网络平台泄露用户数据，当然要担责，而且常常是「双重责任」——既有行政处罚，又有对用户的民事赔偿。平台开展数据处理活动，负有全流程的数据安全保护义务；一旦发生数据安全事件，应当立即采取处置措施、按规定告知用户并向主管部门报告。下面把平台到底要担什么责、用户能怎么办讲清楚。
先说结论
- 平台开展数据处理活动，必须建立健全全流程数据安全管理制度，保障数据安全。
- 发生数据安全事件，应当立即处置，按规定及时告知用户并向主管部门报告。
- 不履行数据安全保护义务的，会被责令改正、警告、罚款；情节严重的可责令停业整顿、吊销执照。
- 因处理个人信息造成损害的，平台不能证明自己没有过错的，就要承担赔偿责任。
- 用户既可以向监管部门举报，也可以依法主张民事赔偿，两条线可以同时走。
平台负有哪些数据安全义务
结论：平台开展数据处理活动，应当依照法律法规建立健全全流程数据安全管理制度，采取技术措施和其他必要措施保障数据安全。
数据安全法第二十七条要求，开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全；利用互联网等信息网络开展数据处理活动的，还应当在网络安全等级保护制度的基础上履行上述义务。对重要数据的处理者，还应当明确数据安全负责人和管理机构，落实数据安全保护责任。
换句话说，「数据安全」不是平台可以自己权衡的可选项，而是法定必须履行的义务。用户信息存得多、用得多，安全防护的责任也就越重。
发生数据泄露必须先做什么
结论：发现数据安全缺陷、漏洞要立即补救；发生数据安全事件要立即处置，并按规定及时告知用户、向有关主管部门报告。
数据安全法第二十九条规定，开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
个人信息保护法第五十七条把「告知」的内容也讲得很具体：发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人；通知应当包括泄露的信息种类、原因和可能造成的危害，平台采取的补救措施和个人可以采取的减轻危害的措施，以及平台的联系方式。瞒报、迟报、不告知用户，本身就是新的违规。
泄露事件越严重，代价越大
结论：发生数据安全事件后拒不改正，或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接责任人员另处罚款。
数据安全法第四十五条把「情节严重」的一档，专门挂在两种情形上：一是拒不改正，二是造成大量数据泄露等严重后果。触发这一档的，除了高额罚款，还可能被责令暂停相关业务、停业整顿，乃至吊销业务许可证或者营业执照；直接负责的主管人员和其他直接责任人员，也会被一并处罚。
由此可见，泄露事件本身就是加重情节的触发点：泄露面越大、处置越拖、整改越不配合，处罚档次越高，而且既罚单位、也罚个人。至于「平时没有尽到数据安全保护义务」在一般情形下怎么罚（责令改正、警告并罚款的常规档），属于另一个问题，本篇不再展开。
用户能主张赔偿吗
结论：平台处理个人信息侵害用户权益造成损害的，只要不能证明自己没有过错，就应当承担损害赔偿等侵权责任。
个人信息保护法第六十九条确立了「过错推定」规则：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。赔偿数额按照个人因此受到的损失或者处理者因此获得的利益确定；两者都难以确定的，根据实际情况确定赔偿数额。
也就是说，用户不用先证明平台「确实有错」，而是由平台来证明自己「没有错」，举证压力更多落在平台一方。用户既可以向监管部门投诉举报，也可以依法提起民事诉讼主张赔偿，两者并不冲突。
法律依据
- 《中华人民共和国数据安全法》第二十七条开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。
- 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
- 《中华人民共和国数据安全法》第二十九条开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
- 《中华人民共和国数据安全法》第四十五条开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
- 《中华人民共和国个人信息保护法》第六十九条处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
发现自己使用的平台发生数据泄露，先别慌，也别只在网上发帖吐槽。可以要求平台说明泄露的信息种类、原因和已采取的补救措施，同时向网信、市场监管等部门举报。若已经造成实际损失（例如被冒名办理、被骗转账、频繁被骚扰），要保存好截图、通知、损失凭证等证据，及时咨询律师，评估是走行政投诉还是直接起诉索赔。
一句话总结
结论：网络平台泄露用户数据要担责，既要面对责令改正、警告、罚款乃至停业整顿的行政处罚，又可能因不能证明自己无过错而承担损害赔偿责任，用户投诉举报和民事索赔可以同时进行。
延伸阅读
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。