侵犯公民个人信息罪的实证研究——以北京地区为例

许乃娣肖飒

（1.中国政法大学，北京100088 2.北京大成律师事务所，北京122000）

一、侵犯公民个人信息罪的立法沿革

为了更加有效地保护公民个人信息的安全，有关国家机关也在不断推进立法工作，以彰显对公民个人信息保护的关注与重视，此点从各种法律文件的出台过程上就可以看出来。

如2009 年2 月28 日，《刑法修正案(七)》在第253 条之后增设出售、非法提供公民个人信息罪和非法获取公民个人信息罪作为第253 条之一，将非法获取、出售、提供公民个人信息的行为纳入刑事规制范围。此条规定：①国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；②窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚；③单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2012 年12 月28 日，全国人大常委会通过《关于加强网络信息保护的决定》，全面规范公民个人电子信息的保护，确立国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息的原则。规定任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息，不得出售或者非法向他人提供公民个人电子信息。

2013 年10 月25 日，全国人大常委会通过《关于修改〈中华人民共和国消费者权益保护法〉的决定》，强调消费者享有个人信息依法得到保护的权利，明确经营者收集、使用消费者个人信息的规则，并规定了侵害消费者个人信息的责任追究。

2015 年8 月29 日，全国人大常委会通过《刑法修正案（九）》，其中修改了刑法第253 条之一，扩大了犯罪主体范围，即将本罪的特殊主体（即国家机关或者金融、电信、交通、教育、医疗等单位的工作人员）改为一般主体，并增设了从重处罚的规定。修改后“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”被整合为“侵犯公民个人信息罪”。条文内容为：①违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。②违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。③窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。④单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

2016 年11 月7 日，《网络安全法》规定个人信息是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”，明确网络运营者处理个人信息的规则。

2017 年3 月15 日，《民法总则》第111 条明确个人信息受法律保护，确立个人信息的独立民事权利地位。规定了自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

2017 年5 月8 日，两高联合发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，全面系统规定侵犯公民个人信息罪的定罪量刑标准和相关法律适用问题。

2018 年8 月24 日，最高人民检察院通过了《检察机关办理侵犯公民个人信息案件指引》，详细规定了在办理侵犯公民个人信息刑事案件时，应注意审查的要素。

二、侵犯公民个人信息罪的基本认定标准

侵犯公民个人信息罪，是刑法修改前的“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”的整合。根据《刑法》第253 条之一的规定，侵犯公民个人信息罪，是指违反国家有关规定，向他人出售、提供公民个人信息，或者以窃取及其他方法非法获取公民个人信息，情节严重的行为。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）和《检察机关办理侵犯公民个人信息案件指引》（以下简称《指引》）对侵犯公民个人信息罪的构成要件要素的认定以及适用标准进行了较为明确的规定。

（一）“公民个人信息”的认定

根据该《解释》第1 条和第3 条的规定，“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。但是经过处理无法识别特定个人且不能复原的信息，则不属于公民个人信息。

对于企业工商登记等信息中所包含的手机、电话号码等信息，应当明确该号码的用途。对由公司购买、使用的手机、电话号码等信息，不属于个人信息的范畴，从而严格区分“手机、电话号码等由公司购买，归公司使用”与“公司经办人在工商登记等活动中登记个人电话、手机号码”两种不同情形。

（二）“违反国家有关规定”的认定

在《刑法修正案（九）》修改前，本罪的前提是“违反国家规定”，后被修改为“违反国家有关规定”，前置法律规范范围明显扩大。根据《刑法》第96 条，“违反国家规定”是指违反全国人大及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。而“违反国家有关规定”应该还包括部门规章。这些规定散见于金融、电信、交通、教育、医疗、统计、邮政等领域的法律、行政法规或部门规章中。

（三）“情节严重”的认定

根据《解释》第5 条第1 款的规定，“情节严重”的情形包括以下几个方面：

1.信息类型及数量。①非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50 条以上的；②非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息500 条以上的；③非法获取、出售或者提供除上述两类信息以外的其他公民个人信息5000 条以上的。

