《法治周末》记者在同程网络科技股份有限公司（以下简称：同程旅行）购买机票3天后，就接到了诈骗电话，到底是哪个环节泄露了记者的订票信息？同程旅行3次答复各不相同。
旅客信息遭泄露，第三方网络渠道代理公司是否应承担相应的法律责任？对于信息泄露案件，旅客个人取证又存在哪些难点？
出发前一天接到诈骗电话
10月30日下午，《法治周末》记者通过同程旅行网络平台购买了一张11月2日长沙到乌鲁木齐的机票，航空公司为海南航空。11月1日中午，记者接到了一位“工作人员”的电话。这位“工作人员”不仅准确地报出了记者的姓名、身份证号码、航班号，还准确地报出了记者此行的出发到和达城市名称。同时称因为“飞机起落架故障”，记者预订的这趟航班取消了。这位“工作人员”建议记者改签或者退票。如果退票的话，可以获得航空公司400元的补贴，并通过支付宝办理。
看到记者没有退票和改签的意思，这位“工作人员”就匆匆地挂掉了电话。为了核实情况，记者当即向海南航空客服人员进行查询，工作人员答复称这趟航班并没有取消。
11月1日中午，记者立即向同程旅行客服人员反映旅客信息泄露一事，客服人员称，同程旅行没有泄露旅客信息，并将泄露信息的原因分析为，可能是记者的手机中了病毒，导致信息外泄。
12月1日，记者再次就此次信息泄露一事，向同程旅行问询原因，客服人员称，11月份确实有一些旅客反映信息遭泄露的事情，公司已经向警方报案，有进一步调查结果之后，将向记者进行回复。
12月9日，记者第3次向同程旅行了解旅客信息泄露的调查进展情况，客服人员又称，同程旅行不会主动去泄露旅客信息，建议记者自己去报案。
民航局称高度重视数据治理工作
记者上网搜索发现，近期类似诈骗的案件频发。9月8日，有网友在网上投诉称，8月15日，他通过同程旅行花费483元预订机票一张。在预订机票时，他如实填写了个人姓名、手机号码以及身份证号等信息，随后航空公司正常进行出票。可就在出发前一天，他在家中接到诈骗人员的来电，谎称是航空公司客服人员，并准确地报出了这位旅客的姓名、身份证号等个人信息，诈骗人员称因“飞机起落架故障”导致航班延误被取消，并表示可以办理改签机票手续，直到家人及时提醒后，这位旅客才意识遭遇到了骗局。
“此次信息泄露给本人以后的生活埋下了安全隐患，对此同程旅行应承担相应责任，及时制止类似泄密情况再次发生。”这位网友说。
还有网友投诉称，这种诈骗行为危害极大：一是假报航班取消信息干扰旅客行程；二是这种信息泄露问题极其严重，如有的旅客不明真相，或许会遭遇诈骗，造成财产损失。网友建议民航局协调公安部门严查第三方网络渠道代理公司，保障旅客信息安全。
近日，中国民用航空局对网友的投诉进行回应称：民航局高度重视数据治理工作，认真贯彻《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关规定，先后出台“7+1”智慧民航数据治理系列规范（7部行业标准、1部信息通告），指导规范行业单位开展数据共享、数据服务、数据安全等工作。目前，为落实民航领域数据分类分级保护有关要求，民航局正在编制相关文件，进一步加强对重要数据的保护。同时，对于第三方网络渠道代理公司的旅客信息泄露等问题，民航局将积极协调公安机关开展有关严查打击工作。
个人在此类案件中存在举证难
有媒体透露，这类诈骗往往发生在假期出行高峰，且处于旅客出发前的短暂时间段，令人防不胜防。一些旅客在网上订购机票后，出发前收到“航班取消”等短信，提示旅客在支付软件中领取补偿，而当信以为真的旅客按“客服”要求下载指定APP、开启屏幕共享，以及远程听取“客服”要求进行一番操作后，却发现卡中的存款被不断扣除甚至悉数清空。
那么，针对这类旅客信息泄露事件，相关的机票代售机构是否需承担相关法律责任？记者查询发现，法院已有相关判例。
2018年8月，最高人民法院发布了一批涉互联网典型案例。其中，庞理鹏诉中国东方航空股份有限公司（以下简称：东航公司）、北京趣拿信息技术有限公司（以下简称：趣拿公司）隐私权纠纷案是典型案例之一。
2014年10月11日，庞理鹏委托其助理鲁超通过趣拿公司运营的去哪儿网购买东航公司机票，其后收到诈骗短信，短信内容中显示有庞理鹏航班的起飞时间、降落时间、机场名称、航班号。庞理鹏认为，自己的手机号及确切的航班信息只有趣拿公司和东航公司掌握，因而其断定是二公司泄露了其个人信息，于是诉至法院，要求二公司赔偿精神损害抚慰金1000元。
法院在本案中认定，原告庞理鹏的非隐私信息与隐私信息结合之后已形成不可分的权利整体，应当按照隐私权的保护规则一体救济。被告东航公司和趣拿公司掌握了原告庞理鹏身份证号、手机号和航程信息，其后，相关信息又在合理时间内发生泄露，根据高度盖然性的证明标准，足以认定信息泄露系被告导致，故二被告构成对原告隐私权的侵犯，应当承担侵权责任。法院判决趣拿公司向庞理鹏赔礼道歉、东航公司向庞理鹏赔礼道歉；同时驳回了庞理鹏的其他诉讼请求。
律师王文祥认为，梳理现行司法判例来看，个人信息泄露引发的侵权纠纷案中，个人因为无法完成举证责任而败诉较为常见。通常，个人在举证证明“被告泄露了原告个人信息”这一事实上就败下阵来。
王文祥分析称，个人在此类案件中举证难的主要原因有三：第一，证明信息泄露可能需要具备一定的技术知识或条件，而作为个人的原告通常不具备。第二，原、被告实质上存在地位不对等。个人信息泄露引发的侵权纠纷案件中，原告均为自然人，而被告通常是具有优势地位的企业。在这样的不对等的关系下，原告的取证受到了极大的限制。第三，现行法下，个人无从了解自身个人信息收集、使用和保护状况。从2012年《关于加强网络信息保护的决定》，到2013年《中华人民共和国消费者权益保护法》，再到2017年《中华人民共和国网络安全法》，均规定了信息收集要明示收集的目的、方式和范围（义务角度），但并未真正赋予个人权利以保障个人充分维护自身的权益（权利角度）。
“个人无法寻求法律依据以要求个人信息收集主体提供其收集、使用和保护与该个人有关的个人信息的情况。因此，个人实质上是无从了解自己个人信息使用和保护的实际情况，更无从谈及举证证明信息泄露。”王文祥说。