唐墨華 蘇昊 胡賢君

大數(shù)據(jù)時(shí)代的到來能夠?qū)⑷说男袨椤⑦x擇及特征信息化，為人類的生產(chǎn)生活提供便利。同時(shí)隨著個(gè)人信息的數(shù)據(jù)化和網(wǎng)絡(luò)化，個(gè)人信息被泄露、篡改、丟失的風(fēng)險(xiǎn)也隨之增加，威脅著信息權(quán)利人的人身、財(cái)產(chǎn)安全。司法實(shí)踐中信息權(quán)利人因發(fā)現(xiàn)個(gè)人信息遭到泄露而起訴信息處理者要求承擔(dān)侵權(quán)責(zé)任的案件屢見不鮮。因缺乏相應(yīng)的法律規(guī)范，法官在處理該類案件時(shí)呈現(xiàn)出尺度不一和說理不清等問題。《民法典》第1038條規(guī)定了信息處理者的安全保障義務(wù)，但條文僅為概念性的規(guī)定，對(duì)于該義務(wù)的具體內(nèi)涵、侵權(quán)構(gòu)成要件、證明責(zé)任、證明標(biāo)準(zhǔn)、責(zé)任形態(tài)等問題均未提及。本文通過對(duì)近十年相關(guān)案例的梳理，結(jié)合《民法典》以及《網(wǎng)絡(luò)安全法》等法律法規(guī)的相關(guān)規(guī)定，對(duì)《民法典》第1038條的司法適用規(guī)則如何完善進(jìn)行研究，以期為相關(guān)立法和司法提供一些參考。

一、信息處理者安全保障義務(wù)的實(shí)證考察

對(duì)于信息處理者安全保障義務(wù)的實(shí)證考察，應(yīng)以數(shù)據(jù)分析為中心的經(jīng)驗(yàn)性歸納作為方法上的指引，本文借助“無訟案例”搜索軟件，以“個(gè)人信息”“信息泄露”“民事判決書”為共同關(guān)鍵詞，①將關(guān)鍵詞“信息泄露”替換為“信息篡改”或“信息丟失”，未找到相關(guān)民事案件。以2010年至2019年為時(shí)間區(qū)間進(jìn)行搜索，在結(jié)果中排除無相關(guān)性的案例后，共搜索到1007份民事判決書。通過對(duì)1007份民事判決書進(jìn)行統(tǒng)計(jì)分析，相關(guān)案件的司法裁判呈現(xiàn)如下特征：

（一）案件類型多元化

根據(jù)個(gè)人信息侵權(quán)行為的具體表現(xiàn)形式可大致區(qū)分為兩種情形：一是信息處理者因故意或過失導(dǎo)致個(gè)人信息泄露，即信息處理者的積極侵權(quán)；②典型案例如周某訴廣州快客電子商務(wù)有限公司網(wǎng)絡(luò)侵權(quán)責(zé)任糾紛案，該案的基本案情為：周某在快客公司及經(jīng)營(yíng)的APP上購(gòu)買某品牌香水后申請(qǐng)退貨。次日一自稱該APP客服人員的人向周某發(fā)送其購(gòu)物詳細(xì)信息截圖及退款鏈接，周某點(diǎn)擊鏈接后，銀行卡內(nèi)5萬元被轉(zhuǎn)走。快客公司承認(rèn)周某購(gòu)物信息是公司一并打包給供應(yīng)商、快遞公司等第三方時(shí)可能被泄露的。周某起訴快客公司要求承擔(dān)賠償責(zé)任。二是第三人利用信息處理者的技術(shù)或管理漏洞竊取個(gè)人信息，導(dǎo)致個(gè)人信息泄露，即信息處理者的消極侵權(quán)。③典型案例如王某訴漢庭星空（上海）酒店管理有限公司隱私權(quán)糾紛案件，該案的基本案情為：王某稱漢庭酒店的無線門戶系統(tǒng)存在安全加密等級(jí)較低的問題，存在信息泄露的安全隱患，包括王某在內(nèi)的兩千萬條在酒店入住信息在網(wǎng)上被人竊取后打包放在網(wǎng)上下載，王某起訴漢庭酒店承擔(dān)侵權(quán)責(zé)任。在數(shù)量上，第一類案件相對(duì)較少，約占案件總量的30%；后者則相對(duì)較多，約占70%。從信息權(quán)利人提起訴訟的請(qǐng)求權(quán)基礎(chǔ)來看，除以侵害隱私權(quán)、名譽(yù)權(quán)、個(gè)人信息等人格權(quán)為由要求信息處理者承擔(dān)侵權(quán)責(zé)任的案件之外，在信息權(quán)利人與信息處理者存在合同關(guān)系的情況下，信息權(quán)利人也有以信息處理者違反合同附隨義務(wù)為由提起合同之訴，主張信息處理者承擔(dān)賠償責(zé)任。

（二）訴訟主體復(fù)雜化

個(gè)人信息侵權(quán)糾紛中，原告通常是個(gè)人信息受到侵犯的自然人，而囿于有責(zé)性及因果關(guān)系等要件事實(shí)方面的證據(jù)原因，訴訟中被告多呈現(xiàn)復(fù)雜性。

1.被訴主體范圍廣泛

信息處理包括信息的收集、儲(chǔ)存、使用、加工、傳輸、提供、公開，從案例樣本來看，被訴信息處理者范圍廣泛，既有個(gè)人信息較為集中的傳統(tǒng)行業(yè)領(lǐng)域的運(yùn)輸企業(yè)、醫(yī)療機(jī)構(gòu)等，也有創(chuàng)新2.0時(shí)代的網(wǎng)絡(luò)科技公司、金融機(jī)構(gòu)等網(wǎng)絡(luò)平臺(tái)。因信息處理手段和場(chǎng)域的差異性，對(duì)傳統(tǒng)行業(yè)與網(wǎng)絡(luò)平臺(tái)信息處理者的分別考察也就有了規(guī)范上的重要意義。在過去十年的個(gè)人信息侵權(quán)糾紛中，被告來自未采取自動(dòng)化處理技術(shù)的傳統(tǒng)行業(yè)的比例為25%，采取自動(dòng)化處理技術(shù)的被告占比為75%。并且隨著互聯(lián)網(wǎng)發(fā)展戰(zhàn)略在國(guó)家層面得以確立，2015年以后網(wǎng)絡(luò)平臺(tái)作為信息處理者的案件量呈上升趨勢(shì)。

