钥匙还没焐热，装修公司的电话先到了。对方张口就叫得出你的姓，知道你是几号楼几单元，甚至清楚你家是一百二十平的三居、上个月底刚拿的钥匙——这就是很典型的业主信息被泄露。一个小区几百上千户，人家能精准挑中你，背后一定有一份按房号排好的名册在流转，格式就是一张 Excel，字段是姓名、房号、手机号、建筑面积、交房时间。这篇讲这张表是什么、从哪漏出去、你怎么查和怎么索赔。
- 业主名册是个人信息，不是物业的“客户资料”，收集有合法基础，但目的被锁死在物业服务本身。
- “为了服务”推不出“可以给装修公司”，提供给第三方属于向他人提供个人信息，要告知并取得同意。
- 泄露口子集中在物业前台与管家、售楼处与中介、门禁和快递柜 App 三处，反查靠录音、时间记录和同批业主比对。
- 索赔走过错推定，你只需站住损害和时间线，物业要自证没有过错；损失算不清的，法院可以酌定。
- 投诉和报案是两条线：前者走 12345、市场监管、网信，后者看有没有越过“情节严重”这道刑事门槛。
一、先定性：业主名册属于个人信息，不是物业的客户资料
结论：姓名加房号加手机号，再带一个面积或交房时间，这组字段已经足以把你从整栋楼里单独认出来，法律上就是个人信息，物业对它的每次收集、使用、提供都必须有依据。
很多人以为“信息泄露”专指身份证号、银行卡号那种东西，自己被知道一个电话号码不值一提。这个判断是错的。标准不是“这信息重不重要”，而是“能不能据此认出特定的人”。房号在小区里唯一，加个姓氏，同单元同楼层基本就锁定了；再加手机号，就是百分百锁定。
- 《中华人民共和国个人信息保护法》第四条个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
- 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
- 《中华人民共和国民法典》第一千零三十四条自然人的个人信息受法律保护。
- 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
- 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
注意两点。法条把“住址”“电话号码”明文列进去了，房号加手机号正好落在列举范围里。另外，“处理”范围很宽，收集、存储、把表格发给别人都算，所以那张名册从建表那一刻起就在法律射程内，“我只是存着没干别的”不是免责理由。也别拿“业主群里本来就有名单”当挡箭牌：群里议事互认，不等于同意任何人抄走去做推销。概念边界见个人信息词条，条文原文在个人信息保护法。
二、“为了服务”推不出“可以给装修公司”
结论：物业收集业主信息的目的，从登记那天起就被限定在物业服务范围内；把名册交给装修公司、建材商、贷款中介，属于处理目的变更，必须重新告知并重新取得同意。
物业会说，登记信息是为了收物业费、发通知、报修上门，这些理由都成立。但“有权收集”和“有权提供”是两件事，中间隔着一道门槛：目的限制和最小必要。
- 《中华人民共和国个人信息保护法》第六条处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。
- 收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
- 《中华人民共和国个人信息保护法》第十三条符合下列情形之一的，个人信息处理者方可处理个人信息：
- （一）取得个人的同意；
- （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
- （三）为履行法定职责或者法定义务所必需；
- （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
- （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
- （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
- （七）法律、行政法规规定的其他情形。
