侵犯公民个人信息罪的对象是公民个人信息，正确把握和界定“公民个人信息”的概念和范围，对于侵犯公民个人信息罪的适用具有重要意义。虽然《刑法》253条之一未对“公民个人信息”的概念和范围作出明确的规定，但是《解释》与我国2016年颁布的《网络安全法》对于“公民个人信息”内涵的阐释，对我们确定和界定公民个人信息的概念和范围具有重要的启示。
《解释》第1条规定：“‘公民个人信息’，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”可见，《解释》认定的“公民个人信息”包括身份识别信息和特定自然人的活动情况信息。而2016年11月7日颁布的《网络安全法》76条对个人信息的定义规定为：“……个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。”由此可见，《网络安全法》认定的“个人信息”仅包括身份识别信息。对于《解释》与《网络安全法》对公民个人信息概念所作的不同规定，应从以下三个方面来理解。
第一，《解释》关于“公民个人信息”的概念以《网络安全法》对“个人信息”的定义为基础。在信息网络时代，公民的个人信息被暴露在网络空间中，信息泄露事件频繁发生，公民的个人信息安全受到前所未有的挑战。应该看到，《网络安全法》理顺了网络安全管理体制中各主体的权责界限，明确规定了网络运营商对用户信息保护的原则，提高了对隐私信息的管控程度，增强了对侵犯个人信息违法犯罪行为的打击力度。就此而言，笔者认为，《网络安全法》对个人信息的保护力度确实是空前的，对个人信息的界定也较为权威，这些与之后颁布生效的《解释》显然在方向上是完全一致的，从而也为《解释》对“公民个人信息”概念内容的界定奠定了基础，也即《解释》关于“公民个人信息”的概念应该是以《网络安全法》对“个人信息”的定义为基础的。
第二，《解释》对“公民个人信息”的定义不完全受制于《网络安全法》对“个人信息”的定义。2015年颁布生效的《刑法修正案(九)》新增设侵犯公民个人信息罪，但未对“公民个人信息”作出具体规定，《解释》实际上是弥补其空白。事实上，《解释》除参考《网络安全法》对个人信息的界定之外，还参考了其他相关法律法规，例如《电信和互联网用户个人信息保护规定》、《护照法》、《身份证法》、《商业银行法》等涉及对公民个人信息的保护条款。由于特定自然人的活动情况信息对公民人身安全和财产安全具有重要影响(如，行踪轨迹信息)，如将其排除在“公民个人信息”之外，便不能体现侵犯公民个人信息罪的立法目的，因此，《解释》专门将特定自然人的活动情况信息纳入“公民个人信息”范畴之中。而显然这一内容《网络安全法》并未作规定。
第三，《解释》与《网络安全法》对公民个人信息的含义界定了不同的范围。有学者认为，《网络安全法》将体现特定自然人活动的信息涵括在“身份识别信息”的范畴内，即可以将身份识别信息作广义理解，认为其还包括特定自然人的活动情况信息。对此，笔者认为，《网络安全法》提及的身份识别信息与《解释》中提及的特定自然人的活动情况信息，其实是并列且无法涵括的两个不同概念。从属性上分析，身份识别信息是一种静态的信息，而特定自然人的活动情况信息则是一种动态的信息。应该看到，《网络安全法》对“个人信息”进行了列举，如姓名、出生日期、身份证件号码等，且有“包括但不限于”的表述。但是，从立法的规范性要求分析，如果条文中出现列举后的“等”字，那么，条文中未列举的内容应当与已列举的内容具有相当性或同质性。由于身份识别信息与特定自然人的活动情况信息在属性上并不相同，对两者加以涵括解释似乎并不十分妥当。