2.被訴主體數(shù)量不一

被告作為單一侵權(quán)行為主體的情形僅占全部案件的12%。而絕大多數(shù)案件中侵權(quán)行為的信息處理者并不唯一，其中，占比38%的案件原告雖然僅起訴一個(gè)信息處理者，但損害卻是由被告及第三人共同引起的，只是因?yàn)樵嫦抻趥刹槟芰Φ那啡?，無從查證第三人，僅選擇向某一信息處理者主張權(quán)利。另有約50%的案件，被告并不唯一，其為可能留存過原告?zhèn)€人信息的多個(gè)信息處理者。

3.被訴主體類型多樣

在個(gè)人信息泄露案件中，一般存在四類被訴主體：一是信息處理者。二是直接侵權(quán)的第三人。在一些個(gè)人信息泄露案件中，經(jīng)公安機(jī)關(guān)查明信息泄露是第三人所為，原告將信息處理者和直接侵權(quán)的第三人作為共同被告起訴。三是與信息處理者存在委托等合同關(guān)系進(jìn)行信息處理的組織或個(gè)人。實(shí)踐中因信息權(quán)利人無法確定信息由誰處理，原告將委托人和受托人等作為共同被告起訴，或者委托人申請(qǐng)追加受托人為共同被告。四是接入信息處理者平臺(tái)的第三方應(yīng)用提供者。為了完成交易，航空公司、電商平臺(tái)等需要與第三方平臺(tái)進(jìn)行合作，在涉及第三方支付的信息泄露案件中，信息權(quán)利人往往將該支付平臺(tái)作為泄露環(huán)節(jié)的責(zé)任人一并起訴。

（三）責(zé)任方式集中化

在原告選擇侵權(quán)之訴的案件中，訴訟請(qǐng)求的主張比較相似，主要有以下幾種：停止侵害，如刪除個(gè)人信息；賠禮道歉、消除影響；賠償因信息泄露遭詐騙導(dǎo)致的經(jīng)濟(jì)損失及其他費(fèi)用；賠償精神損害撫慰金。在勝訴案件中，責(zé)任承擔(dān)方式以停止侵害、賠禮道歉、消除影響為主，經(jīng)濟(jì)損失的支持率為63%，但一般僅限于公證費(fèi)與律師費(fèi)，其他經(jīng)濟(jì)損失絕大多數(shù)案件均未支持。精神損害撫慰金的支持率為52%，支持金額基本僅為訴請(qǐng)主張金額的10%左右。

（四）司法態(tài)度模糊化

從樣本來看，在個(gè)人信息泄露導(dǎo)致的侵權(quán)案件中，具體的裁判尺度并不統(tǒng)一。其一，侵權(quán)主觀要件裁判標(biāo)準(zhǔn)不一。在被告過錯(cuò)的認(rèn)定上，同樣是信息泄露行為，不同法院采取不同的歸責(zé)原則。有的案件中法院采一般過錯(cuò)歸責(zé)原則，以原告未能舉證證明被告存在過錯(cuò)為由直接駁回原告訴請(qǐng)；有的法院則采用過錯(cuò)推定歸責(zé)原則，認(rèn)為被告負(fù)有維護(hù)在其控制之下的信息安全的義務(wù)，如被告無法證明其對(duì)個(gè)人信息盡到妥善安全保護(hù)義務(wù)，即存在過錯(cuò)。其二，侵權(quán)客觀要件裁判標(biāo)準(zhǔn)不一。在侵權(quán)事實(shí)的認(rèn)定上，有的法院認(rèn)為應(yīng)由原告完成對(duì)侵權(quán)要件的舉證，有的法院采取高度蓋然性的證明標(biāo)準(zhǔn)，顧及雙方當(dāng)事人之間實(shí)質(zhì)公平正義進(jìn)行舉證責(zé)任的分配。此外，法官在裁判說理上還存在沒有說理、說理和結(jié)論脫節(jié)、說理不清等情況。

二、法律規(guī)范缺失下信息處理者安全保障義務(wù)的現(xiàn)實(shí)困境

我國(guó)規(guī)定信息處理者安全保障義務(wù)的法律規(guī)范主要包括：一是關(guān)于網(wǎng)絡(luò)信息保護(hù)的法律和行政法規(guī)；①如《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》第14條，《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》第3條和第4條，《網(wǎng)絡(luò)安全法》第21條、第25條和第42條。二是關(guān)于消費(fèi)者權(quán)益保護(hù)的法律；②如《消費(fèi)者權(quán)益保護(hù)法》第29條，《電子商務(wù)法》第30條。三是《民法典》第1038條。整體而言，這些法律規(guī)范較為原則，缺少具體適用性的條文。法官在現(xiàn)有法律框架下借助類推適用、法益衡量等方法進(jìn)行了大膽的探索，但仍存在裁判標(biāo)準(zhǔn)不一、說理不清等問題。信息處理者安全保障義務(wù)的內(nèi)涵、違反義務(wù)的侵權(quán)構(gòu)成要件、責(zé)任形態(tài)等具體規(guī)則的缺失，是司法實(shí)踐面臨的困境。

