电话号码、住址、身份证号码、行踪轨迹等信息，什么时候会成为刑法保护的“公民个人信息”？判断的关键，不是信息看起来是否普通，而是它能否单独或者与其他信息结合识别特定自然人身份，或者反映特定自然人的活动情况。
因此，学生家长、业主、患者、客户等特定群体的姓名和联系电话，通常属于公民个人信息。即使单个电话号码曾在某个场合公开，也不能当然推导出任何人都可以批量收集、整理、出售或者用于其他目的。
构成侵犯公民个人信息罪，还需要继续审查几个条件：信息是怎样取得的，出售、提供或者获取行为是否违反国家有关规定，信息类型和数量达到什么程度，违法所得多少，有没有被用于其他犯罪，以及行为人是否具有相应的主观故意。
2017年的相关司法解释按照信息风险和危害程度设置了不同标准。例如，行踪轨迹、通信内容、征信、财产等信息，与住宿、通信记录、健康生理、交易等可能影响人身财产安全的信息，以及其他一般个人信息，适用的数量标准并不相同；违法所得、信息用途、既往处罚等也可能直接影响“情节严重”的认定。
数量审查不能只看表格有多少行。重复、虚假、无法识别个人的信息应当核实，向不同对象分别提供同一信息的计算规则也不相同。信息是否属于高风险类别，同样要结合实际内容和用途判断，不能为了达到入罪标准随意拔高分类。
个人信息保护法实施以后，个人信息处理还要遵守合法、正当、必要和诚信原则。但行政、民事层面的违法，不当然等同于刑事犯罪。刑事案件仍要围绕刑法和司法解释规定的行为、情节和证据逐项判断。