一、问题的提出

司法实务中出现的一类现象值得刑事司法与刑法理论的思考与重视：某些执业律师或者当事人为进行民事诉讼、刑事诉讼等诉讼活动，委托其他律师通过非正常渠道或有瑕疵的手续，从有权机关获取（查询）诉讼对方当事人或案件相关人的户籍等个人信息，一旦此类信息达到一定数量，或者有偿服务的金额达到一定数额，受委托的行为人往往会被以侵犯公民个人信息罪追究刑事责任。但涉案律师往往辩称，其行为是行业互助，且这些有偿提供的户籍信息，都能“通过裁判文书网及执行信息网，确实能查到所有被调的身份信息后续都被用于诉讼或被执行”。

上述类案往往具有以下共同特征与疑问。第一，执业律师受委托，为了诉讼目的而查询人口户籍信息（委托人所在地区公安机关没有开放提供此类行政服务项目），但在手续上确有虚假或者伪造的事实。有些行为人是接受了转委托。接受转委托的律师进行查询的行为是否属于律师滥用自行调查权的情形？仅仅是滥用自行调查权（比如伪造委托手续）的行为，就可以侵犯公民个人信息罪追究刑事责任？侵犯公民个人信息罪到底制裁的是手段上的不法行为，还是规制的侵害个人信息安全的行为？第二，侵犯公民个人信息罪到底保护什么样的法益，是公民个人信息自决权，还是个人信息安全与利用安全权？个人信息没有泄露可能，也无危及人身与财产危险或者实害的情形，是否仍然属于本罪所规制的情形，尤其是在《个人信息保护法》规定了“促进个人信息合理利用”立法宗旨之后？第三，作为侵犯公民个人信息罪的前置法，《个人信息保护法》实施后，《刑法》条文中的“违反国家有关规定”是否应当回归“国家规定”的本来含义，以使得《刑法》总则的“国家规定”得以真正统摄《刑法》分则的内容。符合“国家有关规定”中部门规章或者其他规范性文件的行为，是否应当是出罪化的理由？第四，诉权作为公民基本人权的重要内容，应当受到法律的尊重与保护，它与个人信息权是否处于同一个受保护的层次？换言之，为了正当的诉讼目的，对方当事人的个人信息权是否应当受到一定限制，是否存在信息主体推定同意，或者推定必须有同意他人合理使用其个人信息的义务？在权源上具有正当性的行为，即便律师在查询程序或者法律文书上存在瑕疵，或者有伪造行为，但信息使用是为了诉讼且信息没有泄露的危险或者实害，也没有危及信息主体的人身与财产安全，刑法是否能够按照侵犯公民个人信息罪进行规制？

本文认为，个人信息不仅仅是私法意义上的权利，更具有公法的性质以及社会法意义上的功能。所以，一方面，信息主体对个人信息享有特定权利。另一方面，信息主体以外的其他主体也可能基于其他理由或者依据，对他人的个人信息享有权利。从这个意义上说，个人信息仅仅是“关于个人的信息”而不是“属于个人的信息”。另外，个人信息还有信息流通的公共面向，即信息或数据的流通价值。侵犯公民个人信息罪的法益是个人信息安全（包括利用安全）权，而不是简单的个人信息自主权或者自决权。基于合法目的而提供或者有偿出售个人信息，且没有造成信息泄露，也没有危及信息主体人身、财产安全的行为，尽管在程序或者法律文书上存在瑕疵，或者存在虚假伪造等行为，可能构成其他罪，但不能构成侵犯公民个人信息罪；在个人信息保护方面，我们采取的是先刑法后前置法的立法模式，即先有刑法规定的侵犯公民个人信息罪，后才有作为前置法的《网络安全法》，尤其是《个人信息保护法》。因此，相关的司法解释是在欠缺前置法情况下，为了解决司法难题而出台的司法适用标准；在《个人信息保护法》实施后，侵犯公民个人信息罪的认定理应按照前置法进行调整，尤其是应当按照《个人信息保护法》的立法目的进行解释适用。

二、侵犯公民个人信息罪的法益是个人信息安全与利用安全

《个人信息保护法》生效后，侵犯公民个人信息罪的法益需要重新界定。有关个人信息的法律定位，在《个人信息保护法》实施前，学理上有多重学说。财产权说立足于个人信息的财产属性，认为个人信息属于新型财产权，即信息财产权。具体人格权说认为个人信息属于人格权，而且是一种新型人格权。隐私权说认为个人信息属于隐私权，应当用保护隐私权的方式保护个人信息。个人信息权说认为，个人信息包括积极使用并许可他人使用的权利和消极防御他人侵害的权利，并且是兼具人格权与财产权的新型权利。个人信息自决权说认为本罪的保护法益是个人信息自决权。除了上述观点外，还有各种超个人法益说。个人信息安全的社会信赖说认为，社会成员对个人信息安全的信赖是必要的，只要保证这一信赖感，整个社会的信息秩序就能正常运行。信息管理秩序说认为该罪法益为单纯的公共法益即“社会信息管理秩序”。个人利益、社会整体利益与国家利益的超个人法益说认为正是基于超个人法益的原因，本罪的法定刑才与危害人的生命、健康犯罪的法定刑相同甚至更高。就个人信息保护而言，上述观点反映的是典型的私法法益观。私法法益观认为个人信息权属于典型的私权，其目的是作为信息主体的个人对其个人信息有自主权与自决权，当然就理所当然具有排斥他人对其个人信息侵犯的权利，因此，其权利的指向是作为平等民事主体的他人（自然人）或者单位。

