摘要：企业为拓展市场通过非法渠道购买公民个人信息用于电话推销，已成为侵犯公民个人信息犯罪最为常见的实践样态。在此类案件中，各参与主体的责任认定面临诸多疑难问题。本文以一则培训公司购买10万条个人信息用于电话推销的典型案例为切入点，系统分析了市场部经办人员、公司负责人、销售部基层员工及单位等各主体的法律责任认定标准。在“为合法经营”而购买普通个人信息的情形下，应优先适用《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第六条而非第五条，以“获利5万元以上”而非信息条数作为定罪的关键依据;“获利”应理解为扣除经营成本后的净利润，且须与非法获取的信息存在直接对应关系。对于仅被动收受信息并用于本职工作的基层销售人员，其行为定性存在争议，不宜一概而论。研究此一模式下的责任认定规则，对于统一司法裁判尺度、指导企业合规经营具有重要现实意义。
关键词：侵犯公民个人信息罪;为合法经营;违法所得;获利认定;单位犯罪;罪责刑相适应
一、案情引入与问题的提出
笔者近期办理了一起侵犯公民个人信息案件。A公司是一家培训公司，为拓展生源，市场部人员甲向上游卖家购买了10万条公民个人信息(包含学生姓名、家长联系方式、所在学校及班级等信息)，随后将这些信息交给销售部员工用于电话推销培训课程。案发后，公安机关以涉嫌侵犯公民个人信息罪立案侦查。
本案具有极强的典型意义。在市场经济活动中，企业为开拓市场、获取客户，通过非法渠道购买公民个人信息用于电话推销、精准营销，已经成为侵犯公民个人信息犯罪最为常见的实践样态。与直接倒卖个人信息牟利的“黑产”模式不同，这种“购买—自用”模式广泛存在于培训、房产中介、装修装饰、金融贷款、保险销售等各个行业，其社会危害性更为隐蔽，涉案主体更为多元，法律适用也更为复杂。可以说，这种为合法经营活动而非法获取个人信息的情形，在司法实践中远比单纯的倒卖行为更为普遍。深入研究这一模式下的责任认定规则，对于统一司法裁判尺度、指导企业合规经营，具有重要的现实意义。
本案集中呈现了多个疑难问题：市场部员工甲的法律责任如何界定?A公司老板是否应承担刑事责任?销售部员工作为接受个人信息主体是否构成犯罪?A公司作为单位是否应受刑事处罚?各主体的责任认定，究竟是依据信息条数还是收入数额?
以下将结合《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(法释〔2017〕10号，以下简称《解释》)及司法实践，逐一分析各主体的法律责任及认定依据。
二、《解释》的基本框架：两条并行的定罪路径
在分析各主体责任前，有必要先厘清《解释》所确立的两条定罪路径及其适用条件。
(一)路径一：第五条的普通适用规则
《解释》第五条针对出售、提供或非法获取公民个人信息的行为，根据信息类型和数量设定入罪门槛：敏感信息(行踪轨迹、征信、财产等)：50条以上构成“情节严重”，500条以上升档为“情节特别严重”;重要信息(住宿、通信、交易等)：500条以上构成“情节严重”，5000条以上升档;普通信息(姓名、电话等)：5000条以上构成“情节严重”，5万条以上升档。
此外，违法所得5000元以上也可独立构成“情节严重”，5万元以上升档。此处的“违法所得”在出售信息的情形下，一般指出售信息所获对价，不扣除成本。
(二)路径二：第六条的“为合法经营”特别条款
《解释》第六条专门针对“为合法经营活动而非法购买、收受”普通信息的情形，设置了与第五条不同的定罪标准：获利5万元以上方可构成“情节严重”，且没有升档至“情节特别严重”的规定，法定刑限于三年以下有期徒刑。
适用第六条须同时满足三个条件：第一，信息类型：限于普通信息，即《解释》第五条第一款第三项、第四项规定以外的信息。若涉及敏感信息或重要信息，则排除适用;第二，行为方式：限于“购买、收受”，不包括出售或提供。若行为人购买后又转卖，则适用第五条;第三，行为目的：为“合法经营活动”。所谓“合法经营”，应理解为公司的主营业务内容合法，而非获取信息的手段合法。购买信息本身当然违法，但这不影响“为了合法经营”这一目的属性的认定。