2.信息的用途。公民个人信息被他人用于违法犯罪活动的，不要求他人的行为必须构成犯罪，只要行为人明知他人非法获取公民个人信息用于违法犯罪活动即可。

3.主体身份。如果行为人系将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，涉案信息数量、违法所得数额只要达到一般主体的一半，即可认为“情节严重”。

4.主观恶性。曾因侵犯公民个人信息受过刑事处罚或者2 年内受过行政处罚，又非法获取、出售或者提供公民个人信息的，即可认为“情节严重”。

5.违法所得数额。违法所得5000 元以上的为情节严重。

此外，针对为合法经营活动而非法购买、收受公民个人信息（信息是除去行踪轨迹信息、通信内容、征信信息、财产信息、住宿信息、通信记录、健康生理信息、交易信息等以外的其他信息）的行为，具有下列情形之一的，应当认定“情节严重”：①利用非法购买、收受的公民个人信息获利5 万元以上的；②曾因侵犯公民个人信息受过刑事处罚或者2 年内受过行政处罚，又非法购买、收受公民个人信息的；③其他情节严重的情形。

（四）“情节特别严重”的认定

根据《解释》第5 条第2 款的规定，“情节特别严重”包括以下几个方面：

1.信息数量及数额。①非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息500条以上的；②非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等可能影响公民人身、财产安全的信息5000 条以上的；③非法获取、出售或者提供除上述两类信息以外的其他公民个人信息50000 条以上的；④将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，涉案信息数量、违法所得数额达到一般主体的一半的10 倍以上的；⑤违法所得50000 元以上的。

2.行为后果。行为造成被害人死亡、重伤、精神失常或者被绑架等严重后果的，或者造成重大经济损失、恶劣社会影响的，为情节特别严重。

三、侵犯公民个人信息刑事案件的基本特征

笔者于Alpha 系统上以侵犯公民信息罪为关键词，选择2013 年至2018 年为时间范围，限定北京地区，共检索到152 份裁判文书，其中一审判决126份、二审判决/裁定24 份、再审裁定2 份。

（一）案件主要集中于海淀、丰台、朝阳及昌平四个区

在北京的一审126 个案例中，海淀区（28 个）、丰台区（26 个）、朝阳区（20 个）、昌平区（17 个）四个区合计占比约72%，其余的分散于大兴区（9 个）、顺义区（6 个）、密云区（5 个）、东城区（4 个）、房山区（3个）、西城区（3 个）、平谷区（2 个）、延庆区（1 个）、石景山区（1 个）、通州区（1 个）。可见案件主要集中于海淀、丰台、朝阳以及昌平四个区。

（二）以“非法获取”的方式侵犯公民个人信息问题突出

刑法第253 条之一第3 款规定了“窃取或者以其他方法非法获取公民个人信息”这一犯罪手段，这里的“其他方法”，是指以购买、收受、交换等方式或者在履行职责、提供服务过程中收集公民个人信息。其中，购买是最常见的非法获取方式，且大多是通过互联网“线上”购买，这与本文统计的数据相符。

在统计的案例中，侵犯公民个人信息罪的犯罪手段主要有以下几种：一是利用职务之便或在提供服务过程中将正当获取的公民个人信息出售或者提供给他人；二是通过互联网以向他人购买或以收受、互换等方式非法获取公民个人信息；三是利用技术手段侵入服务器非法获取公民个人信息；四是通过恶意程序或软件抓取公民个人信息；五是直接出售或者提供公民个人信息。

在一审的126 个案件中，犯罪手段大多是以后第二种方式非法获取公民个人信息，占比达63%，主要是通过QQ、邮箱等方式进行交易。还有一种犯罪方式值得关注，那就是利用技术手段非法侵入他人系统或利用恶意程序、软件来非法获取个人信息，这类案件占比15%。随着信息科学技术的不断提高，加上个人、部分公司企业对信息安全保护的意识薄弱，可能会出现越来越多的依托于新技术手段实施犯罪的案件。例如在“景某某等出售、非法提供公民个人信息案”中，几个被告人就是利用编写的脚本程序侵入竞争对手公司的服务器，窃取该公司客户的公民个人信息。在“余某某非法获取公民个人信息案”中，被告人余某某利用多家考试网站系统漏洞，使用专业软件分别侵入某国际教育公司服务器、某社工招录中心等多家数据库，非法获取报考人员信息三万余条。

