根据刑法第二百五十三条之一的规定，侵犯公民个人信息罪的客观行为，包括两种：一是非法获取公民个人信息；二是非法出售、提供公民个人信息。

非法持有，不属于非法获取、出售、提供中的任何一种，根据“法无明文规定不为罪”，仅就非法持有公民个人信息这一行为本身，不能以侵犯公民个人信息罪定罪处罚。但是，有可能会因为非法持有的公民个人信息源于“非法获取”，触犯侵犯公民个人信息罪。此处的“非法获取”，可以从两个层面理解：

一、非法，指的是违反国家的有关规定。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）第二条规定，违反法律、行政法规、部门规章有关公民个人信息保护的规定的，应当认定为刑法第二百五十三条之一规定的“违反国家有关规定”。

二、非法获取，指的是盗窃或者以其他方法非法获取。根据《解释》第四条，违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的“以其他方法非法获取公民个人信息”。

之所以说公民个人信息源于“非法获取”是有可能会触犯侵犯公民个人信息罪，而非一定会触犯侵犯公民个人信息罪，是因为可能符合以下例外：

如果持有的公民个人信息（限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息），是用于合法经营活动，即使该公民个人信息来源于非法购买、收受，除非公诉机关能提供证据证明被告人的行为符合《解释》第六条的规定，否则也不能认定为侵犯公民个人信息罪。此处的“合法经营”，也可以从两个层面来理解：

一、“合法经营”，应该关注的是行为人购买信息用于开展的业务是否合法，而不是苛求其经营没有任何的违法行为。要将“违法经营”和“经营中的一般违法行为”区分开来。

二、为了合法经营活动，对此可以综合全案证据认定，但主要应当由犯罪嫌疑人一方提供相关证据。