三类信息三个门槛，差了一百倍：高度敏感信息（行踪轨迹、通信内容、征信、财产）五十条；敏感信息（住宿、通信记录、健康生理、交易）五百条；一般信息（姓名、电话、身份证号）五千条。条数计算第一步是去重，同一人的多条信息按一条算。
三类信息，三个门槛
刑法第二百五十三条之一规定了三款行为：向他人出售或者提供公民个人信息，情节严重；违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供他人，从重处罚；窃取或者以其他方法非法获取公民个人信息。
三款的量刑一样：情节严重，三年以下；情节特别严重，三年以上七年以下。
这个罪的关键不在行为，在数量。
2017年两高的解释把信息分成三类，门槛差得很远。
第一类，行踪轨迹信息、通信内容、征信信息、财产信息，五十条就够。
第二类，住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的个人信息，五百条。
第三类，前两类以外的普通个人信息，五千条。
五十条和五千条，差一百倍。
同样是一万条信息，如果是行踪轨迹，远远超过门槛；如果是普通姓名电话，刚好过线。
所以这个罪的第一步，是把信息分类，然后数数。分类错了，数量算错了，量刑档次就错了。
什么算「公民个人信息」
解释的定义是：以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
关键词是「可识别」。
能单独识别身份的，姓名加身份证号、手机号、银行卡号，都算。
不能单独识别，但结合其他信息能识别的，也算。比如只有姓名和小区名，结合物业登记能定位到人，也算。
不能识别的，不算。比如脱敏后的统计数据、匿名的用户行为日志、企业工商登记信息（法定代表人姓名属于公开信息）。
实务中有争议的几类：
一是企业信息。公司名称、注册地址、统一社会信用代码，属于公开信息，一般不算公民个人信息。但法定代表人的姓名、手机号，如果和公司信息绑定，可能算。
二是公开渠道获取的信息。从裁判文书网、招投标公告、企业官网抓取的信息，本身是公开的，但如果批量收集、整理成库，再出售，仍可能构成本罪。因为「非法获取」不只看来源是否公开，还看获取方式是否违反规定。
三是经过加工的信息。把原始数据清洗、标签化、画像化，形成用户标签，这类数据的性质要看能不能反向识别到个人。能识别的，算；不能的，不算。
条数怎么算，去重是第一步
这是这个罪最技术性的部分。
解释规定：向不同对象分别出售或者提供同一公民个人信息的，条数不重复计算；向同一对象出售或者提供同一公民个人信息的，条数累计计算。
简单说，同一人的同一条信息，只算一次。
实务中的做法是去重：把信息按「姓名+手机号」「姓名+身份证号」这样的组合键去重，去掉重复项。
去重之后，数量往往会掉很多。一个号称十万条的数据库，去重后可能只剩三万条。
除了去重，还有几个要剔掉的：
无效信息。空号、停机号、错误的身份证号、不存在的地址。
非个人信息。企业信息、公开的机构联系方式、测试数据。
同一人的多条信息。一个人有五个手机号，如果只算条数，是五条；如果按人去重，是一条。这里要注意，解释是按「条」算的，不是按「人」算的，所以同一人的不同信息，如果分别属于不同类别，要分别计算。
不能识别到具体人的信息。经过脱敏处理、无法反向识别的，不算。
这类案件的数量认定，往往比定性更影响结果。去重之后条数掉一半，是常有的事。这一步往往是整个辩护里最费时间的，去重结果单独做一张表附在意见后面，这个动作看着笨，实际最能说服办案人。
数据中介，为什么容易被抓
这个罪里有一类当事人很特殊：数据中介。
他们不直接收集信息，也不直接使用信息，只是在买卖双方之间撮合，赚差价或者佣金。
这类人的辩解通常是：我只是中间人，数据不是我收集的，我也不知道来源合不合法。
这个辩解在实务中很难成立。
因为法条把「非法获取」和「出售、提供」并列，中介撮合交易，本身就属于「提供」的一环。而且中介通常对数据的来源、质量、价格行情最清楚，很难说自己不知道。
更关键的是，中介手里的数据量往往最大。一次撮合可能就是几十万条，条数一算，直接跳到特别严重。