还有一种犯罪方式也不容小觑，那就是公司内部有权限获取个人信息的人员，甚至是公职人员将在履行职责或提供服务过程中获取的个人信息出售或者非法提供给他人，这类案件占比达11%。能够接触到个人信息的行业大多是服务行业，比如房产中介、快递物流公司、小区物业、培训机构、保险、担保公司等，这些行业的人员需要公民个人信息来推广自己的业务，因此极容易滋生犯罪。

（三）犯罪目的大多是出售牟利、用于电话销售、开展业务

在市场经济活动中，各类市场主体对有关信息的了解、掌握是不同的，掌握信息比较充分的人员，往往处于比较有利的地位，而信息贫乏的人员，则处于比较不利的地位。为了争夺有限的市场资源，提高竞争力，那么收集潜在客户的个人信息可以为自己带来潜在的衍生价值。在这些案例中，不少犯罪主体是公司的业务员，甚至是公司的高层管理人员、法定代表人，为了拓展业务，争取客户而通过各种方式获取公民个人信息。在现实生活中，几乎每个手机用户都会收到推销电话，推销内容包括办贷款、买房、买保健品、买收藏品、投资理财等，也时常会收到诈骗短信，总会有人“上钩”。也有公职人员、金融机构的员工利用职务的便利将获取的公民个人信息出售给他人来谋取经济利益。例如在“李某某等侵犯公民个人信息案”中，被告人李某某是某地铁站的警务人员，多次受他人指使，违规通过北京市公安局内部系统查询、记录特定公民的个人信息九千余条，用来谋取非法经济利益。

在统计的案例中，行为人获取公民个人信息的用途主要包括以下几种：出售牟利、用于电话推销产品或服务、用于违法犯罪活动、用于开展公司业务。其中，公民个人信息被用于出售牟利的案例占比约32%；用于电话推销产品或服务的案件占比约24%；用于开展公司业务的案件占比约18%；用于违法犯罪活动的案件占比4%；用于其他用途的案件（包括用于非法经营、合法经营、追讨债务、争夺客户、损害竞争对手商誉等）占比约22%。

四、侵犯公民个人信息刑事案件的判决情况

（一）一审判决情况

根据北京市检察院于2018 年1 月28 日所作的工作报告，近五年来共起诉非法获取、出售公民个人信息等犯罪200 人。这与我们统计的数据大体吻合。在统计的126 个一审刑事判决中，共涉及186 名自然人或单位。其中，绝大多数都是自然人犯罪，有169 人，单位有4 家，直接负责的主管人员有9 人，其他直接负责人员有4 人。除去4 家单位犯罪，还剩182 个自然人，从法院对个人判处的刑期来看，被判处缓刑的比例达36%，被判处1 年以下（包括1 年）有期徒刑（实刑）的比例达31%，被判处1 年以上3年以下（包括3 年）有期徒刑（实刑）的比例达21%。可见，有多数以上的被告人的刑期都在6 个月以上至3 年以下有期徒刑（实刑）及缓刑内，其余的刑期分布于拘役、3 年以上（不含3 年）至7 年以下有期徒刑（实刑）以及单处罚金。

这些案例中很多被告人是基于发展公司业务，主观恶性较小，也并没有造成严重的后果，这也许是超过60%的被告人被法院判处的刑期是缓刑或者1年以下有期徒刑（实刑）的原因所在。

此外，从刑期分布可以看出，绝大部分被告人都会被并处罚金。据统计，只有3 个案例中的被告人没有被判处罚金刑，其余的要么被并处罚金要么被单处罚金。这体现了法律对利用公民个人信息进行谋取非法利益这一行为的否定。在这些被告人中，罚金刑的数额标准也是不一。其中，罚金数额在5000 元以下（含5000）的案件比例有58%，超过了一半；5000 元至1 万元之间的有25%的比例，因此大部分罚金数额都是在1 万元以下；判处1 万元以上罚金的比例较少。

