个人信息侵权纠纷的司法实践及理论探析

2021年11月1日，《个人信息保护法》正式实行，新法的实行让本就备受关注的个人信息保护问题再次迎来讨论高峰。2022年1月24日，中国消费者协会发布的2021年十大消费维权舆论热点将个人信息侵权问题列为其中之一，实践中围绕个人信息保护纠纷发生的民事诉讼案件数量也呈井喷之势。藉此舆论热议的东风，我们撰写此文对当下个人信息侵权纠纷的司法实践及相关法律问题进行讨论和展望，与各位分享我们的思考和心得，供各位参考。

《民法典》人格权编被赞誉为民法典最大的亮点。[1]除姓名权、名誉权、隐私权、肖像权等传统人格权外，《民法典》明确规定了“自然人的个人信息受法律保护。” 人格权编起草至今，虽然在理论与实务界关于个人信息权益的性质究竟为一种独立人格权还是一种人格权益一直有所争论，但是在公民个人信息权益受到侵害时有必要赋予公民寻求法律救济的权利已经成为共识。

依据我国现有法律法规，个人信息主体认为其个人信息权益受到侵害时，可通过刑事、行政、民事三条途径寻求救济。《刑法》第253条之一规定了侵犯公民个人信息罪，存在非法获取、出售、提供公民个人信息行为的相关主体将承担相应刑事责任。《个人信息保护法》第66条、67条规定了相关主体违法处理个人信息或不履行个人信息保护义务应承担的行政责任。在民事责任方面，与《民法典》2021年1月1日同日生效的《最高人民法院关于印发修改后的<民事案件案由规定>的通知》（以下简称“《民事案件案由规定》”）也将“人格权纠纷”下的“侵权纠纷”修改为“隐私权、个人信息保护纠纷”，新增了“个人信息保护纠纷”案由。侵权主体可能根据《民法典》第179条之规定，被法院判决承担停止侵害、排除妨碍、消除危险、赔偿损失、消除影响、恢复名誉及赔礼道歉的民事责任，也可能基于双方签署的合同中对个人信息保护内容的约定承担相应违约责任。

目前我国司法实践中，个人信息相关民事纠纷主要包括两类，一类为合同纠纷，例如请求确认涉及个人信息的格式条款无效，或个人信息处理者违反约定处理个人信息构成违约等；另一类为侵权纠纷，即因个人信息处理者存在侵害个人信息主体权益的行为而产生的纠纷。鉴于目前个人信息民事纠纷主要以侵权纠纷为主，本文拟结合理论及司法实践对个人信息侵权纠纷进行探析。

除《民法典》外，《个人信息保护法》针对个人信息保护问题进行了系统性规制。此外，《电子商务法》《网络安全法》等多项法律法规均从不同方面对个人信息保护进行了规定。根据现有规定，自然人的个人信息受法律保护，个人信息权益受到侵害时可通过两种途径得到救济，其一是在人格权层面基于人格权请求权寻求救济，其二是在侵权层面基于侵权请求权寻求救济。两种途径的请求权基础截然不同。

1.权利基础之一：人格权请求权

学界通说认为，人格权请求权是指民事主体在其人格权的圆满状态受到妨害或者有妨害之虞时，需向加害人或者人民法院请求加害人为一定行为或不为一定行为，以恢复人格权的圆满状态或者防止其人格权受到妨害的权利。[2]人格权作为绝对权，具有排他性和支配性，权利人对其人格权益享有支配的权能并可以对抗第三人，只要权利人认为其人格利益的圆满状态受到了不法侵害或者存在受到不法侵害的危险，权利人就有权提出相关请求以恢复其圆满支配状态。[3]根据《民法典》第1034条规定，个人信息主体对其个人信息享有权利，如其个人信息受到侵害则可直接基于人格权请求权向法院起诉，以取得救济。

2.权利基础之二：侵权请求权

与人格权请求权的救济路径不同，侵权请求权需以“损害”为要件，而不能仅以受到侵害为由进行主张。所谓“损害”是指因行为人的侵权行为而造成被侵权人的不利益，而此种不利益往往可以通过金钱价值予以评价，据此估算的金钱价值对被侵权人进行准确的救济。[4]侵权请求权是一种新生权利，只有当侵权行为发生后并且一方的侵权行为造成了个人信息主体的损害时，被侵权方才能发生侵权请求权。若个人信息主体想通过侵权请求权获得救济，需满足传统的侵权构成四要件，即违法行为、过错、损害事实及因果关系。

