承接医院挂号系统开发维护，能接触后台数据，是否意味着可以复制到公司自建库，等以后需要时再用？最高法2026年5月公布的博某软件公司案，认定的是提供服务过程中非法获取个人信息。公开稿没有披露另行出售事实，仍作出单位及人员的刑事处罚，不能将未卖过解释为当然不构罪。以下为公开案例研究，非本所承办。
维护系统与暗中积累数据是两件事
2015至2020年，公司为某医院开发、维护网上挂号系统。法定代表人何某某暗中收集后台非法获取的用户信息，安排熊某、罗某某导入公司自建数据库；2021年初，又有人在所开发软件安装接口，自动导入挂号用户信息。
案发后，从公司服务器、自建数据库及何某某家中设备提取相关信息，去重后合计2,878,070条。这个数是公开的去重信息条数，不应改写成相同人数，也不能自行补称每条均为诊断或全部已经外流出售。
非法获取有独立规定，不必等到完成交易
刑法第二百五十三条之一第三款将窃取、以其他方法非法获取纳入处罚。2017年两高解释第四条进一步包括违反国家规定、在履职或提供服务过程中收集的情形。法院据此认定，公司在服务中非法获取信息，情节特别严重。
所以，证明没有出售，可能回应某一事实指控，却不能跳过获取本身是否违法、信息性质与数量、严重情节等判断。反过来，正常按合法授权、真实服务需要处理数据，也不能只因存在备份就直接套用本案；应核目的、范围、权限及实际行为。
不把服务中获取与服务中出售混成同一加重条件
法律对将履职、服务中获得的信息出售或提供，另有从重规定；解释第五条相应半数门槛也针对所列出售、提供行为。不能看见外包服务几个字，就替本案补出出售，并用该分支机械计算。
本案由无锡市锡山区法院判公司罚金30万元，主管及其他直接责任人员分别被判五年六个月至一年六个月，并罚10万元至1万元。具体人各为何刑期未逐人披露，不把区间最高刑统一套每名员工，也不认为只罚法人即可免个人责任。
核查成果要能说明数据怎样进了另一个库
沙坪坝医疗机构与服务商可核合同及权限、接口真实用途、字段与数据流向、访问和导入记录、服务器及设备管理，区分保障本次服务与为公司另建数据资产。不通过删除日志或临时移库制造未获取的表象，争议材料依法保存且保护患者隐私。
该案行为跨2015至2021年，2017解释的施行时间及具体行为适用需据实核，不能将2021年后个人信息保护法倒填为早期全部行为依据。今天新业务仍须按当前有效数据规则审查；本案说明刑事获取分支的独立性，不提供技术绕权操作，更不保证改一份合同即能免除既有责任。
来源：[最高法个人信息典型案例一](https://www.court.gov.cn/zixun/xiangqing/499271.html)；[2017年两高解释第四、五、七、十三条](https://www.court.gov.cn/zixun/xiangqing/43942.html)；[刑法第二百五十三条之一](https://fgk.chinatax.gov.cn/zcfgk/c100009/c5212248/content.html)。
本文采用AI辅助整理，律师关联用于了解专业方向和咨询导航，不表示律师本人已逐篇人工审定。具体法律处理需结合完整材料及适用规则。