案情精炼（下称：庞理鹏案）

原告通过去哪儿网购买了东航的机票后，收到与所购航班机票相关的疑似诈骗信息的短信，就此原告起诉北京趣拿信息技术有限公司（下称：去哪儿网）和中国东方航空股份有限公司（下称：东航）泄露其隐私信息，包括姓名、手机号及行程安排。（详细案情见文末：最高人民法院发布第一批涉互联网典型案例）

一、个人信息泄露引发的侵权纠纷中的举证难问题

从笔者对现行司法判例的梳理来看，个人信息泄露引发的侵权纠纷案中，个人因为无法完成举证责任而败诉较为常见。通常，个人在举证证明“被告泄露了原告个人信息”这一事实上就败下阵来。笔者认为，个人在此类案件中举证难的主要原因有三：

第一，证明信息泄露可能需要具备一定的技术知识或条件，而作为个人的原告通常不具备。

第二，原、被告实质上存在地位不对等。个人信息泄露引发的侵权纠纷案件中，原告均为自然人，而被告通常是具有优势地位的企业。在这样的不对等的关系下，原告的取证受到了极大的限制。

第三，现行法下，个人无从了解自身个人信息收集、使用和保护状况。从2012年《关于加强网络信息保护的决定》，到2013年《消费者权益保护法》，再到2017年《网络安全法》，均规定了信息收集要明示收集的目的、方式和范围（义务角度），但并未真正赋予个人权利以保障个人充分维护自身的权益（权利角度）。也即，个人无法寻求法律依据以要求个人信息收集主体提供其收集、使用和保护与该个人有关的个人信息的情况。因此，个人实质上是无从了解自己个人信息使用和保护的实际情况，更无从谈及举证证明信息泄露。（PS：在信息主体赋权方面，笔者认为未来的立法可参考GDPR，但GDPR中确立的权利体系亦有值得商榷的地方，固应批判借鉴。）

二、庞理鹏案中法院对于事实和过错举证的认定

个人信息泄露引发的隐私侵权纠纷案件中，信息泄露行为和过错是原告举证的关键。在庞理鹏案中，法院的观点如下：

对于事实的证明，法院认为，根据《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第一百零八条之规定，对负有举证证明责任的当事人提供的证据，人民法院经审查并结合相关事实，确信待证事实的存在具有高度可能性的，应当认定该事实存在。在庞理鹏案中，法院认为“客观上，法律不能也不应要求庞理鹏确凿地证明必定是东航或趣拿公司泄露了其隐私信息。”在原告证明了其是通过去哪儿网购买了东航的机票时，可认定东航和去哪儿网有能力和条件将庞理鹏的姓名、手机号和行程信息匹配，而他人将此等信息进行匹配的可能性是非常低的。在东航和去哪儿网未举证证明信息泄露具有其他原因的情况下，法院进而认定东航和去哪儿网存在泄露庞理鹏隐私信息的高度可能性，也即原告完成了对事实举证的义务。

对于过错，在庞理鹏案中，法院认为东航和去哪儿网在被媒体多次报道涉嫌泄露乘客隐私后，即应知晓其在信息安全管理方面存在漏洞，但是该两家公司却并未举证证明其在媒体报道后迅速采取了专门的、有针对性的有效措施，以加强其信息安全保护。因此，认定东航和去哪儿具有过错。

三、庞理鹏案引发的举证责任思考

1. 法律不能也不应要求原告证明“必定”是被告泄露了其隐私信息

“最高人民法院发布第一批涉互联网典型案例”中，庞理鹏案被作为其一纳入。最高院在该案的“典型意义”中引用了庞理鹏案二审判决中的一句话，即“客观上，法律不能也不应要求庞理鹏证明必定是东航或趣拿公司泄露了其隐私信息。” 由此可见，最高院也对此持肯定的态度。这对未来个人信息泄露侵权案件的审理具有重要的引导意义。

