互聯網通訊技術的進步，不僅為生產力的提高，更為美好生活的實現創造了巨大的可能。然而，大面積個人身份信息泄露、AI換臉風波、人臉數據公開售賣、大數據公司利用爬蟲技術爬取用戶隱私等個人信息利益被侵犯的問題，也成為互聯網信息技術賦能之下，民事權利司法保護所面臨的全新課題。盡管問題是全新的，由此產生的民事糾紛也是陌生的，但法官不能因此拒絕裁判。在這種情況下，對于個人信息民事司法保護中的難點問題進行梳理，并提出可行的破解思路，就是因應上述新課題的必要之舉。
起訴的案由如何確定
在民事訴訟實踐中，案由常被作為案件名稱的組成部分，是案件所涉民事法律關系性質的反映，也是對爭議法律關系的濃縮和概括，更是法院對民事案件實施管理的重要方式。原告的個人信息利益受到侵害準備提起訴訟時，面臨的第一問題就是確定案由。實踐中，原告選擇較多的案由是“隱私權糾紛”“名譽權糾紛”和“一般人格權糾紛”。然而，選擇這些案由，可能存在如下問題。
一方面，“隱私權糾紛”和“名譽權糾紛”案由并不能涵蓋所有的個人信息利益范圍。個人信息包括隱私信息和非隱私信息，如個人身份證號、遺傳基因信息、私人日記等都屬于隱私信息，而郵箱地址、微信號、手機號、在公共網吧的上網記錄等則屬于非隱私信息。如果未經本人允許而將其手機號、QQ號等非隱私信息打包傳輸給他人，或者商家在未經個人允許的情況下，任意收集其在公開場合的各種上網記錄并進行偏好分析，很難說是對隱私權的侵犯，因而很難以隱私權糾紛作為案由起訴。同理，并非所有的泄露或不當利用個人信息的行為都會使自然人的社會評價降低，從而構成對名譽權的侵犯。因此，也很難以名譽權糾紛作為案由。
另一方面，“一般人格權糾紛”的案由并不總是貼切的。理論和實務界大多認為，一般人格權具有解釋和產生具體人格權的功能。因此，當出現一種現有的具體人格權難以表征的私法利益類型時，可以用一般人格權予以涵蓋。正是在這個意義上，一般人格權糾紛的案由經常被作為兜底案由，來容納那些不足以用具體人格權糾紛來表征的民事利益糾紛。于是，在一些個人信息保護的民事案件中，一般人格權糾紛的案由，往往成為原告的無奈之選。然而，個人信息的范圍非常廣泛，盡管一般都將其歸入人格權的范疇，但不可否認的是，諸如銀行賬號、房產信息、虛擬貨幣持有情況等個人信息體現的人格因素要比性取向、身份證號、肖像、指紋等體現的人格因素更弱。因此，將既有人格權無法容納的其他所有個人信息利益都歸入一般人格權糾紛進行保護，并非完全合理。
基于上述分析，對于個人信息保護中案由的確定而言，比較好的解決路徑是及時對2011年修訂的《民事案件案由規定》進行補充完善，加入個人信息保護糾紛的案由。在目前情況下，暫時可將其作為四級案由；待將來個人信息保護的審判實踐更為豐富時，可以考慮將其升格為三級案由，其下可統攝“個人信息更正糾紛”“個人信息刪除糾紛”“個人信息泄露糾紛”等四級案由。但是，在《民事案件案由規定》修訂之前，侵犯的個人信息利益可以歸入具體人格權的，直接以該具體的人格權糾紛（如隱私權糾紛等）作為案由。不能歸入具體人格權的，則只能繼續以一般人格權糾紛作為案由。
不存在有形損害的情況下如何認定侵害是否發生
個人信息案件審判中的第二個難點是如何認定侵害是否發生，以及侵害的表現是什么。在這一問題上經常遇到的詰難是：個人信息即使泄露了，但泄露又能怎樣？現在日常工作和生活中，包括購物、理財、求職、就醫、入學、報班、租房等，哪個環節不需要提供個人信息？個人信息的泄露不是常態嗎？即使這些個人信息真的被泄露了，如果沒有被不當利用，又能怎樣呢？即使真的被不當利用了，但又沒有造成任何有形的財產損失或人身損害，按照傳統民法中關于損害具體的差額說理論，當事人都不能證明自己的損害是什么，那究竟侵犯了什么權利呢？
的確，遵循傳統的侵權損害觀念進行思考，以上疑問貌似合理。但是，在人工智能大數據背景下，在個人信息的收集、傳輸、分析、利用成為常態的情況下，法律觀念是否也需要與時俱進，認真考慮即使沒有有形損害但仍會構成權利侵害的可能呢？
