2016年12月，京东被曝有多达12G的用户数据外泄，引得各方舆论哗然。时隔一个季度，在2017年3月，央视《新闻直播间》又曝光一起重大数据泄露事件，涉及姓名、账号、手机号、身份证号、银行卡号等公民隐私信息多达50亿条，其中有不少来自于京东。数据外泄，为何屡禁不止？
一次次的重蹈覆辙，背后有何隐情？
早在2015年，京东有多名用户被骗走金钱，损失共计数百万元。京东调查结果显示，原来是3名物流人员通过物流流程，掌握了用户下单时所提供的相关信息，总数据达9313条。
2016年12月，京东再一次面临数据外泄的窘境。其中包括用户名、密码、邮箱、QQ号、手机号以及身份证等重要信息，多达数千万条，并迅速在黑市流通，造成了极大安全隐患。京东检测后做出回应：“这个12GB的用户数据泄露源于2013年Struts 2 的安全漏洞，目前已经修复完成。”
今年3月，数据又一次外泄。据京东官方声明：本次事件系网络工程师郑某（2016年6月入职京东，尚处于试用期），利用京东网络安全部员工的身份，与黑客相互勾结，为黑客攻入网站提供重要信息——包括在京东、QQ上的物流信息、交易信息、个人身份等数据信息。而在加入京东前，郑某也早已利用同样的手段，与盗卖个人信息的犯罪团伙保持着长期、紧密的合作关系，可以说为违法犯罪活动提供了强有力的技术保障。
侵犯用户/公民的个人信息，需承担何种责任
根据2013年最高法、最高检、公安部联合发布的《关于依法惩处侵害公民个人信息犯罪活动的通知》，公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。
在我国现行法律框架下，若在公民个人信息上“动手脚”，极有可能面临民事、刑事、行政多维度的责任追究。
1. 民事责任：侵权
根据《侵权责任法》， 网络用户、网络服务提供者（例如京东这样的平台方）利用网络侵害他人民事权益的，应当承担侵权责任。作为被侵权人，有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。若后者接到了通知，却没有及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任。
网络服务提供如果明知道网络用户利用其网络服务侵害他人民事权益，仍然不采取必要措施的，与该网络用户承担连带责任。
根据“谁主张、谁举证”的民事诉讼原则，用户在被侵权的情况下需要承担较高的举证责任，除了需要证明损害结果，还需要证明侵权事实，尤其是被告方的行为与损害结果之间的因果关系，因此胜诉率普遍不高。
而【（2017）京01民终509号】作为一起成功的维权案例，堪称经典，法院在判决书中写道：“从收集证据的资金、技术等成本上看，作为普通人的庞理鹏根本不具备对东航、趣拿公司内部数据信息管理是否存在漏洞等情况进行举证证明的能力。因此，客观上，法律不能也不应要求庞理鹏确凿地证明必定是东航或趣拿公司泄露了其隐私信息。而从庞理鹏已经提交的现有证据看，庞理鹏已经证明自己是通过去哪儿网在东航官网（由中航信进行系统维护和管理）购买机票，并且东航和去哪儿网都存有庞理鹏的手机号。因此，东航和趣拿公司以及中航信都有能力和条件将庞理鹏的姓名、手机号和行程信息匹配在一起。……本院认定东航、趣拿公司存在泄露庞理鹏隐私信息的高度可能。”
2. 刑事责任：视具体情形
在《刑法》层面，由于侵犯公民个人信息的手段不同、造成的影响不同，触犯的罪名也会有所差异。此处，我们着重介绍下“侵犯公民个人信息罪”。
《刑法》规定：违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。
窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
《刑（九）修正案》的出台，取消了原法条对犯罪主体的限制，对于利用职务便利犯罪而“从重处罚”的主体，不再要求是“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”，并将罪名变更为“侵犯公民个人信息罪”，恰恰是针对许多像郑某这样在民营企业任职的员工，以加大刑事追究的力度。
此外，由于大数据电子存储的普及化，当今的个人信息犯罪案件往往伴随着多样化的计算机信息安全犯罪，常见的有：非法获取计算机信息系统数据、非法控制计算机信息系统罪，提供侵入、非法控制计算机信息系统的程序、工具罪，破坏计算机信息系统罪等。
需要强调的是，京东集团作为以电子商务、互联网金融等为主营的公司，用户即为客户，存在较大的商业价值，若京东采取了适当的技术手段、建立了相应的保密措施，对客户的名单和相关信息加以管理，那么该类经营信息就具备了“商业秘密”的性质，郑某此举亦可能涉嫌侵犯商业秘密罪。（详见刑事部汪银平律师《公司的商业秘密被内部人员侵犯，应该如何处理》）
