萧 鑫，中国社会科学院法学研究所副研究员
2026年7月29日，国家互联网信息办公室就《中华人民共和国反网络暴力法（征求意见稿）》（以下简称“征求意见稿”）公开征求意见。同年8月7日，《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称“大型处理者规定草案”）随之公布。前者是我国首部反网络暴力专门法律的征求意见稿，拟将“违法集中发布他人个人信息”（即俗称的“开盒”）列为网络暴力的一种类型；后者整合此前两部面向大型网络平台的征求意见稿，将规制对象从大型网络平台扩展为大型个人信息处理者。两部草案的发布时间相隔不到十天，前者为“开盒”行为定性，并配置相应的惩治与救济规则，作用于“开盒”治理链条的传播端；后者着眼于上游持有环节：因业务汇聚海量个人信息的大型处理者，往往也是“开盒”所用信息可能的流出源头，作用于治理链条的持有端。
一、
“开盒”治理的现实态势与源头规制需求
近年来，我国依法加大对“开盒”行为人的惩治力度。最高人民法院于2025年将吴某慧、陈某强等侵犯公民个人信息案收入人民法院案例库。该案中，被告人为实施诽谤，花费13150元非法获取他人个人信息，写成不实帖文，阅读、转发及跟帖回复人数总计超过200万。裁判要旨载明，通过“网络开盒”等方式公开曝光他人个人信息，符合《中华人民共和国刑法》第二百五十三条之一规定，需以侵犯公民个人信息罪定罪处罚。2026年3月，“开盒”被写入最高人民法院工作报告，依法从严惩治成为最高人民法院公开强调的司法立场。在监管方面，中央网信办2025年5月部署“开盒”问题整治，要求微博、腾讯、抖音等多家重点网站平台落实治理任务，并依法按程序处罚3家大型网站平台。现有治理仍主要着眼于阻断传播、处置账号和加强平台内容管理等。有关通知虽涉及违法违规收集使用以及泄露、盗取、贩卖个人信息，但尚未进一步细化大型个人信息处理者面向“开盒”风险的源头防控义务。
2026年5月，最高人民法院公布的典型案例显示，林某某、王某某通过加密通信工具非法获取公民个人信息，分别达6亿和3亿余条，搭建库存1.7亿余条的“社工库”网站，非法提供查询1300余次，网站访问量超过10万人次，并设立2000余人的通讯群组实施“开盒”。同批案例还表明，个人信息既可能被外部技术手段窃取，也可能由服务商在开发、维护信息系统过程中非法取得，甚至被行业内部人员利用业务系统越权查询、出售。这些案例表明，“开盒”所用信息可能从合法处理环节流出，外部攻击、内部泄露和对外提供失控，均可能成为黑灰产业的信息来源。
从信息获取和流转过程看，“开盒”已经形成较为完整的产业链条：攻击者利用网络漏洞“拖库”，通过应用程序接口越权调取数据，或者利用供应链漏洞窃取数据；内部人员越权查询、违规批量导出或者非法提供数据，相关数据随后经“社工库”汇聚、清洗和交易，最终被“开盒”者获取使用。因此，“开盒”并非独立的信息传播行为，而是多个环节连续作用的结果。源头失守本质上也是网络和数据安全防护问题。
当前，现行的安全制度与上述网络暴力风险之间仍存在一定的场景错配。《中华人民共和国网络安全法》（以下简称《网络安全法》）的等级保护制度主要着眼于网络运行和系统安全；《中华人民共和国数据安全法》的分类分级制度，则根据数据的重要程度及其泄露、非法利用可能造成的危害实施差异化保护，但现有制度尚未专门围绕“个人信息被汇聚并用于网络暴力”设定防护强度。同时，不同制度的适用主体和义务触发条件并不相同，不能将大型个人信息处理者直接等同于关键信息基础设施运营者或者重要数据处理者。2026年8月20日起施行的《网络数据安全风险评估办法》，要求重要数据处理者每年开展一次风险评估，鼓励一般数据处理者至少每三年开展一次风险评估；大型处理者规定草案第三十三条则要求大型个人信息处理者每年评估其个人信息处理活动，并整改评估过程中发现的问题。这些制度为将数据汇聚、提供、公开等环节中的网络暴力风险纳入既有安全评估框架提供了接口。源头防控并非另辟蹊径，而是现有网络安全和数据安全制度在网络暴力场景中的具体运用。
