司法严惩侵犯公民个人信息犯罪链条
《法治周末》记者 孟伟
随着数字化进程加快，公民个人信息泄露问题持续高发，其中，国家公共服务领域工作人员倒卖行程信息、网络“开盒”等危害尤其严重。
行程轨迹属于法律明确界定的高度敏感个人信息，一旦被非法获取、贩卖，极易滋生精准诈骗、尾随骚扰、人身威胁，甚至诱发极端事件，严重侵害公民人格尊严与人身安全，破坏社会秩序与网络生态。
近日，最高人民法院发布的侵犯公民个人信息犯罪及关联犯罪典型案例中，就有一起铁路客运员倒卖行程信息案、一起网络“开盒”网暴案。
倒卖行程信息被从重处罚
近年来，公众人物私人航班、高铁行程被提前泄露，私生饭围堵、尾随跟踪事件频发；普通旅客购票记录遭批量贩卖，冒充铁路、航司客服实施的改签退款诈骗高发，受害群体广泛。
此次最高人民法院发布的铁路客运员陈某某倒卖行程信息案，系行业“内鬼”泄露个人信息典型案例。
2019年1月至2021年9月期间，被告人陈某某利用铁路车站客运员职务便利，通过铁路车票系统违规查询他人高铁出行信息，包括乘车时间、车次、座位及证件号码等敏感内容，以每条10元至60元的价格出售；非在岗期间，以每条5元至10元的费用，委托同事曾某等人代为查询信息，部分信息转卖给林某某等人，用于有偿查询演艺人员行程。截至2021年9月，陈某某累计获取违法所得约19万元。
广东省佛山市南海区人民法院审理认为，被告人陈某某等人利用职务便利非法获取公民个人信息并向他人出售，情节特别严重，均已构成侵犯公民个人信息罪，应依法从重处罚。对被告人陈某某等人以侵犯公民个人信息罪判处有期徒刑三年八个月至有期徒刑九个月，缓刑一年六个月不等，并处罚金人民币二十万元至一万四千元不等。对于检察机关提起的附带民事公益诉讼，判决责令陈某某等人分别支付公益损害赔偿金二十万元至一万余元不等，删除所有非法获取的公民个人信息，并在国家级媒体上公开赔礼道歉。
值得注意的是，法院认定陈某某利用职务便利非法获取公民个人信息并向他人出售，属于情节特别严重，依法从重处罚。
根据刑法第二百五十三条之一，“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款规定从重处罚”。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条规定：“非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的”“违法所得五千元以上的”，均构成刑法第二百五十三条之一规定的“情节严重”。
该案的典型意义在于，人民法院在对被告人给予刑事处罚的同时，通过附带民事公益诉讼判令其支付赔偿金、删除信息、公开赔礼道歉，体现了人民法院从严惩处此类犯罪，保护公民个人信息安全，维护社会公共利益的态度和立场。
《法治日报》律师专家库成员、北京市炜衡律师事务所高级合伙人刘宏岩在接受《法治周末》记者采访时表示：“在实务中，‘五十条轨迹’‘获利五千元’是常态入罪标准。依据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第（八）款，履职获取信息后出售，多按减半标准认定并从重量刑。”
行业“内鬼”作案为何被从重量刑
谈及“内鬼”作案从重处罚的原因，北京航空航天大学法学院教授裴炜向《法治周末》记者表示：“铁路、民航是公共服务机构，公众把信息交给他们是基于信任，行业内鬼监守自盗会打破信任，危害行业公信力。”
行业“内鬼”贩卖公民行程信息不止出现在铁路行业，民航领域同样有此问题。