（1）违法行为

违法行为一般是指一方实施的侵害另一方受到法律保护的权利和合法利益的行为具有不法性，违反了法律对人的权利和利益的保护规定。[5]司法实践中，如果个人信息处理者违反法律明确规定的义务，例如《个人信息保护法》《网络安全法》等规定的，则易被认定其行为针对个人信息主体受到法律保护的个人信息权益存在不法性。

（2）过错

《个人信息保护法》第69条明确了个人信息侵权采取过错推定的归责原则：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”此规定通过转移举证责任对个人信息主体提供倾向性保护。按照过错推定原则，如个人信息处理者未按照法律、行政法规及当事人双方约定内容对个人信息进行处理，则可推定个人信息处理者存在过错。

（3）损害事实

损害事实是侵权请求权的核心，按照《个人信息保护法》第69条，只有行为人的侵害行为给个人信息主体造成实际损害后果，被侵权人才能依法行使侵权损害赔偿请求权，要求行为人承担损害赔偿责任。从个人信息的权益内容出发，损害的客体既包括财产利益的损害，也包括精神利益的损害。《个人信息保护法》第69条第二款也明确了损害赔偿费用的计算依据，即“受到的损失”或“获得的利益”，无论是财产损害还是精神损害，个人信息主体有权按照其因个人信息处理者的不法行为而遭受的损失或者个人信息处理者因此获得的利益来确定损害赔偿费用；如该等费用难以确定，则可根据实际情况确定赔偿数额。

（4）因果关系

因果关系则强调违法行为与损害事实之间的关联性，即行为人实施的侵害个人信息权益的行为导致了权利人精神利益及财产利益的损害结果。由于个人信息的产生、流动涉及多个环节，牵涉多个主体，任何一个环节的任一主体都有存在违反法律、行政法规等相关规定的信息处理行为的可能，因此实践中判断因果关系时应当严谨、全面，结合具体情况综合分析。

（5）小结

侵权请求权要求被侵权人必须有损害事实，而人格权请求权只要求权利人的个人信息权益受到侵害。虽然司法实践中目前在个人信息侵权纠纷的审理中，尚未严格区分人格权请求权与侵权请求权，但是当权利人的个人信息被侵害时，可以根据自己诉请的责任方式不同，决定选择行使何种请求权。如果只请求侵权行为人承担非财产性的责任，例如赔礼道歉、消除影响、排除妨碍等，采取人格权请求权的救济路径较为稳妥；如果权利人要求被侵权人承担损害赔偿责任，则应当通过侵权请求权的救济路径实现损害赔偿。[6]

1.《民法典》颁布前的个人信息侵权纠纷

《民法通则》中关于人身权的规定仅有生命健康权、姓名权、肖像权、名誉权、荣誉权等传统人身权利，第5条中原则性地规定“公民、法人的合法的民事权益受法律保护，任何组织和个人不得侵犯。”2010年生效的《侵权责任法》第2条还明确了隐私权。在《民法通则》作为民法基本法的时代，个人信息权益尚无法律明确规定，涉及个人信息的纠纷也多依附于隐私权纠纷、名誉权纠纷、姓名权纠纷等进行诉讼，且除了涉及名誉权侵权的部分案例以外，大部分的个人信息侵权纠纷都是按照隐私权纠纷处理的。

《民法总则》颁布后，《民法总则》将个人信息与隐私权加以区分，分别规范和保护，在第110条规定了自然人享有隐私权，第111条规定“自然人的个人信息受法律保护。”第111条关于个人信息是否为权利规定暧昧，围绕《民法总则》111条如何理解不乏争议：自然人对个人信息享有的究竟是民事权利抑或仅仅是受保护的民事权益？[7]但是司法实践中已逐渐注意到仅靠隐私权、名誉权等无法满足数据时代对个人信息保护的需求，有必要对不属于隐私的个人信息给予侵权法救济。

例如（2018）京0105民初9840号一般人格权纠纷案，原告赵某起诉被告某房地产经纪有限公司及公司员工等 ，主张原告与被告签署《房屋出售委托协议》时原告向被告员工提供了身份证复印件及房屋产权证复印件，被告员工利用原告提供的资料和信息私自办理居住证使用。北京市朝阳区法院依据《民法总则》第111条认为“个人信息的民法保护体现了民法的价值考量和对公共秩序的维护。”被告公司员工非法使用原告个人信息的行为构成民事侵权，应承担原告个人信息被侵犯损害的全部赔偿责任。同时本案侵权事实的发生与被告公司内部对客户个人信息的保护存在监管漏洞之间相关，因被告公司的管理存在过错，其亦应对原告个人信息被侵害的损害后果承担侵权责任。

