2026年11月1日，《中华人民共和国个人信息保护法》迎来实施5周年。就在第二天，最高人民检察院发布8件依法保护公民个人信息典型案例。从境外“社工库”倒卖、以“私家侦探”为名的GPS跟踪，到网络“开盒”网暴、“饭圈”贩卖明星行踪轨迹，一批案件把个人信息黑色产业链摊开在公众面前。
很多人以为，姓名、电话、住址不过是“不值钱”的信息，公开在网上还能被随意抓取倒卖。但法律的态度很明确：公民个人信息受法律保护，非法获取、出售、提供，达到一定数量或数额就构成犯罪，连已公开的信息也不是可以任意倒卖的“公共资源”。本文结合刑法规定与最高检这批典型案例，把侵犯公民个人信息罪的认定标准、常见手法和追责路径讲清楚。
一、罪名与门槛：刑法第二百五十三条之一的“红线”在哪
侵犯公民个人信息罪，规定于《中华人民共和国刑法》第二百五十三条之一。刑法修正案（九）修改后的条文明确：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
条文还规定了两种从重与扩大情形：将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照第一款的规定从重处罚；窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。这意味着，掌握客户数据、航班信息的员工，一旦把职务上掌握的信息拿去出售，处罚比一般人更重。
什么算“情节严重”“情节特别严重”？法释〔2017〕10号第五条划定了明确门槛：出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；其他公民个人信息五千条以上的；违法所得五千元以上的，均可认定为“情节严重”。数量或者数额达到上述标准十倍以上，或者造成严重后果的，构成“情节特别严重”。
二、全链条惩治：境外“社工库”黑灰产业链
这批案例的第一件，是浙江省金华市婺城区人民检察院办理的王某等11人侵犯公民个人信息案。2024年6月起，王某等人发现能够从境外网络“社工库”购买我国公民个人信息，遂租赁场地、招募“业务员”、组建“工作室”，在互联网上倒卖公民个人信息牟利，利用境外通信工具联系上游供料渠道，搭建起“境内寻找下游买家—境外获取个人信息—境内加价倒卖获利”的犯罪链条，倒卖公民户籍、财产状况、行踪轨迹等信息，涉案金额共计198万余元。
为逃避查处，该团伙统一配备专用工作手机和社交账号，利用网络支付平台收款，以虚拟货币向境外上游卖家支付。2025年8月，婺城区检察院以侵犯公民个人信息罪对11人提起公诉，同年11月法院判处11人有期徒刑三年六个月至八个月不等，并处罚金。检察机关通过审查电子数据、对资金穿透式审查，查明资金流向，并强化立案监督，实现对上游供料、中间倒卖、下游购买各环节的全链条惩治。
这个案例的启示很直接：侵犯公民个人信息犯罪，早已不是单打独斗的“孤案”，而是上下游分工明确的黑灰产业。司法机关的立场是“全链条惩治”——买信息、卖信息、传信息的人，谁也别想置身事外。
三、“私家侦探”不是合法生意：GPS定位与行踪轨迹
第二件案例，是江西省龙南市人民检察院办理的周某许等9人侵犯公民个人信息案。周某许看到互联网上有“婚姻调查”需求，便注册咨询公司，招募人员在短视频平台以“私家侦探”名义发布有偿“婚姻调查”引流视频。收取费用后，他线上通过境外聊天软件非法获取客户指定对象的行踪轨迹、财产状况、住宿记录等信息，线下安排人员安装GPS定位器、贴身跟踪偷拍。截至案发，共非法获取、出售公民个人信息1.8万余条，获利16万余元，还利用这些信息实施多起敲诈勒索。
2024年5月，龙南市检察院以周某许构成侵犯公民个人信息罪、敲诈勒索罪，其余8人构成侵犯公民个人信息罪提起公诉。同年8月，法院数罪并罚判处周某许有期徒刑四年、并处罚金二十万元，其余8人被判处三年至八个月不等并处罚金。检察机关还向相关主管部门制发检察建议，推动清理涉“私家侦探”违法信息。
这里需要特别提醒：行踪轨迹信息属于最敏感的个人信息之一，非法获取、出售五十条即可入罪。以“私家侦探”“婚姻调查”为名，未经他人同意获取、出售行踪轨迹信息，情节严重的，同样构成侵犯公民个人信息罪。任何商业模式或技术手段，都不应沦为侵犯个人信息的工具。
四、“开盒”网暴：技术手段越界与数罪并罚
第四件案例聚焦网络“开盒”。所谓“开盒”，指不法分子通过网络非法搜集、挖掘公民个人信息并公开发布，是诱发网络暴力的重要源头。被告人陈某丞、陆某鹏等人为博取网络空间影响力，与马某力等人在多个平台对与自己意见不合的网友实施“开盒”，使用脚本代码侵入某省事务平台系统，非法获取公民身份证号码、电话号码等1600万余条；又编写运行脚本，窃取多个网络贴吧、云空间用户信息10亿余条。
