近日，北京市第四中级人民法院审结一起消费者诉电商平台泄露个人信息的网络侵权责任纠纷案件，法院判决撤销一审判决，要求电商平台在其官方网站首页以公告形式向消费者赔礼道歉。
原告刘某多次通过某电商平台购买海外商品，其真实姓名仅在下单时向平台提供，而在收件人姓名处，刘某均使用了化名。从2021年11月下旬开始，刘某在该电商平台下单后,多次接到海外电话，称其在某电商平台购买的商品因破损等原因不能正常清关，要求其配合处理。在接到这些电话的过程当中，当地反诈中心亦发来电话以及短信的提示，提醒刘某所接的极可能是诈骗电话。这些诈骗电话能够清楚地知道刘某的订单号码、真实姓名、电话、地址等，侵犯了个人隐私和个人生活安宁，刘某因此诉至北京互联网法院，要求电商平台赔礼道歉。
某电商平台辩称，公司经过内部调查，并未发现有个人信息泄露，公司已经制定了一系列的规章制度，从软件、硬件等方面对个人信息进行了保护。原告提交的证据不足以证明侵权的成立，原告个人信息存在物流等多个环节泄露的可能性，不足以从法律的角度推理被告侵权的成立。
一审法院经审理后认为，刘某主张网络跨境电商平台泄露其购物交易订单及其个人信息，使其遭受诈骗电话骚扰，侵犯了个人信息权益和隐私权。在案证据显示，电商平台仅为网购过程中会接触刘某个人信息的多方主体之一，物流企业等均可能接触上述信息，且电商平台提供了其经营中已经采取的保护用户个人信息的做法和措施，目前无证据显示诈骗方知晓的个人信息内容为电商平台所独有或者提供，在案证据尚不足以证明被告泄露了原告个人信息的事实达到民事证明标准高度盖然性的程度，故驳回了刘某的全部诉讼请求。
刘某不服一审判决，向北京四中院提起上诉。
二审法院经审理后认为，《中华人民共和国个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。本案中，某电商平台作为刘某的个人信息处理者，提供了公安部门颁发的“通用电子商务平台”系统、“物流”系统的信息系统安全等级保护第三级备案证明以及一系列安全保护政策，但这些证据只能从应然层面上证明该平台提供了一般性安全保障义务，并不能证明实然层面中，对刘某被泄露的个人信息处理环节中尽到了相应的安全管理职责。上述证据并未达到《个人信息保护法》第六十九条规定的证明自己没有过错的证明标准。关于其他环节可能泄露刘某信息的抗辩，四中院认为，涉案订单配送信息记载的收货人姓名为刘某的化名，而本案刘某主张泄露的个人信息为本人真实姓名、订单号码、电话等信息。根据电商平台提交的流程，物流企业掌握的信息应为物流运单编号、订单编号、收货人信息、收货人地址、收货人电话等信息，即不包括刘某主张泄露的本人真实姓名和身份信息，且刘某主张泄露的信息，并非支付信息和收货信息，排除了支付和物流环节。故依照《个人信息保护法》第六十九条之规定，四中院推定某电商平台对刘某信息泄露事件的发生存在过错，应当承担由此造成的刘某隐私权和个人信息权益损害的赔偿责任，故支持了刘某要求电商平台赔礼道歉的诉求。
