个人信息贩卖，法律如何界定与惩处？

99ANYc3cd6 今天 1

默认

摘要： 中国对个人信息保护采取了“全面保护、重点规制、严惩重罚”的立法思路，核心法律是《中华人民共和国个人信息保护法》，它与《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及《...

中国对个人信息保护采取了“全面保护、重点规制、严惩重罚”的立法思路，核心法律是《中华人民共和国个人信息保护法》，它与《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及《中华人民共和国刑法》共同构成了个人信息保护的“四驾马车”。

（图片来源网络，侵删）

下面我将从几个层面为您详细解读：

核心法律：《中华人民共和国个人信息保护法》（PIPL）

这是个人信息保护领域的“基本法”，于2025年11月1日正式施行，它对个人信息的处理、跨境传输、以及法律责任等作出了全面规定。

个人信息: 指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息，姓名、身份证号、电话号码、住址、行踪轨迹、健康信息、银行账户等。
敏感个人信息: 一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，对敏感个人信息的处理要求更为严格。
处理原则: 包括合法、正当、必要和诚信原则，处理个人信息必须取得个人“单独同意”（特别是敏感信息），且目的应当明确、合理。

这是法律规制的重点对象。“个人信息贩卖”的核心就是“非法处理个人信息”。

处理条件: 任何组织、个人不得非法收集、使用、加工、传输他人个人信息，处理个人信息必须满足以下条件之一：
（图片来源网络，侵删）
1. 取得个人的同意。
2. 订立、履行合同所必需。
3. 为履行法定职责或者法定义务所必需。
4. 为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需。
5. 为公共利益实施新闻报道、舆论监督等行为。
6. 在法律、行政法规规定的其他情形下。
“告知-同意”规则: 这是个人信息处理的基石，处理者必须：
- 明示处理信息的目的、方式和范围。
- 向个人充分告知并获得其“单独同意”（对于敏感信息、自动化决策等）。
- 不得通过捆绑、默认勾选等方式强迫用户同意。

PIPL 明确且严厉地禁止了个人信息的交易行为：

第二十三条： 任何组织、个人不得从事以下行为：
- （一）买卖、交换未经他人同意的个人信息；
- （二）未经同意向他人提供个人信息；
- （三）以其他方式非法向他人提供个人信息。
第四十一条： 个人信息处理者向其他组织、个人提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的和处理方式，并取得个人“单独同意”。
（图片来源网络，侵删）

解读： 法律清晰地划定了红线，任何未经本人同意，将其个人信息进行出售、交换、提供的行为，都是非法的，即使是合法收集的信息，也不能随意转卖，必须再次获得个人的明确同意。

这是最严厉的惩罚手段,对于情节严重的个人信息贩卖行为，将追究刑事责任。

【侵犯公民个人信息罪】
- 《刑法》第二百五十三条之一 是打击此类犯罪的核心条款。
- 构成要件：
  1. 违反国家有关规定,向他人出售或者提供公民个人信息。
  2. 或者窃取或者以其他方法非法获取公民个人信息。
- 量刑标准（根据情节严重程度）：
  - 情节严重： 处三年以下有期徒刑或者拘役，并处或者单处罚金。
  - 情节特别严重： 处三年以上七年以下有期徒刑，并处罚金。
- 司法解释明确了“情节严重”的认定标准：
  - 出售或者提供行踪轨迹信息,可能被他人用于犯罪的。
  - 知道或者应当知道他人利用公民个人信息实施犯罪,仍向其出售或者提供的。
  - 非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的。
  - 非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的。
  - 非法获取、出售或者提供前两项规定以外的公民个人信息**五千条以上的**。
  - 数量未达到但违法所得五千元以上或者造成严重后果的。
- 单位犯罪： 单位犯此罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照上述规定处罚。

除了刑事责任,违法者还将面临其他层面的惩罚。

行政责任（由网信办、工信部等监管部门执行）：
- 警告、没收违法所得。
- 处以高额罚款：
  - 对企业：可处五千万元以下或者上一年度营业额百分之五以下的罚款（取高者）。
  - 对直接负责的主管人员和其他直接责任人员：可处十万元以上一百万元以下的罚款。
- 责令暂停相关业务、停业整顿、关闭网站、下架App。
- 吊销营业执照和相关业务许可证。
- 对直接负责的主管人员和其他直接责任人员，可依法禁止其在一定期限内担任相关企业的董事、监事、高级管理人员。
民事责任（个人可以起诉）：
- 《民法典》人格权编明确规定了个人信息受法律保护。
- 个人信息处理者侵害个人信息权益造成损害的，应当承担赔偿损失等侵权责任。
- 被侵权人可以要求侵权人停止侵害、排除妨碍、消除危险、恢复名誉、赔礼道歉、赔偿损失等。

法律层面	核心法律/法规	关键规定与惩罚措施
基本法	《个人信息保护法》	- 确立了合法、正当、必要、诚信原则。 - 严格禁止“买卖、交换、非法提供”个人信息。 - 要求“告知-同意”规则，特别是敏感信息需“单独同意”。
网络安全	《网络安全法》	- 要求网络运营者采取技术措施保障数据安全。 - 规定了数据泄露的报告义务和关键信息基础设施的数据本地化要求。
数据安全	《数据安全法》	- 建立数据分类分级保护制度。 - 规范数据出境安全评估，为个人信息跨境提供依据。
刑事制裁	《刑法》	- 【侵犯公民个人信息罪】，最高可判处七年有期徒刑。 - 明确了“情节严重”和“情节特别严重”的量化标准（如条数、用途、违法所得等）。
行政监管	各监管部门	- 罚款（企业最高可达年营业额5%，个人最高100万）。 - 没收违法所得、停业整顿、吊销执照等。
民事赔偿	《民法典》	- 个人因信息泄露受损，可向侵权方要求赔偿损失、赔礼道歉等。