互联网法治 | 个人信息侵权民事诉讼中关于侵权责任的认定

文 | 北京互联网法院课题组

从《中华人民共和国民法典》（以下简称《民法典》）明确将个人信息作为一项重要的人格权益，到《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）对个人信息保护进行系统性规范，我国法律对个人信息保护的规则不断完善细化。相应地，人民法院在民事司法裁判中对个人信息保护的裁判规则也日益清晰。

课题组通过公开渠道查询2016年至2023年各级法院审理的有关个人信息的案件，共计576件，将其作为分析样本研究涉个人信息民事案件司法审理情况，并在此基础上，结合我国个人信息保护立法对个人信息侵权责任的认定问题进行分析。

归责原则、构成要件及要件事实的举证责任

《民法典》及《个人信息保护法》中的个人信息侵权责任适用均为过错归责原则，但是，二者在过错的证明责任分配上是不同的。个人信息的侵权责任构成要件亦需予以明确。个人信息权益作为人格权的一种，当然适用人格权请求权的规范，即个人信息权益受到侵害，则权利人有权依据人格权请求权主张权利。从侵权责任的角度，构成要件即包括违法行为、损害后果、因果关系和主观过错。这里的主观过错应采客观标准，对注意义务的违反即构成主观过错。

关于个人信息侵权纠纷的举证责任，具体而言要注意以下几点：

第一，被告是否实施侵权行为的举证责任分配。个人信息侵权纠纷应由原告对侵权责任要件对应的要件事实承担证明责任。其中重要的环节是证明被告实施了被控侵权行为。司法实践中，面对被告具体如何实施侵权行为、多主体泄露个人信息引发侵权等情形，原告举证能力较为有限。例如，在庞某某与北京趣拿信息技术有限公司等隐私权纠纷案中，原告仅能证明被告存在收集个人信息的行为和个人信息被泄露的后果，对于具体实施侵权行为的环节和主体均难以举证。因此，诉讼中更为缓和的要求是，原则上由原告对被告存在侵权行为承担结果意义上的举证责任，同时，法院结合具体案情，根据双方举证能力、“证据距离”等情况分配行为意义上的具体举证责任，由原告对被告存在收集个人信息行为、个人信息被侵害的结果进行举证，原告完成上述初步举证责任后，对不存在侵权事实的反驳责任转移至被告，由被告对其在处理原告个人信息过程中不存在侵权行为进行举证。

第二，被告是否存在过错的举证责任分配。不同于一般侵权，在个人信息侵权领域，对于过错要件适用举证责任倒置。由被告对其不存在过错承担举证责任，过错的判断往往采用是否违反注意义务的客观化标准。

值得注意的是，在《民法典》体系中，侵害人格权需要由权利人对于侵权人的过错进行举证。而民事案由规定将隐私权、个人信息保护纠纷作为一项单独案由，当事人若以此作为案由起诉，即面临着同一案由中两项权利（益）分别适用不同证明责任规则的局面。课题组认为，解决这一问题，应充分理解个人信息保护的立法目的、个人信息侵权的技术特点。个人信息保护立法的初衷在于解决信息时代个人信息处理者利用技术优势规模化处理个人信息可能造成的损害，如普遍存在的信息处理者与信息主体之间经济实力不对等、专业信息不对称的问题，适用过错推定，有利于减轻自然人一方的举证责任负担，保护受害者的权益。而具体到与其他人格权聚合的情形，特别是当事人同时主张侵害隐私权和个人信息权益的情形下，多为信息处理者处理的信息同时涉及一般个人信息及私密信息，或者处理行为包含了公开、泄露等可能侵害隐私的情形，本质上，处理方法、手段并无差别。因此，当针对同一信息处理行为，当事人既主张侵害隐私权又主张侵害个人信息权益的，均可统一适用过错推定，法院只需要在是否处理的是私密信息上进行区分即可。

第三，是否存在损害结果及其因果关系的举证责任分配。被控侵权行为是否造成原告损失及其因果关系作为侵权责任构成的要件事实之一，应由原告进行举证。损害后果既是侵权责任成立的定性要件，又是确定损害赔偿标准的定量要件，前者关注损害后果的有无，后者还需对具体损害的范围进行确定。侵犯人身权益的损害后果一般包括人身损害、财产损失和精神损害。侵害个人信息的损害结果往往是无形的。较有争议的是，缺乏客观具体的物质性损害，又不构成严重精神痛苦或人身损害的情形。课题组认为，对于损害结果可根据《民法典》第一千一百八十二条的规定，鼓励双方当事人对被侵权人因此受到的损失或者侵权人因此获得的利益进行举证，并根据“证据距离”合理分配相关举证责任。在双方均难以举证证明实际损失或因此获得的利益的情况下，可由法院酌情确定损害及赔偿数额。