根据刑事诉讼法的规定，基层人民法院在审理案件时，可以根据案情选择适用简易程序或者普通程序，在2018 年的《刑事诉讼法修正案》中，增添了刑事速裁程序，因此，在基层法院的一审程序中，法官可选择适用、速裁程序、简易程序、普通程序进行审理。在研究过程中，笔者发现一个比较明显的现象，就是超六成的法院在审理侵犯公民个人信息罪案件时，在一审中适用的是简易程序，因为案情比较简单，事实清楚、证据充分，也没有很大的争议点。据统计，一审适用简易程序的案例所占比例达62%，且其中大部分都是适用简易程序，实行独任审判；适用刑事速裁程序进行审理的案例占比6%；适用普通程序审理的案例占比32%。

（二）二审判决情况

一审中大部分案件适用的是简易程序和速裁程序，因此这也许是进入二审的侵犯公民个人信息案件并不多的原因。在统计的126 个一审刑事判决中，上诉的案件为24 个，占比19%。上诉人上诉的理由主要包括以下几种：①事实认定错误；②原判认定的公民个人信息数量不正确；③原判量刑过重。在24份二审判决中，维持原判的有19 件，占比约80%；发回重审的有2 件，占比8%，理由为事实不清、证据不足；撤回上诉的有2 件，占比8%；改判的有1 件，占比4%，二审法院考虑到上诉人的行为尚未造成严重后果，犯罪情节较轻，具有认罪、悔罪表现，适用缓刑不致再危害社会，因此改判行为人适用缓刑。

五、判例关注的重点问题

（一）信息数量的认定

根据上文，在上诉的理由中，有一条是对公民个人信息的数量认定有异议。根据司法解释的规定，只有能够识别到特定个人的信息才属于公民个人信息。在公民个人信息数量的认定中，司法机关会排除虚假、重复的信息，电话号码为空号的信息也会被排除。

例如，在“倪某非法获取公民个人信息案”中，被告人倪某是北京某公司的法定代表人，从他人手中非法获取公民个人信息用于公司联系客户推销保健品。经北京信诺司法鉴定所鉴定，被告人倪某计算机硬盘内提取、恢复出的公民个人信息共计590 多万条，经排除重复后共计125 万多条。最终，法院认定的涉案公民个人信息条数也是排除重复后的数量。

再如“张某侵犯公民个人信息案”，公诉机关指控被告人张某通过互联网多次购买公民个人信息，共计16 万余条。被告人认可公诉机关指控的犯罪事实和罪名，但对公民个人信息鉴定的条数提出异议。他认为，应该核实16 万多条信息是否均为真实信息，应该排除信息中的空号和虚假号码。后在庭审过程中，公诉机关经法院同意委托检察院司法鉴定中心工作人员对数据进行鉴定。经技术和人工排重、筛选之后得出公民个人信息（同时包含姓名和电话号码）条数为160308 条的意见，法院采信了此结果，并据此得出“情节特别严重”的结论，做出了一审判决。后张某对一审判决不服，提出上诉，二审法院驳回其上诉，维持原判。

（二）影响量刑的因素

2017 年4 月1 日，修订后的最高人民法院《关于常见犯罪的量刑指导意见》（以下简称《意见》）开始实施。意见中对常见量刑情节的适用做了比较明确的规定，在侵犯公民个人信息案件中，法院考虑的量刑情节主要以下几个方面：