根據個人信息的敏感程度不同，可以將其分為敏感個人信息和非敏感個人信息。前者是指一旦泄露或者被不正當利用，將對信息主體的人身和財產利益產生明顯不利影響的個人信息，除此之外其他信息則屬于非敏感信息。對于教育背景、興趣愛好等非敏感信息的泄露，造成明顯而較大損害的可能不大。但對于基因信息、健康檢查信息、身份證號、銀行卡密碼等敏感個人信息的泄露，則可能造成明顯而較大的損害。比如，某人攜帶乙肝病毒的信息如果被泄露，則其就業、戀愛、社交等諸多方面都極有可能受到歧視。如果非要等到這些泄露的敏感信息被他人惡意利用，造成現實的物質損害時才可認定為權益侵害，則未免太過機械。并且，這樣的觀念也沒有考慮到信息主體個人因其敏感信息被泄露而產生的恐懼、焦慮等非物質損害。因此，確認敏感信息的泄露本身即構成權益侵害，無疑是法律因應信息科技和大數據社會到來的一種理性選擇。
同時，在民事司法實務中，將敏感個人信息的泄露作為一種新的侵害類型，還可與刑事司法實務形成無縫銜接，嚴密地織好個人信息司法保護之網。根據《最高人民法院 最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第五條，在刑事司法實務中，故意向他人提供個人信息達到一定數量即可構成刑事犯罪。與此相應，過失向他人泄露個人信息即應構成侵權。二者正好銜接起來，合乎比例地對不同危害程度的侵犯個人信息行為進行追責，形成個人信息保護的系統應對。
此外，還有兩種較新的侵害類型有必要在司法實踐中予以認可。一是對個人信息的錯誤記載。由于個人信息收集的常態化，即使是經過自然人允許的信息收集行為，也難免在收集、記載、轉錄等各個環節發生錯誤，從而使關于自然人的錯誤信息存儲于網絡空間。在此種情況下，如果該自然人請求網絡服務提供者更正其個人信息而遭到拒絕的，應認可其個人信息利益遭到侵害，允許其提起民事侵權之訴。二是針對用戶的歧視性（區別對待）算法決策。網絡服務提供者的后臺算法往往可以通過對其掌握的用戶海量數據的分析、綜合，形成對特定用戶性格、種族、教育、職業、行為偏好等的推測，為其描繪數據畫像。后臺算法可能以這一未必準確的數據畫像為基礎進行自動化的篩選，對目標人群進行劃分，產生歧視性后果。比如，短租平臺對曾經愿意出高價的用戶給出高于其他用戶的租住價格。這種情況，應視為對個人信息利益的侵害，并為其提供救濟。
如何認定因果關系是否成立
因果關系是指行為和權益侵害之間存在因果關系（責任成立的因果關系）。當存在有形損害或嚴重精神痛苦時，因果關系還包括權利侵害與損害之間的因果關系（責任范圍的因果關系）。一般認為，侵權責任承擔中的因果關系，是相當因果關系，即某一行為僅于現在情形之下發生某一結果，還不能認定為有因果關系；必須在一般情況下，按照人們的一般認識，也認為能發生這種結果的時候，才能認定有因果關系。在最常見的泄露個人信息的民事案件中，按照相當因果關系的要求，原告必須要證明如下兩點：一是原告的個人信息是被告泄露的；二是被告的泄露行為一般情況下會造成原告的權益侵害。然而，恰恰是這兩點的證明難度非常之大。
如前所述，在日常工作生活中，普遍存在個人信息的收集、存儲和利用主體，數量之多以至于一旦發生信息泄露，幾乎無法確定是哪個環節由誰泄露的。即使能夠證明是誰泄露的，也能確定個人信息被他人不當利用，但如何能夠確定被不當利用的信息就是被告此前泄露的呢？二者之間的因果關系有太多可能，原告很難一一證明。另外，即使能夠明確個人信息被泄露，權利人僅僅是自己對于信息可能被惡用而擔憂和焦慮。但從概率上看，很多人可能并不為此感到憂慮。那么，此時又在多大程度上可以確定信息泄露和權益侵害之間的因果關系呢？
面對上述難題，已有不少專家提出在立法上構建因果關系的推定規則，直接由法律規定行為人的泄露、信息記錄錯誤等行為與損害結果之間的因果關系。然而，現實的案件審判不可能坐等立法的完善。并且，即使立法可以在建立因果關系推定規則方面有所作為，但實踐中，經常存在可能泄露個人信息的主體達數十個甚至更多的情況。此時，是否要推定所有可能泄露的主體都是侵權行為人呢？該問題需要謹慎對待，這不僅是理論探討的問題，更涉及落實層面的現實問題。如果每一起個人信息保護案件都需要起訴數十名甚至更多的被告，作為普通消費者的原告是否吃得消？審判資源非常緊張的法院能否承受得了？有人建議在個人信息保護領域建立公益訴訟機制，這樣可以解決原告勢單力薄或沒有動力起訴的問題。筆者以為，這是一個具有廣闊前景的思路，應該大力推動，但卻并不能解決因果關系證明的難題。