这些信息被用于对全国各地的游戏玩家、贴吧吧主等47名被害人（含5名未成年人）实施“开盒”、网暴和线下滋扰，多名被害人精神抑郁就医。2024年9月，成都龙泉驿区检察院提起公诉。2025年12月，法院判处陈某丞等6人有期徒刑四年五个月至九个月不等并处罚金；部分被告上诉后，2026年4月成都中院驳回上诉、维持原判。
这个案件的定罪值得注意：“开盒”通常同时触犯多个罪名。陆某鹏使用脚本侵入国家事务计算机信息系统，为他人提供技术支持并实施网暴，构成非法侵入计算机信息系统罪与寻衅滋事罪，数罪并罚；陈某丞、马某力侵入事务平台获取信息，同时构成非法侵入计算机信息系统罪与侵犯公民个人信息罪，属想象竞合、择一重罪处罚，认定构成侵犯公民个人信息罪；其余人员实施“开盒”网暴，构成寻衅滋事罪。技术越界、行为叠加，刑事责任也随之叠加。
五、已公开信息也不是“公共资源”：向境外出售
第五件案例，是江苏省无锡市滨湖区人民检察院办理的刘某侵犯公民个人信息案。刘某在境外务工期间获悉我国特定公民个人信息可向境外出售牟利，回国后专门设立房产中介公司，招募人员在各类平台专门搜集“一手女房东”发布的房屋租售信息，筛选整理出具有一定经济实力的女性相关信息后向境外出售。2023年10月至2024年7月，共非法获取、出售个人信息2.4万余条，非法获利19万余元。其中一名被害人因信息泄露被境外犯罪分子诈骗29万余元。
2025年7月，无锡市滨湖区法院以侵犯公民个人信息罪判处刘某有期徒刑三年六个月、并处罚金二十万元。检察机关指出，刘某出售信息条数超过5000条、非法获利超过5万元，属“情节特别严重”。这个案例也给出了一个极易被忽视的法律判断：已公开的公民个人信息，并非可以任意倒卖的“公共资源”。未经被收集者同意，擅自改变信息公开的范围、目的和用途，将整理后的公民个人信息非法提供或者出售，情节严重的，同样构成犯罪。
六、刑事追责之外：公益诉讼守护公共利益
侵犯公民个人信息犯罪侵害的，往往不只是某一个人，而是众多不特定主体的权益。为此，检察机关在追究刑事责任的同时，越来越多地通过公益诉讼要求行为人承担民事赔偿责任。依据《个人信息保护法》第七十条，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。
第六件——北京市朝阳区检察院办理的舒某屏案，被告人系某航空公司外包公司电话客服，利用职务便利登录航空公司系统查询并出售明星艺人航班信息，涉及30余人、100余架次航班，非法获利1万余元。因待出行航班信息能准确锁定特定乘客未来特定时段所处位置，属行踪轨迹信息，出售100余条已达“情节严重”。法院判处其有期徒刑十个月、缓刑一年并处罚金，同时责令支付公益损害赔偿金、公开赔礼道歉。针对一审未追缴违法所得，检察机关抗诉后二审改判追缴。
第八件——广东省广州市越秀区检察院诉王某某、林某某民事公益诉讼案，二人在互联网上用“爬虫”程序非法入侵某三甲肿瘤专科医院的服务器，窃取患者个人信息、门诊医嘱数据、住院医嘱数据等共计385万余条，迁移至境外服务器存储运行半年之久。经技术鉴定，医嘱数据可通过身份证字段与患者信息建立关联，属医疗健康类敏感个人信息。尽管可查证获利仅10800元，越秀区检察院综合信息敏感程度、数据量和波及范围、跨境风险等因素，确定公益损害赔偿金150万元，2026年8月广州互联网法院一审判决全额支持。
七、对公民、企业与律师的启示
对普通公民而言，要守住三件事：一是看好自己的身份证号、人脸信息等核心敏感信息，不轻易向陌生平台、扫码活动授权；二是警惕以“激活医保电子凭证”“婚姻调查”“兼职招聘”等为名的信息收集套路，特别是帮助家中老人辨识风险；三是一旦发现个人信息被非法泄露、被“开盒”网暴，应固定证据并及时报警，也可通过民事侵权诉讼维权。
对企业而言，数据合规不是口号。掌握客户信息、用户数据的机构，要建立严格的权限管理和脱敏机制；企业人力资源、客服等岗位人员，更不得利用职务便利将应聘者、客户信息出售或提供他人——刑法明确规定，履职或服务中获取的个人信息出售给他人的，从重处罚。
对律师而言，这类案件既是刑事辩护的新战场，也是企业合规的新蓝海。代理刑事辩护，要围绕信息是否属于“公民个人信息”、是否达到法定数量门槛、行为人主观明知、是否履职从重等要件组织证据，善用数量去重规则和鉴定意见；代理企业合规，要提示客户建立个人信息保护的制度、流程与留痕。公益诉讼中赔偿数额的认定逻辑，也为同类民事索赔提供了参照。
结语
从境外“社工库”到GPS定位，从“开盒”网暴到跨境出售医疗信息，侵犯公民个人信息犯罪的手段不断翻新，但法律保护的底线从未松动：公民个人信息受法律保护，任何人不得非法获取、出售、提供。最高检在个人信息保护法实施五周年之际发布这批典型案例，既是向违法犯罪亮明态度，也是在提醒全社会——个人信息不是商品，更不是“公共资源”，守护好每一份个人信息，就是守护我们共同的安全与安宁。