程中是否存在超范围经营行为提供相应的证据，亦未对超范围经营行为进行指控，而超范围经营的行为属于经营过程中的一般违法行为，不能就此否定经营业务的合法性，鉴于温州xx有限公司所经营的业务在本质上不具有刑事违法性，可认定被告人xxx非法购买学生信息的目的是为了合法经营活动。辩护人上述辩护意见应予采纳，公诉人的意见不予采纳...公诉机关建议判处被告人xxx有期徒刑二年至三年的量刑意见偏重，不予采纳。结合本案上述情节及被告人xxx的悔罪表现，可对其宣告缓刑。”
因此，笔者认为，即便行为人未来得及办理工商登记或超出营业执照登记范围实施了一般性经营活动，或者是经营过程中存在一般违法违约行为，只要该经营行为在本质上不具有刑事违法性，不属于《刑法》所打击的非法经营行为或是其他违法犯罪活动，就仍属于《解释》第六条所规定的“合法经营活动”，并应适用《解释》第六条规定的定罪量刑标准，如达不到该条规定的“情节严重”标准的，行为人应不构成犯罪。
当然，如行为人上述行为虽未达到“情节严重”的刑事立案追诉标准，但严重影响了公民日常生活和工作，公民依然可以援引《消费者权益保护法》等其他法律法规，以维护自身合法权益。如《消费者权益保护法》第二十九条第三款规定，“经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息”。
其次、“合法经营”条款仅适用于行为人非法获取一般公民个人信息，而不适用于非法获取《解释》第五条第一款第三项、第四项规定的可能影响公民人身、财产安全的公民个人信息。
根据《解释》第五条、第六条规定，“合法经营”条款仅适用于《解释》第五条第一款第三项、第四项以外的一般公民个人信息，而不适用于行踪轨迹信息、通信内容、征信信息、财产信息，也不适用于住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息。
因此，如行为人非法购买、收受的是《解释》第五条第一款第三项、第四项规定的上述公民个人信息，则应排除《解释》第六条的适用，而适用《解释》第五条的规定。
值得注意的是，司法实践中，如果行为人非法购买、收受的公民个人信息中实际包括与财产有关信息，但行为人主观意图并不包括利用该类信息、实际也没有利用，且上列信息未再次流出扩散，不会对公民人身、财产安全造成危害的，可不认定为行为人非法购买、收受“财产信息”，而仅以一般公民信息认定。
如，重庆市第五中级人民法院在（2017）渝05刑终1003号《刑事判决书》中明确认定，“关于本案涉及的包含车辆信息内容的车主信息是否应认定为财产信息。经查，上诉人xx所获取的车主信息包含车牌号码、车身颜色、车辆品牌、机动车所有人、联系电话、住所详细地址。审理认为，虽然上述公民个人信息包含有车辆号牌、品牌、颜色的信息内容，但不含有车辆型号、排量、购买价格、行驶公里、购买方式、维修情况等可以对该车辆进行估价或者评价公民个人财务状况的内容，且xx利用该类信息仅限于拨打‘联系电话’提供贷款中介服务，故该类信息不宜认定为公民财产信息。出庭旅行职务的检察人员有关上述公民个信息属于《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中规定的‘财产信息’的意见不能成立，本院不予采纳。”
第三，“合法经营”条款应仅适用于行为人非法购买、收受行为，而不适用于盗窃、交换或其他非法获取行为。
笔者注意到，《刑法》第二百五十三条之一第三款规定，窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚；《解释》第四条进一步规定，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”；而《解释》第六条中，却仅规定了行为人为合法经营活动而非法购买、收受公民信息，并未提及窃取、交换或者其他非法获取公民个人信息情况。
就《解释》第六条是否适用于其他非法获取行为，司法实践中一直存在分歧，审判机关往往出于对被告人有利原则或其他原因，而对此予以扩大解释。
如，最高人民检察院检察日报及网站曾于2019年公开刊登《正确认定“为合法经营”侵犯公民个人信息》一文（作者单位：上海市闵行区人民检察院），文中就“获取方式层面”明确表述：“该条款适用的范围包括购买、收受。购买与收受后的出售牟利行为并不包括在此范围内。其他非法获取手段，如盗取等因本身社会危害性较大，也不包含在《解释》的范围内。值得注意的是，该条文也不包含交换。”
而安徽省阜阳市中级人民法院在（2020）皖12刑终382号案中，却作出与之完全相反的认定。该案《刑事裁定书》显示，公诉机关抗诉主张被告人利用从网络上购买的“58同城”网站信息下载器，下载网站注册用户的个人信息十万余条，属于以其他方法非法获取公民信息，无论被告人是否属于合法经营，均应适用《解释》第五条规定，以“情节特别严重”判处刑罚；而安徽省阜阳市中级人民法院虽认同被告人属于属于以其他方法非法获取公民个人信息，但基于被告人所从事的业务属于合法经营，便主张应适用《解释》第六条第一款规定，属情节严重，据此，安徽省阜阳市中级人民法院认定原公诉机关认为属情节特别严重于法无据，抗诉意见不能成立。
