上个月一个做电商的老板找我，说公司的运营总监离职了，带走了一份两万条客户的手机号和收货地址名单。老板报警，警方说这是劳动纠纷，不立案。
他问我，文道全律师，这不算偷吗？
我说你这个问法不对。他带走的不是普通客户名单，是个人信息。刑法第二百五十三条之一，侵犯公民个人信息罪。两万条，已经够立案标准了。
他愣了，说原来还能这样。
我说不光他有罪，你自己公司的数据管理也有问题。今天借这个案子，把企业数据合规这条线讲清楚。
什么算个人信息
个人信息保护法第四条，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。
听着抽象，我给老板们列个清单。
客户的姓名、手机号、收货地址、身份证号、银行卡号——这是典型个人信息。员工的身份证、家庭住址、紧急联系人、工资条——也是。甚至你APP里收集的设备ID、浏览记录、位置轨迹，只要能定位到具体人，都算。
很多老板以为，客户留的电话是给我做生意用的，我想怎么用就怎么用。错了。个人信息保护法规定，收集个人信息必须有明确、合理的目的，最小必要，不能超范围使用。你把客户电话打包卖给第三方营销公司，就是违法。
企业最常踩的四个坑
我（文道全）办过的数据合规相关案子里，企业最常踩这四个坑。
第一，员工通讯录随便发。很多公司把全公司员工通讯录（含身份证、家庭地址、电话）做成PDF，发到部门群里，甚至发朋友圈。这是违法的。员工通讯录属于敏感个人信息，只能在工作必要范围内提供。
第二，客户数据超范围使用。你卖母婴产品，收集了客户手机号，转头把名单给合作的奶粉品牌做营销。这叫未经同意向第三方提供个人信息。个人信息保护法最高罚款五千万或者上一年度营业额百分之五。
第三，离职员工带走数据。那个运营总监带走两万条客户信息，已经涉嫌侵犯公民个人信息罪。情节严重的，三年以下；情节特别严重的，三年到七年。两万条属于"情节严重"的起点（一般行踪轨迹、通信内容50条以上就构成，其他信息5000条以上）。
第四，APP和小程序过度收集。你做个会员小程序，一打开就要授权通讯录、位置、相册。很多老板不知道，这叫"非必要授权"，网信办和工信部这两年重点查这个。
老板们该怎么做
文道全律师团队给企业的合规建议，落到地上就几条。
第一，做一次数据盘点。公司手里有哪些个人信息？存在哪？谁能看？有没有给第三方？列个清单。
第二，签好协议。和员工签保密协议和数据合规承诺，明确客户数据是公司资产，离职不得带走。和第三方服务商签数据处理协议，规定他们怎么用你给的数据。
第三，权限分级。客服只能看自己对接的客户，运营不能看全量手机号，财务不能导出员工身份证全号。离职当天关系统权限。
第四，发现泄露立刻报警。那个电商老板，按我说的整理了运营总监带走数据的证据——后台导出记录、邮件发送记录、和新公司的沟通记录——再次报案，这次警方以涉嫌侵犯公民个人信息罪立案了。
做企业，数据是资产，但也是红线。你碰了不该碰的数据，罚款和刑事追责跟着就来。别等监管上门才想起来合规。
常见问题
问：员工离职带走客户微信和电话，算犯罪吗？
如果客户信息包含姓名、电话、交易记录等可识别个人的信息，数量达到5000条以上（普通个人信息），可能构成侵犯公民个人信息罪。即使数量不够，也违反保密义务和反不正当竞争法。
问：公司把客户手机号给合作方做营销，有什么后果？
未经同意向第三方提供个人信息，网信部门可责令改正、没收违法所得、罚款。严重的责令停业整顿。如果造成客户损失，还要民事赔偿。
问：APP一打开就要通讯录权限，合规吗？
不合规。非必要权限不能强制要求。这两年工信部通报了大量这类APP，轻则下架整改，重则罚款。
问：员工朋友圈发公司通讯录，老板有责任吗？
有。企业是个人信息处理者，对员工违法处理个人信息的行为承担管理责任。如果企业没有相应制度和培训，监管会同时处罚企业。
问：客户自己留的电话，我打电话推销算违法吗？
客户为购买你的商品留的电话，在合理范围内用于售后服务和相关营销，一般可以。但如果频繁骚扰、客户明确拒绝后仍拨打，可能违反个人信息保护法和治安管理处罚法。
问：数据合规罚款能罚多少？
个人信息保护法规定，情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令停业整顿、吊销相关业务许可。直接负责的主管人员也可被罚款和禁业。
免责声明：本文内容仅供一般性参考，不构成正式法律意见。如遇具体法律问题，请咨询本所专业律师（咨询电话：18511835733）。