一句话定义：个人信息侵权，是指个人信息处理者违反法律、行政法规的规定或者双方的约定，收集、存储、使用、加工、传输、提供、公开他人个人信息，侵害自然人个人信息权益，造成损害时应当承担的侵权责任。《中华人民共和国民法典》第一千零三十四条给个人信息下了一个宽口径的定义——以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人的各种信息；《中华人民共和国个人信息保护法》第六十九条则给了一条对个人极为有利的规则：处理个人信息造成损害，处理者不能证明自己没有过错的，就要担责。
三个最常问的问题，先给结论。
第一问，信息被泄露了，该告谁。先看是谁在处理你的信息。平台、商家、医院、学校、物业、中介，谁收集了你的信息、谁的系统里存的，谁就是第一顺位的被告。如果泄露是通过第三方服务商、短信通道、外包客服发生的，可以把两方一起告，由他们内部去分责任。找不到具体泄露源的，还能从「有没有尽到安全保护义务」这个角度切入。
第二问，怎么证明是「他们漏的」。这一问的答案比很多人想的轻松：不需要你证明「是他们漏的」，需要他们证明「自己没漏、或者漏了也与我无关」。这是第六条第六十九条带来的举证责任分配——你要证明的是「我是他们的用户、我的信息在他们的系统里、我的信息出现在别处并造成了损害」，剩下的交给对方。这也是为什么这类案件里，起诉的门槛比想象中低，难的是损害的计算。
第三问，能赔多少钱。多数判决的数额不高，几千元到两三万元是常见区间，个别情节恶劣、造成严重后果的会更高。赔偿的计算顺序是：先按你的实际损失，再按处理者因此获得的利益，两者都难以确定的，由法院根据实际情况酌定。所以起诉时不要把数额写得太离谱，把「损害是什么」说清楚，比把数字写大更重要。
一、个人信息侵权在说什么：三条主线，一个区分
主线一，处理规则。 收集、存储、使用、加工、传输、提供、公开，这七类动作都属于「处理」。处理要有合法性基础：取得同意，或者属于订立履行合同所必需、履行法定职责所必需、应对突发公共卫生事件所必需、为公共利益实施新闻报道舆论监督所必需、处理已合法公开的信息等情形。没有基础、或者超出基础范围的处理，就构成违法处理。
主线二，个人权利。 知情权、决定权、查阅复制权、可携带权、更正补充权、删除权。这些权利不是宣示，是可以单独起诉的请求权。实务中很多案件的第一步不是索赔，而是「要求删除」「要求更正」——先止损，再谈钱。民法典第九百九十五条还明确，停止侵害、排除妨碍、消除危险、消除影响、赔礼道歉这些请求权不适用诉讼时效，这意味着哪怕事情过去很久，要求删除的权利仍然在。
主线三，安全义务。 处理者必须采取技术措施和其他必要措施，防止信息泄露、篡改、丢失；发生或者可能发生泄露的，要及时补救、告知个人、向主管部门报告。这一条的意义在于：即使泄露是黑客干的、是内鬼干的，只要处理者的安全措施不到位，它自己也要担责。这条义务是法定的、结果导向的，不能靠一句「我们也是受害者」推掉。
个人信息不等于隐私。 隐私是私密空间、私密活动、私密信息，核心是「不愿被知道」；个人信息是可识别性，核心是「能对上你这个人」。一条手机号、一条快递地址，单独看未必是隐私，但一定是个人信息。两者有交集：病历、行踪、性取向、生物识别信息，既是个人信息，也是私密信息。民法典第一千零三十四条第三款给了处理规则：个人信息中的私密信息，适用隐私权的规定；隐私权没有规定的，适用个人信息保护的规定。这个顺序不能反。
为什么越来越重要。 因为信息的价值在被反复变现。一次注册留下的手机号，可能流转到十几个营销渠道；一次看房留下的联系方式，可能被中介行业共享；一次体检的数据，可能进入保险定价模型。单次泄露看起来「没什么损失」，累积起来却可能影响一个人的信贷、就业、社交。法律给的救济，恰恰要面对这种「损害分散、难以量化」的困境，这也是这类案件赔偿数额普遍不高的根本原因。
