专业解读

随着数字化时代的到来，个人信息的保护越来越受到重视。相对于传统的个人信息侵权案件来说，个人信息的所有权人也逐渐意识到了除了切实的实质性侵权导致的损害外，还会遇到许多在短时间内无法体现出实质性损害的非物质损害情况，数据持有人将会面临举证困难的困境。当前，已经有许多国家承认了非物质性损害可以构成法律上认可的损害，值得我们借鉴和学习。

一、基本案情

从 2017 年起，根据奥地利法律注册成立的奥地利邮政 Österreichische Post （以下简称奥地利邮政）使用考虑到各种社会和人口统计标准的算法来定义“目标群体地址”，开始收集有关奥地利人口政治倾向的信息。奥地利邮政将生成的数据出售给各个组织，使他们能够发送有针对性的广告。

在该过程中，奥地利邮政通过统计推断诉讼中的申请人UI可能倾向于某个奥地利政党，虽然该信息尚未传达给该政党，UI也并未同意奥地利邮政处理其个人数据，但是他因被收集到的信息而感到受到冒犯，并有一种个人信息被暴露的感觉。从以上事实可以看出，除了暂时性的不良情绪影响外，没有发现任何其他实质性伤害。

在这种情况下，UI向 Landesgericht für Zivilrechtssachen Wien（奥地利维也纳地区民事法院）提起诉讼，首先寻求奥地利邮政停止处理相关个人数据的禁令，第二，要求该公司向他支付 1 000 欧元作为他声称遭受的非物质损害的赔偿。根据 2020 年 7 月 14 日的判决，该法院支持了禁令申请，但驳回了赔偿要求。

UI随后提起了上诉。上诉后， Oberlandesgericht Wien（维也纳高级法院）于 2020 年 12 月 9 日维持了一审判决。

随后，在经历Oberster Gerichtshof （奥地利最高法院）的临时判决后，奥地利最高法院决定中止诉讼程序，并提交欧洲法院。

二、欧洲法院裁判要旨

欧洲法院根据该案件最具有争议的三个问题提出了以下观点：

问题1：是否在简单违反GDPR规定的情况下就足以导致损害赔偿？

首先，根据 GDPR 第 82 条第1款规定：任何人因违反本条例而遭受物质或非物质损害，有权就所遭受的损害向控制者或处理者索取赔偿。从该条款中可以看出，“损害”必须被“遭受”构成了该条款规定的求偿权的条件之一，存在违反 GDPR、损害与侵权之间存在因果关系，这三个条件是累积的。因此，一旦满足这三个要素同时存在的情况，控制者或处理者就必须根据 GDPR 第 82 条第1款对索赔人进行对非物质损害的赔偿。如果仅仅认为违反GDPR就可以获得赔偿，那么条款中的“损害”和“侵权”的含义将会是多余的。

其次，根据GDPR第77条与78条的规定，可以在发现他人涉嫌违反GDPR的情况下向监管机构提出针对监管机构采取的法律补救措施。根据第83条和84条的规定，允许监管机构对违反GDPR的主体实施行政罚款和其他处罚。该行为具有惩罚性目的，并且不以是否存在个人损害为前提。

应当注意的是，GDPR第77和78条规定了在涉嫌违反该条例的情况下向监管机构寻求法律救济，但没有说明数据主体必须遭受“损害”才能寻求救济，与GDPR第82条中对赋予“赔偿”权的要求的措辞相反，对于基于GDPR提出的赔偿要求，“损害”标准的重要性，以及与“违反”标准的区别性特征，是很明显的。

因此，可以得出的结论是，GDPR第82条第1款可以被解释为，简单违反GDPR的规定并不足以赋予赔偿权。

问题2：GDPR第82条是否被解释为，为了确定根据该条例所确立的赔偿权所支付的赔偿金额，各国法院必须应用每个成员国的国内规则，涉及财务赔偿的范围，特别要考虑到欧盟法律的等同性和有效性原则？

首先，关于等同性原则，现有的欧盟法律没有任何条款可以界定GDPR第4款第1条所定义的数据主体可能根据该条例第82条享有的权利受到的损害评估的规则。因此，在欧盟法律未规定该事项的情况下，各成员国的法律体系应制定规则以维护个人权利，根据程序自主原则，但前提是这些规则在欧盟法律适用的情况下不得违背等同性原则，并且不得在实践中使行使欧盟法律赋予的权利变得过于困难或不可能实现，从而违背有效性原则。

关于有效性原则，应由询问法院确定奥地利法律规定的详细规则是否使法院确定根据GDPR第82条确立的赔偿权所应支付的损害赔偿在实践中不可能或过于困难得到行使。

鉴于以上考虑，GDPR第82条可以解释为，为了确定根据该条例确立的赔偿权所应支付的赔偿金额，各国法院在遵守欧盟法律的等同性和有效性原则的前提下，必须应用每个成员国的国内规则，进行赔偿金额的确定。

问题3：GDPR第82条第1款是否要禁止国家制定相关规定以及行使行为使得根据该条例所定义的非实质性损害赔偿受到损害的数据主体所遭受的损害需要已达到一定程度的严重性？

首先，GDPR第82条明确规定，不仅“实质性损害”而且“非实质性损害”也可能导致求偿权，但是该规定并没有明确定义“损害”程度。

其次，该规定也倾向于表明求偿权不受到损害达到一定严重程度的条件限制。GDPR第146条的第3款规定：应根据法院的判例在广泛涵盖本规则目标的情况下广泛解释损害的概念。如果该概念仅限于一定程度的严重性损害，那将违背欧盟立法者所支持的“损害”的广泛概念。