《个人信息保护法》实施前后，除了传统意义上个人信息自决权的坚守说，以及作为新型权利的个人信息权观点之外，理论界依次有如下新的主张。一是个人信息受保护权说。该说认为刑法保护个人信息不是为了确权，而是为了规避风险。二是个人信息安全说。有观点进一步认为，保护信息安全是手段，保护个人信息权利是目的，保护个人信息本质上是为了保护个人的人身、财产安全。三是个人信息保护说基础上的利用安全说。比如，对“数据安全”的保护，应当从“控制安全”转向“利用安全”；只有这样，才能“兼顾数据主体的利益和数据利用者的利益，以尽可能释放数据所蕴含的社会价值”。应当说，个人信息受保护权、个人信息安全权与个人信息利用安全权，强调的重点与中心有所不同，但都涉及个人信息的保护与个人信息的利用安全问题。对此，有学者指出，在《个人信息保护法》实施后，我们应当超越本罪法益是个人法益还是超个人法益的理论争议，进行法益的重新界定。应当说，这一认识有其理论的深刻性。

明晰侵犯公民个人信息罪的法益内容，就必须联系《个人信息保护法》，尽管《个人信息保护法》有其自身的立法目的与功能。因为《个人信息保护法》是刑法中侵犯公民个人信息罪的前置法。《个人信息保护法》第1条规定：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。”应当说，“规范个人信息处理活动，促进个人信息合理利用”的立法定位，鲜明地表达了《个人信息保护法》是具有公法性质的法律，而这一规定与《民法典》纯粹的私法保护有鲜明的区别，也与属于纯粹公法的《网络安全法》有重大差异。如果说私法的目的在于确权，那么，公法的目的就在于规制风险。作为具有公法性质的《个人信息保护法》，有其特殊的法益保护任务，对个人信息利用安全的保障是其重要的法益保护内容之一。基于公法法益观，个人信息权，无论是个人信息本身的安全，还是个人信息的他人合理使用，需要的是个人信息受保护的安全法益的确立与保障，其目的不在于通过对个人信息的确权来划定他人行为的边界，而是通过规制信息处理者的行为来防止对个人信息处理与利用的侵犯风险。

由此，《个人信息保护法》的公法性质决定了个人信息权益承载的内容，即其不仅是信息主体的权益（但不是简单的信息自决权），还包括他人权益、公共秩序、国家安全等公共法益。与单纯属于私权的个人权益相比，个人信息必然具有一定的公共属性。为此，一些私法层面的个人信息权益就可能因为诉权等权利的行使而进行一定的让渡，或者受到公共利益或者其他利益的制约与限制。我国《刑法》第253条之一中“违反国家有关规定”的表述实际上也证明了刑法采取的是公法法益观，进言之，侵犯公民个人信息罪属于法定犯，该罪构成要件依赖前置法的补充，尽管该罪规定在侵犯公民人身权利与民主权利罪之中。事实上，基于法秩序统一性原理以及体系解释的基本要求，《个人信息保护法》颁行后，侵犯公民个人信息罪的法益需要重新认定是一个不争的问题。就个人信息合理利用而言，它具有公法益的性质，具有对个人信息主体权益的合理限制的规范内容。因此，如何紧扣作为侵犯公民个人信息罪认定所必须依靠的前置法即《个人信息保护法》的立法宗旨与功能定位，从个人信息的保护是基于公法益保护的立场出发，明确本罪的法益内容，就显得极其重要。就此，应当以《个人信息保护法》的立法目的与宗旨为指引，重新确定侵犯公民个人信息罪的法益内容才是准确的、合理的。

《个人信息保护法》规定的个人信息的合理利用，决定了个人信息安全与利用安全才是侵犯公民个人信息罪的保护法益。学者指出，法益一直以来被认为具有限制刑法作用。尤其是在我国立法出罪机制不畅的背景下，更应当通过法益来合理解释刑法，以维护刑法谦抑的底线以及刑罚处罚的正当性。尽管《个人信息保护法》同时规定了个人在个人信息处理活动中的权利，以及私法救济的方式与途径，但需要注意的是，这只是一种注意规定或者法律如何适用的提醒。它只是说明在行政监管框架下，将个人信息权作为国家规制非法处理个人信息行为的制度性前提。侵害个人信息权益的行为有私法救济的依据，并不说明该法就是私法性质。纯粹的民事权利的确认与保护，由《民法典》足以调整，《个人信息保护法》关注的是信息的处理者与使用者的权力、责任与义务以及个人信息的使用安全。对此，《个人信息保护法》第66条第1款、第70条、第71条都有明确的规定。

