数据买卖合法吗：数据交易的法律红线与中介机构的三个硬义务

手上有几万条行业客户名单，有人开价想买；反过来，公司想采购一批供应链数据，又怕买到赃物——很多企业搜「数据买卖合法吗」，怕的不是买贵，是买错：钱付了、数据进了库，转头公安上门。数据安全法对这件事的态度其实很清楚：交易市场国家支持，红线国家划定。第十九条建制度，第三十三条管中介，第三十二条管源头。2026 年写的这篇，把三条线捋直，告诉你哪些数据交易做得、哪些碰不得，中介机构自己又背了哪些躲不掉的义务。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​‌‌‌​‌​‌‌​‌‌‌​‌‌​​‌‌​‌​‌​‌​‌‌​​⁠

先看这三个要点

一、条文原文

二、什么数据做得、什么数据碰不得

做得的：企业合法经营中形成的产品数据、业务数据，经过脱敏加工的统计资料，通过交易所等合规场所挂牌的数据产品，以及取得充分授权的数据服务。数据安全法第七条写明国家保障数据依法有序自由流动——合法数据作为商品流通，法律是欢迎的。

碰不得的：窃取或以其他非法方式获取的数据（第三十二条第一款）；超出法律、行政法规规定的目的和范围收集、使用的数据（第三十二条第二款）；未经授权的个人信息包；他人系统里「顺」出来的日志与爬虫数据。买方也不能装糊涂——明知来源非法仍收购，可能构成掩饰、隐瞒犯罪所得或侵犯公民个人信息罪的共犯，赃物一起没收。

三、中介机构的三个硬义务逐项拆

第一项，要求说明数据来源。不是听口头一句「来源合法」，要有书面说明与佐证材料：采集协议、授权文件、脱敏说明。中介留的这份材料，将来就是自证清白的证据。

第二项，审核交易双方身份。营业执照、法定代表人、经办人身份，对公账户核验。壳公司、代持账户是非法数据流通的常见通道，审核这一步就是替市场挡住它们。

第三项，留存审核、交易记录。留存期按数据交易管理制度及行业规定执行。监管倒查时，拿不出记录的中介第一个担责——第四十七条的罚单直接开给中介，不是开给买家。

三件套缺一项，就是「未履行第三十三条规定的义务」，第四十七条的处罚结构要记清：先没收违法所得，再按违法所得一至十倍罚款；没有违法所得或不足十万元的，定额十万至一百万；还可以责令暂停业务、停业整顿、吊销许可证或营业执照；直接责任人员另罚一万至十万。对中介来说，这笔账怎么算都不划算。

四、常见问题快答

问：卖给客户「同行企业名录」合法吗？ 看来源与授权：名录若来自企业依法公开的登记信息（如市场监管公示），汇编后提供服务有合法性基础；若来自爬虫抓取的个人手机号、内部人员私拷的客户清单，则是典型的非法来源，买卖双方都踩第三十二条的红线。

问：我不是中介，只是介绍买卖双方认识，收点「茶水费」，要担第三十三条的义务吗？ 「从事数据交易中介服务的机构」看的是实质功能，不看挂牌名称。撮合、居间、按成交抽成的，实质就是数据交易中介，三个硬义务一样不少；躲避义务的方式不是换个名目，而是别碰这个业务或者把义务做全。

问：企业间互换数据（我给你物流数据、你给我零售数据）算交易吗？ 互换也是数据流通的一种形态，第三十三条的直接义务针对中介机构，但第三十二条对一切主体生效：互换来路不明的数据，双方都构成「以其他非法方式获取数据」。互惠交换也要做来源审查与授权核验，合同条款照签不误。

问：采购的数据发现来路有问题，已经入库用了，怎么办？ 立即停止使用并隔离数据，向卖方主张违约与赔偿，评估是否需要向主管部门报告、是否涉及删除义务；若数据涉及个人信息，还要按个人信息保护规则处理。拖延继续使用，只会把「不知情」拖成「放任」。

问：数据交易所挂牌的产品就一定合法吗？ 交易所是合规通道不是保证书。挂牌产品仍要看其来源说明与授权文件是否扎实，入场协议与产品说明逐份核对；中介与交易所的审核义务并存，不互相抵消。