(三)两条路径的定性差异
两条路径在定罪量刑标准上存在巨大不同：
上述区分是分析本案各主体责任的核心规范依据。
三、市场部员工甲的法律责任
(一)行为定性：两种可能的评价路径
甲向上游卖家购买10万条个人信息的行为，属于《刑法》第二百五十三条之一规定的“非法获取公民个人信息”。根据《解释》第四条，“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息”的，属于“以其他方法非法获取公民个人信息”。甲的行为在性质上无疑构成非法获取。同时，甲将上述信息交给公司销售部员工用于电话推销，该行为还构成“提供公民个人信息”——根据《解释》第三条，“向特定人提供公民个人信息”的，应当认定为“提供公民个人信息”，甲将所购信息提供给销售部特定人员使用，属于向特定人提供，符合“提供”的规范要件。
基于上述行为事实，甲的行为存在两种可能的评价路径：
路径一：适用第五条普通规则。若将甲的行为定性为“非法获取”+“提供”的复合行为，则直接落入《解释》第五条“非法获取、出售或者提供公民个人信息”的规制范畴。在此路径下，甲的行为将以信息条数为主要定罪依据——10万条普通信息已达第五条规定的“情节特别严重”标准(5万条以上)，法定刑为三年以上七年以下有期徒刑。
路径二：适用第六条“为合法经营”特别条款。若将甲的行为整体评价为“为合法经营活动而非法购买、收受”信息，则可适用第六条的特别规定。适用该条须同时满足三个条件：第一，所涉信息限于普通信息，不包含行踪轨迹、征信、财产等敏感信息——本案所涉信息为学生姓名、家长联系方式、学校班级等，符合此条件;第二，行为目的为合法经营活动——A公司具有培训资质，电话推销培训课程属合法经营内容，符合此条件;第三，未将信息出售或再次对外提供—甲仅将信息交予本公司销售员工用于电话推销，未向公司以外的主体扩散，亦未转售牟利，符合此条件。三个条件是同时满足的，甲的行为也具有适用第六条的空间。
两种路径的选择，将直接决定甲的量刑区间，前者为3-7年，后者为3年以下。因此，第六条与第五条如何适用选择，是本案的核心争议焦点。
(二)第六条与第五条的适用选择：为何应优先适用第六条?
本案中，甲的行为为何应适用第六条“为合法经营活动而非法购买、收受”的特殊条款，而非第五条的普通规则，以下从规范依据和司法判例两个层面予以论证：
1. 规范依据：第六条是独立且优先适用的特殊条款
《解释》第六条与第五条的关系，并非“补充适用”或“择一适用”，而是特殊条款与普通条款的关系，在符合第六条适用条件时，应当优先适用第六条，排斥第五条的适用。这一观点在理论和实务中均有明确依据：司法解释起草人周加海、邹涛、喻海松在权威解读中指出，第六条第一款“属于非法获取公民个人信息‘情节严重’的特别规定”[1];最高人民检察院在适用意见中也明确，第六条“针对合法经营活动而获取公民个人信息的情形，制定了更严格的入罪门槛”，“考虑到‘为合法经营活动’条款与该解释中第五条属于特殊条款和普通条款之间的关系，其入罪标准也较之第五条较为严格”[2];学者冯文杰亦指出，“司法解释配置了‘为合法经营型’侵犯公民个人信息罪的特殊定罪量刑规则”[3]，若仅将其定位为“从宽处罚情节”，将无法展现司法解释所制定的“独立定罪标准”，进而减少“为合法经营”要素所能发挥的出罪作用。由此可见，第六条作为独立且优先适用的定罪标准，已为立法者、司法者和学界所普遍认可。
2. 判例支撑：第六条优先于第五条适用的司法实践
以下案例均体现了“符合第六条适用条件时，应优先适用第六条而非第五条”的裁判规则：
(1)江苏如东POS机推销案