敏感信息另一套规则。 生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息，属于敏感个人信息。处理这类信息，要具有特定的目的和充分的必要性，要取得单独同意（不能混在总的隐私政策里一句「同意」了事），要履行更严格的告知，要做个人信息保护影响评估。落到诉讼上，这个区分很实用：同样是泄露，敏感个人信息的案件更容易被认定过错、赔偿数额也更高；一般个人信息，法院对「损害」的要求更严。
二、构成要件与适用条件：四步判断，一套举证
第一步，是不是个人信息。 判断标准是「可识别性」：单独能识别，或者与其他信息结合能识别。姓名加手机号，能识别；设备识别码、浏览器指纹、位置轨迹，能识别；经过匿名化处理、无法复原的信息，不属于个人信息。要注意两个极端：一是「公开的信息」仍然是个人信息，只是处理的基础不同；二是「企业信息」里涉及法定代表人的姓名、联系方式，同样受个人信息规则约束。
第二步，谁是处理者。 处理者是自主决定处理目的、处理方式的组织或者个人。平台是处理者，入驻商家也可能是独立处理者；医院是处理者，外包的检验机构可能是受委托方，受委托方在委托范围内处理，对外仍由委托方承担责任，但受委托方自己超出委托范围处理，就变成独立处理者。这个区分决定被告怎么列。
第三步，处理是否合法。 查四件事：有没有合法性基础；有没有履行告知义务（处理前以显著方式、清晰易懂的语言告知处理者身份、目的、方式、种类、保存期限、权利行使方式）；有没有遵循必要原则（只收集实现目的所必需的信息，不过度收集）；有没有超出约定或者声明的范围使用。四项里任何一项出问题，都可能构成违法处理。
第四步，过错损害因果。 过错采用过错推定：处理者要自证清白。损害包括三类：财产损失（被诈骗的钱、被迫支出的费用）、人格利益损害（被骚扰、被歧视、被围观）、精神损害（焦虑、失眠、社会评价降低）。因果关系上，法院通常不要求精确到「这一条信息导致这一笔损失」，而是看整体的关联性与相当性。这也是为什么这类案件常判「酌定赔偿」——不是因为没损害，而是因为损害难以精确切割。
举证的三段分配。 原告证明：我是自然人、我的信息被某个处理者收集、该信息出现了泄露或者被非法使用、我因此遭受了损害或者面临现实危险。被告证明：我的处理有合法性基础、我履行了告知义务、我尽到了安全保护义务、损害与我无关。剩下的模糊地带，由法院根据双方举证能力裁量。这个结构意味着：原告的重点在「证明信息确实在对方手里、确实流出去了」，而不是「证明对方哪个环节出的错」。
免责事由。 民法典第一千零三十六条给了三种：在同意范围内合理实施；合理处理自行公开或者已合法公开的信息（明确拒绝或者侵害重大利益的除外）；为维护公共利益或者该自然人合法权益合理实施的其他行为。个人信息保护法还有独立的免责情形，比如为履行法定职责、应对突发公共卫生事件所必需。被告拿免责事由抗辩，原告就要回过头去质疑「是不是真的在范围内」「是不是真的必要」。
损害怎么具体化。 三种写法，效果差别很大。第一种，只写「精神痛苦、生活受扰」，法院很难量化，往往判几百元到一两千元。第二种，写清「因为信息泄露，我更换了手机号，支出若干；被诈骗若干；因反复骚扰就诊，医疗费若干；因担心安全搬离住所，租金差额若干」，每一笔附凭证，法院就有据可算。第三种，写清「信息被用于精准诈骗，话术中出现只有该处理者掌握的信息」，把一个抽象的泄露案变成了具体的因果链。能写到第二、第三种，赔偿数额通常能上一个台阶。
另一条思路是「获益」。 个人信息保护法第六十九条允许按处理者因此获得的利益计算赔偿。这条路径对大规模、商业化处理个人信息的案件特别有用：数据被卖了多少钱、按什么单价、卖了多少条，这些在刑事判决或者行政处罚决定书里往往有记载。拿到了这些数字，索赔的基数就从「我的损失」变成「你的获利」，量级完全不同。这也是为什么这类案件值得先走举报和报案——行政、刑事程序里固定的数据，民事程序里可以直接用。
三、法条依据
- 《中华人民共和国民法典》
- 第一千零三十四条 自然人的个人信息受法律保护。
- 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
- 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
