2026年10月8日，法治日报援引专家观点报道，“开盒”已成人人痛恨的网络公害。这个词对很多人来说并不陌生：今年两高工作报告都点名了这一网络暴力新形态，社交平台上隔三差五就有“被开盒”的当事人发声。所谓“开盒”，简单说就是把他人的姓名、身份证号、手机号、住址、工作单位甚至社交账号等隐私信息扒出来公之于众，往往还配着辱骂、骚扰、威胁。

很多人以为这是“网络对线”的延伸，忍一忍就过去了。但从法律角度，“开盒”已经不是道德问题，而是一条完整的违法链条：信息从哪来、谁在买卖、谁在公开、平台负什么责任，每一环都有明确的法律定性。2024年8月1日起施行的《网络暴力信息治理规定》，加上刑法、民法典、治安管理处罚法的组合拳，已经把“开盒”的法律防线搭了起来。这篇文章把这条防线讲清楚。

一、“开盒”到底是什么

“开盒”是“人肉搜索”的升级版。早期的“人肉搜索”多是网民出于愤怒自发拼凑信息，如今的开盒则高度组织化：有人专门在网络“厕所”、贴吧、群聊里发布他人隐私，内容从身份证照片、家庭住址到航班行程、购物记录，一应俱全。被开盒的人，轻则被骚扰电话轰炸、收到威胁私信，重则被“社会性死亡”——个人信息被公开的那一刻起，隐私、名誉、生活安宁都被撕开。

更值得注意的是，开盒背后往往站着“生意”。隐私信息公开本身就是引流工具，开盒者借此积累粉丝、博取流量，再通过卖课、接单、收费“代开”变现。信息一旦进入公开网络，就被不断转发、加工，几乎不可能彻底删除。这正是网络暴力和传统暴力的本质区别：伤害不是一次性的，而是持续扩散的。

二、个人信息从哪里来

要谈责任，先得弄清楚信息泄露的源头。现实中，被开盒的个人信息主要来自三个渠道。

一是“社工库”。所谓社工库，是黑客和不法分子长期积累、整合的数据库，把历次数据泄露事件中的账号密码、身份信息、手机号码汇总撞库而成。2022年最高人民法院发布的指导性案例192号中，行为人就是通过非法手段获取包含人脸识别信息在内的公民个人信息，再比对“社工库”数据，非法注册购物平台账号获取价值数万元的优惠券——该案查获的公民个人信息达8100余万条。

二是行业“内鬼”。快递、外卖、电商、金融、运营商等掌握海量个人信息的行业，个别员工监守自盗，把客户信息打包出售。这类案件在司法实践中屡见不鲜，也是个人信息泄露最主要的源头之一。

三是碎片拼凑。通过公开社交动态、快递单号、房产登记、缴费记录等零散信息交叉比对，也能还原出一个人的完整画像。网络时代，“拼图式”扒人并不需要多高的技术门槛。

信息从这里流出，经过中间商的清洗、分类、打包，最终流向两个方向：一部分卖给诈骗团伙用于精准诈骗，另一部分就是被“开盒”用于网络暴力。这也是为什么治理开盒必须同时打掉上游的数据泄露黑产。

三、刑事责任：侵犯公民个人信息罪是主抓手

对“开盒”最严厉的定性是刑事犯罪。刑法第二百五十三条之一规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。窃取或者以其他方法非法获取公民个人信息的，同样处罚。

什么是“情节严重”？最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）划出了量化标准：非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的公民个人信息五百条以上的；其他公民个人信息五千条以上的；违法所得五千元以上的，均属于情节严重。特别重要的是，将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，数量、数额认定标准减半计算——这直接针对“内鬼”。

对“开盒”而言，还有一条关键规则：向他人出售或者提供公民个人信息，“提供”包括向特定人提供和向不特定人发布。也就是说，在网上公开他人信息，本身就是刑法意义上的“提供”，只要达到数量标准就构成犯罪。2023年9月最高人民法院、最高人民检察院、公安部联合印发的《关于依法惩治网络暴力违法犯罪的指导意见》进一步明确：组织“人肉搜索”，违法收集并向不特定多数人发布公民个人信息，情节严重的，以侵犯公民个人信息罪定罪处罚。

与此同时，侮辱、诽谤达到严重程度的，还可能构成侮辱罪、诽谤罪；利用开盒信息实施敲诈勒索、电信诈骗的，则相应构成敲诈勒索罪、诈骗罪，数罪并罚。刑事这条线，“开盒”是实实在在踩了红线的。

