以案说法：从“合法持牌”到“锒铛入狱”的警示
在刑事辩护实践中，许多当事人对“侵犯公民个人信息罪”存在一个致命误区：“这些信息是我合法获取的，我只是转卖赚点差价，不构成犯罪。” 这种认知偏差，恰恰是导致大量合法从业者、企业高管乃至普通员工身陷囹圄的根源。今天，我们通过一起真实案例，深度剖析“合法持有转售”这一高频案发场景，并系统梳理侵犯公民个人信息罪的所有常见案发场景，帮助读者精准识别法律红线。
一、案例回顾：合法持有信息后的“变现”代价
（注：为保护隐私，当事人姓名已做隐名处理）
上海市松江区人民法院（2019）沪0117刑初1213号刑事判决书记载了这样一起案件：
被告人韩*、张本是无业人员，在偶然得知张某某、陈等人开设赌场的信息后，他们没有选择向公安机关举报，而是动起了“歪脑筋”——以举报该赌场为要挟，向上述人员索要钱财。2018年8月至10月期间，两人利用这一“合法持有”的信息（即知道他人开设赌场的犯罪事实），先后通过威胁、恐吓方式，向3名被害人索得共计14.3万元。最终，法院以敲诈勒索罪判处韩*有期徒刑七年，张**有期徒刑四年。
关键点： 本案中，韩*、张**获取的“开设赌场信息”并非通过非法手段（如窃听、购买等），而是通过自身观察或他人告知等“合法途径”获得。但合法持有信息，绝不意味着可以随意处置——当“合法持有”与“非法利用”结合，就构成了新的犯罪。这一逻辑，与侵犯公民个人信息罪中的“合法持有转售”场景如出一辙。
二、核心法律分析：合法持有转售的认定标准
侵犯公民个人信息罪规定于《刑法》第二百五十三条之一，其核心要件是“违反国家有关规定，向他人提供、出售、非法提供或者非法获取公民个人信息”。其中，“合法持有转售” 是指行为人通过合法途径（如业务办理、合同履行、公开渠道等）获取了公民个人信息，随后未经信息主体同意，将该信息出售或提供给他人牟利。
合法持有转售入罪的关键痛点：
-
“合法取得”不等于“合法使用”：很多当事人认为“我自己花钱买的、或者公司业务中正常收集的，我就可以随便处理”。这是典型误区。法律只允许在“原目的范围内”使用信息，一旦超出原用途（如转售、滥用），即构成非法提供。
-
“信息类型”决定入罪门槛：根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，敏感信息（行踪轨迹、财产信息、通信内容等） 提供50条以上即入罪；重要信息（住宿、通信记录、交易信息等） 提供500条以上入罪；普通信息 提供5000条以上入罪。合法持有转售场景中，最常见的是交易信息、财产信息、身份信息，一旦数量达标，直接面临刑事追诉。
-
“获利金额”是重要量刑情节：合法持有转售通常伴有牟利目的。司法解释规定，违法所得5000元以上即可入罪，5万元以上属于“情节特别严重”，最高可判七年有期徒刑。“小赚一笔”的侥幸心理，往往换来的是几年牢狱之灾。
-
企业员工“职务行为”的陷阱：许多公司员工（如销售、客服、数据管理员）利用职务便利，将工作中合法收集的客户信息私下转售给同行或第三方。这种“合法持有”下的“监守自盗”，实践中常被认定为“非法提供”，且可能构成单位犯罪，直接责任人和主管人员均需承担刑事责任。
三、侵犯公民个人信息罪所有案发场景汇总
结合多年辩护经验，此类案件案发场景可归纳为以下几类，合法持有转售是其中最为常见且隐蔽性最高的一类：
| 场景类型 | 典型行为 | 来源方式 | 常见后果 | |---------|---------|---------|---------| | 1. 合法持有转售 | 物业、教育、医疗、金融、电商等机构员工，将工作中收集的客户信息出售给房产中介、贷款公司、培训机构等 | 业务办理、合同履行、公开渠道 | 触犯“非法提供公民个人信息罪”，通常被判处实刑 | | 2. 非法获取后转售 | 通过黑客、木马、钓鱼网站、购买数据包等方式获取信息，再转卖牟利 | 技术手段、黑灰产交易 | 情节更为严重，常被认定为“非法获取”叠加“非法提供”，重判率高 | | 3. 