一句话回答：企业非法获取、出售或者提供公民个人信息，情节严重的，构成《刑法》第二百五十三条之一规定的侵犯公民个人信息罪——对单位判处罚金，对直接负责的主管人员和其他直接责任人员判处刑罚。数量标准按信息类型区分：行踪轨迹、通信内容、征信、财产信息五十条以上，住宿、通信记录、健康生理、交易信息等五百条以上，其他公民个人信息五千条以上，一般即够“情节严重”；达到上述标准十倍以上，通常属“情节特别严重”，处三年以上七年以下有期徒刑。
一、法律依据：罪名与两档量刑
《中华人民共和国刑法修正案（九）》将刑法第二百五十三条之一修改为：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。”“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。”“单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”
“情节严重”的具体数量标准，见《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号，2017年6月1日起施行）：非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的；住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的；其他公民个人信息五千条以上的，一般认定为“情节严重”。数量或者数额达到上述标准十倍以上的，通常属“情节特别严重”。
二、实务中要注意：企业最容易踩的三个坑
第一，把“客户名单”当成可以买卖的资产。实务中不少企业通过购买、交换取得客户手机号、身份证号用于营销，只要“违反国家有关规定”且达到数量标准，就可能入罪，是否已经盈利不是必要条件。
第二，内部员工私自导出、倒卖数据。企业自身不知情也不能当然免责：制度缺失、权限失控、长期放任，可能被认定未尽管理义务；反之，建立了分级授权、操作留痕、定期审计的企业，抗辩空间明显更大。
第三，采集环节“多收了一点点”。App、门店、活动报名表超出必要范围收集敏感信息，或者未取得有效同意，都可能成为后续刑事风险的源头。
三、案例分析（示意情景）
说明：以下为示意情景，用于说明规则，不指向任何真实企业或人员，也不构成本所办案业绩。
示意情景：某科技公司为拓展业务，由销售总监决定，从他人处购买“高意向客户名单”一万余条，含姓名、手机号、住址及部分消费记录，交由客服对外推销。按上述规则，公司构成单位犯罪，被判处罚金；销售总监作为直接负责的主管人员，因数量远超五千条、属“情节严重”，面临三年以下有期徒刑或者拘役；如果其中含五百条以上住宿、交易类信息或者五十条以上行踪轨迹信息，则可能被认定为“情节特别严重”。这提示企业：数据合规不是“别人都在做”就能免责，而是要有可查证的制度与授权记录。
四、常见问题（FAQ）
问：买来的数据没用来赚钱，也算犯罪吗？
答：可能构成。该罪以“违反国家有关规定”出售、提供或者非法获取为前提，达到数量标准即可，是否盈利不是必要条件。
问：单位犯罪只罚公司吗？
答：不是。单位犯该罪的，对单位判处罚金，同时对直接负责的主管人员和其他直接责任人员依照相应条款判处刑罚。
问：员工个人倒卖数据，公司要担责吗？
答：视公司管理情况而定。如果制度缺失、权限失控、长期放任，公司可能被认定未尽管理义务；建立分级授权与留痕审计的企业抗辩空间更大。
问：多少条会被立案？
答：一般按类型区分：行踪轨迹、通信内容、征信、财产信息五十条以上；住宿、通信记录、健康生理、交易信息等五百条以上；其他公民个人信息五千条以上。
问：情节特别严重怎么判？
答：数量或者数额达到“情节严重”标准十倍以上的，通常属“情节特别严重”，处三年以上七年以下有期徒刑，并处罚金。
问：企业应该做什么？
答：建议建立个人信息分类分级与最小必要采集规则、分级授权和操作留痕、员工培训与离职数据清理机制，并保留完整的授权与审计记录。
提醒一句：数据合规的底线不在“怎么用”，而在“怎么来的、有没有授权”，来源不清的数据，最好一开始就别碰。
相关阅读
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512