在《民法总则》作为民法基本法的时期，个人信息侵权案例中法院所引用的法律依据主要为《民法总则》111条以及《侵权责任法》第2条、第6条，在论述侵权行为违法性时还需要引用其他专门法如《网络安全法》的有关规定。例如在（2019）京0491民初16142号案件中，原告黄某起诉某读书APP，认为该读书APP获取原告微信好友关系、向原告共同使用该应用的微信好友公开原告读书信息、为原告自动关注微信好友并使得关注好友可以查看原告读书信息的行为，构成对原告个人信息权益或隐私权的侵害。北京互联网法院认为《网络安全法》第41条规定明确了网络运营者收集、使用个人信息应当遵循合法、正当、必要的原则，其处理个人信息需要同时满足让用户知情、获得用户同意的条件，并据此认定被告APP收集原告微信好友这一单一行为不构成对原告个人信息权益和隐私权的侵害，但是被告APP向原告共同使用被告APP的微信好友公开读书信息这一整体行为，因被告未获得原告有效的知情同意，违反了《网络安全法》关于处理个人信息的规定，具有过错，侵害了原告的个人信息权益。

2.《民法典》时代的个人信息侵权纠纷

《民法典》比《民法总则》在个人信息保护上大步迈进，除规定自然人的个人信息受法律保护外，还明确了个人信息的定义、内涵（第1034条），规定了处理个人信息的原则和条件（第1035条），并规定了信息处理者的义务（第1038条），加强了对个人信息的保护力度。实际上在《民法典》编纂过程中，法院在处理个人信息侵权纠纷案件时就已经开始参考《民法典》草案的精神审理案件。例如（2019）京0491民初16142号案件中，法院表示“现行法律中没有对隐私概念予以明确规定。《中华人民共和国民法典》对隐私的定义、类型予以明确，虽未正式施行，但其对法律概念的定义以及相关规范精神可以在本案中作为参考。”而且在类似案例中，法院也逐渐有意识地适用侵权构成要件对个人信息侵权纠纷进行规范审查。

例如（2019）京0491民初6694号案中，原告凌某起诉某APP未经授权收集原告姓名、手机号、社交关系、地理位置、手机通讯录等信息侵犯了原告隐私权和个人信息。本案审理时《民法典》尚未生效，虽然法院适用《民法总则》第111条作为请求权基础，但是也在判决中参考了即将实施的《民法典》有关隐私权和个人信息规定的精神对涉案事实进行认定。法院在审查被诉行为是否构成对原告隐私权或个人信息侵权时的逻辑或思路可以简要概括如下：

（点击查看大图）

《民事案件案由规定》也与《民法典》同步更新，自2021年1月1日增加了个人信息保护纠纷案由。我们在司法案例数据库中对“个人信息保护纠纷”案由目前的案例情况进行了检索分析[8]，共检索到108个案例结果，去除其中撤诉、调解结案案件并合并一二审裁决后，共有20件案例具有参考价值，我们对这20件个人信息保护纠纷案例进行了梳理，其中涉及的个人信息纠纷主要包括以下情形：

（点击查看大图）

可以看出目前围绕个人信息保护产生的纠纷主要围绕个人信息的收集、处理和非法转移等情形。按照现行法律法规的规定和司法实践，侵害个人信息权益的行为主要包括但不限于以下类型：

1. 违法违规收集个人信息。例如，个人信息处理者在信息收集前未按照法律法规进行告知并取得自然人的同意，自然人未在充分知情的前提下自愿、明确作出同意个人信息处理者收集其个人信息的意思表示，自然人撤回其同意后仍继续收集其个人信息等。

2. 违法违规处理个人信息。例如，个人信息处理者在处理个人信息前未以显著方式、清晰易懂的语言向个人信息主体真实、准确、完整地告知相关事项，或违反经信息主体同意的个人信息处理目的、处理方式使用、加工个人信息，超越实现其处理目的所必需的最小范围使用个人信息等。

3. 非法提供或转移个人信息，即违反法律法规等相关规定，将个人信息提供给无权使用、处理该等个人信息的主体，或者违法跨境提供、贩售个人信息，超越信息主体的同意范畴/未获得单独同意的情况下向其他个人信息处理者提供其处理的个人信息等。

4. 其他违反法律法规及诚信原则、合法原则、公序良俗原则、个人信息处理者与信息主体相关约定等相关内容进行个人信息处理的行为。因现行法律法规尚不完备，随着时代的发展和实践经验的累积，未来我国将针对司法实践中出现的问题、法律法规适用过程中暴露的短板以及日新月异的科学技术发展情况，对个人信息保护的相关立法、行业规范等逐步完善。个人信息处理者应当密切关注相关立法部门、行业协会、行政主管部门的动态，与时俱进，及时调整其个人信息处理行为。

