司法层面已经释放明确信号。2026年5月，最高人民法院发布依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例，明确对利用职务便利泄露信息的行业“内鬼”、黑客技术窃取、数据倒卖牟利等行为从重处罚。其中，黄某某等人通过技术手段非法登录学籍学历查询官方平台，获取公民学籍信息后贩卖，人民法院依法从严惩处，彰显了维护政企平台数据安全的决心。依据刑法规定，非法获取、出售公民个人信息五万条以上即构成“情节特别严重”，可处三年以上七年以下有期徒刑，并处罚金。打击学生信息泄露，必须从“治标”转向“治本”，从“罚中间商”转向“全链条追责”。

　　治理的关键，在于把防线前移到源头。

　　学校、教培机构须严格落实个人信息“最小必要”原则，只采集、留存开展教育服务所必需的信息，杜绝无边界、超范围收集学生与家庭信息。同时，应健全内部数据管理制度，加强数据访问、下载、复制的全流程管控，每一次大规模数据调取都要履行审批登记、操作全程留痕可追溯。针对异常批量导出、批量查询等行为，应建立预警和审计机制，从源头封堵信息泄露漏洞。管好离职人员权限，让“人走了、权限还在”的漏洞彻底堵上。

　　平台同样不能置身事外。学生信息在社交平台上被明码标价、在行业交流群中被公然叫卖，平台的技术监测和内容审核责任不容推卸。及时清理售卖学生信息的群组与账号，主动对接监管、司法机关打通线索移交通道，是平台必须履行的法定义务。