引言

在个人信息保护民事案件中，被诉信息处理者能否举证证明其已履行“采取必要措施保护个人信息安全”的义务，是法院判断是否承担侵权责任的关键依据。根据《个人信息保护法》第九条、第六十九条之规定，个人信息处理者应当采取必要措施确保个人信息安全，否则将承担相应民事责任。

本文结合已生效的真实司法案例，系统分析以下四类措施的司法认定逻辑，为企业合规建设提供参考。

一、数据脱敏处理：阻断信息泄露的技术防线

法院认定要点：对用户敏感信息进行脱敏处理（如遮蔽、加密、哈希化），确保信息处理流程中任何主体（包括内部人员）均无法通过系统直接查询到可识别的用户信息。

法律依据：

• 《个人信息保护法》第五十一条：将个人信息去标识化作为技术措施的要求

• 《数据安全法》第二十七条：开展数据处理活动应当采取相应的技术措施

正面案例：中国东方航空公司数据脱敏抗辩案【（2018）粤0306民初23342号】

原告方某通过“金色世纪”平台订购东航往返机票后遭遇电信诈骗，被骗79,629元。原告主张东航泄露其个人信息，诉至法院要求赔偿。

法院认为：东航针对“东航B2C会员专区后台管理系统”进行了数据脱敏设置，法院认定东航“已充分举证”采取了有效措施保护乘客的个人信息，在其掌握信息阶段不存在泄露原告信息的事实，东航无需承担违约赔偿责任。

据上海市锦天城律师事务所王良律师分析（据《数据保护典型案例与执法监管动态（三）》），东航采取的技术措施包括：根据业内标准在互联网上采用SSL加密渠道，以在传输过程中保障网上收集的个人信息的安全。

反面案例：广州白云法院酒店信息泄露案【（2025）粤0105民初XXXX号】

阿豪妻子在另案诉讼中要求某酒店提供阿豪同住人信息。酒店在未征得原告小美同意的情况下，直接提供含有完整个人信息的同住记录，未作任何脱敏处理。

法院认为：酒店作为个人信息处理者，未经小美同意向他人提供个人信息，且未对同住人信息进行脱敏处理，构成侵犯隐私权，判令酒店向原告赔礼道歉。

实务要点：脱敏方案需覆盖数据的存储、访问、传输全流程；建议保留脱敏操作的系统日志，记录脱敏时间、字段范围、操作人员等，以便举证。

二、安全管理制度与体系认证：制度层面的合规架构

法院认定要点：建立严密的数据安全管理制度，明确数据保护责任人（如数据保护官DPO），并通过权威标准体系认证（如ISO 27001信息安全管理体系、ISO 27701隐私信息管理体系）。

法律依据：

• 《个人信息保护法》第五十二条：大型互联网平台应设立个人信息保护负责人

• 《个人信息保护法》第五十四条：个人信息处理者应定期进行合规审计

正面案例：中国东航DPO设立首案

在前述东航案中，东航“建立数据合规管理制度和流程，任命公司总法律顾问为公司‘数据保护官’，成为国内首家设立‘数据保护官’的企业”。

法院对此予以认可，成为东航免责的重要事实依据之一。

反面案例：某商旅公司安全管理形同虚设案【（2018）京0105民初36658号】

原告申某通过某商旅公司APP订购机票后遭遇诈骗，被骗19万余元。商旅公司提交了ISO27001认证证书、《敏感信息处理规范》等证据。

法院认为：虽然商旅公司“已获得ISO27001信息安全管理体系标准认证”，但“从现有证据看，某商旅公司在信息安全管理的落实方面存在漏洞，未尽到对个人信息负有的信息保管及防止泄露义务，具有过错”，判令商旅公司赔偿5万元。

关键启示：仅有认证证书和制度文件不足以免责，关键在于“制度落实”。认证需持续有效，保存认证证书及历年审计报告；制度文件应覆盖数据分级分类、访问权限、应急响应等核心模块，且需有执行记录佐证。

三、外部合作中的数据安全协议：供应链安全管理

法院认定要点：与第三方合作机构签署网络安全与数据保护协议，明确双方权责，确保外部合作不构成数据安全漏洞。

法律依据：

• 《个人信息保护法》第二十一条：委托处理个人信息时，受托方应按照约定处理，并采取必要措施

• 《数据安全法》第三十六条：与境外司法或执法机构合作时的安全评估义务

正面案例：东航外部合作安全协议实践

东航在数据合规方面采取的措施包括：“与员工、合作伙伴签署保密协议，明确权责并确保授权访问”，以及“与专业第三方进行超出国家标准的合作，提供企业数据安全水平”。

法院认定东航已充分举证，认可其供应链安全管理措施的有效性。

反面案例：某电商公司供应链安全漏洞案【公安部“护网—2025”专项典型案例】

2025年5月，安徽合肥某电子商务有限公司因旅客购票信息泄露被查。公安机关查明：该公司“未制定网络安全管理制度和个人信息保护制度”，未开展等级保护工作，未采取技术防护措施，导致相关数据被犯罪嫌疑人批量爬取。

