客户名单怎么就成了“个人信息”？——侵犯公民个人信息罪的刑事红线

离职带走客户名单、购买“精准客户资源”，这些看似平常的操作，可能已经触碰侵犯公民个人信息罪。本文梳理入罪标准、四个常见误区、辩护空间与企业合规清单。

一、一个很常见的开端：一份“客户名单”

在咨询中，我经常遇到这样的场景：某公司的销售主管离职，带走了自己维护多年的客户名单，到新公司继续联系；或者一家初创企业为了快速获客，从第三方“数据服务商”那里购买了几万条“精准意向客户”信息；又或者技术人员写了个脚本，批量抓取某平台上的商家联系方式。当事人被公安机关传唤时，第一反应往往是：“不就是一些电话号码吗？我又没骗人，怎么就成犯罪了？”

这类案件涉及的罪名，是《刑法》第二百五十三条之一规定的侵犯公民个人信息罪。它并不是一个“离普通人很远”的罪名——自2017年司法解释出台、2021年《个人信息保护法》施行以来，它已经成为数据合规领域最常被激活的刑事条款之一，也是刑民交叉的典型地带：同一批数据，可能同时引发刑事责任、民事侵权赔偿、行政处罚和劳动合同纠纷。

二、“公民个人信息”到底包括什么

根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第一条，“公民个人信息”是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

关键词是“识别”和“反映活动情况”。单独一个手机号，可能还不足以识别特定自然人；但手机号加姓名、消费记录、住址，就足以锁定一个人。司法实践中，办案机关通常按信息的敏感程度分层：行踪轨迹信息、通信内容、征信信息、财产信息属于敏感信息，入罪门槛最低，五十条以上即可；住宿信息、通信记录、健康生理信息、交易信息属于重要信息，五百条以上；其他一般信息，如单纯的姓名加电话，为五千条以上。违法所得五千元以上的，也可以单独入罪。

三、四个最容易踩中的误区

误区一：客户名单是公司的商业资源，不是“个人信息”。这个理解只对了一半。企业客户本身不是自然人，但客户名单中往往包含联系人姓名、职务、手机号、微信甚至家庭住址，这些仍然是可以识别自然人的信息。即便公司对名单享有商业秘密权益，也不能据此对抗个人信息保护义务。反过来，如果员工“截流”客户，公司可以主张商业秘密侵权或职务侵占，而员工同时可能构成侵犯公民个人信息罪——这正是刑民交叉案件的复杂之处。

误区二：我没有卖钱，只是自己用或者送人。刑法上的“提供”并不要求牟利，无偿提供、交换、共享同样可能构成“提供公民个人信息”；“非法获取”则包括购买、收受、交换等行为。业务员把客户名单发给新同事、离职后发给新东家，都可能被认定为“提供”。

误区三：员工个人行为，公司不会有事。这是最危险的一个误解。《刑法》第二百五十三条之一明确规定了单位犯罪：单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各款的规定处罚。实践中，如果公司默许、纵容甚至组织员工购买数据，法定代表人、实际控制人、分管副总、数据负责人都有可能被追究。反过来，如果公司有真实有效的数据合规制度、员工培训记录、权限管理和审计日志，这些就是切割单位责任与个人责任的重要证据。

误区四：网上公开的信息可以随便抓。司法解释规定，未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于“提供公民个人信息”；通过购买、收受、交换等方式获取，或者在履行职责、提供服务过程中收集公民个人信息的，属于“以其他方法非法获取”。对于已合法公开的信息，司法解释确实留有例外空间，但“公开”不等于“可以任意批量收集和转卖”，尤其当收集行为违反平台规则、突破技术措施，或者信息本身涉及敏感内容时。

