做笔录之前，先按手印。然后拍照，正面、侧面各一张。民警拿着一张卡片，用针在指尖扎了一下，挤出一滴血，抹在卡片上。整个过程不到十分钟，没有人解释这是干什么用的，也没有人问愿不愿意。
他后来想起来，那天还交了手机，说「做个检查」，拿回来的时候屏幕是亮的，相册和聊天记录有没有被翻过，他不知道。
这些东西交出去以后，会存放在哪里，会被谁看到，会不会出现在别的场合——这是很多人离开派出所之后才想到的问题，也是很少有人得到答案的问题。
答案在治安管理处罚法第一百三十八条。这一条只有一句话，一句话里装了三道锁。
一句话定义：公安机关及其人民警察不得将办理治安案件过程中获得的个人信息、依法提取采集的相关信息和样本，用于与治安管理、查处犯罪无关的用途，不得出售，不得提供给其他单位或者个人；违反的依第一百三十九条第（十二）项给予处分，构成犯罪按侵犯公民个人信息罪从重处罚。
要读懂这一条，得先知道它是从哪来的——2012 年版的治安管理处罚法，全文一个字都没提过这件事。
一、这一条只有一句话，却设了三道锁
把条文拆开，主语是公安机关及其人民警察，宾语有三样：办理治安案件过程中获得的个人信息、依法提取采集的相关信息、依法提取采集的样本。
谓语是三个「不得」：不得用于与治安管理、查处犯罪无关的用途；不得出售；不得提供给其他单位或者个人。
三道锁，锁的是三件不同的事。
第一道锁锁用途：拿到手的东西，只能用在两个方向上——治安管理、查处犯罪。除此之外，一律不行。
第二道锁锁流转的有偿性：不能卖。
第三道锁锁流转的无偿性：不能给。哪怕不收钱，也不能给别的单位或者个人。
这三道锁合起来，构成了一个很窄的通道：采集进来，用于本案或者治安管理、刑事追查，到此为止。
理解这一条的关键，是意识到它是禁止性规范，不是授权性规范。它不告诉你警察能做什么，它告诉你拿到信息之后不能做什么。至于能不能采、怎么采，规定在另一条——第一百零二条。
二、第一百三十八条的适用条件：三个「不得」各自的射程
先说对象。
「个人信息」是个宽概念，姓名、身份证号、住址、电话、行踪、生物识别信息都在里面。「依法提取、采集的相关信息」，指的是从人身上或者物上提取出来的信息，比如照片、指纹、声纹、手机里的数据。「样本」，指的是血液、尿液、毛发这类生物样本本身。
三样东西，三种形态：信息是内容，样本是物质实体。
再说三个「不得」的射程。
用途锁没有例外条款。条文写的是「与治安管理、查处犯罪无关的用途」，反过来就是：只要用途落在这两项里，就允许。所以判断一个问题——比如「能不能把办案采集的指纹拿去比对另一座城市的未破案件」——答案是能，因为那属于查处犯罪。
出售锁和提供锁也没有例外。这一点后面单列一节讲，因为它和上位法之间有一处明显的差异。
最后是主体。条文写的是「公安机关及其人民警察」，指的是办案机关和办案人员。第三方如鉴定机构、技术公司拿到数据后怎么用，不由这一条直接管，走另外的规范。
三、「与治安管理、查处犯罪无关的用途」怎么划界
这句话是用途锁的全部内容，也是最容易被绕开的地方。
先看落在里面的：本案的调查取证；治安管理中的重点人员管理、场所管理；刑事案件的侦查、比对、串并；上级机关依法调取；纪检监察机关依法调取涉案信息。
再看落在外面的：商业用途，比如卖给数据公司、用于营销；内部管理用途，比如给某个单位做员工背景核查；学术研究，哪怕打着公益旗号；向媒体或者公众披露；给律师事务所、调查公司做尽调。
中间地带最麻烦，有三种情形值得单说。
第一种，跨部门共享。办案采集的信息进入某个政务数据平台，然后被其他部门调用。这算不算「提供给其他单位」？如果共享有法律、行政法规依据，且用途仍落在治安管理或者查处犯罪范围内，通常认为不违反；如果没有依据、用途也变了，就落进禁止范围。
第二种，内部人员查询。民警出于私人原因查一个人的住址、开房记录、车辆信息——用途与治安管理、查处犯罪无关，直接违反这一条，同时可能构成侵犯公民个人信息罪。
第三种，批量比对。为了找一个嫌疑人，拿整个数据库去比对。这在刑事侦查中常见，通常认为属于「查处犯罪」；但如果比对的目的变成了筛出某类人群做管理，性质就变了。
四、「不得出售」与「不得提供」为什么分成两句
这两句看着重复，其实指向两种不同的流转方式。
「出售」是有偿的，一手交钱一手交数据。这一句针对的是把办案数据当资源变现的行为。
「提供给其他单位或者个人」是无偿的，不要钱也给。这一句针对的是人情、协作、顺手帮忙。
