前天下午我正蹲在电脑前给一个做美妆电商的客户调章程，前台小姑娘喊我说有个老板电话打了三遍了，非要找我本人接。我拿起听筒，那头是个挺急的中年男声：“师傅，我上个月让业务员从同行那儿买了两万条客户手机号，现在公安经侦把我一个主管带走了，说涉嫌侵犯公民个人信息罪，我这当老板的会不会也被连锅端？” 说实话，这种电话我这两年接得越来越多了。以前大家觉得买卖个名单算什么，做营销谁不搞点“资源”？可麻烦就出在，很多人对“侵犯公民个人信息罪”的理解还停留在贴小广告罚款五千元的年代，根本不知道刑法第二百五十三条之一已经亮出了獠牙。我放下电话，泡了杯浓茶，翻了翻这个客户之前的注册档案，心里直叹气——他公司在上海闵行注册还不到两年，做的是快消品社群营销，业务模式全靠拉人头建群，这种老板要是再不补上法律认知，后面等着他的就不是罚款单，是起诉书了。

获客红线不能碰

我在加喜这十四年，经手的公司注册少说也有三千家了，其中做营销、做推广、做私域流量的能占四成。以前大家注册完公司，第一件事就是满世界找“精准客户名单”，买楼盘的业主名单、买宝妈通讯录、买企业法人联系方式，一套几万条的数据包才卖两三千块，便宜得让人流口水。好多老板跟我聊天的时候还洋洋得意，说这是“行业潜规则”，我听了后背直发凉。 刑法第二百五十三条之一明确写着，向他人出售或者提供公民个人信息，情节严重的处三年以下有期徒刑或者拘役，情节特别严重的处三年以上七年以下有期徒刑。什么叫情节严重？司法解释说得清清楚楚，非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上就够格了；住宿信息、通信记录、健康生理信息、交易信息五百条以上；其他公民个人信息五千条以上。你说你买了两万条手机号，那属于“其他公民个人信息”，五千条就是杠杠的入罪标准，两万条已经超了四倍，这不是打擦边球的问题，这是直接开着卡车冲进刑事禁区了。 我有个老客户，做建材家居的，去年底也是听了某位“营销大咖”的课，回来就让人事去买了三个小区的业主名单，准备搞电话轰炸。结果名单还没用完一半，就被一个业主举报到了网安部门。警察顺藤摸瓜，查出他公司服务器里还存着三万多条历史客户数据，交易记录里显示是从一个二手房中介那儿花八千块买的。最后那个卖数据的二手房中介被判了八个月，我这客户因为“非法获取公民个人信息罪”被取保候审，公司注册地所在的市场监管部门也约谈了他，说今年年报要重点核查他公司的实际经营情况。你说他亏不亏？房子没卖出去几套，人先吃了官司。 麻烦就出在，很多老板觉得“我买数据是为了给客户发优惠，又不是拿去诈骗”，觉得动机是好的就不算犯罪。但司法实践就是看行为和数量，不看你的发心动念。你买了两万条名单，哪怕你只发了一条短信过去，那个“购买”的动作本身就已经构成非法获取了。行政上《个人信息保护法》第六十六条也规定了巨额罚款，最严重可以罚没五千万元或者上一年度营业额百分之五，这个数字对绝大多数中小企业来说就是灭顶之灾。

营销短信暗藏刀

前阵子有个做食品礼盒的老板找我咨询，他愁眉苦脸地说自己公司收到了法院传票，说他们发的营销短信侵犯了消费者个人信息权益。他觉得很委屈，说短信是找短信平台服务商发的，名单也是平台提供的“精准用户画像”，自己公司员工不过是编辑了一下文案。我一听就明白了，这就是典型的“甩锅思维”在作祟。 我在加喜服务过的客户里，至少有五六个做过群发短信的业务。每次我提醒他们注意《通信短信息服务管理规定》和《广告法》的时候，他们最多的反应就是“大家都这么干，谁能查到我头上”。结果呢？现在大数据联查系统不是吃素的，发送营销短信必须经过用户同意，而且必须要提供便捷的退订方式，这是硬杠杠。什么叫“经过同意”？不是你买名单的时候对方承诺“这些人都同意过”，而是你要能拿出每一名用户单独确认同意的记录。你从第三方平台买来的“同意”，平台自己都拿不出原始授权凭证，这就是一个定时炸弹。 去年我处理过一个特别典型的案子，是个做母婴产品的客户，他们在公众号和小程序上搞活动，要求用户填写手机号才能领取试用装，但页面上根本没有勾选“同意接收营销短信”的选项，默认就是订阅。结果三个月内发了十几万条促销短信，被用户集体投诉到了工信部。工信部把线索转给公安后，当地派出所直接封了他们公司的对公账户，说涉嫌“侵犯公民个人信息罪”中的“违反国家有关规定向他人提供或出售公民个人信息”。虽然最后因为情节轻微没立案，但账户冻结了十几天，双十一的活动全部泡汤，损失惨重。 有意思的是，很多人不知道，员工推荐客户给你，你把客户信息录入系统存档，这也算“收集”行为。你录入了客户姓名、电话、购买意向，这些都属于个人信息。如果客户没有主动给你名片的场景，你也没有取得他明确的书面同意，那你这个“收集”就是违法的。我见过太多做装修的老板，让设计师参加完展会就带回来一摞名片，然后统统录进CRM系统，这些名片上的信息可都是别人的隐私。