由于我国关于个人信息保护的立法起步较晚，现行司法实践中涉及个人信息保护的案件较少且类型较为单一，随着大数据和信息技术的发展以及公民个人信息保护意识的加强，个人信息保护纠纷案件的数量未来将会越来越多，同时涉及个人信息纠纷的类型也将会更加多样化。

3.《个人信息保护法》后的个人信息侵权纠纷

《个人信息保护法》作为个人信息保护领域的基本法，对个人信息保护进行了更细致全面的规定。《个人信息保护法》将《民法总则》《民法典》以来关于个人信息权益的原则性规定具体化，规定了个人在个人信息处理活动中享有的法定权利，例如知情权、决定权、限制权、查阅权、复制权、可携带权、更正权、删除权、自动化决策相关权利等。《个人信息保护法》第50条第二款还规定“个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。”赋予了个人对个人信息诉权。

如前文分析，当前个人信息侵权纠纷主要围绕个人信息的收集、处理等，因《个人信息保护法》施行时间较短，针对《个人信息保护法》中规定的诸多新型个人信息权利的侵权案件目前尚在少数。不过根据我们工作中接触的个人信息纠纷实例，针对个人信息知情权、决定权、查阅权、复制权等权利提起侵权之诉的案件也逐渐产生。这类案件因涉及权利和侵权类型较为新颖，未来司法实践中围绕这些个人信息权利侵权纠纷仍有很多问题亟待解决。例如针对侵害个人信息查阅权的诉讼请求，如何理解查阅权的内涵并判断该权利是否遭受侵害？个人信息处理者在被诉行为中的过错应如何判断？更值得关注的是，如果个人信息处理者被认定侵害了个人某项具体的个人信息权利，应如何承担侵权责任？这些问题都有待在具体案件中予以探索和解决。

未来司法实践如何处理《个人信息保护法》规定的个人信息具体权利的侵权纠纷，需拭目以待。但是值得注意的是，由于互联网企业等个人信息处理者拥有大量用户，这类个人信息侵权纠纷往往会产生广泛的示范作用甚至会有羊群效应，有可能使个人信息处理者在具体个案中承担的责任或后果被放大。因此在处理个人信息侵权纠纷时，不仅要注重个人信息的保护，同时也要处理好个人信息保护和企业运营权利及成本之间的平衡，才能更好地促进个人信息保护的发展。

1.事前合规：健全个人信息保护管理体系

个人信息保护的法律法规、行业规范仍在不断更新，个人信息处理者应当建立完备的个人信息保护管理体系，搭建合规管理流程，预先部署个人信息合规自我审查，按照个人信息保护的法律法规、行业规范要求将个人信息保护需求嵌入到业务流程及内部管理制度中，建立良好的用户沟通机制，力争在前期减少合规风险，以避免陷入个人信息保护的相关纠纷。

2.未雨绸缪，及时留证

（1）制定不同场景下的个人信息纠纷处理预案

互联网时代背景下的业务类型多种多样，个人信息处理者应该根据其具体业务涉及的个人信息采集、使用、加工等场景，推测该等场景下易与个人信息主体产生纠纷的类型，并针对性制定应对方案。同时，个人信息处理者应当积极对待个人信息主体的申诉、投诉，及时答复并提供解决路径，以避免产生后续纠纷。

（2）充分留痕，应对举证

在个人信息侵权纠纷中，现行法律法规确定的过错推定原则赋予个人信息处理者较重的举证义务。在应对个人信息侵权纠纷时，个人信息处理者应当将其业务流程的个人信息收集、处理等全流程操作均保留完整的记录，以便于在出现纠纷时及时向个人信息主体及主管部门、司法机关提供，证明自身在个人信息处理流程中合法、合规，不存在侵害个人信息权益的行为。在举证责任倒置的情况下，个人信息处理者的举证内容基本围绕其个人信息处理流程中的合规留痕，因此信息处理者的合规操作也将极大影响最终的纠纷处理结果。

现行法律法规、行业规范及政策规定等已从各个角度对个人信息处理者提出要求。我们建议个人信息处理者密切关注行业动态及监管风向，在做好事前合规工作的基础上，针对未来可能出现的相关个人信息投诉、申诉或诉讼纠纷提前制定较为完备的应对策略，以备不时之需。

感谢实习生祝晗对本文做出的贡献。

封面图源：Unsplush

责任编辑：单珊

我知道你  在看  哦