因为一份被泄露的快递面单遭遇诈骗，因为一次随意共享的实名信息被冒名注册公司——受害者最常卡住的不是「能不能告」，而是两个具体问题：我怎么证明企业有错？我的损失到底怎么算？个人信息损害赔偿规则在个人信息保护法第六十九条给出了明确答案：过错推定——处理者不能证明自己没有过错的，就要承担损害赔偿等侵权责任；赔偿数额按个人受到的损失或处理者获得的利益确定，两项都难确定的，按实际情况判。第七十条还补了集体救济：侵害众多个人权益的，检察院、消协等可以提公益诉讼。本文把两条拆开讲透，给一条从取证到起诉的完整路。
先看这三个要点
- 过错推定改写举证：不用先证明企业有过错——企业不能自证无过错就推定有错担责；个人的举证重心放在损害与因果关系上。
- 算赔二选一：按「个人损失」或「处理者获利」确定数额，二者取其一即可主张；都难以确定的，法院根据实际情况确定——金额小不是不赔的理由。
- 公益诉讼有主体：侵害众多个人权益的，人民检察院、法定消费者组织和网信部门确定的组织可以起诉；个人索赔与公益诉讼并行不悖。
一、条文原文
- 《中华人民共和国个人信息保护法》第六十九条
- 处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
- 《中华人民共和国个人信息保护法》第七十条
- 个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。
二、索赔要件与举证对照
| 要件 | 条文要求 | 谁举证 | 常用证据 |
|---|---|---|---|
| 违法处理行为 | 违反本法规定处理个人信息 | 个人初步指向 | 泄露通知缺失、超范围收集的页面、监管处罚记录 |
| 损害 | 人身、财产或人格利益受损 | 个人 | 诈骗转账记录、冒名注册材料、精神损害就医记录 |
| 因果关系 | 损害与处理行为相关 | 个人（可用高度盖然性论证） | 信息只在单一平台登记却被精准利用的对应链路 |
| 过错 | 推定，处理者自证无过错可免责 | 处理者 | 其安全措施、合规制度、员工培训、审计记录 |
三、逐款拆解：两个关键机制
机制一：过错推定的攻防。传统侵权里原告要证明对方有过错，第六十九条第一款把它倒过来：个人证明处理者处理了自己的信息、自己受了损害，处理者就要拿出证据证明自己没有过错——有没有做分类管理与加密（第五十一条）、有没有泄露后及时补救通知（第五十七条）、有没有影响评估（第五十五条）。企业拿不出这套合规证据链，推定就成立。这解释了为什么同一类泄露案件，合规扎实的企业可能免责、裸奔的企业必须赔：合规记录本身就是诉讼资产。
机制二：算赔的三个台阶。第二款的顺序是：先看个人损失（被骗的钱、维权支出、可证的精神损害），损失难算看处理者获利（违法处理信息直接变现的数额），两者都难确定的由法院根据实际情况确定——这一兜底把「损失小到没法证明就白告」的死结解开了。实务建议两头都算：损失明细做一张表，对方获利（如倒卖信息的非法所得）有线索的一并提交，法院的自由裁量就有了锚点。
四、边界与误区
- 误区一：「过错推定=企业必然赔」。推定可以被推翻——企业证明已尽合理安全义务且损害由第三方犯罪行为直接造成的，可能不担责或分担；个人仍需认真完成损害与因果关系的举证。
- 误区二：「信息还没造成损失就不能主张」。损害赔偿之外的救济照走：删除、更正、停止侵害不受「已造成损失」限制；发现违法处理即可要求处理并投诉。
- 误区三：「公益诉讼赔了，个人就不能再告」。公益诉讼保护的是社会公共利益，个人的具体损害赔偿另行主张；两轨并行，个人不因等公益诉讼而错过自己的时效。
- 不适用：纯属名誉、肖像的一般人格权侵害走民法典路径；刑事路径（侵犯公民个人信息罪）与民事索赔并行，刑事责任不影响民事赔偿主张。
五、延伸问答
问：被诈骗的损失，能直接向泄露信息的平台要吗？ 有相当难度但非死路：要论证泄露与诈骗之间的合理关联（信息只在单一平台登记、诈骗话术精准复用你的信息、时间线吻合），并固定报案与平台答复记录。因果链越完整，主张越有力；全靠推测的「肯定是它泄的」难以支撑判决。
问：精神损害能主张吗？ 可以。信息被泄露、滥用造成的人格利益损害（骚扰不断、社会评价受损、恐惧焦虑）属于可主张范围，严重程度达到法律要求的精神损害赔偿标准的，一并提出；就医记录、心理咨询记录、骚扰证据都是支撑材料。