- 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
对着这张清单过一遍，结论很清楚。物业收你的姓名、房号、电话，靠的是第二项“履行合同所必需”——合同要履行，就得联系得上你。但“把名单给装修公司”不在这七项里的任何一项上，只能靠第一项“取得同意”，而同意必须是充分知情下的自愿、明确作出。七类基础的完整边界，另一篇七种合法性基础的边界与例外讲得更细。
所以真正要问物业的是三句话：收这张表的时候告知过用途吗？给第三方的依据是我签过字的哪一份同意？那份同意里写没写接收方是谁、用来干什么？答不上来，就不是“管理需要”，是违法提供。第十七条要求告知的处理者名称、目的方式种类与保存期限、你行使权利的方式，缺一项就是没告知到位，隐私政策该写什么拆得很清楚。
三、三个高发出口：前台管家、售楼处中介、门禁与快递柜
结论：名册不会自己长腿跑出去，它一定是从某个具体的岗位、某台具体的电脑、某个具体的 App 权限里流出去的，先把这三个出口摸清楚，反查才有方向。
第一个出口是物业前台和楼栋管家。名册存在前台电脑桌面上，文件名往往就叫“业主信息汇总”；装修备案、押金、出入证办理都要用它。
第二个出口是售楼处和中介。买房时留的电话、看的户型、算过的贷款全在案场系统里，房子卖完案场撤了，客户资料往哪去常常没人管。中介门店是另一个集散地，带看记录、意向客户表天然带着“谁刚买房”这种标签。
第三个出口是门禁、快递柜、社区团购这类 App 的过度收集。装门禁要通讯录，取快递要位置和相册，这些权限跟“开门”“取件”没有直接关系。人脸属于敏感个人信息，能不能强制刷脸另有专文讲小区装人脸识别门禁，技术红线看人脸识别的合法边界。
物业、售楼处、中介、装修公司都是经营主体，除了个人信息保护法，还受消费者权益保护法约束。
- 《中华人民共和国消费者权益保护法》第二十九条经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。
- 经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。
- 经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。
- 《中华人民共和国个人信息保护法》第十条任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。
这一条有两个抓手特别好用。一是“不得泄露、出售或者非法向他人提供”，把“卖名单”直接写成禁止行为，不用再论证过错；二是最后一款，未经同意或者你明确拒绝，不得发送商业性信息——那通装修电话本身就是违反现场。更细的说明在消费者个人信息保护词条里，名册能不能当商品买卖，边界见数据买卖合法吗。
四、反查来源：把电话里的话当场固定住
结论：反查不靠吵，靠当场把对方的话固定下来；一句“你从哪拿到我号码的”问出去，对方怎么答、答不答得圆，本身就是证据。
接完电话就挂，等到想维权手里什么都没有。把这通电话当成取证机会，三分钟就够。
问来源。“你从哪拿到我号码的？”接着追：“是物业给的，还是售楼处给的？”“你们跟哪个小区签的推广合作？”对方常见的回答有三种：随机拨的、网上买的、跟平台合作的。让他把话说完，别打断。
录音。手机自带录音就够，开头先报一句“现在是十一月三号上午十点，我在接一个装修推销电话”，把时间地点说进去。录完不改文件名，原始文件留在手机里，另导一份到电脑。
比对。这一步最容易忽略，却最有杀伤力。在业主群里问一句：“这周接到某某装饰电话的报个到，写一下接电话的时间。”把回复整理成表：房号、来电号码、时间、对方自称的公司、对方说出的信息。十几户在同一周被同一批号码用同一套话术打过来，都能叫出房号，那份名册的存在基本就钉住了。
- 通话录音原始文件（含开场的时间地点说明），另存一份到云盘
- 通话记录截图：号码、日期、时长、次数
- 短信、微信、加好友申请的完整截图，带时间戳
- 对方在电话里说出的字段清单：姓、房号、面积、交房时间
- 业主群比对表：房号、来电号码、来电时间、对方公司、被说出的信息
