未成年人个人信息泄露的表现形式与治理路径

刘权

中央财经大学法学院副院长、教授

随着数字业态蓬勃发展，互联网已深度融入居民日常生产生活场景，未成年人更是名副其实的“数字原住民”。依托庞大的青少年用户群体与丰富的线上行为数据，各类网络平台运用数据采集与算法分析技术，收集、挖掘与利用未成年人个人信息，在优化个性化服务的同时，也带来了安全隐患。《中华人民共和国个人信息保护法》将不满十四周岁未成年人的个人信息纳入敏感个人信息的范畴，未成年人个人信息一旦泄露，易引发网络诈骗、网络欺凌、诱导消费、价值观误导等衍生问题，直接危害未成年人身心健康和公共网络安全秩序。

2026年6月2日，中央网信办牵头多部门召开未成年人网络保护协调机制工作会议，强调要持续加强未成年人网络保护，健全保护制度，整治各类乱象，维护合法权益，培育网络素养。在此背景下，本文聚焦未成年人个人信息泄露的常见情形，分析其深层原因，探索网络保护优化路径，筑牢未成年人网络保护的法治屏障。

未成年人个人信息泄露的类型

依托大数据、算法等技术，网络环境中的信息收集和使用愈发全面精细，同时数据流转链路也变得更为复杂，信息安全隐患不断凸显，个人信息泄露问题成为威胁未成年人网络权益的显著风险，呈现出多样的表现形式。

一是网络平台违规的数据处理活动引发未成年人个人信息泄露。网络平台是个人信息收集、存储、使用的首要载体，平台违规的数据处理活动是未成年人个人信息泄露的典型情形。首先，部分APP存在过度收集与强制授权问题，以功能使用为筹码，强制未成年人及监护人授权通讯录、定位、相册等非必要权限，长期抓取姓名、手机号、实时行踪轨迹等敏感信息。其次，部分网络平台违规留存与滥用未成年人个人信息，《儿童个人信息网络保护规定》第23条提出，“网络运营者停止运营产品或者服务的，应当立即停止收集儿童个人信息的活动，删除其持有的儿童个人信息，并将停止运营的通知及时告知儿童监护人”。但仍有网络平台在用户注销账号、停止服务后私自留存、共享未成年人个人信息，将数据用于精准广告推送、用户数据分析等商业牟利活动。最后，儿童智能手表、学习机等青少年专属智能设备安全防护薄弱，多数设备未配置高强度加密防护系统，缺少安全防护软件加持，人脸、指纹等生物识别信息及日常行为轨迹极易被恶意抓取、窃取，成为未成年人信息泄露的新型漏洞端口。

二是网络用户不当披露隐私信息加剧未成年人信息泄露扩散态势。首先，未成年人用户自身安全防范意识薄弱，在社交、游戏场景主动发布隐私信息，形成无意识的不当披露，放大个人信息泄露风险。其次，监护人同属网络用户，其不当发布行为易造成未成年人个人信息外泄。《可能影响未成年人身心健康的网络信息分类方法》规定，未经监护人同意，不得不当展示不满十四周岁未成年人的学习、生活等可能暴露未成年人个人信息的内容。然而，在日常生活中，部分家长盲目“晒娃”，在短视频平台、社交朋友圈、班级群等公开场景随意发布包含敏感信息的照片与文字内容，公开场景的开放性导致信息快速扩散。最后，在教育场景中，个别学校、校外培训机构合规管理松懈，违规收集、留存学生个人信息，甚至私自将学生名单、家长联系方式等信息泄露、出售给第三方机构，致使未成年人及家长频繁遭遇教育推销、商业骚扰等问题。

三是网络黑灰产攫取滥用数据直接侵害未成年人网络合法权益。随着未成年人数据商业价值不断提升，针对青少年群体的网络黑灰产业链日趋成熟，非法窃取、交易、滥用未成年人个人信息的违法活动频发，危害后果最为严重。一方面，不法分子搭建非法数据交易平台，通过各类灰色渠道批量抓取未成年人姓名、身份证号、家长联系方式、就读院校等关键信息，打包对外售卖牟利；另一方面，不法分子拿捏未成年人猎奇、轻信他人的心理，搭建钓鱼网站、开发恶意软件，以免费游戏皮肤、福利礼包等为诱饵，诱导未成年人通过非官方渠道下载应用程序、点击陌生链接，骗取其身份证号、银行卡号等关键信息，实施精准诈骗，给未成年人及其家庭造成直接经济损失与权益损害。