分成两句的意义在于：不能用「我没收钱」来抗辩。很多人觉得，我又没卖，只是给了朋友看一下，不算什么。条文把「提供」单列，这条抗辩就不成立了。
更重要的是，这一句没有写「取得同意除外」。
对比个人信息保护法第二十三条：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
个保法留了「单独同意」这个口子。第一百三十八条没有留。
这就是本批最重要的一处对比：办案采集的信息，即使当事人自己同意，也不能提供给其他单位或者个人。因为这一条保护的不只是个人权益，还有办案信息的封闭性——一旦可以靠同意打开缺口，办案数据就会以「自愿授权」的名义流出。
五、第二条线：第一百零二条，采集本身的三道手续
第一百三十八条管采完之后，第一百零二条管采的时候。
条文写的是：为了查明案件事实，确定违反治安管理行为人、被侵害人的某些特征、伤害情况或者生理状态，需要对其人身进行检查，提取或者采集肖像、指纹信息和血液、尿液等生物样本的，经公安机关办案部门负责人批准后进行。
第一道手续是批准。批准人是办案部门负责人，不是办案民警自己。这一点很实在：没有批准记录，采集行为本身就站不住。
第二道限制是不重复。条文紧接着写：对已经提取、采集的信息或者样本，不得重复提取、采集。
第三道是被侵害人的同意。提取或者采集被侵害人的信息或者样本，应当征得被侵害人或者其监护人同意。
三道手续，缺一道就是程序违法。而程序违法的直接后果，是这份证据在后续的复议、诉讼中可能被排除，同时构成处分事由。
六、违法嫌疑人的样本不用征得同意，被侵害人的要
这是第一百零二条最值得琢磨的一处不对称。
对违反治安管理行为人，条文没有要求征得同意，只要求批准。对被盗、被侵害的人，条文明确要求征得本人或者监护人同意。
为什么不一样？
因为对嫌疑人而言，采集是查明事实的必要手段，如果要求本人同意，只要他不同意，案子就查不下去。立法在这里做的是强制授权：批准即可采。
对被害人而言，采集是为了确定其特征、伤情，本质上是为了他自己的利益，同时也是对他人身的侵入，所以要尊重其意愿。
这个不对称有实际意义。嫌疑人拒绝采血，不能对抗，可以强制采集；被害人拒绝采血，原则上不能强制。当然，如果被害人拒绝导致关键事实无法查明，那是另一个层面的问题，不能靠强制来解决。
还有一处要注意：「其监护人」三个字。被侵害人是未成年人或者无民事行为能力人时，同意由监护人作出。没有监护人同意就采集，程序上有瑕疵。
七、「不得重复提取、采集」：一次性原则的边界
这一句是新增的，值得单独说。
它针对的是一种长期存在的做法：一个人因为不同的案子、在不同的派出所，被反复采血、反复按指纹、反复拍照。数据没有打通，或者打通了但没人查，于是重复采集成了常态。
条文把这条路堵住：已经采过的，不得再采。
判断「已经采过」的标准是什么？通常是系统里有记录。所以实务中，采集之前应当先查询，查到了就调取，不再采。
这条限制对当事人有两层意义。第一层是身体上的：不用被反复扎针。第二层是权利上的：采集次数越多，信息散落的地方越多，泄露风险越大。一次性原则同时也是最小必要原则的体现。
如果确实被重复采集了，能主张什么？程序上可以提出异议，要求说明为什么已有的样本不能用；如果因此造成了损害，可以走申诉、投诉；构成处分事由的，按第一百三十九条处理。
八、手机里的数据算不算「依法提取、采集的相关信息」
这是实践中最常被问到的问题，条文没有直接回答。
从文义看，「依法提取、采集的相关信息」是一个开放表述。提取的对象不限于人身，也包括物品。手机是物品，从手机里提取的数据，属于「提取的相关信息」。
所以答案是：算。
接下来要问的是「依法」两个字。提取手机数据，依据在哪？
如果手机是作为物品被扣押、检查，走的是第一百零三条的检查程序：人民警察不得少于二人，应当出示人民警察证；对场所检查要检查证；检查情况要制作笔录，由检查人、被检查人和见证人签名。
如果是从手机里提取电子数据，还要遵循电子数据取证的技术规范，包括封存原始存储介质、制作提取笔录、计算完整性校验值等。
「依法」这两个字如果落不实——没有检查证、没有笔录、没有见证人、没有封存——那么提取本身违法，第一百三十八条第一句里的「依法」也就无从谈起。
对当事人来说，可操作的动作是：交手机的时候要求出具扣押清单，注明品牌、型号、串号；取回的时候核对是否同一部、有无拆封痕迹；如果被提取了数据，要求说明提取范围。
九、一部 2012 年版一个字都没有的法律
这一节讲一个容易被忽略的事实。
2012 年版的治安管理处罚法，全文一万四千余字，出现「采集」零次，「样本」零次，「指纹」零次，「个人信息」零次。