- 第一千零三十五条 处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：
- （一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；
- （二）公开处理信息的规则；
- （三）明示处理信息的目的、方式和范围；
- （四）不违反法律、行政法规的规定和双方的约定。
- 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
- 第一千零三十七条 自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。
- 自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。
- 第一千零三十八条 信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。
- 信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。
- 《中华人民共和国个人信息保护法》
- 第十三条 符合下列情形之一的，个人信息处理者方可处理个人信息：
- （一）取得个人的同意；
- （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
- （三）为履行法定职责或者法定义务所必需；
- （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
- （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
- （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
- （七）法律、行政法规规定的其他情形。
- 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
- 第十七条 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
- （一）个人信息处理者的名称或者姓名和联系方式；
- （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
- （三）个人行使本法规定权利的方式和程序；
- （四）法律、行政法规规定应当告知的其他事项。
- 前款规定事项发生变更的，应当将变更部分告知个人。
- 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
- 《中华人民共和国个人信息保护法》
- 第四十七条 有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
- （一）处理目的已实现、无法实现或者为实现处理目的不再必要；
- （二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；
- （三）个人撤回同意；
- （四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
- （五）法律、行政法规规定的其他情形。
- 法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
- 第六十九条 处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
- 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
三块法条怎么用。 第一块是请求权基础，它同时给出定义、规则、权利和安全义务，起诉状的法律依据主要引这一块。第二块解决「能不能处理」的前置问题：没有合法性基础、没有告知，处理本身就是违法的，不需要等到损害发生。第三块中的第四十七条是「先止损」的工具，第六十九条是「要赔偿」的依据，两条可以同时主张：请求判令删除，同时请求赔偿。