（一）信息處理者安全保障義務(wù)的內(nèi)涵不明確

1.義務(wù)內(nèi)容不明確

由于信息處理過程的科技性、專業(yè)性和潛在的風(fēng)險(xiǎn)性，信息處理者的安全保障義務(wù)與傳統(tǒng)的經(jīng)營(yíng)場(chǎng)所的安全保障義務(wù)有顯著的差異，故其內(nèi)涵需要進(jìn)行重新界定。《民法典》第1038條對(duì)于這種新型的安全保障義務(wù)的規(guī)定較為原則，該義務(wù)的具體內(nèi)容以及信息處理者采取何種措施才算盡到安全保障義務(wù)等問題均未明確。理論界和實(shí)務(wù)界也缺少對(duì)于該項(xiàng)義務(wù)具體內(nèi)容的類型化梳理，為司法實(shí)踐提供裁判標(biāo)準(zhǔn)，導(dǎo)致法官只能采取較為籠統(tǒng)的表述，含糊其辭地闡述信息處理者未盡到安全保障義務(wù)而存在主觀過錯(cuò)，影響了裁判的可接受性。

2.義務(wù)標(biāo)準(zhǔn)不明確

信息處理者安全保障義務(wù)的履行標(biāo)準(zhǔn)是指信息處理者需盡到何種程度的注意義務(wù)才能免責(zé)。在信息處理者是否盡到安全保障義務(wù)的判斷標(biāo)準(zhǔn)上，主要困境在于：如何尋找到合適的法律規(guī)定作為法定標(biāo)準(zhǔn)，并對(duì)法定標(biāo)準(zhǔn)進(jìn)行民事侵權(quán)構(gòu)成要件話語體系下的解讀；在沒有法定標(biāo)準(zhǔn)的情況下，應(yīng)采取何種判斷標(biāo)準(zhǔn)？傳統(tǒng)的善良管理人義務(wù)在信息處理者安全保障義務(wù)中是否適用？鑒于信息處理與傳統(tǒng)經(jīng)營(yíng)環(huán)境的不同，即使適用善良管理人標(biāo)準(zhǔn)也應(yīng)采用新的內(nèi)涵。上述問題在立法上未予明確，理論界也鮮有研究，導(dǎo)致司法實(shí)踐中信息處理者安全保障義務(wù)缺少合理的界限，信息處理者是否承擔(dān)侵權(quán)責(zé)任的隨意性變大。

（二）信息處理者違反安全保障義務(wù)的侵權(quán)行為難認(rèn)定

1.歸責(zé)原則之惑

在大數(shù)據(jù)時(shí)代，信息收集、保管以及其他流轉(zhuǎn)，信息權(quán)利人的參與性均極弱，科技黑洞背景下普通信息權(quán)利人對(duì)于專業(yè)信息處理流程和管理制度一無所知，信息權(quán)利人舉證證明信息處理者存在過錯(cuò)的難度極大。因此采用一般過錯(cuò)責(zé)任將導(dǎo)致信息權(quán)利人和信息處理者雙方利益的失衡?！睹穹ǖ洹返?038條對(duì)于違反信息安全保障義務(wù)侵權(quán)的歸責(zé)原則未作規(guī)定。司法實(shí)踐中主要存在三種做法：一是適用一般過錯(cuò)責(zé)任；二是名為過錯(cuò)責(zé)任實(shí)為過錯(cuò)推定責(zé)任；三是名為過錯(cuò)責(zé)任實(shí)為無過錯(cuò)責(zé)任。理論界對(duì)于該問題也多有探討，主要存在如下觀點(diǎn)：一種觀點(diǎn)是采用無過錯(cuò)原則；①參見程嘯：《論侵害個(gè)人信息的民事責(zé)任》，載《暨南學(xué)報(bào)（哲學(xué)社會(huì)科學(xué)版）》2002年第2期。第二種觀點(diǎn)是根據(jù)信息處理者的信息掌控能力分別適用無過錯(cuò)、過錯(cuò)推定和過錯(cuò)原則。②參見葉名怡：《個(gè)人信息的侵權(quán)法保護(hù)》，載《法學(xué)研究》2018年第4期。類似觀點(diǎn)參見陳吉棟：《個(gè)人信息的侵權(quán)救濟(jì)》，載《交大法學(xué)》2019年第4期。上述觀點(diǎn)均有其合理性，但具體采何種歸責(zé)原則，需要立法予以明確，以避免實(shí)踐混亂。

2.因果關(guān)系之惑

在信息處理者未盡安全保障義務(wù)的侵權(quán)案件中，因果關(guān)系的證明存在兩個(gè)難點(diǎn)：一是數(shù)據(jù)處理的各個(gè)環(huán)節(jié)中，都存在數(shù)據(jù)泄露的可能，信息權(quán)利人根本無法確定哪個(gè)環(huán)節(jié)出現(xiàn)了泄露，誰是真正的侵權(quán)人，即使通過公安機(jī)關(guān)介入等方式可能確定了侵權(quán)人也可能無法證明行為和損害結(jié)果之間的因果關(guān)系。針對(duì)信息泄露因果關(guān)系難以證明的問題，現(xiàn)有法律規(guī)范并未規(guī)定采取何種證明標(biāo)準(zhǔn)以及是否可以采取特定的推定規(guī)則來破解證明難題，以平衡信息權(quán)利人和信息處理者在證明能力上的天然不平衡。二是在第三人竊取信息并對(duì)信息權(quán)利人實(shí)施犯罪的情況下，信息權(quán)利人向第三人主張權(quán)利最為順暢。但實(shí)踐中信息權(quán)利人為了更好的獲得救濟(jì)，往往直接起訴更有保障的信息處理者，此時(shí)信息處理者的行為與信息權(quán)利人造成的損害之間的因果關(guān)系以及因果關(guān)系的范圍如何確定，也是實(shí)踐中的難題。

