一份包装印刷客户表，可能同时记着公司总机、采购负责人的工作手机号、私下添加的微信号和订单备注。员工被指出售这份表时，既不能把所有记录都当成同一类个人信息，也不能因为其中几个电话能在官网找到，就把整份通讯录视为可以自由出售的资料。

先判断记录是否涉及可识别的自然人，再核其来源及本次提供的合法依据，最后按实际信息类别、提供行为和相应规则计算数量。“公开”主要影响处理权限的判断，不会自动使个人信息变成非个人信息；而一项处理违规是否达到刑事追责条件，还须继续审查行为、主观认识和严重情节。

单位联系电话与个人工作号码不是同一回事

《个人信息保护法》第四条保护与已识别或可识别自然人有关的信息。2017年侵犯公民个人信息刑事司法解释第一条，也把能够单独或者结合其他信息识别特定自然人身份、反映其活动情况的信息纳入审查范围。因此，表格标题叫“企业客户”，不意味着其中只有单位资料。

假设一行只写“甲包装公司总机”和面向公众的统一客服号码，且不能对应具体自然人，就不宜只凭它占了一行，直接按个人联系方式计入。另一行写着“李某、采购主管、手机号”，即使号码用于工作，也可能足以识别个人。固定电话也要看是否是具名直线、分机和具体人员对应关系，不能机械地把座机全部排除、手机全部计入。

混合字段要整体读。删除姓名后仍保留微信号、岗位、独有订单或其他能够识别个人的内容，并不当然完成匿名化。《个人信息保护法》第七十三条区分去标识化和匿名化，后者要求无法识别特定自然人且不能复原。把号码部分隐藏的展示截图，也不能代表实际交付给买家的原表已经完成匿名化。

分类时应以涉案文件当时的内容为准，另做分析副本，保留原文件及版本对应。不能在调查开始后删掉某些列，再拿精简后的表格说当初只出售单位信息。

公开电话要同时核“从哪来”和“拿去做什么”

对主张属于公开信息的记录，说明具体公开页面、栏目、时间和发布主体，比笼统写“网上都有”更有意义。客户官网主动公布的业务联络方式，与非法泄露后被搜索引擎收录的私人号码，不是同一种来源。某个号码后来出现在公开页面，也不能当然证明员工导出时已经合法公开。

《个人信息保护法》第十三条允许在符合法律规定的合理范围内处理个人自行公开或者其他已经合法公开的信息；第二十七条同时保留个人明确拒绝，以及对个人权益有重大影响时应依法取得同意的限制。公开联络方式供人就具体业务联系，不等于公开者接受任何人无限量整理、交易和转交。

因而，要核本次交付的规模、目的、接收对象和用途：是为一笔真实订单提供经授权的联络信息，还是把多年积累的人员名单卖给无关营销者？这些事实关系到是否超出合理范围，但不能只用“数量多”替代全部法律判断。原公开目的、对方要求及实际使用情况，均应结合材料分析。

以同意作为依据时，还要看个人当时同意了什么。同意印刷企业为校稿、报价或交货联系自己，不当然同意员工另行售卖；公司主管口头说“可以给客户资源”，也不能代替所涉自然人的有效同意或其他法定处理依据。另一方面，第十三条还规定了其他合法处理基础，不能把没有单独签过一份同意书直接等同犯罪。

私下追加的字段，不能跟着公开号码一起放行

有的通讯录最初来自企业官网，后来不断补入私人手机号、微信、家庭住址或采购记录。审查不能停留在最初的“公开来源”标签，而要看最后售出的版本中，每项新增内容从哪里来、为什么被记录，以及员工是否有权向该接收者提供。

例如客户采购员在一次印刷项目中，为便于紧急校稿留下私人联系方式。这可以解释员工为什么持有号码，却不能当然解释对外出售的权限。《刑法》第二百五十三条之一专门规定，将履行职责或者提供服务过程中获得的个人信息违反国家有关规定出售、提供给他人，构成犯罪的，依法从重处罚。合法工作接触与合法向外转交需要分开审查。

