當(dāng)個(gè)人信息被用于顏值打分時(shí)，信息裸奔時(shí)代的人們?cè)僖淮螒嵟恕?

近日，中國人民大學(xué)畢業(yè)生馬某某涉嫌在校期間非法獲取學(xué)校內(nèi)網(wǎng)數(shù)據(jù)，收集全校學(xué)生個(gè)人隱私信息，并公開發(fā)布在網(wǎng)站上進(jìn)行顏值打分。目前，北京海淀警方已經(jīng)依法刑事拘留馬某某，案件正在進(jìn)一步調(diào)查中。

當(dāng)事件曝光時(shí)，中國人民大學(xué)在校生小琳的第一反應(yīng)是驚訝：“他是通過什么方式獲取這些數(shù)據(jù)的？從哪里獲得的”，隨之而來的是憤怒以及被冒犯的厭惡。

澎湃新聞梳理了近三年 52 份學(xué)生個(gè)人信息泄露的相關(guān)裁判文書，試圖探究到底是誰在泄露學(xué)生信息，哪些環(huán)節(jié)出了紕漏，又是誰應(yīng)當(dāng)為此負(fù)責(zé)？

廉價(jià)的個(gè)人信息：

1 元能買 200 名學(xué)生的信息

這 52 份判決書透露著與學(xué)生個(gè)人信息泄露相關(guān)的“罪與罰”。

有 39 份明確了信息泄露的主要類型——個(gè)人基本信息、學(xué)校信息是泄露最多的信息類型，包括姓名、性別、出生年月、院校、專業(yè)、班級(jí)等。此外，不法分子還獲取了身份證、貸款信息等更敏感的個(gè)人信息。

除了學(xué)生相關(guān)個(gè)人信息外，學(xué)生群體的信息泄露往往還伴隨家長個(gè)人信息的“裸奔”。據(jù)不完全統(tǒng)計(jì)，有 53% 的學(xué)生信息泄露案件涉及家長個(gè)人信息泄露。

而這些個(gè)人信息的單價(jià)極其低廉，《王某某侵犯公民個(gè)人信息刑事一審刑事判決書》顯示，不法分子僅花費(fèi) 1 千元就買到 18 萬條學(xué)生信息，約等于只花 1 元就可以買到 200 個(gè)人的信息。

不同類型的個(gè)人信息在泄露、組合后，成為不法分子進(jìn)一步實(shí)施侵害的“原料”。而這些侵害又往往以電信詐騙的形式出現(xiàn)。

江蘇省無錫市惠山區(qū)人民法院于 2020 年審理的案件中，被告人王宜恒利用事先在網(wǎng)上購買的學(xué)生家長個(gè)人信息和 QQ 號(hào)碼，使用偽造的培訓(xùn)通知書，冒充子女身份，以需繳納培訓(xùn)費(fèi)為由，多次騙得被害人錢財(cái)共計(jì)人民幣 76120 元。判決書顯示，被告人王宜恒犯詐騙罪、侵犯公民個(gè)人信息罪等，數(shù)罪并罰被判處有期徒刑四年三個(gè)月，罰金 5000 元。其中，犯侵犯公民個(gè)人信息罪的部分，判處有期徒刑三個(gè)月、罰金 3000 元。

通過梳理多份判決書的量刑標(biāo)準(zhǔn)可以看到，在侵犯公民個(gè)人信息罪的刑罰上，會(huì)考量信息泄露體量、犯罪手段、犯罪目的等多方面因素。

對(duì)比《蔡滔侵犯公民個(gè)人信息一審刑事判決書》（下稱蔡滔案）及《張曉東侵犯公民個(gè)人信息罪一審刑事判決書》（下稱張曉東案）兩份判決書可以看到，被告人均被判處 4 年 9 個(gè)月的有期徒刑，但涉案的個(gè)人信息體量卻差異顯著。

