2021年11月《个人信息保护法》生效当天，非法浙江杭州某科技公司数据运维主管李某被警方带走。个人他在职期间利用系统权限，信息将公司存储的多少12万条用户手机号、身份证号分批次导出，条入以每条0.3元的非法价格卖给网贷推销团伙。检察院起诉书里引用的个人关键条款是《刑法》第二百五十三条之一——侵犯公民个人信息罪，司法解释白纸黑字写着：非法获取、信息出售或者提供公民个人信息五千条以上，多少应当认定为“情节严重”。条入

五千条，非法不是个人五万条，也不是信息五十万条。这个门槛低得让很多人意外。多少我见过一个做电话销售的条入小老板，雇了三个话务员，从网上买了两万条所谓“精准客户名单”，实际打通率不到三成，成交为零，但案发后一样被刑事立案。法官告诉他，法律不问你的数据有没有用，只看你拿没拿、给没给。

但这里有个容易被忽视的细节——条数计算方式并不总是一比一。司法解释把公民个人信息分成了两类：行踪轨迹信息、通信内容、征信信息、财产信息这类“敏感信息”，五十条就够罪；而住宿信息、通信记录、健康生理信息等“重要信息”，五百条起步。只有普通姓名、电话、住址这类“一般信息”，才适用五千条标准。所以一个卖快递单号的，可能比卖通讯录的判得更重，因为快递单号往往包含住址和手机号组合，被归类为“可能影响人身、财产安全的信息”。

实际办案中还有更拧巴的情况。批量数据里混着重复项、无效项，怎么算？最高法的答复是：按查获数量直接认定，除非嫌疑人能证明部分数据不真实或重复。这意味着执法部门拉出来的Excel表有多少行，就是多少条。有个案子，被告人从网上买了一份“业主名录”，里面混着大量“王先生”“李女士”这种没全名的条目，法院照样全数计入，理由是“能识别特定自然人身份的信息即属于公民个人信息”，哪怕不完整。

我认识一位基层网安民警，他私下说，五千条的门槛其实是为了震慑“数据二道贩子”。真正危害大的，是那种倒卖几百万条的大案，但小案太多，警力不够，只能抓典型。可现实是，很多打工人根本不知道自己在踩红线——比如公司HR把员工通讯录卖给猎头，财务把客户流水截图发给催收公司，这些行为一旦被查，条数往往瞬间过线。

所以别抱着侥幸心理去试“我只拿了一千条”这种话。法律划的线就在那儿，五千条，不多也不少。你手机通讯录里存着三百个联系人，加上微信好友列表，再翻翻邮箱里的历史邮件附件，凑一凑，可能就够着刑事立案的边了。关键不在于你觉得自己是不是坏人，而在于你手上的数据有没有被法律定义为“非法获取”。

(责任编辑：休闲)