爬虫软件惹祸端

这年头做营销的老板，十个有八个想走“技术捷径”。之前有个做财税软件代理的客户来找我注册新公司，聊天时他炫耀说自己公司开发了一个“大数据拓客系统”，能从企业信用信息公示系统、招聘网站、电商平台自动抓取老板手机号和邮箱。我当场就给他泼了盆冷水，问他知不知道《数据安全法》和《反不正当竞争法》都在盯着这块。 他说他们只抓公开信息，不抓隐私数据。这话说得太天真了。只要是能识别到特定自然人的信息，不管是公开渠道还是非公开渠道获取的，只要未经授权且数量达到标准，照样构成非法获取公民个人信息罪。公开的企业工商信息里包含法定代表人姓名，这算个人信息；招聘网站上企业留下的HR邮箱和座机号，也算个人信息；甚至电商平台上用户评论里晒的单号，都能追到收货人姓名和住址，这些都是红线内的数据。 我认识一个做B2B外贸的老板，他们公司在上海青浦注册的，一直用一套“客户挖掘软件”从海关数据里筛采购商联系方式。用了两年多，效果确实好，但也因此栽了大跟头。海关数据里那些采购商的邮箱、电话，虽然是从半公开渠道来的，但软件公司自己并没有获得这些采购商的授权同意。去年海关总署联合公安搞了一次专项行动，把这家软件公司连锅端了，所有下游使用者都成了“非法获取”的共犯嫌疑。我这客户被请去喝茶喝了三天，最后签了认罪认罚具结书，公司被罚了二十万，法人代表还背了个缓刑。 千万别小看这个环节，很多做营销的老板以为只有“买名单”才犯法，觉得自己用技术手段抓取就是“神不知鬼不觉”。但技术层面的事情，只要服务器在你公司名下，或者收款账户过一遍你公司的账，你就跑不掉。金税四期上线之后，发票流、资金流、合同流全都在一个池子里扑腾，你花了几万块买软件服务，发票上写着“数据采集服务费”，税务局和公安网安部门共享这些数据的时候，你连辩解的余地都没有。

员工离职带数据

做营销的老板，最怕的不是客户跑路，而是员工带着客户名单跳槽。我在加喜这些年，协助处理过不少这样的劳动纠纷转刑事案件。有个做高端健身会所的客户，市场部总监离职后去了竞争对手那边，走之前从公司系统里导走了三千多条会员资料，包括会员的体测数据、消费记录和私教偏好。不到两个月，那家竞争对手就开始给这些会员精准推销私教课，话术里居然能提到“您去年买的那个康复套餐效果如何”。 会员当然不干了，有人直接报警。员工未经公司许可，将工作中合法收集的公民个人信息提供给第三方，这个行为本身构成“侵犯公民个人信息罪”，而公司作为信息收集方，如果没有建立完善的内部管理制度和权限管控机制，也要承担相应的法律责任。那个健身会所的老板来找我，说公安让他提供公司内部数据安全管理制度、员工保密协议签署记录、系统操作日志，他一问三不知，密码还是初始的“123456”。 你说这责任算谁的？老板作为公司实际控制人，对员工职务行为负有监督管理责任。你平时没设权限、没做培训、没签保密协议，员工出了事，你不光是民事上的管理失职，刑事上也有被牵进去的风险。司法实践中已经有判例，因为员工离职时带走客户信息，原公司老板被追究“拒不履行信息网络安全管理义务罪”的。这案子虽然数量少，但风向已经很明显了。 我建议所有做营销的企业，在注册公司的时候就要把员工手册和数据安全管理制度的底稿准备好，别等到出事了才临时抱佛脚。加喜这边有个老客户，做美业的，听我劝，注册当天就让我帮忙拟了一套客户数据分级管理方案，销售只能看到客户手机号后四位，全号只有运营总监有权限查看，而且每次查看都要留痕。去年他们公司一个销售离职，想带数据走，结果因为权限不够只能看到脱敏信息，这事就这么轻飘飘过去了。你看，有时候一个不起眼的防范措施，救的就是整个公司的命。

