真正决定个人信息泄露能不能拿到赔偿的，是过错由谁来证明

一位读者发来一张截图。某个论坛的帖子里挂着一份名单，他的手机号、身份证前六位和一个三年前用过的收货地址都在上面。他问得很直接：这份名单是谁流出去的，能不能告，能赔多少。

这类问题的答案很少落在"赔多少"上。真正卡住索赔的是另一件事——你说是平台没管好，平台说是被人撞库，谁该拿出证据，规则把举证责任分给了谁。这一点定下来，后面的通知、投诉、起诉才有意义。

认清谁在保管你的信息

先把对象认准。民法典第一千零三十四条给了定义：自然人的个人信息受法律保护；个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、行踪信息等。同一条后面还留了一句：个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。私密信息被泄露，可以按隐私权主张，路径比单纯的信息权益更宽。

处理这些信息的人要守什么规矩，民法典第一千零三十五条写的是合法、正当、必要三项原则，不得过度处理，并要征得同意、公开处理规则、明示处理目的方式和范围。个人信息保护法第五条把诚信加了进去，也点明了禁止的手段——不得通过误导、欺诈、胁迫等方式处理个人信息。第六条收得更紧：处理要具有明确、合理的目的，采取对个人权益影响最小的方式；收集限于实现目的的最小范围，不得过度收集。

网络这条线上还有一层。网络安全法第四十二条要求网络运营者对其收集的用户信息严格保密，建立健全用户信息保护制度。第四十六条把底线画得更硬：任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。

实务里的第一步不是急着起诉，而是分清名单怎么出去的。系统被外部攻击拖库，和内部人员把数据库打包卖出去，追责对象和举证难度完全不同。前者要看平台有没有做到必要的安全措施，后者往往涉及刑事，走另一条程序。

读懂那条通知短信

如果平台知道泄露，它是欠你一个通知的。个人信息保护法第十七条先管事前告知：处理个人信息前，处理者应当以显著方式、清晰易懂的语言告知其名称和联系方式、处理目的与方式、信息种类和保存期限，以及个人行使权利的方式和程序。第五十七条把事后告知写得更具体：发生或者可能发生个人信息泄露、篡改、丢失的，处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

通知里要说清三件事：泄露、篡改、丢失的信息种类、原因和可能造成的危害；处理者采取的补救措施和个人可以采取的减轻危害的措施；处理者的联系方式。

这一条还留了一扇后门。采取措施能够有效避免危害的，处理者可以不通知个人；但如果履行个人信息保护职责的部门认为可能造成危害，有权要求它通知个人。所以没收到短信，别急着松口气——用户在消息群里看到自己的信息被挂牌出售、平台那边一声不响，这种事不止一次。

网络侧的表述与此呼应。网络安全法第四十四条写明网络运营者不得泄露、篡改、毁损其收集的个人信息，未经被收集者同意不得向他人提供，经过处理无法识别特定个人且不能复原的除外；并要求发生泄露、毁损、丢失时，立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。民法典第一千零三十八条的口径一致：及时采取补救措施，按照规定告知自然人并向有关主管部门报告。

收到通知之后，有三样东西值得当场存下来。通知原文和发送号码，这是平台自己承认发生过事件的痕迹；通知里提到的补救动作，比如强制下线、重置密码；还有一个常被忽略的线索——网络数据安全管理条例第十二条要求，提供、委托处理个人信息和重要数据的处理情况记录应当至少保存3年。你的信息被转给过谁，平台手里本该有一本账。这本账是后面追责时最值钱的入口。

走通投诉这条通道

很多人跳过投诉直接去起诉，其实投诉这条路成本低得多，还能逼出材料。

先说向平台自己要。个人信息保护法第五十条要求处理者建立便捷的申请受理和处理机制；拒绝个人行使权利的请求的，应当说明理由。该条第二款补了一句关键的：拒绝的，个人可以依法向人民法院提起诉讼。平台拒绝你，不是终点，反而是一份能带进法庭的书面态度。第二十三条还管着对外提供：处理者把信息提供给其他处理者，应当告知接收方名称、联系方式、处理目的、处理方式和信息种类，并取得单独同意。网络数据安全管理条例第二十三条则要求网络数据处理者及时受理个人查阅、复制、更正、删除、限制处理以及注销账号、撤回同意的请求，不得设置不合理条件限制个人的合理请求。

再说向监管部门说。个人信息保护法第六十五条把门开得很宽：任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报；收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。落到具体城市，通常是网信部门公示的举报入口。网络安全法第五十一条也要求网络运营者建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理。网络数据安全管理条例第二十条则要求面向社会提供产品、服务的处理者建立便捷的网络数据安全投诉、举报渠道。