另外，从GDPR第10条可以看出，该条例设立的目标之一是确保在欧盟内对个人数据处理的保护达到一致和高水平。同时，在整个欧盟范围内确保对于个人数据处理的基本权利和自由的保护规则的一致和统一的应用。将非实质性损害的赔偿视为必须达到一定严重程度的条件将有可能破坏GDPR所建立的规则的连贯性，因为这种程度的划分，取决于是否能获得该赔偿，将取决于法院的评估。

因此，欧洲法院认为GDPR第82条第1款需要禁止国家制定相关规定以及行使行为使得该条例所定义的非实质性损害赔偿受到损害的数据主体所遭受的损害已达到一定程度的严重性的限制。

三、指导意义

（1）对于“个人信息非物质损害”的定义

在该案中表明，个人信息的非物质损害的含义应当被广泛的理解，根据GDPR第75条规定，个人数据处理可能导致自然人权利和自由的风险，风险的程度和可能性各不相同，可能会导致身体、物质或非物质损害，尤其是：处理可能导致歧视、身份盗窃或欺诈、财务损失、声誉损害、个人数据受到专业保密保护的保密性丧失、伪匿名化的未经授权逆转，或任何其他重大经济或社会劣势的情况；数据主体可能被剥夺其权利和自由或无法行使对个人数据的控制权的情况；处理的个人数据可能显示种族或民族出身、政治观点......

（2）仅仅违反GDPR不会直接导致损害赔偿

在本案中，欧盟法院明确指出，仅仅违反GDPR并不能直接导致损害赔偿的请求。法院认为，求偿人有责任证明自己确实受到了“损害”，并且必须存在明确的因果关系，即违反GDPR的行为直接导致了所声称的损害。

这一观点强调了对于损害赔偿请求的合法性和合理性的要求，确保仅有真实的、可证明的损害才能成为请求赔偿的基础。这有助于防止滥用损害赔偿机制，同时促使个人在提起赔偿请求前认真评估其受到的损害。

（3）对于“个人信息非物质损害”的程度规定

欧盟法院的观点强调了个人信息非物质损害的认定不应过于苛刻，而应根据具体的事实情况进行综合评估。这意味着在确定个人信息非物质损害的程度时，不能简单地依赖于一种统一的严重性标准，而应当考虑到案件的具体背景、受害者的实际情况以及可能产生的后果。这种灵活的评估方式可以更好地满足不同情况下个人信息保护的需求，并确保个人信息权利得到有效保护。

此外，将损害标准过度严格化可能会使求偿人难以行使其求偿权利，特别是对于那些损害较轻微或不易量化的情况。因此，欧盟法院主张在个人信息保护案件中，应更加注重事实的具体情况，避免将损害程度的认定简单化或形成一种僵化的标准，从而更好地平衡了个人权益与实际情况之间的关系，确保了法律的适用性和公正性。

四、防范与建议

对于个人来说，首先，在选择会收集个人信息的服务时，应当仔细审查并了解其制定的个人信息的保护政策，知晓自己的权利及义务，尽可能选择可信赖的服务商；

其次，在遭遇感觉自己的个人信息受到损害时，可以及时向监管机构报告，寻求法律救济；同时，加强对于可删除权的运用，需要意识到，信息收集后的处理方式，在意识到可能受到或者受到损害时，应当勇敢行使对个人信息的可删除权，来避免损害的扩大；另外，在使用服务的过程中，注意留存各项证明，在提起个人信息损害赔偿请求时可以作为证明自己受到损害的证据；

最后，对于非物质损害的定义，可以借鉴其他国家或地区在个人信息保护领域的法律经验，了解它们对非物质损害的具体定义。这可以帮助确立更全面和现代的损害类型，以适应数字时代不断发展的数据保护需求。

从司法机关的角度来看，根据我国的《个人信息保护法》第69条第1款规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

当前，我国对“损害”的类型并没有进行具体的罗列，这将会导致在生活中个人无法辨别何时应当使用法律的手段来维护自己的合法权益。司法机关可以根据我国实际情况，学习和借鉴其他国家在个人信息非物质损害方面的经验，不断完善和丰富我国《个人信息保护法》的内容。

根据我国《个人信息保护法》第69条第2款规定，损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。

在奥地利邮政案的情况下，求偿者并未因奥地利邮政的行为受到实际损失，奥地利邮政是否因该行为而获利也无从获知，如果在我国发生类似的情况，将会导致实际损失无法被量化的结果。根据第69条的规定，如果此时求偿者提起诉讼，该金额最终的决定权将于很大程度掌握在司法机关的手里。因此，司法机关应当在处理个人信息案件时，在注意维护数据所有人权益的情况下，根据实际情况进行综合评估，避免过度苛刻的损害标准，导致赔偿难以实现。

从中国企业的角度来看，随着对个人信息保护制度的不断发展与完善，企业在未来需要进行不断的调整。首先，要密切关注国家颁布的最新法律法规，通过对政策的理解建立健全的隐私政策和数据处理流程；其次，在使用可处理收集的个人数据时，为了避免滥用个人信息，需要注意征得数据所有权人的意见，并且将其意见进行留存。

作者简介

张婷
道可特律师事务所高级合伙人、国际业务部主任

业务领域：境内外争议解决、海外上市、国际并购与国际工程、境内外并购与资本市场、公司治理、外商在华投资家族办公室业务和国际融资等商事法律业务

邮箱：zhangting@dtlawyers.com.cn

郭毅佳
道可特律师事务所实习律师

业务领域：境外上市、跨境投融资并购、数据出境业务、公司治理 

邮箱：guoyijia@dtlawyers.com.cn