常见合法性抗辩的认定

近年来，个人信息侵权类案件日渐增多，司法实践中相关案件的被告在诉讼中所提出的抗辩事由基本囊括于《个人信息保护法》第十三条规定的七种情形。具体分析如下：

第一，经过告知同意。关于“同意”的法律性质，目前法律规定并未明确，学理上亦有较大争议。“同意”的前提是确保个人充分“知情”，由个人自愿、明确地作出，这对告知形式、内容、阶段等提出了相应要求。关于告知同意，实践中并非以“一刀切”的方式支持或驳回该抗辩事由，告知与同意并非两个简单的动作，是否提供事后救济方式充分保障用户告知同意权利亦十分重要。而基于欺诈、胁迫等情况被强制作出的同意并不产生相应效力。

第二，为订立、履行合同或人力资源管理所必需。不论在《个人信息保护法》出台前还是出台后，法院均认可为订立、履行合同或人力资源管理所必需而处理个人信息的合法性，即“合同必需原则”。然而，这一原则本身过于宽泛。如何认定订立、履行合同所必需，课题组认为，应限定在软件或网络运营者提供的基本服务功能，或用户在有选择的基础上自主选择增加的附加功能。例如，在罗某与某科技有限公司隐私权、个人信息保护纠纷案中，法院即认为，被告不得以其仅提供个性化决策推送信息这一种业务模式为由，主张收集用户画像信息为其提供服务的前提。

第三，为履行法定职责或法定义务所必需。为履行法定职责或法定义务所要处理个人信息，系个人利益对公共利益的合法让渡。如有关法律规定，人民法院审理案件，除法律规定的特别情况外，一律公开进行，其中个人信息、案件事实等内容成为司法权运作的素材，相关个人信息同时也具有了公共信息的色彩。

第四，为应对突发公共卫生事件或紧急情况所必需。近年来，为应对突发公共卫生事件，利用大数据技术对个人信息进行收集、处理，妥善加强管理，降低公共安全风险已经被普遍接受。课题组在梳理案例时未发现生效判决。如果该类案件诉至法院，人民法院应当充分考虑个人权益和公共利益是否得到充分平衡，对个人信息的处理是否遵循了必要限度，包括必要性原则、适当性原则和相称性原则等。

第五，个人自行公开或者其他已经合法公开的个人信息。实践中争议多产生于个人信息已被司法机关或其他国家权力部门依法公开、公司等商业主体再次公开的情形，这类案件中原告主张的侵权行为及被告的抗辩事由大都相同，裁判结果尚不统一。课题组认为，是否要赋予个人对公开个人信息绝对的决定权或在什么情况下应予以适当限制或让渡，正是个人信息作为权益而非对世权的关键所在，其具体界限值得进一步探索。

个人信息侵权责任的具体承担

停止侵权是指侵权人停止自己的行为活动，通常指删除信息、停止个人信息的处理行为或者匿名化处理。关于删除信息，《民法典》生效前的案件，法院一般以被遗忘权缺乏法律依据、涉案人格权益缺乏被保护的正当性和必要性为由未予以支持。《民法典》施行后，其第一千零三十七条第二款规定了自然人的删除权。《个人信息保护法》进一步细化了删除权的具体内容。课题组认为，对个人信息权益的侵害，不管是否发生实际的损害或损失，个人信息主体都有权要求删除其个人信息。尽管个人信息权益受到侵害时并未发生实际的损害或损失，只是影响权利的行使或功能的实现，妨碍权利的圆满状态，权利人基于基础性权利（法律赋予的删除权）可以直接要求停止侵害。

消除影响、恢复名誉、赔礼道歉可以抚慰受害方因侵权行为活动遭受的精神和经济损失，可以不断加强侵权方的道德观，使其获得受害方的原谅。应当注意，赔礼道歉方式应当与侵权行为类型及产生的损害后果相适应，不能使赔礼道歉成为对信息主体的二次侵害。例如，在侵权私密信息的情形下，赔礼道歉不适宜适用公开的方式。但在公益诉讼等案件中，侵权行为具有一定的影响范围、给权利人造成较大影响时，公开赔礼道歉则有必要。同理，就消除影响、恢复名誉而言，也必须严格根据个人信息主体的选择进行，并以适当的方式、在适当的范围内进行。

关于损害赔偿的具体认定，从法律规定来看，《民法典》第一千一百八十二条和《个人信息保护法》第六十九条均对侵害个人信息权益应承担侵权损害赔偿责任作出了相关规定。上述法律规定为个人信息的人身损害、精神损害、财产损害赔偿提供了法律基础。具体而言包括以下几个方面：

首先，关于人身损害赔偿。个人因其个人信息被非法处理受到人身损害的，可以依法向人民法院提起损害赔偿等诉讼，但目前并无相关案例显示原告有此主张的，相关处理有待进一步讨论。

