导 语：

机票代理是一个高度依赖数据的行业。从旅客报出姓名和证件号码的那一刻起，代理的系统里就留下了订座记录、票号、航班号、出发日期、联系电话等一系列信息；在刑法视角下，这些信息的任意组合往往足以识别特定自然人，并精确反映其在特定时间的出行安排——其中能够反映具体出行时间、地点的订票及乘机信息，还可能被认定为保护等级最高的“行踪轨迹信息”。也正因为数据流转过于日常，风险往往在不知不觉中累积：将旅客名单、舱单卖给所谓“渠道商”，利用订票权限批量查询、导出与本职业务无关的旅客信息，把客户为退改签而提供的证件信息另作他用，甚至明知买家拟利用旅客信息实施退改签诈骗仍持续供货——这些业内看似寻常的操作，都可能触碰《刑法》第二百五十三条之一。而业内流传的“提供25条旅客行程信息就可能入罪”，更让不少从业者心存疑虑：这一说法从何而来，是否意味着一旦经手25条数据就必然构成犯罪？

判断刑事风险，不能只看信息是否“客户自己给的”，也不能因为操作在行业内普遍存在就放松警惕。真正需要查明的是：涉案信息能否单独或结合识别特定自然人、是否属于行踪轨迹信息？获取和使用是否超出了业务必要范围和旅客授权？提供行为、主观明知及信息数量又该如何认定？作者结合近年办理诸多机票代理相关刑事案件的实务经验，围绕旅客信息的刑法属性、“卖信息”之外的行为边界、“25条即入罪”的正确理解以及案件办理中的事实核查要点展开分析，为航空公司、外包客服、OTA平台、系统服务商和代理企业等相关机构识别刑事风险、完善数据合规提供实务参考。今日推出系列文章（一）机票代理行业的刑事法律风险系列分析之侵犯公民个人信息罪。

一、机票信息为何可能成为刑法保护的个人信息？

《刑法》第二百五十三条之一及相关司法解释保护的公民个人信息，是以电子或者其他方式记录、能够单独或者与其他信息结合识别特定自然人身份，或者反映特定自然人活动情况的信息。旅客姓名、身份证件号码、手机号、票号、航班号、出发日期、起降地点、订座记录等，可能单独或组合识别特定旅客，并反映其在特定时间的出行活动。

其中，能够反映特定旅客具体出行时间、地点的订票及乘机信息，可能被认定为“行踪轨迹信息”。《个人信息保护法》也将行踪轨迹列为敏感个人信息。需要注意的是，信息类别仍应结合具体字段、组合方式及识别能力判断，不能将所有与机票有关的抽象数据一概归入同一类别；经处理后无法识别特定个人且不能复原的数据，也应与可识别的旅客记录区别对待。 

二、“卖信息”外哪些行为也有刑事风险？

第一，直接出售或提供旅客信息。将旅客名单、舱单、航班行程、票号、身份证件号码或联系方式发送给同行、营销人员、所谓“渠道商”或陌生买家，即使仅通过微信私聊、邮件、网盘或行业群组传递，也可能属于刑法意义上的提供行为。

第二，利用工作权限查询、导出非业务所需的信息。员工因办理特定订单而取得系统权限，不意味着可以任意查询其他旅客信息、批量下载舱单、截屏留存或导出数据库。超出业务必要范围获取信息，可能先引发个人信息保护方面的责任；如同时符合刑法规定的行为方式和情节标准，也可能构成侵犯公民个人信息罪。

第三，未经授权进行二次流转。旅客为订票、改签或退票向代理提供身份信息，不等于同意代理将信息转卖、共享给无关第三方，或者用于与原服务目的无关的营销、套利及其他用途。合法收集并不意味着后续使用和提供当然合法。未经被收集者同意，将合法收集的个人信息向他人提供，原则上仍可能构成刑法意义上的“提供”，法律另有规定或符合匿名化等例外的除外。

第四，购买、交换或收受信息。行为人即使没有亲自登录系统下载数据，而是通过购买、交换、收受等方式取得旅客信息，也不能当然排除刑事风险。信息来源、取得方式、信息类型、用途及数量，都可能影响法律评价。

三、“25条即入罪”应当如何理解？

实践中常提到，票务代理提供25条旅客行程信息就可能达到入罪标准。这一说法有司法解释依据，但必须说明适用前提。

根据“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，非法获取、出售或者提供行踪轨迹信息五十条以上，属于“情节严重”的情形之一；将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，相关数量或数额标准在司法解释规定的范围内减半计算。因此，在涉案信息被认定为行踪轨迹信息，且行为人系将在履行职责或提供服务过程中获得的该类信息出售或者提供给他人的，符合服务过程中取得等相应条件时，数量达到25条，可能触及“情节严重”的标准。

但“25条”不是自动定罪公式。办案机关仍需证明涉案信息属于刑法保护的个人信息、行为具有违法性、行为人具备相应主观故意，且信息类型和数量计算符合司法解释。数据表中的行数也不必然等于犯罪数量：重复、虚假、无效或无法识别个人的信息，均可能需要逐项核验。

还应注意，司法解释另行规定了与下游犯罪相关的入罪情形。例如，出售或者提供行踪轨迹信息被他人用于犯罪，或者行为人明知、应知他人利用公民个人信息实施犯罪仍向其出售、提供的，可能在不以通常数量标准为唯一判断依据的情况下认定“情节严重”。因此，若买家明确表示要利用旅客信息实施退改签诈骗，卖方仍持续、批量供货，其刑事风险会显著上升。

四、办理机票代理相关个人信息案应当重点核查哪些事实？

对侵犯公民个人信息罪，至少应当核查五项事实：一是信息来源，包括系统查询日志、订单经手记录、舱单下载记录及设备数据；二是授权范围，包括订票委托、退改签指令、服务协议及客户沟通记录；三是提供行为，包括接收人身份、聊天记录、邮件、数据文件及交易记录；四是主观明知，包括交易价格是否异常、是否反复供货、买家是否透露犯罪用途、双方是否刻意规避监管；五是数量与获利，包括信息类别、重复数据、实际提供对象、违法所得及是否存在代收代付。

对企业和代理人而言，最危险的误区是认为“信息是客户自己给的，所以怎么用都可以”。客户提供信息的目的通常是完成特定票务服务，不能当然推导出其同意信息被另行出售、转交或用于无关用途。

结 语：

旅客信息是机票代理业务的经营基础，也是这个行业最容易失守的防线。与人们直觉中的“卖数据”不同，侵犯公民个人信息罪的适用范围要宽得多：直接出售或提供旅客信息固然危险，利用工作权限越权查询、批量导出、截屏留存，将客户为特定订单提供的信息擅自二次流转，乃至通过购买、交换、收受等方式取得旅客数据，都可能落入刑法的评价范围。而数量从来不是唯一维度：“25条”只是特定条件下的减半标准，而非自动定罪公式——涉案信息能否识别特定个人、取得是否发生在履行职责或提供服务的过程中、提供是否超出旅客授权和业务必要范围、行为人对买家用途是否明知，这些因素共同决定着案件的走向；在买家明确表示将利用旅客信息实施犯罪的情况下，卖方仍持续批量供货的，刑事风险更会显著上升。

（本文仅为法律实务研究分析，不构成针对任何个案的法律意见。如企业遇到同类业务合规核查、刑事调查，建议咨询执业律师获取专业处理方案。）