先证明发生了什么处理和影响
健康报告、病史或检测数据疑似被平台泄露，个人通常无法直接看到后台日志。主张侵权并不意味着必须先自行找出每一项系统漏洞，但也不能仅凭接到陌生推销电话，就断言某一家机构泄露了全部资料。
涪陵居民可以保存向机构提供过哪些信息、随后在何处出现、对方掌握哪些特定内容，以及沟通和现实影响。重点是使被指控的处理行为、特定个人信息和损害之间有具体可核查的联系，不以猜测填补来源。
第六十九条对过错证明有专门安排
个人信息保护法第六十九条规定，处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应承担损害赔偿等侵权责任。不能把这个规则改成受害人必须先拿到公司内部全部安全审计，才有资格提出赔偿。
它也不是只要对方保存过本人资料就自动赔偿。实际处理、权益侵害、损害及关联仍须依法审查；规则着重解决处理者过错的证明，不能未经分析扩成所有责任条件均无须证明。
一份信息安全制度不当然证明实际无过错
处理者可说明权限控制、敏感信息分类、安全保护、人员管理、委托监督及事故处理等实际履行，材料应对应涉事期间和系统。只提交公司有隐私政策或员工签保密承诺，不等于所有具体处理已经安全合规。
医疗健康属于敏感个人信息，法律要求特定目的、充分必要性和严格保护措施。需要哪种程度的保护，应结合数据和风险判断，不能把普通公开联系方式的管理方式直接套到完整病史上。
证据申请应具体而有必要
个人可以依法请求查阅复制本人的信息、要求说明处理规则，并保存回复。涉及诉讼调取或证据保全，可说明日志名称、期间、系统或提供对象线索及待证事实，避免只要求交出所有后台数据。
资料涉及其他人、商业秘密或安全细节，可通过适当司法方式核验，并非必须全部对公众公开。个人也不能为证明泄露而侵入系统、购买他人病历或散发完整数据包，造成新的权益侵害。
责任方式和金额分别准备
停止不当处理、采取补救与赔偿损失，可按事实分别提出，不必为等待损失最终算清放任持续泄露。第六十九条对损失或处理者获利及难以确定时的金额认定设有安排，但不是被泄露多少字段就套一个全国统一单价。
可以列已发生合理支出、实际利益损失、处理者获利线索和其他影响，说明哪些尚待调查。严重精神损害还需依法审查，不能只因属于敏感信息就保证必然取得某个金额。最终材料应让行为、数据、影响和安全履行各有对应，而不是仅在是否签过同意书上反复争论。