2025年2月，北京市朝阳区人民法院公布一起关于买卖艺人隐私的相关案件。该案揭开了行业“内鬼”贩卖行程信息的细节：航空服务公司工作人员舒某某利用工作客服系统可查询旅客航班、身份信息的职务便利，受饭圈信息倒卖牟利风气影响，用微信名“查航班”招揽生意；自2022年初起，舒某某以每条80元的价格，违规为粉丝张某某查询百余条艺人航班、身份证信息，非法获利1.31万元；因上班禁止使用手机，舒某某全程用纸笔记录信息带离公司；张某某购得信息后，以180元每条的价格转卖牟利。
最终，法院依法判决舒某某犯侵犯公民个人信息罪，判处其有期徒刑十个月、缓刑一年、罚金三万元，同时责令其在省级媒体公开赔礼道歉，承担1.31万元公共利益损害赔偿，并禁止舒某某在缓刑考验期内从事航空客服代表类职业。
裴炜说：“行踪轨迹是属于敏感个人信息，受到高强度保护。它不是单个联系方式，而是能把时间、空间、行为、身份、社会关系精准绑定的动态链条，关联性极高。”
刘宏岩进一步指出行程信息泄露带来的危害：“行踪轨迹泄露可精准锁定个人出行规律、常去场所，易引发尾随跟踪、上门滋扰，导致人身安全风险远高于普通信息泄露。”
关于公众人物行程隐私的边界，裴炜明确：“所有人都有隐私，公众人物不是透明人，私人行程、私人活动和普通人一样受保护。”
刘宏岩补充说：“公众人物的个人信息保护法律地位与普通人一致，他们仅让渡与公共利益、职业相关的部分隐私，但核心私密活动（如私人出行、家庭生活等）仍受法律保护。粉丝私自挖掘、猜测的‘行程’不属于法律意义上的公开信息。公众人物的私人行程（含航班、住宿）属于法律保护的个人隐私，非法获取、售卖属于侵权，构成‘情节严重’的法定情形可被追究刑事责任。”
产业化“开盒”危害极大
裴炜指出：“个人信息泄露是网络犯罪的‘万罪之源’，后续的网暴、诈骗、骚扰、敲诈，源头都是信息泄露。”
此次最高人民法院发布的“开盒”网暴案，被告人非法获取9亿条公民个人信息，搭建含1.7亿条信息的非法“社工库”，对外提供有偿查询服务，并组建了2000人规模的网络群组。
北京市海淀区人民法院查明，2023年至2025年间，被告人林某某、王某某通过加密通讯工具等互联网渠道非法获取公民个人信息数据，后以虚拟货币收款等方式出售牟利。经查，林某某非法获取公民个人信息数据6亿余条，王某某非法获取公民个人信息数据3亿余条。2025年间，林某某、王某某伙同王某（另案处理）将非法获取的公民个人信息数据搭建“社工库”网站，经查，该网站数据库中的公民个人信息数据共计1.7亿余条，被告人利用网站非法提供公民个人信息1300余次，网站访问人次共计10余万次。2025年间，被告人林某某伙同王某（另案处理）等人，利用加密通讯工具设立群组，担任群组管理员，在群组中发布针对他人侵犯隐私、侮辱谩骂等违法犯罪信息。该群组成员共计2000余人。
最终，林某某被判处侵犯公民个人信息罪和非法利用信息网络罪，数罪并罚，法院对被告人林某某以侵犯公民个人信息罪判处有期徒刑六年六个月，并处罚金人民币六万元；以非法利用信息网络罪判处有期徒刑一年，并处罚金人民币一万元，决定执行有期徒刑七年，并处罚金人民币七万元。
刘宏岩表示，该案例将对“开盒”黑产形成震慑，案例确立了“海量数据+组织化网暴”从严裁判标准，强化源头打击与行业治理导向。
裴炜解读该案典型意义时指出：“黑产团伙提供从数据收集、查询索引到围攻网暴的一站式集成服务，形成了系统化的犯罪生态。这种模式降低了犯罪门槛和成本，使得施害者无需多头对接即可实施侵害。形成产业链的‘开盒’在犯罪效率、危害扩散速度、成本降低幅度上来讲是指数级提升。普通泄露是零散、分散、低效的，而产业化‘开盒’是集中、批量、高效的，加害者一次对接、一站式完成全流程侵害，受害者几乎无招架之力。”
