"我的信息被泄露了，能找平台赔钱吗？"
"平台说'不是我们漏的，是你在别的网站泄露的'，我怎么办？"
"就几条信息，能赔几个钱？"
PIPL 专门给普通人留了一道"后门"——叫举证责任倒置。这篇就讲清楚：泄露了，钱怎么赔、证据谁出、你能拿多少。
一、PIPL 第 69 条：举证责任倒置
PIPL 第 69 条说：处理个人信息侵害权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
翻译：不是你证明平台有错，而是平台必须证明自己"没过错"——尽到了加密、访问控制、审计等保护义务。平台证明不了，就得赔。
这条规定对普通人极友好：你很难知道平台后台怎么管的，但平台自己最清楚。把"自证清白"的责任压给平台，普通人才有底气去要说法。
赔偿额按这个顺序定（第 69 条第 2 款）：
- 你的实际损失，或企业的违法所得
- 都不好算的，由法院根据实际情况酌定
二、4 万条信息被卖，黑心钱如数吐出
孙某从 2019 年起，把从网上买来、换来的 4 万余条个人信息（姓名、电话、邮箱）通过微信、QQ 卖给他人，赚 3.4 万元，买的人拿去搞虚假外汇推广。
杭州市下城区检察院提起民事公益诉讼，杭州互联网法院 2021 年 1 月 8 日当庭宣判：孙某按侵权获利支付公共利益损害赔偿款 34000 元，并向社会公众赔礼道歉。这是民法典实施后全国首例个人信息保护民事公益诉讼案。
法院认的重点： 大规模倒卖个人信息，损害的是不特定多数人的公共利益。检察院可以代表公众起诉，违法者要把黑心钱全吐出来、用于公益。对用户来说，这意味着你的信息被成规模倒卖，不一定自己一个个去告——公益诉讼能帮你出头，赔款也专用于个人信息保护。
三、内部人泄密，用户被诈骗，企业跑得掉吗
另一类更常见：平台自己人把信息卖了，用户跟着遭殃。京东商城曾有 3 名员工，越权登录公司数据库，非法获取客户个人信息 9313 条后卖给电信诈骗分子，导致大量客户接到诈骗电话、有人被骗钱。北京市大兴区法院以非法获取公民个人信息罪，判这 3 人有期徒刑 1 年 6 个月到 1 年。
案子背后，是被泄露信息的消费者能不能找平台追责。当时就有律师准备调取刑事案卷，替消费者起诉维权；专家也指出，如果用户能证明平台在管理上有过失，是可以向平台主张责任的。
法院认的重点： 内部员工泄密，刑责追的是员工个人；但平台如果没管好权限、没做好安全防护，对用户而言仍可能构成未尽保护义务的侵权，用户可据此主张赔偿。对平台来说，"家贼"不是免责理由——管理漏洞本身就是过错。
四、赔偿数额到底怎么算
很多人觉得"就几条信息，能赔多少"，其实法院算账有几个维度：
- 实际损失：你因为泄露遭到的直接损失，比如被骗走的钱、为维权花的合理费用（律师费、公证费）。能证明，就按这个来。
- 违法所得：企业靠泄露的信息赚了多少，就吐多少。孙某那案就是按 3.4 万违法所得全额判赔。
- 法院酌定：损失和违法所得都难量化时（大多数个人信息案都这样），法院按信息条数、敏感程度、用途、过错情节综合定。实践中，单条普通信息的个案赔偿可能从几十到几百元不等，敏感信息（医疗、金融、行踪）会明显上浮。
关键认知：赔偿不只是"按条数×单价"，平台的整体管理过错、泄露规模、是否用于犯罪，都会拉高金额。群体性泄露一旦进入公益诉讼或集体诉讼，总额可以非常可观。
五、私密信息泄露，还能"加价"赔
如果你的信息属于私密信息（医疗记录、性取向、裸照、私密聊天、行踪轨迹等），泄露不只是违反 PIPL，还叠加侵犯隐私权——民法典第 1034 条明确，私密信息适用隐私权保护。
