内容摘要：2023年杭州一家电商公司的运营总监被带走问话，原因不是刷单，而是把用户购买记录打包卖给了第三方数据公司。这事当时在圈子里炸了锅——很多人第一反应是：卖数据？这不就跟卖废纸一样常见吗？ 答案是：卖数据

2023年杭州一家电商公司的卖数运营总监被带走问话，原因不是违法刷单，而是卖数把用户购买记录打包卖给了第三方数据公司。这事当时在圈子里炸了锅——很多人第一反应是违法：卖数据？这不就跟卖废纸一样常见吗？

答案是：卖数据几乎必然违法，但前提是卖数数据能被识别到具体个人。你手机里的违法通讯录、购物记录、卖数位置轨迹，违法只要包含姓名、卖数电话、违法地址这些能对应到活人的卖数信息，就属于个人信息保护法管的违法地盘。民法典第1034条写得很直白：自然人的卖数个人信息受法律保护。哪怕你觉得只是违法卖了个手机号，那也是卖数把别人的隐私当成了自己的商品。

有人会狡辩：我卖的只是脱敏后的数据，比如性别、年龄段、消费偏好，这总行了吧？现实很骨感——只要数据颗粒度够细，哪怕没有姓名，通过多个维度的交叉比对，照样能锁定到具体个人。去年某招聘平台泄露的简历数据，就是靠"学历+工作年限+期望薪资"三个字段，被黑客还原出真实身份。法院判例里，这种"间接识别"照样算违法。

那企业内部的数据买卖有没有灰色地带？有，但极其危险。比如A公司把自己积累的用户行为数据卖给B公司做市场调研，如果A公司没获得用户明确授权，B公司又拿去用于营销，这链条上每个环节都可能踩雷。更麻烦的是，数据一旦卖出，你根本控制不了它流向哪里——买家转手再卖给C公司，你就成了帮凶。

我见过最荒唐的案例：某连锁健身房倒闭前，把会员的体测数据、健康档案打包卖给了一家保险公司。表面看是"资产清算"，实际上那些记录着心率、血压、过往伤病的私密数据，直接变成了保险公司拒保的依据。会员们毫不知情，直到有人投保被拒才东窗事发。这种买卖，不仅违法，简直缺德。

但话说回来，法律也不是一刀切。纯粹统计性的、无法识别个人的匿名数据，比如"某城市通勤人群平均步数"，这种卖了不违法。问题在于，大部分企业根本分不清"匿名"和"脱敏"的区别——脱敏只是把姓名换成编号，编号背后还是活生生的人。真正的匿名化要达到无法复原的程度，现实中没几家公司做得到。

所以别抱侥幸心理。监管部门这两年盯得紧，去年全国网信办就查处了上百起数据违规交易案件，罚款从几十万到上千万不等。更狠的是刑事追责——刑法第253条之一，侵犯公民个人信息罪，最高判七年。别以为卖几条数据只是"民事纠纷"，金额大了、条数多了，直接进看守所。

说到底，数据买卖这事，本质上是把别人的隐私当自己的提款机。你可以说法律有漏洞、监管有滞后，但只要数据能对应到人，卖出去的那一刻，你就站在了违法的那一边。与其琢磨怎么钻空子，不如先问问自己：如果别人把你的病历、行踪、聊天记录打包卖掉，你受得了吗？