前段时间，一位从事网络推广的朋友来找我咨询，说公司被调查时，公安人员提到了“侵犯公民个人信息罪”，他很困惑：“我们只是买了点客户资料，怎么就成了刑事案件？”
其实这类问题，近几年我已经听过太多次。信息时代，数据的流动极快，公民个人信息的保护也成为刑法中的重点。今天，我想和大家聊聊这个看似“普通”的罪名背后的逻辑和风险。
刑法的变化：从“出售信息”到“侵犯个人信息”
我国刑法对公民个人信息的保护起步并不晚。早在刑法修正案（七）中，就增设了第253条之一，规定了两个罪名——“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”。
那时候，法律主要指向国家机关或特定单位的工作人员，强调“违反国家规定”。后来，随着信息泄露问题愈加严重，2015年的刑法修正案（九）进一步扩大了打击范围，把“违反国家规定”修改为“违反国家有关规定”，也不再局限于特定身份的人员，只要行为符合违法情形，都可能构成犯罪。
此后，司法机关统一了罪名，将上面两个罪合并为“侵犯公民个人信息罪”。这意味着，无论是出售、提供还是非法获取，只要情节严重，都可能进入刑事处罚的范围。
什么是“公民个人信息”？
这里有一个关键问题——到底哪些信息算“公民个人信息”？这个标准在刑法中并没有直接写明。
直到2017年，最高人民法院以司法解释的形式给出了范围界定。《个人信息刑事案件解释》明确指出，公民个人信息是指“以电子或其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息”。
简单说，不只是姓名、身份证号这些传统意义上的信息，像通信联系方式、住址、账号密码、财产状况、行踪轨迹等都在其列。尤其在网络环境下，一个“手机号+定位轨迹”都可能被认定为足以识别个人的关键信息。
这也是为什么一些人明明觉得只是“买点数据”，实际上却触碰到了刑法红线。
现实中的风险与提醒
说到这里，很多人可能会问：如果只是从网上买了客户手机号，用来推广业务，会不会有问题？
从实践角度看，这类案件的定性取决于几个因素：第一，信息的来源是否合法；第二，被获取的信息是否属于能够识别特定自然人的信息；第三，行为是否达到“情节严重”的标准。这些要综合公安、检察的具体认定和案件证据。
我曾经代理过一位做贷款中介的客户，他购买了一份外省的客户清单，其中包含姓名、电话、资产信息。最后，整个公司几名员工被刑拘。案件的关键在于，他们无法证明信息来源是合法的，而客户清单中有明显属于个人隐私的财产信息。最终，在辩护中通过查明实际用途和主观因素，成功降低了量刑等级。
这个案子让我有很深的体会：信息时代的商业边界非常模糊，但刑法的红线却是真的存在。
尾声：懂法，才能避险
侵犯公民个人信息罪并不是“网络黑客”或“内部人员”才会触犯的罪，它的适用面越来越广。很多公司、创业团队、甚至普通职场人士，都可能在不经意间踩到风险点。
如果确实涉及到客户数据收集、会员信息整理等业务，务必确保信息来源合法，有明确授权或经过脱敏处理。一旦被公安机关立案调查，早期的法律应对至关重要。越早找到专业的刑辩律师介入，越有可能把握住案件的主动权。
信息保护的法律越来越严，这是趋势。每一个从业者都要学会在合规的轨道上做事，而不是在边界线上试探。
叶斌律师，刑事辩护律师，浙江允道律师事务所主任，创始合伙人，执业十八年以来，专注刑事辩护领域，带领团队办理刑事案件超2000件,成功帮助上千名当事人争取到取保候审、不起诉、缓刑及罪轻判决。在诈骗罪、非法经营罪、开设赌场罪及卖淫类犯罪，销假类犯罪，性侵类犯罪，毒品犯罪等各类刑事案件有极其丰富的办案经验。团队承诺专业服务、追求有效辩护，在杭州有良好的口碑。
