個人信息糾紛案件民事檢察監督的 難點與對策

柏屹穎 沈家奎

摘 要：民法典將個人信息納入人格權編予以保護，開啟個人信息私權保護新時代。在個人信息糾紛案件民事檢察監督實務中，存在案由不確定、賠償金額難以認定、侵權歸責難、舉證難等亟需解決的問題。當務之急檢法兩家受案系統里應盡快確立個人信息案件的案由名稱，在司法解釋層面需盡早建立最低損害賠償金兜底制度，并根據侵權人身份及信息處理技術能力的不同確立過錯推定為主、無過錯責任和過錯責任為輔的侵權歸責原則，以違法性證明為主來減輕被侵權人舉證責任。

關鍵詞：民事檢察 個人信息 損害賠償 侵權 歸責

萬物互聯、大數據、云計算、人工智能等信息技術日新月異，各種APP軟件應用層出不窮，每時每刻都有海量的個人信息數據在產生、流動和處理。伴隨網絡信息產業高速發展的同時，大量個人信息數據被非法采集、泄露和販賣，個人信息保護的重要性和緊迫性日益凸顯。這次民法典中對個人信息的定義、處理原則、免責事由、救濟措施等做出原則性的規定，開啟了個人信息保護的新時代，為民事檢察如何發揮監督職能、做好個人信息保護工作提供了重要的法律依據。但個人信息私權保護，與傳統的民事私權相比存在諸多特異性“品質”，比如其既蘊含重要的人格權利益，又具有重要的經濟價值，既需要法律給予保護，又需要鼓勵合理利用，既屬個人私權，又關乎社會公益，既受私法保護，又受到諸多公法調整等。[1]檢察實務中發現，在處理個人信息權益糾紛時傳統的民事法律思維和手段經常會遭遇“水土不服”，阻礙著民事檢察在個人信息保護上發揮更大的職能作用，需要在實踐中思考并給出切實可行的解決方案。

一、案由的確定

民事檢察的首要工作是對法院的民事訴訟活動進行監督。信息主體在權益被侵害后，無論是向法院起訴還是向檢察院申請監督，面臨的首要問題就是要以一個確定案由來立案受理，而案由也是對訴爭法律事實關系的高度概括和提煉，但實踐中無論是法院系統還是檢察系統，對于侵犯個人信息糾紛案件并沒有一個獨立的案由名稱來命名，一般都是以“一般人格權糾紛”“隱私權糾紛”“名譽權糾紛”“榮譽權糾紛”等來代替，因為民事案件的案由名稱一直是由最高人民法院統一確定并公布使用，不能任意更改。就個人信息的客體和權能內容來說，它與傳統的一般人格權和隱私權、名譽權等具體人格權等既存在重合，也有很多不同，用上述人格權案由來表征、替代個人信息糾紛并不貼切，因為個人信息糾紛案件的保護客體是個人信息，根據民法典1034條的定義，個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息。另外，依據個人信息的敏感程度，又可分為敏感個人信息和一般個人信息，敏感個人信息是指泄露或濫用可能危害人身或財產安全，極易導致個人名譽、身心健康或歧視性待遇的個人信息，像身份證號碼、銀行賬號、行蹤軌跡、性取向等信息，這些敏感信息與人的安全、自由、尊嚴等緊密相關，具有強烈的人格權屬性，但一些如職業、學歷、網名昵稱、游戲積分、品牌喜好等一般個人信息，如果這類信息不具有單獨識別性，具有的人格權因素很弱，甚至可稱為中性個人信息，對于這類個人信息的侵權糾紛，再用人格權案由來冠名就不匹配。