也就是说，办案中采集指纹、血样，以及对办案信息的保护，在旧法里完全没有条文依据。
那时候的依据在哪里？在部门规章和规范性文件里。效力层级低，公开程度低，当事人很难援引。
2025 年修订后，条文从一百一十九条增加到一百四十四条，新增二十五条。第一百零二条把采集的对象、批准层级、不重复原则、被侵害人同意写在一处；第一百三十八条把用途、出售、提供三件事锁死；第一百三十九条第（十二）项把违反的后果接上。
这三处连起来，才算把「采集→使用→追责」的链条补完整。
理解这个变化，对当事人有直接好处：过去投诉「你们乱采我的血」，对方可以说「我们是按规定办的」；现在可以说「请出示第一百零二条要求的批准手续」。
十、个人信息保护法第三十四条：国家机关的另一道约束
治安法之外，还有一道约束来自个人信息保护法。
第三十四条写的是：国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。
三个要点：依照权限、依照程序、不超出必需范围和限度。
「不超出必需」这四个字，对应的就是最小必要原则。办案需要查一个人的住址，就只查住址，不顺手把他全家的信息都调出来；需要看某一时段的通话记录，就不把整年的都导出来。
第三十四条和第一百三十八条是两道并行的约束。前者管「处理」的全过程，包括收集、存储、使用、加工、传输、提供、公开、删除；后者专门管办案场景下的用途和流转。
两条一起看，可以得出一个结论：办案机关处理个人信息，权限来自法定职责，边界是最小必要，用途限于办案，流转原则禁止。
十一、第一百三十八条比个保法更窄：没有「同意」这个口子
上一节提到过，这里再讲透一点。
个人信息保护法第十三条列了七项合法性基础，第一项就是「取得个人的同意」。也就是说，一般情况下，只要本人同意，处理个人信息就是合法的。
第一百三十八条没有引用这套逻辑。它只给了两个允许的用途，没有写「经本人同意可以用于其他用途」。
这两条怎么协调？
一种理解是：第十三条解决的是「能不能处理」，第一百三十八条解决的是「处理之后能不能改用途、能不能流转」。前者是入口，后者是出口。入口合法，不代表出口可以随意开。
另一种理解是：第一百三十八条是特别规定，在办案场景下优先适用。既然是特别规定，就不再回到一般规定去找例外。
两种理解指向同一个结论：当事人同意了，也不能让办案采集的信息流向无关用途。同意可以放弃自己的权利，但不能让办案信息失去封闭性——那涉及的是办案秩序和他人信息。
十二、罚则：第一百三十九条第十二项
违反第一百三十八条，后果写在第一百三十九条第（十二）项。
原文是：将在办理治安案件过程中获得的个人信息，依法提取、采集的相关信息、样本用于与治安管理、查处犯罪无关的用途，或者出售、提供给其他单位或者个人的。
把这一项和第一百三十八条对照，会发现文字几乎是逐字对应的，只把「不得」改成了陈述句式，末尾加上「的」，接到「依法给予处分；构成犯罪的，依法追究刑事责任」这个主句上。
这种写法在立法上叫「罚则承接」。它的好处是不会出现规范与责任错位：禁止什么，处罚什么，一一对应。
处分种类仍回到人民警察法第四十八条的六档：警告、记过、记大过、降级、撤职、开除。具体落到哪一档，看情节——泄露多少条、影响多少人、是否造成后果、是否获利。
第一百三十九条第二款还有一句：单位有前款行为的，对负有责任的领导人员和直接责任人员依法给予处分。这一句针对的是「系统被违规查询」「数据被批量导出」这类单位层面的问题。
十三、国家机关这一侧，第六十六条的罚款没有出现
很多人以为，个人信息保护法的罚则很重——情节严重的，可以处五千万元以下或者上一年度营业额百分之五以下罚款。
这个罚则写在第六十六条。但它是针对「个人信息处理者」的，而且在国家机关这一侧，第六十八条另有规定。
第六十八条第一款写的是：国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。
责令改正，加处分。没有罚款。
这个差别不是疏漏。国家机关不是市场主体，罚款只是从一个财政账户转到另一个财政账户，没有实际约束力。真正有约束力的是处分——它影响的是人的职务、级别、考核。
所以「派出所把我的信息给了别人，能不能让网信部门罚它五千万」这个问题，答案是：第六十六条的罚款条款没有出现在针对国家机关的条文里，可主张的是责令改正、处分，以及刑事、民事两条线。
这不是说国家机关可以随便处理信息，而是说追责的工具箱不一样。