1.是否具有坦白情节。根据《意见》中的规定，对于坦白情节，综合考虑如实供述罪行的阶段与程度、罪行轻重以及悔罪程度等情况，确定从宽的幅度。①如实供述自己罪行的，可以减少基准刑的20%以下；②如实供述司法机关尚未掌握的同种较重罪行的，可以减少基准刑的10%-30%（因如实供述自己罪行，避免特别严重后果发生的，可以减少基准刑的30%-50%）。例如在“黄某侵犯公民个人信息案”中，被告人多次向他人出售公民个人信息，共计17000条，非法获利15000 元，电脑、手机中尚存公民个人信息10080 条。公诉机关认为被告人黄某到案后具有坦白情节，可依法从轻处罚，建议法院判处被告人黄某6 个月以上1 年以下有期徒刑，并处罚金。最终法院采纳了公诉机关的量刑建议，判处被告人6 个月有期徒刑，并处罚金2000 元。

2.认罪态度。《意见》规定，对于当庭自愿认罪的，根据犯罪的性质、罪行的轻重、认罪程度以及悔罪表现等情况，可以减少基准刑的10%以下。依法认定自首、坦白的除外。在侵犯公民个人信息的案例中，辩护人往往会提出如下辩护意见：被告人到案后能如实供述自己的主要犯罪事实，自愿认罪，认罪态度较好，有悔罪表现，建议对其从轻处罚。只要情况属实，法院都会采纳此辩护意见。例如在“贾某侵犯公民个人信息罪”中，被告人贾某通过互联网购等方式非法获取大量公民个人信息，但鉴于贾某能如实供述犯罪事实，有悔罪表现，最终判处被告人拘役4个月，缓刑6 个月，并处罚金2000 元。

3.是否系初犯。《意见》中规定，对于有前科的，综合考虑前科的性质、时间间隔长短、次数、处罚轻重等情况，可以增加基准刑的10%以下。在统计的案例中，常见的辩护意见除了认罪态度、坦白情节方面以外，还有被告人是否系初犯，如果被告人是初犯，且没有前科劣迹，法院一般也会考量，给予被告人从轻处罚。例如“葛某某侵犯公民个人信息案”，辩护人发表的辩护意见为：被告人葛某某系初犯、偶犯，到案后能如实供述所犯罪行，且愿意退缴涉案赃款，，有悔罪表现，故建议法庭对其从宽处罚并适用缓刑。在判决中，法庭采纳了此辩护意见，最终判处被告人有期徒刑1 年，缓刑1 年，并处罚金4000 元。

4.在共同犯罪中的作用。《意见》规定，对于从犯，应当综合考虑其在共同犯罪中的地位、作用等情况，予以从宽处罚，减少基准刑的20%-50%，犯罪较轻的，减少基准刑的50%以上或者依法免除处罚。在侵犯公民个人信息罪的案例中，涉及共同犯罪的，处于从犯地位的被告人的刑期会比主犯轻。在“申某等侵犯公民个人信息案”中，法院认定被告人申某在共同犯罪中系主犯，判处其有期徒刑3 年6 个月，罚金30 万；被告人李某在共同犯罪中起辅助作用系从犯，判处其有期徒刑1 年6 个月，罚金5 万元。

除此之外，被告人获取公民个人信息的主观动机、用途，是否及时退赃等情况也会在一定程度上影响量刑。

六、判例暴露出的问题

在研究侵犯公民个人罪案例的过程中，笔者发现一个很大的问题是案件之间刑罚的差异较大，“同案不同判”“类案差距大”的现象比较明显。根据刑法第253 条之一的规定，犯罪成立的要件之一是“情节严重”，对“情节严重”的认定，《解释》和《指引》做了一些规定，但是具体到司法案件中，法院给出的判决却让人有些无所适从。下面挑选出一些比较典型的案例进行对比。

例如，在“王某某侵犯公民个人信息案”中，被告人通过互联网购买具有秘密获取他人信息功能的计算机代码并植入服务器抓取网站访客信息共计11545 条。法院认定其行为构成情节严重，最终判处其有期徒刑10 个月，缓刑1 年，罚金3000 元。而在“袁某某等侵犯公民个人信息案”[（2018）京0108 刑初1359 号。]中，被告人朱某某、袁某某通过互联网购买上述代码及权限，并在梁某（另案处理）控制的网站下设立了sj.jsycrm.com 域名，后通过互联网进行进一步销售，共非法获取公民个人信息6075 条。法院认定其行为构成情节严重，最终判处被告人朱某某、袁某某犯有期徒刑11 个月，罚金3000 元。这两个案例的行为手段其实一样，量刑情节也相当，然而一个被判处缓刑，一个却被判处11 个月有期徒刑。