蔡滔案涉及侵犯公民個(gè)人信息 1603 萬條，非法獲利 3.8 萬元；張曉東案涉及侵犯公民個(gè)人信息 27.9 萬條，非法獲利 238 美元（約 1723 元）。法院指出，由于張曉東案在非法獲取公民個(gè)人信息中，使用了侵入、控制他人計(jì)算機(jī)等手段，情節(jié)特別嚴(yán)重，量刑上要重于其他類似公民個(gè)人信息泄露體量、獲利的案件。

專家：企業(yè)等單位應(yīng)設(shè)定

并實(shí)施數(shù)據(jù)合規(guī)制度

關(guān)于馬某某獲取學(xué)校內(nèi)網(wǎng)數(shù)據(jù)的途徑，目前尚不清楚。而在以往案例中，不少犯罪分子是借著“職務(wù)之便”，獲取大量學(xué)生個(gè)人信息。52 份裁判文書中，至少有 1/3 都是此類情況。

一則曾被多家媒體報(bào)道的案例是，成都多所高校學(xué)生突然發(fā)現(xiàn)他們“被就業(yè)”，有企業(yè)盜用了他們的身份信息，用于逃稅。而信息泄露的源頭是，某保險(xiǎn)公司員工泄露了其在職時(shí)獲得的學(xué)生信息名單。

上述案例都告訴我們，學(xué)生信息泄露的漏洞往往在于接觸到數(shù)據(jù)的員工。

而學(xué)生個(gè)人信息泄露的責(zé)任通常歸咎于個(gè)體，不會(huì)落到公司頭上。在 52 份相關(guān)文書中，僅有兩例是公司需要為個(gè)人信息泄露負(fù)責(zé)，而其他 50 例都是由個(gè)體來承擔(dān)責(zé)任。

一份判定公司違法的文書提到，某教育咨詢公司法定代表人從網(wǎng)上購買了 27 萬余條學(xué)生信息，并雇傭他人使用這些信息，以打電話、上門免費(fèi)授課等方式推銷教育軟件。該公司借此獲利至少六萬元。最終法院判定該公司及其負(fù)責(zé)人犯侵犯公民個(gè)人信息罪，并合計(jì)處以 14 萬元的罰金。

在此次人大學(xué)生信息泄露事件中，浙江墾丁律師事務(wù)所創(chuàng)始合伙人麻策認(rèn)為，馬某某可能構(gòu)成侵犯公民個(gè)人信息罪，而學(xué)校和學(xué)生間因?yàn)闆]有“犯罪合意”，學(xué)校一般不構(gòu)成侵犯公民個(gè)人信息罪。

“一般來說，需要綜合考慮犯罪行為是否為單位利益而實(shí)施、是否以單位名義實(shí)施、是否經(jīng)單位決策、違法所得是否歸單位所有、單位是否明知應(yīng)知等因素來考慮企業(yè)等單位是否構(gòu)罪。”麻策告訴澎湃新聞，但如果學(xué)校違反信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門責(zé)令采取改正措施后拒不改正，致使用戶的公民個(gè)人信息泄露，則可能以拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪來定罪處罰。

不過，數(shù)據(jù)安全法和個(gè)人信息保護(hù)法等法律法規(guī)都對(duì)運(yùn)營單位賦予了必要的法定義務(wù)。麻策說，企業(yè)等單位應(yīng)當(dāng)在內(nèi)部制定并實(shí)施數(shù)據(jù)合規(guī)制度，采取必要組織和安全權(quán)限措施，比如設(shè)置信息安全部門，指定個(gè)人信息保護(hù)負(fù)責(zé)人。此外，企業(yè)等單位也應(yīng)當(dāng)培養(yǎng)員工的數(shù)據(jù)合規(guī)意識(shí)，明確違規(guī)紅線，以此來隔絕或減少員工的犯罪牽連概率。

在大規(guī)模信息泄露事件中，麻策建議用戶直接報(bào)警，尤其是當(dāng)個(gè)人信息仍持續(xù)面臨擴(kuò)大化泄露風(fēng)險(xiǎn)的情況下，而企業(yè)等單位也有義務(wù)通知用戶，“目前鮮有企業(yè)會(huì)實(shí)施通告，這無疑會(huì)影響用戶采取保護(hù)措施的時(shí)機(jī)”。