“我在教育机构平台领了份考前复习资料，只注册了账号，推销电话就跟着来了。”江苏苏州的小李至今没想通，自己的个人信息怎么就被“广而告之”了。从填表到刷脸，到底谁拿走了人们的个人信息？
谁在收集
“因为好奇，点击了某网贷App‘查看额度’，结果就接到了各种借贷的电话。”正在北京读研究生的小李告诉记者，仅一次不经意的操作给他引来了无数推销电话。
线上如此，个人信息在线下同样难以“藏身”。
对外经济贸易大学数字经济与法律创新研究中心主任许可说，不少线下场景的信息收集更是重灾区，保险、中介、培训班、各类会员登记，都是个人信息泄露的高发地带。
记者走访发现，不少小区为了“便于管理”，在大门和各单元入口安装了面部识别系统，省去了刷卡环节。然而，这却让不少业主忧心忡忡。
“不光要上传照片，连家庭关系都得填。”北京市朝阳区的江先生说，出于安全考虑可以理解，但一想到个人信息可能泄露，心里就发慌。
当然，生活中有些需要提供个人信息的情形是法律所允许的。
许可指出，个人信息采集以同意为原则，但法律同样明确了例外：为履行合同所必需、为履行法定义务、应对公共安全事件，以及新闻报道和舆论监督等。他举例说明，打车提供位置和联系方式，就属于“为履行合同所必需”，法律允许，无需单独同意。
然而，“为履行合同所必需”提供个人信息的情况，并不等于个人信息可以脱离场景随意使用。
谁在泄露
山东青岛的何女士为了接听孩子升学的重要电话，特意办了一个新的手机号，从未告诉任何人，也未向外拨打过。然而，就在完成志愿填报后的关键期，向这个号码拨打的房产中介、培训机构电话接踵而至。类似的情况还有，湖南郴州的小刘仅一次看牙后，便频繁接到多家私立口腔医院的推销电话。
“学校、医院这类单位掌握着海量个人信息，但限于人员、技术等因素，信息采集和管理常常委托给第三方。”许可分析，这种外包模式可能给信息保护带来隐患。
个人信息究竟通过何种路径泄露，历经多少环节，最终流向何方？
安徽省合肥市公安局网安支队网络案件侦查大队教导员陆宇介绍，经持续深挖侵犯公民个人信息黑灰产业链，发现泄露信息存在多种途径，爬虫盗爬后台、木马植入、钓鱼链接诱导，以及从电商、招聘、公示等公开渠道抓取零散信息、清洗整合建库倒卖的“技术流”手段也层出不穷。
这些涵盖教育、医疗、快递等各类信息的数据，其非法交易已形成闭环的灰色产业链。
疯狂的倒卖行为背后，必然有庞大的需求。究竟谁是买家？
根据近些年破获的多起案件，安徽省合肥市公安局网安支队网络案件侦查大队勾勒出一幅清晰的买家“画像”。陆宇介绍，占比最高的是电信网络诈骗团伙，他们依托精准信息实施定向诈骗，大幅提升作案成功率。其次，部分中介、培训机构批量采购信息，用于电话、短信骚扰式推销。还有假借私家侦探名义，获取住址、资产、婚姻信息，实施跟踪、勒索等非法活动，更隐蔽的是通过网络进行黑灰产运营，收购实名账号、手机号刷控评、薅平台福利、搭建非法工具。
不仅如此，个人信息在交易过程中还被明码标价。从单一的通讯录信息，到包含户籍、征信、医疗等高敏感内容的“精准客户群”，价格从每条几分钱到数十元不等。山西省公安厅网安总队负责人告诉记者，长治公安机关侦破的一起为境外电诈集团提供免验证微信号的侵犯公民个人信息案件，涉案资产达2000余万元。
如何守护个人信息安全
记者在国家计算机病毒应急处理中心官网查阅发现，自2018年3月官网中首次公布检测发现违法移动应用以来，共发布监测涉及超过千余款违法App。
北京大成律师事务所资深律师鲁宁表示，2026年，网信部门、工信部、公安部联合专项行动显著强化常态化事前风险排查，构建“源头预防、过程管控、事后严惩”全链条监管体系，从业务设计前端降低信息泄露隐患。
“公众对个人信息的担忧实际涉及收集、滥用和泄露三个层面。”许可分析，采集是风险的开端，真正的危害发生在滥用和泄露环节，而且极难预防。因此个人信息保护法采取了“全链路保护”策略，在采集环节就予以严格规制。
个人在日常该如何保护隐私信息不被泄露呢？
许可建议，公众可以把握三个原则：首先，对来路不明的App、网站和链接保持警惕，不要轻易点击同意或提交信息；其次，充分利用选择权，对于“单独同意”的内容不要轻易同意，所有单独同意原则上都不会限制用户对App基本功能的使用；第三，一旦发现问题，积极投诉举报。 据新华网