2023年，公民个人浙江某地警方破获一起案件：一名房产中介离职时偷偷拷贝了公司系统里3万条业主信息，信息转手卖给装修公司，罪立准获利1.2万元。案标检察院以侵犯公民个人信息罪提起公诉，公民个人法院判了八个月有期徒刑。信息这条新闻底下最高赞评论是罪立准：“就这点钱也判刑？”——很多人不知道，这个罪名的案标立案门槛低得超乎想象。

《刑法》第二百五十三条之一规定的公民个人“侵犯公民个人信息罪”，立案标准主要看两个维度：条数和违法所得。信息但别被“条数”两个字骗了，罪立准这里的案标计算方式相当刁钻。普通公民信息（比如姓名、公民个人电话、信息住址）要5000条以上才够立案，罪立准但如果是行踪轨迹、通信内容、征信信息、财产信息这类“敏感信息”，只要50条就达标。更狠的是，住宿信息、健康生理信息、交易记录这类“可能影响人身、财产安全的信息”，500条就够判刑。你手机里存的通讯录，如果被批量转卖，按“公民个人信息”算，那得攒够5000人才行。

可现实中，很多案子根本数不到那么多条。因为法律还有个兜底条款——违法所得5000元以上就能立案。注意，是“以上”，不是“累计”。我见过一个案例，黑客攻破某电商平台数据库，只卖了2000条用户收货地址，获利6800元，照样被刑事拘留。还有个更离谱的，某公司内鬼把员工工资表（含身份证号、银行卡号）发到同行群里泄愤，没卖一分钱，但因为涉及敏感信息超过50条，还是被追诉了。所以别觉得“我没赚钱就没事”，法律看的是行为本身，不是你的动机。

这里有个容易踩的坑，很多人以为“信息是我自己收集的，不是偷的”就没事。错。刑法打击的是“非法获取”和“非法提供”，哪怕是公开渠道收集的，只要未经被收集者同意，且达到数量标准，照样构成犯罪。前两年有个做电话销售的，从工商公示系统里扒企业法人电话，打了半年电话推销财税服务，结果被以“侵犯公民个人信息罪”起诉——因为工商信息里的法人电话属于“可能影响人身、财产安全的信息”，他扒了800多条，超了300条红线。

实际操作中，司法机关对“条数”的认定也很有门道。一条信息里同时包含姓名、电话、住址，按一条算，还是按三条算？各地判法不一。有的地方按“可识别特定自然人身份”的组合算一条，有的地方把每个字段拆开算。这种不确定性导致同案不同判很常见。我认识一个律师，代理过一起案件，检方指控他的当事人侵犯了6万条信息，辩方咬定其中4万条是重复数据且无法识别具体个人，最后法院采纳了辩方意见，只认了2万条，量刑直接降了两档。

说到底，这个罪名的立案标准之所以定得这么低，是因为立法者认定个人信息泄露是电信诈骗、精准盗窃等下游犯罪的源头。但问题在于，标准低到连普通人日常工作中都可能踩线——比如HR转发的员工通讯录，销售共享的客户名单，甚至家长群里的接龙表格，理论上都有风险。司法实践中，除非有明确的出售、提供行为，或者造成了实际危害后果，否则一般不会主动追查。但一旦有人举报，或者案发后追溯上游数据来源，这些“不起眼”的行为就可能被翻出来。

所以别抱着侥幸心理。数据时代，你手机里存的每一条联系人、每一份聊天记录，都可能成为别人犯罪的工具，也可能成为你自己入罪的证据。保护自己的信息，也别碰别人的信息——这不是道德说教，是刑法明文写着的红线。