裴炜指出，个人信息保护的最大短板在于前端治理不足，数据一旦泄露便无法撤回、难以彻底删除，事后追责效果有限。解决问题必须聚焦源头治理，重点补齐交通、医疗、教育等传统行业数字化转型滞后的合规短板，全面摸清数据家底、做好分级分类，严格管控人员权限，建立健全软硬件安全保障机制，堵住行业“内鬼”漏洞，压实企业主体责任，构建事前预防、源头管控的数据治理体系，从根本上防范个人信息泄露风险。
被泄露后如何维权
近年来，“挂人”（在网上曝光别人信息）“开盒”已成为网络暴力的一种典型手段。
5月18日，海口警方查处一起网络“开盒”网暴案件。马某某因与百万粉丝主播发生纠纷，于5月11日至12日期间，发布多条涉及刘某某个人隐私的视频，内容包含刘某某的敏感信息，对刘某某正常生活造成严重困扰。相关侵权视频累计播放量超5万次。警方经查证后，依据治安管理处罚法，对马某某作出行政拘留5日的处罚。警方呼吁，公众应自觉遵守网络法律法规，坚守法律与道德底线，坚决抵制“开盒”、网络暴力等违法行为。
此前，浙江杭州警方通过日常巡查和网络监控发现，境外某平台的聊天群中有大量网络博主的信息被公开。嫌疑人不仅公布博主的个人隐私，还会对部分女博主进行恶意评论，甚至造谣和诽谤，从而给境外建立的聊天群聚集人气、增加热度、提高流量，以便通过接广告获利。有数据显示，订阅相关信息的人数高达40余万。
刘宏岩告诉记者，普通民众、公众人物遭遇个人信息泄露、被骚扰，核心维权难点集中在取证、溯源、追责三个环节。
刘宏岩建议：“公民遭遇‘开盒’侵害后，可分层递进维权。首先，及时通过截图、录屏留存泄露内容、骚扰记录、交易链接等电子证据，必要时申请公证；其次，向平台投诉并留存后台记录，要求下架侵权内容、封禁违规账号；最后，根据情节轻重递进维权，轻微侵害可报警追责，造成损失可提起民事诉讼，涉嫌刑事犯罪则配合公安机关溯源追责、追究刑责，同时做好自我防护，防范隐私二次泄露。”
随着数字化进程加快，公民个人信息泄露问题持续高发，其中，国家公共服务领域工作人员倒卖行程信息、网络“开盒”等危害尤其严重。
行程轨迹属于法律明确界定的高度敏感个人信息，一旦被非法获取、贩卖，极易滋生精准诈骗、尾随骚扰、人身威胁，甚至诱发极端事件，严重侵害公民人格尊严与人身安全，破坏社会秩序与网络生态。
近日，最高人民法院发布的侵犯公民个人信息犯罪及关联犯罪典型案例中，就有一起铁路客运员倒卖行程信息案、一起网络“开盒”网暴案。
倒卖行程信息被从重处罚
近年来，公众人物私人航班、高铁行程被提前泄露，私生饭围堵、尾随跟踪事件频发；普通旅客购票记录遭批量贩卖，冒充铁路、航司客服实施的改签退款诈骗高发，受害群体广泛。
此次最高人民法院发布的铁路客运员陈某某倒卖行程信息案，系行业“内鬼”泄露个人信息典型案例。
2019年1月至2021年9月期间，被告人陈某某利用铁路车站客运员职务便利，通过铁路车票系统违规查询他人高铁出行信息，包括乘车时间、车次、座位及证件号码等敏感内容，以每条10元至60元的价格出售；非在岗期间，以每条5元至10元的费用，委托同事曾某等人代为查询信息，部分信息转卖给林某某等人，用于有偿查询演艺人员行程。截至2021年9月，陈某某累计获取违法所得约19万元。
广东省佛山市南海区人民法院审理认为，被告人陈某某等人利用职务便利非法获取公民个人信息并向他人出售，情节特别严重，均已构成侵犯公民个人信息罪，应依法从重处罚。对被告人陈某某等人以侵犯公民个人信息罪判处有期徒刑三年八个月至有期徒刑九个月，缓刑一年六个月不等，并处罚金人民币二十万元至一万四千元不等。对于检察机关提起的附带民事公益诉讼，判决责令陈某某等人分别支付公益损害赔偿金二十万元至一万余元不等，删除所有非法获取的公民个人信息，并在国家级媒体上公开赔礼道歉。
