从“社工库”到“开盒”：最高检典型案例划出个人信息红线，通信业合规进入深水区

2026年11月1日，在《中华人民共和国个人信息保护法》施行五周年节点，最高人民检察院发布8件依法保护公民个人信息典型案例。案件覆盖境外“社工库”倒卖、 “私家侦探”跟踪偷拍、针对老年人的“村推”骗认证、网络“开盒”网暴、公开房源信息跨境出售、航空客服内鬼查询、招聘平台虚假招聘、医院服务器被“爬虫”侵入等场景。对通信行业而言，这不是一组孤立刑案，而是数据黑产从单点盗取向跨境组织化、技术化、场景化演进的切片：基础网络、平台账号、小程序、线下渠道和外包岗位，任何一环失守，都可能成为个人信息泄露的入口。

典型案例不创设新规则，但通过指控逻辑和裁判结果释放了清晰信号：个人信息犯罪的刑事边界正在向链条上游、技术手段和现实危害延伸；刑事追责之外，公益诉讼、追缴违法所得、社会治理检察建议正在形成组合拳。对运营商、互联网平台和App开发者来说，数据合规已不是“隐私政策写得好不好”的问题，而是系统权限、账号体系、供应链和线下推广全链路能不能经得起刑事检验的问题。

黑产链条变了：跨境化、技术化、场景化

这批案例中，传统“买信息—卖信息”的简单模式仍在，但组织方式明显升级。王某等11人案中，犯罪团伙利用境外通信工具对接“社工库”上游，在境内招募“业务员”寻找买家，形成“境外获取—境内倒卖—虚拟货币结算”的闭环，涉案金额198万余元。林某锋等21人案则把招聘平台变成入口：先以企业账号发布虚假招聘信息，账号被封后转而收买其他企业人力资源人员账号，前端引流、后端汇总，再将信息向境外出售，并用虚拟货币结算，涉案金额746万余元。

更值得通信行业警惕的是技术手段与业务场景的结合。陈某丞等人为“开盒”搭建个人信息数据库，使用脚本代码侵入某省事务平台系统，非法获取身份证号码、电话号码等1600万余条，又窃取多个网络贴吧、云空间用户注册账号、电话号码等10亿余条。周某许等人以“私家侦探”名义在短视频平台引流，线上从境外聊天软件购买行踪轨迹、财产状况、住宿记录，线下安装GPS定位器、贴身跟踪偷拍，并进一步实施敲诈勒索。广州某三甲肿瘤专科医院案中，行为人以“爬虫”程序入侵服务器，窃取患者个人信息、门诊医嘱、住院医嘱等数据385万余条，迁移至境外服务器运行存储达半年，并将部分数据出售。

这些案件说明，个人信息黑产已经不只是“内鬼拷数据”。它同时利用平台账号体系、开放接口、云存储、脚本自动化、境外通信和虚拟货币支付，形成跨地域、跨平台、跨技术栈的链条。对拥有大量用户身份、位置、账单、通信记录和云网资源的基础电信企业而言，风险不再局限于某个营业厅或客服岗位，而是延伸到API接口、外包团队、代理渠道、云租户和第三方SDK。

刑事边界更清晰：“开盒”不是网络口嗨，公开信息也不是法外之地

案例释放的第一个信号是，“开盒”及伴随的网暴、滋扰，可能触发多重刑事责任。陈某丞等人不仅非法获取、窃取海量个人信息，还以此对47名被害人实施线上“开盒”、网暴和线下滋扰，其中5名被害人因精神抑郁就医，多名未成年人和在校大学生产生厌学情绪。法院以侵犯公民个人信息罪等犯罪数罪并罚，主犯被判四年五个月有期徒刑。该案二审于2026年4月30日维持原判。这说明，网络空间中的“意见不合”不能成为非法搜集、发布他人身份信息的抗辩；一旦叠加侵入系统、批量窃取、网暴后果，刑事评价会明显加重。

第二个信号是，公开信息不等于可以任意收集、转卖。刘某案中，行为人专门在平台搜集“一手女房东”发布的房屋租售信息，筛选整理后向境外出售，非法获取、出售2.4万余条，获利19万余元。房屋租售信息看似公开，但批量收集、筛选、跨境出售，已经超出合理处理目的，仍被以侵犯公民个人信息罪追究刑事责任。对平台和开发者而言，这提醒我们：用户主动公开的信息，不等于平台或第三方可以无边界汇聚、画像、转售；公开数据的“二次利用”同样需要合法性基础。

第三个信号是，获利金额不是唯一标尺。舒某屏作为航空公司外包电话客服，利用职务便利查询明星艺人航班信息并出售，涉及30余人、100余架次航班，非法获利1万余元，仍被判处有期徒刑十个月、缓刑一年，并承担公益损害赔偿、赔礼道歉等民事责任；一审未追缴违法所得，检察机关抗诉后二审责令追缴。该案虽发生在航空领域，但其“外包岗位+系统查询权限+粉丝群组兜售”的风险结构，对拥有大量用户位置、账单、通信记录的基础电信企业同样具有警示意义。敏感信息类型、查询权限滥用、公共利益损害，都会让“小获利”变成“大责任”。

