个人信息是如何被“无感泄露”的

扫码点餐时多给了一项授权，投递简历后陌生来电接踵而至，账号注销后仍被精准推销……个人信息受到侵害，很多时候并非始于一次明显的泄密，而是藏在日常的不经意之中。近日，最高人民检察院发布了一批依法保护公民个人信息典型案例，直击侵犯公民个人信息违法犯罪的新形态、新动向。当下，从出行、就医、置业、社交乃至身后权益，大量个人信息在当事人不知情、未授权状态下被采集、流转、倒卖，一条成熟的黑灰产业链已然成型。值得警惕的是，这些侵权行为大多披着“合法授权”“服务必需”“公开可查”的外衣，隐蔽性极强。这些“无感侵权”的盲区究竟藏在何处？个人信息处理的法律边界如何划定？遭遇侵害时，我们又该如何依法维权？

盲区1 “内鬼”越权泄露信息

舒某是一家航空公司外包公司电话客服，其利用职务便利登录航空公司系统查询明星艺人的航班信息，并在“饭圈”群组出售，累计涉及30余人、100余架次航班信息，非法获利1万余元，相关信息被用于跟拍、陪飞等。法院一审以侵犯公民个人信息罪判处舒某有期徒刑十个月，缓刑一年，并处罚金3万元；同时判令其支付公益损害赔偿金、公开赔礼道歉。检察机关提起抗诉后，二审判决依法追加追缴违法所得。另一起案件中，林某先注册企业账号发布虚假招聘信息骗取简历，在账号接连被封禁后，他又纠集多人组成团伙，前端引流人员冒充求职者，利诱企业人力资源人员利用企业账号抓取简历；后端提供采集模板、汇总整理信息。该团伙先后将非法获取的87万条个人信息销往境外，涉案金额达746万余元。最终，21人被追究刑事责任，并承担公益损害赔偿责任。

上述两案的共同点在于，信息泄露并非源于技术入侵，而是行为人把履职、业务对接中接触信息的权限异化为牟利工具。岗位权限不是违法行为的“绿色通道”，一旦混淆“有权查询”和“有权处置”，个人信息就会在看似正常的业务流程中被无形泄露。尤其是医院、航空公司、文旅机构等掌握海量敏感信息，个别“内鬼”超权限查询、倒卖诊疗记录、行程信息，正是当前此类违法犯罪的新特点之一。

依照我国刑法，违反国家有关规定，向他人出售或者提供公民个人信息，以及窃取或者以其他方法非法获取公民个人信息，达到“情节严重”标准的，构成侵犯公民个人信息罪。工作人员将在履职或服务过程中获得的信息非法出售或提供给他人，构成犯罪的，依法从重处罚。而“情节严重”需要结合信息类型、数量、违法所得、用途及危害后果等，依照司法解释综合认定，不能仅凭存在泄露行为就认定犯罪。

即便内部人员的行为尚未达到刑事立案标准，也不代表无需担责。我国民法典第一千零三十八条明确禁止信息处理者泄露、篡改其收集、存储的个人信息，或者未经同意向他人非法提供。个人信息权益遭受侵害，权利人可以依法请求停止侵害、消除危险；造成损害的，还可以要求赔偿损失。刑罚惩治的是严重危害社会的行为，民事赔偿救济的是被侵害的个人权利，二者并行不悖。

机构同样负有管理义务。我国个人信息保护法要求个人信息处理者合理确定操作权限，并定期开展安全教育和培训。相关机构应明确谁能查、能查多少、能否导出，并落实监督措施，不能以“员工个人行为”为由推卸责任。

内部泄密之所以“隐形”，正因为其披着正常服务的外衣：客户信息在系统中流转，权限在岗位间交接，若缺少最小授权、分级管理、操作留痕和异常预警机制，一次越权查询就可能演变为一条黑灰产业链。个人若发现信息可能从服务机构流出，可要求对方说明信息处理情况，并保存沟通记录、异常来电和短信等线索；发现涉嫌犯罪的，及时向公安机关报案。

盲区2 “不同意就不能用”强制获取

很多强制授权藏在日常消费场景里，如堂食扫码点餐，有的必须注册会员、绑定手机号并授权定位；办理停车月卡，必须录入人脸；办理理发、健身会员卡，被要求上传身份证正反面……商家以“同意”作为服务门槛，看似用户自愿勾选，实则突破信息收集的“红线”。

潘某、范某等组建“村推”团伙，在多地打着帮助激活医保电子凭证的幌子，骗取了两万余名老年人的姓名、身份证号码、人脸等生物识别信息，批量注册并实名认证支付宝账户后，非法倒卖获利180余万元。法院以侵犯公民个人信息罪判处25人九个月至三年九个月不等有期徒刑，并处罚金。该案的核心，就是假借便民服务名义，违背“最小必要”和自愿同意原则，超范围采集人脸等敏感个人信息，属于典型的隐性侵权。

判断采集是否过度，消费者只要追问一句：我不提供这项信息，你还能不能正常服务？个人信息保护法第六条要求信息处理具有明确、合理的目的，与处理目的直接相关，并限于实现目的的最小范围；民法典第一千零三十五条同样要求处理个人信息遵循合法、正当、必要原则，不得过度处理。因此，普通食客扫码点餐，商家一般无需获取通讯录或精确定位；办理一般会员业务，商家也不能不加区分地一概索要身份证信息。

商家不得将非必要授权当作消费者获得服务的门槛。个人信息保护法第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。以个人同意为基础收集信息时，商家必须保证用户充分知情，并由其自主明确作出选择，不能用默认勾选替代主动同意，也不能把告知内容藏在冗长晦涩的格式条款里。

