一、结论先行：过错推定降低了门槛，但损害仍需证明
个人信息泄露后主张赔偿，最关键的规则是《个人信息保护法》第六十九条：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这是一条过错推定规则，举证责任在处理者一方。
但必须清楚：过错推定只解决了「过错」这一要件的举证，损害的存在与因果关系仍需由原告证明。实践中大量案件败诉或获赔极低，原因不在于过错难证，而在于损害难以量化——「信息被泄露」本身不等于「产生了可赔偿的损害」。
二、请求权基础与举证结构
个人信息泄露的民事救济，通常有三条请求权基础并行：
- 个人信息权益侵权：《个人信息保护法》第六十九条＋《民法典》第一千零三十四条至第一千零三十九条（隐私权与个人信息保护）。
- 隐私权侵权：泄露内容涉及私密信息（如医疗记录、行踪、私密照片）时，可依《民法典》第一千零三十二条主张隐私权侵害。
- 网络服务提供者责任：《民法典》第一千一百九十五条至第一千一百九十七条（通知删除规则与知道规则）。
| 要件 | 由谁举证 | 原告要准备什么 | 被告可能的抗辩 |
|---|---|---|---|
| 处理行为 | 原告 | 证明被告收集、使用了其个人信息（注册记录、订单、服务协议） | 否认处理关系 |
| 损害 | 原告 | 骚扰电话记录、诈骗损失、信用受损、精神痛苦的具体表现 | 损害不存在或过于抽象 |
| 因果关系 | 原告 | 泄露时间与损害发生时间的关联、信息内容的对应性 | 损害另有来源 |
| 过错 | 被告（推定） | 无需举证，只需指出被告未证明无过错 | 已采取合理安全措施、已尽通知义务 |
三、损失怎么算：三条路径与一个兜底
按第六十九条第二款，赔偿数额按下列顺序确定：
- 个人因此受到的损失：包括财产损失（被骗金额、账户被盗刷）与精神损害。财产损失需要票据、流水等直接证据；精神损害需达到「严重」程度。
- 处理者因此获得的利益：泄露后被用于营销、转卖所获收益。原告通常难以取得，可申请法院调查或要求被告披露。
- 法院根据实际情况确定：前两项难以确定时，由法院酌定。这是绝大多数案件的落点，酌定金额通常不高。
需要注意的是，「信息条数」不是赔偿标准。个人信息保护公益诉讼中常有按条计算的诉求，但民事赔偿仍以实际损害为基础。这一点在实务中存在争议，各地裁判尺度不一。
四、三种维权路径的对比
| 路径 | 法律依据 | 适用场景 | 优劣 |
|---|---|---|---|
| 个人单独起诉 | 《民事诉讼法》普通程序、《个人信息保护法》第六十九条 | 损害明确、金额较大、证据充分 | 可控性强，但成本高、周期长、赔偿金额有限 |
| 代表人诉讼 | 《民事诉讼法》关于人数确定的代表人诉讼与人数不确定的代表人诉讼的规定 | 受害者人数众多、诉求同质 | 可集中维权，但推选代表、登记权利人等程序复杂 |
| 公益诉讼 | 《个人信息保护法》第七十条 | 侵害众多个人权益的违法行为 | 由检察机关、消费者组织或网信部门确定的组织提起，个人不能直接提起 |
第七十条明确：个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。公益诉讼的请求通常是停止侵害、删除信息、赔礼道歉，赔偿金的使用与分配另有规则。
五、起诉前的四项准备
- 固定泄露事实：保存平台的通知、媒体报道、监管通报、异常登录记录，必要时做公证。
- 固定损害证据：骚扰电话录音与通话记录、诈骗报案回执、账户异常流水、就医记录（主张精神损害时）。
- 确定被告：直接收集者、实际泄露者、未履行安全保障义务的平台，可能承担不同责任；委托处理场景下，委托方与受托方的责任划分需依合同与过错判断。
- 选择管辖：一般为被告住所地或侵权行为地；网络侵权案件中，被侵权人住所地可视为侵权结果发生地，便于原告就近起诉。
六、企业侧的应对与减责
对处理者而言，抗辩的核心是证明「没有过错」，可从三个方向准备：事前措施（制度、加密、权限、培训、影响评估记录）、事中处置（发现时间、响应速度、补救措施）、事后补救（通知、协助、赔偿方案）。
《个人信息保护法》第五十七条要求发生或者可能发生泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。及时、充分的通知虽不能免除责任，但在过错认定与赔偿酌定中具有实际影响。
七、常见问题
问：只知道信息被泄露，没有任何实际损失，能起诉吗？
可以起诉，但获赔难度大。仅有「信息被泄露」这一事实，法院通常认为损害过于抽象；若能证明存在具体风险（如持续收到精准诈骗电话、账户被尝试登录），可主张停止侵害、删除信息、赔礼道歉，赔偿金额可能较低或不予支持。
问：平台说「已尽到安全义务」，怎么反驳？
要求其举证具体措施：是否加密存储、是否最小权限、是否有日志审计、是否做过影响评估、漏洞是否及时修复。笼统声称「符合国家标准」而不提供证据的，通常不足以推翻过错推定。
问：泄露是黑客攻击造成的，平台还要赔吗？
要看平台是否尽到安全保障义务。第三方攻击不当然免责：若平台存在系统漏洞未修复、权限管理混乱、未及时打补丁等情形，仍可能被认定有过错。若平台已采取合理措施且攻击手段超出一般防范能力，可能减轻或免除责任。
问：一个人起诉，能代表其他受害者吗？
不能。个人诉讼只解决自己的诉求。要代表他人，需通过代表人诉讼程序，由当事人推选代表并依法登记；或者由检察机关、消费者组织提起公益诉讼。
问：赔偿金额一般有多少？
差异很大，取决于损害的可证明程度、泄露信息的敏感程度、平台的过错程度与地方裁判尺度。多数个人诉讼的判赔金额不高，这也是此类案件多通过公益诉讼或行政投诉解决的原因。具体金额应结合个案证据评估。
八、小结：先固定证据，再选路径
数据泄露维权的顺序应当是：固定泄露事实与损害证据 → 判断损害是否可量化 → 选择个人诉讼、代表人诉讼或向检察机关/消费者组织反映。跳过证据固定直接起诉，往往因损害无法证明而败诉；而损害确实重大的案件，则应尽早引入专业评估，避免在酌定环节失去议价空间。
法条与依据核验：《中华人民共和国个人信息保护法》第六十九条（过错推定与损害赔偿的计算顺序）、第七十条（公益诉讼的提起主体）、第五十七条（泄露的补救与通知义务）、第五十一条（安全保护措施）、第六十六条（行政责任）；《中华人民共和国民法典》第一千零三十二条至第一千零三十九条（隐私权与个人信息保护）、第一千一百六十五条（过错责任）、第一千一百九十五条至第一千一百九十七条（网络服务提供者的通知删除规则与知道规则）；《中华人民共和国民事诉讼法》关于代表人诉讼（人数确定与人数不确定两类）的规定、关于网络侵权案件管辖的规定；《中华人民共和国刑法》第二百五十三条之一（侵犯公民个人信息罪，作为刑事救济途径）。特别说明：民事诉讼法代表人诉讼的具体条号在历次修正中有调整，援引时请核对现行文本；个人信息泄露案件的损害认定、精神损害「严重」的判断、按信息条数计算赔偿的可行性，各地裁判尺度不一，实务中存在争议，文中已作提示；本文未引用具体案号与判赔金额，具体案件应结合证据单独评估。