与庞理鹏案类似，在“林念平与四川航空股份有限公司侵权责任纠纷案”（（2015）成民终字第1634号）中，法院也认为原告举证证明了购票和收到诈骗信息的事实即达到了盖然性的标准，且法院认为原告不具备进一步举证的能力，而被告四川航空处于有利地位，如四川航空未举示证据，则原告无进一步举证义务。但相反，笔者也发现，在诸多案件中，法院基于原告无法证明信息泄露环节的唯一性，公安也未破案，且被告已经尽到了必要的提醒和告知义务，进而未能支持原告的主张。（参见马春艳与中国南方航空股份有限公司网络侵权责任纠纷案（2016）苏01民终3947号，赵俊艳、中国南方航空股份有限公司航空旅客运输合同纠纷案（2017）粤71民终11号）

由此，依最高院的态度，信息泄露引发的侵权案件中，原告无须举证证明信息泄露主体的绝对性。但笔者认为，从举证的角度，原告应证明被告收集了原告的个人信息，且该等个人信息中，某些个人信息仅应为被告所掌握。如庞理鹏案中，行程信息应仅为去哪儿网和东航掌握，任何第三方获悉该行程信息应推定为去哪儿网和东航泄露了该等信息，除非其能证明具有其他正当理由或由他人泄露。

事实举证逻辑图：

2. 信息泄露引发的侵权纠纷依旧适用过错原则

个人信息泄露引发的侵权纠纷通常为隐私权或名誉权纠纷，因而应适用过错原则。但从司法判决中，可以看出不同法院对原告举证义务的要求略有不同。

庞理鹏案中，法院认为经营者违反了《消费者权益保护法》第29条第2款所规定的安全保障义务，即视为其存在过错。在“林念平与四川航空股份有限公司侵权责任纠纷案”中，法院认为被告可以通过举证证明其履行了采取技术措施和其他必要措施，以确保消费者个人信息安全的义务。上述两案中，法院均认定被告具有过错，但却都没有要求原告承担实质的举证义务。相反，在“马春艳与中国南方航空股份有限公司网络侵权责任纠纷案”和“赵俊艳、中国南方航空股份有限公司航空旅客运输合同纠纷案”中，法院均认为原告未举证证明被告存在安全措施不到位的情形，且被告尽到了提示义务，因而不存在过错。

由此，就过错的举证，原告举证证明被告具有泄露信息的高度盖然性是否足矣，进而要求被告举证证明其采取了法律规定的安全保障措施，亦或原告须举证证明被告无安全保障措施或保障措施不到位。

笔者认为在信息泄露的情形下，如某些信息仅应由被告所知悉，但原告证明存在泄露，则应推定被告具有过错。不应苛责原告其他举证义务，毕竟原告无法了解被告是否采取了保障措施或采取了何种保障措施。

过错举证逻辑图：

附：最高人民法院发布第一批涉互联网典型案例（5. 庞理鹏诉中国东方航空股份有限公司、北京趣拿信息技术有限公司隐私权纠纷案）

基本案情

2014年10月11日，庞理鹏委托鲁超通过北京趣拿信息技术有限公司（以下简称趣拿公司）下辖网站去哪儿网平台（http://www.qunar.com）订购了中国东方航空股份有限公司（以下简称东航）机票1张，所选机票代理商为长沙星旅票务代理公司（以下简称星旅公司）。去哪儿网订单详情页面显示该订单登记的乘机人信息为庞理鹏姓名及身份证号，联系人信息、报销信息均为鲁超及其尾号**58的手机号。2014年10月13日，庞理鹏尾号**49手机号收到来源不明号码发来短信称由于机械故障，其所预订航班已经取消。该号码来源不明，且未向鲁超发送类似短信。鲁超拨打东航客服电话进行核实，客服人员确认该次航班正常，并提示庞理鹏收到的短信应属诈骗短信。2014年10月14日，东航客服电话向庞理鹏手机号码发送通知短信，告知该航班时刻调整。当晚19：43，鲁超再次拨打东航客服电话确认航班时刻，被告知该航班已取消。庭审中，鲁超证明其代庞理鹏购买本案机票并沟通后续事宜，认可购买本案机票时未留存庞理鹏手机号。东航称庞理鹏可能为东航常旅客，故东航掌握庞理鹏此前留存的号码。庞理鹏诉至法院，主张趣拿公司和东航泄露的隐私信息包括其姓名、尾号**49手机号及行程安排（包括起落时间、地点、航班信息），要求趣拿公司和东航承担连带责任。

