2023年，泄露江苏南通的个人规定张某在业主群里发了一张截图，内容是隐私邻居李某的身份证照片和手机号。起因是法律两人因为停车位起了争执，张某想“让大家评评理”。泄露三天后，个人规定李某接到十几个骚扰电话，隐私有人甚至冒充他办理了网贷。法律张某被公安机关处以行政拘留五日。泄露这事听起来不大，个人规定但《个人信息保护法》第10条写得清楚：任何组织、隐私个人不得非法收集、法律使用、泄露加工、个人规定传输他人个人信息。隐私张某的行为就是典型的“非法传输”。

很多人以为只有买卖数据才违法，随手转发不算。错了。法律管的是“处理”行为，而“处理”包括收集、存储、使用、加工、传输、提供、公开、删除。你微信发给别人一张含身份证的照片，就是“传输”；发到群里，就是“公开”。不需要盈利，不需要造成实际损失，行为本身就可能构成违法。

《民法典》第1034条把个人信息定义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息”。身份证号、住址、行踪轨迹、健康信息、生物识别信息都算。第1035条要求处理个人信息必须征得该自然人或者其监护人同意。注意，是“同意”，不是“不反对”。沉默不等于同意，默认不等于授权。

那什么情况下可以不经同意？《个人信息保护法》第13条列了几种例外：履行法定职责、应对突发公共卫生事件、为公共利益实施新闻报道、在合理范围内处理已公开信息等。但“已公开”不等于“随便用”。比如裁判文书网上公开的判决书里有当事人姓名和身份证号，你下载下来拿去做营销，照样违法。公开是一回事，二次利用是另一回事。

刑法层面更直接。第253条之一规定了“侵犯公民个人信息罪”：向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑。司法解释明确，“情节严重”包括非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上；住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上；其他公民个人信息五千条以上。数量门槛不高，一条行踪轨迹就够立案标准的一半。

现实中，泄露的源头往往不是黑客，而是“内鬼”。2022年，某快递公司站点员工利用系统权限导出客户面单信息，以每条两元的价格卖给电商营销公司，三个月获利八万多。法院判了有期徒刑两年六个月，罚金五万。这案子说明，有权限接触数据的人，一旦动了歪心思，法律后果比想象中重。

普通人最容易踩的坑是“随手晒”。晒机票、晒快递单、晒孩子学校门口的照片，这些信息拼起来，能还原一个人的生活轨迹。我自己的习惯是：发朋友圈前，把机票上的二维码、快递单上的手机号后四位、车牌号全部打码。不是说一定会有人拿来干坏事，而是没必要给陌生人递刀子。

企业方面，《个人信息保护法》第66条规定的罚款上限是五千万元或者上一年度营业额百分之五。2021年某出行平台被罚八十亿，就是因为过度收集用户信息。对中小企业来说，更现实的风险是客户起诉和监管约谈。合规成本不低，但比出事之后的代价低得多。

最后说一个容易被忽略的点：死者也有个人信息权益。《个人信息保护法》第49条规定，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利。也就是说，人走了，隐私不跟着走。

法律条文摆在那里，执行靠的是每个人对“边界”的认知。你手机里存着别人的身份证照片，那就是一颗定时炸弹。删掉，或者至少别转发。这不是道德建议，是法律要求。