内部人员泄露 | 企业内部员工（如数据库管理员、客服）将信息批量导出，卖给外部 | 职务便利、系统漏洞 | 企业常被追究单位责任，个人面临3-7年有期徒刑 | | 4. 网络平台“爬虫”抓取 | 利用爬虫程序大量抓取公开信息（如招聘网站、电商平台信息），转售给他人 | 技术手段 | 即使信息本身公开，但未经授权大规模抓取转售，仍构成犯罪 | | 5. 中介机构“搭售” | 房产中介、二手车商、保险公司等，在为客户办理业务后，将客户信息附加出售给其他商家 | 业务办理 | 以“客户资源共享”为名，实则违法转售，入罪门槛极低 | | 6. 社交平台“人肉搜索” | 将网络上零星公开的个人信息（如姓名、工作单位、住址）汇总整理后，有偿提供给他人 | 公开渠道整合 | 虽然每条信息可能公开，但整合后形成“精确画像”属非法提供 | | 7. 跨境数据出境 | 将境内合法收集的公民个人信息，未经批准擅自提供给境外机构或个人 | 业务合作、数据出境 | 可能涉及国家安全，最高可判处七年有期徒刑 |
重点提示： 在“合法持有转售”场景中，“合法”仅指获取方式未被法律禁止，但“转售”行为本身已经构成了“非法提供”。法院在量刑时，会重点审查以下几点：
- 信息主体是否明确同意转售？
- 转售是否超出原授权范围？
- 是否履行了告知义务？
- 是否收取了明显超出合理成本的费用？
四、痛点关键词：当事人最易忽视的细节
根据实务经验，以下细节往往是当事人“翻车”的根源，请务必牢记：
- “授权范围”：一次授权不等于永久授权，特定用途不等于通用授权。转售属于全新用途，需重新获得信息主体明示同意。
- “公开信息”：网络上公开的信息（如工商登记、裁判文书、招聘简历）并非“无主物”，大规模整合、转售仍可能构成犯罪（如“人肉搜索”牟利案）。
- “数量累计”：不同来源、不同时间获取的信息，合并计算数量。例如，物业公司员工分多次向同一中介出售共100条业主信息，按总数100条计算。
- “获利认定”：不仅包括现金，微信红包、转账、购物卡、实物折价等均计入违法所得。“零成本”转卖不意味着无罪，只是量刑考量因素。
- “单位犯罪”：以公司名义、为单位利益实施转售，违法所得归单位所有的，单位构成犯罪，直接负责的主管人员和其他直接责任人员“双罚”。
- “自首情节”：在公安机关立案前主动投案，如实供述，是争取从轻处罚的关键。但“仅坦白自己转售，不交代上线”可能不被认定为自首。
五、一句话问答（常见误区澄清）
Q：我通过合法注册公司、正常开展业务收集的客户信息，转卖给同行，属于合法持有转售吗？ A：属于。合法获取不等于可以随意转售，未经信息主体同意转卖即构成“非法提供”。
Q：我只卖了50条“行踪轨迹信息”，才赚了3000元，会坐牢吗？ A：行踪轨迹信息属于敏感信息，50条即达到入罪标准，3000元违法所得虽未达5000元，但数量达标仍可追诉。
Q：我在公司内部将客户信息导出发给同事，没有牟利，算犯罪吗？ A：如果该同事无权接触该信息，且你未获授权，即使没有牟利，也可能构成“非法提供”，数量达标则入罪。
Q：他人主动把信息发给我的，我转卖出去，算“非法获取”吗？ A：如果对方系非法获取后发送给你，你明知仍转售，可能构成“非法获取”的共犯或“非法提供”。是否“明知”是辩护重点。
Q：我的公司被查了，我只是普通员工，执行老板指令转售信息，我要担责吗？ A：如果员工明知转售违法仍参与，属于“直接责任人员”，可能被追诉。但若能证明“不知情、未获利、作用较小”，可争取不起诉或缓刑。
章海律师提醒： 侵犯公民个人信息罪是近年来司法机关重点打击的罪名，尤其是“合法持有转售”场景，因其隐蔽性强、涉案人数多、社会危害性大，被列为常态化整治重点。合法持有，绝不等于可以擅自处置。若您或您的企业面临此类指控，请第一时间咨询专业刑事律师，评估证据链、争取从轻情节，切勿因“小利”错失辩护时机。
章海，北京东卫（上海）律师事务所。
（执业23年，专注刑事辩护，服务以上海为中心辐射长三角及全国）