（三）信息處理者違反安全保障義務(wù)的責(zé)任形態(tài)不定

1.信息權(quán)利人與侵權(quán)人之間關(guān)系不確定

根據(jù)《民法典》第1038條第1、2款的規(guī)定信息處理者直接侵權(quán)和第三人介入侵權(quán)兩種侵權(quán)形態(tài)。對(duì)于信息處理者直接侵權(quán)的情形，如果信息處理者為單個(gè)主體，責(zé)任形態(tài)較為清晰，但如果信息處理者是復(fù)數(shù)的情況下，信息權(quán)利人在無法確認(rèn)哪個(gè)或哪幾個(gè)是侵權(quán)人的情況下，權(quán)利人是否可以起訴選擇其中一個(gè)或幾個(gè)信息處理者作為被告主張權(quán)利，存在分歧。對(duì)于第三人介入侵權(quán)的情形，信息處理者承擔(dān)的是何種責(zé)任，并不明確，實(shí)踐中對(duì)于是參照適用第1198條第2款規(guī)定的經(jīng)營(yíng)者的補(bǔ)充責(zé)任，還是參照適用第1195條第2款規(guī)定的網(wǎng)絡(luò)服務(wù)提供者的連帶責(zé)任存在爭(zhēng)議，需要明確。

2.數(shù)個(gè)侵權(quán)人之間的關(guān)系不確定

數(shù)個(gè)侵權(quán)人在信息處理者違反安全保障義務(wù)的案件中并不少見，數(shù)個(gè)侵權(quán)人的情況比較復(fù)雜，可以區(qū)分為如下類型：一是數(shù)個(gè)可能的信息控制人為共同被告，此時(shí)被告之間可能存在委托、合作等多種合同關(guān)系。如在航空旅客信息遭泄露的案件中，旅客將航空公司、票務(wù)代理公司、訂票系統(tǒng)的技術(shù)服務(wù)公司作為共同被告要求承擔(dān)侵權(quán)責(zé)任。①參見林某與四川航空公司侵權(quán)責(zé)任糾紛案，成都市中級(jí)人民法院（2015）成民終字第1634號(hào)民事判決書。二是信息控制人與其他負(fù)有安全保障義務(wù)的義務(wù)人為共同被告。如在消費(fèi)者在網(wǎng)絡(luò)平臺(tái)購(gòu)物后信息遭到泄露致使遭到詐騙的案件中，消費(fèi)者將該網(wǎng)絡(luò)平臺(tái)、提供支付寶服務(wù)的公司作為共同被告要求承擔(dān)侵權(quán)責(zé)任。②參見申瑾訴支付寶（中國(guó)）網(wǎng)絡(luò)技術(shù)有限公司侵權(quán)責(zé)任糾紛案，北京市朝陽(yáng)區(qū)人民法院（2018）京0105民初36658號(hào)民事判決書。三是信息控制人與實(shí)施直接侵權(quán)的第三人為共同被告。在上述三種情形下，數(shù)個(gè)侵權(quán)人之間的責(zé)任如何分配，有無追償權(quán)等問題，都不無疑惑。

（四）信息處理者違反安全保障義務(wù)的責(zé)任形式存疑

1.精神損害賠償?shù)倪m用存疑

《民法典》第1183條繼續(xù)沿用了《關(guān)于精神損害賠償?shù)乃痉ń忉尅返?條的規(guī)定，將精神損害賠償?shù)臈l件限定為造成“嚴(yán)重精神損害”的情形。但個(gè)人信息發(fā)生泄露、篡改、丟失等侵權(quán)行為，其損害后果具有滯后性和潛在不確定性，如果一律要求證明已造成“嚴(yán)重精神損害”，往往有失公允，因此對(duì)于精神損害賠償?shù)臈l件如何解讀，有待進(jìn)一步研究。在精神損害賠償?shù)慕痤~方面，司法實(shí)踐中呈現(xiàn)出欠缺說理，隨意性大等問題，應(yīng)進(jìn)一步完善規(guī)則。

2.財(cái)產(chǎn)損害賠償?shù)倪m用存疑

財(cái)產(chǎn)損害賠償?shù)恼?qǐng)求在信息處理者違反安全保障義務(wù)的案件中較為常見，但該請(qǐng)求得到支持的比例較低，就其原因在于：一則個(gè)人信息侵權(quán)的損害后果很難衡量，很多為信息泄露后導(dǎo)致名譽(yù)、信用受損的間接損失，這些間接損失能否獲賠不無爭(zhēng)議；二則個(gè)人信息遭到泄露的情況下很難找到直接侵權(quán)人，即使找到直接侵權(quán)人其獲取個(gè)人信息也并非為了獲利或者已經(jīng)獲利，故在權(quán)利人遭受的損失無法確定，侵權(quán)人的獲利也無法確定的情況下，法院如何酌定賠償金額，成為司法實(shí)踐中適用法律的一個(gè)難題。

