2015年《刑法修正案(九)》出台规定了侵犯公民个人信息罪。规定违反国家有关规定,非法获取,出售或提供个人信息,情节严重或情节特别严重的,构成该罪。(1)合并、取缔了出售、非法提供公民个人信息罪和非法获取公民个人信息罪。将该罪主体规定为普通主体,取消了原来的主体限制,将特殊身份主体采取侵犯个人信息行为的规定为从重处罚的情节。刑罚上加大了对该类犯罪的处罚力度,提高了“情节特别严重”的量刑层级。这些修改有利于对公民个人信息进行全面且有效的刑法保护。但刑法并未明确规定“情节严重”、“情节特别严重”的具体认定标准,较易引起司法适用上的紊乱,且易引发理论上的争议。近年来出台的法律法规、规范性文件一直力求为“情节严重”、“情节特别严重”的认定提供具体标准。直到2017年5月两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称“侵犯个人信息解释”)的出台,对《刑法》第253条之一的规定的理解与适用做出了更为细化的规定。该罪的“情节严重”、“情节特别严重”的具体标准由此确定,一定程度上解决了该罪自设立以来存在的一些疑难与争议。然而,与“情节严重”认定相关的理论争议却并未因此而平息,反而有了愈演愈烈的趋势:认为提供或出售的公民个人信息“被他人用于犯罪”是第三者的行为,该用途标准的规定有违罪责自负原则,并且何为“行踪轨迹信息”立法尚不明确;认为违法所得的数额不能体现对该罪的犯罪对象的侵害程度从而反映对犯罪客体的危害程度,且将违法所得的数额归入到认定标准之中,会导致司法工作者避难就易,选择确定更容易认定的数额标准而逃避对信息数量的认定,而实际上不同类型信息数量的分类统计相较而言更有说服力;认为将曾因侵害个人信息受过刑事处罚或二年内的行政处罚这样的反映人身危险性和主观恶性的要素纳入“情节严重”,是将影响量刑的要素错误评价为决定犯罪成立的要素,并且在目前的行政法律法规中,很少有与侵害个人信息相关的行政处罚的规定,该主观恶性标准的规定存在一定的刑、行衔接问题;如数量标准的具体运用如何?是否侵犯数量越大,法益侵害程度越深?司法工作中需要面临的海量信息筛查工作问题如何解决?目前的信息数量折算规则是否合理,不合理应当如何修改?数量标准与违法所得标准之间是什么关系……为了实现对公民个人信息更完善、更有效的保护,本文基于《侵犯个人信息解释》中有关“情节严重”确定标准的规定,从分析该罪的犯罪客体、犯罪对象出发,对以上提到的认定标准存在的问题进行分析与探讨,以期进一步完善该罪中“情节严重”的确定标准。