健康码信息泄露的责任主体需视具体情形而定：通常由未尽到安全保障义务的信息处理者（如相关政府部门、受托技术公司）承担主要责任；若个人因自身过错导致泄露，则可能减轻或免除其他方责任；窃取、买卖信息的行为人则须承担刑事与民事责任。本文从法律角度客观分析不同场景下的责任归属。
健康码信息处理者未尽义务，应承担什么责任？
健康码涉及个人身份、行踪、健康等敏感信息，其收集与处理须遵循合法、正当、必要原则。根据《中华人民共和国民法典》第一千零三十四条，自然人的个人信息受法律保护。信息处理者若未采取必要安全措施导致泄露，应承担侵权责任。实践中，负责健康码系统开发运维的技术公司作为受托方，若因技术漏洞导致数据外泄，亦可能依合同或法律规定承担相应责任。
《中华人民共和国民法典》第一千零三十四条：自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
此外，《中华人民共和国个人信息保护法》第六十九条确立了过错推定原则：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这意味着一旦发生泄露，信息处理者需自证已尽到安全保障义务，否则难辞其咎。
个人原因导致信息泄露，责任如何划分？
若信息泄露源于个人主动分享、随意授权不明应用或点击钓鱼链接等自身过错，则其他主体可能减轻或免除责任。例如，用户将健康码截图公开发布于社交平台导致信息扩散，其自身需对扩大部分的损害承担相应责任。此时，若信息处理者已履行法定告知与安全保护义务，通常不承担侵权责任。司法实践中，法院会综合考量各方过错程度与原因力大小来分配责任。
第三方窃取或买卖健康码信息，面临哪些法律后果？
非法获取、出售或提供健康码信息的行为，可能触犯《中华人民共和国刑法》第二百五十三条之一侵犯公民个人信息罪，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。同时，受害人可依据《民法典》要求其承担民事赔偿责任。此类行为是法律严厉打击的对象，责任最为明确。
发现信息泄露后，普通人可以采取哪些步骤维权？
建议按以下步骤有序应对，避免损失扩大：
- 立即固定证据：对泄露页面、聊天记录、短信通知等进行截图或录屏，保留原始载体。
- 向信息处理者投诉：要求其说明泄露原因、采取补救措施，并书面答复。
- 向监管部门举报：可向网信部门、公安机关或卫生健康主管部门反映，要求调查处理。
- 评估损害并咨询专业意见：若已造成财产损失或严重精神损害，可考虑通过诉讼主张赔偿。
法条依据与归责原则梳理
处理健康码信息泄露纠纷，主要依据《民法典》人格权编与《个人信息保护法》。归责上，对信息处理者适用过错推定，对第三方侵权人适用一般过错责任，对个人自身过错则适用过失相抵规则。上海地区法院在审理此类案件时，通常严格审查信息处理者是否履行了告知同意义务、是否采取了加密去标识化等安全措施，并据此认定其过错程度。
常见误区：信息泄露就一定能获得赔偿吗？
并非所有泄露都必然导致赔偿。侵权损害赔偿以实际损害为前提，若仅有泄露风险而未造成现实损害，法院可能不支持赔偿请求，但可判令信息处理者赔礼道歉、消除影响。此外，精神损害赔偿的适用较为严格，需达到严重精神损害的程度。权利人应理性评估诉讼成本与预期结果。
健康码信息泄露后，个人可以直接起诉要求赔偿吗？
可以，但需满足起诉条件。原告需证明自己是信息主体、存在泄露事实及因此遭受的损害。若损害难以量化，可主张停止侵害、赔礼道歉等。建议先通过投诉举报途径解决，诉讼作为最后保障。
政府部门在健康码信息泄露中是否担责？
视其是否履行法定职责而定。行政机关处理个人信息同样受《个人信息保护法》约束，若因未尽安全监管义务导致泄露，可能承担行政责任乃至国家赔偿责任，具体需结合过错程度判断。
健康码信息泄露的责任认定需结合具体场景与过错程度综合判断。建议遇到此类问题时，注意留存证据，及时向监管部门反映，并视情况咨询专业律师，依法理性维权。