江苏省如东县人民检察院办理的王某某等人侵犯公民个人信息案中，办案机关对涉案人员进行了精准区分：王某某等9人：购买信息后再次出售或提供，适用第五条，被以侵犯公民个人信息罪判处有期徒刑三年九个月至二年九个月不等;冯某某等17人：购买信息仅为POS机业务推广，未出售或提供，系“为合法经营活动”，且获利不足5万元，根据第六条未达“情节严重”标准，公安机关终止侦查。[4]
该案明确确立了以下规则：只要行为人符合“为合法经营而购买、未再传播”的要件，就应适用第六条，不再以第五条的信息条数定罪。
(2)江苏培训公司案(种某案)：评析意见明确主张适用第六条
江苏省一起培训公司非法获取学生信息案中，被告人种某非法获取了66,286条学生信息用于电话招生，获利5.13万元。对于本案的法律适用，存在两种不同观点：
第一种观点：种某非法获取信息66,286条，已达到《解释》第五条“情节特别严重”的标准(5万条以上)，法定刑为三年以上七年以下有期徒刑;
第二种观点：种某的行为符合《解释》第六条“为合法经营活动而非法购买、收受”的情形，获利5.13万元，应认定为“情节严重”，法定刑为三年以下。
最高人民检察院官网刊登的该案评析文章明确赞同第二种观点，其核心理由是：种某的行为同时满足“为了合法经营活动”“限于普通公民个人信息”“信息没有再流出扩散”三个条件，符合《解释》第六条第一款的规定。评析文章进一步指出，第六条“针对为合法经营活动而非法收受公民个人信息的行为设置的专门的定罪量刑标准”，“考虑到此类行为社会危害性不大，即使构成犯罪，通常也不需要升档量刑，故只规定了‘情节严重’的具体情形”[5]。
虽然该案系评析意见而非法院判决，但其由最高人民检察院官网刊发，代表了司法实务中的权威立场，对于下级司法机关办案具有重要的参考指引作用。该案的分析逻辑与江苏如东案所确立的规则完全一致：在符合第六条适用条件时，应当优先适用第六条，排斥第五条数量标准的升档适用。
3. 本案甲的适用条件分析
将上述规则适用于本案，甲的行为应适用《解释》第六条的特殊定罪标准，而非第五条。在第六条框架下，10万条普通信息的数量本身不足以直接定罪——定罪的关键在于是否“获利5万元以上”。
(三)“获利”的认定标准
第六条中的“获利”应作何解，是认定甲是否构罪的核心问题。
1. “获利”与“违法所得”的区别
从文义看，“获利”在日常用语中通常指“获得利润”，即扣除成本后的净收益;而“违法所得”则指因实施违法行为直接取得的财物，一般不扣除成本。《解释》第五条使用“违法所得”、第六条使用“获利”，用词差异体现了不同的计算逻辑。
从体系解释看，第六条为“合法经营”设置了更高的入罪门槛(5万元)，体现了对合法经营行为的宽宥。若将经营收入总额全部计为“获利”，则与第五条的“违法所得”计算方式无异，该特殊条款将失去独立存在的意义。
2. “获利”的计算
“获利型”标准的适用，须把握“非法购买、收受的公民个人信息”与“合法经营并获利”之间的对应关系——即该获利须直接源于利用非法获取信息所开展的经营活动。最高人民检察院发布的实务指导文章明确指出，适用《解释》第六条时，必须“把握好‘非法购买、收受的公民个人信息’与‘合法经营并获利’的对应关系”，若无法证明该对应关系，则不能将经营收入全部认定为该条下的“获利”。[6]
关于成本的扣除，《解释》起草者之一的喻海松在权威解读中明确主张：《解释》第六条规定的“获利”数额不宜与第五条规定的“违法所得”数额混为一谈，前者应当扣除成本。 其主要理由在于：其一，第六条之所以为合法经营活动规定特殊的定罪量刑标准，就在于该类情形较为普遍且社会危害性相对较小，应体现宽严相济和刑法谦抑原则;其二，合法经营活动的获利情况十分复杂，有利用非法购买信息的因素，也有行为人合法经营的因素，不宜不扣除成本计算获利数额。[7]
实务中的权威观点亦持相同立场。有检察官在分析《解释》第六条时指出，“获利”在条文中的完整表述系“利用非法购买、收受的公民个人信息获利五万元以上”，日常生活中“获利”一词通常指“获得利润”，是基于扣除成本的基础上的;既然该条文使用的是“获利”而非“违法所得”，就说明其在确立时已考虑到经营者虽然在购买信息时存在违法行为，但其经营过程是合法的，基于控制打击面的精神及合法经营中获利情况复杂的现实，扣除成本计算获利数额是更为合适的。[8]
