侵害个人信息民事赔偿的比较法考察

针对个人信息保护的问题，虽然比较法上的立法表达、司法实践和执法现实重“刑事惩罚”及“行政规制”，但也在逐步完善“私法救济”与“民事追责”。比较法上通过细化民事归责原则、逐渐承认非现实损害的可赔偿性、采用举证责任倒置缓和因果关系证明难题、适用法定损害赔偿制度等举措，使侵害个人信息的民事赔偿责任更趋科学化。

个人信息侵权的新型损害不受认可

跟传统侵权损害相比，个人信息保护面临新型损害不被立法表达和司法实践认可的难题。

第一，由于传统民法适用损害的差额说理论，故而侵害个人信息的非现实损害得不到承认。鉴于非现实损害具有不明显财产性、继发性、不特定性及不易衡量性的特质，美国法院认为“信息泄露导致受害人承受身份被盗或被诈骗的风险以及受害人由此遭受的疑虑和担忧”并不属于现实损害，故而权利人不能获得赔偿。美国联邦最高法院于Clapper v. Amnesty案中认为原告主张的“损害”是不确定的推测，并不构成司法认可的客观存在的实际损害。虽然欧盟《一般数据保护条例》第82条第1款中规定的“损害”一般被解释为包括了社会歧视、精神压力和人格自由发展中的障碍，但是德国、英国、奥地利等国家和地区的法院均要求原告必须证明存在可赔偿的相当损害。

此外，由于非现实损害不被认可，不当收集及利用个人信息的行为诱发的社会分选、用户画像、定向推送等行为便很少被法院认定为侵权行为。

第二，上游信息泄露行为与其导致的下游损害之间的因果关系难以认定。例如，日本逗子市政府将受害人的信息透露给谎称是被害人丈夫的私家侦探，导致被害人被杀害。同样的案件在美国亦有发生，法院均不承认信息泄露行为和损害后果之间的因果关系。即使在下游损害现实发生的情况下，还可能因为信息控制者为多个主体导致受害人无法举证锁定具体信息泄露者。

侵害个人信息民事赔偿责任的现代化发展

第一，民事归责原则具象化。《德国联邦数据法》第83条在区分自动化数据处理和非自动化数据处理的前提下，分别适用无过错责任和过错推定责任。我国台湾地区所谓“个人资料保护法”专章规定个人信息的损害赔偿责任，以“公务机关”与“非公务机关”为分类标准，明确了前者适用无过错责任，后者适用过错推定责任。

第二，逐渐承认非现实损害的可赔偿性。关于个人信息损害的判断标准，美国伊利诺伊州最高法院认为，即使原告不能证明现实损害的存在，但生物信息的不可更改性决定了被告违反《生物信息隐私法》的行为即造成原告“现实和重大”的损害。因为“当私人实体没有遵守法定程序时，个人保持其生物隐私的权利就消失了”。信息主体只有遭受实际损害才能获得救济的观点，与《生物信息隐私法》预防和威慑信息处理者不法收集和处理个人生物信息的立法目的相去甚远。由此可见，单纯侵害个人信息的行为本身已经构成侵权行为。正如Facebook未经许可创建面部模板集体诉讼案中，Facebook认为用户没有受到任何具体伤害，但美国第九巡回法庭的小组成员指出，无形伤害仍然可以是具体的，Facebook的技术“侵犯了个人的私事和具体利益”。

第三，通过举证责任倒置来缓解因果关系证明难题。违法收集、利用个人信息，个人信息被不当泄露，信息主体之间自动共享个人信息等行为。导致个人信息一旦被收集就已经脱离了信息主体的控制。当信息侵害结果现实发生时，信息主体无法定位导致损害后果发生的具体侵权行为人。比较法上一般通过因果关系推定来解决多数信息处理者场合中的因果关系证明难题。德国立法者认为多数信息处理者导致的因果关系证明困境类似于共同危险行为，故而德国数据法规定，在自动化数据处理情形下，如果不能确定具体侵权人的，多数信息处理者承担连带责任。

第四，针对个人信息侵权行为适用法定损害赔偿并逐渐具备惩罚性质。确立个人信息侵权领域的法定损害赔偿制度，在比较法上不乏其例，不少国家或地区甚至放弃由法院酌定数额的做法，在实际损失无法确定的场合直接规定了一定额度的赔付金额。美国《加州消费者隐私法案》承认的额度为100美元至750美元;《公平和准确信贷交易法》规定的赔偿范围为不超过1000美元。

法定损害赔偿制度看似“粗暴直接”地规定了一定额度范围的损害赔偿金，结合个人信息单人损害微小的现实情况，法定损害赔偿金似乎超出了补偿性质而颇具惩罚意味。其一，美国伊利诺伊州《生物信息隐私法》规定，如果被告故意为之或是鲁莽的，被告需要支付的法定损害赔偿金的额度从最高1000美元提高到最高5000美元。该规定具有明显的惩罚性质，体现了对恶意侵害个人信息行为的惩戒和震慑，目的在于以严厉的经济制裁预防信息处理者再次实施侵害个人信息的行为。其二，美国的立法表达和司法实践已经在一定程度上，将法定损害赔偿和惩罚性赔偿在价值衡量层面作同等看待。美国《加州消费者隐私法案》规定，不当行为的性质和严重性、数量、发生时间长短、行为人之故意等都应作为法定损害赔偿金额的考虑要素。正是由于在考量法定赔偿金数额的时候已经考察了行为人的主观故意和侵权情节，再以法定赔偿金作为计算惩罚性赔偿金的基数构成对行为人的侵权故意及情节的重复评价，会加重侵权人责任的实质后果。其三，有德国学者主张，“在衡量赔偿数额时应强调对媒体企业的预防功能，以防止无所顾忌的不法人格权廉价出售得不到惩戒”;《美国侵权法重述》认为，在人格侵权案件中，名义赔偿金并不具备充分性，通常还需要惩罚性赔偿。前述观点与通过侵害个人信息的手段侵害人格权的案件具有高度适恰性，在此类案件中法定损害赔偿可能无法实现预防功能，而需要惩罚性赔偿制度进行补位。

(作者单位:西南政法大学民商法学院)