专业解读

2024年，道可特全新推出“专业领域宣传月”系列活动，将围绕不同业务领域、结合实务经验进行线上、线下分享。在第24个世界知识产权日到来之际，道可特正式启动“知识产权宣传月”。

三、国际视野：外国法院如何认定“损害结果”？

美国法下的个人信息保护制度主要针对公权力机构收集、处理和分析公民个人信息作出了规定，而平等主体间的个人信息规则更多地适用市场和自律机制（尤其是合同机制），更鼓励对个人信息的利用，采取较为宽松的保护模式。[1]在此背景下，美国法院对于侵害个人信息的损害认定更为谨慎。

美国联邦最高法院在Clapper v.Amnesty (2013）一案中，明确个人信息保护的诉讼请求必须证明存在客观实际的损害，“推测的”或“假设的”损害都不能得到法院支持。此后，美国联邦最高法院又在Spokeo v.Robins (2016）一案中认为“无形损害和损害风险达到一定程度也可以构成个人信息损害赔偿的范围” ，但是该案并没有否认Clapper v.Amnesty (2013）一案的结论，进而导致美国法律在这个问题上出现了激烈的争论。[2]总体而言，美国司法实践中的主流观点仍认为原告不应就风险与焦虑本身获得赔偿。[3]

欧盟的个人信息立法为强调人格利益与个人信息自决权的强保护模式，因此欧盟在《一般数据保护条例》（GDPR）第82条第一款明确规定任何物质或非物质性损害都有权获得赔偿。但是德国法院在2018年所受理的首起依据GDPR提起索赔的案件判决中就明确指出，仅仅违反GDPR中的义务并不必然导致赔偿，原告必须证明具有明显的不利影响，而且有与人格利益相关且客观上可赔偿的相当损害存在。英国、奥地利等地区的一些法院也都表达了类似的观点，认为个人信息权利受到侵害尽管具有引发损害赔偿的功能，但是仅仅只是外部风险或者内部焦虑而无客观损失时，相应的损害赔偿请求不应得到支持。[4]

四、理论剖析：专家学者怎么看？

传统民法学者通常认为，相较于精神性的人格权，个人信息具有可利用性,因此对其侵害，更加注重实际损失的发生与财产损害赔偿。侵害隐私权等人格权并不必然要求受害人必须证明有损害的发生，但对于个人信息侵权，受害人应当证明实际损害的发生，无论是财产的损害还是精神的损害，都应该伴随着有损害发生的证明。[5]

这一类观点还强调应当坚持我国民法中对于精神损害赔偿制度中关于严重程度的要求，认为受害人只有在其人身权益被侵害时遭受“严重精神损害”时，才能请求赔偿精神损害。[6]还有学者建议在衡量精神损害赔偿时，可以将违反公序良俗为严重的重要考量标准。[7]

另一种观点认为，考虑到技术的发展与个人信息权益的特点，应当放宽对“损害后果”的理解，将未来的风险以及因个人信息侵害遭受的焦虑等精神困扰纳入“损害后果”的范围。此类观点指出，风险与焦虑并非虚构的、假设的损害，而可以是客观的、确定的。如果有证据证明个人信息被冒用、篡改，就可以认定损害会发生，采取合理救济措施的成本就可以认定为损害。如果个人信息没有出现被滥用的事实，但是个人信息权益侵害所体现的风险和焦虑是普遍出现的，当这种普遍性可以特定化到个人时，风险就等同于损害的发生。[8]

支持风险理论的学者认为科技发展在当代社会制造了无数的风险，这种风险的不可消除性使得现代侵权法中，损害和因果关系存在更大的不确定性，如果固守传统实际损害观念，反而会动摇侵权法的预防和震慑功能。[9]

有学者进一步指出，可以将侵害个人信息导致的外部风险划分为采取措施降低风险支出的合理成本与个人信息损害增加的合理生活成本，并按照合理物质损失的标准进行量化。[10]

五、笔者观点：根据侵权情节进行类型化分析

（一）区分“妨害”与“损害”

如前所述，目前实践中关于个人信息损害的观点主要有“侵害即损害”“推定造成经济损失”“推定造成精神困扰”“可预见的风险或焦虑”四种。第一种观点强调侵害个人信息权利的行为使当事人的个人信息自决权出于一种不圆满的状态，这种状态本身即构成一种损害结果。第二、三种观点对经济损失和精神困扰的推定，亦是基于这种权利不圆满的状态推定会给当事人带来经济损失与精神困扰。

笔者认为，对当事人信息自决的侵害本身应当被视为是一种权利受到妨害的状态，而非损害结果。在《民法典》生效以前，个人信息权利缺乏明确的排除妨害请求权基础，因此人民法院使用前述规则对侵害个人信息但并未造成实际损害的情况进行规范具有其实践作用。但这种情况在《民法典》生效以后已经发生了改变。我国《民法典》目前采用将人格权请求权与侵权损害赔偿请求权相分离的立法模式。人格权受到妨害或可能受到妨害的，即使并未出现损害结果，当事人仍可依据《民法典》第九百九十五条的规定请求“防患于未然”。[11]因此，即使不存在或无法证明损害后果，当事人也完全可以依据《民法典》第九百九十五条的规定对侵害个人信息的行为寻求救济。

考虑到单纯的侵害行为可以通过人格权请求权进行救济，而《个人信息保护法》第六十九条又明确规定了“损害”以及相对应的“损害赔偿”责任，因此《个人信息保护法》第六十九条应当视为是对实际或预期损害后果的救济，这种“损害”应当将单纯的妨害状态排除在外。在此基础上，“侵害即损害”的观点已经丧失其理论基础。而仅因权利妨害而直接推定存在经济损失或精神困扰亦有悖于客观实际，需要具体问题具体分析。