另有实务研究进一步区分了“违法成本”与“正常经营成本”：前者系购买信息的成本，后者系日常经营中的场地、人力、推广等成本。因第六条所采表述为“获利”，在计算时正常经营成本当然应当扣除;至于购买信息的违法成本，因购买行为本身即属非法，且《解释》第五条在出售信息的情形下明确不扣除违法成本，但第六条出于对合法经营行为的宽宥，对此问题则存在进一步讨论空间。[9]
3. 本案的具体适用
具体到本案，A公司通过电话推销促成的交易产生收入，但不能将全部收入计为第六条下的“获利”。一方面，公司利润来源是多重的，包括原有客户基础、品牌口碑、广告投放、教师质量等多重因素，需审查哪些交易直接源于该批非法获取的信息;另一方面，A公司为开展电话推销需投入场地租金、销售人员工资、电话费等合理成本，这些成本应在计算净利润时予以扣除。卖房佣金不等于获利，卖课收入同样不等于获利，这一逻辑在“合法经营”场景下具有普遍适用性。
(四)甲的责任认定与量刑区间
甲应适用第六条，若A公司通过利用该批信息获利达5万元以上，则甲构成侵犯公民个人信息罪，法定刑为三年以下有期徒刑。若获利未达5万元，甲不构成犯罪。
但须注意例外情形：若所购信息中混有敏感信息且达到50条以上，或甲购买后将信息出售给他人，则适用第五条。在此情形下，甲可能因10万条普通信息(已达5万条的升档标准)面临三年以上七年以下有期徒刑。两种路径的量刑差异，凸显了第六条对“为合法经营”者的实质性宽宥。
四、A公司老板的法律责任
(一)老板是否属于“直接负责的主管人员”
侵犯公民个人信息罪可由单位构成。《解释》第七条规定：“单位犯刑法第二百五十三条之一规定之罪的，依照本解释规定的相应自然人犯罪的定罪量刑标准，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金。”
A公司老板是否属于“直接负责的主管人员”，取决于其是否知情并决策或默许了甲的购买行为。司法实践中，司法机关通常会重点审查以下证据：其一，老板是否授意或知晓甲购买信息;其二，购买信息的资金是否经老板审批或通过公司财务报销;其三，老板是否明知或应知销售部使用非法获取的信息进行电话推销;其四，公司的销售业绩考核是否与该批信息的使用直接挂钩。
若老板对甲的购买行为不知情、未参与决策、未提供资金支持，则不构成犯罪。但若老板知情且默许甚至鼓励，则应作为“直接负责的主管人员”承担刑事责任。
(二)责任认定标准
老板作为直接负责的主管人员，其定罪标准与甲相同——以甲的行为是否构罪为前提。若甲适用第六条且公司获利达5万元，老板亦构成犯罪;若甲不构罪，老板亦不构罪。
但需注意，老板的责任不以个人获利为前提，只要单位通过非法获取信息获利达5万元，老板作为决策者即应承担单位犯罪中直接负责的主管人员的刑事责任。在司法实践中，不少公司老板以“不知情”“具体业务由下属负责”为由提出抗辩，但若资金审批、业绩考核等公司管理环节能够证明其知情或应知，则该抗辩难以成立。
五、销售部员工的法律责任
对于仅“收受”信息并使用于本职电话推销的销售员工，其行为定性与法律适用存在争议。应当首先指出的是，在事实层面，普通销售人员收到公司提供的批量个人信息用于电话推销时，其主观“明知”或“应知”信息来源非法，通常是可以被合理推定的。10万条个人信息，包含姓名、家长联系方式、学校班级等详细内容，在无合法授权来源的情况下批量提供给基层销售人员用于商业推广，销售人员作为具有正常认知能力的成年人，主张自己完全“不明知”这些信息来源非法，显然不符合常理，也难以获得司法采信。因此，问题的核心不在于主观是否“明知”，而在于销售员工仅有“收受并使用”行为(未参与购买决策、未向外界扩散)的情况下，该行为应如何被刑法评价与定性。就此问题，存在两种可能的评价路径：
