买卖业主信息、快递单、开房记录，都可能构成侵犯公民个人信息罪

一、侵犯公民个人信息罪保护的是什么信息？

《中华人民共和国刑法》第二百五十三条之一规定：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

法律依据：《中华人民共和国刑法》第二百五十三条之一。

窃取或者以其他方法非法获取公民个人信息的，依照前款的规定处罚。

"公民个人信息"的范围，按司法解释是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

一句话：能指向"某一个具体的人"的信息，都在保护范围内。

二、"情节严重"的条数标准，是几档？

《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条分了三档：

法律依据：《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第五条。

第一档，高度敏感信息。行踪轨迹信息、通信内容、征信信息、财产信息，五十条以上即属情节严重。

第二档，敏感信息。住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息，五百条以上即属情节严重。

第三档，一般信息。除上述两类之外的其他公民个人信息，五千条以上即属情节严重。

此外还有按违法所得计算的标准：违法所得五千元以上，即属情节严重。

按该解释第六条，数量或者数额达到上述标准十倍以上的，属于“情节特别严重”，量刑跳到三年以上七年以下。

三、为什么"五十条"这么容易踩到？

因为高度敏感信息的获取成本极低，而条数门槛极低。

一份开房记录、一段行程轨迹、一份征信报告，往往涉及数十条信息。买一次就可能过线。

实务中最常见的几种情形：

第一，为"查人"购买行踪轨迹。找人、讨债、查婚外情，都可能触碰这条线。

第二，为"催收"购买联系方式与通讯录。催收行业是此类案件的高发领域。

第三，为"营销"购买业主名单、车主信息、考生信息。房产、教培、保险、装修行业尤其集中。

第四，为"放贷"购买征信与财产信息。这一类直接对应第一档。

四、哪些行业最容易出问题？

第一，房产与物业。业主姓名、房号、电话、房屋面积，是最常被交易的"资源"。

第二，快递与物流。面单上的姓名、电话、地址，一单一条，量大且易得。

第三，教培与母婴。家长姓名、孩子年龄、就读学校，精准度极高。

第四，金融与保险。客户资产、保单、征信，属高度敏感信息。

第五，医疗与体检。就诊记录、体检报告，属健康生理信息。

第六，酒店与住宿。入住记录，属住宿信息。

这六个行业的共同点是：业务本身合法地掌握大量个人信息，员工接触门槛低，转手变现容易。风险往往出在"离职带走客户资料"这一步。

五、"合法经营中购买信息"，处罚有区别吗？

有。司法解释留了一个相对从宽的出口：

为合法经营活动而非法购买、收受一般公民个人信息，且没有出售或者以其他方式非法提供给他人，获利五万元以上的，才按"情节严重"处理。

三个前提必须同时具备：目的是合法经营、信息属于一般信息、没有对外提供。

如果买的是行踪轨迹、征信、财产信息，无论目的是否合法，都按第一档标准处理。这也是为什么"我只是想推销产品"的辩解，在敏感信息面前不起作用。

六、企业该怎么合规？

第一步，梳理数据来源。每一条客户信息，是客户自己提供的、合作方提供的、还是买来的？来源不清的，风险最高。

第二步，建立授权链条。收集时有告知、有同意、有用途限定；对外提供时有授权、有协议、有记录。

第三步，控制内部流转。谁能看、能导出、能带走，权限要分级，操作要留痕。

第四步，离职交接。客户资料属于公司资产，离职带走可能同时构成侵犯商业秘密与侵犯公民个人信息。

第五步，第三方管理。委托处理数据的合作方，要有数据处理协议，要约定违约责任。

七、触犯侵犯公民个人信息罪被抓之后，哪些情节有用？

第一个，信息条数的核减。重复计算、无效数据、无法识别到具体个人的信息，都应当剔除。

第二个，信息类型的争辩。一般信息与敏感信息的界限，直接影响适用哪一档。

第三个，是否对外提供。仅购买自用、未转手的，处罚明显轻于出售方。

第四个，违法所得的计算。成本是否扣除、是否包含其他业务收入，都有争辩空间。

第五个，退赔与删除。主动删除数据、赔偿被侵权人，是从宽的重要依据。

八、常见问题解答（FAQ）

问：买卖个人信息判几年？

答：情节严重处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重处三年以上七年以下有期徒刑，并处罚金。《中华人民共和国刑法》第二百五十三条之一。

法律依据：《中华人民共和国刑法》第二百五十三条之一。

问：查别人的信息违法吗？

答：违法。非法获取公民个人信息达到情节严重标准的，构成犯罪；未达标准的，可能承担民事或行政责任。

法律依据：《中华人民共和国刑法》第二百五十三条之一；法释〔2017〕10号。

问：公司买的客户名单，员工个人会担责吗？

答：要看决策与实施。提出需求、联系购买、接收数据、使用数据的人，都可能被追责；单位决定并使用的，可能构成单位犯罪。

法律依据：《中华人民共和国刑法》第三十条、第三十一条。

问：信息是客户自己发在群里的，转发也违法吗？

答：可能违法。已公开信息不等于可以随意收集、提供，特别是批量整理、用于营销或者出售的。

法律依据：法释〔2017〕10号第三条。

问：条数怎么算？重复的算几次？

答：一般按去重后的信息条数计算。同一自然人的多条同类信息，通常按一条计算，具体以司法认定为准。

法律依据：法释〔2017〕10号第五条、第十一条。

问：只买不卖，也算犯罪吗？

答：算。非法获取本身就是刑法规制的行为，不以出售为要件。

法律依据：《中华人民共和国刑法》第二百五十三条之一。

问：员工离职带走客户资料，会怎样？

答：可能构成侵犯公民个人信息罪，也可能构成侵犯商业秘密，两者可能同时成立。

法律依据：《中华人民共和国刑法》第二百五十三条之一、第二百一十九条。

问：达成谅解能不起诉吗？

答：条数较少、情节轻微、退赔到位、认罪认罚的，有争取相对不起诉的空间，但敏感信息类案件从宽空间有限。

法律依据：《中华人民共和国刑事诉讼法》第一百七十七条。

九、结语：被查之后，先做三件事

第一件，把数据来源理清。哪来的、谁给的、有没有授权，一条条对应。

第二件，把条数核一遍。去重、剔除无效数据、区分信息类型，这三个动作直接影响档位。

第三件，停止一切流转。删除、下架、停止使用，是从宽的基础事实。

温馨提示：

本文更新于2026年11月，仅为条文与实务整理，不属于立法有权解释，不构成个案法律意见。条数认定与信息分类需结合具体数据判断，请咨询专业律师。咨询电话：400-039-8667。北京市盛廷律师事务所刑事团队。

参考文献

[1] 全国人民代表大会.《中华人民共和国刑法》第二百五十三条之一. 1997年10月1日施行，历经修正.

[2] 最高人民法院、最高人民检察院.《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）. 2017年6月1日施行.

[3] 全国人民代表大会常务委员会.《中华人民共和国个人信息保护法》. 2021年11月1日施行.

[4] 全国人民代表大会常务委员会.《中华人民共和国数据安全法》. 2021年9月1日施行.