买卖个人数据犯法吗1.数据不能出境。
《网络安全法》第三十七条规定：“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。”首先，数据应该放在国内，如果有必要出境的，应该申请安全评估。这一条非常明确的规定了数据的存储基本要求，于是大家看到苹果公司于2017年7月公布要投入10亿美金在华建立数据中心，你懂的。
2.用户数据不可以直接交易。
2014年6月，中关村大数据交易平台启用。2015年4月，贵阳大数据交易所成立。2016年4月，上海大数据交易中心成立。2016年7月，武汉长江大数据交易所成立……由政府部门牵头，各地都曾经把数据交易中心作为大数据产业的第一枪，可谓前赴后继，遍地开花。
然后就在国家网络安全法颁布之后的几个月里新闻基本是下图这样的。大数据公司开始逐个被清查，说明国家已经基本明确的红线：公民个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息,包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。凡属涉及到这类数据的所有直接交易行为都是禁止的。并且：违反国家有关规定,向他人出售或者提供公民个人信息,情节严重的,处三年以下有期徒刑或者拘役,并处或单处罚金;情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。没错，现在对于违法买卖行为已经有了法律处理意见！
以后可以很明确的在接到骚扰电话的时候回复说，“你已经触犯了国家的网络安全法以及刑法修正案中关于用户隐私保护的规定，偶要举报你们”，然后请那些卖房子，卖贷款的小心咯，举报成功可能要拘留哦～
这两点已经明确，数据不能出境，消费者的个人信息不能直接交易。