前几天，我翻看了一份关于侵犯公民个人信息犯罪的典型案例通报，其中几个案件的细节让我感触颇深。作为一名在杭州执业十八年的刑事律师，我发现很多当事人在出事之前，根本没意识到自己的行为已经构成了犯罪。他们往往觉得，我只是利用职务便利查个信息，或者为了业务发展收集点数据，怎么就到了要判几年刑的地步？
第一个误区：职务便利不是法外特权
很多在医院、铁路、科技公司工作的员工，往往会陷入一种认知盲区。比如去年我关注的一个案例，某铁路客运员利用查询系统，以每条几十元的价格出售演艺人员的行程信息。在他看来，这可能只是赚点外快，但法律的定性非常明确：这属于“内鬼”泄密。这种利用职务便利获取并出售信息的行为，通常会被依法从重处罚。
这个案例的警示意义在于，很多当事人觉得这些信息是工作中自然接触到的，并不是通过黑客手段窃取的，所以心理负担很小。但我们要明白，法律保护的是信息的安全和公民的隐私。无论你是为了帮朋友忙代查，还是为了牟利，只要违反了国家规定，将履行职责过程中获得的个人信息提供给他人，就已经迈过了犯罪的门槛。对于这类当事人，辩护的重点往往不在于行为本身是否存在，而在于信息的性质认定、获利金额的精确核算以及是否具有自首、退缴等情节。
第二个隐患：外包服务与技术开发的边界
现在的互联网企业，经常会承接一些医疗、教育等行业的软件开发或系统维护业务。去年有这样一个案子：一家软件公司在为某医院维护挂号系统时，私自搭建数据库导出患者信息。公司负责人觉得，这些数据是他们开发系统时产生的，拿来做点业务分析或者留存似乎理所当然。结果，最终法院认定该公司构成侵犯公民个人信息罪，相关负责人也面临了数年的有期徒刑。
这反映了目前很多科技类企业的普遍隐患。在这种情况下，我们要分清“授权范围”与“非法获取”的界限。很多企业负责人认为，合同里写了我们可以处理数据。但法律上讲，处理数据不等于可以私自备份或挪作他用。如果你或者你的团队正处于类似的困境中，我们需要审视的是，涉案行为是否超出了业务授权的必要范围，以及在数据导入过程中是否存在技术手段的滥用。这些技术细节，往往决定了罪与非罪、罪轻与罪重的判断。
第三个核心：当心衍生犯罪带来的数罪并罚
单纯的信息买卖已经很严重，但如果这些信息被进一步用于诈骗、网暴或者“开盒”挂人，后果往往会呈几何倍数增长。我曾注意到一个涉及疫苗预约信息的案子，行为人不仅非法获取了数十万条预约信息，还利用这些信息搭建钓鱼网站实施诈骗。这种情况下，法院采取了数罪并罚，刑期往往会非常重，有的甚至达到了十年以上。
这类案件的家属最关心的问题往往是：能不能轻一点？说实话，如果涉及数罪并罚，案情确实比较棘手。但在这种复杂案件中，我们依然有辩护的空间。比如，当事人在整个犯罪链条中处于什么位置？是核心的技术开发者，还是仅仅负责群发短信的从属人员？在诈骗金额认定上，是否存在虚高或重复计入的情况？从刑事律师的角度看，厘清每个人在链条中的实际作用，是争取减刑的关键。刑事案件最怕的不是案情复杂，而是在不了解规则的情况下走错了第一步。如果你现在还不确定该怎么办，可以先把情况告诉我，我帮你看看，当前最重要的是什么。
叶斌律师，刑事辩护律师，浙江允道律师事务所主任，创始合伙人，执业十八年以来，专注刑事辩护领域，带领团队办理刑事案件超2000件,成功帮助上千名当事人争取到取保候审、不起诉、缓刑及罪轻判决。在诈骗罪、非法经营罪、开设赌场罪及卖淫类犯罪，销假类犯罪，性侵类犯罪，毒品犯罪等各类刑事案件有极其丰富的办案经验。团队承诺专业服务、追求有效辩护，在杭州有良好的口碑。