在对侵犯公民个人信息罪构成要件进行解释时，应当以保护法益为依据，同时反思该利益是否确实值得刑法保护。按照《个人信息保护法》的规定，个人信息保护与合理利用是个人信息最为核心的价值与要求。也就是说，信息安全与利用安全才是基本的立法价值，刑法作为保障法，其保护法益的内容不可能比前置法更宽泛，只能等于或者小于前置法的范围。因此，个人信息安全与利用安全才是侵犯公民个人信息罪的法益。这种合理利用，既有自己合理利用的问题，也有他人或者组织合理利用的问题。因此，对个人信息的合理利用，首要的就必须要具有合目的性，即必须符合信息使用的合法目的，且有明确的法律依据。合目的性意味着侵犯公民个人信息罪的成立应当综合考虑处理公开个人信息的目的、用途以及使用的结果，进而才能认定该行为是否构成犯罪，即“应当坚持以信息利用权为核心来建构和解释相应的规范体系，以实现自由、安全和经济发展之间的平衡”。对于本罪，我们应当明晰的是，“明确刑法的保护目的不仅在于保障个人信息权，更在于确保个人信息的安全与流通，规避个人信息流通风险”。只有那些明显违背信息使用目的，或者明显改变信息本身用途，或者严重违反比例原则，并利用个人信息实施或者让他人实施可能危及公民人身、财产安全或产生实害结果的违法犯罪行为，才能构成本罪。相应的结论必然是，本罪是具体危险犯而不是行为犯或抽象危险犯。

三、刑法只制裁危及公民人身、财产安全的出售或者提供行为

侵犯公民个人信息罪的目的，在于防止侵害公民的人格尊严与财产安全行为的发生，并促进与保障个人信息的合理使用。在《个人信息保护法》实施前，侵犯公民个人信息罪可被认为是对人格尊严和财产安全最为严厉的前置性保护规范。但《个人信息保护法》实施后，应当有意识地协调前置法与刑法之间的关系，并确立各自的规制范围。换言之，应当发挥前置法的作用，不应当主动出击让刑法来调整。为此，单纯的个人信息并不能当然构成刑法规范的保护法益内容，只有在个人信息与个体的生命、健康、自由和财产安全之间产生联结关系，并有被侵害的危险或者现实后果时，才有受到刑法保护的可能性。

顺理成章地，侵犯公民个人信息罪就应当坚守构成要件的解释边界：只有侵犯公民个人信息的行为已经对公民的人格尊严或财产安全，产生显著的危险或者造成实害，才能肯定侵犯公民个人信息罪的实质性构成要件得到满足。换言之，“应当将公民个人信息限制为对公民人身财产权利威胁较大的信息，并且综合考虑公民的信息自决和信息对公民人身财产安全的威胁程度来认定公民个人信息”。从这个意义上说，如果行为人批量查询敏感公民个人信息以外的公民个人信息出售给他人并从中非法谋利，且“涉案信息数量巨大的”，则他人的生命、健康、自由与财产安全就具有潜在的被侵害的风险与危险，刑法的规制就具有正当性基础。反之，若他人查询个人信息或者使用个人信息数量较少，又不属于敏感信息，甚至基于律师执业需要而有偿提供公民个人信息的行为，且确实用于诉讼活动的，就并不足以造成个人信息泄露危险或者造成公众人身伤害或财产重大损失，则不应当构成本罪，而属于前置法规制的行为。

需要特别注意的是，个人信息流通和利用，是信息本身的天然属性，只要这种流通与利用满足目的正当性、手段的适当性、最小侵害性和均衡性要求，就不可能构成本罪。“最小侵害性”是指信息流通效能所获得的收益不能小于对信息权人所造成的损害，这一要求是信息使用基本的边界限定。换言之，如果对于公开个人信息的处理导致信息权人权益受到重大损害或者有重大损害风险，则应当禁止该处理行为，也可能为刑法所禁止。正因如此，基于比例原则的基本考量，《个人信息保护法》对个人信息的使用规定了禁止性规则。对于公开个人信息的处理，《个人信息保护法》第6条设定了必须“采取对个人权益影响最小的方式”，进而必然可以得出“对个人权益有重大影响”禁止性规则的结论。违反该禁止性规则，则可能导致刑事责任的承担。

对信息主体的权益产生重大影响，既包括对信息主体的人身权益的影响，也包括对信息主体财产权益的影响，既包括已经对信息主体的人身或者财产权益造成的实害结果，也包括可能造成的对信息主体人身与财产权益的损害危险。对公民个人信息的利用只要符合“采取对个人权益影响最小的方式”要求，就一定不能成立犯罪。因为“在由《个人信息保护法》《数据安全法》《网络安全法》《民法典》等组成的个人信息法律保护体系中，刑法充任‘次级规范’和最后保障法，只负责将最严重的侵犯个人信息权、危及法治国之社会交往的行为纳入处罚范围”。