行政与民事分开。 第六十六条的罚则很重：一般违法，责令改正、警告、没收违法所得、拒不改正处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，还可以责令暂停业务、吊销执照，对直接责任人处十万到一百万元罚款并可以禁业。这些罚款不进个人口袋，但对个人有另一重价值——行政机关的调查认定，往往是民事诉讼里最有力的证据。所以遇到大规模泄露，先向网信、公安、行业主管部门举报，再考虑起诉，顺序上更划算。
四、与相邻概念的区别：六个容易混的词
与隐私权的区别。 隐私权保护的是私密空间、私密活动、私密信息，核心是「不愿被人知道」；个人信息保护的是可识别性，核心是「别人能不能拿它对上你」。区别在救济上很明显：侵害隐私权，通常直接构成侵权，不需要证明「处理行为违法」；侵害个人信息，要先看处理行为有没有合法性基础，有基础、有告知、在范围内，就不构成侵权。举个常见的例子：物业在小区公示栏贴出业主姓名和房号催缴物业费，涉及个人信息，但如果是履行管理职责所必需、范围适当，未必违法；如果贴出的是业主的病历或者身份证复印件，就同时踩了隐私的红线。
与名誉权的区别。 信息被泄露后常常伴随名誉受损，比如欠款记录被群发、就诊科室被公开。这时候可以两条一起主张，但构成要件不同：名誉权要求造成社会评价降低，个人信息侵权不要求。有的案件里，法院只认个人信息侵权，不认名誉侵权，理由就是「传播范围有限、未达到社会评价降低的程度」。所以起诉时不要把两个请求权混成一团，分别陈述事实、分别举证。
与消费者权益保护的区别。 商家把消费者信息卖给第三方，同时构成个人信息侵权和侵害消费者权益。消费者权益保护法给了「退一赔三」的惩罚性赔偿，听起来更诱人，但适用条件是「欺诈」——要有欺诈的故意和欺骗行为。信息买卖往往发生在后台，消费者很难证明商家「以欺骗方式让你作出消费决定」。因此这类案件多数还是走个人信息侵权，按实际损失或者酌定赔偿处理，只有情节特别恶劣、能证明欺诈的，才会叠加惩罚性赔偿。
与网络安全义务的区别。 网络安全法管的是网络运营者的系统安全义务：等级保护、日志留存、漏洞修补、应急响应。个人信息保护法管的是信息处理行为的合法性。两者有交叉：系统被攻破导致信息泄露，既是网络安全事件，也是个人信息侵权。行政机关通常按两条线分别处罚，民事赔偿则统一按侵权处理。对个人来说，重要的是记住一点：不需要证明「对方的系统有漏洞」，只需要证明「信息在对方手里、流出去了」，安全义务的举证责任在对方。
与政府信息公开的区别。 行政机关公开政府信息，是法定义务；但公开的内容里如果包含个人姓名、身份证号、住址、联系方式，就要做去标识化处理。实践中最常见的是各类补贴名单、处罚决定书、征地补偿公示，把身份证号、银行账号原样贴出来。这类情形可以走两条路：要求行政机关更正、删除，或者申请行政复议、提起行政诉讼；同时可以主张民事赔偿，但要注意国家机关处理个人信息有其特殊规则，赔偿范围和归责方式与商业主体不完全一样。
与人肉搜索的区别。 人肉搜索是网民自发收集、发布他人信息的行为，参与者可能构成个人信息侵权，情节严重的可能构成侵犯公民个人信息罪。它与平台的责任不同：平台适用「通知→删除」规则，接到有效通知未及时处理，对扩大的损害承担连带责任；发布者承担直接责任。实务中常见的情形是：被网暴后先通知平台删除，平台拖延，然后同时起诉发布者和平台。这一套动作要留痕——通知要能证明送达，删除请求要写清具体链接。
五、实操指引：个人五步，企业四步
个人这一侧，五步走。
第一步，判断「我的什么信息、在谁手里」。列出所有收集过你信息的机构：银行、医院、学校、物业、快递、外卖、打车、招聘平台、房产中介、健身房。再看泄露的信息类型，反推最可能的来源。这一步不需要技术，只需要回忆和比对：把最近半年接到的骚扰电话内容，与自己留过信息的机构逐一对照，重合度最高的那一家，通常就是源头。
第二步，先止损。改密码、开二次验证、关闭不必要的授权、解除不用的绑定、注销废弃账号。涉及金融账户的，挂失、换卡、设置交易限额。这一步比索赔重要得多——信息一旦流出，收不回来，能做的只有降低被利用的风险——止损这一步做在前面，比后面打赢官司更有意义。
