侵犯公民个人信息罪，是指违反国家有关规定，向他人出售或者提供公民个人信息，或者将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人，以及窃取或者以其他方法非法获取公民个人信息，情节严重的行为。其中，“出售”是指将自己掌握的公民信息卖给他人，自己从中牟利的行为。“提供”的方式没有限定，凡是使他人可以知悉公民个人信息的行为，均属于提供。凡是非法获得公民个人信息的行为，均属于“以其他非法方法获取”，如购得、骗取、夺取等。
侵犯公民个人信息罪历经两次立法修改。
（一）2009年《刑法修正案（七）》首次增设出售、非法提供公民个人信息罪和非法获取公民个人信息罪
2009年《刑法修正案（九）》首次增设了出售、非法提供公民个人信息罪和非法获取公民个人信息罪两类侵犯公民个人信息的罪名。
根据2009年修正后的《刑法》第253条之一规定，国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
（二）2015年《刑法修正案（九）》确立侵犯公民个人信息罪并对具体规定予以细化
2015年《刑法修正案（九）》第十七条对《刑法》第253条之一的内容作出较大调整。第一，取消出售、非法提供公民个人信息罪，非法获取公民个人信息罪的罪名，确立了侵犯公民个人信息罪的罪名；第二，扩大犯罪主体的范围，规定任何单位和个人违反国家有关规定，获取、出售或者提供公民个人信息，情节严重的，都构成犯罪；第三，明确规定将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚；第四，提升法定刑配置水平，增加规定“处三年以上七年以下有期徒刑，并处罚金”。
根据现行《刑法》第253条之一规定，“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。窃取或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”
（一）客体要件
本罪侵犯的客体是公民的个人信息安全与自由。公民个人信息关系到每个人日常生活的开展、正常生活状态的维持，不仅关涉个人名誉，同时影响个人的社会评价。公民个人信息的破坏或侵害，既可能给公民带来物质上的损失，也可能造成精神上的伤害，并影响公民在社会经济生活、社会政治生活中各项权利的实现。
（二）客观方面
本罪客观方面表现为违反国家有关规定，向他人出售或者提供公民个人信息，或者将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人，以及窃取或者以其他方法非法获取公民个人信息，情节严重的行为。
作为本罪行为对象的“公民个人信息”包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。因此，公民生理状态、遗传特征、经济状况、电话通话清单、个人具体行踪等也包括在内。“公民”不包含单位与死者在内。
（三）主体要件
本罪主体为一般主体。即凡年满16周岁，具有刑事责任能力的自然人，均可以成为本罪的主体。单位可以成为本罪的主体。
（四）主观方面
本罪行为人在主观方面具有侵犯公民个人信息的故意。即行为人明知自己是在侵犯公民个人信息，并且明知这种行为会造成侵害他人个人信息安全的结果，而希望或者放任这种结果的发生。
特定目的与动机不算是本罪的责任要素。即行为人在获取公民个人信息之后故意进行侵害行为，但是行为人侵害个人信息的目的各不相同，有仅供自己使用的，有为了进行商业推销的，也有为了用于实施其他犯罪活动的。