以案说法：从一起“合法经营”引发的刑事风险谈起
近期，我们注意到一起看似与“侵犯公民个人信息罪”无关的案件——上海市第二中级人民法院（2019）沪02刑终1357号裁定书。该案中，被告人张锋因采用暴力手段强行劫取他人车辆，被认定为抢劫罪。但细究其行为链条：张锋将车辆抵押后，对方转手出让，张*锋为追回车辆而通过查找车辆信息、购买记录等途径获取了买方董1的姓名、联系方式、车辆交易信息等。虽最终未以侵犯公民个人信息罪定罪，但此类“合法经营”中获取、使用他人信息的行为，稍有不慎即可能触发刑事风险。
本文将以该案为引子，系统梳理侵犯公民个人信息罪的所有常见案发场景，并重点分析在合法经营活动中，如何构建信息处理的出罪路径，为企业和个人提供合规指南。
一、侵犯公民个人信息罪的常见案发场景汇总
1. 非法获取类场景
- 网络爬虫抓取：未经授权，利用技术手段爬取电商平台、社交平台上的用户数据（如姓名、手机号、地址），用于精准营销。
- 购买/交换数据：从黑市、数据贩子处购买个人简历、房产信息、车辆信息等，或与其他企业“互换”客户名单。
- 内部人员泄露：员工利用职务便利，将公司积累的客户数据（如保险、医疗、教育数据）私自导出，卖给第三方。
- “钓鱼”或“撞库”：通过虚假网站、短信骗取用户信息，或利用已泄露的密码库尝试登录其他平台。
2. 非法提供类场景
- 共享用户信息：将注册用户信息（如手机号、消费记录）提供给合作方，未明示用途且未取得用户单独同意。
- 跨境传输：将国内用户数据传输至境外服务器，未履行数据出境安全评估程序。
- 公开披露：在论坛、微信群等公开场所发布他人隐私信息（如欠款人名单、通讯录）。
3. 非法使用类场景
- 精准营销过度：超出用户授权范围，利用个人信息进行电话推销、短信轰炸，甚至针对用户进行“大数据杀熟”。
- 风控滥用：金融机构、征信机构将用户信息用于非授权场景（如评估后转卖给第三方催收公司）。
- 身份冒用：利用他人信息注册账号、办理贷款、实施诈骗。
4. 经营中的“合法”陷阱
- “知情同意”流于形式：用户协议中隐藏“同意共享信息给关联公司”条款，法院常认定未获有效同意。
- “必要信息”范围过宽：收集用户住址、职业等与核心服务无关的信息，构成过度收集。
- “去标识化”不彻底：虽脱敏处理，但结合其他信息仍可识别特定个人（如去掉姓名但保留身份证号后四位及生日）。
二、合法经营中的出罪路径：核心要点与实操细节
1. 坚持“知情同意”的实质化
- 痛点关键词：单独同意、明示同意、撤回同意、拒绝权。
- 操作细节：不得以“默认勾选”或“一揽子协议”替代；分场景向用户弹窗告知信息用途（如“用于配送” vs “用于营销”）；允许用户随时撤回同意，且不影响基本服务。
- 出罪逻辑：若用户明确同意且未超出范围，则阻却“非法获取”的违法性。
2. 严守“必要性原则”
- 痛点关键词：最小必要、关联性、目的限制、数据最小化。
- 操作细节：仅收集与业务直接相关的信息（如外卖配送只需地址和电话，无需职业信息）；禁止收集与用户无直接关系的生物识别数据（如不进行人脸识别注册）；定期清理过期数据。
- 出罪逻辑：若收集的信息属“非必要”范畴，极易被认定为“情节严重”（如信息数量达到5000条以上）。
3. 落实“去标识化与匿名化”
- 痛点关键词：匿名化、去标识化、不可逆、重识别风险。
- 操作细节：对手机号、身份证号等关键字段进行哈希加密或脱敏（如138****1234）；保存匿名化数据时，确保无法通过技术手段还原；对第三方提供数据时，需进行技术评估（如差分隐私）。
- 出罪逻辑：根据《网络安全法》，匿名化处理后的信息不属于个人信息，可合法使用。
4. 建立“合规体系”并留存证据
- 痛点关键词：合规审计、数据安全负责人、员工培训、应急预案。
- 操作细节：任命数据安全官，制定《个人信息收集使用管理制度》；对数据交易合同进行合规审查（如要求对方承诺不用于非法用途）；对员工进行数据安全培训，留存培训记录；发生数据泄露时，72小时内向监管部门报告并通知用户。
- 出罪逻辑：若企业已尽到合规义务，且信息泄露系员工个人行为或第三方攻击，可主张“单位不构成犯罪”。
5. 区分“个人信息”与“非个人信息”
- 痛点关键词：可识别性、间接识别、关联性、场景化。
- 操作细节：对于仅包含用户ID（无手机号、姓名）的交易记录，若无法通过其他渠道关联到具体个人，可视为非个人信息；但若结合IP地址、设备指纹等可识别，则仍属个人信息。
- 出罪逻辑：若信息无法识别到特定自然人，则不属于刑法保护范围。
三、刑事风险提示：哪些细节最易被忽视？
- “内部员工”是最大风险源：企业需建立数据访问权限分级制度，核心数据仅限必要人员接触，且需记录操作日志。
- “第三方合作”是重灾区：将信息提供给云服务商、物流公司等时，需签署保密协议，并明确禁止二次使用。
- “行政处罚”可能转化为刑事：若曾被市场监管部门约谈、罚款，仍继续违规收集，极易被认定为“情节严重”。
- “数量”门槛极低：非法获取、提供、出售行踪轨迹信息50条即够罪；一般信息5000条即够罪。
四、结语
合法经营不等于刑事安全。在数据价值日益凸显的今天，企业和个人必须将“合规”视为生存底线。从张*锋案中我们看到，即便是追索合法财产，若信息获取手段不当，也可能陷入刑事漩涡。唯有建立体系化的数据治理机制，才能真正实现“出罪”。
章海律师，北京东卫（上海）律师事务所高级合伙人、东卫全国刑事业务中心副主任，执业23年，专注刑事辩护，服务以上海为中心辐射长三角及全国。如您正面临相关法律风险，欢迎咨询。
该篇相关一句话问答
Q1：如果企业购买的客户信息是用户主动公开的（如微博公开账号），是否构成侵犯公民个人信息罪？
A：不一定，但需注意“公开信息”不等于“可任意使用”，若用于商业推广且用户明确拒绝，仍可能构成侵犯。
Q2：员工将公司客户手机号卖给竞品公司，企业是否需要承担刑事责任？
A：若企业能证明已尽到数据安全管理和培训义务（如签订保密协议、设置权限），可主张单位不构成犯罪，但员工个人需承担刑事责任。
Q3：公司收集用户手机号用于“短信营销”，但用户未主动勾选同意，是否违法？
A：违法。未取得用户单独同意即用于营销，属于“未经同意收集使用个人信息”，可能面临行政处罚，数量达到5000条以上可入罪。
Q4：匿名化后的数据（如去掉姓名、手机号，仅保留行为轨迹）是否受刑法保护？
A：若无法通过任何技术手段重新识别到具体个人，则不属于个人信息，受刑法保护的风险较低。
Q5：公司因业务需要，将用户数据共享给境外母公司，需要注意什么？
A：必须进行数据出境安全评估，取得用户单独同意，并签订数据保护协议，否则可能构成“非法提供公民个人信息罪”。
章海，北京东卫（上海）律师事务所