侵犯公民个人信息自首加退赃，构成依法自首情节可以在判决的时候酌情轻判，但是具体怎么判罚需要根据案情严重程度，对社会造成的危害性以及犯罪嫌疑人个人主观恶性来判断，通常情况下侵犯公民个人信息罪最高判处七年有期徒刑并处罚金，具有自首情节且情节较轻，适用于罚款以及缓刑处理。相关法律依据。根据《最高人民、最高人民关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》。第十条实施侵犯公民个人信息犯罪，不属于“情节特别严重”，行为人系初犯，全部退赃，并确有悔罪表现的，可以认定为情节轻微，不起诉或者免予刑事处罚；确有必要判处刑罚的，应当从宽处罚。一、侵犯公民个人信息最高可判几年。