2017年5月9日，最高人民法院和最高人民检察院联合发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下称《解释》），对《中华人民共和国刑法》第253条之一所规定的“侵犯公司个人信息罪”的定罪量刑以及相关法律适用，给出了全面、明确、系统的规定。该《解释》已于2017年6月1日起施行。
作为两高首次就侵犯公民个人信息犯罪的具体定罪量刑标准出台的司法解释，随着《解释》的出台，在企业经营实践中，一些长久以来为公众所关注而又边界模糊的问题，有了一个大致清晰的轮廓。
1. 个人信息究竟包括哪些内容？
《解释》第一条就开门见山的对“个人信息”进行了列举式的说明。简单来说，公民的个人信息可分为两类：一类是可以单独用来识别特定自然人身份或者反映特定自然人活动情况的信息；另一类是在与其他信息结合后，可以用来识别特定自然人身份或者反映特定自然人活动情况的信息。大体上，公民的个人信息包括：姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
2. 哪些情形可以视为《刑法》第253条所规定的“提供”与“非法获取”公民个人信息？
就这个问题，《解释》第三条除再次说明“向特定人提供公民个人信息”应当认定为“提供公民个人信息”外，也明确规定了“通过信息网络或者其他途径发布公民信息的”，也应当被认定为构成刑法第253条之一所规定的“提供公民个人信息”。
同时，《解释》第三条也明确规定了，即使是以合法方式收集的公民个人信息，在未经被收集者同意的情况下，将该等信息提供给他人的（除经过处理无法识别特定个人且不能复原的除外），也属于刑法第253条之一规定的“提供公民个人信息”。
对于“非法获取”公民个人信息，除了公众通常熟知的“未经被收集者同意，获取其个人信息外”，《解释》第四条也明确了“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息”的行为，也属于“以其他方法非法获取公民个人信息”。
3. 定罪量刑标准如何？
对于一个罪名，公众通常除了关注其行为构成要件外，更加关注的是其定罪量刑的标准，尤其是对于“侵犯公民个人信息罪”来说，其入罪要件之一是“情节严重”。为了在案件处理中对“情节严重”有个相对客观明确的标准，《解释》从五个方面对“情节严重”进行了定义：(1)公民个人信息类型以及数量；(2)违法所得数额的多少；(3)公民个人信息的用途；(4)侵犯公民个人信息的主体身份；(5)该主体有无前科。此外，关于“为合法经营活动而非法购买、收受敏感个人信息之外的其他公民个人信息”，《解释》也对其构成“情节严重”的情形作了具体的规定。
而对于如何区分“情节特别严重”和“情节严重”，《解释》也从两个方面进行了明确：(1)涉及信息的数量、违法所得的数额；(2)后果的严重性。
当上述关注定罪量刑的具体标准明确之后，公众关注的焦点就会投注在“实践中如何规避法律风险上”。身处于这个信息爆炸的时代，无论是个人还是企业，每天都被海量的信息（包括个人信息）所冲击。而企业作为由人组成的集合体，在日常经营中，就更不可避免的接触到公民个人信息，也需搜集信息、核实信息，甚至开发信息的商业价值。例如，互联网企业需要个人用户在线注册，注册的过程中会获取公民个人信息；在网约车等“互联网+”的新业态行业中，企业除了获取使用者的个人信息外，出于对不特定公众利益的保护，对于服务提供者个体，企业有义务也有责任对其进行个人背景信息的核查；即使是最传统的企业，哪怕什么网络通讯都不涉及，在招聘员工的时候也或多或少会遇到个人信息收集和核查的情形。那么，企业在日常经营中，如果必须要接触到公民个人信息，应注意下列问题，以尽可能避免法律风险。
首先，要明确企业收集、提供这些公民个人信息的目的不是为了谋取商业利益或是用于不合法的用途。明确了这个前提之后，我们再来讨论企业可能会面临的风险点：
无论是企业自行收集个人信息，还是从第三方处获取个人信息，都一定要获得被收集者的同意。“同意”的形式，法律上没有明确的限定，电子的、书面的，甚至是口头的都可以，但是该等“同意”必须被完整、适当的保存，以备今后加以佐证。
当取得被收集者同意后，在收集的过程，如果信息提供者是被收集者以外的人员或机构，企业应注意该等人员或机构是否有向企业提供被收集者个人信息的职权。如果在超越职权的情况下向企业提供了信息，那么即使有被收集者的同意，也依然存在“非法获取”的风险。如果企业又向该等信息提供者给付了金钱或利益，那么风险将会显著的增加。
当企业合法的获取了个人信息后，还应注意对个人信息的保密。
除了上述较为常见的风险外，对于某些提供信息核查或征信服务的企业来说，虽然在国外，个人征信服务是一种常见的商业服务，但是在中国，由于此类企业提供服务的目的本身就是为了商业利益，因此，如何界定其经营行为的合法性，除了对法律条文、已有案例进行解读分析之外，很多时候还要结全其实际的经营状况，才能做出准确的分析。不过由于《解释》刚刚出台且尚未施行，目前还没有特别多的案例可供分析研究，但有一个可见的事实是，在《解释》出台后，的确是有很多从事此类服务的企业已经暂停了相关的服务。
此文为LexisNexis律商联讯特约撰稿。