运营商：守住高敏感数据与外包渠道两道闸门

基础电信企业处在个人信息保护的高敏感地带。移动通信服务天然掌握身份信息、号码资源、通信记录、位置信息、账单消费、云网账号等数据，且业务链条长、外包环节多、代理渠道分散。案例中的“内鬼查询”“外包客服”“线下村推”等情节，对运营商至少提出三方面合规要求。

其一，高敏感数据的权限治理要细化到“人”和“接口”。位置信息、通信记录、账单信息、身份核验结果、人脸等生物识别信息，应实行更严格的分类分级、最小授权和双人复核。系统查询要留痕，异常批量查询、非工作时间查询、跨区域查询应触发告警。对外提供的API接口要具备鉴权、限流、脱敏和审计能力，防止被脚本批量爬取或撞库利用。

其二，外包与代理渠道不能成为责任洼地。舒某屏案的核心不是“航空”二字，而是外包人员拥有系统查询权限后缺少有效制衡。运营商对客服、营业厅、代理商、地推团队，应实行账号全生命周期管理：实名到人、权限到岗、操作留痕、离岗回收，禁止账号共享和转租。线下“村推”类场景尤其要警惕：潘某等人以帮助老年人激活医保电子凭证为名，骗取2万余名老年人的姓名、身份证号码、人脸生物信息，批量实名认证支付宝账户后出售，非法获利180余万元。对通信行业而言，任何以“助老”“激活”“实名认证”为名的线下推广，都必须有明确的授权文本、身份核验和事后回访机制。

其三，云网融合业务要厘清数据责任边界。运营商在IDC、云服务、CDN、5G消息、云通信等业务中，既是数据处理者，也可能承担平台或基础设施角色。对云租户的数据安全责任、跨境传输评估、日志留存和司法调证配合，需要在合同、技术和流程上形成闭环。数据合规能力，正在成为运营商从“连接服务”走向“连接+算力+数据服务”的准入证。

平台：账号、接口、群组与招聘场景的“守门人”责任

典型案例中，平台几乎出现在每条黑产链的关键节点：短视频平台被用于“私家侦探”引流，社交群组被用于兜售航班信息，贴吧和云空间被窃取账号数据，招聘平台被用于虚假招聘和收买HR账号，网络支付和虚拟货币被用于结算。平台不能只在下游删除内容，更要在账号、接口和场景风控上前移防线。

招聘平台尤其需要重视企业账号和HR账号的权限治理。林某锋案中，行为人先注册企业账号发布虚假招聘信息，账号被封后转而利诱其他企业人力资源人员用企业账号非法获取应聘者信息。平台应强化企业资质审核、招聘行为异常监测、HR账号登录地与操作频率风控，对批量下载简历、异常采集字段、账号租售等行为及时拦截。贴吧、云空间等用户内容平台，则要防范脚本批量抓取、异常登录和数据库接口滥用，建立“开盒”关键词识别、网暴防护和便捷举报机制。短视频和社交平台对“私家侦探”“婚姻调查”“查人轨迹”等引流内容，不能仅作普通广告审核，而应识别其可能指向的侵犯公民个人信息和敲诈勒索风险。

App与小程序开发者：最小必要、单独同意与线下推广合规

App和小程序是个人信息收集的前端入口，也是监管持续高压的领域。从公开监管动态看，违法违规收集使用个人信息仍呈常态化治理态势，84款移动应用被通报、42款医疗健康类App因违法违规收集使用个人信息被通报。对开发者而言，合规重点不只是隐私政策文本，而是权限调用、SDK管理、生物识别单独同意、未成年人保护和数据出境等具体动作。

“村推”案对小程序和线下推广尤具警示性。开发者以帮助老年人激活医保电子凭证为名，实则骗取姓名、身份证号码、人脸生物信息，批量实名认证账户并出售，说明“公共服务场景+线下地推+人脸识别”一旦失守，危害面会迅速放大。App和小程序开发者应对推广渠道承担管理责任，明确授权范围，禁止以“代操作”名义收集与服务无关的信息；对生物识别信息应落实单独同意和必要性说明；对老年用户应提供更清晰的告知和更严格的防误触设计。

医疗健康类App还需特别注意数据敏感性。广州医院案中，“爬虫”程序入侵服务器，窃取患者个人信息和医嘱数据并迁移境外，说明医疗机构和医疗类应用不仅面临侵犯个人信息风险，还涉及国家数据安全和公共卫生安全。开发者应加强接口安全、访问审计、数据脱敏和跨境传输评估，避免把测试接口、日志文件或云存储桶暴露在公网。

合规不是成本，而是数据要素市场的准入证

《个人信息保护法》施行五年后，监管逻辑已经不再是单一行政处罚。刑事追责、公益诉讼、追缴违法所得、检察建议和社会治理正在形成合力。对通信行业来说，个人信息保护也不再是法务部门的单项工作，而是网络、系统、渠道、采购、外包和产品设计的共同底线。

运营商要把高敏感数据权限和外包渠道管住，平台要把账号、接口和场景风控做实，App与小程序开发者要把最小必要、单独同意和线下推广合规落到代码与流程里。数据要素市场越发展，合规能力越像一张准入证：谁能在合法、必要、安全的边界内使用数据，谁才能真正把连接能力、算力能力和数据服务能力转化为长期竞争力。