四、民事责任与人格权禁令

够不上刑事追诉标准的开盒行为，民事救济同样有抓手。民法典第一千零三十二条规定，自然人享有隐私权，任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权；第一千零三十四条明确，自然人的个人信息受法律保护，姓名、身份证件号码、住址、电话号码、行踪信息等都属于个人信息。被开盒者可以主张停止侵害、消除影响、赔礼道歉、赔偿损失，包括精神损害赔偿。

更高效的是人格权侵害禁令。民法典第九百九十七条规定，民事主体有证据证明行为人正在实施或者即将实施侵害其人格权的违法行为，不及时制止将使其合法权益受到难以弥补的损害的，有权依法向人民法院申请采取责令行为人停止有关行为的措施。两高一部网络暴力指导意见第十五条明确要求依法适用这一制度。对正在被开盒、信息还在扩散的当事人来说，禁令比诉讼更快——不需要等案件审完，就可以申请法院责令停止发布、删除信息。

名誉权、隐私权诉讼的另一个好处是，无论行为人是否被刑事追诉，被害人都可以独立主张经济赔偿，且网络平台若未及时采取必要措施，也可能依据民法典关于网络服务提供者责任的规定承担连带责任。

五、行政责任与平台义务

刑事和民事之间，还有行政责任这一层。2025年修订的治安管理处罚法明确，散布他人隐私等行为的，可以处拘留、罚款；违反国家有关规定向他人出售或者提供个人信息的，最高可处十五日以下拘留。这就意味着，够不上刑事立案标准的开盒行为，公安机关同样可以启动治安处罚程序，违法成本并不低。

平台则承担着第一道防线的责任。《网络暴力信息治理规定》由国家互联网信息办公室联合公安部、文化和旅游部、国家广播电视总局于2024年6月公布、8月1日起施行，要求网络信息服务提供者建立完善网络暴力信息治理机制：健全用户注册、账号管理、个人信息保护、监测预警制度；发现网络暴力信息时及时采取删除、屏蔽、断开链接等处置措施，并向有关部门报告。中央网信办2023年部署的“清朗·网络戾气整治”专项行动，更是把“开盒挂人”、公开他人隐私信息列为重点整治的第一类问题。平台不作为，同样可能被约谈、处罚。

六、被“开盒”了怎么办

给普通人一份可操作的维权清单：

第一步，固定证据。对发布隐私信息的页面、帖子、聊天记录完整录屏，最好做公证或使用可信时间戳，转发的链接、截图也一并保存。证据是后续一切维权的基础。

第二步，通知平台删除。向发布平台提交投诉，要求删除、屏蔽侵权信息并封禁账号；平台怠于处理的，保留投诉记录，作为追责平台的证据。

第三步，报警。向公安机关报案，说明侵犯隐私或出售个人信息的违法事实。够刑事立案标准的，公安机关应当立案侦查；不够的，也可以启动治安处罚程序。

第四步，起诉。向人民法院提起隐私权、名誉权诉讼，正在持续扩散的可以同步申请人格权侵害禁令；案件涉及公共利益的，还可以向检察机关提供公益诉讼线索。

需要提醒的是，发现自己信息被泄露，第一时间还要警惕衍生诈骗——不法分子很可能利用刚被公开的信息实施精准诈骗，提高警惕、不轻信、不转账。

七、对企业和律师的启示

对企业来说，“开盒”治理释放的信号很明确：个人信息保护不是合规口号，而是实打实的经营底线。企业应当落实数据最小化收集原则，能不收集就不收集；员工权限严格分级，防止内部泄露；发生数据泄露及时履行通知义务并留存处置记录。否则，企业既可能因员工“内鬼”行为被追究责任，也可能因平台不作为被行政处罚。

对执业律师，这一领域正在形成新的业务增长点：个人信息侵权与网络暴力诉讼代理、人格权禁令申请、企业数据合规体系建设、涉嫌侵犯公民个人信息罪的刑事辩护，以及平台治理合规咨询。每一项都需要对司法解释的数量标准、证据规则和平台义务有精细把握。开盒案件的被害人维权痛点，恰恰是专业律师的用武之地。

结语

“开盒”之所以让人恐惧，是因为它把每个人习以为常的隐私变成了可以被任意撕开的包装纸。好在法律已经明确表态：信息泄露的每一环、公开信息的每一步、纵容传播的每一个平台，都有人需要负责。对于普通人，学会固定证据、及时维权，是把“裸奔”变回“穿着衣服”的第一步；对于企业，数据合规不再是成本，而是护城河。网络空间不是法外之地，这句话正在从口号变成现实。