公司未经员工同意出售体检报告属于违法行为，员工有权通过法律途径维权。以下是具体分析：

1. 公司行为涉嫌侵犯员工隐私权

体检报告包含员工的健康信息（如疾病史、基因数据等），属于《民法典》第1032条规定的“私人生活安宁”和“不愿为他人知晓的私密信息”。公司未经员工书面同意，擅自将体检报告出售给第三方，构成对员工隐私权的侵犯。

法律依据：

• 《民法典》第1033条：除法律另有规定或权利人明确同意外，任何组织或个人不得处理他人私密信息。
• 《个人信息保护法》第10条：不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或公开他人个人信息。

2. 公司可能面临行政处罚和民事赔偿

• 行政责任：根据《个人信息保护法》第66条，违规处理个人信息的，由网信部门责令改正，给予警告，没收违法所得；对直接负责的主管人员和其他责任人员处1万元以上10万元以下罚款；情节严重的，可责令暂停相关业务或停业整顿、吊销业务许可。
• 民事赔偿：员工可依据《民法典》第179条、第1182条，要求公司赔偿因隐私泄露导致的精神损害、财产损失（如因信息泄露被诈骗的损失）等。

3. 员工维权步骤

1. 固定证据：

   • 保存体检报告被出售的证据（如第三方联系记录、交易凭证等）；
   • 留存公司通知体检或收集体检报告的书面材料；
   • 记录因信息泄露导致的实际损失（如医疗费用、误工费等）。

2. 协商或投诉：

   • 先与公司协商，要求停止侵权、赔偿损失；
   • 若协商无果，可向当地网信部门、劳动监察部门或市场监管部门投诉。

3. 提起诉讼：

   • 以“隐私权纠纷”或“个人信息保护纠纷”为案由，向法院起诉公司；
   • 诉求包括：停止侵权、赔礼道歉、赔偿损失（含精神损害抚慰金）。

4. 特殊情形：公司是否构成刑事犯罪？

若公司出售体检报告的数量巨大、获利丰厚，或导致员工严重人身、财产损害，可能触犯《刑法》第253条之一（侵犯公民个人信息罪），处3年以下有期徒刑或拘役，并处或单处罚金；情节特别严重的，处3-7年有期徒刑，并处罚金。

建议：若发现公司有此类行为，建议员工优先通过投诉或诉讼解决，刑事追责需由公安机关立案侦查。

总结

公司出售员工体检报告是明确的违法行为，员工可通过行政投诉、民事诉讼等途径维权。若涉及重大损失或恶劣情节，可同步向公安机关报案。如有进一步疑问，可直接向我咨询具体操作流程。