0.14元。
一条山东省高考考生的完整信息——姓名、身份证号、家庭住址、高考成绩、录取院校——在数据黑市上，就值0.14元。
买家用这批信息拨出1万多次诈骗电话。
其中一通，打给了临沂女孩徐某某（化名）。
9900元学费被全部骗走后，这个刚收到录取通知书的18岁姑娘，心脏骤停，倒在父亲怀里。
再也没有醒来。
卖信息的人叫杜某某（化名），一个信息技术专业人员。10万余条考生信息，他收了14100元。
1.4万，64万条隐私，1条人命。
这不是小说。
这是2016年震惊全国的徐某某案背后的"数据源头案"——杜某某侵犯公民个人信息案。
而翻开这份判决书的背面，有一个问题比刑期更刺骨：
杜某某被判了六年。
他卖出去的信息，杀死了一个18岁的女孩。
六年——够吗？
一、黑进高考系统：一个技术人的"自选动作"
杜某某不是误入歧途的毛头小子。
他是信息技术专业人员，吃的就是技术饭。懂技术的人最清楚——维护网络安全、保护公民信息，这是行业底线。
他偏偏反其道行之。
2016年，杜某某通过植入木马程序，非法侵入了山东省普通高等学校招生考试信息平台。
这不是什么普通网站——这是高考招生的官方信息平台，存着全省数十万考生最核心的个人数据。
杜某某拿到的是网站管理权。
金库的钥匙攥在手里了。他可以肆意读取任何考生的任何信息。
最终，他非法获取了2016年山东省高考考生个人信息64万余条。
64万。
一个省将近三分之二的考生，在他们人生最关键的转折点上，隐私、前途、安全，被一个黑客攥在手心。
而这些人里，有人即将为此丧命。杜某某还不知道。
二、数据黑市的定价：一条命的上游
拿到数据后，杜某某没有犹豫太久。
他找到了买家——另案被告人陈某某（化名），向其出售了10万余条考生信息，获利14100元。
单价0.14元。
0.14元，连一瓶矿泉水都买不到。
但陈某某看到的不是0.14元——他看到的是精准的诈骗弹药。
高考考生，最焦虑的群体之一。
等录取通知的人，最容易被"助学金""奖学金""教育补贴"之类的名目骗倒。
有了这些数据，骗子不需要广撒网，只需要照着信息演，一骗一个准。
陈某某组织多人，利用这些信息精准实施电信诈骗，拨打诈骗电话1万余次，骗取他人钱款20余万元。
其中一通，打给了徐某某。
骗子冒充教育局工作人员，以"发放助学金"为名，骗走了9900元——全家东拼西凑为她准备的学费。
报案回来的路上，徐某某突然昏厥，经抢救无效死亡。
死因：心脏骤停。
18岁。录取通知书还崭新地放在桌上，人已经走了。
判决书正面到此为止——下面，翻到背面。
三、判决书背面：六年刑期的法律逻辑
裁判结果：以侵犯公民个人信息罪，判处杜某某有期徒刑六年，并处罚金人民币六万元。
杜某某当庭表示服判不上诉，判决已生效。
看到这里，你大概在拍桌子：一条人命，才判六年？
别急。翻到背面，把法律逻辑看清楚，再拍不迟。
第一问：为什么不判诈骗罪？甚至——故意杀人？
杜某某的行为链条是：侵入系统→窃取信息→出售牟利。
他没有直接参与诈骗，没有拨打电话，没有骗取钱财。
他是上游的数据供给者，不是下游的诈骗实施者。
陈某某才是诈骗案的直接行为人，另案处理。
法律上，杜某某与陈某某之间没有诈骗的共同犯罪故意——杜某某卖数据时，他知道自己卖的是考生信息，但他并不与陈某某共谋实施诈骗。
他卖的是信息，不是人命。
但没有人命，这笔信息生意不会如此触目惊心。
这就是法律和道德的裂缝——刑法只对他的窃取和出售行为本身定罪，罪名是侵犯公民个人信息罪。
第二问：六年怎么算出来的？
2017年6月1日起施行的"两高"《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，量刑档次一清二楚：
- "情节严重"（三年以下）：非法获取、出售一般信息5000条以上，或违法所得5000元以上；
- "情节特别严重"（三年以上七年以下）：数量达到"情节严重"标准的十倍以上，即一般信息5万条以上，或违法所得5万元以上。
杜某某同时实施了非法获取和出售两个行为，但刑法将它们规定为同一罪名的不同行为方式，按一罪处理，量刑时综合评价——64万条获取+10万条出售，一起算。远超"情节特别严重"的门槛。
六年，已接近该罪名七年封顶的法定上限。
第三问：杜某某对徐某某的死，到底要不要负责？
这是判决书背面最关键的问题。
杜某某出售信息的行为客观上为陈某某精准诈骗提供了条件。
法院在裁判理由中明确指出——"杜某某应当对其出售公民个人信息行为所造成的恶劣社会影响承担相应的责任"。
但"承担责任"和"对死亡结果负责"，在刑法上是两回事。
