二、批量公民个人信息的数量认定

从实践来看，除公民个人敏感信息外，涉案的公民个人信息动辄上万条甚至数十万条。此类案件中，不排除少数情况下存在信息重复，如针对同一对象并存“姓名+住址”“姓名+电话号码”“姓名+身份证号”等数条信息，但要求做到完全去重较为困难。此外，对于信息的真实性也难以一一核实。个别案件中，要求办案机关电话联系权利人核实公民个人信息的做法，明显不合适。[1]基于此，《解释》第十一条第三款规定：“对批量公民个人信息的条数，根据查获的数量直接认定，但是有证据证明信息不真实或者重复的除外。”需要注意的是，推定规则并不意味着举证责任的倒置，公诉机关仍然承担对公民个人信息数量的举证责任。基于此，对于批量公民个人信息仍然应当要求作去重处理，对于明显重复的信息应当予以排除。这从技术角度并不存在难题，且对于确保案件的质量大有裨益。

此外，需要强调的是，对于公民个人敏感信息不宜适用《解释》第十一条第三款的规定，而应当逐一认定。主要考虑如下：（1）从司法实践来看，一般公民个人信息的价格相对较低，甚至不会按条计价，故要求逐一认定不具有可操作性；而公民个人敏感信息价格通常较高，通常按条计价，逐条认定不存在难题。（2）涉敏感信息的案件入罪标准较低，五十条或者五百条即达到入罪标准。为此，对于此类案件要求逐一认定敏感信息的数量，对于确保定罪量刑的准确，完全必要。

---

[1]有论者从体系解释、认识错误、法益等角度出发，认为侵犯公民个人信息罪的对象应当是真实的个人信息；从实体法与程序法的关系出发，认为公诉机关应当举证证明个人信息是真实的个人信息。以此为基础，对“逐一认定个人信息是否真实会消耗过多的司法资源”的观点进行批驳。参见叶小琴、赵忠东：《侵犯公民个人信息罪对象应当是真实的个人信息》，载《人民法院报》2017年2月15日第6版。本书认为，立足理论层面，抽象而言，上述观点无疑是合理的。但是，立足于实务层面，对于证据规则的具体应用无疑应当兼顾各类犯罪的具体情况。对于敏感公民个人信息，由于入罪门槛较低，实践中逐一核实信息的真实性，并无困难，实践中完全可以做到；但是对于其他公民个人信息、特别是在海量状态之下，要求逐一核实信息的真实性，实践中难以做到，故应允许适用推定规则。逐一核实信息的真实性，与运用规定规则认定信息的真实性，应当都是证明个人信息真实性的合适方法，只是基于案件实际情况作出的不同选择罢了。而且，推定规则的适用，并不意味着背离刑事诉讼的证据规则，更不意味着举证责任的转移。对此问题已有诸多论者加以阐释，兹不赘言。