这类人如果要争取从宽，靠的不是否认明知，而是配合调查、指认上游、退缴违法所得。
「违反国家有关规定」的层级
法条要求「违反国家有关规定」。
这个表述和非法经营罪的「违反国家规定」不一样，多了「有关」两个字。
实务中的理解是：包括法律、行政法规、部门规章。也就是说，层级比非法经营罪宽。
《网络安全法》《数据安全法》《个人信息保护法》，这三部法律是主要依据。
《个人信息保护法》的核心规则是：处理个人信息要有合法性基础，取得个人同意，或者符合法定情形；处理敏感个人信息要取得单独同意；向他人提供个人信息要告知并取得同意。
违反这些规则，出售、提供、获取个人信息，就可能构成本罪。
但要注意：不是所有违规都构成犯罪。只有「情节严重」才入罪，而情节严重的核心是数量和数额。轻微的违规，走行政处罚。
合法经营里的边界
企业手里的客户数据，什么情况下能用，什么情况下不能用，这是实务中最常被问到的问题。
几条线：
一是取得方式。数据是自己业务中收集的，还是从第三方买来的？买来的，要看卖方有没有取得授权。
二是授权范围。用户同意的是「用于本平台的服务」，还是「可以共享给第三方」？超出授权范围使用，就是违规。
三是使用目的。用于自身业务优化，和对外出售，性质完全不同。
四是脱敏处理。对外提供前有没有做去重、脱敏、去标识化？做了，风险大幅降低。
企业的客户数据怎么用才不越线，广东豪航律师事务所给互联网公司做合规时，第一句话是：先看你有没有取得单独同意。
单独同意，是《个人信息保护法》对敏感个人信息、对外提供、公开披露这些场景的要求。一个笼统的「同意用户协议」，不足以覆盖这些场景。
实务中不少案子的问题就出在这里：企业觉得自己有用户授权，但授权条款写得太宽泛，法院不认。
和非法获取计算机信息系统数据罪的分岔
这两个罪经常一起出现。
非法获取计算机信息系统数据罪，针对的是侵入计算机信息系统或者采用其他技术手段获取数据，保护的是计算机信息系统的安全。
侵犯公民个人信息罪，针对的是非法获取、出售、提供个人信息，保护的是公民的个人信息权益。
区别在于手段和数据性质。
通过黑客手段侵入数据库拖库，获取的是公民个人信息，两个罪都构成，从一重处。
通过内部权限导出客户数据，没有侵入系统，只构成侵犯公民个人信息罪。
从公开网站爬取数据，没有突破技术防护，一般不构成非法获取计算机信息系统数据罪，但可能构成侵犯公民个人信息罪。
辩护时要看：有没有突破技术防护措施。突破了，是非法获取计算机信息系统数据；没有突破，只是违规使用权限，是侵犯公民个人信息。这个界限广东豪航律师事务所会先从登录日志和权限记录查起。
情节特别严重，十倍
解释规定，情节特别严重的情形包括：数量或者数额达到前款规定标准十倍以上；造成被害人死亡、重伤、精神失常或者被绑架等严重后果；造成重大经济损失或者恶劣社会影响。
十倍，就是第一类五百条、第二类五千条、第三类五万条。
违法所得的标准，情节严重是五千元，特别严重是五万元。
这两个标准在实践中不总是一致。有的案子条数够特别严重，违法所得只有几千块；有的案子违法所得几十万，条数只有几百条。这时候按哪个算？
一般认为，两个标准是并列的，达到任何一个就可以认定。但量刑时会综合考虑。
辩护时可以利用这个差异：如果条数刚过特别严重的线，但违法所得很低，可以争从轻；如果违法所得高但条数不多，可以争数额计算的合理性。
家属最先做什么
第一件事，把数据拿到手，做去重和分类。这是辩护的基础，也是最能改变结果的一步。
第二件事，查数据来源。是买的、爬的、内部导出的，还是业务中正常收集的。来源决定「非法」能不能成立。
第三件事，查授权文件。用户协议、隐私政策、授权书，看授权范围覆盖不覆盖被指控的行为。
第四件事，算违法所得。这个数比条数更容易查清，也更影响量刑。
第五件事，主动删除、主动报告。数据已经泄露的，采取措施止损；被调查的，主动配合、主动删除。
谭君耀律师在这类案件里先做一件事：把检材里的重复项、无效项、公开信息全部剔掉，剩下的才是要辩护的数字。这个数字往往和起诉书上的差得很远，而这个差距，就是量刑的空间。