系统构建动态协同的个人信息泄露治理机制

　　治理个人信息泄露要坚持系统性思维，在有效把控“个人信息泄露”规范内涵的基础上，明确重点治理对象，协同发挥多元治理主体的作用。

　　8月11日，公安部网安局公布了10起打击侵犯公民个人信息犯罪典型案例。这10起典型案例都与个人信息泄露有关，揭露了不法分子通过利诱、黑客攻击、内外勾结等手段非法获取大量公民个人信息并牟利的黑灰产业链。

　　个人信息泄露并非数智时代的特有现象与独特产物，只因在数智时代产生了不可估量、难以弥补的现实损害后果而为社会大众所广泛关注。个人信息落脚于“个人”并以“信息”形式存在，这决定了个人信息一经泄露必然会直接导致个人的人格权益或财产权益等遭受损害。同时，个人信息因人的社会属性而具有广泛的社会实践价值，个人信息的敏感程度及被识别程度等也由此具有规范价值与规范必要，并经由个人自主意志所决定的信息披露程度，实现个人对其社会实践关系的自我把控与有效维系。同时，这也意味着个人信息泄露所引发的损害，必然会溢出个人权益范畴并延伸至人的复杂社会实践场景中去，并由此引发系统性且严重性的社会危害后果。

　　事实上，个人信息泄露最严重且最易忽视的危害，是对社会信用体系的严重冲击，甚至根本破坏。2025年3月印发的《中共中央办公厅 国务院办公厅关于健全社会信用体系的意见》明确提出，夯实社会信用体系数据基础。然而，个人信息泄露将引发个人对多元关联主体维系经济社会数智化运行基础的数据安全保障能力产生不信任，进而制约个人参与社会实践的积极性。尤其当个人深度依赖数智技术，并将大量个人信息毫无防备地暴露在人机交互过程中，个人一旦遭受信息泄露必然会降低对数智技术的信任感。因此，2026年4月印发的《人工智能拟人化互动服务管理暂行办法》第十一条将“防范数据泄露”作为“加强训练数据管理”的要求之一。

　　个人信息泄露概念的规范检视

　　有效治理个人信息泄露，需要对个人信息泄露的概念进行规范检视，明确个人信息泄露的规范意涵。“个人信息泄露”的规范构造包含“个人信息”与“泄露”，且二者缺一不可。就“个人信息”而言，《中华人民共和国民法典》与《中华人民共和国个人信息保护法》已对其有明确界定，但对比民法典第一千零三十二条、第一千零三十四条与个人信息保护法第四条、第二十八条的规定可知，个人信息、隐私、私密信息、敏感个人信息并非完全对立、非此即彼的关系，而是可为个人信息所涵盖，且彼此具有相互转化可能性的关系。其中，私密信息实质就是隐私，而隐私的敏感度要高于敏感个人信息，敏感个人信息又高于一般个人信息，同时，经过去识别化处理且无法复原的信息并非个人信息。

　　由此可见，若在“个人信息泄露”语境中解读“个人信息”，个人信息就应该是“已识别”或“可识别”个人的各类信息，并可按照距离“个人”之远近，依次划分为个人隐私、敏感个人信息、一般个人信息三大类型。很明显，不同类别的个人信息在遭受泄露时所引发的损害后果事实上并不一致。就“泄露”而言，既有法律规范并未对“泄露”作出专门且详细的规定，从《中华人民共和国网络安全法》第四十四条与个人信息保护法第二十八条、第五十七条的规定可知，“泄露”并不等于“篡改”“毁损”“丢失”“非法使用”。若在“个人信息泄露”语境中解读“泄露”规范意涵的话，那么泄露的本质应该是：非基于个人自愿变更既定的个人信息存储及流通等场景，并在行为效果上产生了完全超出个人合理预期的行为，在方式上包括“主动”与“被动”，在主观上包括“过失”与“故意”。因此，从检视“个人信息”与“泄露”规范意涵角度看，“个人信息泄露”即是在个人信息泄露语境中综合了“个人信息”及“泄露”内涵的规范呈现。