订单备注也不可一概归类。“某公司下一批包装盒规格”可能只是单位业务信息；若记录能够反映特定自然人的交易、财产等情况，则需另核类别。普通通讯联系方式、通信内容、交易信息的刑事数量标准并不相同，不能因为它们都出现在客户表里，就统一按普通电话名单处理。

对应材料包括客户原始沟通、信息收集或处理安排、员工权限、导出日志、交易聊天和最终交付文件。内部制度违规是需要关注的事实，但企业制度本身并不等于刑法所要求的国家有关规定；应指出实际违反的法律、行政法规或部门规章及其适用条件。

数量异议要能回到原始记录复核

统计之前先固定涉案文件和交付批次，再保留原始行号，为每一项异议标明理由。非个人信息、不真实信息、同批重复信息、不同类别信息，应分别列出依据，不宜只提供一个比办案机关更小的合计数。

2017年司法解释第十一条有三项需要一起理解的规则：非法获取后又出售或提供同一信息，条数不重复计算；向不同单位或个人分别出售、提供同一信息，条数累计计算；批量信息一般按查获数量直接认定，但有证据证明不真实或重复的除外。

因此，同一文件中的重复行，与同一份名单先后卖给不同买家，是两种情况。前者需要指出重复在哪里，后者不能只因号码相同便全部合并成一次。只对号码列执行去重，也可能丢失不同记录实际承载的信息，或者掩盖不同接收对象，应把“记录重复”和“提供次数”分别核对。

提出无效信息异议也要说明依据。号码目前无法接通，不当然证明交易发生时不真实；人员后来离职，不当然证明当时的岗位记录虚假。若发现明显错误、无法识别个人或确实重复，应列明原始位置、比对对象和证明材料。不能为验证号码而擅自群发消息、反复拨打骚扰个人或再购买其他名单。

分析副本应能按原文件、原行号和交付对象还原统计过程。若技术鉴别或统计仍有争议，可在相应程序中申请补充核查，避免让一张自制表承担其无法证明的全部事实。

不要只问“够不够某个条数”

刑事司法解释第五条区分不同信息类型，并规定比例合计、违法所得等情形。将履职或服务过程中取得的信息出售、提供给他人，数量或数额达到该条第一款第三至第七项相应标准一半以上的，也属于所列严重情节；另有后续犯罪用途、既往处罚等判断路径。因此，不能只问“不到五千条是不是就没事”，也不能不先确定类别就套用最严数量门槛。

员工的行为应落实到具体证据：谁查询和导出，谁决定出售，谁实际交付，钱由谁收取，其对名单内容和提供权限知道什么。买家口头称用于正常推广，并不自动使卖家出售合法；反过来，买家后来实施犯罪，也不能不核卖家认识及法律适用便将全部后果归给员工。

解释第六条针对为合法经营而非法购买、收受某些信息另有规定，但它不能直接拿来替出售名单的员工套用较高门槛，购入后再非法出售、提供的也有适用第五条的规定。退还款项、客户事后谅解，可以依法评价，却不能把已经发生的提供行为改写成从未发生。

佛山孟翔律师实务提醒

包装印刷业务中，校稿、收货、对账联系人可能分属不同人员。遇到通讯录调查，企业和员工可先围绕一份固定版本做字段说明，把公开来源证据、私下补充来源、实际交付范围和收款记录对应起来。重点是使每个判断有材料可回查，而不是一开始就给整份表贴上“公开”或“私密”的单一标签。

向律师或办案机关提交时应控制复制范围、保留交接记录，避免为了证明信息来源再把完整通讯录发进无关工作群。已经发生泄露的，应依法采取补救措施，并保存原始证据；停止继续外传不等于可以删除涉案文件、修改历史记录。

本文为一般法律信息，示例为假设，不替代结合案卷的个案判断。

主要依据：[《个人信息保护法》](https://www.miit.gov.cn/jgsj/zfs/fl/art/2022/art_515a4b20c12f430eab54bb4f56d89f56.html)第四、六、十三、十四、二十三、二十七、七十三条；[《刑法》第二百五十三条之一](https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html)；[侵犯公民个人信息刑事司法解释](https://www.court.gov.cn/zixun/xiangqing/43942.html)第一至六、十一条。