三、信息處理者安全保障義務(wù)司法適用規(guī)則的完善建議

（一）內(nèi)涵完善：二元義務(wù)內(nèi)容的框定

1.信息處理者安全保障義務(wù)的內(nèi)容

圖1 信息處理者安全保障義務(wù)的內(nèi)容展示

《民法典》第1038條第1、2款分別規(guī)定了信息處理者安全保障義務(wù)的兩個(gè)大的類型，一是處理者不得通過積極行為侵犯?jìng)€(gè)人信息，此為禁止性義務(wù)；二是處理者應(yīng)采取適當(dāng)措施保護(hù)個(gè)人信息安全，此系強(qiáng)制性義務(wù)，旨在防止處理者消極不作為侵犯?jìng)€(gè)人信息權(quán)。強(qiáng)制性義務(wù)包括三方面內(nèi)容：（1）技術(shù)安全義務(wù)。信息處理者應(yīng)當(dāng)采取技術(shù)措施防止個(gè)人信息被篡改、泄露或丟失。（2）管理安全義務(wù)。除技術(shù)性措施外，信息處理者負(fù)有管理安全義務(wù)，強(qiáng)化內(nèi)部制度與流程管理，防止個(gè)人信息安全事件。（3）事后補(bǔ)救義務(wù)。信息處理者的補(bǔ)救義務(wù)分為兩方面：應(yīng)急處置義務(wù)和告知、報(bào)告義務(wù)。①根據(jù)《信息安全技術(shù)個(gè)人信息安全規(guī)范》第10.1條，在應(yīng)急處置義務(wù)方面，信息處理者應(yīng)記錄事件的內(nèi)容、評(píng)估事件可能造成的影響，并采取必要措施控制事態(tài)，消除隱患。在報(bào)告義務(wù)方面，信息處理者需將泄漏或丟失的個(gè)人信息的總體情況，事件可能造成的影響，已采取或?qū)⒁扇〉奶幹么胧┑葓?bào)告主管部門，防止損失的進(jìn)一步擴(kuò)大。在告知義務(wù)方面，信息處理者應(yīng)及時(shí)將事件相關(guān)情況告知受影響的個(gè)人信息主體，難以逐一告知個(gè)人信息主體時(shí)，應(yīng)采取合理、有效的方式發(fā)布與公眾有關(guān)的警示信息。告知的內(nèi)容應(yīng)包含安全事件的內(nèi)容和影響、已采取或?qū)⒁扇〉奶幹么胧?、個(gè)人信息主體自主防范和降低風(fēng)險(xiǎn)的建議等。GDPR第4章同樣對(duì)處理者的安全保護(hù)義務(wù)予以體系化規(guī)范，重點(diǎn)包括安全處理、數(shù)據(jù)泄露的告知報(bào)告義務(wù)、處理記錄義務(wù)等，由此形成了事前、事中、事后的全方位義務(wù)體系。對(duì)于上述義務(wù)的具體內(nèi)涵，需要結(jié)合《網(wǎng)絡(luò)安全法》《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》《兒童個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定》等相關(guān)法律規(guī)范和《信息安全技術(shù)個(gè)人信息安全規(guī)范》等行業(yè)標(biāo)準(zhǔn)予以確定。①GDPR第4章同樣對(duì)處理者的安全保護(hù)義務(wù)予以體系化規(guī)范，重點(diǎn)包括安全處理、數(shù)據(jù)泄露的告知報(bào)告義務(wù)、處理記錄義務(wù)等，由此形成了事前、事中、事后的全方位義務(wù)體系。

2.信息處理安全保障義務(wù)的標(biāo)準(zhǔn)

信息處理安全保障義務(wù)的具體標(biāo)準(zhǔn)，首先應(yīng)依據(jù)法律、法規(guī)予以確定；若無相應(yīng)法律、法規(guī)，則可依行業(yè)規(guī)范、國(guó)家標(biāo)準(zhǔn)等充實(shí)義務(wù)內(nèi)涵；在法律、法規(guī)、行業(yè)規(guī)范、國(guó)家標(biāo)準(zhǔn)缺位的情況下，可以通過指導(dǎo)性案例、公報(bào)案例方式豐富義務(wù)的內(nèi)容。在個(gè)案中，應(yīng)根據(jù)善良管理人的注意標(biāo)準(zhǔn)為信息處理者的行為自由劃定邊界。具體而言，即根據(jù)個(gè)人信息處理者采取防范措施所負(fù)擔(dān)的成本與個(gè)人信息受到侵害的危險(xiǎn)及嚴(yán)重性程度，確定信息處理者采取的措施是否盡到安全保障義務(wù)。

（二）構(gòu)成要件完善：差別化要件體系的構(gòu)建

1.主觀要件：過錯(cuò)推定原則的確立②主觀構(gòu)成要件僅針對(duì)侵犯?jìng)€(gè)人信息的損害賠償責(zé)任，對(duì)于賠禮道歉、消除影響、恢復(fù)名譽(yù)等人格權(quán)請(qǐng)求權(quán)，不以主觀過錯(cuò)為構(gòu)成要件。

對(duì)于信息處理者的主觀要件，司法實(shí)踐和學(xué)理上存在不同的判斷路徑。③參見刁勝先：《論個(gè)人信息網(wǎng)絡(luò)侵權(quán)責(zé)任多元?dú)w責(zé)原則之確立基礎(chǔ)》，載《重慶郵電大學(xué)學(xué)報(bào)》2015年第3期；葉名怡：《個(gè)人信息的侵權(quán)法保護(hù)》，載《法學(xué)研究》2018年第4期；德國(guó)《聯(lián)邦數(shù)據(jù)保護(hù)法》第83條；我國(guó)臺(tái)灣地區(qū)“個(gè)人資料保護(hù)法”第28、29條。筆者認(rèn)為，過錯(cuò)推定是較為合理的歸責(zé)原則。首先，權(quán)利人無法知曉和掌控信息處理過程。因此，堅(jiān)持過錯(cuò)責(zé)任無異于剝奪了受害人獲得救濟(jì)的權(quán)利。其次，無過錯(cuò)責(zé)任雖然利于個(gè)人信息權(quán)保護(hù)，但開放與共享是數(shù)字社會(huì)的必然要求，采用無過錯(cuò)責(zé)任會(huì)極大增加信息處理者的運(yùn)營(yíng)成本，阻礙數(shù)據(jù)的流通與利用。其三，以是否運(yùn)用自動(dòng)化處理技術(shù)為區(qū)分標(biāo)準(zhǔn)構(gòu)建多元?dú)w責(zé)體系，看似能夠平衡信息主體與信息處理者的利益，但在實(shí)際效果上限制了個(gè)人信息權(quán)的救濟(jì)。因?yàn)樽詣?dòng)化處理技術(shù)外延并不清晰，且被害人需對(duì)是否采用自動(dòng)化處理技術(shù)進(jìn)行證明，這與填補(bǔ)損害的現(xiàn)代歸責(zé)原則相悖離。④參見彭誠(chéng)信：《民事責(zé)任現(xiàn)代歸責(zé)原則的確立》，載《法制與社會(huì)發(fā)展》2001年第2期。其四，過錯(cuò)推定根據(jù)個(gè)人信息的控制事實(shí)，一方面免去了加害人對(duì)過錯(cuò)的證明負(fù)擔(dān)，增加其獲得救濟(jì)的可能；另一方面給與信息處理者自證清白的機(jī)會(huì)，緩和了雙方在信息控制能力上失衡。⑤在比較法上GDPR也采取相同的態(tài)度，其第5條第2款規(guī)定，數(shù)據(jù)控制者應(yīng)當(dāng)對(duì)第5條第1款（其中包含保護(hù)個(gè)人信息完整性和保密性義務(wù)等，筆者注）的落實(shí)情況承擔(dān)責(zé)任并予以證明。