十四、第六十八条：责令改正加处分
再细看第六十八条，它有两款。
第一款针对国家机关不履行个人信息保护义务：由上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。
第二款针对履行个人信息保护职责的部门的工作人员：玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。
第一款的关键词是「上级机关」和「履行个人信息保护职责的部门」。前者是公安系统的上级，后者主要是网信部门。两个入口都可以走。
「责令改正」不是一句空话，它可以具体化为：删除违规获取的信息、停止使用、完善内部权限管理、对相关人员进行培训。投诉时把要求写具体，比笼统地说「要求整改」有用。
十五、刑法第二百五十三条之一：履行职责中获得的，从重
如果情节严重，就不只是处分的问题了。
刑法第二百五十三条之一第一款：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
第二款是关键：违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
「履行职责过程中获得」——办案采集的信息，正好落在这一款里。所以同样是把信息卖给他人，警察比普通人判得重。
第三款把「窃取或者以其他方法非法获取」也入罪。这意味着违规查询也可能构成犯罪——不是为了卖，只是自己查了看，数量达到标准同样可能入罪。
第四款是单位犯罪：单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
这四款连起来，覆盖了出售、提供、窃取、单位行为四种形态。对办案信息而言，最常见的入罪路径是第二款——内部人员把信息提供给他人。
十六、民事赔偿：第六十九条的过错推定
除了处分和刑事，还有一条民事路径。
个人信息保护法第六十九条第一款：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
这一款的价值在举证责任倒置。通常的侵权案件，原告要证明被告有过错；这一条反过来，由处理者证明自己没有过错。证明不了，就要赔。
第二款讲赔偿数额怎么算：按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；难以确定的，根据实际情况确定。
对办案信息泄露这类案件，个人损失往往难以量化——信息被看了，但没有直接的经济损失。这时候可以主张精神损害赔偿，但要达到「严重精神损害」的程度；也可以要求停止侵害、删除信息、赔礼道歉。
民事路径的难点不在法律，在被告的确定和证据的取得。信息在谁手里、被谁看了、流向哪里，当事人通常不知道。这也是为什么行政投诉往往要先走——通过投诉拿到答复，才知道后面往哪告。
十七、数据安全法第三十八条与第四十九条
还有一部法律值得提一句。
数据安全法第三十八条：国家机关为履行法定职责的需要收集、使用数据，应当在其履行法定职责的范围内依照法律、行政法规规定的条件和程序进行；对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供。
这一条和个保法第三十四条几乎是同一个意思，但覆盖面更宽——除了个人信息，还包括商业秘密、保密商务信息。
第四十九条：国家机关不履行本法规定的数据安全保护义务的，对直接负责的主管人员和其他直接责任人员依法给予处分。
同样是处分，没有罚款。
三部法、三条约束、同一套后果。这反映的是一个共同的立法选择：对国家机关的追责，主战场在处分，不在罚款。
十八、实操指引：怀疑信息被违规使用，五步走
第一步，确认信息来源。想一想哪些环节交过信息：报案时的身份登记、笔录前的拍照按印、采血、交手机、监控人脸抓拍。列出清单，标出时间地点。
第二步，找异常。信息被违规使用，通常有一些迹象：接到与案件无关的推销电话、有人知道你未公开的住址、别的单位突然掌握了你案件里的细节、你的信息出现在某个不该出现的系统里。把这些迹象记下来，写清时间、内容、对方怎么知道的。
第三步，书面申请查询。向办案公安机关提出书面申请，要求说明采集了哪些信息、存放在哪个系统、有哪些单位可以查询、有没有对外提供。答复本身就是证据。
第四步，分头投诉。涉及违规使用、出售、提供，向公安机关督察部门和网信部门投诉；涉及职务违法，向监察委员会举报；涉及犯罪线索，向公安机关或者人民检察院报案。
第五步，评估民事路径。有实际损害的，可以依据第六十九条起诉；损害难以量化的，重点放在停止侵害、删除信息、赔礼道歉。