《个人信息保护法》维护公共利益或者促进个人信息使用的社会价值的目的应当体现在犯罪的入罪与出罪认定过程中。《个人信息保护法》设立个人信息权益的方式主要有两种：一是规定个人所拥有的个人信息的权能，进而为实现信息主体的信息自主权提供保护依据；二是他人或者组织合理使用的权利，同时规定政府和掌握个人信息等数据平台所应当承担的责任，即保护个人信息安全使用的义务。《个人信息保护法》第六章规定了履行个人信息保护职责的职能部门，明确将公民个人信息的保护纳入国家监管的总体系之中，第七章规定了违法处理与使用个人信息者的法律责任。这说明违法处理个人信息的行为并非仅仅针对个人信息权的侵害，也是对合理使用他人个人信息义务的违反，是对国家之个人信息监管秩序的侵害。《个人信息保护法》所凸显的是通过个人信息的合理利用来维护公共利益或者促进个人信息社会价值的实现，这一目的是通过国家对公民个人信息权的强制性限制规定来达成的。

因此，侵犯公民个人信息罪的入罪判断与出罪认定，就应当体现并反映这一要求。相应地，侵犯公民个人信息罪中“情节严重”以及司法解释中的“情节严重”的具体标准，应当按照《个人信息保护法》以及现有的司法解释进行体系层面的重新解释，应当按照具体危险犯进行从严适用。具言之，信息处理者所涉的个人信息被用于犯罪或者明知其犯罪而提供，以及可能危及或者实际产生危害信息主体人身、财产安全的结果，才能构成本罪。作为侵犯公民个人信息罪的构成要件，在《个人信息保护法》颁行前，按照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）（以下简称《个人信息刑事案件适用法律解释》）第5条第1款的规定，非法获取、出售或者提供公民个人信息，具有第（七）项情形，即“违法所得五千元以上的”，应当认定为《刑法》第253条之一规定的“情节严重”。我们应当注意的是，《个人信息刑事案件适用法律解释》不仅在定义个人信息时也明确将账号密码、财产状况等个人信息列入其中，而且在第5条第1款第（四）项还规定了“其他可能影响人身、财产安全的公民个人信息”这一类型。

我们还应当关切的问题是，《个人信息刑事案件适用法律解释》是在欠缺前置法的情况下，刑法先行规定了侵犯公民个人信息罪，进而由司法机关进行了相关的解释，这为司法实践提供了可以作为依据的追诉标准。问题是，《个人信息保护法》施行后，就不能仍然简单套用之前的司法解释标准，而应当按照前置法规定，对一般性质的个人信息处理，以《个人信息保护法》第70条“违反本法规定处理个人信息，侵害众多个人的权益的”要求，重新对《个人信息刑事案件适用法律解释》第5条第1款第（五）项及之后的其他各项进行解释，即以第（四）项的基本精神作为解释的基本指向，把“可能影响人身、财产安全的公民个人信息”作为信息数、违法所得数额的前提条件，才是合理的、正当的。否则，具有同等刑罚后果的各项之间根本就不具有行为以及行为危险和后果的大致相当性，违反了“同等情形方能同等对待，不相同情形应当不对等对待”的基本法理。

退一步说，基于诉讼目的而出卖或者提供个人信息的行为，起码不应当以《个人信息刑事案件适用法律解释》第5条第1款第（七）项的规定进行解释。即便不考虑《个人信息保护法》颁行后对本罪构成要件解释的影响，按照《个人信息刑事案件适用法律解释》的规定将违法所得的数额作为“情节严重”的入罪条件，如果信息的出卖者或者提供者的行为根本不可能造成信息被泄露的危险或者实害，又是涉及合目的性的出卖或者提供行为，也应当以《个人信息刑事案件适用法律解释》第6条的规定而不是第5条第1款第（七）项的内容作为适用的参照依据。体系解释与目的解释应当是刑法解释的重要方法。《个人信息刑事案件适用法律解释》第6条的规定所体现的要求，是处理相关案件的重要解释论依据。

从刑法规范解释的层面，侵犯公民个人信息罪所侵害的法益是公民的信息安全与利用安全，出售、提供与购买、收受，属于对向行为，具有行为的同质性与结果的同质性，所以《个人信息刑事案件适用法律解释》第5条将“非法获取、出售或者提供公民个人信息”作了同等法律后果的规定。但需要特别注意的是，《个人信息刑事案件适用法律解释》第6条将基于合法利用目的与不具有合法目的的购买、收受作了类型化区分，并规定了不同的犯罪成立条件。就获利数额可以入罪的情形而言，根据《个人信息刑事案件适用法律解释》第6条规定，为合法经营活动而非法购买、收受本解释第5条第1款第（三）项（行踪轨迹信息、通信内容、征信信息、财产信息）、第（四）项规定（住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息）以外的公民个人信息，除非达到利用非法购买、收受的公民个人信息获利五万元以上才能构成本罪，否则不认定为本罪。而不具有合法目的的购买、收受行为，则按照《个人信息刑事案件适用法律解释》第5条的规定进行入罪认定。根据《检察机关办理侵犯公民个人信息案件指引》（高检发侦监字〔2018〕13号）的规定，针对为合法经营活动而购买、收受公民个人信息的行为，在适用《个人信息刑事案件适用法律解释》第6条的定罪量刑标准时须满足三个条件：一是为了合法经营活动，对此可以综合全案证据认定，但主要应当由犯罪嫌疑人一方提供相关证据；二是限于普通公民个人信息，即不包括可能影响人身、财产安全的敏感信息；三是信息没有再流出扩散，即行为方式限于购买、收受。

