张姐的死结：你丢了钱，还要你证明钱是怎么丢的？
张姐住杭州城郊的回迁小区，去年秋天物业统一升级门禁，说刷脸就能进楼，不用带卡，免费升级。不少老人都去录了，张姐也去了。整个过程不到两分钟，站在摄像头前笑一下就完事。没人告诉她人脸信息存在哪，加密了没有，给谁用。
今年年初，她早上醒来看手机，十几条银行扣款提醒，加起来12万，全是异地的第三方支付消费，瞬间转走了。警方查到最后，锁定了问题出在人脸信息泄露——骗子拿到她的人脸信息之后，绕过了银行的身份核验，改了支付密码转走了钱。但是谁泄露的？警方顺着线摸到，流转路径的起点，标注的就是张姐小区门禁的采集端口。
张姐找银行，找物业，两边踢皮球。银行说的话最气人：你要我们赔，就得明确证明你的人脸信息是从物业门禁漏出去的，还要证明我们存在审核过错。张姐一个退休会计，去哪找这种证据？说白了，普通人连服务器权限都碰不到，怎么拿？
没地方找去。
这就是绝大多数普通人遇到新型侵权的时候，会碰到的死局。你被坑了，你要伸冤，门在那，但是钥匙在对方手里，还让你自己掏钥匙开门。对吧？
规则早就改了，只是很多人还装不知道
很多人觉得举证责任倒置是啥高深的法律新词，其实不是。很早之前，医疗事故、产品质量纠纷就用这个规则了——你去医院做手术做坏了，总不能让你一个普通人去证明医生切错了地方吧？医院掌握全部病历，就得医院自己拿证据证明自己没做错。
放在个人信息侵权这块，逻辑一模一样啊。说实话，《个人信息保护法》生效都快三年了，里面写的明明白白：处理个人信息侵害权益的，个人信息处理者应当证明自己没有过错。这不就是妥妥的举证责任倒置吗？怎么到了张姐这，银行和物业都集体失忆了？
说白了，就是装糊涂。强者的惯性罢了。过去打官司都是谁主张谁举证，强者吃惯了这个红利——我拿了你的信息，我握着所有证据，你告我，你拿不出来，你输，我稳赚不赔。就算我真的漏了信息，你也拿不到实锤，我不用赔。天下哪有这么好的事？
不过话说回来，不止企业装糊涂，很多普通人也真不知道这个规则改了。张姐找我之前，找过两个律师，都说你打不赢，没证据，谁能想到可以要求对方举证呢？
一点点倾斜，就是普通人最大的靠山
上个月刷到上海的一个判决，和张姐的事几乎一模一样。业主住的小区装了刷脸门禁，之后信息泄露被人盗刷了信用卡，业主告了物业。法院直接要求物业举证——证明你对采集的人脸信息采取了足够的安全保护措施，证明你的信息不可能从你这漏出去。物业拿不出来完整的加密日志，也拿不出来定期审计的记录，最后判物业赔八成损失。
你看，规则不是写在纸上死的，已经有人用它拿到赔偿了。原来所谓的举证责任倒置，说穿了就是一句话：谁拿了我的信息，谁就得看好，看不好，你自己证明你没责任，证明不出来，你赔。就这么简单。
原来天平是往掌握资源的那一头歪的，现在只是把它往回掰了一点点。就这一点点，够给普通人托底了。张姐现在已经按照这个思路改了诉讼请求，要求物业和银行举证自己没有过错。上周她跟我说，物业终于主动拿出了他们的信息安全记录，虽然缺了大半年的日志，至少他们不再说“你拿证据来”这种话了。这就是进步啊。
数字时代，我们每个人的信息都在被各种各样的平台拿着，门禁、APP、商场、银行，你根本不知道你的信息存在哪，会被卖到哪。真出了事，再让普通人自己找证据，那就是把人往绝路上逼。举证责任倒置不是啥惊世骇俗的改变，就是把道理摆回了原位：你拿好处，你担风险。天经地义。对吧？
我挺期待张姐这个案子的判决的。不管结果怎么样，至少有人开始敢用这个规则了，法律也开始在这片陌生的数字土地上，踩下一个实实在在的脚印。路还长，慢慢来。