2.客觀要件：獨(dú)立因果關(guān)系的構(gòu)建

依侵權(quán)法通說，若因第三人介入引發(fā)異常風(fēng)險(xiǎn)，因果關(guān)系將發(fā)生中斷，第三人是確定且唯一的侵權(quán)主體。⑥參見史尚寬：《債法總論》，中國(guó)政法大學(xué)出版社2000年版，第171-172頁(yè)。然而從引致?lián)p害的原因力而言，信息處理者未盡安全保障義務(wù)開啟了信息不當(dāng)利用的風(fēng)險(xiǎn)，為直接侵權(quán)行為提供了行動(dòng)前提、貢獻(xiàn)了原因力。從責(zé)任的合理分配而言，直接侵權(quán)人往往難以查明，即使查明也未必?fù)碛谐浞值呢?zé)任能力，判斷責(zé)任歸屬不宜固守直接參與者的教條，而需在更廣泛的社會(huì)關(guān)系上對(duì)損害配置進(jìn)行考察。因此，針對(duì)個(gè)人信息的新型侵權(quán)，即使第三人介入是損害發(fā)生的直接原因，也不應(yīng)阻斷信息處理與損害結(jié)果之間的因果關(guān)系，信息處理者仍需在相應(yīng)范圍內(nèi)承擔(dān)責(zé)任。

3.證明責(zé)任和標(biāo)準(zhǔn)：利益平衡原則下的分配

根據(jù)承擔(dān)責(zé)任類型的不同，證明責(zé)任的分配也大相徑庭。若信息權(quán)利人主張停止侵害、賠禮道歉等人格權(quán)請(qǐng)求權(quán)，其僅需對(duì)存在加害行為承擔(dān)證明責(zé)任。若信息權(quán)利人主張侵權(quán)損害賠償，過錯(cuò)推定僅解決過錯(cuò)要件的證明責(zé)任歸屬，信息權(quán)利人仍需對(duì)損害結(jié)果和因果關(guān)系負(fù)有證明責(zé)任。實(shí)踐中，因信息處理具有高度復(fù)雜性和隱蔽性，信息主體在技術(shù)、人力等資源方面的有限性，信息主體在訴訟中的證明能力明顯不足，這也正是目前侵權(quán)案件多發(fā)而維權(quán)艱難的最主要原因。因此，在證明標(biāo)準(zhǔn)上應(yīng)采高度可能性標(biāo)準(zhǔn)，以平衡雙方的證明能力。高度蓋然性內(nèi)涵的確定應(yīng)考量以下諸要素；（1）信息處理者控制個(gè)人信息的范圍與程度；（2）其他主體掌握和泄露個(gè)人信息的可能性，（3）信息處理者履行安全保障義務(wù)的過往記錄，如信息處理者曾被媒體報(bào)道或被主管部門警告、處罰，其泄露信息的可能性更高。

（三）侵權(quán)責(zé)任完善：復(fù)合性責(zé)任形態(tài)的構(gòu)筑

1.直接侵權(quán)情形下的責(zé)任形態(tài)

信息處理者承擔(dān)直接侵權(quán)責(zé)任的情形包含以下四類。其一，信息處理者擅自泄露或篡改其收集、儲(chǔ)存的個(gè)人信息；其二，處理者未經(jīng)同意，向他人非法提供個(gè)人信息；其三，因信息處理者未盡安全保障義務(wù)，個(gè)人信息遭泄露、篡改或丟失，但未被第三人不法利用。在前兩種情形下，信息處理者應(yīng)根據(jù)《民法典》第1038條第1款承擔(dān)直接侵權(quán)責(zé)任，在第三種情形，信息處理者應(yīng)依《民法典》第1038條第2款承擔(dān)直接侵權(quán)責(zé)任。實(shí)踐中，除前述三種情形外，還存在第三人利用被泄露的個(gè)人信息侵害信息主體，但無法查明第三人具體身份的情形。信息處理行為引發(fā)了個(gè)人信息被不當(dāng)利用的風(fēng)險(xiǎn)，安全事件的發(fā)生悖離了信息主體的正常期待，導(dǎo)致的損害結(jié)果具有不可容忍性，因此同樣屬于直接侵權(quán)形態(tài)。在直接侵權(quán)的情形，因缺乏明確的第三人介入，信息處理者應(yīng)對(duì)因果關(guān)系范圍內(nèi)的損害承擔(dān)全部的賠償責(zé)任。

2.第三人介入侵權(quán)情形下的責(zé)任形態(tài)