与此同时，受害人要求可能存在泄密行为的个人信息处理者承担相应责任，仍面临泄露源头难以查明、内部证据难以取得等困难。2025年3月，据媒体报道，某互联网企业高管13岁的女儿被指涉嫌“开盒”他人，引发广泛关注。事发两个多月后，受害人联合维权仍未取得实质进展。该企业则回应称，被公开的信息来自境外“社工库”，并非企业内部泄露。现有公开材料尚不足以查明信息最初从何处流出，也无法据此确定有关平台或者个人信息处理者是否违反安全保护义务，但这并不意味着该事件的相关主体在法律上能够免责，而是反映了跨境追责、源头查明和证据取得等现实困难。
《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第五十一条要求个人信息处理者采取分类管理、加密、去标识化和权限控制等安全措施；第五十五条至第五十七条规定了个人信息保护影响评估与泄露处置程序；第二十八条至第三十条还对包括医疗健康、行踪轨迹在内的敏感个人信息设置了更严格的处理规则。因此，“开盒”源头治理所欠缺的并非一般性安全义务，而是这些义务在网络暴力场景中的具体化：哪些可能被用于实施网络暴力的信息应当受到重点保护，处理者应当采取何种权限控制和操作留痕措施，公安机关如何依法查证信息来源，受害人能否借助处理者控制的合规材料完成举证。
两部征求意见稿的规范意义正在于此。征求意见稿的平台治理规则主要作用于传播端，其第二十四条进一步将治理延伸至个人信息保护环节，要求对可能被利用实施网络暴力的个人信息实施重点保护，并要求公安机关办理相关犯罪案件时查证信息来源。大型处理者规定草案则承接《个人信息保护法》第五十一条的一般安全保护义务，吸收既有大型平台治理规则，进一步细化授权、留痕、审计和风险评估等措施。前者明确保护场景和保护对象，后者在主体重合范围内提供可供衔接的制度和技术措施，二者共同构成“开盒”源头规制的基本框架。在此框架下，重点保护的性质如何界定、源头义务能否转化为受害人可以运用的民事救济，是下文需要讨论的两个问题。
二、
重点保护的性质定位与实施机制
征求意见稿第十一条已经把个人信息保护列入平台应当建立的反网络暴力制度，但该制度的具体内容未作展开。大型处理者规定草案第二十四条进一步要求，履行个人信息保护职责的部门、单位指导督促网络服务提供者，对可能被利用实施网络暴力的社交、医疗、地理位置等个人信息实施重点保护。该条显然对个人信息保护力度提出了更高要求，但其在既有保护义务上增加了何种要求尚需厘清。一种理解认为，该条是对敏感个人信息规则的扩张，社交、医疗、地理位置信息均应按敏感个人信息对待，但这一理解并不妥当。依据《个人信息保护法》第二十八条、第二十九条，信息一旦被认定为敏感个人信息，处理者就要满足特定目的和充分必要性的要求，并取得个人的单独同意。照此推演，平台处理用户的社交关系、位置信息将一概需要单独同意，这显然偏移大型处理者规定草案第二十四条的规范目的。
敏感性认定是处理规则的核心，决定着个人信息处理者能否处理、以何种条件处理，规范重心在同意环节。重点保护是个人信息安全保护义务的加重，不限制处理活动本身，而要求提升防护强度，规范重心在防护环节。第二十四条属于后者，其规制目的不在于限制平台的处理活动，而在于强化平台的防护责任。这一区分有重要意义：在《个人信息保护法》中，处理权限的配置与保护义务的等级分属不同规范，第五十一条的安全措施义务正是防护端的规范基础。学界已有观点主张敏感个人信息应动态界定，认为敏感性并非信息的静态属性，需要结合主体、处理者、场景等因素判断。第二十四条体现的正是同样的思维，只是落点不在于同意规则，而在于防护等级。