(一)评价路径一：收受即“非法获取”，适用第五条
该路径的逻辑是：根据《解释》第四条，“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息”的，即属于“以其他方法非法获取公民个人信息”。销售员工收受甲提供的信息，在形式上完全符合“非法获取”的构成要件。若沿此路径，员工“收受”10万条普通信息，将直接触发《解释》第五条“情节特别严重”的标准(5万条以上)，面临三年以上七年以下有期徒刑的刑罚。
此路径将“收受”行为本身作为入罪的充足依据，在法律适用上最为直接，但其后果可能是对仅被动接收信息的基层员工科以与其作用不相称的重刑。
(二)评价路径二：应整体适用第六条，以“获利”为标准
该路径主张，应整体评价销售员工的行为。其“收受”信息的目的仅为完成公司指派的电话推销工作，属于“为合法经营活动”而获取信息。在此前提下，根据《解释》第六条的特别规定，其行为应排除第五条数量标准的适用，转而适用第六条“获利五万元以上”的入罪门槛。
然而，该路径在适用于基层销售员工时面临显著的认定困难。销售员工的收入通常由基本工资和业绩提成构成，前者系履行劳动合同的基础报酬，与是否使用该批非法信息并无直接关联;后者虽与销售业绩相关，但业绩是品牌效应、个人能力、市场环境、服务质量及客户信息等多重因素综合作用的结果。如何将销售提成中“利用该批非法信息所产生的部分”与“合法经营因素所产生的部分”进行准确剥离，在实践中几乎无法操作。即便能够核算总额，检察机关也难以证明该获利与特定批次的非法信息之间存在刑法意义上的直接因果关系。因此，在无法证明销售员工个人“获利”明确达到五万元，且无法有效剥离合法经营因素的情况下，销售员工是否构成犯罪、应适用何种标准，在司法实践中存在较大争议。
(三)本文的立场
本文倾向于优先考虑第二种评价路径，即适用第六条，但并非因为其必然不构成犯罪，而是因为该路径更契合《解释》第六条对“为合法经营”行为设置独立评价标准的规范目的。同时，在具体认定上，应当正视销售员工“获利”难以核算的现实困境——若检察机关无法充分证明销售员工因利用该批信息个人获利达五万元，则不宜轻易以该条追究其刑事责任，避免将合法经营中的正常劳动报酬不当评价为犯罪所得。当然，如果行为超出了“为合法经营”的界限，如主动购买、有偿获取、再次出售或提供等，则应适用第五条的普通规则。
六、A公司的单位责任
(一)单位犯罪的构成要件
根据《刑法》第二百五十三条之一第四款和《解释》第七条，单位可以成为侵犯公民个人信息罪的主体。单位犯罪的成立要件包括：犯罪行为系为了单位利益;由单位决策机构或负责人决定;以单位名义实施。
本案中，市场部甲购买信息的行为若系老板授意或批准，资金由单位报销，目的为A公司拓展业务，则符合上述要件，A公司构成单位犯罪。
(二)单位责任与个人责任的关系
单位犯罪实行双罚制：对单位判处罚金，并对直接负责的主管人员(老板)和其他直接责任人员(甲)依照自然人犯罪的规定定罪处罚。
单位犯罪的定罪标准与自然人犯罪相同——即同样适用《解释》第五条或第六条。若甲的行为适用第六条，则A公司的定罪标准同样为“获利5万元以上”。需注意的是，A公司的“获利”不是老板或甲的个人获利，而是公司通过利用该批信息从事合法经营活动所获得的净利润，这里的获利同样应扣除经营成本。
(三)罚金数额的确定
根据《解释》第十二条：“对于侵犯公民个人信息犯罪，应当综合考虑犯罪的危害程度、犯罪的违法所得数额以及被告人的前科情况、认罪悔罪态度等，依法判处罚金。罚金数额一般在违法所得的一倍以上五倍以下。”
这里的“违法所得”与定罪标准中的“获利”不同——在出售信息的情形下，“违法所得”指出售信息所获对价。在本案中，若甲购买信息后未再出售，则无此意义上的“违法所得”，罚金数额应由法院综合考虑犯罪情节酌情确定。
七、结论
(一)各主体责任的认定结论
