个人信息泄露了可以要求赔偿吗？能赔多少、怎么索赔？

一句话回答：可以要求赔偿。《个人信息保护法》第六十九条定的是过错推定——你的个人信息权益因为对方处理信息受到损害，对方证明不了自己没有过错，就要承担损害赔偿等侵权责任。赔多少，先按你的实际损失或者对方因此获得的利益算，两者都算不清的，由法院根据实际情况酌定。

一、法律依据：个保法第69条

《个人信息保护法》第六十九条原文：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

记住两点：一是举证责任对个人有利，你不需要先证明对方有错，对方要证明自己没错；二是赔偿数额的三步法，先看你的损失，再看对方的获利，都算不清就由法院酌定。

二、除了民事赔偿，还有行政投诉这条路

很多人只想着打官司，其实行政投诉往往更快。《个人信息保护法》第六十六条规定，违反本法处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。有前款违法行为情节严重的，由省级以上部门责令改正、没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，还可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。

另外，第五十条规定，个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制；拒绝个人行使权利的请求的，应当说明理由，个人可以依法向人民法院提起诉讼。实务中常见打法是行政投诉和民事诉讼并行：投诉到网信部门，一方面能拿到处理意见，另一方面对方被处罚的事实，往往能成为民事诉讼里很有力的证据。

三、民法典在哪里用得上

《民法典》第一千零三十四条规定，自然人的个人信息受法律保护，个人信息包括姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等；个人信息中的私密信息，适用有关隐私权的规定。第一千零三十八条规定，信息处理者不得泄露或者篡改其收集、存储的个人信息，未经自然人同意不得向他人非法提供，并应当采取技术措施和其他必要措施确保信息安全；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。如果泄露的是私密信息，比如医疗记录、私密照片，还可以按隐私权侵权主张赔偿，包括精神损害。

四、实务中要注意什么

第一，先把信息确实被泄露变成证据。这一环最难：第六十九条是过错推定，但前提是你要初步证明损害与对方的处理行为有关。可以用的通常是对方自己的通知或公告、系统异常提示、异常来电和短信记录、第三方报道、监管部门的处理结果或通报。

第二，把损失尽量算清楚。直接损失（被骗转账、账户损失、通讯支出）最好举证；很难量化时，可以尝试从对方因此获得的利益切入，或者请求法院酌定。只是信息被看到、没有实际损失的情形，法院支持的金额通常不高，别抱不切实际的期待。

第三，注意路径选择。向网信、市场监管等部门投诉成本低、见效可能更快；民事诉讼可以主张停止侵害、删除信息、赔礼道歉、赔偿损失。

提醒一句：个人信息索赔里，金额往往不是最大价值，停止侵害、删除信息、书面说明这些非金钱请求，对很多人更重要，起诉时要把这些请求一并列上。

五、案例分析（示意情景）

下面用示意情景说明（非真实案件）：某公司员工把客户名单导出后离职，随后部分客户接到精准诈骗电话。客户起诉公司，公司主张自己已做了信息安全管理和员工保密协议，没有过错。按第六十九条的过错推定，公司要举证证明自己没有过错；如果拿不出访问权限管理、操作日志、离职交接记录这类证据，就可能被认定要承担赔偿责任。赔偿数额上，客户的实际损失难以确定时，法院会根据信息条数、敏感程度、公司规模等实际情况酌定。具体结果以法院裁判为准，本文不作结果承诺。

六、常见问题（FAQ）

问：个人信息被泄露，起诉时我需要证明企业有错吗？

答：不需要。个保法第六十九条是过错推定，由个人信息处理者证明自己没有过错；你只需初步证明个人信息权益受到损害、与对方的处理行为有关。

问：能赔多少钱？

答：按你因此受到的损失或者处理者因此获得的利益确定；两者都难以确定的，由法院根据实际情况确定赔偿数额，没有固定的标准金额。

问：只被泄露了姓名和电话，能索赔吗？

答：可以主张，但这类信息敏感度低、实际损失难举证，法院支持的金额通常不高。更实际的做法是同时主张停止侵害、删除信息、赔礼道歉。

问：除了起诉，还能向谁投诉？

答：可以向履行个人信息保护职责的部门（主要是网信部门）投诉、举报，由其责令改正、警告、没收违法所得，拒不改正的并处罚款。

问：企业要罚多少？

答：依第六十六条，拒不改正的处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款。

问：泄露的是私密照片、病历，有什么区别？

答：这类属于私密信息，除个人信息保护的规定外，还可适用隐私权的规定主张赔偿，包括精神损害。