　　个人信息泄露既有治理存在的问题

　　实践中，涉及个人信息泄露的治理案件并不少见，也多呈现出比较明显的同质化治理态势。治理个人信息泄露多依据个人信息保护法第五十一条、《中华人民共和国消费者权益保护法》第二十九条的相关规定进行。此外，《中华人民共和国治安管理处罚法》第五十条、第五十六条分别对“偷窥、偷拍、窃听、散布他人隐私”与“向他人出售或者提供个人信息”的违法行为规定了不同的处罚标准。同时，最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》在对“非法获取、出售或者提供公民个人信息”的“情节严重”标准的识别上，采取了差异化的“信息类别”与“数量规定”的综合判断方法，其中，“信息类别”的敏感度越高，则“数量规定”就越少。

　　目前，适用的个人信息泄露治理规范，在行政处罚案件、治安管理案件及刑事案件中具有积极的适用价值，且取得了不错的个人信息泄露治理质效。但在数智时代，既有的个人信息泄露治理逻辑，因聚焦个人信息类别，而容易忽略个人信息因流通而具有极强的场景属性；因侵害行为界定相对单一，而忽略了引发个人信息泄露的主客观复杂成因；因保护对象侧重于个人法益，而忽略了个人信息泄露可能引发的多元化利益损害后果。值得肯定的是，有关职能部门依据网络安全法，针对网络运营者违反网络安全保护义务使数据泄露存在较高风险的行为，作出了大量行政处罚决定书。这在一定程度上达到了预防数据泄露风险发生的积极效果。尽管如此，在经济社会数智化发展背景下，依然亟须运用系统性思维对个人信息泄露进行动态化、协同化的治理路径完善及机制优化。

　　个人信息泄露治理应兼具动态化与协同化

　　从2026年7月发布的《小型个人信息处理者个人信息保护简化措施规定》及今年8月7日公布的《大型个人信息处理者个人信息保护规定（征求意见稿）》来看，应对个人信息泄露安全事件的最有力举措是个人信息处理者，其“应当立即采取补救措施”。但“及时通知个人和采取补救措施”，只是“从轻或者减轻处罚”的依据，难以真正有效降低个人信息泄露风险、防范个人信息泄露发生。可见，个人在个人信息泄露的风险预判、事实识别、证据固定、诉讼成本、胜诉概率等维度上不具有显著优势，只有个人信息处理者才是有效防范个人信息泄露发生、有效降低个人信息泄露风险的关键。鉴于此，应围绕个人信息处理者构造监管与检察协同的动态治理机制，即以个人信息处理者为核心，强化监管，并切实发挥检察机关的法律监督作用。具体而言，可以从以下三个方面着手：

　　其一，突破个人信息泄露损害的“信息类别+数量规定”静态认定标准，并在引入场景化要素的基础上将个人信息泄露损害认定标准优化为“信息类别+泄露场景”动态认定标准。

　　其二，监管部门在个人信息泄露识别与个人信息泄露认定的动态标准基础上，根据个人信息泄露的“主动”或“被动”、“过失”或“故意”等因素综合判断个人信息处理者理应承受的处罚程度，以此达到督促个人信息处理者在个人信息泄露防范的内部管理、操作规程、安全技术、应急预案等方面真正做到科学合理。

　　其三，切实发挥检察机关在个人信息泄露上的法律监督与协同治理作用。2026年6月公布的《中华人民共和国检察公益诉讼法（草案二次审议稿）》第三条已将“个人信息处理者违反法律规定处理个人信息，侵害众多个人合法权益的行为”明确为人民检察院提起民事公益诉讼的情形之一。从规范角度，个人信息泄露损害具有成为检察机关提起民事公益诉讼的可能性与必要性。从效果角度看，关涉个人信息泄露的检察公益诉讼也必将有力督促个人信息处理者积极防范个人信息泄露。

　　总之，个人信息泄露将引发系统性社会危害，治理个人信息泄露要坚持系统性思维，在有效把控“个人信息泄露”规范内涵的基础上，明确重点治理对象，协同发挥多元治理主体作用，从而持续提高个人信息泄露治理质效。

　　本文系2024年度国家社科基金青年项目“数据要素市场化流通的合规保障机制研究（项目编号：24CFX063）”的阶段性研究成果。

　　（作者单位：北京物资学院法学院）