其次，关于精神损害赔偿。司法实践中，在认定信息主体存在精神损害及计算赔偿数额上都存在一定困难。我国法院在审理个人信息无形损害案件时往往以原告未遭受实际损害为由驳回原告的赔偿请求。例如，在朱某与北京百度网讯科技有限公司隐私权纠纷案中，二审法院认为原告所主张的感到恐惧、精神高度紧张，以致影响其正常的工作和生活，仅为主观感受，法院不能据此认定其存在实际损害。但在刘某与北京某速运有限公司、第三人严某个人信息保护纠纷案中，法院将原告因个人信息失控产生的可能被用于违法事宜的焦虑不安情绪认定为损害，部分支持了其主张的精神损害抚慰金。尽管在该案中法院认可了内心焦虑成立损害，但总体而言，法院在审判实践中对内心焦虑的认定持谨慎态度。课题组认为，情绪状态异常情况能否被视为个人信息的无形损害，主要依赖于在被侵害个人信息的情况下，对未发生的损害风险程度的认定，若风险已达实质性损害风险的程度，应依据高度盖然性标准认可情感性损害的可救济性。

关于精神损害赔偿确定的因素，可以根据《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释》第五条规定予以认定。同时，考虑到个人信息可以分为敏感信息与一般信息，不同类别的个人信息与人格尊严的联系紧密程度不同，相比于一般信息，敏感信息被侵犯时对受害人的精神损害更为严重。故课题组认为，个人信息权作为新型的人格权益，在认定精神损害赔偿时，在传统的参考因素之外（如时间、频次、手段、行为方式、主观过错），更应该注意被侵犯的信息是否属于敏感信息，针对被侵犯信息的不同种类，区分精神损害赔偿的数额高低，对那些敏感信息被侵犯的受害人给予更高的精神损害赔偿。值得注意的是，敏感信息的判断解决的是精神损害有无的问题，一旦被侵犯的属于个人敏感信息，即使传播度有限，也可推定信息权人遭受精神损害。

最后，关于财产损害赔偿。根据《民法典》第一千一百八十二条的规定，侵害他人人身权益的财产损害，在实际损失及侵权获利难以被证明、当事人就赔偿数额协商不一致时，人民法院应根据实际情况确定赔偿数额。如何确定“根据实际情况确定赔偿数额”的具体标准，往往成为司法实践中需要明确的要点。

对于“实际情况”的含义，《民法典》将个人信息置于人格权编中加以规定，但该编及侵权责任编并未就侵犯个人信息制定专门的损害赔偿规定。同时，《个人信息保护法》将传统民法的填补损失原则纳入其中，因此课题组认为，对于侵犯个人信息财产损害的认定因素可概括如下：

第一，被侵权人的实际损失或侵权人的获利。被侵权人的损失是构成损害赔偿的基础，被侵权人应就其被侵害而造成的财产损失进行举证，如银行卡被盗刷，因处理维权事宜造成的误工费、律师费、公证费、交通费等。就侵权人的获利，被告未经授权收集个人信息可作为获利的考量，据此确定赔偿损失数额。在凌某某诉北京微播视界科技有限公司网络侵权责任纠纷案中，法院认定个人信息是数据的重要来源之一，而数据作为新型生产要素又是数字经济发展的基础，对于个人信息的采集和利用必然会带来商业价值和经济利益，虽然双方均未提供原告因个人信息权益受到侵害所遭受的财产损失或被告因此获得利益的相关证据，但被告对个人信息的采集和利用必然会为其商业运营带来利益，被告在未征得原告同意的情况下采集原告的个人信息并加以利用，应当进行一定的经济赔偿。

第二，法院根据实际情况酌情确定的其他考量因素。司法实践中，一般由法院根据侵权方式、过错程度、损失情况等因素对损害赔偿数额进行酌定。在江苏苏州贝尔塔数据技术有限公司（以下简称“贝尔塔公司”）与伊某一般人格权纠纷案中，法院认为，鉴于贝尔塔公司侵权行为涉及的是原已合法公开的信息，且贝尔塔公司仅对后续阶段拒绝删除相关文书承担侵权责任，综合考虑贝尔塔公司过错程度和伊某维权成本等因素，最终法院酌定贝尔塔公司赔偿8000元。

有法院认为，可以对于象征性的赔偿金予以支持。例如，在俞某某与浙江天猫网络有限公司（以下简称“天猫公司”）等网络侵权责任纠纷案中，俞某某称，在天猫公司页面购物时，支付宝支付页面使用户默认勾选“授权淘宝获取你线下交易信息并展示”侵犯其权益，并主张经济损失一元。法院考虑到个人信息的价值难以估量，原告在本案中仅主张一元的经济损失，故对该项诉讼请求予以支持。

课题组认为，个人信息若遭受的损害难以确定，则需要法官在个案场景中，结合损害的类型，以及《民法典》第九百九十八条的规定，考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素来确定个人信息损害的数额。

因此，在个人信息保护案件的裁判中，法院要充分把握平衡权益保障与数据利用、人格权优先保护、合理运用技术、规范与发展并重的原则，做好案件“三个效果”的有机统一。

【该课题为最高人民法院 2022年度司法研究重大课题 “个人信息保护司法路径研究”研究成果 (项目批准号:ZGFYZDKT202212-01)；课题主持人：张雯（现为北京金融法院院长），执笔人：姜颖、孙铭溪、颜君、张亚光、高雅、侯荣昌、赵琪、毛春联】

本期封面及目录

《中国审判》杂志2023年第23期

中国审判新闻半月刊·总第333期

编辑/徐畅