一个真实判例很有代表性：庞某订了东方航空的机票后，收到诈骗短信，精准报出了航班号、姓名。庞某把航空公司和订票平台（趣拿）告上法庭。北京一中院二审认为，航空公司和平台对庞某的行程信息负有保密义务，未能证明已采取充分保护措施，构成对隐私权的侵害，判赔精神损害抚慰金并公开致歉。案号（2017）京01民终509号，是个人信息与隐私权交叉保护的经典裁判。
法院认的重点： 行程、医疗这类私密信息，企业掌握后就有保密义务；一旦泄露且说不清自己尽到了保护责任，不只是退钱，还可能要赔精神损害。PIPL 出台后，这类案子还能直接套第 69 条举证责任倒置，普通人维权更顺。
六、企业常见"甩锅"话术，怎么破
平台最爱说这几句，逐一拆：
- "不是我们漏的，是你自己在别的地方泄露的"——举证责任倒置下，平台得证明自己没过错；它拿不出防护证据，这句话没用。
- "我们早就加密了"——光说没用，得能拿出加密措施、访问日志、审计记录；内部人能随意导出，说明控制是假的。
- "信息都是用户主动填的，我们没责任"——主动填不代表平台能随便漏，收集后就有保护义务。
- "金额太小不值得告"——你一个人可能觉得麻烦，但公益诉讼、代表人诉讼能把众多用户打包一起主张。
七、人多了，别一个个告：代表人诉讼
泄露往往是一批人同时中招。民诉法规定，当事人一方人数众多的，可以推选代表人进行诉讼，判决对全体登记的权利人有效。
实务路径有两条：
- 人数确定的共同诉讼：被泄露的几百人一起委托，推选几名代表；
- 人数不确定的代表人诉讼：起诉时人数还没确定，法院发公告，到期满前登记的人都能适用判决。
这对普通人最划算：不用每人请律师、写诉状，搭上群体维权的车，分摊成本、放大声量。配合 PIPL 第 70 条的公益诉讼（检察院、消协可提），普通人几乎不缺出头渠道。
八、企业侧算笔账：防比赔便宜
站在企业角度，预防成本和赔偿成本差几个数量级：
- 一套像样的权限管控 + 加密 + 审计日志，年投入可能几十万；
- 一旦大规模泄露，轻则被约谈整改、丢了用户信任，重则公益诉讼索赔千万、责任人被追刑责。
京东那 3 个内鬼案，平台虽追的是员工，但信任崩塌、品牌折损远不止判罚那点。真等泄露了再补救，成本和风险都远超事前合规。
九、除了赔钱，你还能要这些
- 停止侵害：删数据、不再收集（PIPL 第 47 条）
- 赔礼道歉、消除影响（民法典第 995 条）
- 公益诉讼：检察院、消协等可提（PIPL 第 70 条），一个案子覆盖众多用户
十、普通人维权三步走
- 留证：截图、保存泄露通知、被骗记录、诈骗短信原样留好
- 先找平台：要求删除、说明、赔偿，并让它出示已采取的保护措施
- 投诉或起诉：向网信（12377）/消协投诉，或委托律师起诉；涉及多人的，关注有没有公益诉讼或代表人诉讼登记
下一篇给企业：数据合规到底怎么搭，才能不踩上面的坑。
本文案例来源：孙某个人信息保护民事公益诉讼案（杭州互联网法院（2020）浙0192民初10605号，2021 年 1 月 8 日宣判，判令支付公共利益损害赔偿款 34000 元，系民法典实施后全国首例个人信息保护民事公益诉讼案）；京东商城员工非法获取公民个人信息案（北京市大兴区人民法院（2015）大刑初字第1464号刑事判决书，3 名员工非法获取并出售客户个人信息 9313 条，以非法获取公民个人信息罪判处有期徒刑一年六个月至一年）；庞理鹏诉中国东方航空股份有限公司、北京趣拿信息技术有限公司隐私权纠纷案（北京市第一中级人民法院（2017）京01民终509号二审民事判决，认定航空公司及平台对旅客行程信息负有保密义务，未能证明已采取充分保护措施构成隐私权侵害，判令赔礼道歉并支付精神损害抚慰金，系个人信息与隐私权交叉保护的经典裁判）。