大学生注册交友App后遭遇骚扰电话、中小学生家长频繁接到培训招生推销，多地接连破获学生个人信息被内部人员倒卖的刑事案件，学生个人信息泄露风险凸显。

多重现象交织之下，学生个人信息保护面临哪些法律难题？遭遇信息泄露后，各方主体应当承担什么责任？受害者有哪些救济渠道？围绕这些问题，《法治日报》记者采访了互联网法治研究院（杭州）特邀研究员张继红，《法治日报》律师专家库成员、北京嘉润律师事务所律师高攀。

贩卖学生信息罪与罚

记者：贩卖学生个人信息，在刑法上如何定性？对出售、提供、购买以及链条上转手倒卖的各环节主体，各自应承担怎样的责任？

高攀：根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》有关规定，学生的姓名、身份证号码、家庭住址、联系方式、学籍信息等，只要能够单独或者结合其他信息识别特定自然人身份，就属于刑法所保护的“公民个人信息”。贩卖学生个人信息的行为可能触犯刑法第二百五十三条之一规定的侵犯公民个人信息罪，情节严重的处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的处三年以上七年以下有期徒刑，并处罚金。

通过购买、收受、交换等方式获取公民个人信息，即便未再转卖，也属于“以其他方法非法获取公民个人信息”，只要数量或违法所得达到入罪标准，同样构成侵犯公民个人信息罪。

记者：实践中频发机构“内鬼”监守自盗，法律对此有哪些从重处罚规则？单位和个人的责任该如何划分？

高攀：刑法相关规定明确，对于在履行职责、提供服务过程中获取学生个人信息后向外出售、提供的行为，应当从重处罚。配套司法解释进一步降低入罪门槛：“内鬼”作案，认定“情节严重”的数量、数额标准为普通案件的一半。司法实践中要注意避免同一情节重复评价：如果已经凭借减半标准认定构成犯罪，量刑环节就不应再就“内部人员”这一情节再次从重。

在责任划分上，如果倒卖信息是单位集体决策、组织实施，实行双罚制，既要对单位判处罚金，同时追究主管人员、直接责任人的刑事责任；如果是员工个人私下利用职务便利牟利，单位并不知情，则由该员工独立承担刑事责任。但民事侵权层面适用过错推定，单位需要自行证明在数据管理上不存在过错，否则即便系员工个人私自作案，单位仍要承担民事赔偿责任。

自身不知情不能免责

记者：校园交友软件发生信息泄露，平台以“第三方原因泄露、自身不知情”为由能否免责？

张继红：校园交友软件兼具个人信息处理者、网络服务提供者双重身份。作为信息处理者，平台必须落实安全防护、风险处置、事件上报等法定义务；委托第三方处理数据，也要履行监督职责。作为网络服务提供者，对于平台内售卖学生个人信息的私信、帖子，要主动监测处置，及时删除、限制账号，并留存记录上报主管部门。

个人信息保护法确立过错推定原则，处理者不能证明自己没有过错的即承担侵权责任。平台须举证已实际履行等保、加密、权限管理、审计、及时补救、告知和报告等义务，已对委托处理尽监督义务，且泄露与其过错无因果关系，才可减轻或免除相应赔偿责任。若个人信息泄露源于平台违规共享、超期留存或自身管理漏洞、已知风险未处置，平台本身构成直接或未尽保护义务的责任主体，第三方盗取只是损害扩大因素，不能以“第三方原因、自身不知情”为由免责。

记者：部分校园类App“最小必要”原则落地难，原因何在？

张继红：按照《常见类型移动互联网应用程序必要个人信息范围规定》，学习教育类App的基本功能服务为“在线辅导、网络课堂等”，必要个人信息限定为注册用户移动电话号码。然而实践中，少数学校在校园类App使用、管理过程中存在强制同意、捆绑授权等违规情形，超范围收集学生画像、人脸识别信息、考勤数据、学业成绩等非必要个人信息，明显突破法定收集边界。与此同时，校园场景下个人信息处理的“必要性”认定标准较为模糊，主要依赖个案裁量，尚缺乏统一、规范化的适用标准。

合力斩断黑色产业链

记者：对于被泄露个人信息的学生，合法维权路径有哪些？有哪些可落地的自我保护建议？

高攀：对于已经发现个人信息被泄露的学生，应当及时固定证据，例如保存私信记录、账号名称、发布时间、相关链接等。根据民法典和个人信息保护法相关规定，受害学生可以依法要求信息处理者删除个人信息；对于涉嫌违法处理个人信息的行为，可以向履行个人信息保护职责的部门投诉、举报，涉嫌犯罪的可以向公安机关报案；对于造成损害的，还可以依法提起民事诉讼，主张停止侵害、消除影响以及损害赔偿等法律责任；涉及众多个人权益受到侵害的，还可能符合个人信息保护公益诉讼的条件。

从个人防护角度看，更重要的是降低个人信息泄露后的二次风险。学生个人信息泄露造成的风险往往并不止于泄露本身，还可能进一步演变为电信诈骗，造成财产损失。因此当发现自己的个人信息已经外泄后，应当提高对冒充老师、同学、学校工作人员等电话、信息的警惕，不向陌生人提供验证码、身份证件照片、银行卡号码等信息，做到及时止损、避免二次伤害。

记者：面向学生群体，未来个人信息保护制度可以从哪些方面优化？

张继红：在立法完善层面，未来可推动同意机制从传统的“概括同意”转为“场景化动态授权”模式，通过构建分场景告知规则，将个人同意与具体处理情境和行为绑定，破除单一隐私政策统一适用全部处理场景的弊端。同时，立法需推动个人信息保护从“形式同意”向“实质控制”升级，一方面强化个人信息删除、同意撤回、个性化推送关闭等动态功能的落地实效；另一方面优化授权交互机制，采用分项独立勾选的授权模式，真正落实个人对其自身信息的自主控制权。

针对学生群体，建议采用年龄分段并结合个人信息类型区别设计保护制度：对不满14周岁的未成年人严格保护；对14至18周岁的未成年人，则在最大限度内给予其自主决定权。如果是私密性相对较弱的个人信息，比如注册虚拟账号需要授权收集但不进行披露的信息，如性别、昵称、手机号码等，年龄界限可设定为年满14周岁，从而使该年龄段的未成年人可以正常进行社交及学习活动；对于可能公开未成年人肖像、形体及其他信息的视频资料，属于私密性较强的个人信息，则应设定年满18周岁的严格年龄界限，且须经过监护人同意。

此外，现有法律规范及网络运营商的隐私政策中虽有监护人同意条款，但对于征得同意的方式却没有作出具体规定。可以通过电子邮箱等方式向运营商提供父母签署的同意书，或者采取父母电话同意告知、视频通话等方式，使未成年人难以伪造或刻意规避，切实发挥父母同意的监督作用。