循此思路，第二十四条的实施路径得以明确。重点保护的对象宜由网信部门会同有关部门制定指引，采用“类别加场景”的双重限定：列举住址、行踪、医疗就诊信息、联系方式、社交关系等信息类别，并以存在现实网络暴力风险作为保护措施的启动条件。这些信息类别有一个共同特点，即单条信息虽属零散，但经汇集、融合后即可锁定特定个人并产生网络暴力风险。大型处理者规定草案第十八条也体现了对汇集、融合处理风险的关注，该条明确，个人信息经汇集或者融合处理后符合《个人信息保护法》第二十八条规定的，应按敏感个人信息进行保护。重点保护对象的清单化，既可为大型个人信息处理者提供可执行的合规预期，也可避免“重点保护”在适用中被悬置。
第二十四条仅提出重点保护的要求，未规定具体实施手段，后者由大型处理者规定草案作出规定。如前所述，信息从持有环节流出的常见途径包括外部攻击、内部人员泄露等，大型处理者规定草案所明确的相关义务可分别回应上述风险：技术性安全措施用于防范外部攻击；最小授权、权限审批与操作留痕用于防控内部人员泄露；对外提供环节的去标识化用于降低对外提供风险；日志留存主要用于追溯和举证。由此可见，征求意见稿明确场景与对象，为大型处理者规定草案提供实施手段。“重点保护”落实到操作层面，即对重点信息提升防护等级，采取更高的防护标准、更窄的授权范围、更高的审计频次。义务内容由此具体化，也为监管检查提供了可对照的规范依据。
第二十四条还规定，公安机关办理网络暴力犯罪案件时，应当查证犯罪人员所利用的个人信息来源。来源倒查能否取得实效，取决于处理者是否形成并保存足以还原信息访问和流转过程的记录。现行《网络安全法》第二十三条要求网络运营者监测、记录网络运行状态和网络安全事件，并将相关网络日志至少保存六个月；大型处理者规定草案第二十一条、第二十八条又分别要求将个人信息对外传输日志、个人信息处理操作记录和权限审批记录至少保存六个月。上述记录分别对应网络运行安全、对外提供控制和内部权限管理，共同构成来源倒查的证据基础。
三、
源头泄露的溯源追责与救济路径
源头义务如何转化为被侵权人可以运用的救济路径，是私法层面的核心问题，涉及三个层次：请求权内容、举证责任分配与责任主体范围。
一是请求权内容取决于被“开盒”信息的性质。住址、行程、医疗记录等具有私密性的信息可受隐私权规则保护，侵害隐私权请求损害赔偿原则上适用《中华人民共和国民法典》（以下简称《民法典》）第一千一百六十五条。相关信息同时属于个人信息，处理者违法处理并造成损害的，还应结合具体请求讨论《个人信息保护法》第六十九条的适用情况。两类规范可能同时适用，不能简单按照“私密信息适用过错责任、其他个人信息适用过错推定”作二分。
归责原则之外，更为关键的是请求权类型。《民法典》第九百九十五条规定的人格权请求权，包括停止侵害、排除妨碍、消除危险，不以过错为要件，也不受诉讼时效限制。网络暴力对人的伤害具有累积性，侵害状态持续期间损害后果不断扩大，被侵权人最迫切的需求往往并非赔偿，而是制止信息扩散、消除持续侵害。对仍在线的“开盒”内容，可以请求删除、屏蔽；对数据库中待售的信息，可以主张消除危险。损害赔偿面向已经发生的损害，人格权请求权面向正在持续的侵害，两类请求可以相互配合。传播端的平台义务也有对应的私法依据：《民法典》第一千一百九十五条要求平台接到通知后采取删除、屏蔽、断开链接等必要措施，保存涉事数据、协助查明侵权人也可纳入必要措施的范围。征求意见稿第十八条将这一规则在网络暴力场景中具体化，规定遭受网络暴力侵害的用户有权通知平台采取相应措施，平台接到通知后应当依法及时处置，防止信息扩散。