徐某某的死亡结果，在刑法评价上不能直接归责于杜某某——中间隔着陈某某的诈骗行为、被害人的应激反应等多重环节，因果关系已经中断。
打个比方：你卖了一把刀，买刀的人拿去杀了人。
你卖刀可能违法，但杀人的罪不会算在你头上——除非你卖刀时就知道他要杀人。
当然，杜某某卖信息本身就是犯罪。
杜某某承担的是侵犯公民个人信息罪的刑事责任，但法院在量刑时已充分考虑了其行为造成的恶劣社会影响。
六年——接近封顶。
法律在这里画了一条线——线这边是罪刑法定，线那边是朴素正义。
这条线，你站哪边？
四、百罪之源：0.14元的经济学
最高人民法院将本案列为典型案例，核心要旨四个字——百罪之源。
为什么侵犯公民个人信息犯罪被称为网络犯罪的"百罪之源"？
因为几乎所有精准诈骗、敲诈勒索、绑架、非法拘禁等下游犯罪，都离不开上游的个人信息供给。
没有数据，骗子就是瞎子。
有了数据，骗子就能精准定位——知道你是谁、住哪里、孩子多大、高考考了多少分、报了什么学校。
然后照着你的信息演，一骗一个准。
回看这起案件的利益链条，最让人脊背发凉的是定价逻辑：
杜某某卖了10万余条信息，赚了1.4万。
陈某某用这些信息拨了1万多次电话，骗了20多万。
利润被层层放大，风险却被层层稀释。
上游卖数据的，觉得自己"只是卖信息，又没骗人"；
下游打电话的，觉得自己"只是照着话术念，又没动手"；
出了人命，每个人都觉得"那不是我干的"。
但法律不这么看。
杜某某案的判决传递了一个清晰的信号：你是百罪之源，你就得为源头的危害负责。
该谁担的谁担，这不是株连。
法院在审理中明确了三点：
- 非法获取公民个人信息的数量是量刑的核心指标——64万条，已属特别严重；
- 信息被用于下游犯罪是量刑时的重要考量——即便你没参与下游犯罪，出售行为造成的恶劣社会影响，在量刑时要计入；
- 技术专业人员犯罪是从重考量因素——你比别人更懂技术，就比别人更应知道底线在哪。
而这条链条上最薄弱的环节，恰恰是0.14元——一条人命上游的批发价。
📖 普法小知识
❶ 侵犯公民个人信息罪，到底是什么罪？
《刑法》第二百五十三条之一：违反国家有关规定，向他人出售或者提供公民个人信息，或者窃取或者以其他方法非法获取公民个人信息的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
❷ 多少条信息就构成犯罪？
根据"两高"司法解释：
| 信息类型 | "情节严重"（入罪门槛） | "情节特别严重" |
| 行踪轨迹、通信内容、征信信息、财产信息 | 50条 | 500条 |
| 住宿信息、通信记录、健康生理信息、交易信息等 | 500条 | 5000条 |
| 一般个人信息 | 5000条 | 50000条 |
违法所得5000元以上即属"情节严重"，5万元以上即属"情节特别严重"。
（注：上述司法解释虽于2017年6月1日施行，但司法解释是对刑法已有条文的阐释，非新设罪名，依法可适用于施行前的行为。）
5000条一般信息，或5000元违法所得，就是刑事犯罪的起点。门槛比你以为的低得多。
❸ "非法获取"都包括哪些手段？
木马植入、漏洞利用、撞库、内鬼窃取、爬虫违规采集……只要未经信息主体授权，通过技术手段或职务便利获取公民个人信息的，均属"非法获取"。
"我只是爬了一下公开数据"——公开≠授权采集。
❹ 自己的信息被泄露了怎么办？
- 固定证据：截图、录音、保存异常短信/电话记录；
- 向公安机关报案：个人信息泄露案件可向网安部门报案；
- 向网信办投诉举报：通过http://12377.cn举报违法收集使用个人信息的行为；
- 关注征信报告：定期查询个人征信，发现异常及时异议申诉。
❺ 企业也会触犯此罪吗？
会。
《刑法》第二百五十三条之一明确规定了单位犯罪条款，单位犯本罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员定罪处罚。
数据合规不是选择题，是必答题。答错了，罚的不是公司，是你本人。
尾声：0.14元的背面
64万条信息。1.4万获利。1条人命。6年刑期。
数据黑市的利润算得清。
人命的代价算不清。
杜某某案的判决书正面写着六年刑期，背面写着一个更重的问题——
你手机里每一条推送、每一个验证码、每一次"同意授权"的背后，都有一条0.14元的暗河在流。
你的命值多少钱？
也许，就值0.14元。
💬 留给你的问题：
杜某某没有直接参与诈骗，但他卖出的数据精准喂到了骗子手里。两个选择——
A. 六年是罪刑相当的公正，法律不能因为结果惨烈就突破罪刑法定；
B. 六年是朴素正义的遗憾，卖64万条考生信息只换来近顶格六年，天花板太低了。
你站哪边？评论区见。
