近日，有客人向我们咨询，为发展客户，购买了一个文件包（内含上千万条个人信息），后又将其中部分信息（5万条以内）出售给别人。这种情况，究竟是根据购入的信息条数来定罪量刑，还是根据出售的信息条数来定罪量刑？

在回答上述问题之前，我们可以先看一起司法案例：

苏州市吴中区人民法院（2021）苏0506刑初955号刑事判决书

基本案情

公诉机关指控，被告人袁某为经营贷款业务，于2017年、2020年分别通过QQ软件、暗网“茶马古道”向他人购买的方式，非法获取包含苏州市吴中区等地的公民个人信息100余万条。2020年11月20日，袁某通过QQ软件向他人出售公民个人信息5000余条，从中获利人民币80元。

被告人袁某对公诉机关指控的事实没有异议。

裁判观点

法院认为，被告人袁某违反国家规定，非法获取并向他人出售公民个人信息，情节严重，其行为已构成侵犯公民个人信息罪。判处袁某有期徒刑十个月，并处罚金一千元。

律师简析

最高人民法院、最高人民检察院2017年5月8日联合颁布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》）第五条、第六条，规定了侵犯公民个人信息的定罪量刑标准。具体来说，第五条规定了非法获取、出售或者提供公民个人信息的一般定罪量刑标准，第六条规定了为合法经营活动而非法购买、收受非敏感个人信息[1]的特殊定罪量刑标准，相对于第五条，第六条可以理解为一个特别条款。根据“特殊法优于一般法”的原则，当某一侵犯公民个人信息的行为同时符合第五条、第六条时，适用第六条。

《解释》第六条包含两款，第一款规定了为合法经营活动而非法购买、收受非敏感个人信息的定罪量刑标准，第二款规定了例外情形：实施前款规定的行为,将购买、收受的公民个人信息非法出售或者提供的,定罪量刑标准适用本解释第五条的规定。

《解释》第六条第二款中，适用《解释》第五条规定的对象，是非法出售或者提供部分个人信息对应的行为，还是全部个人信息对应的行为？

《解释》第六条第一款，之所以为为合法经营活动而非法购买、收受非敏感个人信息的行为设定了特殊的定罪量刑标准，原因在于该类行为的社会危害性较低，而第二款规定了例外，是因为将购买、收受的公民个人信息非法出售或者提供的行为是将个人信息进行流转，社会危害性与《解释》第五条规制的行为的社会危害性无异。因此，在《解释》第六条第二款中，适用《解释》第五条规定的对象，应该是非法出售或者提供部分个人信息对应的行为，而非全部个人信息对应的行为。

在上述案例中，袁某为经营贷款业务向他人购买公民个人信息100余万条，后又向他人出售公民个人信息5000余条，法院认为被告人袁某侵犯公民个人信息的行为系情节严重，说明没有认为“袁某为经营贷款业务向他人购买公民个人信息100余万条的行为” 适用《解释》第五条规定的定罪量刑标准，否则该行为就会被认定为情节特别严重了。此处的情节严重指的行为，是非法获取并向他人出售公民个人信息5000余条的行为。

该种裁判思路，在苏州市吴江区人民法院(2020)苏0509刑初1484号刑事判决书中也有体现。

在该案中，2019年12月至2020年3月期间，被告人林某为了扩大电商销售对象，从王某乙、王某丙、王某甲（均另案处理）处接收含有吴江居民的公民个人信息（包含姓名、电话、地址、购买商品等内容）44万余条，向王某乙、王某丙提供含有吴江居民的公民个人信息（包含姓名、电话、地址、购买商品等内容）4.8万余条。法院认为，被告人林某违反国家有关规定，向他人提供公民个人信息，情节严重，其行为已构成侵犯公民个人信息罪。

行文至此，文章开头时提到的问题的答案已经显而易见：根据出售的信息条数认定为侵犯公民个人信息情节严重。

[1]《解释》第五条第一款第三项、第四项规定以外的公民个人信息。