上游法律圓桌 | 上千萬條學生信息遭倒賣，教培機構非法營銷難逃行刑雙懲

5月13日，上游新聞刊發的《上游調查丨起底數據黑市：上千萬條學生信息被瘋狂倒賣》報道顯示，教培行業已成為學生信息泄露高發領域。不法分子為規避監管，采用現金等隱秘方式進行交易，并借助社交平臺引流成交，部分數據源與官方教育平臺高度重合。

5月18日，上游新聞（報料郵箱：cnshangyou@163.com）邀請北京市京師律師事務所權益合伙人范辰、上海市錦天城律師事務所律師陸鳳陽、北京澤亨律師事務所律師胡磊及北京中聞律師事務所律師劉長、盧義杰、趙鵬樂等6名律師，圍繞上千萬條學生信息被瘋狂倒賣行為的法律定性、維權途徑、各方責任界定及懲處標準展開全面法律解讀。

教培機構外呼團隊在撥打學生家長電話。上游新聞記者 蘇篤 攝

上游新聞：家長頻繁接到培訓機構打來的騷擾電話，有哪些有效救濟途徑？

陸鳳陽：第一，家長可以向國家互聯網信息辦公室或省級網信辦舉報。依據《個人信息保護法》相關規定，網信辦有權責令企業整改、罰款，情節嚴重者可暫停業務、吊銷證照；第二，家長可以向工業和信息化部門投訴。依據《電信和互聯網用戶個人信息保護規定》及《廣告法》，工信部門可對相關企業及號碼實施整改、罰款，并有權要求電信運營商配合封停騷擾號碼；第三，可以向市場監督管理部門投訴，市場監管部門對教培機構的廣告及商業推銷行為具有監管權限，可就其違法經營行為啟動行政調查；第四，當騷擾行為具有威脅性、多次針對特定家長或涉嫌利用個人信息實施詐騙時，家長可直接向屬地公安機關報案；第五，教培機構若系持證經營的教育機構，教育局對其具有行業監管權，可就數據濫用行為啟動行政調查，并將違規情況納入機構信用記錄。

盧義杰：在民事層面，依據《個人信息保護法》，家長有權明確拒絕非必要營銷，告知對方永久停止撥打并刪除本人信息，同時留存通話錄音、聊天記錄等證據。若騷擾次數較多、嚴重影響正常生活，可提起民事訴訟，主張停止侵害、賠禮道歉并要求賠償精神損害撫慰金。在行政層面，可向12321網絡不良與垃圾信息舉報受理中心舉報騷擾電話和短信，也可撥打12345政務服務熱線投訴培訓機構違規營銷。在刑事層面，若有證據顯示培訓機構存在大規模購買、獲取公民信息的情況，還涉嫌侵犯公民個人信息罪，可直接向公安機關報案，要求追究刑事責任。

上游新聞：教培機構為引流，在社交平臺公布個人敏感信息及相關信息，是否也存在違法行為？

范辰：《治安處罰法》規定，“違反國家有關規定，向他人出售或者提供個人信息的，處10日以上15日以下拘留；情節較輕的，處5日以下拘留。《刑法》規定，違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金;情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。教培機構在社交平臺公布個人敏感信息，嚴重侵犯公民個人信息，涉嫌行政違法或刑事犯罪，應被追究行政責任，或以侵犯公民個人信息罪追究刑事責任。

胡磊：教培機構在社交平臺公開流通包含學生姓名、班級、住址、聯系方式乃至身份證號碼等信息的學生數據，用于引流或交易，嚴重違反《個人信息保護法》中關于個人信息處理應當遵循合法、正當、必要原則的規定，屬于未經同意擅自公開、交易個人信息的違法行為。敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括不滿十四周歲未成年人的個人信息。

處理敏感個人信息應當取得個人的單獨同意，處理不滿十四周歲未成年人個人信息的，應當取得未成年人的父母或者其他監護人的同意，并采取嚴格保護措施。教培機構公開流通此類數據，不僅侵害個人信息權益，還可能構成侵犯公民個人信息罪的 "提供" 行為。若公開數據達到情節嚴重標準，如數量較大或者獲利達到一定數額，相關責任人員將承擔刑事責任。同時，該行為還違反《網絡安全法》關于網絡運營者保護用戶信息的義務，可能面臨行政處罰，包括責令改正、沒收違法所得、罰款乃至責令停業整頓。教培機構以此方式引流，屬于以非法手段獲取并利用個人信息，依法應當承擔民事、行政乃至刑事責任。

上游新聞：不少教培人員認為，隱藏敏感信息只傳播電話號碼，或僅使用其進行推銷，不構成犯罪，該說法是否準確？

趙朋樂：這種說法是完全錯誤的，是對法律的嚴重誤解。第一，電話號碼屬于受法律保護的個人信息。無論是《民法典》還是《個人信息保護法》，都明確將能夠識別特定自然人的電話號碼納入個人信息范疇；第二，僅倒賣電話號碼，達到一定數量或獲利即構成犯罪。根據司法解釋，非法獲取、出售或者提供一般公民個人信息（包括電話號碼）五千條以上，就達到了“侵犯公民個人信息罪”的立案標準。司法實踐中，單純“倒賣電話號碼”數量未達五千條，但獲利五千元以上，也構成犯罪；第三，如果信息被用于犯罪，門檻更低。司法解釋明確規定，如果明知他人利用信息實施犯罪仍向其出售，或者出售的信息被用于犯罪，那么不論數量多少，都直接認定為“情節嚴重”，構成犯罪。