典型意义：本案系因企业轻视供应链数据安全义务而导致的典型案例。企业怠于履行与外部合作方的安全协议管理义务，导致信息系统成为网络犯罪攻击的突破口，最终危害社会公共利益。

实务要点：

• 协议中应明确数据使用范围、安全保密义务、违约责任

• 定期对合作方进行数据安全审计或要求对方提供安全评估报告

• 涉及数据跨境时，需满足安全评估、标准合同或认证等法定条件

四、等级保护测评：权威第三方的合规背书

法院认定要点：引入公安部核准的等级保护测评机构，对重要信息系统进行等级保护测评（如等保二级、三级），证明系统安全防护能力达到国家标准。

法律依据：

• 《网络安全法》第二十一条、第二十五条：网络运营者应按照网络安全等级保护制度要求，履行安全保护义务

• 《数据安全法》第二十一条：重要数据的处理者应自行或委托数据安全服务机构开展数据安全评估

正面案例：东航等级保护测评实践

东航“进行网络等级保护测评并取得信息系统安全等级保护备案证明”，成为法院认定其“已充分举证”的重要依据之一。

标志性案例：杭州互联网法院平台尽职免责案（全国首例）【（2023）浙0192民初XXXX号】

2023年，天册律师事务所代理某大型网络购物平台在杭州互联网法院获得胜诉判决。该案系《个人信息保护法》施行后全国首例平台尽职免责案，具有里程碑意义。

案情：原告薛某在被告平台购物后接到诈骗电话，对方掌握其收货昵称、购买物品、快递单号、支付宝账号等信息。原告主张平台泄露其个人信息。

法院认定框架：法院认为，个人信息处理者侵权责任构成要件包括：第一，个人信息处理者实施了个人信息处理活动；第二，存在个人信息权益受侵害的事实；第三，个人信息处理者不能证明自己没有过错。

免责证明标准：法院明确，个人信息处理者提交以下证据可证明其无过错：

（1）处理行为没有违反个人信息保护规则的法律规范；

（2）采取了与案涉处理行为相关联的个人信息保护必要合规措施；

（3）尽到了与其专业能力相匹配的合理谨慎的“善良管理人”所应尽到的安全保障注意义务。

判决结果：法院认定平台已举证证明其在案涉个人信息处理活动中没有过错，且原告不能证明被告平台的个人信息处理行为与其主张的损害事实之间存在因果关系，驳回原告全部诉讼请求。

等保不合规典型案例【2026年行政处罚系列】

实务要点：

• 等级测评报告具有较高证明力，可作为“已采取必要措施”的直接证据

• 测评发现的问题需及时整改，并保留整改记录

• 测评有效期届满前应续期，避免“过期脱保”

五、综合认定逻辑与举证策略

法院综合判断标准：

• 措施的系统性：技术措施、管理措施、第三方认证是否形成闭环

• 措施的对应性：措施是否与信息处理活动的风险程度相匹配

• 措施的可验证性：措施是否可量化、可追溯、可举证

• 措施的持续性：安全管理是否为持续性制度，而非一次性应付

举证建议清单：

重要提示：据《数据保护典型案例与执法监管动态（三）》分析，《个人信息保护法》确立的“过错推定”归责原则意味着：原告只需证明存在个人信息权益受侵害的事实及因果关系，举证责任转移至被告。被告若举证不能，将承担不利后果。企业必须“合规留痕”方可“自证清白”。

六、结语

司法实践中，法院对“必要措施”的认定日趋精细化。从东航案（四类措施全部举证成功）到杭州互联网法院首例尽职免责案，《个人信息保护法》确立的过错推定原则使企业的举证责任显著提高。

建议企业构建“技术防护+制度管理+第三方认证+供应链管控”的四位一体数据保护体系，并确保：

• 制度有执行记录佐证，而非形同虚设

• 认证证书处于有效期内

• 等级测评定期续期

• 供应链安全协议落地执行

只有将合规措施落实到可举证的状态，才能在诉讼中实现“尽职免责”的法律效果。

来源说明

案例一/东航案来源：锦天城律师事务所《数据保护典型案例与执法监管动态（三）》

案例二/杭州互联网法院案来源：天册律师事务所《首例！天册律师代理个保法施行后全国首例平台尽职免责案胜诉》

案例三/酒店信息泄露案来源：广东省高级人民法院（2025）