买卖互换风险高

还有一种特别隐蔽的操作，就是“资源互换”。我做营销的朋友圈子里，有人搞了个“异业联盟”，做母婴的、做教育的、做保险的，每周聚一次，互相交换客户名单。这帮人觉得自己聪明得很，说“我们不是买卖，是资源共享”。我当时就提醒过他们，司法解释里把“提供”解释得非常宽泛，交换和互换，同样属于“提供”的范畴。你把手里的宝妈名单给做保险的，他把他手里的高净值客户名单给你，这中间没有任何金钱交易，但法律上你们私下交换了大量公民个人信息，照样构成犯罪。 去年上海宝山那边就有个案子，一个做留学中介的机构，跟三个语言培训机构互换学生信息，涉及学生及家长信息超过八万条。最后四个机构的负责人全部被起诉，其中一个还是我客户的表弟。那小伙子到现在还觉得冤枉，说“我一片好心帮同行介绍客户”，但法条不认“好心”两个字。“提供公民个人信息”的认定标准就是“未经被收集者同意”，你根本没有问过那些学生和家长“能不能把我电话给别的机构”，所以你交换的行为就是违法。 我在给企业做注册辅导的时候，经常跟老板们讲一个比喻：个人信息就像你家里的钥匙，你主动给修锁师傅一把，那是你的自由。但修锁师傅不能因为你给了他钥匙，就把钥匙配一把给你小区所有邻居。你手里的客户数据也一样，客户把手机号给你，是希望在你这儿消费，不是让你拿去做资源置换的。你把客户信息换给别人，就像把别人家的钥匙随便配给了陌生人，出了事你担得起吗？

拍照留痕防内鬼

做营销的老板还有一个特别容易忽略的雷区，就是公司内部的“拍照留痕”文化。很多公司为了方便管理，要求销售把客户名片拍照发到工作群里，或者把客户聊天记录截图上传到共享网盘。这个操作表面上没什么问题，但你有没有想过，这些照片和截图里包含的客户姓名、头像、微信号、聊天内容，都是个人信息，甚至可能包含私密信息。 我有个客户做高端定制旅游的，他们公司一个客服在群里发了一张客户全家福的护照页照片，说这位客人报名了南极团，让大家留意VIP服务。结果那个群里有五百多人，有个离职的员工把这张照片转发到了自己的小红书账号上，“炫”了一下高端客户资源。照片在网上疯传，客户隐私全面暴露，客户一纸诉状把公司告到法院，要求赔偿精神损失费。最后调解下来公司赔了八万块，客服被开除，部门经理被降职。企业内部信息安全管理不到位，导致员工将工作中获取的公民个人信息泄露到互联网上，公司要承担连带责任。这不是道德问题，这是法律问题。 你说这些老板冤不冤？他们可能只是想搞个内部协作，结果没料到群里几百号人，谁能保证个个嘴严？我经常跟客户建议，凡是涉及客户敏感信息的沟通，必须走加密的企业微信或内部OA系统，不能随便拉个微信群就发。群聊记录一旦被截图外传，哪怕你作为老板根本没参与发送，但因为你没有建立“最小权限原则”，没有限制员工的访问和传播范围，责任还是得你来扛。