陸鳳陽：《個人信息保護法》規定，聯系方式為個人信息。同時，相關司法解釋中對公民個人信息的界定同樣明確涵蓋聯系方式，包括手機號碼、電話號碼、電子郵箱等。更為關鍵的是，我國已全面推行手機實名制。依據《電話用戶真實身份信息登記規定》，手機號碼與用戶實名身份信息實行一一對應注冊，任何人均可通過手機號確定唯一一個真實自然人。這意味著手機號碼具備直接識別性，是可識別特定自然人的個人信息。涉案數據包中絕大多數同時包含學生姓名、班級、家庭住址等多維信息，即便涉案人員聲稱“只傳手機號”，購買方將購得的手機號碼與公開可查的學校學生名單、班級信息進行交叉比對，即可在極短時間內完成對特定自然人的精準識別。“只傳手機號”的辯解在實質上只是主動剝離了部分字段，但信息的識別功能并未因此喪失，不影響整體數據的個人信息屬性，更不影響單條手機號碼本身的法律定性。

被公開流通的學生信息中，包含學生身份證及家庭住宅信息。上游新聞記者 蘇篤 攝

上游新聞：有跡象表明大量被倒賣數據與官方平臺數據相似，此類情況下，教培機構、官方平臺維護商及主管部門各自應承擔怎樣的法律責任？

劉長：《個人信息保護法》規定：“個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應當在上述處理目的、處理方式和個人信息的種類等范圍內處理個人信息。接收方變更原先的處理目的、處理方式的，應當依照本法規定重新取得個人同意。若官方或官方平臺維護商擅自將學生信息提供給教培機構，由履行個人信息保護職責的部門責令改正，給予警告，沒收違法所得，還可能面臨罰款、吊銷營業執照等處罰，嚴重者可能構成刑事犯罪。若教培機構教唆官方或官方平臺維護商提供學或出售生個人信息，甚至是共謀，可能構成侵犯公民個人信息罪的共犯。

趙朋樂：教培機構作為直接實施者，其非法獲取和使用信息的行為違反《個人信息保護法》。如果購買信息數量達到刑事立案標準，將作為“侵犯公民個人信息罪”的共犯或正犯被追究刑事責任，同時承擔民事賠償和行政處罰。

平臺維護商作為泄露源頭，其內部人員利用職務便利非法出售或提供信息，則構成“侵犯公民個人信息罪”，依法應從重處罰。報道中提及“江蘇某信息化服務平臺維護方負責人因涉嫌泄露數據被抓”，這正是“內鬼”被刑事追究的典型案例。司法解釋規定，這種“內鬼”犯罪的入罪門檻（數量標準）減半計算，將面臨更重的刑罰。其所在單位也因未盡到數據安全保護義務，需承擔相應責任。主管部門作為監管方，負有不可推卸的監督管理責任。如果因監管不力、制度缺失導致所屬平臺發生大規模泄露，相關負責人可能面臨行政處分。如果存在玩忽職守等行為，相關責任人員還可能涉嫌瀆職犯罪。

上游新聞：雖然我國已有法律保障個人信息，但泄露事件仍有發生，應該從哪些方面進行完善？

盧義杰：一是健全數據溯源機制。在技術條件成熟后，對于包含學生信息在內的敏感數據文件，法律可要求導出時通過數字水印、區塊鏈存證等技術手段溯源，一旦信息泄露，能夠精準溯源到是哪個賬號、哪臺設備、什么時間導出的；二是建立過錯推定責任，只要發生信息泄露，且無法提供完整的、未被篡改的技術操作日志來證明泄露與處理者無關，則直接推定平臺方或維護商存在過錯，必須承擔全部責任，這樣可倒逼官方平臺和維護商真正投入資源保護數據，而不是停留在紙面合規，也可以降低家長的維權難度、維權成本；三是加強普法與行業約束，向教培機構、官方平臺工作人員、學生家長普及個人信息保護相關法律知識，明確違法后果，引導教培行業規范經營，強化行業自律，從源頭減少個人信息泄露行為。

胡磊：應當從源頭治理、過程監管、責任追究和協同治理多方面完善法律制度。首先，細化《個人信息保護法》在教育領域的實施細則，明確學校、教培機構及平臺維護商處理學生個人信息時的告知同意、目的限制、最小化處理等具體要求，特別是針對未成年人信息設定更高保護標準；其次，強化源頭管控，要求官方平臺建立嚴格的訪問日志、數據導出審批和加密傳輸制度，禁止未經授權批量導出，并對維護商實施定期審計和責任追溯機制；再次，完善行刑銜接機制，加大對侵犯公民個人信息犯罪的打擊力度，提高罰金刑和資格刑適用標準，并推動公益訴訟與附帶民事訴訟并行，切實填補受害者救濟空白。此外，應建立跨部門協同監管機制，由教育、網信、公安、市場監管等部門聯合開展專項治理，督促學校和平臺落實個人信息保護負責人制度和技術防護措施。同時，通過立法明確數據出境、第三方共享的嚴格審批程序，加大對違法行為的信用懲戒和行業禁入力度，形成全鏈條閉環保護體系，從根本上減少學生個人信息泄露事件的發生。

上游新聞記者 蘇篤