企业可以买卖数据吗？个人信息买卖的合规红线

一句话回答：数据不是想买就能买、想卖就能卖。经匿名化处理、无法识别到个人的数据，可以在合规前提下交易；但只要涉及用户个人信息，未经用户同意就不得买卖，非法买卖个人信息轻则被重罚，重则构成侵犯公民个人信息罪。

一、法律依据：个人信息不能“想卖就卖”

《个人信息保护法》第10条：任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

《民法典》第1035条规定处理个人信息应遵循合法、正当、必要原则，不得过度处理；第1038条规定信息处理者不得泄露或者篡改其收集、存储的个人信息，未经自然人同意不得向他人非法提供。

《刑法》第253条之一（侵犯公民个人信息罪，经《刑法修正案（九）》修改）：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。将在履职、提供服务过程中获得的个人信息出售或提供的，从重处罚。

罚则在《个人信息保护法》第66条：拒不改正的，处一百万元以下罚款，对直接责任人处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可禁止其在一定期限内担任相关企业的董监高和个人信息保护负责人。

第一，原始个人信息不能当商品卖。把用户姓名、手机号、消费记录打包出售，几乎必然违法。

第二，匿名化后的数据可以合规交易。注意是“匿名化”（无法识别特定个人且不能复原），不是“去标识化”——去标识化后的数据仍可能被复原，仍属个人信息，仍受个保法约束。很多企业把这两个概念混为一谈，是常见的合规漏洞。

第三，来源合法性是前置条件。买数据的一方也要做尽职调查，从非法渠道买来的数据，买方同样可能构成侵犯公民个人信息罪。

第四，数据出境另有一套规则，个人信息出境要走标准合同、认证或者安全评估等路径，不是签个合同就能把数据发到境外。《数据安全法》还明确要求，收集数据不得窃取或者以其他非法方式获取。

公开报道中，多地公安机关侦破过“数据商”倒卖公民个人信息的案件：涉案人员从不法渠道批量购买网购、快递、贷款等领域的用户信息，再转手卖给营销公司牟利，被以侵犯公民个人信息罪追究刑事责任，下游购买、使用信息的公司也受到了行政处罚。

（以下为示意情景）某公司为做精准营销，从第三方“数据服务商”购买了一批含姓名、电话的用户名单并群发短信，后因名单来源非法被查。公司既没核验数据来源，也没取得用户同意，最终面临行政处罚。这类案件里，“我不知情”通常不能免责——采购第三方数据时没做合规审查，本身就是过错。

问：企业可以把用户数据卖给第三方吗？

答：涉及个人信息的，未经用户单独同意不得非法买卖；匿名化后无法识别到个人的数据可在合规前提下交易。

问：卖了用户信息会被判刑吗？

答：情节严重的构成侵犯公民个人信息罪，处三年以下有期徒刑或者拘役；情节特别严重的处三年以上七年以下有期徒刑。

问：匿名化和去标识化一样吗？

答：不一样。去标识化后仍可能复原，仍属个人信息，仍受个保法约束。

问：买数据的一方有责任吗？

答：有。从非法渠道购买数据，买方也可能构成侵犯公民个人信息罪，还会被行政处罚。

问：最高罚多少？

答：情节严重时，最高可处五千万元以下或者上一年度营业额百分之五以下罚款。