從長遠來看，立法上建立因果關系推定規則是一個重要的解決步驟。同時，司法實務中的應對方法有三：一是緩和相當因果關系中“相當性”的判斷。所謂“相當性”判斷，即若有該行為，通常是否會產生該損害的判斷。在個人信息保護案件中，緩和“相當性”的證明負擔，意味著從寬理解“若有該行為，通常是否會產生該損害”，只要原告證明侵權行為與侵害結果存在引起和被引起的條件關系，即應認定存在因果關系。二是降低因果關系的證明標準。根據《最高人民法院關于適用〈中華人民共和國民事訴訟法〉的解釋》第一百零八條的“高度蓋然性”證明標準，只要法官內心確信被告的侵權行為與信息被不當利用、心情焦慮等損害存在因果關系的高度可能，即可認定存在因果關系。三是認可上文所述的新型侵害類型。認可敏感個人信息的泄露本身就是侵害之后，加害行為（泄露行為）與權益侵害（泄露行為）合而為一，其責任成立的因果關系不再需要證明。
如何認定行為人的過錯
發生在物理空間的常見侵權案件，侵權行為有明確的外形，如侵犯他人身體權的，會有身體接觸等直觀的行為表象，原告可以留存這些直觀行為的相關證據來證明被告的侵權行為和過錯。發生在網絡空間的常見侵權案件，侵權行為一般也有可感知的形態。如存在于互聯網上的詆毀或侮辱他人的言論，原告可以截取侵權言論的圖片，或者通過證據保全，從而證明被告的侵權行為和過錯。但是，在個人信息被侵犯的案件中，如最常見的個人信息泄露的場合，泄露行為往往是原告根據個人信息被擴散及被告曾掌握原告個人信息這些事實元素所作的推測，泄露行為本身沒有任何可感知的外形。在這種情況下，原告很可能都不知道有泄露行為的發生，因而很難提供證據證明被告的過錯。而在沒有任何法律規定侵犯個人信息適用無過錯責任原則的情況下，應將其作為一般侵權行為。根據《中華人民共和國侵權責任法》第六條規定，一般侵權行為以過錯為要件。因此，個人信息侵權案件恰恰需要認定被告是否有過錯。
為解決上述過錯的證明難題，理論界不少人提出，對于個人信息侵權案件，應作為特殊侵權行為，確立無過錯責任原則。如此，發生個人信息侵權行為的，不考慮行為人的過錯，因而也就免除了原告對被告過錯的證明責任。另外，也有人主張應區分行為主體的性質及處理個人信息的方式，確立不同的歸責原則。對于公權機關而言，因利用海量個人信息進行算法自動化決策而侵權的，應適用無過錯責任；對于其他組織或企業而言，因利用海量個人信息進行算法自動化決策而侵權的，應適用過錯推定責任；對于其他沒有利用個人信息進行算法自動化決策而侵權的組織或個人，則適用過錯責任。以上建議中，筆者認為，第二種建議考慮了不同情況，更具有科學性，將來立法中應予充分考慮。
在目前立法不能及時跟進的情況下，司法實務中可從如下方面著手解決過錯證明和認定的問題。一方面，在宏觀的裁判理念上，堅持過失認定的客觀化。在傳統侵權法理論中，行為人的過失可以分為主觀過失和客觀過失。主觀過失要求，只有當行為人自己主觀上能夠預見到行為的結果但卻沒有盡到這一注意義務時，才可認定過失。而客觀過失則要求，行為人所要恪守的注意義務是一個“理性人”應有的注意義務。這一注意義務不受具體行為人的主觀能力影響，只要行為人違反了一個“理性人”的注意義務對他人個人信息造成侵害的，就可認定過失。
另一方面，在微觀的裁判思路上，應首先確定行為人所處的群體，進而抽象該群體的“理性人”原型。在此基礎上，認定行為人是否存在過失。在個人信息侵權案件中，被告往往是對于海量個人信息和數據具有高超運算處理能力的公司或組織，他們是一個高度專業化的專家群體或系統。對于這種高度專業化的群體，“理性人”的標準要遠高于一般人的標準。一般主體對他人個人信息的泄露，可能不好認定為過失。但對于這種高度專業化的群體而言，對他人個人信息的泄露，完全可以因為他們沒有盡到與其“理性人”標準相適應的注意義務而認定其違反《中華人民共和國民法總則》第一百一十一條規定，認定為存在過失。在這樣的裁判思路下，被告過錯認定的難題，就可在很大程度上解決。
以上的分析，雖然也關注了立法在解決個人信息保護方面的作為空間，但重點還是聚焦于司法實踐中的應對。個人信息侵害的實踐樣態是無限多樣的，再完備的立法也難以完全涵蓋。就此而言，不僅是個人信息保護問題，實際上可能是所有的權利保護問題，都需要在司法實踐中持續梳理、總結和類型化。唯有如此，法律才能不斷進步，法治才能不斷彰顯。
《中國審判》雜志開始征訂啦！
最精美的版式
最精彩的案例
最前沿的庭審
訂一本生動權威的法制新聞半月刊相當于交了一群高品位的法官朋友