本案中各主体的法律责任认定，可归纳如下：
(二)小结
培训等行业为拓展业务而非法获取个人信息用于营销的现象日益普遍，如何在打击犯罪与避免过度扩大刑事处罚范围之间寻求平衡，是司法实践面临的重要课题。《解释》第六条通过对“为合法经营”者设置更高入罪门槛和更轻法定刑的方式，体现了罪责刑相适应的基本精神。
对于仅被动接收信息并用于本职电话推销的基层销售人员，本文倾向于认为应当优先考虑适用第六条，但并非因为其必然不构成犯罪，而是因为该路径更契合《解释》第六条对“为合法经营”行为设置独立评价标准的规范目的。在具体认定上，应当正视销售员工“获利”难以核算的现实困境——若检察机关无法充分证明销售员工因利用该批信息个人获利达五万元，则不宜轻易以该条追究其刑事责任，避免将合法经营中的正常劳动报酬不当评价为犯罪所得。当然，如果行为超出了“为合法经营”的界限，如主动购买、有偿获取、再次出售或提供等，则应适用第五条的普通规则。
注释：
[1] 周加海、邹涛、喻海松：《〈关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释〉的理解与适用》，载《人民司法(应用)》2017年第19期，第24页。
[2] 最高人民检察院：《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》的理解与适用(内部适用意见)，转引自浙江省人民检察院“侵犯公民个人信息罪专题调研报告”，载《浙江检察》2020年第3期，第42页。
[3] 冯文杰：《侵犯公民个人信息罪中“为合法经营”情形的认定》，载《环球法律评论》2025年第4期，第120-135页。
[4] 参见江苏省如东县人民检察院办理的王某某等人侵犯公民个人信息案，载江苏省人民检察院官网https://www.jsjc.gov.cn/zt/cgzs/dxal/dsl/202507/t20250730_237582.shtml，2025年7月30日发布。
[5] 参见倪华、卞刚：《为合法经营活动非法获取公民个人信息如何定罪量刑》，载最高人民检察院官网https://www.spp.gov.cn/spp/ztk/dfld/202203/t20220315_552997.shtml，2022年3月15日发布。
[6] 参见项谷、张菁、薛阿敏：《依据对应关系认定“获利型”侵犯公民个人信息罪》，载《检察日报》2018年6月6日，第3版。
[7] 参见喻海松：《侵犯公民个人信息罪的司法适用态势与争议焦点探析》，载《法律适用》2018年第7期。
[8] 参见甘肃省定西市安定区人民检察院：《为“合法经营”而侵犯公民个人信息的司法适用》，载安定区人民检察院官网http://www.anding.jcy.gov.cn/info/1006/2191.htm，2022年11月23日发布。
[9] 参见海宁市人民检察院课题组：《侵犯公民个人信息罪若干实务问题研究——兼评“两高”司法解释》，载海宁市人民检察院官网http://www.jiaxing.jcy.gov.cn/haining/contents/581/3108.html，2018年11月30日发布。
作者简介：
章一川，高级联席合伙人
擅长刑事辩护与控告，常年一线办案，常办罪名包括：诈骗罪、非法吸收公众存款罪、侵犯公民个人信息罪、掩饰、隐瞒犯罪所得罪、行受贿类犯罪、开设赌场罪、非法经营罪、合同诈骗罪、串通投标罪、伪造国家机关公文、证件、印章罪、传播淫秽物品罪、破坏计算机信息系统罪、职务侵占罪、寻衅滋事罪、销售假冒注册商标的商品罪、生产、销售、有毒有害食品罪、猥亵儿童罪、玩忽职守罪等。
执业以来亲办各类刑事案件200余起，专业能力强，其中90余起刑事案件获得取保候审结果，7起获不起诉结果，办案效果显著，获得当事人的普遍好评与高度认可。
手机：15611267633
邮箱：zhangyichuan@deheheng.com