“开盒”为何进“法网”：从最高检个人信息典型案例看侵犯公民信息的全链条追责

2026年11月2日，最高人民检察院印发《检察机关依法保护公民个人信息典型案例》，共8件，恰逢《个人信息保护法》施行五周年（2021年11月1日起施行）。这批案例并非普通的普法材料：其中“开盒”网暴案已历经一审、二审并生效，“饭圈”航班信息案更出现了检察机关为追缴违法所得而抗诉的少见场景。对办理个人信息犯罪案件、为企业做数据合规的从业者而言，这批案例传递的裁判与追诉倾向值得细读。

一、事件脉络：一起已生效的“开盒”案揭示了什么

案例四（陈某丞等6人侵犯公民个人信息案）认定的基本事实是：自2020年起，陈某丞、陆某鹏等人为博取网络影响力，在多个网络平台对与自己意见不合的网友实施“开盒”。为搭建个人信息数据库，三人利用熟悉网络技术的便利，以脚本代码侵入某省事务平台系统，非法获取公民身份证号码、电话号码等1600万余条；另窃取多个网络贴吧、云空间用户注册账号、电话号码等信息10亿余条。在此基础上，他们先后对全国各地47名被害人（含5名未成年人）实施网络“开盒”、线上网暴、线下滋扰，其中5名被害人因精神抑郁就医。

程序进展方面：2024年9月30日，四川省成都市龙泉驿区人民检察院以陈某丞等6人分别构成侵犯公民个人信息罪等犯罪提起公诉；2025年12月19日，龙泉驿区人民法院作出判决，采纳检察机关指控罪名，判处陈某丞等6人有期徒刑四年五个月至九个月不等，并处罚金。部分被告人上诉后，2026年4月30日，成都市中级人民法院裁定驳回上诉、维持原判。目前判决已生效。

二、争议焦点一：“开盒”链条上每个环节都可能独立入罪

“开盒”在公众语境里常被理解为“曝光个人信息”，但在刑法评价上，它是多条行为的组合。以本案为例，至少涉及三个层次：

• 信息获取环节：侵入事务平台系统、窃取贴吧与云空间数据，可能同时触犯非法获取计算机信息系统数据罪（刑法第二百八十五条第二款）与侵犯公民个人信息罪（刑法第二百五十三条之一）；
• 信息发布环节：将他人身份证号、住址、家庭成员信息公开并引导攻击，视情节可能触及侮辱、诽谤或寻衅滋事等罪名；
• 线下滋扰环节：电话骚扰、上门滋扰等行为如造成严重后果，同样可能独立评价。

最高检在发布说明中明确，此类案件要“全面揭露各环节行为的危害性及可能触及的罪名”，坚持全链条惩治。这与2017年“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）确立的定罪量刑框架一脉相承：非法获取、出售行踪轨迹、通信内容、征信信息、财产信息等敏感信息五十条以上即达“情节严重”入罪标准，且按信息类型、数量分档量刑。实践中“数罪并罚还是择一重处”的争点，需要结合行为个数与牵连关系逐环节判断，不能笼统以一个罪名包揽整条黑产链。

三、争议焦点二：全链条追责覆盖“内鬼”、跨境与下游买家

这批8件案例刻意覆盖了黑产的典型环节，几乎构成一张“追责地图”：

• 境外“社工库”供料＋境内倒卖（案例一）：通过境外加密通讯工具联络、虚拟货币结算，检察机关以穿透式资金审查锁定“游戏币充值—支付平台收款—虚拟货币付上游”的完整资金链，对上游供料、中间倒卖、下游购买及二次倒卖人员全链条追诉；
• “私家侦探”滥用GPS定位（案例二）：线上购买信息、线下安装定位器跟踪偷拍，行踪轨迹信息被重点评价；
• 行业“内鬼”（案例六）：航空公司员工利用职务便利查询并出售明星艺人航班信息，涉及30余人、100余架次航班；
• 跨境出售（案例五、案例七）：包括将“一手女房东”房源信息筛选后向境外出售（下游被害人被电信诈骗29万余元），以及假借网络招聘平台非法获取应聘者信息、涉案金额746万余元的21人团伙；
• 数据安全事件型（案例八）：行为人用爬虫程序入侵某三甲肿瘤医院服务器，窃取患者个人信息、门诊与住院医嘱数据等共385万余条并迁移至境外服务器，检察机关提起民事公益诉讼。