未成年人个人信息泄露频发的成因

网络环境中未成年人个人信息泄露并非单一因素诱发，而是产业逻辑、规范设计以及治理模式共同作用的结果。剖析未成年人个人信息泄露频发的成因是构建长效保护机制的前提。

一是数据变现的盈利逻辑滋生个人信息泄露的内生风险。当前，网络平台普遍采用免费服务叠加数据变现的商业逻辑。未成年人用户规模大、黏性高、消费潜力强，其个人信息成为平台精准营销、广告推送、用户增长的核心生产要素。在利益驱动下，部分网络平台将数据收益置于用户权益之上，刻意弱化合规要求，通过隐蔽授权、默认勾选、捆绑权限等方式规避监管，平台合规义务虚置，“最小必要”异化为“最大收集”。以数据变现为特征的商业模式挤压了未成年人个人信息网络保护的空间，使泄露风险内生于数字产业运行逻辑。

二是未成年人及其监护人权利行使能力不足造成个人信息保护环节短板。未成年人缺乏信息判断、风险识别与权利主张能力，在数据处理关系中处于被动地位。一些监护人数字素养不足、隐私风险认知薄弱、技术操作能力有限，难以有效行使同意权、监督权与删除权。现有个人信息保护规则多以成年人为基准设计，虽强调特殊优先保护，但在告知同意简化、信息处理禁区、风险预防机制等方面仍细化不足。权利主体能力不足、代理保护实效有限，未成年人个人信息从源头上缺乏有效防护。

三是网络业态复杂与黑灰产隐蔽使传统治理模式遭遇外部挑战。当前，数字业态持续创新，各类面向未成年人的网络应用与服务场景层出不穷，依赖事后查处、阶段性专项整治的传统治理模式难以适配当前复杂多变的网络治理场景，这导致监管工作面临线索发现滞后、取证固证难度大、行为定性争议多等问题，治理精准度与覆盖效能受到制约。与此同时，涉未成年人个人信息的网络黑灰产已呈专业化态势，形成了涵盖非法获取、加工整合、线上交易、落地滥用的完整产业链条。此类交易渠道高度隐蔽，不法分子身份伪装手段多样，大幅提升了执法排查与打击处置的难度，导致未成年人个人信息保护工作长期面临复杂的治理压力。

2026年5月20日，江苏省淮安市，大学生志愿者给小学生讲解《中华人民共和国未成年人保护法》知识。图/视觉中国

未成年人个人信息泄露的治理路径

针对网络环境中未成年人个人信息泄露的多重成因，结合数字业态发展规律与未成年人保护特殊原则，需立足产业逻辑、主体协同、治理体系三个维度，探索未成年人个人信息网络保护的治理路径。

一是细化规则、制定标准，引导互联网企业合规经营。

首先，网络平台应当恪守个人信息保护“最小必要”和最有利于未成年人原则，摒弃粗放式数据变现的逐利逻辑。监管部门可针对未成年人网络服务场景细化规制规则，清晰界定各类网络应用、智能终端的数据收集边界，明令禁止强制授权、捆绑索权、默认收集等违规行为。同时，优化数据处理与存储规则，对未成年人姓名、联系方式、生物特征等敏感信息实行分类加密存储、限期留存管理，完善账号注销、信息彻底删除、权限一键撤回等配套功能。网络平台也需建立常态化合规自查机制，将未成年人网络保护要求贯穿数据采集、加工、流转、利用全链条，压缩信息泄露、滥用的风险空间。

