为了给母婴店、摄影店找客户，花钱买了一份新生儿家庭名单，只打电话推销自己的正规服务，没有转卖。经营者常问：生意是合法的，名单也只是自己用，为什么还可能构成侵犯公民个人信息罪？
合法经营目的不能使非法取得敏感信息变成合法。是否转卖会影响具体评价，但购买本身也可能达到刑事追究条件。名单包含什么，比文件被叫作“客户电话”还是“营销资源”更重要。
一、只用电话号码，为什么还要看整份名单？
如果购入的资料同时包含生育、健康、家庭及新生儿信息，就不能因为实际拨打电话时只使用其中一列，便将取得的全部资料当作普通号码。
本案涉及的信息包括孕产妇夫妻姓名、家庭住址、联系方式及新生儿出生和健康相关内容。信息组合能够指向特定个人和家庭状况，法院按相应敏感信息规则评价。
个人信息保护法第二十八条将医疗健康及不满十四周岁未成年人的相关信息纳入敏感信息。刑事案件的入罪标准还要依据刑法及相关司法解释具体判断，不能只按照营销时实际使用的字段计算风险。
二、真实案件：没有转卖，也被认定有罪
人民法院案例库蒯某平、曹某岳案中，母婴店经营者从医疗工作人员处购买生育资料，并向他人转售。曹某岳买入1177条，用于摄影服务推广，没有再提供给别人。
法院认定曹某岳构成侵犯公民个人信息罪，但结合初犯、经营目的、未进一步扩散等情况，免予刑事处罚。其上诉主张只是推销合法服务、只利用电话号码，请求改判无罪，二审没有支持。
免予刑事处罚与无罪不同。本案的有利处理不意味着购买敏感客户名单被认可，更不能承诺其他经营者也会免罚。具体数量、目的、后果和个人情况仍需分别审查。
三、合法经营的特殊规则，为什么不能套用到所有名单？
本案引用的法释〔2017〕10号解释第五条、第六条，对不同信息和经营情形作出区分。合法经营活动购买有关普通信息的规则，不能直接用于解释所列敏感信息。
该案采用生育健康相关信息达到五百条的规则认定刑事风险。这里的条数并不是对所有个人信息通用的统一门槛。名单类型不同、取得和提供行为不同、其他严重情节存在与否，也可能改变判断。
因此，企业不能仅根据供应商一句“不到五千条就没事”决定购买。先核清信息内容、来源、授权和数量，再评估具体规则，才能避免把错误的通用门槛用于业务。
四、公司发现来源不明的客户名单，先做什么？
先停止继续购买、转交和无依据使用，并核查已取得资料的来源及使用范围。不要为“看看有没有客户”而再次发送给外部人员，也不应删除原始交易记录掩盖取得过程。
保留已有合同、支付、聊天及文件来源信息，区分实际取得数量、重复信息和已转交范围。对具体是否具有授权，不能仅凭卖方保证或者合同中一句合法来源认定。
如果员工已经将名单导入系统，要查清哪些人接触、是否外传及具体用途。业务经营正规，只能说明一方面事实；资料获取和处理是否合规，仍需独立核查。
五、经营者被调查后，咨询应该回答哪些问题？
需要说明购买对象、沟通中对来源的解释、名单实际内容、付款和获利情况，以及后续使用或提供给谁。对供应商通过医疗工作取得资料等线索，应如实说明，不能在调查中改写为公开搜集。
专业判断应核查资料类别和数量是否准确，个人对来源的认识如何，以及经营目的、未扩散等事实是否有材料支持。既不能只拿“合法经营”作结论，也不能遗漏确实存在的从宽情节。
准备咨询时，可带上法律文书、来源及支付记录、已有业务合同，并说明资料保管和使用情况。敏感名单不宜通过公开社交渠道四处发送，相关内容应在依法核查所需范围内提供。
获客方式本身也需要法律判断。正规业务并不意味着可以买任何名单；已经发生问题时，准确区分信息类型、取得行为和实际后果，才有基础评估刑事责任及处理空间。
案例及法律来源：人民法院案例库《蒯某平、曹某岳侵犯公民个人信息案》，入库编号2026-04-1-207-003，入库时间2026-09-28 17:36:35。以下法条与裁判信息取自该案关联索引：
《中华人民共和国刑法》第253条之一第1款
《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）第5条、第6条、第10条
一审： 江苏省滨海县人民法院（2021）苏0922刑初490号刑事判决（2022年11月22日）
二审：江苏省盐城市中级人民法院（2023）苏09刑终22号刑事裁定（2023年3月6日）
案例事实和裁判结果依据公开材料整理；同类问题的分析不代表具体案件结果承诺。