再如，在“赵某某出售、非法提供公民个人信息案”中，被告人赵某某利用职务之便非法获取公司客户的交易信息16000 余条，并向他人出售牟利了5000 元，法院认定其行为构成情节特别严重，判处其有期徒刑3 年，罚金5000 元。在“肖某侵犯公民个人信息案”中，被告人肖某利用工作便利非法获取公民个人信息12 万余条，并向他人出售牟利，法院认定其行为构成情节严重，判处其有期徒刑1 年，罚金2 万元。同样是利用工作便利非法获取公民个人信息用于出售牟利，一个获取了1 万多条，一个获取了12 万余条，前者却被判定情节特别严重，后者的行为性质显然更严重些，反而是情节严重，自然量刑上两者有很大差别。

还有，在“杜某某侵犯公民个人信息案”中，被告人将其在公司就职期间收集的公民个人信息在网上与他人进行交换，非法获取公民个人信息共计516万条，后通过QQ、微信等方式出售公民个人信息给他人，获利共计30 余万元。法院认定其行为构成情节严重，判处其有期徒刑4 年，罚金40 万元。在“赵某某侵犯公民个人信息案”中，被告人赵某某通过网络非法获取并出售公民个人信息，经鉴定，被查获的涉案电脑及U 盘存储的公民个人信息共计4000多万条，法院认定其行为属于情节特别严重，最终判处其有期徒刑4 年，罚金2 万。这两个案例也是形成鲜明的对比。

上述所举的案例并非全部，在此不多赘述。从这些判例中可见，不同法院对“情节严重”“情节特别严重”的判断标准并不一致，即使同属于一个类别之下，不同法院对相同或者类似案件也会作出差异较大的刑罚判决，这的确是一个问题，需要去解决。否则，如何实现让每个人在每一个司法案件中感受到公平正义的梦想？

七、结语

科技是把“双刃剑”，在网络科技不断发展的当代，信息的获取、收集、使用并非难事，比如手机下载的各种App，注册的各种网站，如果要想使用这些产品，基本上都要授权运营方收集与自己相关的他们认为“必要”的信息资料，否则就无法正常使用。诚然，这些App、网站、网络平台等在给人们的生活带来了极大的便利的同时，公民个人信息的泄露问题也是愈来愈严重，相关案件数量也是呈不断增长之势。这一点我想大家深有体会，经常接收到各种推销、广告的电话、邮件就足以证明我们的个人信息早就不是什么秘密，这有种让我们有种生活在玻璃房中的感觉，缺乏安全感。针对这一现象，中央网信办、工业和信息化部、公安部、市场监管总局于2019 年1 月23 日发布了《关于开展App 违法违规收集使用个人信息专项治理的公告》，来解决App 强制授权、过度索权、超范围收集个人信息，违法违规使用个人信息的问题。

立法及司法机关出台的相关文件已经表明了对不法利用公民个人信息的打击态度。但正如上文中的数据显示的那样（一审中适用简易程序以及刑事速裁程序的案件占比达68%），大多侵犯公民个人信息类的犯罪整体案情比较简单，刑事程序也较为简单，判决书也是简单明了；进入刑事二审程序的案件也才占比19%；据上面的统计，在2013 至2018 这六年间的北京，刑事一审中涉及的自然人及单位共186 名，且绝大部分是自然人犯罪（占比约98%），给予行为人的刑罚也以1 年以下有期徒刑（实刑）、拘役以及缓刑居多（占比约72%）。虽说刑法要保持自身的谦抑性，但如此轻且量刑不均的刑罚能否达到威慑、惩罚的效果？当然一味严厉的刑罚也只能治标不治本，关键还是要加强法律监管，规范公民个人信息的收集、使用，而不是处于“法外之地”。