在卢某某侵犯公民个人信息案中，涉案楼盘业主信息的流向较为明确，即被倒卖获利或者用于装修公司的经营活动。对此，法院裁判指出：“本案所涉信息是从管理房屋维修基金事务的工作机构处获得，虽然信息的数量巨大，但每条信息的具体内容并不多，可被他人利用的信息内容主要是业主的联系方式，而实际后果也证明该信息只是被装修公司用于联系客户推广业务所用，尚不能对特定人员产生人身、财产安全的现实危害。”这实际上就是坚持主客观相统一原则，以信息流向与信息本身不具有影响人身、财产安全的危险，作为信息类型归属的重要判断因素与出罪依据。按照同类解释的基本原理，为了合法目的的提供或者出售，与为了合法经营而非法购买、收受，具有行为与结果的同质性。那么，即便为合法目的而出售、提供的行为构成犯罪，也应当保持与“为合法经营而非法购买”构成要件的大致一致性。很难说，购买的罪责就轻于出售的罪责。从这个意义上说，《个人信息刑事案件适用法律解释》在未来完善中可以专门区分基于合法目的与非法目的而出售、提供的类型以及相应的法律后果。

因此，为了诉讼需要而出售或者提供公民非敏感个人信息，且用于诉讼，同时信息没有再流出扩散的，就应当通过体系解释与目的解释来适用“违法所得五千元以上”。即便具有合法目的的提供或者出售不能出罪，就非法获利而入罪的情形而言，也应当受制于《个人信息刑事案件适用法律解释》第6条规定的“合法经营活动”与具体获利数额五万元以上的规定。即为了“合法经营活动”而购买个人信息，行为人获利或者盈利没有达到五万元的，没有达到立案标准，同时没有《个人信息刑事案件适用法律解释》第6条规定的其他两种情形，理应当不成立犯罪。相应地，对于为了诉讼需要又用于诉讼，而出售或者提供公民非敏感个人信息，违法所得低于五万元，理应也不构成犯罪。

四、符合“国家有关规定的”行为应当出罪化

对于侵犯公民个人信息罪的司法适用而言，在入罪判断时，“违反国家有关规定”应当解释为“违反国家规定”。“违反国家有关规定”是本罪的构成要件要素，而且“‘违反国家有关规定’的核心内容是违反信息处理者的合规义务”。如果没有违反信息处理者的合规义务，或者行为本身就符合“国家有关规定”要求，就不能入罪。

《个人信息保护法》生效后，“违反国家有关规定”有其具体的内容和规范指引，要成立侵犯公民个人信息罪必须以行为违反前置法规范为前提。侵犯公民个人信息罪是行政犯而非自然犯，其违法性需要相关的法律法规专门规定，前置行政法规范的具体内容决定了对构成要件要素的理解与适用。作为执业律师，为了他人诉讼需要而代为查询相关当事人个人信息的行为，实际也是为了诉讼而查询的个人信息，究竟违反了什么国家规定甚至国家有关规定，必须明晰。在此，应当区分手段行为违法与目的行为违法之间质的差别。不违反前置法的行为，或者根本不符合前置法规定的违法类型，有可能涉嫌其他犯罪，但一定不能构成本罪。而且，从法秩序统一性原理出发，作为前置法的国家规定，相应条款必须有明确的刑事处罚规定的内容，才能进行入罪评价，“这种前置法的类型化规定的独立价值必须得到重视”，除非整个前置法都没有规定附属刑法内容。

其实，在《个人信息保护法》诞生前，司法解释在阐明侵犯公民个人信息罪“违反国家有关规定”这一空白规范时，扩张性地将部门规章也纳入判断前置违法性的规范依据中，这与《刑法》第96条中“违反国家规定”的含义并不一致。如果说这在当时还缺乏侵害公民个人信息罪的前置法存在的情况下，具有一定的司法适用合理性与正当性，但在《个人信息保护法》出台后，“违反国家有关规定”就必须回归《刑法》总则中“违反国家规定”的本意与要求，以体现刑法总则对刑法分则的统领与制约地位。《个人信息保护法》不仅规定了取得同意的传统义务，还在第51条规定信息处理者应当根据处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，制定内部管理制度和操作规程、实行分类管理，以及采取相应的加密、去标示化等安全技术措施来确保信息处理活动符合法律、行政法规的规定。倘若信息处理者违反了前述旨在降低信息处理风险的义务，借助“违反国家有关规定”这一罪状要求，完全可以得出处理活动具有刑事不法性的结论，从而对个人信息提供更为周延的保护。反之，如果信息处理者的行为没有违背前置法，也根本没有提升信息扩散风险，对个人的人身、财产安全没有危险或者实害的可能，就没有刑事不法的前置法前提与基础。

