个人信息泄露之后，很多人只知道“报警”，不知道还能向谁主张什么。先给结论：《民法典》第一千零三十四条把个人信息的范围定得很宽——能够单独或者与其他信息结合识别特定自然人的各种信息，包括姓名、出生日期、身份证件号码、生物识别信息、住址、电话、邮箱、健康信息、行踪信息等。被侵害后，你可以主张的不只是赔偿，还有停止侵害、删除、更正、查阅复制（第一千零三十五条至第一千零三十八条）。
先说结论
① 个人信息的核心特征是可识别性：能单独或结合其他信息识别到特定自然人，就属于个人信息。
② 个人信息中的私密信息，适用隐私权的规定；隐私权没有规定的，适用个人信息保护的规定（第一千零三十四条第三款）。
③ 处理个人信息应当遵循合法、正当、必要原则，不得过度处理，并符合四个条件：征得同意（法律另有规定除外）、公开处理规则、明示目的方式和范围、不违反法律行政法规和公序良俗（第一千零三十五条）。
④ 六种免责情形（第一千零三十六条）：在自然人或其监护人同意的范围内合理处理；合理处理该自然人自行公开或其他已合法公开的信息（明确拒绝或处理该信息侵害其重大利益的除外）；为维护公共利益或该自然人合法权益合理处理；为履行法定职责或法定义务所必需；为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理。
⑤ 权利内容：查阅、复制（第一千零三十七条第一款）；发现信息有误的，异议并要求更正；发现违法或违约处理的，请求删除。
⑥ 信息处理者泄露、篡改、丢失个人信息的，应当及时采取补救措施并通知履行个人信息保护职责的部门和个人（第一千零三十八条第二款）。
⑦ 《个人信息保护法》是特别法，对处理规则、告知同意、跨境提供、处罚等作了更细的规定，二者配合适用。
一、条文原文
- 《中华人民共和国民法典》第一千零三十四条
- 第一千零三十四条 自然人的个人信息受法律保护。
- 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
- 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
二、个人信息与隐私权的区别
| 对比要件 | 个人信息 | 隐私权 |
|---|---|---|
| 保护对象 | 可识别到特定自然人的信息 | 私人生活安宁与不愿为他人知晓的私密空间、活动、信息 |
| 核心标准 | 可识别性 | 私密性 |
| 权利性质 | 人格权益，兼具财产属性 | 人格权 |
| 保护方式 | 知情同意＋处理规则 | 不得侵害、不得公开 |
| 典型情形 | 手机号、身份证号、行踪、消费记录 | 病历、私密照片、家庭住址 |
| 交叉情形 | 私密信息（如病历）优先适用隐私权 | 同时受个人信息规则保护 |
一句话区分：个人信息看“能不能认出你”，隐私看“愿不愿意让别人知道”。病历既是个人信息，也是私密信息，优先按隐私权保护。
三、被泄露之后能主张什么
主张一，停止侵害、删除。 要求信息处理者立即停止处理、删除相关信息。依据第一千零三十七条第二款、第九百九十五条。
主张二，更正。 信息有误的，可以提出异议并要求更正；处理者应当及时核实、更正。
主张三，查阅、复制。 有权查阅、复制其个人信息（第一千零三十七条第一款）。
主张四，赔偿损失。 造成财产损失的，按实际损失赔；造成严重精神损害的，可以主张精神损害抚慰金（第一千一百八十三条）。
主张五，赔礼道歉、消除影响。 信息被公开传播、造成名誉受损的，可以主张（第一千条）。
主张六，行政投诉与举报。 向网信、公安、市场监管、卫健、金融监管等行业主管部门投诉，要求查处。
主张七，刑事报案。 非法获取、出售、提供公民个人信息，情节严重的，构成侵犯公民个人信息罪（《刑法》第二百五十三条之一）。
四、举证怎么组织
证明“是我的信息”。 身份证、手机号实名登记、账号绑定信息、病历、订单记录。
证明“被泄露”。 收到骚扰电话、诈骗短信的记录；信息出现在公开平台的截图；内部人员出售信息的证据；数据泄露公告。
证明“谁泄露的”。 这是最难的一环。可以从以下方向突破：
- 信息只在特定机构留存过（如只在该医院就诊过），指向性较强；
- 泄露的时间与某次信息提供高度吻合；
- 泄露内容包含只有该机构才掌握的内部字段（如内部编号、就诊卡号）；