需要指出的是，《解释》与《网络安全法》是从不同规制的侧重点出发对个人信息内涵进行定义的。《网络安全法》规制的侧重点是保障网络安全，维护网络空间主权和国家安全，尽管对公民合法权益的保护也在其规制的范围之中，但与网络安全保护相比，公民合法权益的保护显然不是《网络安全法》关注的重点。有基于此，《网络安全法》对个人信息作了较为狭义的界定，即只提及个人身份识别信息，而未提及特定自然人的活动情况信息。而《解释》规制的侧重点则是公民人身安全与财产安全利益的保护，在此基础上，当然就会对个人信息作较为广义的理解。因此，司法实践在追究行为人侵犯公民个人信息罪刑事责任时，没有必要因《网络安全法》与《解释》有关个人信息范围界定的不同而有所区别。
笔者认为，确定侵犯公民个人信息罪的客体(或法益)对于明确本罪中“公民个人信息”的具体内容具有重要意义。时下，有关侵犯公民个人信息罪的法益理论上主要有以下三种观点。一是认为，本罪保护的法益是公民个人的隐私权。二是认为，本罪保护的法益是公民个人的信息自由和安全。三是认为，本罪保护的法益是公民个人的信息自由、安全和隐私权。笔者赞同第三种观点，因其最符合立法原意。正如有学者指出的，立法者设立侵犯公民个人信息罪的初衷在于“保护公民个人信息不被泄露，保护公民人身、财产安全和个人隐私以及正常的工作、生活不受非法侵害和干扰”。可见，侵犯公民个人信息罪侵害的是双重法益——公民个人的信息自由、安全权以及隐私权。因而也就决定了侵犯公民个人信息犯罪对象内容的多样性。笔者认为，对于侵犯公民个人信息罪中“公民个人信息”具体内容的框定，应注意把握以下三点。
第一，公民个人信息必须与特定自然人相关联。根据《解释》第1条对公民个人信息作出的定义，能够与特定自然人相关联是公民个人信息的必备要件。《解释》第3条第2款有关“……经过处理无法识别特定个人且不能复原的除外”的规定从侧面印证了这一观点，即不能与特定自然人相关联的信息被《解释》排除在公民个人信息的范围之外。可以说，“识别性”(或曰与特定自然人的关联性)是公民个人信息的核心属性。应当看到，与特定自然人相关联并不意味着信息与特定个人都能一一对应。例如，单独的一条家庭住址信息通常无法准确与特定自然人相关联，但是如果与手机号码、工作单位等相结合就可以实现与特定自然人的关联，因而应当将其列入公民个人信息的范围之中。
第二，公民个人信息的主体不限于中国公民，但不包括单位。对侵犯公民个人信息罪中的“公民”，应采取相对宽泛的理解，不能将外国人和无国籍人的个人信息排除在本罪保护的范围之外。我国应一视同仁地对本国公民、外国人和无国籍人提供刑法保护。现实中侵犯公民个人信息的行为人提供或获取外国人、无国籍人的个人信息，与提供或获取中国公民的个人信息的社会危害性相比，并无差别。
另外，笔者赞同不能将单位纳入“公民”涵盖的范围之内的观点，理由是：其一，本罪的罪名是“侵犯公民个人信息罪”，“个人”与“单位”是完全互斥的两个概念，无论作怎样的扩大解释，都不可能将“单位”解释到“个人”涵括的范围之内。其二，单位不享有个人所具有的信息自由、安全权和隐私权，从法律上分析，绝大多数信息自由、安全权和隐私权均是产生于个人人格权，而单位又不具有个人人格权，因而单位也就不可能具有这些只有个人才有的信息权。相反，有时甚至还需要承担信息公开的义务。例如，上市公司有依照法定方式公开其经营状况或者有可能影响股票价格的信息的义务。其三，虽然单位也具有一定范围刑法需要保护的信息权，例如，单位所具有的“商业秘密”、“商业信誉”和“商品声誉”权等，但是对于侵犯单位有关商业秘密、商业信誉和商品声誉等信息权，完全可以侵犯商业秘密罪和损害商业信誉、商品声誉罪等罪名追究相关行为人的刑事责任。
第三，公民个人信息不包括依法公开的个人信息。正如前述，侵犯公民个人信息罪所侵害的法益是公民个人的信息自由、安全权和隐私权。在这些公民个人信息权益中，除涉及隐私权的信息不存在依法公开的问题外，其他已经被依法公开的个人信息不应当被纳入侵犯公民个人信息罪的对象中。理由是，依法公开的公民个人信息，意味着任何人都可能或有权利获取，此时的获取或提供不会违反国家规定，相关行为也就不可能具有非法性。但是，应当注意的是，对于非法“公开”的公民个人信息，如果行为人的获取或提供行为违反了国家规定，则仍然有可能构成侵犯公民个人信息罪。