四、辩护的空间在哪里

这类案件的辩护，通常不是“有没有这回事”的对抗，而是“数量、性质、主观、地位”四个维度的精细计算。

第一是数量核减。信息条数是量刑的核心变量，而侦查机关的统计口径往往偏宽。辩护人应当逐条核对：是否存在重复数据、空号、停机号、非自然人信息、企业公开信息、已经去标识化或匿名化处理的数据；“条数”的鉴定意见是否说明去重方法和认定标准；同一组信息被多个下家流转时，是否被重复计算。数量从“情节特别严重”降到“情节严重”，刑期可能从三年以上直接落到三年以下。

第二是信息性质。敏感信息与一般信息的入罪门槛相差一百倍。将行踪轨迹、财产信息错误归类为一般信息，或者反过来把一般信息拔高为敏感信息，都会实质影响定罪量刑。

第三是“违反国家有关规定”这一前提要件。本罪以“违反国家有关规定”为前提，这里的“国家有关规定”应限于法律、行政法规和部门规章。如果指控依据的只是行业规范、平台协议或者企业内部制度，辩护上就有空间。

第四是主观明知与目的。行为人对信息来源是否合法、是否经过授权是否明知，直接影响故意认定。企业为正常经营、履行合同所必需而处理信息，与为了转卖牟利而批量获取，主观恶性差别很大。特别值得注意的是，司法解释第六条对“为合法经营活动而非法购买、收受”一般信息设置了不同于第五条的门槛：需要利用信息获利五万元以上，或者有前科、二年内受过行政处罚等情形，才认定为“情节严重”，且不适用“情节特别严重”的加重档。对于购买名单用于自身营销的企业而言，这一条往往是重要的辩护切入点。

第五是单位犯罪与个人责任的切割，以及地位作用。普通业务员、技术人员与决策层的作用不同，从犯、坦白、退赃、认罪认罚、数据删除与整改，都是可以争取的从宽情节。对于涉案企业，还可以评估是否符合合规不起诉或者企业合规整改的适用条件。

五、给企业和个人的合规清单

对企业的建议应当是具体的，而不是一句“加强管理”。第一，数据来源尽调：向第三方采购数据前，要求对方说明数据来源、取得方式、授权链条，并在合同中约定合法性保证与违约赔偿。第二，最小必要与告知同意：收集信息限于实现业务目的所必需，隐私政策要真实、具体、可追溯，敏感信息取得单独同意。第三，权限与留痕：按岗位分配最小权限，对导出、批量查询设置审批和日志审计。第四，离职管理：明确客户信息的归属与交接义务，签署保密与竞业协议，及时关闭账号权限。第五，委托处理：与外包客服、短信服务商、数据服务商签订符合《个人信息保护法》第二十一条的委托处理协议，明确处理目的、期限、方式和双方义务。第六，应急预案：一旦发生泄露，及时采取补救措施并按规定报告，避免损失扩大和刑事风险升级。

对个人的建议是：不要购买来源不明的“客户资源”；不要在离职时带走原公司的客户资料；不要为了“帮朋友忙”转发通讯录、名单或者查询结果；如果已经被传唤或者立案，第一时间固定能够证明数据来源合法、授权链条完整的证据，并在律师指导下如实陈述。这类案件中，“说不清数据从哪来”往往比“用了数据”更致命。

六、结语

数据是资产，也是责任。侵犯公民个人信息罪之所以容易发生，是因为它常常披着“行业惯例”“正常业务”“大家都这么干”的外衣。但刑事风险不会因为普遍存在而消失。对企业而言，真正的护城河不是拥有多少客户数据，而是能不能说清楚每一批数据从哪里来、凭什么用、用完怎么处理；对个人而言，最便宜的风险控制，是在动手之前先问一句：这些信息，我有权拿吗？

本文仅为一般性法律知识介绍，不构成对任何具体案件的法律意见。每一起案件的事实、证据与情节不同，处理方案应当由当事人与辩护律师结合具体情况确定。

※ 本文为一般性法律信息，不构成对任何具体案件的法律意见。个案请联系律师咨询。