- 多个受害人信息同时泄露，指向同一来源；
- 通过报警、行政调查取得证据。
证明损失。 因诈骗造成的财产损失、因骚扰产生的通信费用、为维权支出的公证费与律师费、精神痛苦的证据（就诊记录、证人证言）。
五、边界：这些情况不构成侵害
边界一：在同意范围内处理。 用户同意、且在目的范围内使用，不构成侵害。
边界二：合理处理已合法公开的信息。 但自然人明确拒绝，或者处理该信息侵害其重大利益的除外。
边界三：为公共利益或本人合法权益。 如寻人启事、紧急救助。
边界四：履行法定职责或法定义务。 如司法机关依法调取、行政机关依法采集。
边界五：新闻报道、舆论监督在合理范围内。 但不得过度披露与事件无关的个人信息。
边界六：经过匿名化处理、无法识别到特定人的信息。 不属于个人信息。
六、维权路径：六步
第一步，止损。 修改密码、解绑账号、关闭不必要的授权、注销不再使用的账号。
第二步，固定证据。 截图、录屏、通话录音、短信原文，必要时做公证。注意保留原始载体。
第三步，向处理者主张。 书面要求删除、更正、说明信息来源，保留送达记录。这是后续诉讼的前置事实。
第四步，行政投诉。 向网信办（12377）、公安（110／网络报警）、市场监管（12315）、行业主管部门投诉。
第五步，民事诉讼。 案由为“个人信息保护纠纷”或“隐私权纠纷”，请求停止侵害、删除、赔礼道歉、赔偿损失。
第六步，刑事报案。 涉及批量泄露、出售信息的，向公安机关报案，追究刑事责任。
七、条文关系网
| 条文 | 内容 | 与本条的关系 |
|---|---|---|
| 《民法典》第一千零三十二条 | 隐私权的定义 | 私密信息的保护 |
| 《民法典》第一千零三十三条 | 侵害隐私权的行为 | 具体情形 |
| 《民法典》第一千零三十四条 | 个人信息的定义 | 本条 |
| 《民法典》第一千零三十五条 | 处理个人信息的原则与条件 | 合法性判断 |
| 《民法典》第一千零三十六条 | 处理的免责事由 | 抗辩依据 |
| 《民法典》第一千零三十七条 | 查阅复制、异议更正、删除 | 权利内容 |
| 《民法典》第一千零三十八条 | 安全保障与泄露补救 | 处理者义务 |
| 《民法典》第一千零三十九条 | 国家机关的义务 | 公权力处理 |
| 《个人信息保护法》 | 个人信息的专门立法 | 特别规定 |
| 《刑法》第二百五十三条之一 | 侵犯公民个人信息罪 | 刑事边界 |
八、四个常见误区
误区一：“个人信息就是隐私，只能主张精神赔偿。” 错。还有删除、更正、查阅复制、停止侵害等请求权。
误区二：“信息是别人泄露的，平台没责任。” 不一定。处理者未尽安全保障义务的，要承担责任。
误区三：“我同意了就可以随便用。” 错。同意要在目的范围内，且处理者要遵循合法、正当、必要原则。
误区四：“没造成实际损失就不能索赔。” 可以主张停止侵害、删除、赔礼道歉；造成严重精神损害的，可以主张精神损害赔偿。
九、常见问题
问：接到精准诈骗电话，怀疑信息被某平台泄露，怎么查？
答：先固定证据（通话记录、对方知道的信息范围），向平台书面询问信息来源，向网信、公安投诉；诉讼中可以申请法院调查取证。
问：公司把员工身份证复印件外流，员工能要求赔偿吗？
答：可以。公司作为信息处理者，未尽安全保障义务，应当承担停止侵害、赔偿损失等责任。
问：病历被医院员工拍照外传，能主张什么？
答：病历属于私密信息，优先适用隐私权规定。可以主张停止侵害、删除、赔礼道歉、精神损害赔偿；情节严重的，涉嫌侵犯公民个人信息罪。
问：个人信息被用于训练 AI，能拒绝吗？
答：可以。处理个人信息需有合法性基础，超出同意范围或缺乏其他合法性基础的，可以要求停止处理、删除。
个人信息维权，难在证明“谁泄露的”。三个动作最有用：固定证据（截图、录音、公证）、向处理者书面主张（逼它说明来源）、行政投诉（借助调查权取证）。另外别忘了，你要的不只是钱——删除、更正、停止处理往往比赔偿更实际。
一句话总结：个人信息以可识别性为核心，私密信息优先适用隐私权；被侵害后可主张停止侵害、删除、更正、查阅复制、赔偿；处理者泄露的，要补救并通知。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合证据与实际情况，咨询执业律师或向有管辖权的人民法院提起诉讼。