- 交房时签的材料复印件，重点找带“信息使用”“服务推荐”的条款
记录做完，先用书面方式问物业一次，别只在电话里说。函件写清三件事：我的信息在你处登记过；某月某日起我持续接到精准推销电话；请书面说明你方收集、存储、提供的依据、范围和接收方。寄 EMS 留回执，这封函把“你已经告知对方”固定在纸面上。投诉答复期限见打 12315 投诉多久必须给答复，被营销电话骚扰的路径见天天收到营销短信和推销电话，同类内容归在个人信息泄露标签下。
五、索赔：损失说不清不是障碍，过错推定先把举证责任推回去
结论：个人信息侵权走过错推定，你不需要证明物业疏忽，只要证明信息被泄露、你受了损害；物业拿不出证据自证没过错，就要赔偿。
- 《中华人民共和国个人信息保护法》第六十九条处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
- 《中华人民共和国民法典》第一千零三十三条除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为：
- （一）以电话、短信、即时通讯工具、电子邮件、传单等方式侵扰他人的私人生活安宁；
- （二）进入、拍摄、窥视他人的住宅、宾馆房间等私密空间；
- （三）拍摄、窥视、窃听、公开他人的私密活动；
- （四）拍摄、窥视他人身体的私密部位；
- （五）处理他人的私密信息；
- （六）以其他方式侵害他人的隐私权。
第一千零三十三条第一项值得单独拎出来：以电话方式侵扰他人的私人生活安宁，本身就是被明文禁止的行为。这给了你一个不依赖“信息泄露”也能成立的请求权，两条可以一起用，赔法不一样，分野见隐私权和个人信息怎么分。
“损失说不清”也有办法。第六十九条第二款给了三档顺序：先看实际损失，再看对方获利，两样都难确定的由法院酌定。实际损失往往是维权花的钱；对方获利就是他卖名单收了多少钱，你拿不到，但可以申请法院责令对方提交。酌定时看信息敏感程度、涉及多少户、传播范围、有没有实际损害。
具体赔多少谁也预判不了。单纯被打了几个推销电话、没有后续损失的，支持金额通常不高；信息被用于精准诈骗、被骚扰到影响工作生活的，认定会明显不同。所以诉求别只盯钱：停止侵害、删除、赔礼道歉、赔偿维权合理开支，加起来才是完整救济。
精神损害抚慰金可以提，门槛在“严重”。单纯被推销电话打扰一般够不上；骚扰持续到失眠、焦虑并因此就医，或者信息被公开传播导致周围人议论，才有讨论空间，尺度见精神损害抚慰金怎么认定。
起诉时被告列物业公司，能证明装修公司参与买卖的一并列上；管辖去被告住所地或者侵权行为地基层法院；诉讼时效三年。要证明“泄露确实来自这一家”，光有时间上的巧合同不够，还得让字段对得上。个人信息泄露怎么索赔把因果链拆得更细，个人信息被侵害怎么索赔从过错推定讲到公益诉讼，证据形式对着个人信息被侵害要收集哪些证据准备。
六、投诉、报案、换物业：三条线各管一段
结论：要对方整改、要一个说法走投诉；要追究卖名单的人走报案；要名册彻底消失走删除请求——三件事目的不同，别指望一个电话全解决。
投诉。12345 是总入口，接单后转属地住建部门物业科或市场监管所。市场监管 12315 更适合对着售楼处、中介、装修公司提，他们受消费者权益保护法约束。网信举报走 12377 和 12321，后者专管垃圾短信和骚扰电话。
报案。公安受理的是涉嫌犯罪的部分。侵犯公民个人信息罪的门槛是三个要件：违反国家有关规定、出售或者提供公民个人信息、情节严重。加重情形是履职或服务过程中获得的信息再出售、提供，从重。
“情节严重”不按固定条数算，看信息类型、数量、违法所得和下游用途。行踪轨迹、征信、财产这类敏感信息门槛低，普通姓名电话门槛高，被拿去实施诈骗又是另一层。所以先看这批信息属于哪一类、被拿去干了什么，再决定报不报。类似判断在快递员卖面单信息会怎么判有对照，不受理之后见报案后不立案怎么办。
换物业。老物业要走，那张表怎么办？方向是删除。
- 《中华人民共和国个人信息保护法》第二十二条个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