五、一条典型成交线：合规动作怎么嵌进流程

以一次企业数据采购为例：业务部门提出需求后，第一步由法务出「数据定性单」——数据类型、是否含个人信息、是否触碰行业重要数据目录；第二步向卖方索要来源说明与授权链文件，缺件即终止洽谈；第三步合同里落四件事——来源合法性承诺与陈述保证、违约赔偿与退数条款、用途限定（仅限约定场景不得转售）、审计配合义务；第四步交接入库时做技术核验，样本比对来源描述是否吻合；第五步入库后按最小权限使用，台账记录每次调用。五个动作没有一个是高成本动作，但串起来就是第三十二条与第三十三条要的「合法、正当、可追溯」。反过来，跳过任何一步省下的时间，将来都可能用第四十七条的罚款和一场诉讼来还。

六、边界与误区

• 误区一：「数据不是物，买了不犯法」。数据的可复制性不改变来源合法性审查，非法数据交易链条上买家卖家一起追，刑法里侵犯公民个人信息罪早有大量判例支撑这一立场。
• 误区二：「我挂的是平台，责任在卖家」。自营数据产品责任自然在己；即便做撮合，第三十三条的三个义务是法定的，平台身份不是免罪牌。
• 误区三：「个人信息脱敏了就能随便卖」。匿名化处理无法复原的，可以不再作为个人信息管理，但脱敏是否彻底要按技术标准判断，「抹掉姓名留手机号」这种半吊子脱敏照样违法。
• 许可提醒：法律、行政法规规定提供数据处理相关服务需取得行政许可的，先拿证再经营（第三十四条）。

七、实操建议

1. 采购数据前向卖方索要「来源与授权说明函」，连同数据样本一起归档，这是最便宜的防火墙；
2. 走依法设立的交易场所成交，合同里写明数据来源合法性承诺与违约赔偿责任，把风险传导给卖方；
3. 中介机构把三件套做成标准流程：来源说明书模板、身份核验清单、留存认档制度，缺一不撮合；
4. 拿不准的数据包，先做合规体检再谈价——一趟法律尽调的钱，远低于第四十七条的起罚线。

站内数据交易怎么走合规路径：交易所、授权运营与数据中介义务、数据出境怎么合规：安全评估、标准合同、认证三条路怎么选、二手平台代卖赃物，平台和卖家谁担责？对相关义务与路径有专文，可对照使用。

八、三类高频争议场景的处置思路

场景一：卖家提供了「授权书」，事后发现授权是伪造的。买方的抗辩空间取决于审查深度：形式审查（核验文件存在、盖章、有效期）做到位，且交易价格与渠道无明显异常的，可以主张已尽合理注意；明知授权存在明显瑕疵（授权方与卖方无关联、范围与交易不匹配）仍成交的，审查就沦为掩耳盗铃。处置上先隔离数据、固定证据链，再向卖方追责，必要时向主管部门说明情况。

场景二：中介撮合的交易出了问题，监管倒查中介。中介的自救全靠三件套的留痕：来源说明、身份核验、交易记录齐备且真实，责任可以限定在「形式审核」范围；记录缺失或事后补造，直接坐实「未履行第三十三条义务」，第四十七条的罚单免不了。这就是为什么留痕义务写在法条里——它既是义务，也是中介唯一的护身符。

场景三：员工把公司数据卖给外部买家。公司侧先按内部制度与劳动合同处理：停权、审计损失范围、评估是否构成侵犯商业秘密或职务侵占，涉嫌犯罪的移送司法；买家侧则构成非法获取数据，第三十二条与刑法链条一起追。企业要吸取的教训是权限最小化与离职审计——多数内部泄露的口子，都开在「人人都能导出全量数据」的老系统上。

补充一个价格视角：为什么非法数据在黑市上永远「便宜得可疑」？因为卖方没有成本——没有采集成本、没有授权成本、没有合规成本，它能报出任何合法渠道给不出的价格。反过来，价格本身就成了识别信号：远低于市场行情的数据包，大概率来路有问题。买方把「价格异常」写进风险识别清单，与来源审查配合使用，能拦下相当一部分踩雷交易。同样的逻辑也帮合法经营者建立信心：合规的数据产品因为投入了采集、脱敏、授权、审核的真实成本，价格会高，但这正是它的护城河——数据交易市场越规范，合规者的相对优势越大。第三十三条的三个义务看着是负担，长期看是行业出清的筛子。

一句话总结：数据能卖，但来源必须合法、授权必须完整、中介必须走三件套（说明来源、审核身份、留存记录）；私下甩卖来路不明的数据包，买卖双方连同中介一起进罚单。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。具体数据交易项目的合规安排，请结合数据类型与授权文件，咨询执业律师后再成交。