浙江一个程序员，人信去年把前东家数据库里的息判客户名单拷走，转手卖给三家同行，人信到手六万八。息判法院判了三年两个月，人信罚金五万，息判赃款追缴。人信他以为这不过是息判“拿回自己写过的代码”，看守所里才明白——那叫“非法获取计算机信息系统数据罪”。人信

窃取他人信息到底判几年？息判答案不是一句话能塞给你的。刑法第253条之一写着“侵犯公民个人信息罪”，人信情节严重处三年以下有期徒刑或拘役，息判并处或单处罚金；情节特别严重，人信三年以上七年以下，息判并处罚金。人信但什么叫“情节严重”？最高法、最高检的司法解释划了线：非法获取、出售或提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；住宿信息、通信记录、健康生理信息、交易信息五百条以上的；其他公民个人信息五千条以上的。简单说，五十条就能立案，五千条就是“严重”的起跑线。

可现实比法条拧巴得多。我认识一个做数据安全审计的朋友，他经手过一起案子：某房产中介离职时导出了两万条业主电话，卖给装修公司，获利四千。按数量算，远超“情节特别严重”的五千条门槛，但法院最终判了八个月缓刑，理由是他“未造成实际危害后果”。你看，法官手里那把尺子，量的是数字，也量数字背后的伤害。反过来，有人只卖了三十八条领导干部的住宿记录，却实打实坐了三年牢——涉密信息、敏感人群，数量门槛直接砍到五十条以下，性质恶劣就往上顶格判。

这里头有个容易踩的坑：很多人以为“信息”得是身份证号、银行卡密码才算。错了。手机号、家庭住址、社交账号、消费记录，甚至你网购时填的收货地址，全在保护范围内。前两年有个案子，几个年轻人通过“爬虫”抓取某电商平台的公开评价数据，分析出用户手机型号和消费习惯，打包出售。他们辩称“这些都是公开信息”，结果检察院指控的罪名照样成立——公开不等于授权，收集后的转卖行为本身就触法。

再说说单位犯罪。公司老板指使员工去黑市买客户资料搞营销，别以为能甩锅给员工。刑法规定，单位犯此罪的，对单位判罚金，对直接负责的主管人员和其他直接责任人，照样按自然人犯罪判刑。我见过一个案例，某教育机构的销售总监让下属从“信息贩子”手里购买三万条家长电话，机构被罚了二十万，总监本人判了两年。他事后跟律师说：“我以为公司行为，个人最多罚点钱。”——这认知错得离谱。

判几年，说到底取决于三个变量：信息类型、数量规模、用途后果。卖给学生家长电话卖不出高价，但要是把某医院的就诊记录卖给保险公司，那性质就变了——医疗信息涉及隐私权、名誉权，还可能被用来拒保，量刑时法官会往重里靠。再一个，如果窃取的信息被用于诈骗、敲诈勒索，那就不只是侵犯公民个人信息罪了，可能数罪并罚，十年以上也不是没可能。

去年最高检发布的数据显示，侵犯公民个人信息罪提起公诉的人数同比上升了23%。但判实刑的比例反而在下降，缓刑适用率越来越高。为什么？因为大量案件里，被告人就是那种“图省事”的普通员工——拷贝一份通讯录，转手赚个几千块，根本没意识到自己在犯罪。法院对这种初犯、偶犯，主观恶性不深的，往往给机会。可机会是给一次的。你要是二次再犯，或者把信息卖给了境外机构，那基本就是实刑没跑。

别以为删了聊天记录、用加密软件传输就查不到。现在的电子取证技术，恢复数据是基本功。浙江那个程序员，他以为把文件存进网盘再分享就神不知鬼不觉，结果平台后台日志记录得清清楚楚——什么时候上传、从哪个IP传、分享给谁，全是铁证。

说到底，这问题的答案不是“几年”两个字能打发的。它得看你怎么拿的、拿了什么、拿去干了什么。但有一条铁律：别碰别人的数据，哪怕那数据“躺”在公开的角落里。你动一下，就是给自己的人生上锁——锁的时长，从几个月到七年，全看你自己怎么选。