最高检发布8件个人信息保护典型案例：开盒、人肉搜索的刑事红线在哪里？
"开盒"绝不是转发几下别人隐私那么简单——从窃取、提供到公开、利用，每个环节都可能独立构成犯罪，最高检这次用8件案例把"全链条惩治"的立场讲…
"开盒"绝不是转发几下别人隐私那么简单——从窃取、提供到公开、利用，每个环节都可能独立构成犯罪，最高检这次用8件案例把"全链条惩治"的立场讲透了。 对涉案人员及其家属而言，关键在于准确识别自己处于链条的哪一环：单纯提供工具、出售信息、公开扩散、下游利用，罪名与量刑差异极大；而对普通网民，这批案例传递的信号同样明确——参与"吃瓜"式转发开盒信息，同样可能越过刑事红线。
一、这批案例为什么重要：个人信息犯罪的三个新趋势
第一，犯罪手段技术化、链条化。从GPS定位跟踪、爬虫批量抓取到利用网络招聘平台假借招聘收割简历，信息获取方式日益隐蔽，上中下游分工明确：有人窃取、有人清洗、有人出售、有人利用。案例一确立的"全链条惩治"原则意味着，检察机关不再只打击终端买家或源头卖家，中间环节的居间、代收、转售行为都会被逐一追诉。
第二，刑事与民事、公益诉讼并行。案例六、案例八显示，对出售明星行踪轨迹、窃取医疗健康信息等行为，检察机关在追究刑事责任的同时提起刑事附带民事公益诉讼，行为人可能面临"刑罚+公益赔偿"的双重责任。这对辩护策略有直接影响：退赃退赔、赔偿公益损失的进度，直接影响量刑协商与缓刑可能性。
第三，从严与精准并重。案例三对利用老年人认知弱点作案的明确从严；案例八对公益损害赔偿金额的认定引入"信息敏感程度、数据应用价值、跨境风险"等因素，说明数量不再是唯一标准——敏感信息如医疗健康、行踪轨迹，适用《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》的更低入罪门槛（50条即可入罪）。
二、"开盒"各环节可能触及哪些罪名？
结合案例四的"各环节行为危害性及可能触及罪名"的指引，一个典型开盒事件中不同角色的刑事风险分别是：
- 窃取、非法获取信息者：非法获取行踪轨迹、通信内容、征信、财产信息50条以上，或其他个人信息500条以上，或违法所得5000元以上的，构成《刑法》第二百五十三条之一侵犯公民个人信息罪。
- 提供、出售信息者：与窃取者同等入罪标准，且向境外出售（如案例五的房屋租售信息流向境外引发电诈）被明确列为从严情节。
- 公开扩散、组织网暴者：情节严重的可能构成侮辱罪、诽谤罪；利用信息网络辱骂、恐吓他人，破坏社会秩序的，可依《刑法》第二百九十三条寻衅滋事罪追究；同时可能触犯侵犯公民个人信息罪，依处罚较重的规定定罪。
- 下游利用信息实施诈骗、盗窃者：按诈骗罪、盗窃罪等目的犯罪论处，提供信息者若存在共谋，以共犯论。
- 提供技术支持的程序员：明知他人利用信息网络实施犯罪仍提供爬虫、定位、破译等技术帮助的，可能构成帮助信息网络犯罪活动罪或非法获取计算机信息系统数据罪。
三、辩护的六个有效争点
- 信息类型与数量认定：涉案信息是否属于"敏感信息"直接决定入罪门槛是50条还是500条。对混杂数据，应逐条甄别去重——司法实践中"条数"以有效信息、可识别到特定自然人的信息为准，重复、无效条目应予剔除。
- "合法来源"抗辩：通过公开渠道合法收集、经授权取得的信息不属于"公民个人信息"保护范围中的非法获取对象；企业工商登记信息等已合法公开的信息，收集、使用一般不构成犯罪（深度利用除外）。
- "明知"的证明：对中间环节人员，检察机关需证明其明知信息系非法获取。交易价格异常、渠道异常可推定明知，但存在反证的（如对方提供了伪造的授权文件、平台正常经营外观），推定可被推翻。
- 主从犯与作用大小：链条化案件中，受雇从事单环节操作、获利微薄的底层人员，应争取认定为从犯，依法从宽。
- 数量与后果的因果关系：下游引发的电信诈骗等严重后果，需证明与特定行为人出售的信息存在因果关联，不能笼统归责。
- 认罪认罚与公益赔偿的量刑联动：尽早退赃、赔偿公益损失、消除影响（如删除信息、公开致歉），是争取缓刑和较低刑期的现实路径。
广东华商律师事务所潘杰峰律师点评
这8件案例最值得普通网民和企业关注的，是把"全链条、双责任（刑事+公益诉讼）"的追责逻辑展示得非常直白：开盒事件里没有无辜的围观者，参与扩散、代收代付、提供工具的都可能被追诉。我给两类人群各提一个建议：对科技从业者，接到"代抓数据""定位找人"类外包需求时，先审查委托方身份与数据来源，"私家侦探"式业务现在是检察重点打击对象，技术提供者被认定为共犯的判例已经很多；对涉案人员家属，案件进入审查起诉阶段后，信息条数甄别、敏感信息认定和公益赔偿安排是三个最能影响结果的抓手，宜尽早委托律师介入，不要等到审判阶段才着手。个人信息保护执法只会越来越严，这批案例就是量刑风向标。
FAQ
问：转发别人开盒出来的信息，也会构成犯罪吗？
答：有风险。单纯偶然浏览一般不构成犯罪；但如果明知是非法获取的行踪轨迹、住宿、通信等敏感信息仍予以转发扩散、造成严重后果的，可能被认定为非法提供个人信息或参与网暴，视情节构成侵犯公民个人信息罪、侮辱诽谤或寻衅滋事。最高检案例四已经明确要对开盒各环节行为全面揭露追责，"我只是转发"不再是安全区。
问：网上花几百元买一个人的定位和身份信息，买家会被追究刑责吗？
答：会。非法购买行踪轨迹、通信内容、财产信息等敏感信息50条以上，或一般信息500条以上，即达侵犯公民个人信息罪的追诉标准。以"私家侦探"名义购买定位用于跟踪、滋扰的，还可能数罪并罚或按处罚较重的罪名处理。
问：企业收集客户信息用于营销，什么情况下会构成犯罪？
答：合法收集、经授权同意且在授权范围内使用，不构成犯罪。风险点在于：超范围向第三方出售或提供、未经同意抓取平台用户数据、购买来路不明的名单用于营销。企业应建立个人信息处理授权链条留痕，营销采购名单时审查供应商的数据来源合规证明，否则单位与直接责任人员都可能被追究刑事责任。