十九、五种常见抗辩
第一种：我们是依法采集的。依法采集不等于可以随意使用。第一百零二条管采集，第一百三十八条管使用，两件事分开评价。
第二种：信息没有泄露，只是内部查询。内部查询如果没有法定事由，同样违反第一百三十八条的用途锁；违规查询本身还可能构成刑法第二百五十三条之一的「非法获取」。
第三种：是系统自动共享的，我们没有主动提供。「提供」不要求主动，系统打通后任由其他单位调取，同样是提供。
第四种：当事人自己同意的。第一百三十八条没有给「同意」留口子，这一点与个保法第二十三条不同。
第五种：没有造成损失。处分不以损失为前提。第一百三十九条第（十二）项只要求行为存在，不要求后果。
二十、记录封存与信息删除不是一回事
这两个概念经常被混为一谈。
记录封存，规定在治安管理处罚法第一百三十六条，针对的是违反治安管理的记录，效果是限制查询和公开，记录本身还在。
信息删除，是个人信息保护法上的权利，效果是让信息消失。
一个人被治安处罚后，记录被封存，不等于采集的指纹、血样、照片被删除。封存管的是「记录」，删除管的是「信息」。两者可以并存，也可能一有一无。
这个区别有实际意义：很多人以为封存了就「什么都查不到了」，实际上办案系统里的生物信息可能仍然在。想让它消失，要单独主张删除，而且要符合法定条件——办案需要的信息，通常在保存期限内不能删除。
二十一、与相邻概念的区别
与记录封存的区别。 封存的对象是违反治安管理的记录，效果是限制查询；第一百三十八条的对象是办案获得的信息和样本，效果是限制用途和流转。两条并行，不互相替代。
与个保法罚款条款的区别。 第六十六条的罚款针对个人信息处理者的经营行为；国家机关这一侧走第六十八条，后果是责令改正加处分。
与侵犯个人信息罪的区别。 后者是刑事评价，要求「情节严重」；第一百三十八条是纪律评价，不要求后果。同一个行为可能同时触发两者。
与政府信息公开的区别。 政府信息公开是主动或者依申请公开政务信息；办案信息属于依法不予公开的范围，不适用信息公开程序。
法条依据
- 《中华人民共和国治安管理处罚法》
- 第一百零二条 为了查明案件事实，确定违反治安管理行为人、被侵害人的某些特征、伤害情况或者生理状态，需要对其人身进行检查，提取或者采集肖像、指纹信息和血液、尿液等生物样本的，经公安机关办案部门负责人批准后进行。对已经提取、采集的信息或者样本，不得重复提取、采集。提取或者采集被侵害人的信息或者样本，应当征得被侵害人或者其监护人同意。
- 第一百三十八条 公安机关及其人民警察不得将在办理治安案件过程中获得的个人信息，依法提取、采集的相关信息、样本用于与治安管理、查处犯罪无关的用途，不得出售、提供给其他单位或者个人。
- 第一百三十九条 人民警察办理治安案件，有下列行为之一的，依法给予处分；构成犯罪的，依法追究刑事责任：
- （一）刑讯逼供、体罚、打骂、虐待、侮辱他人的；
- （二）超过询问查证的时间限制人身自由的；
- （三）不执行罚款决定与罚款收缴分离制度或者不按规定将罚没的财物上缴国库或者依法处理的；
- （四）私分、侵占、挪用、故意损毁所收缴、追缴、扣押的财物的；
- （五）违反规定使用或者不及时返还被侵害人财物的；
- （六）违反规定不及时退还保证金的；
- （七）利用职务上的便利收受他人财物或者谋取其他利益的；
- （八）当场收缴罚款不出具专用票据或者不如实填写罚款数额的；
- （九）接到要求制止违反治安管理行为的报警后，不及时出警的；
- （十）在查处违反治安管理活动时，为违法犯罪行为人通风报信的；
- （十一）泄露办理治安案件过程中的工作秘密或者其他依法应当保密的信息的；
- （十二）将在办理治安案件过程中获得的个人信息，依法提取、采集的相关信息、样本用于与治安管理、查处犯罪无关的用途，或者出售、提供给其他单位或者个人的；
- （十三）剪接、删改、损毁、丢失办理治安案件的同步录音录像资料的；
- （十四）有徇私舞弊、玩忽职守、滥用职权，不依法履行法定职责的其他情形的。
- 办理治安案件的公安机关有前款所列行为的，对负有责任的领导人员和直接责任人员，依法给予处分。
- 《中华人民共和国个人信息保护法》
- 第三十四条 国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。
- 第六十八条 国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。
