杭州马拉松报名网站泄露个人信息，律师：警惕赛事方过度收集

2023年8月28日，根据参赛者在社交网络上的爆料，杭州马拉松官网报名页面崩溃，显示大量报名者的个人信息，包括真实姓名、手机号码、身份证号等等。

有报名杭州马拉松的参赛者表示，他在官网登录自己的账号报名，却跳出来另一位参赛者的个人信息，包括姓名、身份证号、性别、出生日期、服装尺码等等。

同日，杭州马拉松官网已紧急关闭报名入口，暂停报名。29日，南都记者致电杭州马拉松工作人员，其表示28日网站正在维护，现已重新开放。南都记者询问此前信息泄露是否会造成不良影响，工作人员表示“暂未收到相关信息，可以放心报名。”

对此，中国互联网协会法工委副秘书长胡钢认为，依据民法典、消保法、网安法、个人信息保护法等法律法规的规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。

而落实到本案，其中的个人信息处理者可能包括赛事的主办、认证、协办、承办、运营推广者，以及实际搭建运维相关网络系统者。胡钢指出，相关报名参赛者认为自身权益受到侵害的，可以向上述个人信息处理者或相关方主张权利。

根据《个人信息保护法》第五十七条，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。此外，胡钢还表示，有证据证明相关信息处理者未妥善履行保护、补救、通知报告等义务，造成个人损失的，有关部门可以责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务的行政处罚。

对此，浙江垦丁律师事务所联合创始人麻策表示了类似的观点。他认为，赛事承办方在此次事件中应承担的责任需要依据数据泄露的程度而定。麻策指出，信息泄露并不会直接造成人身或财产的损害，因此，若只是一般的数据泄露，用户可要求组委采取相应的保护措施，但若用户的信息泄露导致其权益受到诸如诈骗的损害，消费者可按照实际的损失提出赔偿主张。

然而，赔偿主张并非没有门槛。麻策指出，在判决中，需要有明确的数据泄露源、责任主体及造成损失的因果关系才能判定赛事方的责任，“但假设只是单纯地基于官方泄露的信息而导致诈骗受损，绝大部分责任应该是由马拉松平台来承担更为妥当。”

此外，鉴于相关事实和舆情，胡钢认为，相关主管部门应当主动进行行政调查乃至行政处罚。消费者也可以投诉，要求启动行政程序。鉴于本案涉及侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。

麻策指出，在此类事件发生后，官方应立刻采取必要措施，如关停系统，避免损失扩大。此外，也应对事件造成的影响进行评估，并向网信部门、公安部门进行报备。如在评估后评定将对参赛者造成影响，则应向用户进行相关告知，以避免造成更大的危害。

胡钢则建议，若造成损失，参赛者可以依法单独或集体性提起私益诉讼（指当事人为维护自己的私人利益而提起的诉讼，仅特定人可以提起）。此外，此类集团性公益诉讼可快速高效一揽子解决此涉众纠纷。行政调查、公益诉讼和私益诉讼应相互衔接配合，一体推进。赔偿标准，可以参照消保法第五十五条消费欺诈的“退一赔三 最低五百元"处理。

“根本的问题还是，现在很多赛事方过多过滥收集处理大量公民个人信息，又对网络及信息安全重视落实不到位。”胡钢总结道。

采写：南都记者胡耕硕 王子黎