裁判结果

北京市海淀区人民法院于2016年1月20日作出（2015）海民初字第10634号民事判决：驳回庞理鹏的全部诉讼请求。庞理鹏向北京市第一中级人民法院提出上诉。北京市第一中级人民法院于2017年3月27日作出（2017）京01民终509号民事判决：一、撤销北京市海淀区人民法院（2015）海民初字第10634号民事判决；二、北京趣拿信息技术有限公司于本判决生效后十日内在其官方网站首页以公告形式向庞理鹏赔礼道歉，赔礼道歉公告的持续时间为连续三天；三、中国东方航空股份有限公司于本判决生效后十日内在其官方网站首页以公告形式向庞理鹏赔礼道歉，赔礼道歉公告的持续时间为连续三天；四、驳回庞理鹏的其他诉讼请求。

典型意义

随着科技的飞速发展和信息的快速传播，现实生活中出现大量关于个人信息保护的问题，个人信息的不当扩散与不当利用已经逐渐发展成为危害公民民事权利的一个社会性问题。本案是由网络购票引发的涉及航空公司、网络购票平台侵犯公民隐私权的纠纷，各方当事人立场鲜明，涉及的焦点问题具有代表性和典型性。公民的姓名、电话号码及行程安排等事项属于个人信息。在大数据时代，信息的收集和匹配成本越来越低，原来单个的、孤立的、可以公示的个人信息一旦被收集、提取和综合，就完全可以与特定的个人相匹配，从而形成某一特定个人详细准确的整体信息。此时，这些全方位、系统性的整体信息，就不再是单个的可以任意公示的个人信息，这些整体信息一旦被泄露扩散，任何人都将没有自己的私人空间，个人的隐私将遭受威胁。因此，基于合理事由掌握上述整体信息的组织或个人应积极地、谨慎地采取有效措施防止信息泄露。任何人未经权利人的允许，都不得扩散和不当利用能够指向特定个人的整体信息，而整体信息也因包含了隐私而整体上成为隐私信息，可以通过隐私权纠纷而寻求救济。

本案中，庞理鹏被泄露的信息包括姓名、尾号**49手机号、行程安排等，其行程安排无疑属于私人活动信息，应该属于隐私信息，可以通过本案的隐私权纠纷主张救济。从收集证据的资金、技术等成本上看，作为普通人的庞理鹏根本不具备对东航、趣拿公司内部数据信息管理是否存在漏洞等情况进行举证证明的能力。因此，客观上，法律不能也不应要求庞理鹏证明必定是东航或趣拿公司泄露了其隐私信息。东航和趣拿公司均未证明涉案信息泄漏归因于他人，或黑客攻击，抑或是庞理鹏本人。法院在排除其他泄露隐私信息可能性的前提下，结合本案证据认定上述两公司存在过错。东航和趣拿公司作为各自行业的知名企业，一方面因其经营性质掌握了大量的个人信息，另一方面亦有相应的能力保护好消费者的个人信息免受泄露，这既是其社会责任，也是其应尽的法律义务。本案泄露事件的发生，是由于航空公司、网络购票平台疏于防范导致的结果，因而可以认定其具有过错，应承担侵权责任。综上所述，本案的审理对个人信息保护以及隐私权侵权的认定进行了充分论证，兼顾了隐私权保护及信息传播的衡平。

（作者：王文祥律师）