司法機關一直未給個人信息糾紛確立獨立的案由名稱原因在于，個人信息是一個伴隨著網絡化、數據化、信息化時代而來的，民法典頒布前對究竟屬傳統的民事私法權利，還是新生的公法權利，是人格權還是財產權，是權利還是權益，理論界一直存有很大分歧，有學者擔心將個人信息直接界定為個人信息權，會導致個體對個人信息享有過于絕對的控制權，不利于信息的合理流轉和利用。[2]也有學者認為個人信息已超出傳統人格權范疇，與勞動權、受教育權、消費者權利等權益屬性類似，具有公私法多元特點，不宜簡單的以民事私權來界定。由于權益性質在相關法律中的定位也不明，導致實務中個人信息糾紛的案由類型無法確定。

這次民法典將個人信息保護明確納入人格權編，與隱私權并列，相當于賦予其具體人格權的私法權益地位，但又沒有使用“個人信息權”這一明確稱謂，可見立法機關對部分爭議觀點采取了謹慎折中的回應，實踐中不妨先以“個人信息權益”或“個人信息保護”來代替“個人信息權”這一有爭議且沒被立法采納的名稱。鑒于民法典已經對個人信息保護作出明確的規定，筆者認為再用目前的人格權案由來囊括所有類型的個人信息糾紛，既可能造成張冠李戴、指向不明，也容易讓公眾誤解檢察機關、審判機關對個人信息保護的不重視，更不利于發揮司法機關在個案辦理上的教育、引導、宣傳作用。建議最高人民法院盡快對《民事案件案由規定》進行修訂，將“個人信息權益糾紛”或“個人信息保護糾紛”作為新的案由添入目錄中，同時法檢兩家應及時對辦案系統里的案由名目進行更新，對侵犯個人信息的相關糾紛及時使用新案由受案辦理。

二、損害賠償的認定

檢察機關在民事訴訟監督實務中，經常發現個人信息被侵權人即使贏了官司卻很難獲得損害賠償的情況，法官判決侵權人承擔的經常是停止侵害、刪除數據、賠禮道歉等非經濟責任，這既嚴重影響了個人信息主體法律維權的積極性，又使得侵權人違法成本過低，起不到應有的懲戒作用，而民事檢察部門也認識到這類判決存在缺陷卻無力改變，因為造成這一后果并不是法官能力不足、心慈手軟或徇私枉法，主要在于個人信息侵權的損害賠償存在法律障礙：一是損害有無發生不好界定，因為個人信息侵權造成的損害通常是無形的，比如說個人信息被非法采集或泄露，是典型的侵權行為，但在沒有發生次生危害的情形下，信息主體很難證明自己具體損失了什么;二是損害的對象不明確，即使法律認定損失存在，該損失究竟是物質財產性利益受損，還是精神上受損害，并不明確;三是損害的金額難以確定，民事侵權賠償通常以恢復性、補償性原則為主，即以實際受損數額或侵權獲利金額為參數來計算，但在個人信息侵權案件中這兩個數額都難以估算。

個人信息侵權猶如強行打開一個密閉的氣罐，只要打開就一定有氣體溢出，無非是溢出多少而已。同理，個人信息侵權案件中，如果原告已證明發生了侵權行為，比如個人信息被非法采集、泄露等，就應該認定損害已經發生，無需再舉證。而損害賠償的范圍應根據侵害的個人信息類型作區分，其中侵害敏感個人信息的，應既包含財產性賠償和精神性賠償，而侵害個人一般信息的，則不包括精神性賠償。因為個人信息從財產屬性上說，是一種信息數據資源，是大數據產業的重要“原材料”，蘊含經濟價值，被他人非法采集、泄露，當然構成對財產性利益的侵害，而敏感個人信息則具有財產性和人格性雙重屬性，從人格屬性上說，個人信息關乎人的自由、尊嚴、安全等與人格有關的精神性利益，對其侵害會造成人的緊張、恐懼、不安等，必然造成精神性損傷，比如疾控中心將本地艾滋病毒攜帶者名單泄露給藥品廠商，肯定會給病毒攜帶者精神上帶來嚴重傷害。所以只要證實存在侵權行為，無論是對一般個人信息的侵害，還是對敏感個人信息的侵害，都會造成個人財產性利益受損或財產性和精神性利益雙受損，法官所需裁決只是損害賠償的大小。

