场景
苏州姑苏区的王女士上个月在某母婴平台下单买了两罐奶粉。三天前，她接到一个自称“平台客服”的电话，对方一开口就报出了她的姓名、收货地址、订单编号和商品名称，说这批奶粉“检测出问题可以双倍赔付”，让她加个微信号办理退款。王女士照做后，银行卡被转走八千多元。她回头找平台讨说法，平台回复：“我们的系统被黑客攻击了，客户数据是从后台被偷走的，我们自己也是受害者，这个钱没法赔。”
问题就摆在这里：黑客攻破系统，客户数据被泄露，企业能不能一句“我也是受害者”就把责任推干净？
法律规定
先看《民法典》。第1034条把姓名、身份证号、住址、电话、电子邮箱这些都纳入个人信息保护范围，王女士被报出的那几项正好都在里面。第1035条要求处理个人信息遵循合法、正当、必要原则；第1038条进一步写明：信息处理者不得泄露或者篡改其收集、存储的个人信息，应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失。
再看免责条款。《民法典》第1036条确实列了不承担责任的情形，但都是“在同意范围内合理处理”“处理已合法公开的信息”“为维护公共利益或本人合法权益”这几类，并没有哪一条写着“被黑客攻击就免责”。
更关键的是《个人信息保护法》。第9条规定处理者要对自己处理活动负责并采取必要措施保障安全；第51条把“必要措施”具体化了——内部管理制度、分类管理、加密去标识化等技术措施、操作权限、员工培训、应急预案，一项项列得很清楚；第57条要求发生泄露时立即补救，并通知监管部门和个人。第69条则把举证责任翻了过来：处理个人信息造成损害，个人信息处理者不能证明自己没有过错的，就应当承担赔偿责任。
换句话说，法律给企业设的门槛不是“有没有被黑”，而是“该做的做了没有”。《网络安全法》第42条也是同样的思路，要求网络运营者采取技术措施和其他必要措施防止信息泄露，出了事立即补救并告知用户、向主管部门报告。
法院实务怎么判
苏州地区法院处理这类纠纷，一般不会因为企业一句“遭受黑客攻击”就直接判免责，也不会不加区分地把所有损失都压给企业，通常会沿着几条线看。
第一条是告知同意。《民法典》第1035条要求明示处理目的、方式、范围。平台收集了哪些信息、拿去做什么、跟谁共享，如果连规则都没说清，收集本身就有瑕疵，后面的“泄露”责任自然更难推掉。
第二条是安全措施是否到位。法院会看企业有没有按照《个人信息保护法》第51条那一整套去做，比如数据是否加密存储、后台权限是否分级、有没有定期做安全测试、员工能不能批量导出客户信息。实践中，很多企业拿不出完整的安全制度、日志记录和培训档案，要举证“自己没有过错”就很难成立。
第三条是事发后有没有及时补救。法律要求立即采取补救措施并按规定通知监管部门和用户。如果企业拖了半个月才对外说明，法院对其过错程度的认定往往会更重。
在赔偿数额上，个人信息泄露往往很难精确算出每个人的具体损失，法院通常会结合泄露信息的敏感程度、涉及人数、企业的过错程度和获利情况等因素酌情确定。
边界与例外
也不是所有情况企业都要担责。
企业如果能拿出完整的证据链，证明安全制度、加密措施、权限管控、应急预案都在正常运行，泄露确实是黑客利用了当时无法预见的新漏洞，事后补救也及时，被认定无过错或者过错很轻的空间是存在的。
如果客户自身也有明显过错，比如把账号密码借给别人用、在陌生链接里自己填写了身份证号和银行卡号、收到风险提示后没有及时改密码，根据《民法典》第1173条关于过失相抵的规则，企业承担的责任可能相应减少。
还有一种情况是信息本身的问题。经过不可逆的匿名化处理、确实无法识别到具体个人的数据，不构成个人信息，处理规则就不当然适用。反过来，如果泄露的是身份证号、银行卡号、健康信息这类敏感个人信息，法院对企业安全义务的要求会明显更高。
另外，企业及时完成通知和报告义务，通常可以在过错评价时作为减轻情节考虑；但如果连通知都没做，往往会被反过来作为过错加重的依据。
普通人能怎么做
第一，接到能准确报出你订单信息的“客服”电话，先挂断，再从平台官方APP里找客服核实，不要在对方给的链接或微信里操作。这既是防骗，也是保全自己的举证位置。
第二，把证据固定下来。通话录音、短信和微信截图、对方说出的具体信息内容、时间点，都存好。之后向平台书面投诉，要求给出书面答复，保留工单编号，别只在电话里口头沟通。
第三，走投诉渠道。可以向12377、12321举报，也可以向网信部门或12315反映，要求核查平台的数据安全措施是否到位。
第四，立刻改密码、开启二次验证、冻结相关支付方式。这一步不只是止损，也关系到后面责任怎么分——自己没有及时处理导致损失扩大，这部分通常要自己承担。
第五，如果真的发生了转账被骗，先报警，拿到报案回执；再考虑民事索赔，注意诉讼时效是三年，从知道权利被侵害之日起算。
律师温馨提示
董坤律师在苏州执业多年，主要做民商事案件，办过不少涉及个人信息泄露、平台责任、数据合规的纠纷，对苏州本地法院在这类案件里怎么分配举证责任、怎么认定企业过错程度、赔偿数额怎么酌定，有比较直接的办案体会。这类案子能不能站住脚，往往不取决于“黑客攻击”这个说法本身，而取决于企业那一整套安全措施到底做没做、证据能不能拿出来。具体到个案怎么处理，还是要结合合同条款、泄露范围、损失情况逐项分析。
董坤律师，华商（苏州）律师事务所执业律师，代理民商事案件，尤其擅长数据合规与个人信息侵权相关纠纷。