（二）“可预见的风险或焦虑”标准辨析

传统民法观点认为，损害必须是客观的和确定的，即使该损害尚未实际产生，也应当可以明确预见必然会发生并可以确定损失范围。但在个人信息侵权案件中，无论是财产的实际损害还是精神的实际损害都极难获得证明。因此，部分法院引入了“可预见的风险或焦虑”标准；其中“风险”对应具有高度可能性的财产损害，而“焦虑”则对应权利受损给个人信息主体造成的精神损害。

在侵害个人信息案件中引入“可预见的风险或焦虑”概念并非对“实际损害”标准的突破，而是对损害“确定性”标准的突破。因为在部分类型的侵害个人信息案件中，几乎可以预见损害一定会发生，只是无法确定损害的实现形式与具体范围。在这种情况下引入“可预见的风险或焦虑”标准，实际上是要求法院根据具体侵权情形进行类型化分析损害后果的盖然性，将难以确定的“损害”转化为对已经实际发生的侵权情形的认定，极大程度上降低了审判实践的困难与不确定性。

1. 焦虑与精神损害

侵害个人信息的行为确实可能给当事人造成担忧与焦虑，笔者认为此类精神困扰是客观的、实在的损害，但缺乏传统民法要求的确定性。在当前环境下，当事人与个人信息处理者存在着严重的信息不对称，当事人通常难以知晓其个人信息的处理流程。这种信息不对称极易导致当事人在发现其个人信息权益受到侵害时，对于个人信息以及相关的人身财产安全产生担忧与焦虑。应当理解，这种担忧与焦虑是普遍的、客观的与实际存在的，尤其是在当事人提起诉讼的情况下。

因此，笔者认为侵害个人信息行为给当事人造成的精神困扰足以构成《个人信息保护法》第六十九条中的“损害”，但我国法律仅支持对“严重精神损害”的精神抚慰金，因此这种损害尚未达到“严重损害”的程度则并不必然导致精神损害赔偿的后果。

2. 风险与财产损害

个人信息的经济效益通常难以在个人信息受到侵害的当时就体现出来，而是取决于下游的利用方式。任何信息一旦脱离预设的处理流程，其下游利用方式就极难受控。因此，“风险”成为个人信息保护制度的核心概念。任何个人信息保护制度实际上都是基于信息处理可能导致的风险而非实际后果进行设计的。基于此，在侵害个人信息的损害后果中引入“风险”概念，符合我国个人信息保护的制度设计与客观实际。

不同的侵害个人信息行为会导致不同的风险。情节轻微的违法收集个人信息的行为，很可能只是信息处理者在合规方面的瑕疵，会导致实际经济损失的风险较小。在此类情形下，如果没有实际损害结果，应当认为不存在经济损失。但敏感个人信息在被泄露或被贩卖等情形下，其下游利用方式极有可能包括骚扰电话、垃圾邮件、身份盗用、电信诈骗等非法情形。在这种情形下，这种给当事人带来损害的风险（无论此种损害是轻或重）是如此普遍，以至于几乎可以认定损害必然会发生，只是无法事先确定损害的具体情形与轻重程度。但由于前述提到的信息处理过程中的不对称以及诉讼时效等原因，要求当事人等到损害的风险兑现后再主张权利毫无疑问是不切实际的。因此，严格要求损害后果必须是实际发生的，并拒绝就普遍和客观的损害风险进行赔偿，实际上不当地限制了民法对当事人的救济。

综上，笔者认为在部分情形下，侵害个人信息行为可能导致普遍与客观的损害风险，这种风险的不确定性并非来自于损害是否会发生，而是来自于损害的具体情形与轻重程度。如根据个案中的具体行为可以推断出将来“必然”或极大概率会出现某种形式的损害后果，应当认为构成《个人信息保护法》第六十九条所规定的“损害”。

脚注

[1] 参见王利明：《和而不同：隐私权与个人信息的规则界分和适用》，《法学评论》2021年第2期。
[2] 参见刘云：《论个人信息非物质性损害的认定规则》，《经贸法律评论》2021年第1期。
[3] 参见谢鸿飞：“个人信息泄露侵权责任构成中的“损害”——兼论风险社会中损害的观念化”，载《国家检察官学院学报》2021年第5期。
[4] 参见刘云：《论个人信息非物质性损害的认定规则》，《经贸法律评论》2021年第1期。
[5] 参见王利明：《和而不同：隐私权与个人信息的规则界分和适用》，《法学评论》2021年第2期。
[6] 参见程啸：《论侵害个人信息的民事责任》，载《暨南学报（哲学社会科学版）》2020年第2期。
[7] 参见郭北南：《个人信息的民事法保护与救济》，《国家检察官学院学报》2021年第2期。
[8] 参见刘云：《论个人信息非物质性损害的认定规则》，《经贸法律评论》2021年第1期。
[9] 参见谢鸿飞：“个人信息泄露侵权责任构成中的“损害”——兼论风险社会中损害的观念化”，载《国家检察官学院学报》2021年第5期。
[10] 参见刘云：《论个人信息非物质性损害的认定规则》，《经贸法律评论》2021年第1期。
[11] 参见王利明：《 论人格权请求权与侵权损害赔偿请求权的分离》，载《中国法学》2019 年第1期。

律师简介

邓勇
北京办公室 高级合伙人

业务领域：知识产权、反不正当竞争、数据合规、信息安全、电子商务

邮箱：dengyong@dtlawyers.com.cn

代琦
北京办公室 律师

业务领域：知识产权，竞争与反垄断，电信、科技与互联网，文体娱乐与媒体传播 

邮箱：daiqi@dtlawyers.com.cn