跨平臺共享下個人信息侵權責任認定問題研究

【關鍵詞】個人信息保護；互聯網平臺；侵權責任；過錯推定

隨著信息技術的不斷發展，個人信息作為重要的數據資源，蘊涵巨大大的經濟價值。企業跨平臺共享個人信息已成為數據經濟中的重要組成部分。這種共享模式為企業挖掘和分析大數據提供了豐富的資源，然而，隨之而來的是對個人信息權和隱私權的潛在侵害風險。

目前對個人信息的共享仍缺乏具體的法律約束和規范。[1]《個人信息保護法》雖然規定了過錯推定的責任承擔方式，但并沒有個人信息侵權舉證責任分配的細化規定，這就意味著，在侵犯個人信息的情況下，仍然采用“誰主張、誰舉證”的舉證責任分配方式，而跨平臺共享下的個人信息往往涉及多個信息處理主體，這對于處于弱勢的被侵權人來說難上加難。在這一背景下，本研究重點探究個人信息共享模式下的法律問題，特別是個人信息侵權責任認定的相關法律規定和實踐問題。從個人信息侵權責任的構成要件出發，結合實際對個人信息侵權責任的構成要件進行細化和完善，在《民法典》侵權責任編相關規定與《個人信息保護法》中探尋恰當銜接，從而實現個人信息權益的更好保護。

一、跨平臺個人信息共享的基本要件

（一）用戶授權是個人信息共享的前提

企業在跨平臺對個人信息共享時，首先需要取得用戶的授權。個人信息處理者不僅需要取得用戶的事先同意，而且需要告知用戶信息接收方的基本情況。主要通過以下三種方式：第一種，個人信息共享授權書。如銀行等金融機構與用戶簽訂的個人信息共享授權書，用戶在共享其個人信息的基礎上，同意接受銀行等金融機構提供的相應服務。用戶可以通過銀行網站查詢信息共享的具體細則包括共享信息的范圍和共享機構目錄。[2]第二種，隱私政策。許多平臺通過其隱私政策聲明對用戶的個人信息進行共享，但這些聲明大多晦澀難懂，或者對信息共享的細節缺乏詳盡介紹，因此用戶難以透徹了解其個人信息的具體共享情況。第三種，第三方共享個人信息清單。第三方共享清單通常包含接收方公司的名稱、產品類型、共享個人信息的具體名稱、使用目的，以及接收方信息處理規則。分享方通常將隱私政策與第三方共享清單捆綁在一起，用戶只需在設備上進行勾選，即可同時同意隱私政策和第三方共享清單的內容。

（二）多方式協調是個人信息共享的途徑

大部分被共享的個人信息都是沒有經過匿名化處理的與用戶具有直接關聯的個人信息。平臺間主要通過提供、傳輸、委托的方式對個人信息進行共享。一種個人信息共享方式是提供行為，“提供”強調將個人信息交付給特定主體的行為。《民法典》第 111 條、第 1038 條明確規定，任何組織或者個人不得給他人非法提供用戶的個人信息。另一種是傳輸行為。傳輸指的是個人信息在不同處理程序之間移動和流轉的過程。個人信息跨平臺共享，通常涉及多個處理者和環節。信息處理者在傳輸過程中，有責任審查接收方的信息處理和存儲條件，并清楚地告知其信息處理的目的、范圍和具體內容，以防止在傳輸過程中對用戶信息利益造成損害。

在信息共享中，共享方并未完全失去對個人信息的控制權，而是將部分控制權分享給接收方。考慮到共享形式的特殊需求和所涉及個人信息的敏感性，雙方均應采取合理措施來保護用戶的個人信息。

（三）限制原則是個人信息共享的保障

《個人信息保護法》中明確規定了目的限制原則，該原則貫穿于個人信息的全部處理活動。在個人信息的跨平臺共享下，無論個人信息處理者為分享方還是接收方，無論涉及何種類型的個人信息處理活動，包括信息共享行為，都必須受到該原則的約束。作為個人信息保護法的基本原則，目的限制原則旨在要求個人信息處理者在處理個人信息時，目的必須明確而合理，應在最小的影響范圍內處理個人信息，并且處理行為應直接與處理目的相關。目的限制原則的衍生原則還包括個人信息收集必要性原則，即接收方所收集的個人信息也必須符合收集的必要性原則。個人信息處理者應加強對個人信息共享過程的管理和監督，確保個人信息的共享行為符合法律法規的規定。

