专业解读

2024年，道可特全新推出“专业领域宣传月”系列活动，将围绕不同业务领域、结合实务经验进行线上、线下分享。在第24个世界知识产权日到来之际，道可特正式启动“知识产权宣传月”。

一、问题的提出

《个人信息保护法》第六十九条[1]在民法侵权责任构成要件的框架下，明确了侵害个人信息权益的过错推定责任，并将损害明确列为个人信息侵权的构成要件。而在更早的时候，最高人民法院在2014年发布的《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条中就规定了侵犯隐私或个人信息造成损害的需要承担侵权责任。[2]

由此可见，我国法律制度对于个人信息侵权需要满足“损害”要件的要求是一以贯之的。然而，个人信息与传统民事权益存在差异，侵害个人信息的行为并不必然会产生实际的、具体的损害，在一定条件下甚至可能会带来正面收益（如建立用户画像可能提升用户体验）。在此基础上，如何理解《个人信息保护法》第六十九条所规定的“损害”，对于侵害个人信息的民事救济就显得极为重要。

二、以案说法：我国司法实践如何认定“损害结果”

（一）在侵权认定中的“损害”

在我国《民法典》生效前，我国司法实践中大量涉及个人信息的案件均系根据《民法通则》中关于隐私权的规定进行救济。[3]而《民法典》亦将隐私权和个人信息保护设置在人格权编中的同一章。因此，我国目前司法实践普遍会在个人信息侵权纠纷中直接适用人格权及关于侵权责任的一般性规定。

人格权主要体现为权利人的人格独立、人格自由和人格尊严，在许多情况下，侵犯人格权的行为本身就意味着对权利人人格尊严和自我决定的损害。早在2009年，我国就有法院指出：“法律、法规保护隐私权的目的是赋予权利主体对他人在何种程度上可以介入自己私生活的控制权，以及对自己是否向他人公开隐私以及公开范围的决定权。因此，个人信息的私密性是其重要内容，只要有未经许可向第三人披露他人个人信息的事实存在即可构成侵害，就侵害的成立而言无须考虑第三人究竟给原告带来的是利益还是损害，私人信息为第三人所知本身即为损害。”[4]在《民法典》生效以后，上海市第二中级人民法院也指出“侵害个人信息侵权不但包括了因个人信息被非法使用而造成直接和间接财产损失的情况，还包括了个人信息受到侵害但没有财产损失或者难以证明财产损失的情况。”并认定该案被告未经原告同意使用其个人信息本身即构成对原告个人信息的侵害。[5]

通常认为，个人信息权益在性质上属于一种综合性的权益,同时包含精神利益和财产利益。[6]但个人信息的价值更多源于规模化的二次利用，是否给权利人造成何种程度的损失也往往取决于后续的利用方式，在实践中极难通过举证加以证明。在此基础上，部分法院会直接从损害行为本身推定存在损害结果。如北京市朝阳区人民法院在赵鹏与杨喜东等隐私权纠纷案中直接认定“个人信息同时体现着人格利益和财产价值，对个人信息的侵害必然带来承担相应经济赔偿责任。”[7]北京市互联网法院在凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案中直接认定“被告对个人信息的采集和利用必然会为其商业运营带来利益。”[8]深圳市中级人民法院在深圳市白荷心理咨询有限公司、深圳市心荷观爱心理咨询有限公司与李敏人格权纠纷案中认定“上诉人侵犯被上诉人的人格权益，势必给被上诉人带来经济损失”。[9]

除直接认定或者推定存在损失外，近年来的判例更加强调个人信息受到侵害时给个人信息主体带来的精神困扰。[10]如在“微信读书”一案中，北京互联网法院就认定被告的行为会“给原告造成精神上的负担，可以认定对原告造成一定损害”；[11]而北京市顺义区人民法院则进一步认定这种精神负担是“因个人信息失控而产生精神困扰”。[12]

除前述观点外，杭州互联网法院还提出了“可预见的风险”也可能成为个人信息侵权的损害后果的裁判观点。在吴某某诉上海某信息服务有限公司等违规提供用户个人信息保护纠纷案中，法院指出“故在尚未发生实质性损害的情况下，违法处理信息主体的个人信息是否造成人格尊严等精神损害，应充分考虑处理行为的特点、量级、违法性和个人信息类型等因素，判断信息主体是否因违法处理行为陷入可能预见的风险和焦虑中，若答案为肯定，则应认定构成对人格尊严、人格自由的精神损害。”

而在另一案件中杭州互联网法院更明确指出“单纯的因侵害个人信息权益未同时侵害其他具体人格权而给自然人造成的精神损害，如因个人信息泄露导致人身、财产权益遭受不确定的风险而产生焦虑与不安全感等，则需要考虑受侵害个人信息类型、风险发生的盖然性、风险可能导致的危害及其影响范围等综合因素，酌情认定”[13]。