值得注意的是，法院认定陈某某利用职务便利非法获取公民个人信息并向他人出售，属于情节特别严重，依法从重处罚。
根据刑法第二百五十三条之一，“违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款规定从重处罚”。《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条规定：“非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的”“违法所得五千元以上的”，均构成刑法第二百五十三条之一规定的“情节严重”。
该案的典型意义在于，人民法院在对被告人给予刑事处罚的同时，通过附带民事公益诉讼判令其支付赔偿金、删除信息、公开赔礼道歉，体现了人民法院从严惩处此类犯罪，保护公民个人信息安全，维护社会公共利益的态度和立场。
《法治日报》律师专家库成员、北京市炜衡律师事务所高级合伙人刘宏岩在接受《法治周末》记者采访时表示：“在实务中，‘五十条轨迹’‘获利五千元’是常态入罪标准。依据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第（八）款，履职获取信息后出售，多按减半标准认定并从重量刑。”
行业“内鬼”作案为何被从重量刑
谈及“内鬼”作案从重处罚的原因，北京航空航天大学法学院教授裴炜向《法治周末》记者表示：“铁路、民航是公共服务机构，公众把信息交给他们是基于信任，行业内鬼监守自盗会打破信任，危害行业公信力。”
行业“内鬼”贩卖公民行程信息不止出现在铁路行业，民航领域同样有此问题。
2025年2月，北京市朝阳区人民法院公布一起关于买卖艺人隐私的相关案件。该案揭开了行业“内鬼”贩卖行程信息的细节：航空服务公司工作人员舒某某利用工作客服系统可查询旅客航班、身份信息的职务便利，受饭圈信息倒卖牟利风气影响，用微信名“查航班”招揽生意；自2022年初起，舒某某以每条80元的价格，违规为粉丝张某某查询百余条艺人航班、身份证信息，非法获利1.31万元；因上班禁止使用手机，舒某某全程用纸笔记录信息带离公司；张某某购得信息后，以180元每条的价格转卖牟利。
最终，法院依法判决舒某某犯侵犯公民个人信息罪，判处其有期徒刑十个月、缓刑一年、罚金三万元，同时责令其在省级媒体公开赔礼道歉，承担1.31万元公共利益损害赔偿，并禁止舒某某在缓刑考验期内从事航空客服代表类职业。
裴炜说：“行踪轨迹是属于敏感个人信息，受到高强度保护。它不是单个联系方式，而是能把时间、空间、行为、身份、社会关系精准绑定的动态链条，关联性极高。”
刘宏岩进一步指出行程信息泄露带来的危害：“行踪轨迹泄露可精准锁定个人出行规律、常去场所，易引发尾随跟踪、上门滋扰，导致人身安全风险远高于普通信息泄露。”
关于公众人物行程隐私的边界，裴炜明确：“所有人都有隐私，公众人物不是透明人，私人行程、私人活动和普通人一样受保护。”
刘宏岩补充说：“公众人物的个人信息保护法律地位与普通人一致，他们仅让渡与公共利益、职业相关的部分隐私，但核心私密活动（如私人出行、家庭生活等）仍受法律保护。粉丝私自挖掘、猜测的‘行程’不属于法律意义上的公开信息。公众人物的私人行程（含航班、住宿）属于法律保护的个人隐私，非法获取、售卖属于侵权，构成‘情节严重’的法定情形可被追究刑事责任。”
产业化“开盒”危害极大
裴炜指出：“个人信息泄露是网络犯罪的‘万罪之源’，后续的网暴、诈骗、骚扰、敲诈，源头都是信息泄露。”
此次最高人民法院发布的“开盒”网暴案，被告人非法获取9亿条公民个人信息，搭建含1.7亿条信息的非法“社工库”，对外提供有偿查询服务，并组建了2000人规模的网络群组。