从构成要件的规范解释的角度看，侵犯公民个人信息罪的认定需要直面两个问题。一方面，必须是公民个人信息。应当将公民个人信息区分为两类。一类是与个人有关的不纯粹的个人信息。比如，商业广告信息，这种信息与个人有关，属于“关于个人的信息”，不过已经属于公共信息。另一类是纯粹的个人信息，即“属于个人的信息”，是与个人的人身、财产密切关联的信息。前置法与刑法中的个人信息一定属于后者。另一方面，“向他人出售或者提供”中的“他人”的范围需要明晰。侵犯公民个人信息罪中的“他人”，一定是指无权获取相关信息的主体，即其获得个人信息没有任何正当性前提与基础。如果获取信息的主体源于私法或者公法上的权利而成为有权主体，就不是“向他人出售或者提供相关信息”中的“他人”。有权主体包括私法上的主体，也包括公法意义上的主体。比如，为了诉讼而向他人提供，他人就不是该罪构成要件中的他人；向合法举报人员提供相关信息的，由于合法举报是宪法上的权利，合法举报人员就不是本罪中的“他人”；为了签订劳动合同，而向用人单位提供相关信息，用人单位就不是本罪中的“他人”。公法上的有权主体，包括司法机关、卫生防疫部门等，其可以依据法律法规以及其他部门规章获取个人信息。行为人向这些单位提供相关信息，就不违反“国家规定”或者“国家有关规定”，一定不可能构成本罪。

因此，“违反国家有关规定”也发挥着提示构成要件阻却事由的机能。只要最终的权源人有权获得相关信息，提供人或者基于律师服务所体现的出售人行为，就具有正当性前提，就是构成要件阻却事由。对于公民个人信息中的一般信息，提供或者出售后的信息安全保护义务，主要是由接受个人信息的个人或者单位来承担，信息提供者或者出售者具有的是信息安全保障的附随义务与辅助义务。“违反国家有关规定”的构成要件要素，应当被实质性地理解为信息处理风险的分配规范，它的任务是将前置法上行之有效的风险分配方案和责任义务分配方案引入刑事不法的判断中。手段行为或者程序性违法最多也只能构成其他犯罪，但一定不能构成本罪。

我们必须厘清的是，在前置法完备后，“违反国家有关规定”的刑法适用与解释的功能与地位。有了《个人信息保护法》《网络安全法》以及《民法典》之后，“违反国家有关规定”就必须恢复其本来的含义。第一，“国家有关规定”，应当回归“国家规定”的内容，即只有法律、法规，才是本罪的空白罪状的内容。侵犯公民个人信息罪并非为了保护信息主体的个人信息权益，而是着眼于社会公众的利益与信息安全，通过打击违反个人信息处理规则的前端行为，避免后端的社会公众安全受到侵害。从这个层面来看，《刑法》第253条之一规定的“国家有关规定”，指向的是公法性质的前置法《个人信息保护法》《网络安全法》，而非私法性质的前置法《民法典》。第二，当“违反国家有关规定”作为犯罪成立的构成要件要素时，就不能简单地以部门规章作为将相关行为入罪的依据。换言之，在《个人信息保护法》实施后，部门规章必须排除在入罪判断的前置法范围外，不能以部门规章规定的要求作为侵犯公民个人信息罪的入罪依据。这是法定犯解释的基本原理所决定，也是落实法秩序统一性原理所必须，更是贯彻刑法总则对刑法分则解释的统领与统摄作用的必然结论。第三，《个人信息保护法》实施后，国家有关规定中的部门规章规定的合行政规范要求的行为或者授权性行为，仍然具有法律解释的功能与作用，但它的作用是作为出罪化的正当性根据。即只要提供者的提供甚至有偿提供，在部门规章中或者其他规范性文件中具有合法性、合规性，不具有明确的违法性，相关行为就具有出罪化的理由与依据。

律师为了诉讼查询人口户籍信息为“有关规定”所允许，按照违反“国家规定”才能入罪，符合“国家有关规定”所进行的查询应当出罪的基本法理，这种行为不构成侵犯公民个人信息罪的最为充分的理由是，此类查询有明确的地方性规范与行业规范的依据与理由。为此，应当厘清部门规章是否属于“国家有关规定”的前提是，辨明“违反国家有关规定”在认定侵犯公民个人信息罪中所发挥的功能，即具有的是出罪的功能而不是作为入罪的条件。如果部门规章乃至规范性文件、行业规范、当事人约定等，规定了个人或者组织依法或者依规可以查询的实体性权利，个人或者组织依据事实上享有的实体性权利所进行的查询，就应当作为构成要件阻却事由来对待。总之，如果行为人的行为具有明确的部门规章或者其他授权规范依据时，行为人的行为就没有违反前置法的规定，那么该行为就不符合“违反国家有关规定”，不能按侵犯公民个人信息罪认定。