3. 行政责任：拘留
根据《消费者权益保护法》的规定，经营者若存在“侵害消费者个人信息”的情形，会受到工商行政管理部门或其他相关部门的追责，视情节予以警告、没收违法所得、罚款等。
根据《治安管理处罚法》的规定，若违反国家规定，侵入计算机信息系统，造成危害的；会处以五日以下拘留；情节较重的，处五日以上十日以下拘留。
6月1日《网安法》实施，信息保护再上台阶
鉴于我国个人信息泄露案件频发不止，2016年11月7日，《网络安全法》应时出台，并将于今年6月1日正式实施。皆知《网络安全法》针对公民个人信息做出了重点保护，那么它具体是如何规定的呢？我们摘取主要条款列举如下：
第四十条
网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。
第四十一条
网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
……
第四十二条
网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
第四十四条
任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。
第四十五条
依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。
显然，《网安法》在行政层面上加强了运营者的义务，对于信息的收集、使用、保护等都做出了要去，也加大了对违反者的责任追究力度。
就京东而言，作为网络运营者、网络产品或服务的提供者，将由有关主管部门责令改正，并根据情节予以警告、没收违法所得、处违法所得1-10倍的罚款，没有违法所得的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处1-10万的罚款；情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。
就郑某及其团伙而言，因其非法获取、出售或非法向他人提供个人信息，将由公安机关没收违法所得，并处违法所得1-10倍的罚款，没有违法所得的，处一百万元以下罚款。
互联网公司，制度、技术应两手抓
细看京东三起数据泄露案，有两起的案发源头是内部员工（京东物流、网络工程师）。这也折射出，一方面，技术的进步的确为信息化提供了更直接、宽广的平台；另一方面，互联网公司内部风险控制和反舞弊机制的建设却落后于技术的发展速度。这也是近年来，国内如雨后春笋般蓬勃发展的互联网业界舞弊频发的根本原因，其来势汹汹，强大如百度、阿里、腾讯这三巨头也躲闪不及。
在互联网公司，舞弊手法除了传统的职务侵占、收受贿赂、关联交易之外，刷单、流量变现、推广、数据交易等也成为“炙手可热”的“拿手好戏”。职级覆盖面也较大，从普通员工到中层、高管，都有涉案前例。主要是因为互联网企业的快速壮大，导致人员层级流动加剧。为此，百度专门建立了“职业道德建设部”以及“职业道德委员会”；阿里办起了“廉政合规部”；腾讯也颇有针对性地成立了反舞弊团队。
其实京东也设有内控合规部门，订立有《京东集团反腐败条例》、《京东集团廉洁奖励试行办法》等。但作为一家互联网公司，以技术手段保内控 障也同样不应忽视。据统计，八成左右的企业数据安全泄密类问题发生在体系内部(内部人员过失泄密或主动窃密)，由外部黑客攻击、系统漏洞、病毒感染等问题带来的数据泄密案例，合计仅有12%。可见，企业需要一种更强有力的安全防护体制来保证内部数据安全。常见的方法有：
- 物理隔离、物理防护。例如，公司重要的电脑、文件服务器等若非必要，通常不应该接入公网，可以有效防止来自公网的木马病毒、黑客攻击等危害信息安全的行为。我们有一家技术型客户公司，就严禁员工使用优盘，严禁在上班时段上网。
2. 数据加密保护。加密软件是信息安全中的“基本款”，为了进行全程保护，还可以在局域网内部设立分级访问举措，核心内容只对高管层或核心部门开放。而密钥认证、用户认证、文件操作日志记录等方式，也是非常有效的举措。 - 算法和流量监控。在我们经办的案件中，就曾遇到过内部员工将信息上传至邮箱、云盘从而转移的手段。这时若企业内网设有监控，就能在流量异常时发出警报，及时止损。、
- 设置专门的信息安全管理人员。相较于让单位的网管员、行政人员、部门经理来“兼职”，专职信息安全员凭借其成熟的经验和技术，显然更具优势。
可以说，大数据，采集容易、保护难；在互联网公司角度上，快速发展是重点，强化内控亦不可偏废。否则，一旦“后院着火”，业务市场的进军开拓也会大打折扣。
（实习生伊丽沙对本文亦有贡献)