第三人利用信息處理者未盡安全保障義務(wù)所產(chǎn)生的技術(shù)和管理漏洞，實(shí)施侵犯?jìng)€(gè)人信息的行為，構(gòu)成了“第三人介入＋處理者未盡保障義務(wù)”的侵權(quán)類型，對(duì)此存在兩種處理意見：一是《民法典》第1197條的連帶責(zé)任模式；二是《民法典》第1198條的補(bǔ)充責(zé)任模式。①參見解正山：《數(shù)據(jù)泄露損害問題研究》，載《清華法學(xué)》2020年第4期；高爭(zhēng)志：《侵權(quán)責(zé)任視角下的個(gè)人信息安全保障義務(wù)探究》，載《重慶郵電大學(xué)學(xué)報(bào)》2020年第1期。筆者認(rèn)為，后者更為契合信息安全保障義務(wù)的規(guī)范特征?，F(xiàn)實(shí)中信息處理者往往處于提供信息處理服務(wù)的消極中立地位，與直接侵權(quán)人之間缺少共同加害行為的主觀可責(zé)性。因此，信息處理者與直接侵權(quán)人間不宜承擔(dān)連帶責(zé)任。對(duì)信息處理者科以補(bǔ)充責(zé)任，維護(hù)了信息主體的救濟(jì)權(quán)，其可要求具有直接因果關(guān)系的侵權(quán)人承擔(dān)全部責(zé)任，也可要求信息處理者承擔(dān)相應(yīng)責(zé)任。同時(shí)，補(bǔ)充責(zé)任亦不會(huì)過分“縱容”信息處理者，因?yàn)樘幚碚呙媾R承擔(dān)責(zé)任的風(fēng)險(xiǎn)，其事實(shí)上無法期待直接侵權(quán)人有清償能力而怠于履行義務(wù)，仍會(huì)積極履行安全保障義務(wù)以避免損害發(fā)生。在責(zé)任范圍上，信息處理者應(yīng)承擔(dān)相應(yīng)的補(bǔ)充責(zé)任，即通過對(duì)過錯(cuò)程度的考量來確定責(zé)任大小。在責(zé)任順位上，信息處理者承擔(dān)“補(bǔ)充”責(zé)任，僅須在直接侵權(quán)人先行承擔(dān)責(zé)任后，對(duì)于其無力承擔(dān)部分再行補(bǔ)充承擔(dān)，并可向直接侵權(quán)人追償。

3.復(fù)數(shù)侵權(quán)主體的責(zé)任形態(tài)

（1）復(fù)數(shù)信息處理者之間的責(zé)任形態(tài)。因?yàn)閭€(gè)人信息的處理具有高度復(fù)雜性、協(xié)同性，權(quán)利人對(duì)個(gè)人信息的處理缺乏相應(yīng)的認(rèn)知、控制能力，要求其查明各信息處理者與損害的因果關(guān)系不免“強(qiáng)人所難”。②參見徐明：《大數(shù)據(jù)時(shí)代的隱私危機(jī)及其侵權(quán)法應(yīng)對(duì)》，載《中國(guó)法學(xué)》2017年第1期。當(dāng)復(fù)數(shù)信息處理者均存在侵犯?jìng)€(gè)人信息的可能性，且無法確定具體侵權(quán)主體時(shí)，構(gòu)成了擇一因果關(guān)系，③參見王澤鑒：《侵權(quán)行為》，北京大學(xué)出版社2009年版，第189頁(yè)。應(yīng)適用《民法典》第1170條由復(fù)數(shù)信息處理者承擔(dān)共同危險(xiǎn)的連帶責(zé)任。④在域外立法例上，GDPR第82條第4款和《德國(guó)聯(lián)邦數(shù)據(jù)保護(hù)法》第83條第3款也采用了相同的調(diào)整方式。信息主體可以起訴數(shù)個(gè)信息處理者之一，也可以將全部信息處理者作為共同被告。信息處理者唯有舉證確定實(shí)際侵權(quán)人，才能免除責(zé)任。

（2）信息處理者與其他侵權(quán)人之間的責(zé)任。信息處理者與其他侵權(quán)人之間的責(zé)任形態(tài)，應(yīng)根據(jù)其他侵權(quán)人的身份予以區(qū)分：

其一，信息處理者允許第三方應(yīng)用接入平臺(tái)，因第三方應(yīng)用原因引發(fā)信息安全事件。自信息主體而言，其因信賴信息處理者恪盡安全保障義務(wù)，授權(quán)同意第三方平臺(tái)獲取個(gè)人信息，處理者的謹(jǐn)慎義務(wù)也隨之相應(yīng)提高。信息處理者應(yīng)通過服務(wù)協(xié)議、平臺(tái)規(guī)則，明確接入的第三方應(yīng)用所負(fù)擔(dān)的安全保障義務(wù)，并負(fù)有持續(xù)監(jiān)督、加強(qiáng)安全管理的責(zé)任。第三方應(yīng)用發(fā)生安全事件造成用戶損失，未盡監(jiān)督義務(wù)的信息處理者應(yīng)與第三方應(yīng)用承擔(dān)連帶責(zé)任。由于兩者承擔(dān)連帶責(zé)任基于不同的法律原因，僅因法律關(guān)系偶然競(jìng)合所致，系不真正連帶責(zé)任，承擔(dān)責(zé)任的信息處理者有權(quán)向第三方應(yīng)用追償。

其二，信息處理者委托第三方處理個(gè)人信息，因第三方原因引發(fā)信息安全事件。第三方并非信息處理者的雇員，而系基于委托法律關(guān)系獨(dú)立于信息處理者的主體。在認(rèn)定侵權(quán)責(zé)任時(shí)，應(yīng)區(qū)分不同的情況：一是受托第三方單獨(dú)實(shí)施侵害他人個(gè)人信息的侵權(quán)行為，信息處理者對(duì)受托第三方不存在指示、幫助等行為的，應(yīng)由受托第三方承擔(dān)侵權(quán)責(zé)任；①違法行為不得適用代理，違法行為之法律效果，不由當(dāng)事人意思決定，而是基于法律直接規(guī)定而發(fā)生。即使違法行為人表示系代理他人為之，甚至該他人承認(rèn)是其授意行為人為之，亦不能免除行為人的法律責(zé)任。參見梁慧星：《民法總論》，法律出版社2001年版，第251頁(yè)。二是信息處理者與受托第三方存在侵害他人個(gè)人信息的共同故意的，雖然由受托第三方直接實(shí)施侵權(quán)行為，信息處理者和受托第三方也應(yīng)作為共同侵權(quán)人，連帶承擔(dān)侵權(quán)責(zé)任；三是信息處理者知道或應(yīng)當(dāng)知道受托第三方的行為違法未表示反對(duì)的，根據(jù)《民法典》第167條的規(guī)定，信息處理者和受托第三方應(yīng)當(dāng)承擔(dān)連帶責(zé)任。

