个人信息被内部人员倒卖，企业要担责吗？答案是：通常要担，而且举证的压力往往在企业这一侧。个人信息保护法确立了过错推定规则——处理者不能证明自己没有过错的，就要承担损害赔偿等侵权责任。下面把企业为什么担责、担什么责、内部人员自己又面临什么讲清楚。
先说结论
- 处理个人信息侵害个人信息权益造成损害的，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
- 任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。
- 企业内部人员倒卖信息，除企业担责外，情节严重的还可能构成犯罪，被追究刑事责任。
为什么「员工干的」企业也要担责
结论：个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全；员工利用职务便利倒卖信息，企业通常难以一句「是个人行为」就撇清。
企业内部人员能接触到海量个人信息，靠的就是职务和工作系统。企业既然掌握了这些信息，就要对处理活动负责，包括建立内部管理制度、对信息分类管理、采取加密和去标识化等技术措施、合理确定操作权限并定期对从业人员进行安全教育和培训。如果权限管理松散、系统权限谁都能开、离职人员账户不清、日志不留痕，出了问题就很难说企业「没有过错」。所以「内鬼倒卖」并不是企业的免责金牌，反而是企业安全管理不到位的常见表现。
举证责任倒置是这类案件的关键
结论：处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任；也就是说，是企业在举证证明自己无过错，而不是你来证明企业有过错。
这是个人信息保护法里分量很重的一条。普通侵权案件，一般要由受损害的一方证明对方有过错；但在个人信息侵权里，法律把举证责任倒了过来。你只要证明自己的个人信息权益受到了损害，剩下的「我没错」要由企业自己来证明。对个人来说，这道门槛被大大降低；对企业来说，平时有没有做好安全管理和留痕，直接决定了打官司时能不能自证清白。
赔偿金额怎么确定
结论：损害赔偿责任按照个人因此受到的损失或者处理者因此获得的利益确定；两者都难以确定的，根据实际情况确定赔偿数额。
现实中，个人信息被倒卖造成的损失往往难以精确计算，这就用得上这条规定。能算清你损失多少的，按损失赔；能查实企业因此获利多少的，按获利赔；两者都难以确定的，由法院根据实际情况确定赔偿数额。至于企业内部人员倒卖信息，情节严重的，还可能构成侵犯公民个人信息等犯罪，被依法追究刑事责任，企业也可能面临相应的行政处罚。
法律依据
- 《中华人民共和国个人信息保护法》第六十九条处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
- 《中华人民共和国个人信息保护法》第九条个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。
- 《中华人民共和国个人信息保护法》第十条任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。
发现个人信息被某家企业（比如你办过卡的商家、用过的 App、登记过的平台）的内部人员倒卖，别只盯着那个「内鬼」，企业自己往往也脱不了干系。举证上你占优势：你只需初步证明自己受到了损害，企业要自证「我没有过错」，证不了就要担责。维权时把能证明损害的材料、与该企业存在业务往来的凭证，以及对方承认或媒体报道等线索保存好。赔偿不仅有「实际损失」「对方获利」两条计算路径，两者都难算的还会由法院按实际情况确定数额。若情节严重，倒卖信息的内部人员可能构成犯罪，还可以向公安机关报案。
一句话总结
结论：个人信息被内部人员倒卖，企业通常要担责；个人信息保护法实行过错推定，企业不能证明自己没有过错的，就要承担损害赔偿等侵权责任，内部人员情节严重的还可能被追究刑事责任。
延伸阅读
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。