對于賠償金額問題，應優先采納原告能夠證明的數額，對于原告無法舉證證明的，可以借鑒域外個人信息保護法律制度中的法定最低賠償金兜底制度。如美國加州2018年6月頒布的《加州消費者隱私法案》（CCPA）第1798.150節中規定在侵權事件發生后，每位消費者可以要求“每次事件賠償不少于100美元且不超過750美元的損害賠償金或實際損害賠償金，以數額較大者為準。”我國臺灣地區的個人資料保護法是有關個人信息保護方面的專門法律，在第28條中規定“如被害人不易或不能證明其實際損害金時，可請求法院依侵害情節，以每人每一事件新臺幣5百元以上2萬元以下計算”。[3]實踐中，可以通過司法解釋來確定個人信息侵權的最低賠償金范圍，比如500元至5萬元，當被侵權人無法舉證其在財產上或精神上遭受的損害金額時，由法官根據侵權人的侵權手段、動機、過錯程度、持續時間等情節，確定實際賠償金額。另外侵權人還要承擔被侵權人為制止侵權行為、委托律師和起訴等方面的合理開支。

三、侵權責任歸責原則的明確

從民事檢察實踐來看，在個人信息糾紛案例中，糾紛引起的民事責任既有違約責任也有侵權責任，而絕大多數是侵權責任，但我國法律目前對個人信息的侵權責任適用何種歸責原則沒有具體規定，給民事審判及民事檢察監督都帶來困惑。根據我國法律的規定，侵權責任的歸責原則分為過錯原則、過錯推定原則和無過錯原則，其中過錯原則產生于羅馬法，該原則在1804年《法國民法典》中被正式確立并被各國立法所效仿，成為侵權責任認定時最主要的歸責原則，其曾被自然學派推崇為民法學上的“最大成就”和羅馬法中“最有價值的遺產”。過錯原則要求只有在行為人存在過錯的情況下，才對行為造成的損害承擔責任，該歸責原則導致被害方承擔的舉證責任最重。民法典中有關個人信息的六個條文中沒有涉及侵權歸責問題，侵害個人信息的侵權責任認定究竟是適用何種歸責原則，理論界有多種觀點，傳統民法學者認為對個人信息的保護是民事私權保護的一種，侵犯私權一般適用過錯原則，因為無論是依據原侵權責任法的相關規定，還是民法典第7編侵權責任中1165條、1166條的規定看，在法律沒有明確規定時，民事侵權責任的認定都應該適用過錯原則，對個人信息的保護也不例外。也有學者認為個人信息保護既涉及私權和民事法律，也涉及公共利益和公法，對侵害個人信息的歸責認定不能只依據民事法律，除了正在制定中的個人信息保護法，《消費者權益保護法》、《網絡安全法》、《電子商務法》、《全國人民代表大會常務委員會關于加強網絡信息保護的決定》、征信業管理條例等多部單行法律法規也都對個人信息保護做了很多規定，比如《網絡安全法》第74條中規定：“違反本法規定，給他人造成損害的，依法承擔民事責任”，由此認為也可以適用無過錯原則或過錯推定來認定。[4]