值得注意的规则信号是：检察机关不再满足于“抓到谁办谁”，而是通过立案监督、追诉漏犯把链条补全；同时大量运用公益诉讼——包括刑事附带民事公益诉讼——追究财产责任，恢复被损害的公共利益。

三、争议焦点三：为追缴违法所得而抗诉

案例六有一个容易被忽略的程序细节：一审以侵犯公民个人信息罪判处舒某屏有期徒刑十个月、缓刑一年，并处罚金三万元，同时责令其承担公益损害赔偿金、赔礼道歉等民事责任，但一审判决未依法追缴其违法所得。检察机关就此提出抗诉，2025年4月28日二审终审判决责令追缴违法所得。

这个细节的规则意义在于：对个人信息犯罪，司法机关明确将“剥夺犯罪收益”作为核心目标之一。央视网11月4日的报道中，最高检普通犯罪检察厅有关负责人亦表示，对这类黑灰产“特别加大财产刑和职业禁止的适用力度，最大限度剥夺犯罪分子的再犯能力”。对辩护律师而言，违法所得范围与罚金数额将成为重要争点；对企业而言，“员工个人牟利、企业是否担责”的数据治理问题也再次被推到台前。

四、对从业者的实务启示

企业数据合规侧：本批案例中信息泄露源头高度集中于“内部人员越权查询”（航空公司员工查航班）与“系统被技术手段侵入”（事务平台、医院服务器）。相应地，合规重点应放在最小权限与查询留痕、敏感数据访问的审计与异常告警、离职与外包人员权限回收，以及供应商与推广渠道的数据处理协议约束上。案例四还提示：涉案网络平台存在用户隐私保护措施薄弱、内容审核管控不到位等问题，检察机关通过制发检察建议推动整改——平台若不前置投入防护，事后将同时面对刑事打击与监管问责。

刑事业务侧：办理此类案件需要适应“穿透式资金审查＋电子数据实质化审查”的办案方式，境外通讯工具、虚拟货币结算不再是防线；罪数辨析（侵入系统获取数据与侵犯个人信息、网暴行为的关系）、信息数量与类型的认定（敏感信息与非敏感信息的分档）、违法所得与罚金的边界，是辩护的主要空间。

个人维权侧：遭遇“开盒”后，可固定证据并向公安机关报案；对损害社会公共利益的情形，可向检察机关提供公益诉讼线索；同时可依据《个人信息保护法》第六十九条主张民事赔偿，个保法在归责上采过错推定，对权利人相对友好。

五、延伸思考

个人信息保护法实施五年，司法打击已经从“个案惩处”走向“链条清算＋源头治理”，但“开盒”乱象并未绝迹：黑产正在向跨境化、组织化、定制化演进（针对单身女性、明星等特定群体的定向侵害即为例证）。接下来的观察点有二：一是2017年司法解释在人工智能、爬虫抓取、生物识别等新信息类型面前如何续造，是否会迎来修订或新解释；二是平台“前置防线”义务（识别、拦截、处置开盒信息）是否会通过监管规章进一步压实。对多数企业与法律从业者来说，本批案例最直接的提醒是：个人信息的刑事风险已经覆盖从获取、流转到变现、使用的每一个环节，任何一环的“顺手为之”都可能构成犯罪。

本文事实与法规效力状态经核验（核验日期：2026年11月5日，法规信息经北大法宝核验）。内容仅供学习参考，不构成法律意见。