2022年，倒卖杭州某科技公司数据工程师李某，数据利用职务便利，判刑将公司存储的倒卖120万条用户注册信息分批次卖给第三方网贷平台，获利47万元。数据法院以侵犯公民个人信息罪判处李某有期徒刑三年六个月，判刑并处罚金五十万元——这是倒卖目前倒卖数据案件中最常见的判罚路径。
倒卖数据，数据刑法上对应的判刑核心罪名是“侵犯公民个人信息罪”，规定在《刑法》第二百五十三条之一。倒卖量刑分三档：情节严重，数据处三年以下有期徒刑或拘役，判刑并处或单处罚金；情节特别严重，倒卖处三年以上七年以下有期徒刑，数据并处罚金。判刑至于“情节严重”怎么认定，2017年两高司法解释给出了量化标准——非法获取、出售或提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的，就算“情节严重”；住宿信息、通信记录、健康生理信息、交易信息等可能影响人身、财产安全的，需要五百条以上；其他公民个人信息，五千条以上即触线。卖给特定对象或用于犯罪活动的，数量标准减半计算。
但司法实践远比法条复杂。我见过一个案子，被告只卖了200条包含姓名、手机号、住址的信息，却因这些信息被下游用于电信诈骗，导致一位老人被骗走毕生积蓄，最终法院认定其属于“其他情节特别严重的情形”，判了四年。法官在判决书里写得很明白：不能只看条数，要看信息流向何处、造成什么后果。反过来也有轻判的——有人倒卖的是企业公开工商数据，虽然包含法人手机号，但法院认为可公开获取，不构成犯罪。这个边界，实务中争议不小。
你以为只卖自己的数据就没事？错。公司员工把内部客户数据带出来卖，是非法获取；黑客拖库后转卖，是非法获取加出售，数罪并罚；明知是非法获取的数据还帮着转手，同样构成犯罪。哪怕你只是中间人，收信息再转卖，赚个差价，法律上也跑不掉。2021年江苏有个案子，嫌犯自己没直接接触原始数据，只是建了个电报群，帮上下游牵线搭桥，从中抽成，照样被判了两年。法院的逻辑是：你明知来源非法还参与流转，就是共同犯罪。
罚金数额也让人肉疼。不是按你赚了多少算，而是按你卖了多少条算。司法解释规定，罚金一般在违法所得的一倍以上五倍以下。那些动辄贩卖千万条信息的“数据贩子”，违法所得几十万，罚金能到两百万。很多被告最后卖房凑罚金，这在看守所里是常态。
还有个容易被忽视的点：单位犯罪。公司名义倒卖数据，除了罚单位，直接负责的主管人员和直接责任人员，照样要坐牢。2020年某知名招聘平台内部员工与外部猎头勾结，出售简历库，最终平台被罚两千万，涉事员工分别被判一年到三年不等。所以别以为“公司行为”就能摘干净个人责任。
最后说句实在话——倒卖数据这行当，风险收益比极差。你辛苦攒下的几十万条数据，可能就值几万块，但换来的刑期至少三年起步。那些所谓“只赚快钱”的年轻人，进去之后没有一个不后悔的。数据不是你的，碰之前想想，三年青春换几万块，值不值？