不同的歸責原則對應不同的證明責任，過錯原則需要被侵權人證明侵權人存在過錯，否則其主張不會被支持。過錯推定原則則實行舉證責任倒置，由侵權人舉證證明自己無過錯，否則推定其有過錯，而無過錯原則只要侵權人違反法律造成侵權事實就應該承擔法律責任，無需證明是否有過錯，因此被侵權方的舉證責任最輕。常見的侵權行為，如故意傷害、交通肇事、銷售偽劣產品等，通常具有外在可見的行為及可感知的后果，被侵權人舉證比較容易，但個人信息侵權具有隱蔽性、技術復雜性和難以感知性，一方面對過錯進行證明的難度大，另一方面被侵權人通常是個體自然人，而侵權人往往都是企業組織或公權部門，被侵權人與侵權人相比無論是在財力、專業技術、訴訟能力上都難以對抗，如果將個人信息侵權責任一律以過錯歸責原則來認定，將遠遠超出被侵權人的舉證能力，使法律賦予司法機關的權利救濟功能落空，挫傷被侵權人的訴訟維權積極性。但若一律以無過錯責任來認定，則會無限加大個人信息處理者的法律責任，導致信息數據行業參與者動輒得咎，妨礙了個人信息的合理流動和大數據產業的發展。對比域外地區的相關做法，歐盟目前對個人信息侵權采取的是過錯推定責任，在歐盟2018年實施《一般數據保護條例》（GDPR）第82條第3款的規定“控制者或處理者如果證明自己對引起損失的事件沒有任何責任，那么其第2段所規定的責任可以免除。”[5]在我國臺灣地區，根據侵權人是公務機關和非公務機的不同，分別承擔無過錯責任和過錯推定責任。

根據域外地區處理個人信息侵權案件的司法經驗看，往往根據侵權人的身份和侵權手段的不同確立相適應的歸責原則，因為從實際案例看，企業、組織類侵權人與非企業組織類侵權人在侵權的能力、范圍、數量和影響后果上有著天壤之別，而同樣是組織類行為人，公權部門與一般組織相比在收集個人信息方面具有更多的便利以及享有更多的免責事由，后者需要受到更嚴厲的監管。而從侵權技術手段上說，人工處理與采用智能自動化的處理信息技術相比，在侵權的廣度、數量、頻次、危害后果、隱蔽性等方面也難以相提并論，后者也需要負擔更多的舉證義務。筆者認為，最高人民法院可以適時修改相關司法解釋，借鑒域外國家和地區在立法、司法上的成熟經驗，對個人信息侵權糾紛案件的處理作出專門的規定，依據侵權人在身份及信息處理技術手段的不同來區別適用不同的歸責原則，對非企業組織類并采用非自動化信息處理手段的侵權人適用過錯責任，對公權機構侵權人一律適用無過錯責任，其余的侵權人一律適用過錯推定責任。

正如百度公司李彥宏所言“中國人愿意用隱私換便捷”[6]，中國老百姓保護個人信息的意識普遍不強，而生活場景中各項業務的實名制、無處不在的監控探頭及網絡信息黑產的猖獗，更加劇了個人信息侵權的泛濫，如何有效遏制這一局面，對現行法律和司法實踐提出了挑戰。有人擔心對個人信息侵權的司法救濟過于激進，會阻礙中國網絡信息產業的發展，但實際情形正相反，當下中國實際面臨的是國家司法權對個人信息的保護過于軟弱，中國網絡信息公司對個人信息保護的漠視態度也廣受詬病，而這正損害著中國網絡信息產業的聲譽和海外拓展。

對個人信息的保護應發揮公私法協同治理效應，除了加快制定我國《個人信息保護法》外，當前可通過司法解釋層面的調整優化，最大限度激發個人信息主體充分行使訴權，畢竟被侵害人自己比公權機關更關心自己的權益，而民事救濟手段比行政手段、刑事手段更高效、更節約司法資源，真正實現民法典對個人信息加強保護之目的。

注釋：

[1] 參見周漢華：《個人信息保護的法律定位》，《法商研究》2020年第3期。

[2] 參見丁曉東：《個人信息私法保護的困境與出路》，《法學研究》2018年第6期。

[3] 林洲富：《個人資料保護法之理論與實務》，臺灣元照出版公司2019年版，第107頁。

[4] 參見葉名怡：《個人信息的侵權法保護》，《法學研究》2018年第4期。

[5] 京東法律研究院：《歐盟數據憲章：〈一般數據保護條例〉（GDPR）評述及實務指引》，法律出版社2018年版，第268頁。

[6]包雨朦：《李彥宏：中國人多數情況下愿意用隱私交換便捷性》，新浪網http：//news.sina.com.cn/s/wh/2018-03-26/doc-ifysrivq8493582.shtml，最后訪問日期：2020年9月20日。