问：企业拿「员工个人行为」抗辩，成立吗？ 一般不成立。员工在职务活动中处理用户信息属于企业处理活动的组成部分，内部管理失守（第五十一条的权限、培训义务）本身就是过错的表现；企业内部追偿是它和员工之间的事，对外责任不转移。
问：损害发生后多久内要起诉？ 按民事诉讼时效的一般规则处理，时效自知道或应当知道权利受损及义务人之日起算；发现泄露后尽早发函、留痕、起诉，避免在时效与证据保存两头吃亏。
问：公益诉讼判赔的钱，受害者能分吗？ 公益诉讼赔偿指向社会公共利益的修复，与个人损害赔偿是两条轨道；个人的具体损失仍应自行主张或通过集体性程序申报，别把公益诉讼判决当作个人索赔的自动到账。
问：监管已经罚款，个人索赔还有意义吗？ 有。罚款归财政，赔偿归个人；行政处罚决定认定的事实（违法处理、情节严重）在民事案里还是现成的过错证据，两案联动，索赔反而更顺。
问：损害很小（比如就几十块钱），值得起诉吗？ 算三笔账：直接损失之外，维权支出（公证、时间）可一并主张；小额案件有简易程序与在线诉讼降低成本；另外个案的价值在推动整改与留证。是否起诉是经济判断，但「金额小=必输」是误判。
问：多个受害人可以一起告吗？ 可以。代表人诉讼、集团化的集体维权都能摊薄成本；联合时统一证据模板（时间线、损失清单、平台答复），效率远高于单打独斗。达到「众多」标准的，也可向检察院、消协提供线索推动第七十条的公益诉讼。
问：平台引用「用户协议约定了免责条款」抗辩，管用吗？ 对侵害个人信息权益造成损害的责任，格式化的概括免责条款难获支持——第六十九条的责任基础是法定侵权责任，不能靠协议预先排除；协议里合理分配服务义务的条款另论，免责神券不存在。
问：举证「因果关系」有什么实用技巧？ 三招：排除法（信息只在单一渠道登记过）、对应性（诈骗方掌握的信息与泄露字段精确吻合）、时间线（泄露事件与损害发生的先后衔接）。三招凑齐，高度盖然性就立起来了；散点式的「感觉是它」不行。
问：企业怎么降低第六十九条风险？ 把自证无过错变成日常资产：合规制度、访问日志、培训记录、审计报告、事件响应留痕，平时是成本，诉时是证据。第六十九条真正的威慑在于——合规不好的企业在诉讼里几乎没有牌可打。
问：赔偿主张里律师费、公证费算吗？ 维权合理支出可以一并主张，法院视案件情况裁量支持；票据齐备是前提。把维权成本计入损失清单，也修正了「小额不值得告」的算术。
问：信息被冒用注册了公司，向谁索赔？ 登记环节的审查失守方、信息泄露源头方都可能成为责任主体；先行政途径撤销冒名登记（市场监管渠道），再按过错程度向泄露与把关失守的主体主张赔偿，两步走证据衔接最顺。
问：起诉前要做证据保全吗？ 平台数据随时可能被修改，涉案的关键页面、授权记录、客服答复，能公证的公证、能存证的存证；诉讼中的核实比对，都建立在起诉前固定的版本上，这一步省不得。
问：诉求怎么写更容易立住？ 三层递进：停止侵害与删除（行为请求，几乎必支持）、赔偿损失（按损失或获利举证）、赔礼道歉（人格利益受损时）；先把行为请求立住，赔偿部分再逐项夯实，比一上来只要钱的结构稳得多。
问：和解要注意什么？ 和解协议里避免「永久放弃一切权利」的概括条款——后续同一处理者再发生侵害时会被锁住；保留对未来新侵害的追索、写明保密范围，是和解文本的两个关键细节。
六、实操建议：从发现到起诉的四步
- 固定处理关系与损害：保存你在该平台的登记信息、泄露表现（精准诈骗截图）、损失凭证（转账、报案回执），形成时间线；
- 书面发函要说法：引用第五十七条要求说明泄露情况、引用第五十条要求行使权利的记录留痕——对方答复瑕疵会成为过错推定的弹药；
- 算好两个数：损失明细表＋对方获利线索，哪怕数额保守，也给法院一个可判的锚；
- 多轨并进：向网信部门投诉（可能触发处罚与整改记录）、依第六十九条起诉、影响广泛的关注第七十条公益诉讼线索并提交材料；刑事情节（非法买卖信息）达到标准的，报案走刑事程序。
站内《个人信息泄露怎么索赔：因果关系举证与赔偿数额的确定》《商家泄露消费者个人信息，能赔多少》《个人信息被平台泄露，可以索赔吗？》对具体情形有专文，可对照使用。
一句话总结：第六十九条把举证的球踢给企业——它自证不了干净就要赔；算赔先看损失再看获利、都不行法院兜底；人多了还有第七十条的公益诉讼接力，个人索赔这条路，从取证第一步就比以前好走。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合损害证据与因果关系，咨询执业律师后主张。