一、刑法规定

我国《刑法修正案八》第二百五十三条之一第二款规定了非法获取公民个人信息罪：“窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚”。所谓“上述信息”，即第二百五十三条之一第一款规定的“国家机关或者金融、电信、交通、教育、医疗等单位在履行职责过程或者提供服务过程中获得的公民个人信息”。

公民个人信息，包括姓名、职业、职务、年龄、婚姻状况、学历、专业资格、工作经历、家庭住址、电话号码、信用卡号码、指纹、网上登录账号和密码等能够识别到公民个人身份的信息。这些信息是单位在履行职责或者提供服务过程中获得的信息，也就是利用公权力或者提供公共服务过程中获得的信息。

有人认为，为了有效遏制非法获取公民个人信息行为，保护公民个人权益，此处的公民个人信息应当是“任何符合条件的公民个人信息”。

然，若以此理由来扩大对公民个人信息的解释，那么在“出售、非法提供公民个人信息罪”中，国家机关或者金融、教育等单位的工作人员如果是出售或者非法提供自己个人获得的而非是在单位履职过程或者提供服务过程中获取的公民个人信息，其行为也应当构成出售、非法提供公民个人信息罪。这是与刑法关于该罪的规定是相悖的，这种认知降低了入罪门槛，扩大了处罚范围。

且，我国关于非法获取公民个人信息罪的设立的本意是为了打击一些中介公司从相关单位工作人员处倒卖公民个人信息的行为，而非是类似本案三名被告人偶尔的简单的非法获取公民个人信息行为。因此笔者认为，非法获取公民个人信息罪中的“公民个人信息”即国家机关或者金融、电信、交通、教育、医疗等单位在履行职责过程或者提供服务过程中获得的公民个人信息而非任何符合条件的公民个人信息。

二、关于情节严重的认定

在非法获取公民个人信息罪中，“情节严重”系构罪要件。行为人非法获取公民个人信息的行为必须达到情节严重，才能构成犯罪。但是关于“情节严重”这一要件，现在还没有统一的标准。笔者认为，我国刑法坚持主客观相统一原则，因而对于情节严重的判断，应该以客观危害为主，以主观恶性为辅，从获利金额、获取信息人次、信息用途、对被害人的影响等方面进行综合认定。

1、获利金额。

通观刑法中涉及犯罪所得的犯罪中，个人犯罪所得数额多在1000元以上，而单位犯罪所得数额多为个人犯罪的五倍。随着社会经济的发展，犯罪所得数额越来越高，因此笔者认为：个人非法获利1000元以上，单位非法获利5000元以上，构成非法获取公民个人信息罪中的情节严重。

2、获取信息人次。

非法获取公民个人信息多次的，构成情节严重。在最高院的司法解释中，多次一般指三次以上。因此一年内非法获取公民个人信息三人次以上，或者因非法获取公民个人信息曾被行政处罚过两次，仍实施此行为的，构成情节严重。

3、信息用途。

行为人非法获取公民个人信息用于非法活动或者其获取的个人信息被用于非法活动的，构成情节严重。

4、对被害人的影响。

公民个人信息的泄露一般都会给公民个人的财产和人身造成不良影响，包括垃圾短信、电话骚扰甚至敲诈勒索等。笔者认为，给公民造成较大的经济损失或者严重影响到公民个人的正常生活甚至造成精神伤害的，构成情节严重。