一句大实话，先给你放在这
我做刑事辩护这些年，一个很深的体会是：潮汕地区的老板，对‘吃官司’的敏感度普遍集中在走私、税务、诈骗这些传统罪名上，很少有人会把‘买客户资料’当成刑事风险。但刑法第253条之一写得清清楚楚，侵犯公民个人信息罪，卖是犯罪，买也是犯罪。而且这个罪的入罪门槛，比大多数人想象的低得多。
一个潮州老板的涉案切片
上个月我介入一个案子，潮州一家陶瓷电商公司，老板姓郑，四十多岁。他从福建那边买了一批‘客户资料’，包含姓名、电话、收货地址，一共八千多条，花了不到两万块，图的是年底冲销量。结果上游那家卖数据的公司被端了，警方顺藤摸瓜找到老郑。公司账户、手机、电脑全被扣了，人也被刑事拘留。
家属找到我的时候，第一句话是：杨律师，他这算犯罪吗？不就是买点名单吗？我告诉他们，这恰恰就是刑法里说的非法获取公民个人信息，而且数量已经远远超过追诉标准。我见到老郑时，他整个人很憔悴，反复说一句话：‘我就是买点名单，没偷没抢，怎么就成了犯罪嫌疑人？’ 这句话我印象特别深，也特别有代表性。
我这个案子还在办，但有一点可以确定：如果当初他知道这事儿是刑事风险，绝对不会碰。可现实中，很多企业主就是不知道，等知道的时候，人已经在看守所了。
这个罪，不是你想的‘只抓黑客’
很多人一听‘侵犯公民个人信息罪’，脑子里浮现的是黑客盗号、技术窃取。其实刑法条文的覆盖面宽得很。向他人出售或者提供公民个人信息，情节严重的，构成犯罪；窃取或者以其他方法非法获取公民个人信息，同样构成犯罪。什么叫以其他方法？购买、收受、交换，都算。
那什么算公民个人信息？姓名、身份证号、电话、住址、行踪轨迹、财产信息、交易信息，只要能够单独或者结合其他信息识别特定自然人，都算。老郑买的那八千多条，就属于交易信息，司法解释规定，交易信息五百条以上就达到‘情节严重’。没错，五百条，不是五千条。很多人听到这个数字都吓一跳。
如果数量达到五百条的十倍，也就是五千条，或者违法所得五万元以上，就可能达到‘情节特别严重’，对应的刑期是三年以上七年以下。这个差距，直接决定了一个人还能不能回家过春节。
企业最容易踩的三个场景，可能你公司就有
我接触的潮汕本地企业，侵犯公民个人信息罪高发场景其实很集中，基本逃不出这三类。第一种，销售部门图省事，从外面买名单，甚至同行之间交换客户资料，用来打电话、发短信，这种‘潜规则’在陶瓷、食品、服装批发行业尤其常见。我接触过的一家潮州服装厂，从广州一个展会打包买回来两万条客户信息，老板还觉得是正常营销投入。
第二种，公司内部员工利用职务便利，把客户数据私自导出倒卖，公司如果不做合规管理，出了事单位也可能被牵连。第三种，自己开发小程序、APP，超范围收集用户手机号、位置信息，只要数量多了，或者被用于其他犯罪，同样会触犯刑法。
判多少年？我翻过潮汕地区的裁判情况
照实说，这个罪的量刑幅度不算轻。情节严重，三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重，三年以上七年以下有期徒刑，并处罚金。单位犯罪的，对单位判处罚金，对直接负责的主管人员和其他直接责任人员照样要判刑。
潮州、汕头、揭阳三地法院对同类情节的裁量，确实存在一定的温差，我办过的案子里，有的地区对初犯、认罪认罚、退赃退赔的，适用缓刑比例高一些，有的地区则更看重数量。但有一点是共通的：入罪标准全国统一，不会因为你在潮汕就网开一面。
我粗粗翻了近一年潮汕地区公开的判决，类似情节的案子，只要认罪认罚、退赃到位，判缓刑的占比不低，但前提是前期没有走过多的弯路。说实话，这类案件真正走到审判的只是一部分，很多在侦查阶段通过专业辩护争取到取保、不起诉，或者到了法院争取缓刑，前提是辩护工作介入得早、做得细。那种想靠‘找关系’摆平的想法，在现在这种办案环境下，基本是给自己挖坑。
家人被抓，现在能做什么？别把时间浪费在求人上
如果家里有人因为这事儿被刑事拘留，家属真正能做的其实不多，但每一步都很关键。第一，别慌，别急着找熟人、托关系，刑事案子里最怕的就是信息不对称，你连案情都不知道，怎么托人都没用。第二，尽快委托专业刑事律师去会见，把涉案的数据条数、来源、用途、获利情况问清楚，这直接决定能不能取保。第三，配合律师整理有利证据，比如公司内部合规制度、员工个人行为的证据、退赃退赔的意愿，这些在争取不起诉或缓刑时很管用。
很多家属以为等法院阶段再请律师，其实侦查阶段才是黄金期，特别是前37天。在潮州本地，委托一个熟悉本地看守所、检察院办案节奏的刑事律师，会见效率会高很多，沟通也顺畅。这不是打广告，是你家人现在最需要的确定性。
最后说一句
我是杨沛钏，潮州本地刑事律师。如果你或家人因侵犯公民个人信息罪被追究，在潮州、汕头、揭阳，可以把基本情况发我，我先帮你判断下一步，别错过黄金时间。电话13169008884，我本人接。