12306用户信息泄露背后的黑色产业链（5）

侵权责任如何划分?

2012年12月28日，全国人大常委会通过《关于加强网络信息保护的决定》后，网络个人信息保护有了法律依据。今年3月15日施行的新《消费者权益保护法》也增加了保护消费者个人信息的规定。

最新的司法依据是10月9日，最高法院公布的《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》，其中首次列举了个人隐私的范围。

“泄露个人信息者一定要承担相应的侵权责任，问题是谁来承担”，朱巍告诉记者。

“如果是12306泄露，要区分为故意泄露还是过失泄露，故意泄露毫无疑问要承担侵权责任”，朱巍说，“在国外，故意泄露还可以区分为出于商业目的还是非商业目的，如果是商业目的要加大处分力度，但国内司法没有这样的区分”。

如果12306是出于过失导致信息泄露，司法实践中会采用过错推定原则确定侵权责任，“即先推定12306存在过错，然后由12306举证，证明自己尽到了安保责任”，朱巍说。

朱巍认为，如果存在12306作为开放平台，通过开放端口与第三方平台进行授权合作的情况，即使信息是经第三方泄露，12306也应承担连带责任。

“这几乎是整个互联网产业的‘通病’，比如用户注册了一家互联网服务，结果发现自己的信息被授权给了这家网站的合作方”，朱巍说。

他认为，哪怕用户在注册互联网服务时，对方已经提醒其个人信息可以授权转让给合作方，这也不能成为用户信息泄露时其免责的理由，“因为这是格式合同，用户如果拒绝就不能完成注册”，朱巍说。

只不过，承担连带责任的网站，可以按照和第三方网站的内部责任划分约定，向直接泄露信息的第三方追偿。

“最后一种情况是12306根本不知情，信息泄露源于不可抗力，但12306也要证明自己尽到了安保义务”，朱巍说。