- 《中华人民共和国个人信息保护法》第四十七条有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
- （一）处理目的已实现、无法实现或者为实现处理目的不再必要；
- （二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；
- （三）个人撤回同意；
- （四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
- （五）法律、行政法规规定的其他情形。
- 法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
第四十七条第一项、第二项正好卡住“合同到期、服务停止”：目的已实现或不再必要就应当主动删除。第二十二条管另一种情形：名册要交给新物业，必须先告知接收方是谁，改作他用还要重新取得同意。
容易误读的是民法典第九百四十九条：原物业应交还的“物业服务所必需的相关资料”指设备图纸、维保记录这一类，业主个人信息不在其列，不随合同自动转移。新物业应重新收集，或者由业主委员会告知业主后指定移交范围。老物业赖着不交的见物业退出与交接。
实操上发一份《删除个人信息通知书》最管用：写明删除范围、期限，要求书面回复确认，并声明如未删除导致信息继续流出将追究责任，寄 EMS 留回执。
两件事别做。第一，别自己去“买名单”取证。为了证明对方在卖，反手去买一份，很可能把自己变成非法获取个人信息的一方。第二，别把对方的身份证号、住址、家属信息发到网上“曝光”。你本来是受害人，一旦公开他人个人信息，就从原告席走到了被告席。要曝光，只曝光公司名称、来电号码和你自己的遭遇。
下面十问，是业主群里问得最多的。
物业把业主名册给装修公司，一定违法吗？
原则上违法。收名册的依据是履行物业合同所必需，给装修公司超出了这个目的，属于目的变更，要告知并重新取得同意。
交房时签的“信息使用同意书”管用吗？
要看写得多具体。只写“用于相关服务推荐”“与合作商家共享”这类笼统说法，通常不算明确告知；写明了接收方、用途并给了拒绝选项的，才可能有效。
接到装修电话，第一句话该问什么？
问“你从哪拿到我号码的”，再追问是物业给的还是售楼处给的、跟哪个小区签的合作，同时开录音，开头报一句时间和地点。
只有通话记录，没有录音，还能维权吗？
能，难度大一些。通话记录能证明频次和时间，配合集体比对表可以推出名册存在的盖然性；录音的价值在于固定对方说出的字段。
一个人去索赔划算吗，要不要联合起来？
涉及同一份名册的业主联合起来优势明显，十几户的比对表能证明泄露是批量的而非偶然，也更容易让法院相信信息来自同一处理者。
损失说不清，法院会判多少？
三档顺序——实际损失、对方获利、法院酌定。只有几个推销电话、没有后续损失的，支持金额通常不高；事先报出具体数字的说法都不可信。
能不能主张精神损害抚慰金？
可以提，门槛在“严重”。单纯被推销电话打扰一般够不上；骚扰到影响睡眠、需要就医，或者信息被公开导致周围人议论，才有讨论空间。
报案有用吗，多少条才够立案？
门槛不是固定条数，“情节严重”按信息类型、数量、违法所得、下游用途综合判断。先看这批信息属于哪一类、被拿去干了什么。
换了物业，老物业手里的名册怎么办？
可以要求删除。物业停止服务后目的已实现或不再必要，应当主动删除；移交给新物业的，必须先告知你接收方是谁。
门禁、快递柜 App 要我开通讯录权限，能拒绝吗？
能。开门、取件跟通讯录没有关系，属于超出必要范围的收集。拒绝后被限制功能的，可以要求提供替代方案，并向网信部门反映。
延伸阅读
回到最开始那通电话。今天能做的只有三件小事，半小时完成：把这周的推销来电号码和时间抄到一张纸上；回拨最近一通，问一句“你从哪拿到我号码的”并录音；在业主群里发一条比对的消息。做完这三件，你手里就从“一肚子气”变成了一份拿得出手的材料。房产物业类全部篇目在房产物业。
本文为普法内容，不构成针对具体个案的法律意见。具体纠纷请携带材料咨询执业律师。 以上内容不构成正式法律意见，仅为一般性法律知识分享。