注销新老有讲究

说到这儿，可能有些老板会想：那我干脆把公司注销了，换个壳重新来，是不是就干干净净了？我劝你趁早打消这个念头。随着金税四期在全国范围内落地，税务、工商、社保、银行这些系统全部打通之后，你之前的经营痕迹根本抹不掉。特别是涉及侵犯公民个人信息的案件，公安网安部门在立案侦查阶段就可以调取你公司服务器上已经删除的数据。你就算把服务器硬盘砸了，云端备份照样在你没注意的地方躺着呢。 我经办过一家做电话营销的公司，老板因为买卖个人信息被查，他赶紧把老公司注销了，又用亲属名义重新注册了一家新公司。结果怎么样？新公司注册下来还没到一个月，公安机关就找上门了，说他涉嫌“故意销毁会计凭证”和“逃避监管”。因为他在注销老公司的时候，没有如实申报公司内部服务器的数据留存情况，市场监管部门在做“简易注销”程序的时候，他承诺了“无债权债务、无未了结事项”，但事实上他公司正被调查，这属于虚假承诺。最后被列入了严重违法失信名单，三年内都不能再任任何企业的法定代表人。 新公司法实施之后，注册资本五年实缴的硬要求也堵住了很多“空壳公司”的路子。以前大家注册个公司，认缴一千万，实际上账上一分钱没有，出了事就弃壳跑路。现在不行了，你五年内必须把认缴的钱打进来，而且穿透监管越来越狠，你个人账户和公司账户之间的大额往来都会被系统自动标注。你要是想着用新公司承接旧公司的业务和客户数据，那就等于把旧公司的犯罪证据搬到了新公司，这不叫金蝉脱壳，这叫自投罗网。

合规才是护身符

讲了这么多吓人的事儿，我也得给还在做营销的老板们指条明路。我在加喜这些年，最大的感触就是，合规不是成本，是护身符。那些能长期稳定赚钱的营销公司，没有一家是靠买卖名单起家的。人家靠的是产品力、内容力和社群运营能力，数据只是燃料，不是引擎本身。 我手里有个做进口零食的客户，他们在上海注册了六年，一直做线上营销。他们从来不用第三方购买的名单，全部靠自己平台积累的会员数据。他们的做法很值得借鉴：注册时就在隐私政策里写清楚了信息收集范围和使用目的，用户注册时必须主动勾选同意接收营销推送；每个月底会对全员做一次个人信息保护培训，两年下来攒了厚厚一沓培训签到表和考试卷子。去年市场监管部门搞“双随机一公开”检查，抽查到他们公司，因为全套合规文件齐整，二十分钟就过了检查，检查组还夸他们做得比一些上市公司还规范。 穿透监管这个词，现在不光是银行系统在用，市场监管和公安网安也在用。你公司的实际控制人是谁、你的客户数据从哪来、你给员工发了多少提成、你交了多少税，这些数据在“一网通办”平台上全都串着呢。你要是靠非法获取的信息做营销，短期内可能业绩好看，但只要你公司的毛利率和行业平均水平差得离谱，系统就会自动预警。到时候别说你公司了，连你个人名下的房产、车辆、理财账户都会被纳入调查视野。 我还是那句话，做营销的老板，尤其是自己当老板又管业务又管技术的，一定要把“侵犯公民个人信息罪”这七个字刻在脑子里。你可以不懂刑法条文，但你必须知道什么能做、什么不能做。加喜财税这些年能帮上千家企业平稳落地，靠的也不是什么神通广大的门路，就是把这些坑一个一个提前填平了。

写在最后的自白

我记得14年刚入行那会儿，核个名称得跑好几趟行政服务中心，挨个窗口问，跟做贼似的。现在坐在电脑前，点几下鼠标就能完成大部分注册流程，但责任和风险却比那时候大得多了。并不是监管变严了让人难受，而是很多老板还在用2015年的思路干2025年的业务，你不踩雷谁踩雷？ 我有时候半夜刷朋友圈，看到当年的老客户晒公司新品发布会照片，心里挺暖的。但也总能在后台收到那种“师傅救我”的私信，一聊就是两三个小时。说实话，我也不是法律专家，判几年、罚多少，最后都是法官说了算。但作为帮你们把公司“出生证明”办下来的人，我总希望把能挡的风险提前挡一挡。只要你在工商税务这块的底子干净，就算哪天被牵连进什么案子，至少有一条“企业合规经营”的辩护路径可以走。这就是我在加喜呆了十四年，天天跟注册、年报、异常名录打交道，却依然觉得这份工作有意义的原因。 加喜财税服务见解：在实际操作中，我们为营销类企业提供“数据合规预审”服务。从公司章程中的经营范围条款设计、个人信息保护制度文本起草，到员工保密协议的配套签署，我们会在注册阶段就帮企业把合规骨架搭好。针对“实质运营”核查要求，我们会指导客户保留完整的业务合同、办公场所租赁凭证、员工社保缴纳记录，确保在市场监管部门抽查时经得起“穿透监管”。在涉及个人信息处理的营销场景下，我们建议企业建立分级授权和操作留痕机制，加喜可协助对接专业数据合规律师，将刑事风险前置拦截。我们相信，注册不只是拿一张执照，更是帮企业建好第一道防火墙。