对此，笔者赞同上海市闵行区人民检察院意见，认为《解释》第六条之所以单列购买、收受行为，主要在于盗取、交换以及其他非法获取公民个人信息行为本身的社会危害性较大，应属于《刑法》严厉打击的对象，无需再行提高入罪门槛，应直接适用《解释》第五条规定。
第四，“合法经营”条款要求所购买、收受的公民个人信息不得继续流出扩散，也就是说，行为人必须仅有购买、收受行为，而不得将购买、收受的公民个人信息再非法出售或者提供他人。
《解释》第六条第二款规定，实施前款规定的行为，将购买、收受的公民个人信息非法出售或者提供的，定罪量刑标准适用本解释第五条的规定。
依照上述规定，如行为人希望适用“合法经营”条款，则所获取的公民个人信息必须只能用于自身合法经营活动，而不得再行出售或提供给第三人，否则，则应排除适用《解释》第六条，而直接适用《解释》第五条的规定。
如，重庆市第五中级人民法院(2017)渝05刑终1090号《刑事判决书》显示，“原审法院认为，xxx违反国家规定，非法获取、提供公民个人信息共计71292条，情节特别严重，其中xxx向他人发送信息32616条，接收他人发送的信息38676条。审理认为，xxx为正当经营非法获取的公民个人信息即接受的信息38676条，应当适用《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第六条的规定，不应计入其侵犯公民个人信息的数量。而xxx向他人发送的32616条信息中部分属于法定代表人信息，可以通过互联网检索查询，亦应当予以排除。原审法院认定事实错误。出庭履行职务的检察官及辩护人关于原审认定xxx侵犯公民个人信息数量不当的意见成立，本院予以采纳。”
除此之外，该判决书中亦提及《解释》第十一条第三款的规定“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或重复的除外”，基于与本案主题无关，笔者不再赘述。
第五，“合法经营”条款暂不存在“情节特别严重”情形。
对此，司法实践中已经存在了明显分歧。
如，河北省邯郸市中级人民法院在（2020）冀04刑终263号《刑事裁定书》中，明确认定：“上诉人及辩护人提出的原审适用法律错误，其行为属于为了合法经营而非法购买、收受公民个人信息，不属于《解释》第五条的‘情节特别严重’，而应适用该解释第六条的‘情节严重’的意见，经查，根据《解释》的规定，该解释第六条是对‘情节严重’的规定，而xxx购买的信息数量达到该解释规定标准的十倍以上，属于‘情节特别严重’，原审法院适用法律准确”，进而驳回被告人上诉、维持原判。
而上述提到的山东省禹城市人民法院在（2018）鲁1482刑初67号《刑事判决书》中，涉案公民个人信息数量同样达到十倍以上，但法院却认定：“被告人xx、xxx虽无第六条第一款第一、二项规定的情形，但是其为了获取经济利益，收受和购买有效公民信息七万余条，该行为侵犯了公民个人信息的安全和隐私，对公民的正常工作和生活造成了较大影响，应属于该解释第六条第一款第三项规定的‘其他严重的情形’。”
同样，上述提到的重庆市第五中级人民法院在（2017）渝05刑终1003号《刑事判决书》中，亦认定：“xx侵犯公民个人信息数量达5万余条，且大量信息已经使用，严重侵犯公民个人隐私，属于《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第六条第一款第（三）项规定的‘其他情节严重的情形’。”
对此，笔者认为，《解释》第五条既能够细致罗列多达十项“情节严重”标准及四项“情节特别严重”标准，本身不应当也没有理由在《解释》第六条中出现如此明显的疏漏，极有可能系故意为之；此外，《解释》第六条的设置本身就是为了贯彻宽严相济政策，在行为人合法经营活动下，购买一般公民个人信息行为本身的危害性不大，并不需要判处三年以上有期徒刑，仅以“其他情节严重情形”兜底约束即可；一旦行为人非法购买、收受范围超出了一般公民个人信息范畴，或者行为人利用购买、收受的一般公民个人信息实施违法犯罪活动，抑或行为人购买一般公民个人信息后又再行出售或提供他人的，则完全可以直接直接适用《解释》第五条之规定。
鉴于司法实践中确实存在不同理解，导致同等情况下各地量刑悬殊较大，为维护当事人合法权益、确保法律面前人人平等，笔者认为，两高还是尽快研究并形成一致意见，或依法公告发布相关指导案例，以统一各地裁判标准。
五、结语
上述内容仅针对律师在辩护工作中如何理解和适用“合法经营”条款，最后，笔者想提醒大家，律师在从事代理工作时，更应注意防范自身可能面临的侵犯公民个人信息违法犯罪陷阱。
早在2012年间，北京青年报便曾报道过律师丛某利用职业身份非法获取企业工商档案及法人信息并出售，两年半内非法获利4万余元，并最终面临刑事责任追究的案例，一度发人深思。而近年来，笔者周遭亦存在有个别律师或律师辅助人员利用职业优势，非法调取公民个人信息并出售的情况；除此之外，还有个别律师为代理银行催收案件、查证财产线索，而向他人非法购买、收受公民个人信息而案发情况。一朝事发，令自身身陷囹圄，着实令人惋惜。
因涉及当事人隐私，笔者不再一一展开，只在此提醒大家，律师只有先保护好自己，才能最大程度的维护当事人合法权益；法律不会因我们的律师身份而网开一面，漫长的执业生涯中，作为法律工作者，律师只有爱惜自己的羽毛，才能飞得更高更远，才能将法治精神弘扬至千家万户，让我们的法律为世人所敬畏。
编辑：郭海虎、闫维航
版式：迪丽娜孜