五、诉权的法律保障决定了信息主体的推定同意

按照《个人信息保护法》的规定，“个人信息不再是专属于个体的自决权，而是兼具个体与社会属性的防御权”。诉权的法律保障之需与个人信息合理使用的同意推定，决定了为了诉讼而查询当事人户籍信息的行为属于《个人信息保护法》规定的对“个人信息合理利用”，从而不符合侵犯公民个人信息罪的构成要件。按照法益保护的位阶法则，相对于个人信息同意权，诉权是法律更值得保护的权益。学者指出，调和法益冲突往往涉及对法益的价值评价，而这种评价的出发点和结果都显示出法益之间的非等值性。“公民个人信息的公共属性决定了社会个体需要对自身权利作出一定程度的让步，从而确保人类社会的群居管理需要。”为了实现当事人的诉权，执业律师查询涉案其他当事人相关信息且用于诉讼活动，是有正当的法理依据以及明确的部门规章或者其他规范根据。作为服务性行业，帮助查询的律师收取相应的服务对价，就具有正当性与合理性。

诉权是一项基本的人权，是人权保障的当然内容。诉权是保障实体性人权的程序性人权，是一种救济性权利。如果没有诉权，没有在个人权利受到侵犯之后将自己权利受到侵犯的事实通过法定途径向专门救济机关予以表述的权利，其他所有法律文本上的权利都将难以得到落实。所以，诉权是现代法治社会中第一制度性人权。诉权作为原告拥有的提起诉讼的权利，是启动司法程序以解决民事纠纷的寻求司法裁判的基本权利，是当事人对国家所享有的司法保护的请求权。诉权的行使，可以当事人自己提出，也可以委托律师或者其他人提出，甚至再由律师委托其他律师进行，只要在最初的权源上具有正当性与合法性，诉权就受法律与司法的尊重与保护，哪怕在程序上有瑕疵存在。在现代法治国家，审判机关恪守“不告不理”的原则，并不具有主动保护公民权益的功能。只有当事人通过行使诉权启动诉讼程序后，审判机关才能行使审判权以保护公民的权益。而要保证当事人诉权，就应当最大限度地保障当事人能够找到适格的被诉人的基本信息。实务中，就广泛存在找不到被告人的现象，也没有被告人的其他可以作为起诉条件的信息，进而使得诉权事实上难以有效行使。

《个人信息保护法》第13条第1款规定了个人信息处理者方可处理个人信息的法定事由。一旦具有正当化事由进行个人信息处理，这里就必然涉及一个基本的法律关系的梳理与权利的平衡问题：个人信息处理者的权利与信息主体的权利，哪一个更值得法律优先保障。对于个人信息主体而言，一旦他人为了实现有效的诉权，那么，其自身对于个人信息的保护，就有一定的法律层面的制约与限制。也就是说，为了保护更高位阶的诉权，就必须允许他人对个人信息进行合理、有边界范围的使用。这种合理利用或者使用的权利，是价值衡量之后可以得出的当然结论。面对权利冲突的规整，法律通过要求相对利益方作一定程度的退让，以赋予特定利益方优先地位来解决社会问题，并使之保持社会的基本公平与正义。就诉权与个人信息权之间的关系而言，诉权是基本人权，是维护自身权利的主要法律方式；个人信息权既是私权，又具有公法性质，他人或者组织有合理使用的权利。为此，为了实现诉权而合理使用他人的个人户籍信息，就具有法理上、法律上的正当性与合法性。律师作为法治社会中法律服务职业群体的重要成员，可以就其执业权利范围内的执业活动为需要帮助的当事人、其他律师、法律工作者甚至法律咨询公司提供为实现诉权所必需的相关信息并收取费用。就律师的权利而言，《律师法》第2条、第35条都有相关的规定。

律师为诉讼需要而帮助他人查询个人信息的合法性与正当性，来源于这种信息的使用或者利用属于被害人推定同意或者推定必须同意的情形。《个人信息保护法》上的“同意”因法益阙如而阻却刑事违法。即只要“被害人”同意，“被害人能够预见信息用途的同意即可作为出罪事由”。所谓推定的（被害人）同意又称推定的承诺，是指虽然实际上并不存在被害人自己作出的同意，但是可以认为在被害人知道情形时就当然会给予同意，从而推定其同意的情形。推定的同意，应当包括推定的被害人必须同意，其是指虽然实际上并不存在被害人自己作出的同意表示，但是基于事理、情理、法理，可以推定在被害人知道相关事项时就必须进行同意表示，而且，即便其不同意，法律也可以强制其必须作出同意表示。

