员工泄漏40万条个人信息 道歉的圆通担什么责？可以索赔吗？

　　对于圆通“内鬼”致40万条个人信息泄露的报道，圆通速递11月17日回应称，调查发现，疑似有加盟网点个别员工与外部不法分子勾结，利用员工账号和第三方非法工具窃取运单信息，导致信息外泄。圆通对此案件所暴露的问题深表歉意。

　　在这起信息泄露事件中，圆通应该承担什么责任？被泄露信息的用户可以索赔吗？中国互联网协会法治工作委员会副秘书长胡钢对中新经纬客户端分析，用户与圆通速递发生合同买卖关系，但由于圆通速递管理不严、保管不善，造成用户信息泄露，圆通速递应承担相应的民事赔偿责任。

　　圆通承认“公民个人信息外泄”

　　据新京报，邯郸市公安局近期侦办发现，有不法分子与圆通快递邯郸区多位“内鬼”勾结，通过有偿租用圆通员工系统账号盗取公民个人信息，再层层倒卖公民个人信息至不同下游犯罪人员。

　　据了解，被泄露的信息中包括发件人地址、姓名、电话以及收件人电话、姓名、地址六个维度。据新京报援引知情人士透露，如果以上述六个维度的信息共同组成一条信息来计算，此次被泄露的信息数量实际超过40万条。据该人士透露，经过警方和检察院确认，被泄露信息中，存在某个维度以“*”来匿去的“不完全信息”，例如发件人为“张三”，但发件电话却为“*”。经过统计，六个维度完整的信息约为4万五千条。据马某杰供述，他将收集到的信息打包卖出，每条信息单价约为1元。

　　11月17日早间，圆通速递对此作出回应。圆通方面表示，2020年7月底，公司总部实时运行的风控系统监测到，河北省区下属加盟网点有两个账号存在非该网点运单信息的异常查询，判断为明显的异常操作，于第一时间关闭风险账号，同时立即成立由质控、安保、信息中心、网管等部门及河北省区组成的调查组，对此事件开展取证调查。调查发现，疑似有加盟网点个别员工与外部不法分子勾结，利用员工账号和第三方非法工具窃取运单信息，导致信息外泄，其中存在敏感字段信息约为4万3千条。

　　圆通方面称公司随后向当地公安部门报案，并全力配合调查。相关犯罪嫌疑人于9月落网。

　　律师：圆通速递承担相应民事赔偿责任

　　胡钢表示，目前依据《反恐法》《邮政法》规定，用户收发快递必须实名制，邮政企业、快递公司有义务要求用户提供真实的个人信息。法律同时规定，在这种情况下，快递公司必须严格保护公民个人信息。从此次圆通被泄露的信息中也可以看出，快递信息一般包括发件人地址、姓名、电话以及收件人电话、姓名、地址六个维度，均为敏感的个人信息。

　　胡钢表示，目前即将实施的《民法典》、《消费者权益保护法》及《网络安全法》中均对个人信息保护提出了明确要求，收集、使用均要遵循合法正当必要原则。《刑法》明文规定了侵犯公民个人信息罪。违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。“相关责任人，比如在公司内部没有采取保护措施，或者放任手下去出售个人信息，或没有采取有效措施及时制止手下出售个人信息行为，也要承担相应的刑事责任。”

　　胡钢表示，值得提出的是，除了直接、相关责任人需承担相应刑事责任外，公司经营者如圆通速递，要承担相应的民事赔偿责任。胡钢说，“用户与圆通速递发生买卖合同关系，并不是与圆通速递加盟网点员工发生合同关系，用户出于对企业信任，将个人信息提交，结果由于公司管理不严、保管不善，造成用户信息泄露及潜在损失，用户理应提出民事赔偿要求。”

　　至于如何赔偿，胡钢表示很难确定。“《消费者权益保护法》第55条有规定，如果存在消费欺诈，赔偿应按照退一赔三，最低500元执行，我认为至少应按照500元赔付。”胡钢建议，负责侦破案件的公安机关应披露泄露信息的时间、区域等大致范围，让用户知晓自己可能是受害者。“用户也可以通过个人诉讼、公益诉讼、代表人诉讼等方式，提出民事赔偿要求。

　　北京市京师事务所律师孟博对中新经纬客户端表示，《网络安全法》规定，网络运营者不得泄露、篡改、毁损其收集的个人信息；网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失；在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。企业若违反该规定，需承担相应法律责任。