请求权类型确立后，还需要考虑潜在的抗辩事由。“开盒”所用的信息相当一部分由行为人从公开渠道搜集、拼接而来，“信息本来就是公开的”由此成为最常见的抗辩，但该抗辩只能在法定的例外情形下成立。《民法典》第一千零三十六条和《个人信息保护法》第二十七条都允许在合理范围内处理已公开的个人信息，但设有两个限制：一是个人明确拒绝；二是处理对个人权益没有重大影响。“开盒”式信息汇集很可能违反第二项限制。零散公开的单条信息各有其发布场景，经搜集整合、指向特定个人并配以煽动性内容发布后，处理目的已由信息公开转变为对特定个人的锁定和围攻，对个人权益已构成重大影响。而判断是否构成重大影响，不能仅看单条信息的内容，还应考察信息汇集之后对特定个人的识别与锁定程度。以网络暴力为目的的汇集整合，应认定为超出合理范围，不得援引已公开信息规则免责。
二是举证责任分配构成源头义务进入私法救济的通道。《个人信息保护法》第六十九条实行过错推定，但该条调整的是过错证明，并不意味着违法处理、损害及因果关系当然免证。个人信息处理者是否尽到安全保护和内部管理义务，通常需要借助日志、操作记录、权限审批记录和个人信息保护影响评估材料加以证明。这些记录进入诉讼程序后，可以用于说明信息由何人访问、经何权限处理、通过何种路径流出。不过，留痕本身并不能证明处理者已经尽责，其证明力仍取决于记录形成机制、内容完整性、防篡改措施及其与争议处理活动的关联。处理者不能提供依法应当保存且由其控制的记录，虽不意味着法院可以直接认定其存在过错，但可能导致其无法证明自己没有过错，并在符合调查取证、文书提出命令等程序规则要件时承担相应的不利后果。只有源头端记录与传播端的数据保存、快捷取证机制相衔接，才可能缓解被侵权人难以查明泄露环节、取得内部证据的问题。
三是责任主体范围的确定。“开盒”加害链涉及多方主体，包括泄露信息的内部人员、整合信息的数据库运营者、发布信息的“开盒”者以及放大传播的平台。各环节主体的行为方式和过错形态并不相同，是否成立共同侵权，或者构成分别侵权并承担连带责任、相应责任，应当分别依照《民法典》第一千一百六十八条、第一千一百七十一条和第一千一百七十二条，结合各行为对损害发生的作用判断。违规内部人员往往难以查证，数据库多设于境外，被侵权人可诉对象似乎仅限于“开盒”者。源头义务提供了另一条救济路径：个人信息处理者违反安全保护、留痕、最小授权等义务，致使信息从持有环节流出的，被侵权人可以依据《个人信息保护法》第六十九条，请求其就源头泄露造成的损害承担责任。若个人信息处理者仅因过失未尽安全保护义务，且不符合共同侵权、教唆帮助侵权或者分别侵权承担连带责任的构成要件，其责任范围原则上应根据过错和行为对损害结果的原因力确定，不能当然令其对全链条承担责任。
四、
结 语
从网络综合治理角度看，“开盒”不仅是信息传播失序问题，还涉及网络安全、数据安全与个人信息保护等制度间的衔接。2025年11月，习近平总书记在中共中央政治局第二十三次集体学习时强调，“网络生态治理是一项系统工程，要充分调动各方力量，综合运用教育、行政、法治等多种手段”。2026年6月召开的全国网络生态治理工作会议又提出，强化标本兼治、平台履责和技术赋能。源头规制与上述治理要求相呼应，这种治理思路不再仅仅依靠删除信息、处置账号和追究“开盒”者责任，而是将风险防控前移至个人信息的多个环节，并采取多种措施阻断信息进入黑灰产业链。由此，可以在传播端治理之外建立源头防线，形成事前预防、事中溯源与事后救济相互衔接的治理机制，为治理“开盒”这一网络暴力问题提供兼顾治标与治本的制度方案。
（本文刊登于《中国信息安全》杂志2026年第9期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