二、跨平臺個人信息共享的侵權責任認定困境

（一）個人信息侵權主體多樣

與一般侵權相比，跨平臺個人信息共享模式下侵權主體更加多樣。由于個人信息處理者的多樣性以及個人信息侵權行為的隱蔽性，使得在多個平臺間找到實施侵權行為的具體信息處理者十分困難。

隨著科技的進步，個人信息共享的層級逐漸增多，用戶難以掌控各個信息處理者之間的相互關系及其合作方式。以網上購物為例，購買商品的整個流程中涉及多次個人信息共享，比如下單、發貨、中轉、派送等環節。一旦個人信息脫離賣方的控制范圍，就有可能面臨危險，比如可能被快遞公司所出售。由于個人信息的跨平臺共享，使得更多的信息處理者和信息處理方式出現，個人信息已經不再是簡單一對一的侵權行為，用戶很難確定個人信息侵害的源頭來自哪個環節及哪個信息處理方。

（二）個人信息侵權中雙方當事人地位存在差距

在個人信息侵權案件中，雙方當事人往往處于不完全平等的地位。個人信息處理者擁有更為強勢的地位，而用戶則處于相對弱勢。這種不平等主要源于“知情同意”規則的不足。目前，用戶通常通過使用前的“隱私協議”來獲得知情同意，然而大多數應用軟件要求用戶必須注冊登錄并同意隱私協議后才能使用基本服務。在這種情況下，許多行業正在被各個互聯網巨頭所壟斷，用戶如果想進行后續操作，便只能同意其規定的隱私政策，大多數用戶只能被迫接受并妥協。[3]

并且，個人信息受害人的證據控制能力較弱，這一問題主要源于信息主體相對個人信息處理者在技術知識和能力方面的明顯差距。個人信息主體在提供證據方面往往只能完成最基本的證明。尤其在當前情景下，許多大型企業為了更好地研發產品和精準化營銷，通過共享方式大范圍獲取個人信息數據。個人信息主體在這種平臺經濟共享行為中大多處于信息不對稱的地位，難以有效地控制自己的信息流動并保護自身的合法權益。

三、跨平臺個人信息共享中過錯推定原則的適用

鑒于我國《個人信息保護法》中規定了個人信息侵權責任的認定適用過錯推定原則。因此，在具體的司法實踐中，需要準確理解個人信息侵權構成要件，準確運用過錯推定原則，對跨平臺信息共享下個人信息侵權責任的認定進行更加細致全面的審查。保障個人信息主體在信息共享環境中的合法權益，避免信息主體因信息共享而受到侵害的情況發生。

（一）過錯要件適用舉證責任倒置

《個人信息保護法》中的過錯推定原則，要求信息處理者在個人信息侵權行為中存在過錯時應當承擔相應的法律責任。這意味著，一旦個人信息主體遭受侵害，信息處理者需要證明其在個人信息處理過程中盡到了合理的注意義務，否則便負有侵權責任。信息處理者應從以下內容證明自己無過錯。

一方面，各平臺在信息共享的過程中必須遵守相關法律法規，特別是《民法典》和《個人信息保護法》等法律規定。這些法律明確規定了信息處理者在存儲、收集、處理個人信息時的行為規范，以及其應當承擔的最低限度義務。各信息處理平臺有責任證明自身沒有違反相關法律規定，從而免除自身可能存在的侵權責任。另一方面，各信息處理平臺需要對盡到法律規定的安全管理義務承擔證明責任。[4]《個人信息保護法》明確規定，信息處理者在收集處理個人信息時必須采取一定措施以確保個人信息的安全。若信息處理者違反了法律規定的義務，應被認定存在過失。信息處理者可以將上述已盡的義務以證據的方式提供，以供法院判定。

（二）減輕損害行為要件證明責任

根據行為方式的不同，可以將跨平臺個人信息侵權行為劃分為積極作為和消極不作為。積極作為指的是信息處理者在法律明確禁止的情況下仍然積極從事可能損害信息主體個人信息利益的行為，例如違規收集和處理個人信息；而消極不作為則是指信息處理者未履行相關法定義務，包括未履行安全管理義務或告知義務等。