第三步，固定证据。骚扰电话录音、短信截图（含号码与时间）、诈骗话术记录、异常登录提醒、因信息泄露导致的具体损失凭证。如果怀疑是某个平台泄露，把自己在该平台注册的时间、填过的信息项、收到的定向骚扰内容整理成时间线。
第四步，发出书面通知。向疑似泄露方发一份《删除及说明请求》，写明：我的哪些信息、在什么时间、以什么方式被泄露或者被非法使用、要求删除并书面说明。用邮件或者挂号信，保留送达凭证，有条件的同时做一次公证。这份通知有两个作用：一是促使对方内部核查，二是为后续主张「明知而不处理」留下依据。
第五步，选路径。三条可以并行：向网信、公安、行业主管部门举报；向法院起诉，主张停止侵害、删除、赔礼道歉、赔偿损失；涉及诈骗的，直接报案。起诉前先评估损害：有没有实际财产损失、有没有可证明的精神损害、对方有没有赔偿能力、值不值得投入半年到一年的时间。多数个人信息的案子，标的额不大，调解结案的比例很高，法院也更愿意在开庭前促成一次「删除＋道歉＋少量补偿」的和解。
企业这一侧，四步走。
第一步，把「处理」的地图绘出来。收集了哪些字段、从哪儿收集、存在哪儿、谁能访问、流向哪些第三方、保存多久。这张图不做，后面所有合规都是空谈。
第二步，把告知与同意做实。隐私政策不能只写一段笼统的话，要写清处理者身份、目的、方式、种类、保存期限、权利行使渠道；敏感个人信息要单独同意；变更要重新告知。同意要能举证——后台留痕，别只放一个默认勾选。
第三步，把安全措施做到「能证明」。加密、脱敏、权限分级、访问日志、离职回收、供应商管理、渗透测试、应急预案。关键在「能证明」三个字：出事时拿不出日志、拿不出培训记录、拿不出演练记录，等于没做。
第四步，把泄露应对流程写下来。发现泄露后多长时间内启动、谁来判断是否通知个人、通知怎么写、向哪个部门报告、对外怎么说明。很多企业不是输在技术上，是输在第一天的应对上——拖延、隐瞒、口径混乱，最后把小事故拖成了大事件。
六、常见问题
只泄露了手机号，没造成实际损失，能起诉吗？
能起诉，但要有「权益受侵害或者面临现实危险」的事实。单纯一个手机号被泄露，法院可能认为损害过于轻微，判赔的数额很低甚至只判停止侵害、赔礼道歉。如果有持续的骚扰电话、精准诈骗、被冒名注册，损害就具体了，胜诉率和赔偿额都会提高。建议的做法是：先把骚扰证据积累起来，形成「泄露→骚扰→损害」的链条，再考虑诉讼。为了一个手机号单独打一场官司，时间成本往往高于收益。
平台说「我们也是被黑客攻击的受害者」，这能免责吗？
通常不能。法律给处理者设定的是结果导向的安全保障义务：采取技术措施和其他必要措施，确保信息安全。被攻击不等于没有过错，法院会看：有没有做等级保护、有没有及时打补丁、有没有对敏感数据加密、有没有异常访问监测、发现后有没有及时补救和告知。这些做到了，可能减轻责任；做不到，「被攻击」只是事故原因，不是免责理由。真正能免责的，是不可抗力、是受害人自身原因、是法律规定的其他情形，黑客攻击一般不在此列。
在公司内部被同事泄露了工资、病历，算个人信息侵权吗？
算。用人单位处理员工信息，属于「按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需」，这在必要范围内是合法的；但把员工的病历、工资、家庭情况转发到群里、贴在公告栏，超出了必要范围，构成侵权。这时候可以主张两条：一是个人信息侵权，要求删除、赔礼道歉、赔偿；二是如果造成名誉受损，另主张名誉权侵权。同时可以向劳动监察部门投诉，也可以依据劳动合同法主张用人单位未提供劳动保护。
信息被泄露后遭遇精准诈骗，损失能不能向泄露方要？
可以主张，但因果关系是难点。法院通常看三点：诈骗话术里出现的信息，是不是只有该处理者掌握；泄露与诈骗的时间间隔是否紧密；有没有其他更可能的泄露源。三点都能对上，支持赔偿的可能性较大；对不上，法院可能只判精神损害抚慰金或者象征性赔偿。更稳妥的做法是把刑事报案放在前面：诈骗案立案后，公安的侦查结论能固定「信息从哪儿来」，民事索赔才有支点。