刷脸也是当下常见的身份核验方式之一。人脸信息属于敏感个人信息，商家处理这类信息时，应当履行更为严格的保护义务。《人脸识别技术应用安全管理办法》第十条进一步明确：实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式；个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。

隐性侵权往往就藏在“不同意就不能用”的强制流程中。面对这类要求，消费者并非只能被动接受，看清授权范围、保留页面证据、向商家询问采集必要性、提出替代方案，都是依法说“不”的方式。商家过度采集信息、侵害消费者权益的，消费者有权要求停止侵害、删除违法收集的信息，并依法主张赔偿。

盲区3 账号注销后信息未“清零”

账号早已注销，营销短信依旧源源不断；业务办结许久，提交的证件照片仍保存在系统里；合作协议终止，受托服务商还在持续留存客户名单。信息收集环节合法，不代表处理者可以无限期持有、随意使用。

服务结束，信息保护义务不会随之终止。即便自然人死亡，相关信息也不能任意流转。最高检此前发布的一起案例中，某医院医护人员违规将逝者及其近亲属信息提供给殡葬从业者牟利，检察机关通过行政公益诉讼推动查处整改。依据个人信息保护法第四十九条规定，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使查阅、复制、更正、删除等权利；死者生前另有安排的除外。

个人信息的保存期限，应根据处理目的和法定要求确定，不能由经营者任意延长。个人信息保护法第十九条规定，除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。第四十七条进一步要求，处理目的已实现、无法实现或者为实现处理目的不再必要，或者处理者停止提供服务、保存期限届满等情形出现时，处理者应主动删除相关信息，不能等个人提出请求才处理。当然，注销账号、订单完成不等于所有信息必须立刻清除。如果法定保存期限尚未届满，或者因技术原因难以删除的，处理者应当停止除存储和采取必要安全保护措施之外的处理，尤其不能用于商业推销。

信息委托第三方处理的场景同样要落实退出机制：委托合同终止，受托人应当按约定和法律要求返还或删除信息，不得擅自保留、转售。个人注销账号、终止服务时，可以同步询问信息处置方案、留存范围、法律依据和保存期限，必要时书面申请删除，并留存对方答复记录。处理者无合法依据持续留存、使用信息，需要承担停止侵害、删除信息等民事责任；非法留存后又出售、对外提供信息，达到刑事立案追诉标准的，还可能构成侵犯公民个人信息罪。

盲区4 “搜得到”不等于能“随便用”

今年5月，大兴检察院发现，某马拉松赛事的主办方将38万余张包含选手人脸信息的参赛照片直接公开发布在直播平台，公众不用登录、不经核验即可随意浏览、批量下载。该院开展抓取实验，仅用时199.3秒便成功抓取照片2225张，全程未触发任何拦截、校验等安全防护机制，平台未设置有效的防批量获取措施。测试模拟了非法窃取个人信息的常见手段，且照片长期留存于服务器，泄露风险在赛事结束后仍然存在。

参赛信息本就发布在网上，赛事主办方未设防爬取措施是否尽到安全保障义务？第三方批量爬取、搜集、转卖是否会触犯法律？关键在于，公开有目的，利用有边界。个人信息保护法第二十七条允许信息处理者在合理范围内处理已经合法公开的信息，但个人明确拒绝的除外；利用公开信息对个人权益有重大影响的，还应依法取得个人同意。可见，公开不等于放弃个人信息权益，“网上能搜到”不是免责理由。信息一旦被批量归集、筛选、转卖，风险就不再局限于发布页面本身，极易沦为精准骚扰、电信诈骗的工具。

判断处理公开信息是否越界，要综合考量信息发布目的、信息敏感程度、处理方式和可能带来的损害风险。比如，为咨询房源联系房东，与批量归集特定群体信息后转卖，目的和风险显然不同。信息处理者未设防爬取措施即公开，属于未尽到安全保障义务，或者超出合理范围使用公开信息，侵害个人信息权益的，可能构成民事侵权；如果违反国家规定，非法获取、出售或者提供公开的个人信息，情节严重的，则可能构成侵犯公民个人信息罪。

法官有话说

一次授权，不应成为失控的起点

个人遇到疑似侵权时，第一步是固定证据，保存隐私政策、授权截图、异常短信、通话记录及沟通记录，随后向信息处理者提出查询、解释或删除等请求。对方无正当理由拒绝的，既可以向履行个人信息保护职责的部门投诉举报，也可以向法院提起诉讼；涉嫌犯罪的及时报案，侵害众多人权益的，还可以向检察机关提供公益诉讼线索。遭受损失的，可依法主张赔偿。

我国个人信息保护法第六十九条确立过错推定规则：处理个人信息时侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。过错推定减轻了个人的举证负担，但并非免除举证义务，及时固定相关线索仍是维权的重要一步。

对企业和机构而言，信息合规不是“多一道手续”，而是守护用户信任；对平台来说，安全管理不能停留在事后封堵，而要覆盖全流程风险防控；对每一个公民来说，主动维权也不是小题大做，而是行使法律赋予的正当权利。

一次授权，不应成为个人信息失控的起点。让每一次收集都有必要、每一次使用都有边界、每一次留存都有期限、每一次公开都有尺度、每一项权利都有回应，法律保护才能真正走进日常生活。

（作者单位：北京市朝阳区人民法院）

责任编辑：王梓辰

文章来源：http://www.71.cn/2026/1111/1307737.shtml