（本文分析样本包含个人信息保护纠纷民事案件与侵犯公民个人信息罪刑事案件）

《个人信息保护法》（2021）第四条第一款规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017）第一条规定，刑法第二百五十三条之一规定的“公民个人信息”，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

民事与刑事司法实践中，对“个人信息”的界定均采取了宽泛且务实的标准，核心在于信息是否能够“单独或者与其他信息结合识别特定自然人”，“可识别性”是认定公民个人信息的出发点。

（一）传统个人信息

1.直接身份信息和财产信息

传统个人信息包括姓名、身份证号码、电话号码、家庭住址、银行卡号等直接身份信息，在笔者检索的案件中均被无争议地认定为个人信息。另外，个人房屋面积、贷款信息、社保公积金信息等，因能反映个人财产状况，也被纳入保护范围。

（2023）渝0153民初919号案中，物业公司未经业主同意，在小区公共区域张贴包含业主个人信息的强制执行申请书，导致个人信息泄露，引发个人信息保护纠纷。法院认定，被告的行为违反了《中华人民共和国民法典》关于个人信息保护的规定，自然人的个人信息受法律保护，任何组织或个人不得非法收集、使用、加工、传输他人个人信息。本案中，被告在未获得原告同意的情况下，将原告的姓名、住址、身份证号码、电话号码等敏感个人信息张贴于公共区域，明显违反了上述规定，构成对原告个人信息的非法泄露，应承担相应法律责任。

（2020）陕0113刑初31号案中，关于“公民个人信息”的认定，法院认为，涉案信息包括业主姓名、房号、房屋面积、电话号码等，这些信息能够指向特定个人及其财产信息，符合《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中对“公民个人信息”的定义。

2.特定场景信息

地址信息：（2024）川0107民初5800号案中，原告罗某某作为房屋所有权人，认为被告某甲公司在未获其同意的情况下，将其房屋地址作为公司注册地址，构成对其物权的侵害。但法院最终认定，该行为构成对自然人个人信息的非法使用，案由应为个人信息保护纠纷，而非物权保护纠纷。法院依据《民法典》第一千零三十四条，认定房屋地址属于可识别的个人信息，具有可识别性，因此受到《个人信息保护法》的保护。被告在未取得原告同意的情况下收集、使用其个人信息，属于非法处理个人信息的行为，构成侵权。

求职简历信息：包含个人教育背景、工作经历、联系方式的简历，是个人信息的高度集合体。（2020）粤0309刑初77号案中，被告人从网络下载大量含他人个人信息的简历存储于移动硬盘内，经鉴定涉及8266551份公民信息。法院认为，虽然无证据证明其有贩卖该部分信息的行为，在侵犯公民个人信息罪中，非法获取、存储公民个人信息的行为本身即可构成犯罪，并不以是否实际使用或传播为必要条件。

3.敏感信息

包括通信记录、行踪轨迹、住宿信息、健康生理信息等。根据《司法解释》，非法获取、出售、提供这些敏感信息50条以上即可构成“情节严重”，入罪门槛远低于普通信息。

（2023）豫1381刑初1269号案中，被告人通过微信、支付宝从他人处购买了包括开房记录在内的公民个人信息，并加价转售他人。法院认为，开房记录属于公民个人信息的一种，其内容涉及个人隐私，具有较高的敏感性，因此非法获取或出售此类信息的行为，严重侵犯了公民的个人信息权利，符合该罪名的构成要件。可见，开房记录作为公民个人信息的一种，非法获取、出售或提供行为，在法律上具有明确的违法性，且在司法实践中已被认定为侵犯公民个人信息罪的构成要素之一。

（二）网络与数字信息

1.网络账号与虚拟身份信息

微信、QQ、支付宝账号、邮箱账号、网络平台用户名等，因与真实身份高度绑定，被普遍认定为个人信息。如（2021）赣0981刑初376号案中，被告人熊某恒等人通过非法手段获取公民个人信息，并利用非法软件批量制作、出售载有公民个人信息的微信号，法院认定，微信号与自然人一一对应，且与银行卡、手机号等信息绑定，具有识别个人身份的功能，属于公民个人信息。违法处理已公开的个人信息并从中获利，违背信息公开目的或明显改变其用途，导致信息被进一步利用后危及个人人身或财产安全，情节特别严重，符合侵犯公民个人信息罪的构成要件。

（2017）苏1181刑初844号案中，被告人通过网络平台非法获取邮箱、微博、淘宝、支付宝等账号及密码，并向他人出售或提供，经司法鉴定，部分账号为实名认证账户，涉及公民身份信息及财产信息，法院指出，非法获取的邮箱、微博、淘宝、支付宝等账号及密码，能够识别特定自然人身份或反映其活动情况，属于《刑法》所指的公民个人信息。因此，若存在类似行为，如非法获取、出售或提供公民个人信息，尤其是涉及实名认证账户或大量数据，则可能被认定为侵犯公民个人信息罪，情节严重或特别严重，并依法承担相应的刑事责任。

此外，该案件还指出，从不法网站下载大量公民个人信息的行为，属于非法获取公民个人信息的手段之一，应作为量刑情节予以考虑，这进一步明确了在司法实践中，非法获取信息的手段和途径也将影响量刑。

2.设备与日志信息

单独的设备信息可能不具识别性，但与其他信息结合后则可能具有“可识别性”而构成个人信息。

（2021）粤0192民初17422号案中，原告主张其在使用唯品会平台过程中，被告收集了其个人信息，包括设备信息、日志信息、订单信息等，认为部分信息属于非必要信息，要求被告披露所有个人信息并删除非必要信息。被告则辩称其收集信息符合合法、正当、必要原则，并认为部分信息属于商业运营信息，不应删除。法院认为，个人信息的认定应依据《中华人民共和国民法典》及《个人信息保护法》，即能够识别特定自然人的信息，包括直接或间接可识别的信息。设备信息、日志信息、订单信息等虽非直接识别信息，但结合其他信息可识别特定自然人，属于个人信息范畴。

3.生物识别信息

人脸信息作为高度敏感的个人信息，其处理受到严格规制。（2022）津01民终349号案中，法院认定：人脸信息属于受法律保护的个人信息范畴，使用人脸识别技术应遵守合法、正当、必要原则。同时，物业服务企业虽基于疫情防控、合同约定及管理需要启用人脸识别系统，但未依法为不同意使用人脸识别的业主提供其他合理验证方式，违反了《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第十条，应承担相应法律责任。

法院对个人信息的认定不拘泥于形式，而是从“可识别性”这一功能性角度出发，动态、全面地界定其范围，为个人信息提供了广泛的法律保护。可以预见，随着法律的深入实施和司法实践的不断丰富，个人信息保护将进入一个更加规范、精细化的新阶段。对于个人而言，应提升信息保护意识，了解自身法定权利，在权益受损时通过合法途径维权。对于企业等信息处理者而言，必须摒弃将个人信息视为可随意攫取的“唐僧肉”的观念，将个人信息保护作为企业发展的生命线，构建完善的合规体系，将法律要求内化为企业运营的自觉行动。