投诉到底有没有用，看看罚则的刻度。个人信息保护法第六十六条的第一档是责令改正、警告、没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务，拒不改正的并处一百万元以下罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，还可以责令暂停相关业务或者停业整顿。网络安全法第七十一条把侵害个人信息权益的行为交给有关法律、行政法规处理、处罚，对窃取、以其他非法方式获取、非法出售或者非法向他人提供个人信息尚不构成犯罪的，由公安机关依照有关规定处罚。

算清赔偿落在谁头上

回到开头那个问题：谁举证。个人信息保护法第六十九条把答案写得很明白——处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这是过错推定，不是让个人去证明平台有错，而是让平台来证明自己没错。

民法典第一千一百六十五条第二款是同一个逻辑的一般条款：依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。所以平台搬出"我们已经做了加密"这类说法时，要看的不是有没有制度，而是这些制度在这一次事件里有没有真的运转。网络安全法第七十六条也留了兜底：违反本法规定，给他人造成损害的，依法承担民事责任。

平台还会抬出另一个抗辩。民法典第一千零三十六条规定了三种不承担民事责任的情形，其中一项是合理处理该自然人自行公开的或者其他已经合法公开的信息，但该自然人明确拒绝或者处理该信息侵害其重大利益的除外。这一条在信息被二次转手的场景里出现率极高。自己公开过的信息不等于可以随便用——你明确拒绝过，或者处理方式侵害了你的重大利益，抗辩就不成立。

个人信息保护法第二十七条从正面给了同一把尺子：个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，个人明确拒绝的除外；处理已公开的个人信息，对个人权益有重大影响的，还应当依照本法规定取得个人同意。第十条则从反面画了线：任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。一条给边界，一条给禁令，二次转手的人两头都要过。

哪些钱能算进来。按第六十九条第二款，赔偿数额按照个人因此受到的损失或者处理者因此获得的利益确定；两者都难以确定的，根据实际情况确定赔偿数额。精神层面的损失也有出口——民法典第一千一百八十三条规定，侵害自然人人身权益造成严重精神损害的，被侵权人有权请求精神损害赔偿。信息被反复倒手、被拿去精准推销或者行骗的人，这一项经常被漏掉。

如果泄露之后你的信息又被发到某个平台上，责任另有一层。民法典第一千一百九十五条给了通知规则：权利人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施；服务提供者接到通知后应当转送相关网络用户，并根据初步证据和服务类型采取必要措施，未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。通知要写清初步证据和你的真实身份信息，否则对方可以推说没法处理。

那些转载别人信息的账号，过错怎么算，前面提到的网络侵权司法解释第七条给了三项因素：转载主体与其性质、影响范围相适应的注意义务；所转载信息侵害他人人身权益的明显程度；对所转载信息是否作出实质性修改、是否修改标题导致与内容严重不符以及误导公众的可能性。

留住以后还能用的凭据

赔偿的前提是你能说清损失，而说清损失的前提是你能证明发生过什么。

先把自己的权利用一遍。民法典第一千零三十七条给了两条：自然人可以依法向信息处理者查阅或者复制其个人信息，发现信息有错误的，有权提出异议并请求及时采取更正等必要措施；发现处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求及时删除。网络安全法第四十五条的表述几乎一致，并明确网络运营者应当采取措施予以删除或者更正。个人信息保护法第四十四条把这件事上升为一般权利：个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理。

要求删除也不是随口一提。个人信息保护法第四十七条列了处理者应当主动删除的几种情形：处理目的已实现、无法实现或者不再必要，停止提供产品或者服务、保存期限已届满，个人撤回同意，以及处理者违反法律、行政法规或者违反约定处理个人信息；未删除的，个人有权请求删除。

时间上要盯紧。民法典第一百八十八条规定，向人民法院请求保护民事权利的诉讼时效期间为三年，自权利人知道或者应当知道权利受到损害以及义务人之日起计算；自权利受到损害之日起超过二十年的，人民法院不予保护。泄露往往悄悄发生，起算点常年落在你看到那条通知、或者第一次接到诈骗电话的那一天。

证据这块，说几句实在的。截图要连时间和来源页面一起截，录屏比截图更稳；平台发来的通知短信、站内信、邮件都别删；投诉之后拿到的受理回执和答复，哪怕只有一句"已转交相关部门"，也留着；被冒用注册、被办卡产生的费用单据，单独归一个文件夹。

临走的时候他把手机递过来，屏幕上是一条刚到的通知短信，时间是下午两点二十六分。我跟他说这条别删，连号码一起截屏，然后在日历上记一笔——三年的起算点，往往就是从这样一条不起眼的短信开始走的。