北京市海淀区人民法院查明，2023年至2025年间，被告人林某某、王某某通过加密通讯工具等互联网渠道非法获取公民个人信息数据，后以虚拟货币收款等方式出售牟利。经查，林某某非法获取公民个人信息数据6亿余条，王某某非法获取公民个人信息数据3亿余条。2025年间，林某某、王某某伙同王某（另案处理）将非法获取的公民个人信息数据搭建“社工库”网站，经查，该网站数据库中的公民个人信息数据共计1.7亿余条，被告人利用网站非法提供公民个人信息1300余次，网站访问人次共计10余万次。2025年间，被告人林某某伙同王某（另案处理）等人，利用加密通讯工具设立群组，担任群组管理员，在群组中发布针对他人侵犯隐私、侮辱谩骂等违法犯罪信息。该群组成员共计2000余人。
最终，林某某被判处侵犯公民个人信息罪和非法利用信息网络罪，数罪并罚，法院对被告人林某某以侵犯公民个人信息罪判处有期徒刑六年六个月，并处罚金人民币六万元；以非法利用信息网络罪判处有期徒刑一年，并处罚金人民币一万元，决定执行有期徒刑七年，并处罚金人民币七万元。
刘宏岩表示，该案例将对“开盒”黑产形成震慑，案例确立了“海量数据+组织化网暴”从严裁判标准，强化源头打击与行业治理导向。
裴炜解读该案典型意义时指出：“黑产团伙提供从数据收集、查询索引到围攻网暴的一站式集成服务，形成了系统化的犯罪生态。这种模式降低了犯罪门槛和成本，使得施害者无需多头对接即可实施侵害。形成产业链的‘开盒’在犯罪效率、危害扩散速度、成本降低幅度上来讲是指数级提升。普通泄露是零散、分散、低效的，而产业化‘开盒’是集中、批量、高效的，加害者一次对接、一站式完成全流程侵害，受害者几乎无招架之力。”
裴炜指出，个人信息保护的最大短板在于前端治理不足，数据一旦泄露便无法撤回、难以彻底删除，事后追责效果有限。解决问题必须聚焦源头治理，重点补齐交通、医疗、教育等传统行业数字化转型滞后的合规短板，全面摸清数据家底、做好分级分类，严格管控人员权限，建立健全软硬件安全保障机制，堵住行业“内鬼”漏洞，压实企业主体责任，构建事前预防、源头管控的数据治理体系，从根本上防范个人信息泄露风险。
被泄露后如何维权
近年来，“挂人”（在网上曝光别人信息）“开盒”已成为网络暴力的一种典型手段。
5月18日，海口警方查处一起网络“开盒”网暴案件。马某某因与百万粉丝主播发生纠纷，于5月11日至12日期间，发布多条涉及刘某某个人隐私的视频，内容包含刘某某的敏感信息，对刘某某正常生活造成严重困扰。相关侵权视频累计播放量超5万次。警方经查证后，依据治安管理处罚法，对马某某作出行政拘留5日的处罚。警方呼吁，公众应自觉遵守网络法律法规，坚守法律与道德底线，坚决抵制“开盒”、网络暴力等违法行为。
此前，浙江杭州警方通过日常巡查和网络监控发现，境外某平台的聊天群中有大量网络博主的信息被公开。嫌疑人不仅公布博主的个人隐私，还会对部分女博主进行恶意评论，甚至造谣和诽谤，从而给境外建立的聊天群聚集人气、增加热度、提高流量，以便通过接广告获利。有数据显示，订阅相关信息的人数高达40余万。
刘宏岩告诉记者，普通民众、公众人物遭遇个人信息泄露、被骚扰，核心维权难点集中在取证、溯源、追责三个环节。
刘宏岩建议：“公民遭遇‘开盒’侵害后，可分层递进维权。首先，及时通过截图、录屏留存泄露内容、骚扰记录、交易链接等电子证据，必要时申请公证；其次，向平台投诉并留存后台记录，要求下架侵权内容、封禁违规账号；最后，根据情节轻重递进维权，轻微侵害可报警追责，造成损失可提起民事诉讼，涉嫌刑事犯罪则配合公安机关溯源追责、追究刑责，同时做好自我防护，防范隐私二次泄露。”
扫一扫在手机端浏览当前稿件内容
