2023年，倒卖江苏南通警方破获一起案件：某装修公司老板花8000块从物业“内鬼”手里买走1200户业主的数据姓名、电话、和购房号。买数买方被判有期徒刑三年缓刑四年，据定卖方判了四年实刑。倒卖同一部刑法，数据买卖双方量刑不一样，和购很多人没搞明白为什么。买数
倒卖和购买数据，据定刑法里对应的倒卖罪名不止一个。最常用的数据是《刑法》第253条之一“侵犯公民个人信息罪”。这条罪的和购核心行为是“向他人出售或者提供”以及“窃取或者以其他方法非法获取”。注意措辞——卖方是买数“出售或提供”，买方是据定“非法获取”。两边的动词不同，入罪门槛也不同。
卖方的门槛更低。根据2017年两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，出售或提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上就构成“情节严重”，判三年以下。住宿信息、通信记录、健康生理信息、交易信息500条以上入罪。其他普通信息比如姓名加电话，5000条以上才够刑事立案。
买方呢？同样是“非法获取”，但司法解释留了个口子：如果是为了合法经营，且没有造成严重后果，一般不作为犯罪处理。南通那个案子里买方之所以被判刑，是因为他买信息用于电话营销，骚扰了上千户业主，有人投诉到12345，造成了“严重后果”。换个场景，一个律师从黄牛手里买了几条企业工商登记信息用于诉讼，大概率不会被追究刑责。
但“合法经营”不是免死金牌。2019年浙江有个案子，某教育机构市场专员买了3000条家长信息，每条信息只有姓名和手机号。法院认定属于“其他可能影响人身、财产安全的公民个人信息”，判了八个月。法官在判决书里写了一句很直白的话：“家长信息被用于精准推销，本质上是把家庭安宁当成了商品。”
真正麻烦的是数据倒卖的中间商。他们既买也卖，还做“数据清洗”——把从不同渠道拿到的信息拼接成更完整的画像。这种行为在司法实践中往往被认定为“情节特别严重”，刑期直接跳到三年以上七年以下。2022年广东东莞判了一个数据中间商，他手里有40万条含身份证号的个人信息，通过暗网卖给境外诈骗团伙，最后定了七年，罚金80万。
还有一个容易被忽略的罪名：如果买卖的是信用卡信息，可能触犯《刑法》第177条之一“窃取、收买、非法提供信用卡信息罪”。这条罪更狠，只要涉及一张有效信用卡信息，就可以判三年以下；五张以上，三年到十年。去年福建泉州有个便利店老板，从顾客丢弃的刷卡小票上抄下卡号、有效期，卖给境外博彩网站，一共卖了11张，判了五年半。
实务中，买卖数据往往伴随“帮信罪”（帮助信息网络犯罪活动罪）。比如你买了一批手机号用来注册微信号，再把微信号卖给诈骗团伙，这时候数据买卖只是手段，最终定帮信罪或诈骗共犯。2023年最高检发布的一个典型案例里，被告人买了5000条车主信息，用来群发ETC诈骗短信，最后定的是诈骗罪，判了十一年。
量刑轻重还看数据条数怎么算。同一批数据里既有普通信息又有敏感信息，法院会按“就高不就低”原则处理。比如100条行踪轨迹加5000条手机号，按行踪轨迹的50条标准，直接够“情节严重”。辩护律师常在这个环节做文章，申请对数据去重、剔除无效号码，有时候能把条数从5000压到3000以下，刑期从实刑变缓刑。
普通人最容易踩的坑是“买数据用于合法维权”。比如业主想起诉开发商，从物业买了一份业主名单，打算联合邻居集体诉讼。这种行为在民事上可能构成侵权，刑事上一般不入罪，但如果你把名单转发到业主群，性质就变了——从“非法获取”变成了“非法提供”，5000条以上照样判刑。
法律对买卖数据的打击力度在收紧。2021年《个人信息保护法》生效后，刑事门槛没变，但民事赔偿和行政处罚跟上来了。一个数据倒卖案，刑事判完，检察院还可以提起公益诉讼，要求被告按获利金额的3到5倍赔偿。江苏那个装修公司老板，刑事判了缓刑，民事又赔了12万。
说到底，卖数据比买数据风险大得多。卖是源头，买是末端。但末端别侥幸，一旦数据被用于犯罪，或者你自己拿去干了违法的事，买方和卖方在判决书里就是同一条线上的蚂蚱。