侵犯公民个人信息罪与非法获取计算机信息系统数据罪，是当前网络黑产案件中最为常见的两个"孪生罪名"——二者的犯罪对象常常高度重合（公民个人信息本身多以计算机数据形式存在），但保护的法益侧重点有所不同。当同一被告人在不同时间段、通过不同技术手段多次实施数据获取行为时，究竟应当整体评价为一个罪名，还是应当区分不同行为分别定罪、数罪并罚？解某某侵犯公民个人信息、非法获取计算机信息系统数据案给出了一个极具参考价值的复合型裁判范例：同一被告人的三段行为，其中两段被合并评价为一罪，另一段则因同时触犯两个罪名而从一重罪处断，最终数罪并罚。这一"想象竞合"与"数罪并罚"交织适用的裁判思路，值得辩护律师深入研究。

一、案情简述

被告人解某某使用黑客软件攻击他人计算机信息系统，并将破解获取的IP地址、账号密码及公民个人信息对外出售。具体包括三段行为：其一，侵入贵州省两家通讯代办点、经营部的计算机信息系统，非法获取公民身份证照片、电话号码等信息510条并出售；其二，在QQ群内下载他人共享的"公安数据库""教育局""学生数据"等文件，获取公民个人信息共计15835条；其三，侵入他人计算机信息系统，非法获取12306网站登录账号密码等身份认证信息及公民个人信息共计131653组。法院以侵犯公民个人信息罪判处解某某有期徒刑一年，以非法获取计算机信息系统数据罪判处有期徒刑四年六个月，数罪并罚，决定执行有期徒刑五年，一审判决已发生法律效力。

二、核心争议焦点提炼

结合本案裁判说理，可提炼出以下两个具有递进和对照关系的争议问题：

其一，被告人通过侵入计算机信息系统及在QQ群下载共享文件这两种不同技术路径获取的前两段公民个人信息，为何被整体评价为侵犯公民个人信息罪一罪，而非区分技术手段分别定罪？

其二，被告人侵入他人计算机信息系统获取12306网站账号密码及公民个人信息这一行为，为何被认定为同时符合侵犯公民个人信息罪与非法获取计算机信息系统数据罪两个犯罪构成，进而适用想象竞合从一重罪处断规则，而非与前两段行为一并整体评价？

三、法理与实务辨析

（一）公民个人电子信息的双重属性：既是"个人信息"也是"系统数据"

裁判要旨开宗明义地指出，公民个人电子信息通常表现为计算机信息系统数据。这一表述揭示了当前网络环境下个人信息保护面临的一个基本事实：绝大多数公民个人信息（如身份证号码、电话号码、账号密码等）均以电子数据的形式存储、处理、传输于各类计算机信息系统之中，这使得"侵犯公民个人信息"与"非法获取计算机信息系统数据"这两个原本分属不同保护法益的罪名，在客观行为层面产生了高度的重合可能性——获取存储于计算机系统中的个人信息数据这一单一行为，完全可能同时满足两个罪名各自的构成要件。

（二）"违反国家规定侵入系统获取个人信息"构成想象竞合的核心条件

裁判理由明确指出，违反国家规定侵入计算机信息系统，或者采用其他技术手段，获取该系统中存储、处理或传输的个人信息的，同时符合侵犯公民个人信息罪与非法获取计算机信息系统数据罪两个犯罪构成，但由于只有一个犯罪行为，属于刑法中的想象竞合犯，应当从一重罪处断；两罪法定刑相同时，可以按照侵犯公民个人信息罪定罪处罚。这一说理表明，想象竞合成立的核心条件在于行为人实施的是单一的技术性侵入行为，该行为客观上同时造成了"侵犯公民个人信息"与"破坏系统数据安全"两种法益侵害后果，二者系同一行为的不同评价面向，不应重复评价、数罪并罚。

（三）本案罪数认定的具体展开：区分"侵入获取"与"非侵入获取"两种情形

本案裁判说理的精妙之处在于，针对被告人解某某实施的三段行为，依据其技术手段的不同特征作出了区别化的罪数认定：

其一，对于前两段行为——侵入贵州两家经营部系统获取510条信息，以及在QQ群内下载他人共享文件获取15835条信息——法院将其整体评价为侵犯公民个人信息罪。值得注意的是，QQ群下载共享文件这一行为方式，其技术特征与"侵入计算机信息系统"存在本质区别：行为人并未采取任何技术手段突破安全防护措施进入他人系统，而是从他人已经泄露、共享的公开或半公开渠道获取现成的数据文件。这种"接收型"获取方式本身并不构成对计算机信息系统的"侵入"，故不产生非法获取计算机信息系统数据罪的评价空间，仅需以侵犯公民个人信息罪单独评价，与前一段确有侵入行为但同样以获取个人信息为主要特征的行为，一并整体归入该罪名评价范畴。