其次，在监护人同意制度的基础上细化未成年人信息同意机制。现阶段统一化的监护同意模式难以适配复杂的网络场景，因此需结合法律规范与未成年人成长特性，分层细化同意适用规则。一方面，基于特别法优于一般法原则统一法律适用标准，采用十四周岁年龄分界的分层同意模式，处理不满十四周岁未成年人个人信息须取得监护人有效同意，十四至十八周岁未成年人可凭借自身认知能力自主作出知情同意，并划分不满十四周岁未成年人个人信息的具体类别；另一方面，全面推广未成年人模式，升级专属内容池，优化未成年人专门设备，打造安全网络空间。这既契合未成年人身心成长规律，也能有效降低平台合规成本，实现未成年人权益保护与网络产业良性发展的平衡。

最后，还应依托强制性国家标准统筹制定行业标准，通过软法压实行业监管职责。监管机关应坚持技术赋能，将网络保护要求融入技术规范，将法规要求通过技术标准落细，主动牵头制定针对性、精细化的配套监管标准与行业规范，填补细分领域制度空白。例如，将于2027年1月实施的《儿童手表安全技术要求》作为儿童智能设备领域首部强制性国家标准，从儿童个人信息处理规则公示告知、使用前监护人单独知情同意、自动化画像推送受限、限制第三方获取设备唯一识别码、敏感权限监护人单独授权等多个方面规范未成年人个人信息保护。

二是夯实家校协同防护基础，强化教育领域信息专项保护。

一方面，针对未成年人主体弱势与网络治理场景复杂的矛盾，需要同步强化未成年人自我防护、监护人监督保护与制度兜底保障。应将个人信息保护知识纳入青少年通识教育体系，提升未成年人风险识别、隐私保护和自我维权能力。面向监护人开展数字素养普及宣传，引导监护人树立科学的网络监护理念，规范自身网络分享行为，履行好日常监督、权限管理的监护职责。

另一方面，在厚植家校协同根基的同时，也应针对性加强教育领域专项保护。教育领域未成年人个人信息保护关乎广大家庭切身利益，是网络合规治理的重点领域。在中央网信办、工业和信息化部、公安部联合开展的2026年个人信息保护系列专项行动中，重点整治了教育机构处理不满十四周岁未成年人个人信息未制定专属规则等方面的问题。

三是统筹治理与司法保障，健全未成年人个人信息保护权利救济体系。

面对网络业态复杂多变、信息侵权黑灰产隐蔽性强、未成年人维权能力薄弱的治理困境，既要革新传统监管治理方式、完善全链条治理机制，也要依托特殊适配规则与司法实践创新，补齐未成年人个人信息保护的制度与救济双重短板。

首先，构建事前预防、事中管控、事后追责的数据全生命周期治理体系。针对线上违规行为动态隐蔽的特点，分级分类严管中高风险功能服务，划定触网安全底线，依托大数据、人工智能等前沿技术搭建智能化监管平台，提升违规线索识别、电子取证、精准定性的现代化治理能力。

其次，健全多元协同共治格局。完善多部门的未成年人网络保护协调机制，优化数据共享、联合执法、协同研判工作模式，凝聚治理合力。同时，激活平台、学校、家庭、社会等方面的协同力量。

最后，深化个人信息保护民事公益诉讼，强化个人信息保护行政公益诉讼，丰富事后治理内容。以广东省广州市黄埔区人民检察院提起的个人信息保护民事公益诉讼案为例，被告刘某非法获取五十万余条学生信息并转售牟利，经广州互联网法院主持调解，被告同意公开赔礼道歉和赔偿损失，并书面承诺彻底清除非法获取的未成年人敏感信息，若再犯自愿承担惩罚性赔偿责任。该案在法律上明确了侵权人清除所非法获取个人信息的责任，在社会层面强化了公益修复与普法警示成效，将未成年人公益保护机制从传统的事后惩戒升级为集清除案涉数据和预设惩罚性赔偿于一体的综合保障机制。

数字时代的飞速发展为未成年人成长打开了网络窗口，也带来了个人信息泄露的现实风险。规范网络平台数据处理行为、构建家校社协同防护体系、完善全流程治理与救济机制，多条路径相辅相成，形成了适配数字新业态的未成年人个人信息保护格局。只有强化法治保障，才能有效防范未成年人个人信息泄露，护航未成年人在健康安全的网络环境中成长。

来源：《中国网信》2026年第7期