要求平台删除我的信息，它一直不理，怎么办？
先看它有没有义务删。符合个人信息保护法第四十七条五种情形之一的，处理者应当主动删除，未删除的，个人有权请求删除。请求要用可留痕的方式发出：平台的隐私投诉入口、客服工单、书面函件，都要截图或者留存编号。合理期限（通常十五个工作日）内不处理，可以向网信部门举报，也可以起诉要求删除并赔偿。要注意：删除请求权不适用诉讼时效，什么时候都可以提；但赔偿请求权受三年时效限制。
公开渠道能查到的信息（比如裁判文书、企业公示），被人整理发布，算侵权吗？
要看处理方式和目的。已经合法公开的信息，可以在合理范围内处理，这是民法典第一千零三十六条第二项的规则。但「合理范围」有边界：把分散的公开信息聚合成一个人的完整画像、附加侮辱性评价、用于骚扰或者营销，就超出了合理范围。被处理人明确拒绝后仍然处理，或者处理行为侵害其重大利益的，同样构成侵权。实务中判断的关键是「聚合程度」和「使用目的」，不是「信息来源是否公开」。
起诉时要准备哪些证据，能不能只凭一张截图？
一张截图不够。基本证据组合是四样：一是我与处理者之间存在关系的证明（注册记录、订单、就诊记录、劳动合同）；二是信息确实在对方手里的证明（填写过的表单、授权页面、后台截图）；三是信息流出或者被滥用的证明（骚扰记录、诈骗话术、第三方渠道出现我的信息）；四是损害的证明（转账记录、医疗票据、误工证明、精神痛苦的佐证）。四样凑齐，立案和胜诉的概率都会明显提高。电子证据建议做时间戳或者公证，尤其是容易被删除的聊天记录、网页内容。
收到「您在我们平台的订单出现问题」这类精准诈骗电话，能直接推定是平台泄露吗？
不能直接推定，但可以作为重要线索。法院会看：诈骗话术里出现的信息，是否只有该平台掌握；同一时期是否有其他用户反映类似情况；平台是否发生过泄露事件、是否被监管通报；有没有其他更可能的泄露源（快递面单、二手手机、公共无线网络）。单一线索不足以认定，多条线索叠加才有力。更有效的做法是联合其他受害者一起报案，形成规模效应，公安介入后调取平台日志，结论比个人推测可靠得多。
七、风险提示
这类案件最容易踩的坑，是把「信息被泄露」和「能拿到赔偿」画等号。法律保护的是权益，赔偿对应的是损害。没有可证明的损害，法院最多判停止侵害、赔礼道歉，赔偿数额可能只有几百元，甚至只支持合理维权开支。起诉前先算一笔账：律师费、公证费、时间成本，与可能拿到的赔偿相比是否划算。多数情况下，把精力放在止损和举报上，收益更实在。
第二个坑是主体找错。信息可能经过多手流转，你接到的骚扰电话来自A公司，信息可能来自B平台、C数据商、D外包客服。只告最末端那一家，往往打不动。有效的做法是：从骚扰内容反推信息源头，把可能的处理者一并列为被告，让它们在法庭上互相指认。
第三个坑是忽视刑事路径。非法获取、出售、提供公民个人信息，达到一定数量就可能构成侵犯公民个人信息罪。报案不只是为了追责，更是为了拿到侦查结论——一旦查实某公司内部人员出售信息，民事索赔的因果关系就基本成立了。很多当事人只走民事，绕了远路。
八、免责说明
以上内容为一般性法律知识介绍，不构成对具体案件的法律意见。个人信息侵权的认定，取决于信息的类型与敏感程度、处理行为有没有合法性基础、处理者是否履行告知与安全保障义务、损害的具体形态与因果关联，以及受理法院对赔偿数额的裁量，个案差异很大。本篇的法条引用部分逐字取自《中华人民共和国民法典》第一千零三十四条、第一千零三十五条、第一千零三十七条、第一千零三十八条，以及《中华人民共和国个人信息保护法》第十三条、第十七条、第四十七条、第六十九条；正文中另对照提到了《中华人民共和国民法典》第九百九十五条、第一千零三十六条、第一千一百九十四条至第一千一百九十七条，以及《中华人民共和国个人信息保护法》第六十六条关于行政处罚的规定、消费者权益保护与网络安全的相关规则，这些内容仅作对照说明，不替代原文。个案适用还需核对隐私政策与授权页面、后台处理记录、泄露通知与监管通报、骚扰与诈骗的证据材料、损失凭证，以及信息处理者所在地网信部门的监管口径。法条核对日期：2026-11-03。