“喂？请问是xxx妈妈吗？这里是xx培训学校，您家孩子想提高英语成绩吗……”

刚刚过去的暑假，一些家长在为孩子挑选培训班、填写报名表单之后，很快便接到一连串推销电话。北京一位家长向《法治日报》记者吐槽道：“对方能够准确报出我家孩子的姓名、就读年级，还说英语班就在我家附近。可是我并没有咨询过这家培训机构。”

受访专家指出，部分校外机构超范围收集学生信息，内部人员违规外泄数据，通过社交平台私下流转交易，多重风险叠加，持续威胁着未成年人的个人信息安全，应依法加强整治。

填一张报名表换来推销轰炸

“填完意向报名表不到一周，接连有四五个培训机构打来推销电话，对孩子姓名、上几年级都一清二楚。”北京一位家长告诉记者，他前不久在学校门口收到的一份传单上留下了孩子信息和自己手机号，没想到信息很快被泄露了出去，不同的培训机构打来电话。

记者近日以家长身份走访北京5家校外教培机构看到，不少纸质报名表、线上报名小程序均设置了大量信息采集项。除学生姓名、年级、父母联系方式等基础信息外，部分机构还要求填写学生身份证号码、家庭住址、家长工作单位、家庭收入等敏感信息。

当被问起收集这些信息是否必要、会不会被泄露时，一家培训机构工作人员表示，收集信息仅仅是为了方便沟通，有些信息可以不填，“我们都是按照教育主管部门的合规备案要求留存信息的，孩子没报名或者课程结束后会进行销毁”。

然而，留下手机号的第三天，其他培训机构的推销电话便打进了记者的手机。

北京一名读高三的学生告诉记者，自己经常接到培训机构的骚扰电话，很多时候是AI的声音“喂，家长你好，我们是xxx培训中心……”，让他不胜其扰。

多位填写过培训意向报名表的受访家长称，报名时并未意识到机构收集这么详细的个人信息是否有必要，更没料到信息会被泄露，“当时觉得留个信息，想报名培训就报名，不报名机构会删除信息”。

记者在采访中发现，也有不少家长因担心个人信息泄露，从不轻易向培训机构留下个人信息。“听说过个人信息被一些不良中介层层转卖的案例”一位家长如是说。

“内鬼”倒卖成信息泄露重灾区

张先生曾在一家教培机构做过兼职，他告诉记者，他们每天有100个信息收集任务，低龄儿童家庭是首选收集目标，机构以领取小玩具为噱头，吸引小朋友和家长领取并留下了手机号。为了快速完成任务，他还会和其他机构的兼职人员互换信息采集表，“数据共享”。至于这些信息最终流向了哪里，他称并不知情。

据媒体公开报道，一些教培机构将学生及其家长信息流转、倒卖，已成为个人信息泄露的重灾区。在一起案例中，涉及全国多地的超千万条中小学生信息数据以每条0.5元到十几元不等的价格被地下交易。

今年8月，公安部网安局公布案例显示，山西太原警方围绕教培精准推销电话开展侦查，破获一起跨多行业侵犯公民个人信息案件。教培机构工作人员为完成招生考核，和同行交换、售卖学生数据，还向学校、眼科医院内部人员收购学生信息，搭建起“内鬼窃取、行业倒卖、精准推销”的犯罪链条，涉案信息50余万条，涉案金额30余万元，多名嫌疑人被提起公诉。

多地办案情况显示，不少学校、教培、研学托管机构的数据权限管理粗放，普通招生、教务人员都可批量导出学生名单；系统缺少访问留痕、异常下载预警功能，有的员工离职后权限没有及时收回，为内部人员盗取数据提供了可乘之机。

协同发力筑牢信息安全防线

中国教育科学研究院研究员储朝晖表示，商业机构追逐商业利益、抢夺生源机会，是学生信息泄露最主要的现实诱因。一些培训机构在采集学生及其家长信息时，主观认为自身存储环境足够安全，实际上难以管控信息后续流转的全部环节，存在信息泄露风险。

“按个人信息保护法第六条‘最小必要’原则，培训机构应严格压缩信息采集范围，明确使用目的并设定保存期限，任务完成后及时清理销毁，切勿长期留存。”储朝晖说，一旦大量敏感信息长期保存又脱离管控，就极易被窃取、倒卖。

《法治日报》律师专家库成员、北京市康达律师事务所高级合伙人孙振勇说，培训机构工作人员借助工作便利，对外出售学生姓名、住址、身份证号等信息，达到情节严重标准的，涉嫌侵犯公民个人信息罪。按照相关司法解释，履职过程中获取的个人信息再对外出售，入罪标准减半，将被从重处罚。

“实践中，一些案件往往只追究了作案员工个人的刑事责任，机构的管理缺位被忽视了。”孙振勇说，培训机构作为个人信息处理者，负有建立内部管理制度、划分访问权限、落实安全防护的法定义务。大量数据被内部人员批量导出倒卖，如果机构没有建立权限管控、操作日志、内部审计机制，即便没有证据证明机构主动参与倒卖，也需要承担行政、民事责任，情节严重的还可能触及单位犯罪。

“链条长、复制成本低，一份数据层层倒卖，溯源难度很大。很多交易依靠私聊、临时群组完成，付款、数据交付相互分离，电子证据固定难度高。”孙振勇说，司法打击应该从源头泄露者、中间商一直追到最终购买和使用数据者，对整条利益链进行追责。监管思路需要从事后惩处转向事前预防，掌握大量学生信息的教育平台、研学培训机构，要落实最小授权原则，完善批量导出限制、异常访问预警、离职人员权限回收、定期合规审计等制度。

储朝晖认为，整治灰色产业链，离不开严格执法查处，鼓励当事人主动举报，提高机构违规操作的法律风险，压实主体责任。治理要从三个维度同时发力：源头坚持适度采集，杜绝过度收集；规范信息保存流转，做好操作留痕，实现流向可追溯；发现倒卖、违规使用行为及时查处，充分利用信息技术手段，对信息流转全流程实施规范化管理。

一张培训班报名表，不应当成为未成年人个人信息失控的起点。当每一个环节都守住法律与制度的关口，才能真正堵住学生信息泄露的漏洞，守护未成年人的隐私安全。