近日，上海市人民检察院等三部门联合发布6件涉在校生电信网络诈骗及“两卡”犯罪典型案例，其中“周某、施某帮助信息网络犯罪活动案”引人关注。据判决书（2021）沪0112刑初1165号，某营业厅工作人员周某和施某，利用校园营业点的工作便利，在学生申请售卡后，私自替学生办理校园宽带账号500余个，并非法售卖学生宽带账号牟利。近年来，高校学生办理手机卡业务时被非法获取、盗用个人信息的情况时有发生。本文以“校园电信售卡”活动为例，结合2021年11月1日起将施行的《中华人民共和国个人信息保护法》，谈谈校园电信售卡业务中存在侵害个人信息行为的成因、类型及其对策。

　　校园电信业务中侵害个人信息权的成因及类型

　　校园手机卡业务办理基数大、时间集中。总体来看，校园电信售卡业务中容易发生侵害个人信息权益的原因主要有三点：一是大学新生社会经验不足，缺乏个人信息保护意识，容易在商家诱导甚至欺骗下办理手机卡并签订高额月租套餐合同，或被不法商家套取个人信息后非法办卡。二是电信营业厅在校园内从事电信业务经营活动，本质上不属于学校内部管理范畴，校园管理无法有效监管电信经营者的经营活动。三是电信经营者内部监管不足。校园开学季，电信经营者人手不足，为了抢占消费市场，往往招聘在校学生或其他社会人员进行电话卡兼职推广销售，容易出现侵害用户个人信息的行为。

　　依据《电话用户真实身份信息登记规定》，手机售卡业务需进行实名登记。手机号码实名登记需采用身份证拍照、人脸识别等方式收集个人信息。该活动过程中，可能存在侵害学生个人信息权益的情形，有以下几种：

　　侵害学生个人信息知情同意权。依据个人信息保护法第十三条、第四十四条的规定，个人对其个人信息拥有知情权、决定权，个人信息处理者应取得个人同意才能收集个人信息，且收集的个人信息只能适用于特定目的。电信售卡业务中，一些电信售卡销售人员，通过虚假宣传方式，在未经学生同意前提下骗取其个人信息，非法进行实名登记，侵害学生个人信息知情同意权。

　　违背个人信息处理最小侵害原则。个人信息保护法第六条规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。”手机号码实名登记制度仅需收集个人基本身份信息即可，但在校园电信售卡业务中，有的还收集学生学号信息、班级信息等。

　　个人信息处理缺失事前告知程序。个人信息保护法第十七条列举了四类处理个人信息前应当告知个人的事项，包括：“（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。”在校园电信售卡业务中，有的销售人员为了短时间获得大量销售业绩，违反个人信息处理的正当法律程序要求。

　　个人信息处理者未尽委托处理行为的监管义务。个人信息保护法第二十一条、第五十五条等规定了个人信息处理者对委托处理行为的要求，明确个人信息处理者对受托人的个人信息处理活动进行监督，对处理个人信息行为负责。实践中，有的电信运营商为了降低经营成本实现利益最大化，并未对校园电信售卡兼职人员进行有效监督和培训，从而增加了学生个人信息泄露的风险。

　　校园电信售卡业务中个人信息保护的策略

　　个人信息保护法规定了个人信息处理的基本原则、规则，明确了个人在个人信息处理活动中享有的权利以及个人信息处理者承担的义务。保护校园电信售卡业务过程中学生的个人信息，需要学生、学校、电信经营者共同发力。

　　对学生而言，校园办理电信卡时，应加强个人信息保护意识，选择在营业厅等正规场所办理，提供个人信息前，应主动了解个人信息处理者的身份信息及其联络方式，询问个人信息处理的目的、方式及其保存期限等，妥善保存业务办理的账号密码，及时查询个人月租套餐情况，防止电信业务被他人非法办理使用。遇到个人信息泄露情况时，可选择登录工信部官网“电信申诉”板块进行申诉。

　　对学校而言，应加强对校内人员的管理，防止校外人员进入学校收集学生个人信息。开学季，学校应加强对电信办卡活动的监管，禁止进入学生宿舍园区从事电信售卡活动，规范校园电信办卡业务。此外，学校可通过宣传栏、广播等方式加强对个人信息保护的宣传，提醒学生保护个人信息安全，警惕电信诈骗。

　　对电信经营者而言，在校园内从事电信办卡业务，应加强对工作人员合法开展个人信息处理行为的培训，增强个人信息处理者的法律意识。电信经营者在委托兼职销售人员办理售卡业务时，不得以兼职售卡人员不属于企业人员为由规避个人信息处理义务，应加强对兼职售卡人员进行业务培训，监督其处理个人信息行为，加强内部管理监督，避免用户个人信息被非法利用。

　　（作者单位：东南大学法学院）