在数据时代,信息的重要性逐渐上升、获取信息的主体范围和途径不断扩张,可泄露信息的主体和环节也随之大增。为加强对信息泄露现象的打击力度,立法机关于2015年通过《刑法修正案(九)》,将第253条之一规定的出售、非法提供公民个人信息罪和非法获取公民个人信息罪整合为侵犯公民个人信息罪。《刑法修正案(九)》虽然规定了“情节严重”是成立侵犯公民个人信息罪所要满足的条件,但由于对其认定标准未做出明确规定,理论界和实务界产生了许多分歧。对此,2017年5月8日,最高人民法院和最高人民检察院联合发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》,对“情节严重”的认定标准做出了统一规定。“情节严重”是刑法规定的、反映行为社会危害性程度的综合性要件,因而,社会危害性内涵决定了“情节严重”所应包含的内容。由于社会危害性内涵模糊、“情节严重”在犯罪体系中定位不明,司法解释对此采取了混合认定标准,导致司法认定中出现重复评价、主观归罪、违背罪责自负原则等问题。同时,司法认定形式化导致实践中出现了唯数量论现象,即在司法认定时仅以“信息数量”或“违法所得”作为评价违法性的唯一依据。“情节严重”作为违法构成要件要素,应当从客观方面反映行为的社会危害性,基于此,反映主观恶性的“信息用途”要素、属于量刑情节的“前科”和“特殊身份”要素不应纳入“情节严重”认定标准。除此之外,司法人员在认定“违法所得”和“第三方介入”要素时,应当采取实质解释论,以保护法益为指导,对违法性进行实质性判断。具体来说,司法人员在认定“第三方介入”要素时应缩小“行踪轨迹”信息范围,在认定“违法所得”时应结合“信息类型与信息数量”,避免将形式上符合规定但实质上不具有违法性的行为纳入犯罪之中。