对于圆通“内鬼”致40万条个人信息泄露的报道，圆通速递11月17日回应称，调查发现，疑似有加盟网点个别员工与外部不法分子勾结，利用员工账号和第三方非法工具窃取运单信息，导致信息外泄。圆通对此案件所暴露的问题深表歉意。
在这起信息泄露事件中，圆通应该承担什么责任？被泄露信息的用户可以索赔吗？中国互联网协会法治工作委员会副秘书长胡钢对中新经纬客户端分析，用户与圆通速递发生合同买卖关系，但由于圆通速递管理不严、保管不善，造成用户信息泄露，圆通速递应承担相应的民事赔偿责任。
圆通承认“公民个人信息外泄”
据新京报，邯郸市公安局近期侦办发现，有不法分子与圆通快递邯郸区多位“内鬼”勾结，通过有偿租用圆通员工系统账号盗取公民个人信息，再层层倒卖公民个人信息至不同下游犯罪人员。
据了解，被泄露的信息中包括发件人地址、姓名、电话以及收件人电话、姓名、地址六个维度。据新京报援引知情人士透露，如果以上述六个维度的信息共同组成一条信息来计算，此次被泄露的信息数量实际超过40万条。据该人士透露，经过警方和检察院确认，被泄露信息中，存在某个维度以“*”来匿去的“不完全信息”，例如发件人为“张三”，但发件电话却为“*”。经过统计，六个维度完整的信息约为4万五千条。据马某杰供述，他将收集到的信息打包卖出，每条信息单价约为1元。
11月17日早间，圆通速递对此作出回应。圆通方面表示，2020年7月底，公司总部实时运行的风控系统监测到，河北省区下属加盟网点有两个账号存在非该网点运单信息的异常查询，判断为明显的异常操作，于第一时间关闭风险账号，同时立即成立由质控、安保、信息中心、网管等部门及河北省区组成的调查组，对此事件开展取证调查。调查发现，疑似有加盟网点个别员工与外部不法分子勾结，利用员工账号和第三方非法工具窃取运单信息，导致信息外泄，其中存在敏感字段信息约为4万3千条。
圆通方面称公司随后向当地公安部门报案，并全力配合调查。相关犯罪嫌疑人于9月落网。
律师：圆通速递承担相应民事赔偿责任
胡钢表示，目前依据《反恐法》《邮政法》规定，用户收发快递必须实名制，邮政企业、快递公司有义务要求用户提供真实的个人信息。法律同时规定，在这种情况下，快递公司必须严格保护公民个人信息。从此次圆通被泄露的信息中也可以看出，快递信息一般包括发件人地址、姓名、电话以及收件人电话、姓名、地址六个维度，均为敏感的个人信息。
胡钢表示，目前即将实施的《民法典》、《消费者权益保护法》及《网络安全法》中均对个人信息保护提出了明确要求，收集、使用均要遵循合法正当必要原则。《刑法》明文规定了侵犯公民个人信息罪。违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。“相关责任人，比如在公司内部没有采取保护措施，或者放任手下去出售个人信息，或没有采取有效措施及时制止手下出售个人信息行为，也要承担相应的刑事责任。”
胡钢表示，值得提出的是，除了直接、相关责任人需承担相应刑事责任外，公司经营者如圆通速递，要承担相应的民事赔偿责任。胡钢说，“用户与圆通速递发生买卖合同关系，并不是与圆通速递加盟网点员工发生合同关系，用户出于对企业信任，将个人信息提交，结果由于公司管理不严、保管不善，造成用户信息泄露及潜在损失，用户理应提出民事赔偿要求。”
至于如何赔偿，胡钢表示很难确定。“《消费者权益保护法》第55条有规定，如果存在消费欺诈，赔偿应按照退一赔三，最低500元执行，我认为至少应按照500元赔付。”胡钢建议，负责侦破案件的公安机关应披露泄露信息的时间、区域等大致范围，让用户知晓自己可能是受害者。“用户也可以通过个人诉讼、公益诉讼、代表人诉讼等方式，提出民事赔偿要求。
北京市京师事务所律师孟博对中新经纬客户端表示，《网络安全法》规定，网络运营者不得泄露、篡改、毁损其收集的个人信息；网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失；在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。企业若违反该规定，需承担相应法律责任。
从圆通公司的回应来看，此次事件涉及“内外勾结”作案。孟博表示，按照《刑法》规定，对于将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的行为，从重处罚。
快递信息泄露现象由来已久
快递信息泄露、被贩卖现象一直是媒体关注的焦点。
2012年11月，有媒体报道，快递单号的信息被大面积泄露，甚至衍生出多个专门交易快递单号信息的网站。这些交易网站显示，被交易的快递单号来自包括申通、圆通、中通、韵达在内的多个快递公司。
2013年8月，央视曾报道，一份填写完整的快递单，在网上可卖到四毛钱一张。而在线下，快递网点也有贩卖面单的情况，购买者多是电商卖家，通过购买快递单上的单号等信息制造虚假交易而提高信誉。被曝光的快递公司有圆通、申通、天天快递等。
2018年，上海嘉定警方破获了一起快递员私自贩卖底单的案子。快递员付某以1万张快递底单150元的价格卖给了某家健身房销售人员。最终付某和健身房销售韦某，因涉嫌侵犯公民个人信息，被嘉定警方刑事拘留。
有网络信息安全资深业内人士分析，因为快递行业的面单信息涉及的不单是姓名、电话号码，还有更有敏感的家庭住址等信息，属于犯罪分子看来“信息变现能力最强”的类型，所以信息泄露后往往会流向诈骗渠道，造成更大的危害。例如，这些信息目前经常出现在“到付诈骗”等精准骗局中。
胡钢认为，对于快递行业发生的用户个人信息泄露，必须追究相应责任人的刑事责任、行政责任和民事责任。“无论是意识上的，还是技术上的，或者管理制度上，任何漏洞都应该堵住。同时有损失一定要赔偿，要赔到每一个人，否则此类事情以后会无限发生。”胡钢说。