- 履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。
- 第六十九条 处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
- 《中华人民共和国刑法》
- 第二百五十三条之一 违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
- 违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
- 窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
- 单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
- 《中华人民共和国数据安全法》
- 第三十八条 国家机关为履行法定职责的需要收集、使用数据，应当在其履行法定职责的范围内依照法律、行政法规规定的条件和程序进行；对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供。
- 第四十九条 国家机关不履行本法规定的数据安全保护义务的，对直接负责的主管人员和其他直接责任人员依法给予处分。
常见问题
做笔录前按手印、拍照，需要经过我同意吗？
对违反治安管理行为人，第一百零二条只要求经办案部门负责人批准，没有要求征得本人同意。对被侵害人，条文明确要求征得其本人或者监护人同意。所以两者的答案不一样。
警察采了我的血，能拿去比对别的案子吗？
可以，但要限定在「查处犯罪」这个用途内。第一百三十八条允许的两个用途是治安管理和查处犯罪，跨案比对属于查处犯罪，通常认为允许。但如果比对的目的变成了商业用途、内部管理或者对外提供，就越界了。
我同意把信息给他们，行不行？
不行。第一百三十八条没有留「同意」这个口子，这一点与个人信息保护法第二十三条不同。即使当事人同意，办案采集的信息也不能提供给其他单位或者个人。
手机被拿去「检查」，相册和聊天记录被翻过，违法吗？
要看手续。手机作为物品被检查，适用第一百零三条：不得少于二人、出示人民警察证、制作检查笔录并由被检查人和见证人签名；对场所检查还要检查证。提取电子数据还要封存原始介质、制作提取笔录。手续不全，提取本身违法。
同样的血被采了两次，能主张什么？
第一百零二条明确规定对已经提取、采集的信息或者样本不得重复提取、采集。被重复采集的，可以提出异议，要求说明已有样本为什么不能用；造成损害的可以投诉、申诉，构成处分事由的按第一百三十九条处理。
警察私下查我的住址、开房记录，算什么？
用途与治安管理、查处犯罪无关，违反第一百三十八条；同时可能构成刑法第二百五十三条之一的非法获取公民个人信息。纪律上按第一百三十九条第（十二）项处理，情节严重的移送刑事。
信息泄露了，能让网信部门罚公安局五千万吗？
不能。个人信息保护法第六十六条的罚款条款针对个人信息处理者的经营行为；国家机关这一侧适用第六十八条，后果是责令改正加对直接责任人员处分。可主张的还有刑事追责和民事赔偿。
国家机关处理我的信息，和企业有什么不同？
权限来源不同。企业靠同意或者合同，国家机关靠法定职责。个人信息保护法第三十四条要求国家机关依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。所以「不同意」在企业那里能挡住处理，在国家机关这里挡不住，但可以要求限定在最小必要范围内。
治安处罚记录封存了，指纹血样也会删掉吗？
不会自动删。封存规定在第一百三十六条，对象是违反治安管理的记录，效果是限制查询；采集的指纹、血样属于另一套信息，删除要单独主张，而且要符合法定条件。办案需要的信息，在保存期限内通常不能删除。
事情过去很久了，还能查当年采了什么吗？
可以书面申请查询，要求说明采集的种类、存放系统、可查询单位、有无对外提供。答复本身就是证据。投诉举报没有时效限制，但民事诉讼有三年诉讼时效，刑事追诉也有期限，越早启动越好。
以上内容为一般性法律知识介绍，不构成对具体案件的法律意见；采集范围、保存期限、系统权限、对外提供的具体规则存在地区差异和内部规范差异，个案能否认定为违规、能追到哪一层，取决于采集审批记录、检查笔录、系统日志与实际流向。怀疑信息被违规使用的，请及时咨询执业律师，以律师结合全部案卷材料出具的正式意见为准。法条核对日期：2026-10-31。