遭遇个人信息泄露，消费者维权要证明：谁泄露的、怎么泄露的、谁在恶意利用——个人信息遭“裸奔”，维权卡在哪儿?
航班信息遭泄露，骗子精准施骗找上门来，最后10余万元一天内“飞”走。受害人申女士将其购买机票的平台告上法庭。2018年12月29日，北京市朝阳区人民法院认定平台在信息安全管理方面存在漏洞，未尽到对个人信息负有的信息保管及防止泄露义务，判决平台赔偿申女士经济损失5万元并向其赔礼道歉。
申女士胜诉了，但维权难是个人信息遭泄露的消费者面临的普遍难题。其中，许多维权者卡在证明“谁是泄露主体”这一环。
现状：个人信息泄露事件不断刺痛公众
万豪国际集团2018年11月30日发布公告称，旗下喜达屋酒店客房预订数据库遭黑客入侵，最多约5亿名客人的详细信息可能被泄露。去年8月，网络流传一张黑客出售华住酒店集团客户数据的截图，其中涉及姓名、身份证号、家庭住址、开房记录等众多敏感信息，大约5亿条。
据统计，2018年上半年，电商平台、社交平台软件等非法搜集消费者个人信息现象成投诉新热点。2018年8月中国消费者协会的调查结果显示，85.2%的人表示遇到过个人信息泄露。
北京市朝阳法院近日以该院2003年至2017年15年间受理的74起涉公民个人信息民事侵权案为样本进行调研，数据显示，六成以上的个人信息侵权涉及三种以上信息同时被侵害，手机号、家庭住址是“重灾区”。
“多重个人信息的聚合，大大提高了信息应用场景和经济价值，也使泄露、公布或不当使用行为的危害性更大，给权利人带来更大困扰、损失和潜在风险。”朝阳法院酒仙桥法庭庭长吴彬说。
不过，根据中消协的调查结果，虽有受访者会向消费者协会和有关行政部门投诉，或与服务商协商和解等，但是，仍有大约1/3的受访者选择“自认倒霉”，很多人认为维权成本高、胜诉难。
难题：怎么证明到底是谁泄露的?
2014年2月，引发关注的“2000万条开房信息泄露事件”首例诉讼在上海浦东法院第一次开庭审理。原告王金龙下载了网上流传的文件包，结果发现，自己的姓名、身份证号码、手机号和开房时间等信息均在其中，遂起诉汉庭星空(上海)酒店管理有限公司和浙江慧达驿站网络有限公司，要求赔偿20万元。
5个月后，王金龙被判败诉。法院认为，王金龙被泄露的信息，其扩散渠道不具有单一性和唯一性，难以仅凭部分信息的一致判断网上流传的信息就是汉庭酒店留存的信息。
败诉的不只是王金龙。2016年3月，5名消费者将苏宁易购诉至法院，认为其存在漏洞，导致个人信息泄露并遭受诈骗。此前，第三方漏洞平台发布了苏宁易购存在的系统漏洞，苏宁易购公开回复承认漏洞。
这在该案代理律师赵占领看来，“这个案子有一定的希望”。不过，消费者最后败诉，法院的判决理由依然是无法证明泄露主体。
“到底是谁泄露的?要证明这一点是最难的。”赵占领说，“掌握个人信息的主体通常是多方的，泄露的渠道和可能性也有多种，比如还包括消费者个人保管不当等原因。根据‘谁主张谁举证’，消费者往往会因证据不充分而败诉。”
根据朝阳法院15年里受理的侵犯个人信息民事案件调研报告，该院受理案件数呈增长态势，但原告胜诉的比例呈下降特点，近三年胜诉率不足一半。
“这与信息泄露渠道增加、权利人证明信息被特定主体侵害的举证难度增大有关。”吴彬说。
变化：法院对个人信息的保护在加码
消费者个人要告企业甚至是大企业，双方举证能力并不对等。完全按照“谁主张谁举证”的原则，是否超出了消费者的证明能力?
记者注意到，从近年来的一些司法实践来看，法院对个人信息的保护在加码。
2017年3月，一起公民个人信息民事侵权案由北京市第一中级人民法院终审判决，结果是消费者胜诉。
北京一中院认为，要求原告充分举证超出其能力，且案件发生前后信息泄露事件多发的背景因素强化了该案被告东航、去哪儿网泄露原告隐私信息的可能，要求被告公开道歉。
在申女士诉另一家在线旅游平台的案件中，该平台辩称，其并非唯一获取申女士信息的主体，同时不排除申女士个人将涉案信息提供给他人。
对此，法院判决书写明，基于涉案个人信息被短时间泄露等时空背景条件，本院认为平台作为消费者所直接面对的第一手完整信息保管者存在泄露涉案个人信息的高度可能。
该案审判法官罗曼表示：“目前，我们更倾向于对于利用公民个人信息获取商业利益的主体科以较高的监管责任。”
“我们希望通过个案的审理和裁判，引导全社会关注个人信息安全，对于各类市场主体敲响加强内部管理和个人信息保护的警钟，在观念上引起重视。”罗曼说。
“我国不缺涉及个人信息的立法保护，但法律的生命在于实施，因此除了消费者提高个人信息保护意识，还需要行政部门加强监管。”赵占领说。