推定的同意有两种不同的类型。第一类是指涉及被害人利益而推定的同意，即行为必须是为了被害人利益才成立的推定的同意。第二类是涉及被害人以外的其他人（行为人或第三人）的利益而推定的同意。第二种类型往往存在于双方当事人有权利冲突的情形中。当事人之间的权利存在冲突，但有一种权利经过利益衡量后，具有对另外一种权利的优位地位，对此，权利主体的一方必须有一定的容忍义务。比如，在诉权与个人信息权之间，诉权优位于个人户籍信息权。为了保障与实现公民的基本诉权，当事人、受委托的律师或者诉讼代理人就有权查询当事人相关个人信息用于诉讼，法律上就存在当事人必须同意或者推定必须同意被查询的正当性与合理性基础与前提。从解释论的视角，按照保障诉权的基本原则与原理，根据现行刑法以及相关的司法解释，至少有如下几个依据证明律师在用于诉讼与保障当事人诉权实现情形下有权处理当事人信息。

第一个依据，即《个人信息保护法》第13条第1款第1项中“取得个人的同意”，理应包含“推定的取得个人的同意或者必须同意”的情形。如果案件所涉事实与证据，足以证明对信息权利人而言属于推定的必须同意的情形，那么，在诉权与个人信息权之间存在可能冲突的情况下，户籍信息权必须让位于诉权。受有诉权当事人委托的律师、诉讼代理人，可以合理推定对方当事人同意或者必须同意处理其基本个人信息权利。这种情况就属于《个人信息保护法》第13条第1款第1项“取得个人的同意”中“推定的个人同意”或者“推定的个人必须同意”情形。

第二个依据，完全可以参照《个人信息保护法》第13条第1款第2项的内容，即“为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需”的内容，结合同款第7项“法律、行政法规规定的其他情形”的规定，将因为诉权行使而所涉的事实解释为当事人或者代理人为了提起诉讼需要所必需的处理个人信息的行为，进而得出该行为具有正当性、合法性的结论。因为其具有与第2项规定的情形“家族相似”与相当性，尽管不是第2项明确规定的内容，但可以解释为与第2项相似的属于第7项“法律、行政法规规定的其他情形”。在董某等查询犯罪记录案中，董某是某公司法定代表人，公司主营业务为接受客户委托对应聘人员进行背景调查。为了调查应聘人员的犯罪记录，公司法定代表人董某联系到某派出所所长聂某，与其达成合意，伪造了以派出所名义出具的证明，由董某向聂某支付报酬，聂某向其提供所需的个人犯罪记录信息。检察机关以侵犯公民个人信息罪起诉，后人民法院判决变更罪名为单位行贿罪与受贿罪。其基本的理由在于，应聘人员应已概括同意该公司有权获取其是否存在犯罪记录的信息，最终认定此行为不构成本罪。

第三个依据，可以解释为无限接近于《个人信息保护法》第13条第1款第3项规定的“为履行法定职责或者法定义务所必需”中履行法定义务的情形。类比推理可以作为出罪的依据，只是不能作为入罪的理由。作为律师，受当事人或者诉讼代理人的委托甚至是转委托，只要在最终的权源上具有行使诉权的正当性依据，其依法查询的行为尽管不是履行法定义务的行为，哪怕在程序上有瑕疵，但肯定属于履行约定义务的行为。有观点可能认为，对于个人信息处理者为履行约定义务所必需处理个人信息的情形，《个人信息保护法》第13条第1款第2项已经作出了明确的规定，故此，无须适用“为履行法定义务所必需”的规定。尽管如此，从解释论的角度看，假如没有上述的《个人信息保护法》第13条第1款第2项规定，这种为了实现诉权而行使的约定义务的行为，是一种无限接近履行法定义务的行为。尽管法定义务只限于公法上的义务，但全国各地出台的为了保障诉权实现而确保执业律师依法查询户籍信息的规范性文件或者行业规范的规定，就是这种约定义务具有一定法定义务性质的佐证，起码具有解释论上的参照意义。作为律师或者受当事人委托或者受其他律师、代理人甚至法律咨询公司委托，查询并提供被诉方的个人信息，是正常的律师履行约定义务行为的表现，是一种接近法定义务的约定义务的行为，理应具有正当性、合法性。即便其收受了其他律师或者诉讼代理人的费用，也具有正当性，因为律师提供了相应的查询服务。

正是基于上述诉权保障、推定同意、业务行为或者法令行为的考虑，才会有各地律师履行业务职责过程中可以合法查询个人信息的规范的出台，这是律师可以依法查询人口信息依据的规范性文件。需要说明的是，按照律师业务内容与社会基本常理与常识，为了诉讼，律师既可以自己查询他人信息，也可以委托其他律师查询，但委托其他律师查询，理应应当付费；既可以为自己的业务需要进行查询，也可以依法接受其他律师、法律工作者甚至法律咨询公司的委托进行有偿查询，这是律师职业作为服务业有机部分的当然要求。从实体法的角度，即便行为人在手段上可能存在违反法律、行政法规乃至地方性行政规范的情形，可能构成违反行业规范或者行政违法，甚至有可能构成其他犯罪，但只要目的正当且服务于诉讼活动，且所获得的个人信息没有扩散也没有被他人用于犯罪，行为人的行为就可根据“国家有关规定”依法、依理出罪，即不应当构成侵犯公民个人信息罪，手段上的不法与构成本罪没有关联性。