场景
苏州工业园区一家做智能家居的中型公司，去年秋天出了件事。技术部一个离职员工把测试环境的数据库权限带走了，里面存着几万名用户的姓名、电话、家庭住址，还有一部分门锁设备的开锁记录。事情是三个月后一个用户接到精准推销电话才暴露出来的。用户找到公司，公司说“我们也是受害者，是前员工干的”。用户不认，转头向监管部门投诉，又起诉到法院，要求公司赔礼道歉、赔偿损失。
公司负责人很委屈：泄露是员工个人行为，公司已经报警了，为什么还要我担责？这个疑问，正是这类纠纷里最典型的争点。苏州法院审这类案子，看的往往不是“谁干的”，而是“你有没有尽到该尽的义务”。
法律规定
先说清楚泄露通知这件事的法律底子。
《个人信息保护法》第4条界定了什么是个人信息处理，第6条要求处理个人信息有明确、合理的目的，并且限于实现目的的最小范围。第13条列了处理个人信息的合法性基础，第14条规定基于同意的处理，同意应当由个人在充分知情的前提下自愿、明确作出。
关键的是第17条：处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知个人处理者的身份、处理目的、处理方式、信息种类、保存期限，以及个人行使权利的方式和程序。第21条讲委托处理，第23条讲向第三方提供，第24条讲自动化决策，这几条都涉及“告知—同意”的链条。
发生泄露怎么办？《个人信息保护法》第57条要求立即采取补救措施并通知履行个人信息保护职责的部门和个人；第51条要求处理者采取措施确保处理活动合规，包括制定内部管理制度、分类管理、加密去标识化、权限管理、培训、应急预案等。第55条、第56条则涉及个人信息保护影响评估。
《数据安全法》第27条要求建立健全全流程数据安全管理制度，第29条要求发生数据安全事件立即处置并按规定告知用户和报告主管部门，第45条是相应的法律责任。《网络安全法》第21条讲网络安全等级保护制度，第41条、第42条讲收集使用个人信息的规则和泄露后的补救报告义务。
还有一层：如果涉及生成式人工智能服务，《生成式人工智能服务管理暂行办法》第7条、第9条、第11条、第14条、第15条对训练数据、服务提供者的安全义务、投诉举报机制等作了规定。
法院实务怎么判
结合苏州法院公开裁判文书的常见审理思路，这类案子法院通常从几个层面看。
第一，公司有没有建立基本的数据安全制度。法院会看有没有权限分级、有没有离职权限回收流程、有没有日志留痕、有没有应急预案。如果这些都没有，即便泄露是员工个人行为，法院也倾向于认定公司未尽到《个人信息保护法》第51条、《数据安全法》第27条要求的管理义务，存在过错。
第二，泄露发生后有没有及时补救和通知。第57条要求“立即”采取措施并通知。实务中，法院会看公司发现泄露到通知用户之间隔了多久、通知内容是否真实完整、有没有同步报告主管部门。拖得越久、通知越含糊，越容易被认定扩大了损害。
第三，用户的实际损害和因果关系。个人信息泄露案件的难点在于损害举证。法院通常会结合泄露信息的敏感程度、是否已被用于诈骗或精准营销、用户是否因此遭受实际损失来判断。敏感信息（比如住址、行踪、生物识别）泄露，法院对精神损害的认定会相对宽松一些，但个案差异很大。
第四，公司能不能证明自己“无过错”。这是抗辩的核心。报警、配合调查、事后整改，都是有利情节，但不能替代事前的制度建设。法院普遍认为，事前防范义务和事后补救义务是两回事。
需要说明的是，上述只是普遍倾向，具体到每个案子，法院会结合证据、泄露规模、行业特点综合判断，结果可能差别不小。
边界与例外
不是所有泄露都必须通知到每一个用户。《个人信息保护法》第57条的表述是“通知……个人”，但实务中如果泄露的信息经过加密、去标识化，且无法复原识别到特定个人，通知义务的履行方式可以有所调整。另外，如果通知个人成本过高、可能损害个人利益，或者技术上难以实现，法律也留了口子，但要求采取其他有效措施，并向主管部门报告。
还有一种边界：员工个人越权导致的泄露，公司不能简单以“个人行为”免责，但如果公司能证明已建立完善制度、员工是刻意规避管理，责任分配上会有所不同。这属于过错程度的抗辩，不是免责的挡箭牌。
普通人能怎么做
如果你怀疑自己的信息被泄露了，先固定证据：截图、录音、保留推销电话的号码和时间。然后向平台或公司书面提出查阅、复制、更正、删除的请求，这是《个人信息保护法》第44条、第45条、第46条、第47条给你的权利。公司不回应或者回应不满意，可以向网信、市场监管部门投诉，也可以起诉。
起诉时，重点准备两块：一是泄露事实的证据，二是你因此受到影响的证据。损害举证确实难，但法院并非一律不支持，关键看你能否把“泄露—被利用—受损”这条线讲清楚。
律师温馨提示
董坤律师在苏州执业，处理过涉及个人信息泄露通知、数据合规整改和平台责任认定的多类案件，熟悉本地法院在这类纠纷中对管理制度、通知时效、损害因果的审查习惯，也协助企业做过泄露应急预案和权限管理流程的搭建。这类案子往往证据散、争点细，早一点把材料理清楚，比事后补更有用。