其二，对于第三段行为——被告人侵入他人计算机信息系统非法获取12306网站账号密码及公民个人信息共计131653组——由于该行为客观上存在明确的技术性"侵入"环节，故同时符合侵犯公民个人信息罪与非法获取计算机信息系统数据罪两个犯罪的构成要件，属于想象竞合，应当从一重罪处断。经比较，鉴于该段行为数额达131653组、属于情节特别严重，非法获取计算机信息系统数据罪对应的法定刑幅度重于侵犯公民个人信息罪，故最终以非法获取计算机信息系统数据罪论处。

（四）不同段行为之间的数罪并罚：想象竞合不消解独立行为的并罚

本案的另一重要启示在于，想象竞合从一重罪处断的规则，仅适用于单一行为同时触犯数个罪名的情形，而不能扩展适用于被告人在不同时间、通过不同手段实施的多个独立行为之间。本案中，被告人解某某先后分三段时间、采取不同技术手段实施了三次相对独立的数据获取行为，虽然其中第三段行为内部构成想象竞合，但该次行为与前两段行为之间并不存在牵连或竞合关系，而是相互独立的数个犯罪行为，故法院最终对侵犯公民个人信息罪（评价前两段行为）与非法获取计算机信息系统数据罪（评价第三段行为经想象竞合择重后的结果）实行数罪并罚。

四、辩护策略与路径

结合本案的裁判逻辑，辩护律师在办理涉及多次、多手段数据获取的侵犯公民个人信息类案件时，可从以下路径展开辩护：

其一，逐段还原技术手段特征，精准区分"侵入型"与"非侵入型"获取行为。辩护律师应结合具体证据，逐一核实被告人每一次数据获取行为的具体技术方式——是否确实存在突破系统安全防护措施的技术性侵入环节，还是仅从他人已泄露、共享的渠道被动接收数据文件。对于后一种"非侵入型"获取行为，应重点主张不应认定为非法获取计算机信息系统数据罪，避免被不当归入更重的罪名评价。

其二，多次行为之间独立性与关联性的精细化审查。辩护律师应结合作案时间、地点、技术手段、涉案数据来源等因素，审查各次数据获取行为之间是否确实相互独立，若存在证据表明部分行为实际上属于同一次持续性操作的不同阶段（而非独立的多次行为），则可能影响数罪并罚的适用范围，值得深入论证。

其三，想象竞合内部"择一重罪"的具体核算——法定刑比较应结合具体数额情节。对于确属想象竞合的单次行为，辩护律师应结合该次行为涉及的具体信息数量、是否达到情节特别严重标准等，精确比较侵犯公民个人信息罪与非法获取计算机信息系统数据罪在该具体情节下对应的法定刑幅度，避免简单套用某一罪名"通常更重"的经验判断。

其四，各段行为涉案数额的精细化核实。本案不同段行为涉及的信息数量差异巨大（从510条到131653组不等），辩护律师应逐一核实各段数据的真实性、去重情况及是否存在重复计算，这对量刑档次的准确认定具有重要意义。

其五，风险提示：多手段、多批次数据获取案件的数罪并罚趋向明显。需要指出的是，本案表明，即便被告人系同一人、且各段行为均围绕"获取公民个人信息"这一核心目的展开，只要行为在时间、手段上具有相对独立性，仍将被分别评价并数罪并罚，辩护律师应审慎评估以"整体系一个概括故意"为由主张不应数罪并罚的现实空间。

五、实务启示与思考

解某某侵犯公民个人信息、非法获取计算机信息系统数据案对刑事辩护实务具有以下几方面的借鉴价值：

其一，证据审查应逐段还原每一次数据获取行为的具体技术路径。办理此类多次、多手段数据类犯罪案件，辩护律师应结合聊天记录、网盘存储记录、系统日志等证据，逐一还原每一次行为的技术手段特征，这是准确适用想象竞合抑或数罪并罚规则的事实基础。

其二，类案检索应关注"侵入型"与"非侵入型"数据获取行为的区分标准。本案确立的这一区分标准，对辩护律师办理涉及多种数据来源渠道（黑客侵入、内部泄露、公开共享等）的复合型案件具有重要参考价值。

其三，办案方法应重视对被告人多次行为时间线索的完整梳理。数罪并罚的适用高度依赖对被告人各次行为独立性的准确判断，辩护律师应建立完整的时间线索图谱，逐一标注每次行为的时间、手段、涉案数据规模等要素。

其四，与委托人沟通应如实说明罪数认定的复杂性及数罪并罚的现实可能。辩护律师应向委托人如实说明，涉及多次、多手段数据获取的案件，罪数认定往往较为复杂，不应简单预期"只构成一个罪名"，而应结合具体证据审慎评估数罪并罚的现实风险。

结语

解某某侵犯公民个人信息、非法获取计算机信息系统数据案表明，判断多次数据获取行为的罪数形态，核心在于逐一审查每次行为的具体技术手段特征：单一的、具有系统侵入性质的行为若同时符合两个罪名构成要件，应认定为想象竞合、从一重罪处断；而不同时间、不同手段实施的相对独立的多次行为，即便均以获取公民个人信息为目的，仍应分别定罪、数罪并罚。对于辩护律师而言，精细梳理每段行为的技术特征与独立性，是办理此类复合型数据犯罪案件、实现精准罪数辩护的关键方法论。