刚买完房子，装修公司就来电推销，甚至报出你家房子的面积和地址；刚带孩子在医院查完视力，教培机构就打电话推销课程 ……

类似的情况大家可能或多或少都遇到过，原因也不复杂：个人信息被泄露了。

信息泄露途径不少。有黑客植入木马、盗爬后台窃取，有诈骗团伙利诱套取，也有商户勾结中间商层层倒卖。

诸多途径中，具备合法接触数据权限的行业 " 内鬼 " 作案隐蔽、持续性强，危害尤为突出。

这是警方查获的 " 订单解密 " 团伙的作案工具（四川省内江市公安局供图）

最近公安部公布一批侵犯公民个人信息典型案例，其中就有 " 内鬼窃取、行业倒卖、精准推销 " 的犯罪产业链。

通报显示，在教培机构工作的王某杰为完成招生指标，与多个教培机构工作人员非法交换、出售学生数据，又向多家眼科医院、学校工作人员购买大量学生信息。他们非法获取公民个人信息 50 余万条，涉案金额 30 余万元。

最高法也公布过类似案例。一名铁路车站客运员利用职务便利，非法查询他人搭乘高铁的信息贩卖，其中不少数据用于有偿查询演艺人员等行程信息；新疆乌鲁木齐市公安局破获的一起案件里，某房产局工作人员为了赚 " 外快 "，批量转卖业主信息。

中南财经政法大学纪检监察学院副教授李雷指出，铁路、住房、教育、医疗等公共领域的管理或服务机构，因履行监管或服务职能，自然汇集海量敏感数据，获取信息的幅度和便利性远高于其他行业。这些岗位上的 " 内鬼 " 无异监守自盗。

公众愿意提供信息，是基于对公权力的信任，从业人员应负保密义务。相关人员靠职务便利贩卖个人信息牟取私利，本质上是知法犯法、透支公信力，属于以权谋私，性质更恶劣。

公民个人信息泄露，往往与电信诈骗、网络暴力、敲诈勒索等犯罪行为紧密相连，放大 " 内鬼 " 行为的破坏力。

两高律师事务所管委会主任唐兴华指出，" 内鬼 " 可以批量调取数据库，拿到的通常是完整、精准的一手信息。这些信息流入黑灰产业链后，造成人身或财产损害的风险远高于网络零散搜集的信息，社会危害程度更高。

怎么打击泄露个人信息的 " 内鬼 "？

《刑法》第二百五十三条之一明确规定，违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚。

比如，同样是非法出售 100 条个人信息，如果是 " 内鬼 " 作案，量刑起点门槛更低、处罚力度更重。相关司法解释进一步明确：对 " 内鬼 " 认定 " 情节严重 " 的数量、数额标准减半计算。

强化这种威慑与预防，就是为从源头阻断黑灰产业链，传递出鲜明的司法态度。

但在现实中，防 " 内鬼 " 还得补技术和机制短板。

对外经济贸易大学数字经济与法律创新研究中心主任许可表示，随着个人信息使用场景飞跃式发展，许多企业和单位收集了大量信息，但安全利用、保护个人数据的能力没有同步跟上，形成系统性泄露风险。

例如学校、医院等单位，掌握海量个人信息，但受限于人员、资金等条件，信息采集和管理职能常常委托给第三方。外包模式本身不是问题，问题在于委托方对第三方是否常态监管、及时信息共享。一些单位 " 一托了之 "，后续监督几乎空白，就给 " 内鬼 " 勾结外部留下机会。

公安部最新公布的案例中，陕西咸阳公安网安部门从频繁出现的装修骚扰电话入手，发现犯罪团伙从装修公司收集个人信息，同时从为政府单位提供数据维护的信息公司、为政府提供拆迁项目的服务公司、小区物业、售楼部、村委会等行业工作人员处非法购买个人信息，出售给装修公司、家居经营、房产中介等相关行业工作人员，层层买卖、交换、牟利，非法获取公民个人信息 600 万余条。

在法律层面，对个人信息处理者和履行个人信息保护职责的部门，《个人信息保护法》均设定详细的义务框架；《刑法》亦明确，单位犯侵犯公民个人信息罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

这提醒相关单位，必须在日常运营中强化技术防护手段，落实法定责任，规范数据管理，加强内部监管。打击 " 内鬼 " 不能只靠事后追责，更要靠事前预防。单位要把数据安全当回事，监管把合规审计做到位，多方合力，每一步都做实做细，才可能让 " 内鬼 " 无处下手。