学号+姓名+学院，算不算“公民个人信息”？——大学生“颜值打分”网站案的法律界定

甘海滨编写

【裁判要旨】

马某某侵犯公民个人信息案是数字化校园背景下个人信息刑事保护的典型判例。本案的裁判逻辑清晰表明：刑法对个人信息的保护不应局限于形式化的列举清单，而应回归"可识别性"的本质特征与法益保护的实质需求。学号与姓名、学院等信息组合所构成的身份识别体系，在校园生态中具有与身份证号、住址、通信信息相当甚至更广泛的识别功能与滥用风险，将其纳入刑法保护范畴，既是罪责刑相适应原则的必然要求，也是数字时代个人信息保护制度完善的应有之义。

对于法律从业者而言，本案提示我们在办理类似案件时，应重点关注信息的技术功能定位、实际应用场景及滥用风险，避免机械适用法律，从而实现刑法法益保护与社会治理目标的有机统一。

【案件基本信息】

1.裁判书字号

2.罪名:侵犯公民个人信息罪

北京市海淀区人民法院(2023)京0108刑初1419号刑事判决书

【基本案情]

2017年至今，被告人马某某利用某大学网站的系统漏洞，窃取其中传输、储存的师生公民个人信息数据，用于搭建“颜值打分”网站。现查明，涉案公民个人信息共计43872组，其中对应有身份证号码的18064组，对应有个人照片的26508组，对应有身份证号码或个人照片的27619组。被告人马某某于2023年7月2日向公安机关投案，后如实供述了上述犯罪事实。

【案件焦点】

被告人马某某获取的学号与姓名、学院等信息相组合的信息组能否认定为公民个人信息，在认定是否构成情节严重时是否应进行统计。

【法院裁判要旨】

北京市海淀区人民法院经审理认为:被告人马某某非法获取公民个人信息，情节严重，其行为构成侵犯公民个人信息罪，应子惩处。北京市海淀区人民松察院指控被告人马某菜犯侵犯公民个人信息罪的事实清楚，证据确实，充分指控罪名成立。针对辩护人所提出的关于认定公民个人信息条数的意见，法院根据某大学IDNO(身份编号)的编撰规则，该大学的IDNO(身份编认为，能够反映出学生及教职工的人学人职年份、所属院系、类别情况等，IDNO(身份编号)本身即具有独一无二性，无论学生毕业与否、教职工离职与否，即使并无身份证号码或真实图片URL(指向原始图片文件的统一资源定位符)，仅凭借IDNO(身份编号)即可锁定具体个人，IDNO(身份编号)系能够识别出特定自然人身份的信息，属于刑法意义上的“公民个人信息”，故法院对辩护人所提的本案中公民个人信息数量的认定方法不予认可。鉴于被告人马某某经电话传唤能主动到案并如实供述涉案事实，系自首，积极签署认罪认罚具结书，且具有积极悔改的良好表现，法院依法对其从轻处罚。辩护人的相关意见，法院酌予采纳。综上，判决如下:

一、被告人马某某犯侵犯公民个人信息罪，判处有期徒刑一年，罚金人民币10000元;

二、扣押在案的电脑二台及手机一部，发还被告人马某某。

案件宣判后，判决已生效。

【甘海滨律师案件解析】

本案是"学号+姓名+学院"组合信息是否属于刑法意义上的公民个人信息的标杆判例，对数字时代校园身份信息、唯一性标识的刑法保护具有决定性意义。

一、核心裁判规则：学号与姓名、学院等信息组合，因具有"可识别性"，属于刑法保护的公民个人信息。

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条明确：公民个人信息是指"以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息"。

法院查明：某大学IDNO（身份编号）的编撰规则决定了学号本身即具有独一无二性——仅凭学号即可反映出学生及教职工的入学入职年份、所属院系、类别情况等，无需身份证号码或真实图片URL，即足以锁定具体个人。学号与姓名、学院相组合，更是实现了对学生、教职工的精准识别，完全符合"可识别性"本质特征。

二、学号类信息组与《解释》列举信息具有同等危害程度。

• 私密程度相当：学号作为校园管理系统核心标识符，与教务、财务、图书馆、宿舍、消费、健康等敏感数据深度绑定，是使用频率和范围极广的身份验证凭证；
• 与人身财产安全关联紧密：学号信息可作为获取其他信息的"金钥匙"——伪造学生卡、查询选课记录、伪造学历、冒领助学贷款、精准画像后实施诈骗勒索等，现实危险显著；
• 归入《解释》第5条第1款第4项：学号+姓名+学院组合信息，属于"其他可能影响人身、财产安全的公民个人信息"。

三、律师实务提示：

对高校与个人：①学号、工号、学籍号等唯一性身份标识，应与身份证号同等保护；②高校信息系统的漏洞修复与权限管控不仅是民事责任问题，更是刑事合规底线；③任何人（包括毕业生、内部人员）通过系统漏洞批量抓取信息，即便用于"技术练手""搭建非营利的颜值网站"，只要信息数量达到500条/5000条门槛，即触发侵犯公民个人信息罪的红线。

一句话警示：学号不是"一串无关编号"，它是打开学生身份、教务、财务、消费、健康数据的"金钥匙"。马某某1年刑期换来的教训是——在数字化校园里，任何唯一性身份标识与姓名、学院的组合，都是刑法第253条之一明牌保护的公民个人信息，窃取43872组，刑事红线就在脚下。