论信息泄露通知义务及责任——以《个人信息保护法》第57条为中心OACHSSCD

对《个人信息保护法》第57条的解释应以区分通知对象展开。对个人进行的通知对信息泄露的下游损害的预防能力有限,为平衡个人知情权与事故处理需要,对个人进行的通知决策实际由公权力机关作出。在通知次序上,应先通知公权力机关再通知个人。对个人进行的通知,通知事项以有利于个人预防为导向,形式上应考虑降低个人筛选信息成本,期限上受制于公权力机关的决策时长难以统一规定。对公权力机关进行的通知,通知事项以确定事故类型和是否通知个人的决策为导向,形式上可以分阶段作出通知,可以确定统一期限。在涉及信息泄露的下游损害案件中,运用《个人信息保护法》第57条确立的通知义务标准,可以协助判断违法行为要件的成立,为确认不作为的个人信息处理者的责任提供规范依据。