（四）責(zé)任方式完善：損害賠償責(zé)任的厘清

1.精神損害賠償?shù)乃痉ㄟm用

（1）“造成嚴(yán)重精神損害”的適用。信息處理者違反安全保障義務(wù)的同時(shí)若造成生命權(quán)、名譽(yù)權(quán)、隱私權(quán)的嚴(yán)重侵害，通常會(huì)發(fā)生精神損害賠償問題。在單純侵犯?jìng)€(gè)人信息且未造成其他人身權(quán)益侵害的情形下，因精神損害賠償以“嚴(yán)重精神損害”為要件，信息主體因無法證明損害的嚴(yán)重性而難以獲得賠償。但個(gè)人信息與人格尊嚴(yán)、自由密切相關(guān)，信息泄露或丟失所引發(fā)的精神損害具有隱蔽性和長(zhǎng)期潛在性，信息主體可能在很長(zhǎng)一段時(shí)期內(nèi)受到精神困擾?；趥€(gè)人信息侵權(quán)的特殊性，對(duì)于“嚴(yán)重精神損害”應(yīng)采取主觀認(rèn)定標(biāo)準(zhǔn)，即根據(jù)個(gè)人信息侵權(quán)通常是否足以導(dǎo)致普通人的精神利益嚴(yán)重受損，以此降低精神損害賠償門檻。②在域外立法例上，GDPR第82條第1款、《德國(guó)數(shù)據(jù)保護(hù)法》第83條第2款、我國(guó)臺(tái)灣地區(qū)“個(gè)人資料保護(hù)法”第28條第3款并不以“嚴(yán)重精神損害”作為精神損害賠償?shù)囊?，在信息主體無法舉證損害大小時(shí)，法院得酌定精神損害賠償數(shù)額。

（2）賠償數(shù)額的動(dòng)態(tài)考量。對(duì)于精神損害賠償數(shù)額的確定，應(yīng)當(dāng)考量不同要素予以綜合判斷，包括個(gè)人信息的識(shí)別可能性以及與人格尊嚴(yán)、自由的密切程度，信息處理者的過錯(cuò)程度，個(gè)人信息的傳播范圍，信息主體人格權(quán)遭受損害的具體場(chǎng)合及情節(jié)，信息處理者是否因此獲利，信息處理者的經(jīng)濟(jì)能力等。精神損害賠償數(shù)額并無固定標(biāo)準(zhǔn)，為實(shí)現(xiàn)手段靈活性與裁判穩(wěn)定性之間的平衡，可通過指導(dǎo)性案例或公報(bào)案例的方式，對(duì)損害賠償數(shù)額予以具體化。

2.財(cái)產(chǎn)損害賠償?shù)馁r償范圍

（1）損失范圍的確定：間接損失的可賠性。信息處理者違反安全保障義務(wù)產(chǎn)生的財(cái)產(chǎn)損失，不僅包括直接損失，還包含間接損失。間接損失主要是指信息主體因個(gè)人信息泄露、篡改等事實(shí)，導(dǎo)致其社會(huì)評(píng)價(jià)下降或信用降低，使其本可獲得的利益無法獲得。例如，因個(gè)人信息被非法篡改導(dǎo)致信息主體的貸款未獲審批。間接損失的范圍并非毫無限制，只有根據(jù)事物通常的發(fā)展進(jìn)程信息主體可以取得的利益，才屬于間接損失的范圍。①參見程嘯：《侵權(quán)責(zé)任法》，法律出版社2015年版，第702頁(yè)。若間接損失本就不確定或不合法，則不能獲得救濟(jì)。

（2）賠償數(shù)額的確定：“酌定”的考量因素。在部分案件中，信息主體受到的財(cái)產(chǎn)損失較易確定，如第三人利用泄露的個(gè)人信息對(duì)受害人實(shí)施詐騙；但在部分案件中，信息主體并沒有實(shí)際的財(cái)產(chǎn)損失或財(cái)產(chǎn)損失數(shù)額難以證明。根據(jù)《民法典》第1182條、《最高人民法院關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》第17、18條，信息主體可以信息處理者所獲利益作為賠償范圍；若信息主體既難以證明所受財(cái)產(chǎn)損失，又無法確定信息處理者所獲得利益，則由人民法院酌定賠償數(shù)額?！白枚ā钡目剂恳蛩刂饕▊€(gè)人信息內(nèi)容以及與財(cái)產(chǎn)損失的關(guān)聯(lián)性，信息處理者的主觀過錯(cuò)程度、個(gè)人信息泄露的嚴(yán)重程度和傳播范圍。

3.懲罰性賠償?shù)奶剿鬟m用

個(gè)人信息若遭大規(guī)模篡改、丟失、泄露，將會(huì)在長(zhǎng)時(shí)期內(nèi)對(duì)信息主體的民事權(quán)益造成難以估量的潛在危險(xiǎn)，為了加強(qiáng)對(duì)信息主體的保護(hù)，在個(gè)人信息侵權(quán)領(lǐng)域可引入懲罰性賠償制度。其一方面可以有效防止侵權(quán)行為的再次發(fā)生，敦促信息處理者履行安全保障義務(wù)；另一方面可強(qiáng)化信息主體行使權(quán)利的內(nèi)在動(dòng)力，起到維權(quán)的激勵(lì)作用，從而彌補(bǔ)損害賠償制度在懲罰、遏制功能方面的不足。在適用條件上，懲罰性賠償只能針對(duì)主觀惡性較重的侵權(quán)行為，在賠償金額上，作為損害賠償?shù)摹袄狻保瑧土P性賠償不依信息主體的實(shí)際損失而定，而是根據(jù)信息處理者的主觀可責(zé)性程度、不法獲利數(shù)額、賠償能力等因素而定。