根據一般的舉證責任分配規則，原告需要證明被告的行為已發生，且屬于違法行為。在涉及跨平臺個人信息侵權的案件中，雖然信息處理者主動進行的非法收集和個人信息的處理是積極作為行為，但與這些行為“非法性”相關的其他行為卻屬于消極不作為行為。此外，一旦信息收集完成，個人信息的存儲、處理、傳輸、使用其中任何一個步驟違反了法律規定或信息主體意愿，都將被視為違法行為。而不作為的加害行為則指的是個人信息處理者未依照法律履行義務，由此導致信息主體的個人信息受到不應有的損害。這實際上是一種消極事實，在訴訟過程中，負有證明責任的一方需要證明損失是由于信息處理者的不作為導致的。[5]

因此，無論是針對積極行為還是消極不作為，個人信息主體在訴訟過程中可能都需要證明消極的事實，而這種類型的證據往往較難獲取。可以采取一些方法來減輕個人信息主體的證明責任，例如合理利用事實推定和舉證責任轉移等手段來彌補個人信息主體在獲取證據方面的不足。

（三）區分一般與特殊損害要件

在個人信息侵權案件中，受害人可能會面臨個人信息可識別性降低或喪失的不利后果，從而陷入困境。此外，個人信息侵權所導致的損害不僅包括傳統意義上的財產損失和精神損害，還涉及未來可能發生的損害風險和精神損害，這些損害可能導致個人信息的泄露、濫用或被非法交易。

由于個人信息經過多次共享，信息主體往往難以證明實際損害的發生，再加上個人信息侵權所造成的損失往往具有非即時性和隱蔽性，信息主體將會難以證明具體的賠償金額。因此，法院在處理這類案件時應當明確區分一般損害和特殊損害，并合理規定個人信息侵權損害事實的證明責任。

通常原告仍需提供證據證明損害事實的存在。但在某些特殊情況下，可以減輕原告對損害賠償具體數額的舉證責任。當損害數額難以精確衡量時，刻板地應用證明責任的一般原則可能會對原告不利。當個人信息遭到非法侵犯后，可能導致信息主體遭受精神上的困擾、焦慮等損害。在法律領域，考慮到跨平臺個人信息侵權行為及其帶來的損害往往不是立即顯現且較隱蔽，應適度降低信息主體對于難以證實的精神損害、間接損害以及未來風險的證明標準。

（四）區分一般與特殊因果關系要件

在跨平臺共享的情境下，個人信息侵權責任認定中的因果關系，是指個人信息主體的個人信息受損結果能夠清楚地歸因于行為人的侵害行為。在侵權責任認定領域中，損害結果與侵權行為之間并非總是簡單的對應關系。鑒于侵權主體、侵權行為和侵權手段的多樣性，要證明個人信息侵權責任認定中的因果關系難度較大。[6]因此，單一的因果關系認定標準已經不足以適應個人信息侵權中的復雜情況。

當個人信息主體可以明確識別加害行為人及其侵害行為時，證明責任分配的一般規則，通常可以滿足侵權責任認定中因果關系要件的證明。然而，在跨平臺共享下個人信息主體可以以整體視角看待所有的信息共享參與者，證明其遭受的損害結果可以歸因于該整體的加害行為。具體而言，信息主體只需使法官相信是所有信息共享參與者的整體行為導致的個人信息受到損害，而無須對每個信息處理者的具體行為進行詳細證明。這種因果關系的推定是對雙方證明責任的合理調整，降低了信息主體的證明難度，提高了其勝訴的可能性，同時也要求信息處理者對其是否盡到相應義務承擔舉證責任，從而確保了侵權責任認定的公正性。

結語

個人信息侵權問題日益成為互聯網時代的關注焦點。在跨平臺個人信息共享的背景下，應對個人信息侵權責任的認定進行更加細致全面的規范。這包括加強過錯推定原則的統一適用，建立統一的個人信息侵權認定標準，并根據具體案情量身定制判決，在個案中兼顧雙方的技術能力和侵權行為的具體情況，使個人信息主體在信息共享環境中得到充分保障。綜合來看，個人信息侵權責任的認定需要立足于法律的明確規定，同時兼顧個案的具體情況，以實現對個人信息主體合法權益的全面保護。