除前述对于“损害”认定较为宽松的案例外，实践中也存在以“侵权行为的损害后果并未达到法律规定的承担侵权责任的严重程度”为由，认定被告虽然存在侵权行为但无需承担责任的案例。但整体而言，后者并不多见。

尽管有学者认为在我国“大量的相关司法案例中，有关个人信息侵权的纠纷，都因为原告无法举证证明实际损失而被驳回诉讼请求。”[14]，但根据其所援引的案件判决可以发现，相关法院认定不构成侵害个人信息的主要理由还是由于在案证据不足以证明存在损害行为或不足以证明被告存在过错。虽然在部分判决中法院的说理与措辞还有可提升的空间，但因此认为法院普遍对于“损害后果”持过高标准从而导致原告的个人信息权益无法获得救济显然是有失偏颇的。在有证据证明被告存在侵权行为的案件中，即使原告几乎都未能通过切实证据证明个人信息受到侵害并导致了何种实际的、具体的损失，但大部分法院均通过“侵害即损害”“推定造成经济损失”“推定造成精神困扰”“可预见的风险或焦虑”等角度认定存在损害后果。

（二）在责任认定中的“损害”

如前所述，尽管在实践中个人信息侵权的损害后果难以证明，但大部分法院仍试图通过各种角度论证损害后果的客观存在。法院对于“损害后果”的不同理解，在很大程度上并不影响法院对侵权成立与否的认定，但在责任承担方面显然会导致不同的结果。笔者就上一部分中相关案例的责任承担进行了梳理（详见下表）。

通过上表对比可以明显看出，在上述认定构成侵害个人信息权益的案件中，所有关于赔礼道歉以及赔偿合理维权支出的诉讼请求都得到了支持。而“推定造成经济损失”与“推定造成精神困扰”这两类认定在关于精神损害赔偿和经济损失赔偿方面的支持情况却截然不同：推定原告存在经济损失的法院都支持了原告关于赔偿经济损失的诉讼请求，但更倾向于认为只有“造成严重后果”才可要求被告赔偿精神抚慰金；推定侵害个人信息的行为造成原告精神困扰的案件中，原告关于精神损害赔偿的诉求都得到了支持，但在经济损失方面的证明标准则更为严格。

前文已通过梳理既有司法判例总结出司法实践中对于侵害个人信息案件中“损害”认定的主要观点，但目前的案例说理仍过于概括与抽象。对于前述观点在实务中的具体理解，笔者将在下篇中结合国际实践与学界观点进一步分析。

脚注

[1] 《个人信息保护法》第六十九条：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。”

[2] 《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条：“网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。”

[3] “北京地区个人信息司法救济主要以隐私权为主。该救济模式将“个人信息”限缩至隐私权范畴进行保护，排除未明显侵害隐私权但侵害个人信息自决权的侵权行为。”参见陈晨、李思頔：“个人信息的司法救济---以1383份‘App越界索权’裁判文书为分析样本”，《财经法学》2018年第6期。

[4] 详见（2009）浦民一（民）初字第9737号民事判决书。该案审理时我国尚未有关于个人信息的具体规定，因此该案完全将个人信息作为隐私权的客体进行保护。但该案中被告向案外人提供的原告个人信息，以当前法律规定及司法实践判断较难认定为私密信息。

[5] 详见（2021）沪02民终11688号民事判决书。

[6] 参见王利明：《和而不同：隐私权与个人信息的规则界分和适用》，《法学评论》2021年第2期。

[7] 详见（2018）京0105民初9840号民事判决书。

[8] 详见（2019）京0491民初6694号民事判决书。

[9] 参见（2019）粤03民终20512号民事判决书。

[10] 参见（2019）京0491民初16142号民事判决书、（2020）京0113民初16062号民事判决书、（2022）豫0611民初426号民事判决书、（2022）鲁0283民初1447号等。

[11] 参见（2019）京0491民初16142号民事判决书。

[12] 详见（2020）京0113民初16062号民事判决书。

[13] 详见（2022）浙0192民初4259号民事判决书。

[14] 参见刘云：《论个人信息非物质性损害的认定规则》，《经贸法律评论》2021年第1期。该部分观点所援引的案件包括（2020）京02民终10179号、（2019）沪02民终717号、（2020）津02民终4520号、（2019）浙04民终3244号民事纠纷。

律师简介

邓勇
北京办公室 高级合伙人

业务领域：知识产权、反不正当竞争、数据合规、信息安全、电子商务

邮箱：dengyong@dtlawyers.com.cn

代琦
北京办公室 律师

业务领域：知识产权，竞争与反垄断，电信、科技与互联网，文体娱乐与媒体传播 

邮箱：daiqi@dtlawyers.com.cn