数据泄密的法律责任

2023年，数据某电商平台一名运维人员把客户订单表导出到个人网盘，泄密想在家加班处理。律责三天后，数据这份包含80万条姓名、泄密电话、律责收货地址的数据数据出现在境外论坛上。他被判侵犯公民个人信息罪，泄密有期徒刑三年，律责缓刑四年，数据罚金八万。泄密公司同时被监管部门罚款200万元——理由是律责未采取必要技术措施防止数据外泄。一个人图省事，数据两个主体担责，泄密这就是律责数据泄密法律责任的现实切面。

法律上，数据泄密从来不是单一维度的追责。它像一张网，同时罩住个人、企业和监管机构。《个人信息保护法》第66条写得很清楚：违法处理个人信息，情节严重的，对单位处五千万元以下或上一年度营业额百分之五以下罚款，对直接责任人处十万元以上一百万元以下罚款。注意，这是“双罚制”。企业掏钱，个人也可能掏钱，甚至坐牢。

刑事责任的门槛比很多人想象的低。《刑法》第253条之一规定了侵犯公民个人信息罪。司法解释明确，非法获取、出售或提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上，住宿信息、通信记录、健康生理信息五百条以上，其他信息五千条以上，就构成“情节严重”。五十条行踪轨迹——大概就是一个普通人两个月的活动记录。泄密者可能只是复制了一个Excel表格，但法律后果是三年以下有期徒刑或拘役。

企业层面的责任更复杂。数据泄密往往暴露出内部管理的系统性缺陷。2022年，某银行因系统漏洞导致客户信贷数据被外部人员爬取，银保监会开出千万级罚单。处罚依据不是银行主动泄露，而是“未按照规定履行客户身份识别义务”和“未采取有效措施防范外部攻击”。换句话说，法律不只看谁泄露了数据，还看谁本该防住却没防住。企业需要证明自己尽到了“与风险程度相适应的安全保护义务”——这个举证责任相当沉重。

民事赔偿是另一条线。单个用户很难证明自己的具体损失，所以集体诉讼和公益诉讼在实践中更常见。2021年，某快递公司内部人员倒卖面单信息，检察院提起民事公益诉讼，法院判令公司赔偿150万元并公开道歉。赔偿金不是给具体某个用户，而是上缴国库。这种设计让违法成本变得可计算，也倒逼企业把数据安全从“合规成本”重新定位为“经营风险”。

我观察到一个有意思的现象：很多数据泄密案的起点不是黑客攻击，而是内部人员“顺手”操作。某医院信息科员工把患者名单发给做保险的朋友，某教育机构销售把学员信息导出后离职带走。这些行为在法律上几乎没有模糊地带——未经授权导出、提供、存储，就是违法。但当事人往往觉得“只是发个文件”“又没造成实际损失”。法律不这么看。侵犯公民个人信息罪是行为犯，不是结果犯。数据一旦脱离安全环境，危害就已经发生。

监管力度在肉眼可见地收紧。2023年，国家网信办对某出行平台开出80.26亿元罚单，理由包括过度收集用户信息、未有效保障数据安全。这个数字超过了很多上市公司一年的净利润。处罚决定书里有一句话值得所有数据控制者记住：“当事人未按照法律规定建立健全全流程数据安全管理制度。”制度缺失本身，就是违法。

数据泄密的法律责任正在从“出了事再罚”转向“没出事也要查”。企业需要做的是把数据分类分级、权限控制、操作审计这些动作变成日常，而不是等监管上门才补材料。个人则需要明白，工作里接触到的用户数据，不是“公司的资源”，而是“别人的权利”。你把它带出安全边界的那一刻，法律责任就已经开始累积。